Datenschutzerklärung (Privacy Policy)

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) für die in dieser Erklärung beschriebenen Verarbeitungen ist die Activento GmbH, Kolonnenstraße 8, 10827 Berlin, eingetragen im Handelsregister des Amtsgerichts Charlottenburg (Berlin) unter HRB 290845 B, vertreten durch die Geschäftsführer Dominic Lindner und Felix Maria Paulus (nachfolgend „Activento“, „wir“).

Für alle Datenschutzanfragen erreichen Sie uns per E-Mail unter info@activento.com oder postalisch unter der oben genannten Anschrift. Ein Datenschutzbeauftragter ist nicht benannt; die gesetzlichen Voraussetzungen einer Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) liegen derzeit nicht vor.

2. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für unsere Marketing-Website (activento.com), die Activento-Plattform (app.activento.com) einschließlich der Dashboards für Operatoren, eingeladene Nutzer und Vertriebspartner sowie für die Activento Mobile App. Sie beschreibt die Verarbeitungen, für die Activento selbst Verantwortlicher ist.

Activento hat zwei datenschutzrechtliche Rollen, die wir strikt trennen: Für die eigenen Zwecke, also Betrieb der Website, Verwaltung der Kundenkonten, Abrechnung, Support und Partnerprogramm, sind wir Verantwortlicher; das ist der Gegenstand dieser Erklärung. Für die Daten, die unsere Kunden (Veranstalter und Anbieter, nachfolgend „Operatoren“) über die Plattform verarbeiten, insbesondere Buchungs-, Endkunden- und Kommunikationsdaten, sind wir weisungsgebundener Auftragsverarbeiter nach Art. 28 DSGVO; dafür gilt Abschnitt 3.

3. Wenn Sie bei einem Veranstalter buchen (Activento als Auftragsverarbeiter)

Wenn Sie über den Buchungsshop, das Buchungs-Widget oder die Website eines Veranstalters buchen, ist der jeweilige Veranstalter (Operator) der datenschutzrechtliche Verantwortliche für Ihre Daten. Der Vertrag über die gebuchte Leistung kommt ausschließlich zwischen Ihnen und dem Operator zustande. Activento verarbeitet Ihre Buchungs-, Zahlungs- und Kommunikationsdaten in diesem Verhältnis ausschließlich im Auftrag und nach dokumentierter Weisung des Operators auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Ihre Betroffenenrechte (Auskunft, Berichtigung, Löschung usw.) machen Sie in diesem Fall gegenüber dem Operator geltend; maßgeblich ist dessen Datenschutzerklärung. Erreicht uns eine solche Anfrage direkt, leiten wir sie an den Operator als Verantwortlichen weiter und unterstützen ihn bei der Beantwortung.

Zwei Transparenzhinweise zur Technik: Der Zugriff auf Ihre Buchung („Meine Buchung“) erfolgt über einen Link mit einem zufälligen Sicherheits-Token. Ein Kundenkonto ist nicht erforderlich, und die Links enthalten keine Klardaten wie Namen oder E-Mail-Adressen. Ticket-PDF-Dateien werden 18 Monate nach ihrer Erstellung aus dem Dateispeicher gelöscht und bei einem späteren Abruf automatisch aus den Buchungsdaten neu erzeugt; Ihr Zugriff auf das Ticket bleibt dadurch unberührt.

4. Besuch unserer Website und Server-Logs

Beim Aufruf unserer Website und der Plattform verarbeiten unsere Server technische Verbindungsdaten (Server-Logs).

• Verarbeitete Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Browser-Kennung (User-Agent) und die zuvor besuchte Seite (Referrer), sofern der Browser sie übermittelt.
• Zwecke: technischer Betrieb, Ermittlung und Behebung von Störungen sowie Erkennung, Abwehr und Nachverfolgung von Angriffen (z. B. automatisierte Anmeldeversuche, Missbrauch von Formularen).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Sicherheit und Verfügbarkeit unserer Systeme.
• Speicherdauer: zentral gespeicherte System-Logs höchstens 30 Tage; länger nur anlassbezogen zur Beweissicherung bei einem konkreten Sicherheitsvorfall, bis dieser abgeschlossen ist. IP-Adressen für Zugriffsbegrenzungen (Rate-Limiting) werden nur flüchtig in einem Zwischenspeicher mit automatischem Verfall gehalten und nicht dauerhaft gespeichert.
• Empfänger/Verarbeitungsort: Hosting durch die Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeiter; Datenschutzerklärung: https://www.hetzner.com/de/legal/privacy-policy/). Anwendung, Datenbank, Dateispeicher und Backups, also unsere gesamte Datenhaltung, liegen in Deutschland.

5. Namensauflösung (Cloudflare DNS)

Die Domain activento.com und ihre Subdomains werden bei Cloudflare verwaltet. Cloudflare beantwortet ausschließlich DNS-Anfragen, also die Frage, unter welcher IP-Adresse unsere Server erreichbar sind. Ihre Anfragen an unsere Websites und die Plattform laufen nicht über Cloudflare, sondern gehen direkt an unsere Server bei Hetzner in Deutschland. Cloudflare speichert keine Inhalte zwischen und filtert keinen Datenverkehr.

• Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (mit europäischen Konzerngesellschaften, u. a. Cloudflare Germany GmbH); Auftragsverarbeiter (Datenschutzerklärung: https://www.cloudflare.com/de-de/privacypolicy/).
• Verarbeitete Daten: DNS-Anfragen, also der angefragte Domainname und die IP-Adresse des anfragenden DNS-Resolvers. Dieser Resolver ist in der Regel der Ihres Internetanbieters oder Ihres Netzwerks, nicht Ihr Endgerät.
• Zweck: Auflösung unserer Domainnamen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die zuverlässige Erreichbarkeit unserer Dienste.
• Keine Inhaltsdaten: Anwendung, Datenbank und Dateien liegen ausschließlich bei Hetzner in Deutschland.
• Drittlandübermittlung: USA, auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln (Abschnitt 17).

6. Cookies und lokale Speicherung

Bis zum Start der Plattform speichert activento.com nichts auf Ihrem Endgerät: keine Cookies und keine Einträge im lokalen Speicher Ihres Browsers. Es gibt deshalb noch keinen Cookie-Banner, keine „Cookie-Einstellungen“ in der Fußzeile, keinen Chat und keine Nachweise über eine Cookie-Auswahl; auch die Kennung eines Vertriebspartners (Abschnitt 15) wird noch nicht gespeichert. Die folgenden Absätze dieses Abschnitts, die Einträge zu Empfehlungs-Links in Abschnitt 15 und die Speicherdauern für Cookie-Auswahl und Partner-Zuordnung in Abschnitt 18 gelten ab dem Start der Plattform.

Unsere Marketing-Website (activento.com) fragt über einen Cookie-Banner, bevor sie etwas speichert, das nicht notwendig ist. Notwendig und immer aktiv sind Ihre Cookie-Auswahl und, sobald Sie den Chat starten, dessen Sitzung. Alles andere speichert die Website nur mit Ihrer Einwilligung in die jeweilige Kategorie, zum Beispiel die Kennung des Vertriebspartners, über dessen Empfehlungs-Link Sie gekommen sind (Kategorie „Marketing“, 30 Tage, Abschnitt 15). Ohne Einwilligung speichert sie nichts Optionales. Jeden Eintrag mit Kategorie, Anbieter, Zweck und Speicherdauer zeigen die Tabelle auf dieser Seite und die „Cookie-Einstellungen“ in der Fußzeile der Website; beide entstehen aus derselben Liste. Über die Cookie-Einstellungen können Sie Ihre Auswahl jederzeit ändern oder widerrufen. Ihre Auswahl gilt 12 Monate, danach fragt der Banner erneut, ebenso wenn neue Einträge hinzukommen, die eine Einwilligung brauchen. Jede Entscheidung protokollieren wir als Nachweis ohne Angaben zu Ihrer Person: Zeitpunkt, Auswahl, Sprache und die Fassung des Banners, die Sie gesehen haben (Art. 7 Abs. 1 DSGVO).

Die Plattform (app.activento.com) verwendet ausschließlich technisch notwendige Cookies und vergleichbare Speicherungen im Sinne des § 25 Abs. 2 Nr. 2 TDDDG, ohne die der Dienst nicht funktioniert:

• Anmelde- und Sitzungs-Cookies: halten Ihre Anmeldung aufrecht; Speicherdauer bis zum Schließen des Browsers, höchstens 12 Stunden nach der letzten Nutzung. Haben Sie beim Anmelden „Angemeldet bleiben“ gewählt, bis zu 30 Tage nach der letzten Nutzung.
• Sicherheits-Cookies und -Speicherungen: schützen vor Missbrauch der Sitzung (z. B. Schutz vor Anfragen-Fälschung); Speicherdauer sitzungsbezogen.
• Geräteerkennung: eine zufällige Kennung, an der wir ein Gerät wiedererkennen, auf dem Sie sich schon angemeldet haben, damit wir Sie bei einer Anmeldung von einem neuen Gerät per E-Mail warnen können; bleibt nach dem Abmelden erhalten; Speicherdauer bis zu 400 Tage.
• Spracheinstellung: speichert die von Ihnen gewählte Oberflächensprache; wird beim Ändern der Einstellung aktualisiert.

Ihre Zustimmung zu Vertragsdokumenten (z. B. AGB) protokollieren wir serverseitig mit angenommener Version, Zeitstempel und IP-Adresse, nicht in einem Cookie; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Vereinbarung, Art. 7 Abs. 1 DSGVO entsprechend). Zur Speicherung der Partner-Zuordnung in Buchungsstrecken siehe Abschnitt 15.

7. Keine Analyse- und Tracking-Dienste, lokale Schriften

Wir setzen auf unserer Website und in der Plattform keine Webanalyse-, Werbe- oder Tracking-Dienste Dritter ein, also kein Google Analytics, keine Werbepixel, keine Social-Media-Plugins. Verweise auf Social-Media-Profile sind reine Links, die erst bei Ihrem Klick eine Verbindung zum jeweiligen Anbieter herstellen.

Schriftarten und Icon-Grafiken liefern wir vollständig von unseren eigenen Servern aus („self-hosted“); beim Seitenaufruf wird keine Verbindung zu Google Fonts oder anderen externen Schriften-Diensten aufgebaut.

8. Kontaktaufnahme, Kontaktformular und Chat

Wenn Sie uns über das Kontaktformular bzw. das Chat-Fenster der Website oder per E-Mail kontaktieren, wird Ihre Anfrage in unserem Support-System als Vorgang geführt und von unserem Team beantwortet.

• Verarbeitete Daten: Ihre E-Mail-Adresse, Ihre Nachricht und etwaige weitere Angaben, die Sie selbst machen.
• Zwecke: Beantwortung und Dokumentation Ihrer Anfrage.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag oder dessen Anbahnung gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
• Missbrauchsschutz: Formular-Einsendungen sind pro IP-Adresse begrenzt; die IP-Adresse wird dafür nur flüchtig mit automatischem Verfall gespeichert (Abschnitt 4).
• Speicherdauer: Anfragen über das Kontaktformular oder den Chat der Website löschen wir 90 Tage nach Abschluss des Vorgangs. Support-Vorgänge von Nutzern mit Konto und die zugehörige Korrespondenz löschen wir drei Jahre nach Abschluss des Vorgangs, soweit keine gesetzlichen Aufbewahrungspflichten oder ein laufender Rechtsstreit entgegenstehen.

9. Registrierung, Kundenkonto und Vertragsdurchführung

Bei der Registrierung eines Operator-Kontos und während der Vertragslaufzeit verarbeiten wir die Daten, die für Abschluss und Durchführung des Plattform-Vertrags erforderlich sind.

• Verarbeitete Daten: Firmen- und Ansprechpartnerdaten (Name, E-Mail-Adresse, Anschrift), Anmeldedaten (E-Mail-Adresse und Passwort, wobei wir das Passwort ausschließlich als kryptografischen Hash speichern, nie im Klartext), Einstellungen des Kontos sowie Vertrags- und Tarifdaten.
• Zwecke: Abschluss und Durchführung des Plattform-Vertrags, Bereitstellung und Verwaltung des Kontos.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Sicherheitsmaßnahmen (Zwei-Faktor-Authentifizierung, Begrenzung fehlgeschlagener Anmeldeversuche, Hinweis per E-Mail bei einer Anmeldung von einem neuen Gerät mit Zeitpunkt, Gerätetyp und IP-Adresse; die Liste Ihrer Geräte speichern wir ohne IP-Adresse und löschen Einträge nach 180 Tagen ohne Nutzung): Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz der Konten vor unbefugtem Zugriff.
• Vertragsdokumente: Die bei Vertragsschluss und späteren Änderungen angenommenen Vertragsdokumente protokollieren wir mit Version und Zeitstempel (Abschnitt 6).
• Speicherdauer: für die Dauer der Vertragslaufzeit; danach gelten die gesetzlichen Aufbewahrungsfristen (Abschnitt 18). Dauerhaft inaktive kostenfreie Konten deaktivieren wir nach zwölf Monaten Inaktivität mit vorheriger Ankündigung per E-Mail (30 und 7 Tage vorher); nach der Deaktivierung bleiben die Daten 90 Tage exportierbar und werden anschließend endgültig gelöscht. Ein einfacher Login genügt, um die Frist neu zu starten. Konten mit gebuchten Terminen in der Zukunft sind ausgenommen.

Nutzungsprotokoll: Damit wir belegen können, wie die Plattform tatsächlich genutzt wurde, protokollieren wir auf unseren Servern für jedes Nutzerkonto, also Operatoren, eingeladene Nutzer (Abschnitt 10) und Vertriebspartner (Abschnitt 15), im Browser wie in der App:

• Verarbeitete Daten: Registrierung, Anmeldungen, fehlgeschlagene Anmeldeversuche und Abmeldungen mit Zeitpunkt, IP-Adresse, Browser- bzw. Gerätekennung (User-Agent) und der verwendeten E-Mail-Adresse; außerdem für jede Aktion in der Plattform den Zeitpunkt, den Bereich (z. B. „Produkte“), die Art der Aktion und ob sie erfolgreich war, das Ansehen eines Bereichs höchstens einmal je zehn Minuten. Inhalte, etwa Produkttexte, Preise oder Daten von Endkunden, protokollieren wir nicht. Auf Ihrem Endgerät wird dafür nichts gespeichert oder ausgelesen.
• Zwecke: Nachweis der tatsächlichen Nutzung bei Streitigkeiten, insbesondere zur Abwehr unzutreffender oder missbräuchlicher Bewertungen und Behauptungen über die Plattform; Erkennung von Missbrauch des Testzugangs; Klärung von Support-Anfragen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen und am Schutz vor Missbrauch.
• Zugriff: ausschließlich Plattform-Administratoren von Activento; jeder Zugriff wird seinerseits protokolliert. Operatoren sehen das Protokoll ihrer Mitarbeiter nicht; es dient nicht der Leistungs- oder Verhaltenskontrolle.
• Speicherdauer: 12 Monate, auch über eine Löschung des Kontos hinaus; länger nur, solange es zur Beweissicherung in einem konkreten Streitfall erforderlich ist, bis dieser abgeschlossen ist.

10. Eingeladene Nutzer (Mitarbeiter, Reseller und Affiliates des Operators)

Operatoren können weitere Personen in ihr Konto einladen, nämlich Mitarbeiter (z. B. Guides) sowie Reseller und Affiliates.

• Verarbeitete Daten: Name, E-Mail-Adresse, zugewiesene Rolle.
• Quelle der Daten: Wir erhalten diese Daten nicht von Ihnen selbst, sondern vom einladenden Operator (Information nach Art. 14 DSGVO).
• Zwecke: Bereitstellung Ihres Nutzerkontos und Absicherung des Zugangs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis mit Ihnen) und Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Plattform für den Operator).
• Nutzungsprotokoll: Ihre Anmeldungen und Aktionen protokollieren wir wie in Abschnitt 9 beschrieben. Der Operator hat darauf keinen Zugriff.

Für die Nutzung gelten die Nutzungsbedingungen für eingeladene Nutzer. Das zugrunde liegende Arbeits- oder Vertragsverhältnis besteht zwischen Ihnen und dem Operator; welche Daten der Operator über Sie in der Plattform führt (z. B. Einsatzplanung), verantwortet er als Verantwortlicher, wir verarbeiten sie insoweit als sein Auftragsverarbeiter.

11. Abrechnung und Bezahlung der Plattform-Entgelte

Für die Abrechnung unserer Plattform-Entgelte verarbeiten wir Rechnungs- und Zahlungsdaten unserer Kunden.

• Verarbeitete Daten: Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Abrechnungspositionen, Zahlungsstatus; bei Zahlungen zusätzlich Name, Zahlungsdaten (z. B. IBAN oder Kartendaten), Betrag und Verwendungszweck.
• Zwecke: Abrechnung und Einzug der Plattform-Entgelte, Erfüllung handels- und steuerrechtlicher Pflichten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten).
• Zahlungsdienstleister: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ein von der niederländischen Zentralbank (DNB) beaufsichtigter Zahlungsdienstleister (Datenschutzerklärung: https://www.mollie.com/de/legal/privacy). Mollie verarbeitet die Zahlungsdaten teilweise in unserem Auftrag und teilweise in eigener Verantwortung als beaufsichtigtes Zahlungsinstitut (etwa zur Erfüllung geldwäscherechtlicher Pflichten).
• Weitere Zahlungsempfänger: Je nach gewählter Zahlungsart (SEPA-Lastschrift oder Kreditkarte) werden die erforderlichen Daten zusätzlich an das beteiligte Kreditinstitut oder Kartennetzwerk übermittelt; diese Stellen handeln datenschutzrechtlich eigenverantwortlich. Rechtsgrundlage der Übermittlung: Art. 6 Abs. 1 lit. b DSGVO.
• USt-IdNr.-Prüfung: Umsatzsteuer-Identifikationsnummern von EU-Kunden prüfen wir über das Bestätigungsverfahren der Europäischen Kommission (VIES); übermittelt werden nur der Ländercode und die USt-IdNr. VIES meldet uns zurück, ob die Nummer gültig ist, und den dort hinterlegten Firmennamen; diesen speichern wir als Nachweis der Prüfung.
• Speicherdauer: Buchungsbelege einschließlich Rechnungen acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB in der seit dem 1. Januar 2025 geltenden Fassung), Bücher, Aufzeichnungen und Jahresabschlüsse zehn Jahre; erst danach werden sie gelöscht.

12. Support und Activento KI

In der Plattform steht Activento KI zur Verfügung, ein als solcher gekennzeichneter KI-Assistent für Hilfe- und Anleitungsfragen; der Hinweis auf die KI-Eigenschaft und die Einsehbarkeit der Verläufe wird direkt im Chat-Fenster angezeigt. Zu unterscheiden sind zwei Fälle. Erstens: Fragen zur Bedienung der Plattform beantwortet der Assistent aus unserer Produktdokumentation; verarbeitet wird, was Sie selbst in den Chat eingeben, und für diese Verläufe sind wir Verantwortlicher. Zweitens: Hat der Kontoinhaber eines Shops die Datenabfrage durch Activento KI freigegeben (Einstellungen → Funktionen & Features → Erweitert), schlägt der Assistent auf Frage eines Nutzers Buchungs-, Bestell- und Kundendaten dieses Shops nach, und zwar nur im Umfang der Rechte des fragenden Nutzers. Diese Daten und die Teile eines Verlaufs, die sie enthalten, verarbeiten wir im Auftrag des Shops nach dem Auftragsverarbeitungsvertrag (§ 13 Abs. 3 AVV); Verantwortlicher ist insoweit der Shop. Der Kontoinhaber kann die Freigabe jederzeit zurücknehmen; ab der nächsten Nachricht schlägt der Assistent keine Daten mehr nach. Auf Wunsch übergibt der Assistent ein Anliegen an einen Menschen in unserem Support-Team.

• Verarbeitete Daten: Ihre Chat-Eingaben und die daraus entstehenden Chat-Verläufe; bei freigegebener Datenabfrage zusätzlich die nachgeschlagenen Buchungs-, Bestell- und Kundendaten des Shops (zum Beispiel Namen und Kontaktdaten von Gästen).
• Zwecke: Beantwortung von Hilfe- und Anleitungsfragen, Bearbeitung Ihres Anliegens, Qualitätssicherung; unser Support-Team kann die Verläufe einsehen. Jeder Zugriff auf einen einzelnen Verlauf wird intern protokolliert (wer, wann, welcher Verlauf).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support im Vertragsverhältnis), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (effizienter Support). Die Datenabfrage erfolgt im Auftrag des Shops (Art. 28 DSGVO); die Rechtsgrundlage dafür bestimmt der Shop als Verantwortlicher.
• Empfänger: Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, Auftragsverarbeiter, Verarbeitung in der EU, keine Drittlandübermittlung (nähere Informationen: https://mistral.ai/terms).
• Speicherdauer: KI-Chat-Verläufe werden 7 Tage nach Beginn der Unterhaltung automatisch und endgültig gelöscht. Wird eine Unterhaltung an unser Support-Team übergeben, entsteht daraus ein Support-Vorgang; für diesen gilt die Frist aus Abschnitt 8 (drei Jahre nach Abschluss).

Außerdem übersetzt Mistral AI SAS in unserem Auftrag Shop-Texte, die der Kontoinhaber oder ein Nutzer im Dashboard maschinell übersetzen lässt (Ticket-Vorlagen, Textbausteine für Angebote, Website-Texte, Texte der Übersetzungszentrale und Sitzpläne); solche Texte können personenbezogene Daten wie Namen von Mitarbeitern enthalten. Rechtstexte, Haftungsausschlüsse, Bewertungshinweise, Steuerhinweise und Bankdaten werden nie maschinell übersetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Übersetzung erfolgt im Auftrag des Shops (Art. 28 DSGVO), Verarbeitung in der EU.

13. Produktinformationen an Bestandskunden

Wir informieren unsere Kunden über Hinweise im Dashboard (Bereich „Changelog & Updates“) über Produktneuerungen, Änderungen und wichtige Betriebsinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Information unserer Geschäftskunden über den von ihnen genutzten Dienst. Sobald wir solche Informationen auch per E-Mail versenden, können Sie diese E-Mails jederzeit über den Abmeldelink in der jeweiligen E-Mail oder per Nachricht an info@activento.com abbestellen; betriebsnotwendige Mitteilungen (z. B. Rechnungen, Sicherheits- und Vertragsinformationen) bleiben davon unberührt.

Zu Produkt-Updates im Dashboard (Bereich „Changelog & Updates“) können Sie uns freiwillig Feedback schreiben. Wir speichern Ihren Kommentar mit Ihrem Namen, Ihrer E-Mail-Adresse, Ihrem Shop bzw. Ihrem Vertriebspartner-Konto und dem Zeitpunkt, werten ihn zur Verbesserung von Activento aus und können darauf antworten; die Antwort erscheint unter Ihrem Kommentar, und Sie erhalten dazu eine Benachrichtigung im Dashboard. Ihren Kommentar sehen nur Sie und unser Team, andere Nutzer, auch aus Ihrem eigenen Shop, sehen ihn nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Weiterentwicklung unseres Dienstes anhand der Rückmeldungen unserer Kunden und Partner. Sie können Ihre Kommentare jederzeit selbst löschen; gelöschte Kommentare entfernen wir 30 Tage später endgültig.

14. Mobile App und Push-Benachrichtigungen

Die Activento Mobile App richtet sich an Operatoren und ihre Mitarbeiter. Für Push-Benachrichtigungen (z. B. über neue Buchungen) gilt:

• Verarbeitete Daten: Push-Token Ihres Geräts und der Benachrichtigungsinhalt. Die Inhalte sind datensparsam gestaltet; Klarnamen oder Kontaktdaten von Endkunden werden in Push-Texten nicht übermittelt.
• Rechtsgrundlage: Ihre Einwilligung über den Systemdialog Ihres Geräts (Art. 6 Abs. 1 lit. a DSGVO); jederzeit in den App- oder Geräteeinstellungen deaktivierbar.
• Empfänger: Zustelldienst Expo der 650 Industries, Inc., 624 University Avenue, Palo Alto, CA 94301, USA (nähere Informationen: https://expo.dev/privacy) und über diesen der Push-Dienst Ihres Geräteherstellers (Apple bzw. Google).
• Drittlandübermittlung: USA, siehe Abschnitt 17.

Für Absturz- und Fehlerberichte sowie die App-Entsperrung gilt:

• Fehlerberichte: Verarbeitung auf einem selbst betriebenen Fehlerberichts-System auf unserer eigenen Infrastruktur; personenbezogene Inhalte werden vor der Speicherung automatisiert entfernt. Speicherdauer: 90 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Stabilität der App).
• Biometrische Entsperrung (Face ID/Fingerabdruck): optional; wird vollständig von Ihrem Gerät ausgewertet. Biometrische Daten erreichen unsere Systeme nicht.
• Kamera und Fotos: nur nach Ihrer Freigabe im Systemdialog Ihres Geräts. Beim Check-in liest die Kamera Ticket-Codes; das Bild wird auf dem Gerät ausgewertet und weder gespeichert noch übertragen. An unsere Server geht nur der erkannte Code. Fotos aus Kamera oder Mediathek übertragen wir nur, wenn Sie sie selbst einer Support-Anfrage anhängen.
• Speicherung auf dem Gerät: Die App speichert Ihre Anmeldung verschlüsselt im Schlüsselbund bzw. Keystore des Geräts, außerdem Ihre App-Einstellungen, zwischengespeicherte Daten und noch nicht übertragene Check-ins, damit sie auch ohne Verbindung funktioniert. Diese Speicherungen sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden löschen wir Anmeldung, zwischengespeicherte Daten und die Check-in-Warteschlange vom Gerät. Erhalten bleibt nur eine zufällige Gerätekennung, damit wir Sie bei einer Anmeldung von einem neuen Gerät warnen können (Abschnitt 9). Analyse-, Werbe- oder Tracking-Dienste enthält die App nicht.

15. Vertriebspartner-Programm und Partner-Zuordnung

Vertriebspartner werben neue Operatoren für Activento. Die Aufnahme in das Programm setzt eine Bewerbung und unsere Freischaltung voraus (Vertriebspartnervertrag § 2). Für die Bewerbungsphase gilt:

• Verarbeitete Daten: die Angaben aus dem Bewerbungsformular, also Kontaktdaten, Firma und Anschrift, Umsatzsteuer-Identifikationsnummer bzw. Steuernummer, Angaben zur Gewerbeanmeldung, Website und Social-Media-Profile, Vertriebswege, Beschreibung von Zielgruppe und Vertriebserfahrung, Motivation, erwartetes Vermittlungsvolumen sowie der Zeitpunkt der Zustimmung zum Vertriebspartnervertrag.
• Zweck und Rechtsgrundlage: Prüfung der Bewerbung und Entscheidung über die Aufnahme in das Vertriebspartner-Programm; Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage des Bewerbers).
• E-Mail-Bestätigung: Vor der Prüfung bestätigen Sie Ihre E-Mail-Adresse über einen Bestätigungslink (7 Tage gültig). Bewerbungen ohne Bestätigung werden nach Ablauf dieser Frist automatisch gelöscht.
• Speicherdauer: Bei Aufnahme werden die Bewerbungsdaten Teil der Vertrags- und Abrechnungsdaten (unten). Abgelehnte Bewerbungen löschen wir sechs Monate nach der Entscheidung; die Frist dient dem Nachweis einer ordnungsgemäßen Entscheidung.
• Die Entscheidung über die Aufnahme trifft ein Mensch; eine automatisierte Entscheidungsfindung findet nicht statt (Abschnitt 23).

Für aktive Vertriebspartner gilt:

• Verarbeitete Daten: Stammdaten, Vertrags- und Abrechnungsdaten der Vertriebspartner.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO, Letzteres auch für gesetzliche Meldepflichten wie DAC7.
• Übersicht der geworbenen Operatoren: Im Partner-Dashboard sieht der Vertriebspartner zu jedem von ihm geworbenen Operator dessen Firmennamen, den Status der Zuordnung (Testphase, Plan aktiv, Testphase abgelaufen), den Empfehlungsweg (Link, Code oder manuelle Zuordnung), das Datum der Zuordnung, das Ende der Testphase sowie den gebuchten Plan und kann diese Liste als CSV exportieren. Endkundendaten, Buchungen oder Umsätze des Operators sieht er nicht; die Provisionsübersicht weist Beträge nur zusammengefasst je Abrechnungszeitraum aus, ohne Gebührenbasis oder Prozentsätze einzelner Operatoren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung und Abrechnung des Vertriebspartnervertrags) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Vertriebspartner nachvollziehbar zu vergüten).
• Nutzungsprotokoll: Ihre Anmeldungen und Aktionen im Partner-Dashboard protokollieren wir wie in Abschnitt 9 beschrieben.
• Empfehlungs-Links unserer Vertriebspartner: Kommen Sie über einen solchen Link auf activento.com, zählen wir den Klick, ohne Speicherung auf Ihrem Endgerät und ohne Angaben über Sie (nur Link und Zeitpunkt), und der Cookie-Banner fragt, ob wir uns den Partner merken dürfen (Kategorie „Marketing“). Nur wenn Sie zustimmen, speichern wir 30 Tage lang ausschließlich seine Kennung in einem Cookie; registrieren Sie sich in dieser Zeit, ordnen wir Ihr Konto dem Partner zu (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Haben Sie „Marketing“ bereits erlaubt, merken wir uns ebenso den Partner eines weiteren Links, ohne erneut zu fragen. Ohne Einwilligung speichern wir nichts; registrieren Sie sich direkt über den Link, übermittelt das Registrierungsformular die Kennung mit, und wir ordnen Ihr Konto bei der Bestätigung Ihrer E-Mail-Adresse zu (Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Vertriebspartner korrekt zu vergüten). Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen; der gespeicherte Partner wird dann sofort gelöscht. Jede Entscheidung (Zustimmung, Ablehnung, Widerruf) protokollieren wir als Nachweis ohne Angaben zu Ihrer Person, nur Zeitpunkt, Auswahl, Sprache, Fassung des Banners und die Kennung des Partners (Nachweis nach Art. 7 Abs. 1 DSGVO).
• Klick-Statistiken für Partner-Links: vollständig cookielos. Es wird nichts auf Ihrem Endgerät gespeichert und keine IP-Adresse aufbewahrt. Wiederkehrende Aufrufe werden über einen täglich wechselnden, nicht auf Personen rückführbaren Prüfwert zusammengefasst; gespeichert werden nur der Partner-Link, das aufgerufene Angebot, der Tag des Aufrufs, das Land (sofern ein Netzwerk-Header es mitliefert), die grobe Geräteklasse, die Herkunftsseite (nur der Hostname) und die Kampagnen-Kennungen aus dem Link (UTM-Parameter). Speicherdauer: höchstens 800 Tage.
• Buchungs-Zuordnung: Folgen Sie einem Partner-Link zu einer Buchungsseite, wird für die Vergütungsabrechnung zwischen Operator und Partner ausschließlich die Partner-Kennung in Ihrem Browser gespeichert (First-Party-Cookie bzw. lokaler Speicher), und nur, wenn Sie der Kategorie „Marketing“ zugestimmt haben; die Dauer legt der Operator fest (höchstens 90 Tage, Standard 30 Tage). Ohne Einwilligung wird nichts gespeichert; die Kennung gilt dann nur für die Seite, auf die der Link geführt hat. Keine Besucherdaten, kein Profil, kein seitenübergreifendes Tracking (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen der Seite widerrufen oder den Eintrag über die Website-Daten-Einstellungen Ihres Browsers löschen.

16. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nicht zu Werbezwecken weiter und verkaufen sie nicht. Empfänger sind ausschließlich: die nachfolgend genannten Auftragsverarbeiter, Zahlungs- und Meldeempfänger im gesetzlich erforderlichen Umfang (z. B. Finanzbehörden) sowie Behörden bei einer rechtlichen Verpflichtung. Unsere Auftragsverarbeiter sind vertraglich nach Art. 28 DSGVO gebunden:

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland: Server, Datenbank, Dateispeicher und Backups; die gesamte Datenhaltung liegt hier (Datenschutzerklärung: https://www.hetzner.com/de/legal/privacy-policy/).
• Brevo SAS (vormals Sendinblue), 7 rue de Madrid, 75008 Paris, Frankreich: Versand von Transaktions- und System-E-Mails sowie Empfang der an uns gerichteten Support-E-Mails (Datenschutzerklärung: https://www.brevo.com/de/legal/privacypolicy/).
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Namensauflösung (DNS) für unsere Domains (Abschnitt 5; Datenschutzerklärung: https://www.cloudflare.com/de-de/privacypolicy/).
• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich: Activento KI, bei freigegebener Datenabfrage die nachgeschlagenen Daten des Shops, sowie die maschinelle Übersetzung von Texten, die ein Operator in Ticket-Vorlagen, Textbausteinen, seiner Website, der Übersetzungszentrale und Sitzplänen übersetzen lässt (Abschnitt 12; Datenschutzerklärung: https://mistral.ai/terms).
• 650 Industries, Inc. (Expo), 624 University Avenue, Palo Alto, CA 94301, USA: Zustellung von Push-Benachrichtigungen der Mobile App (Abschnitt 14; Datenschutzerklärung: https://expo.dev/privacy).
• fiskaly GmbH, Franz-Josefs-Kai 33, 1010 Wien, Österreich: technische Sicherheitseinrichtung (Cloud-TSE) nach KassenSichV für Kassen in Deutschland und Signaturerstellungseinheit nach RKSV für Registrierkassen in Österreich. Activento legt je Operator eine verwaltete fiskaly-Organisation an und übermittelt dafür Firmierung, Anschrift und Steuernummer/USt-IdNr. des Operators sowie die zu signierenden Kassenvorgänge (ohne Endkunden-Kontaktdaten). Für österreichische Kassen übermittelt Activento zusätzlich die vom Operator eingegebenen Zugangsdaten des FinanzOnline-Webservice-Benutzers (Teilnehmer-ID, Benutzer-ID, PIN) an fiskaly, das die Kasse damit bei FinanzOnline meldet; Activento speichert diese Zugangsdaten nicht. Das Sicherheitsmodul läuft in der Google Cloud Platform, Region Frankfurt (Datenschutzerklärung: https://fiskaly.com/datenschutz).
• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande: Zahlungsabwicklung der Plattform-Entgelte (Abschnitt 11) sowie technische Zahlungsanbindung (Mollie Connect) für Operatoren, die ihr Mollie-Konto verbinden; übermittelt werden Bestellbezug, Betrag und Währung der über Mollie bezahlten Bestellungen, die Zahlungsdaten geben Endkunden direkt bei Mollie ein (Abschnitt 3; Datenschutzerklärung: https://www.mollie.com/de/legal/privacy).
• Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland: technische Zahlungsanbindung (Stripe Connect) für Operatoren, die ihr Stripe-Konto verbinden; übermittelt werden Bestellbezug, Betrag und Währung der über Stripe bezahlten Bestellungen, die Zahlungsdaten geben Endkunden direkt bei Stripe ein (Abschnitt 3; Datenschutzerklärung: https://stripe.com/de/privacy).

Die jeweils aktuelle Liste unserer Subunternehmer mit Leistungsbeschreibung, Datenkategorien und Verarbeitungsort veröffentlichen wir in der Subprozessoren-Liste im Bereich Rechtliches dieser Website.

17. Übermittlungen in Drittländer

Unsere Datenhaltung und der ganz überwiegende Teil der Verarbeitung finden in der Europäischen Union statt. Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums finden nur in den folgenden Fällen statt:

• Cloudflare (USA): Verarbeitung von DNS-Anfragen (angefragter Domainname, IP-Adresse des anfragenden DNS-Resolvers). Garantien: Zertifizierung nach dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO) sowie zusätzlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag.
• Expo / 650 Industries, Inc. (USA): Verarbeitung von Push-Tokens und Benachrichtigungsinhalten zur Zustellung. Garantien: Zertifizierung nach dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO) sowie EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag.
• Stripe (Irland; eine Übermittlung an Stripe, LLC in den USA ist möglich): Bestellbezug, Betrag und Währung bei Zahlungen über ein verbundenes Stripe-Konto (Abschnitt 16). Garantien: Zertifizierung nach dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO) sowie EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Push-Dienste der Gerätehersteller (nur bei aktivierten Push-Benachrichtigungen, Abschnitt 14): Die Zustellung an iOS- und Android-Geräte erfolgt technisch zwingend über den Apple Push Notification Service (Apple Inc., USA) bzw. Firebase Cloud Messaging (Google LLC, USA). Den Dienst gibt das Betriebssystem Ihres Geräts vor. Beide Anbieter sind nach dem EU-U.S. Data Privacy Framework zertifiziert; übermittelt werden nur das Push-Token und der datensparsame Benachrichtigungsinhalt.

Die EU-Standardvertragsklauseln sind im Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission veröffentlicht; eine Kopie der jeweils vereinbarten Garantien stellen wir Ihnen auf Anfrage an info@activento.com zur Verfügung.

18. Speicherdauern im Überblick

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen. Die wichtigsten Fristen:

Daten, die unsere Kunden als Verantwortliche über die Plattform verarbeiten, löschen oder retournieren wir nach Vertragsende gemäß dem Auftragsverarbeitungsvertrag (30 Kalendertage Nur-Lese-Zugang mit allen Exportfunktionen, auf rechtzeitiges Verlangen einmalig um bis zu 30 weitere Kalendertage verlängert; bei einer Inaktivitätskündigung kostenloser Konten eine Karenzfrist von 90 Tagen; anschließend Löschung bzw. Anonymisierung; Entfernung aus Backups im Rahmen der 30-tägigen Backup-Rotation). Ausgenommen sind Rechnungen, Belege und Kassendaten, die gesetzlichen Aufbewahrungspflichten unterliegen (§ 147 AO, § 257 HGB): Diese bewahren wir bis zum Ende der Frist gesperrt und unveränderbar in Deutschland auf und löschen sie danach.

19. Datensicherheit

Alle Verbindungen zu unseren Diensten sind transportverschlüsselt (TLS). Passwörter speichern wir ausschließlich als kryptografische Hashes, Zwei-Faktor-Authentifizierung steht zur Verfügung, Zugriffe innerhalb des Teams sind rollenbasiert beschränkt, und die Systeme werden laufend überwacht. Eine ausführliche Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) enthält die Anlage 1 unseres Auftragsverarbeitungsvertrags im Bereich Rechtliches dieser Website.

20. Ihre Rechte

Ihnen stehen gegenüber Activento, soweit wir Verantwortlicher sind (für Buchungen bei einem Operator siehe Abschnitt 3), folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung genügt eine formlose Nachricht an info@activento.com. Wir beantworten Anfragen unverzüglich, spätestens innerhalb eines Monats; zur Sicherheit können wir einen Identitätsnachweis in angemessenem Umfang verlangen, wenn begründete Zweifel an der Identität bestehen.

21. Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, Widerspruch einzulegen. Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre Daten verarbeitet, um Direktwerbung zu betreiben (Abschnitt 13), haben Sie darüber hinaus das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen die Verarbeitung zu diesem Zweck einzulegen; nach dem Widerspruch werden die Daten nicht mehr für Direktwerbung verwendet. Der Widerspruch ist formlos möglich, z. B. per E-Mail an info@activento.com oder über den Abmeldelink in der jeweiligen E-Mail.

22. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für Activento zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (https://www.datenschutz-berlin.de).

23. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet bei Activento nicht statt. Auch Activento KI (Abschnitt 12) trifft keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung; kontospezifische Anliegen werden stets von Menschen bearbeitet.

24. Pflicht zur Bereitstellung von Daten

Die bei der Registrierung und Vertragsdurchführung abgefragten Daten (Abschnitte 9 und 11) sind für den Abschluss und die Durchführung des Vertrags erforderlich; ohne sie können wir den Vertrag nicht schließen oder erfüllen. Alle übrigen Angaben, etwa eine Kontaktanfrage, die Nutzung des KI-Assistenten oder die Aktivierung von Push-Benachrichtigungen, sind freiwillig; ihre Nichtbereitstellung hat keine nachteiligen Folgen über die Nichtverfügbarkeit der jeweiligen Funktion hinaus. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

25. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung mit dem angegebenen Stand. Über wesentliche Änderungen informieren wir unsere Kunden zusätzlich per E-Mail oder über das Dashboard.