Datenschutzerklärung

Überblick

8Tix ist eine Software für den Verkauf von Veranstaltungstickets. Veranstalter (im Folgenden „Organisationen“) richten sich bei uns ein Konto ein, legen Veranstaltungen an und verkaufen Tickets über einen eigenen Ticket-Shop.

Diese Erklärung gilt für die Website der Plattform 8Tix mit Anmeldung, Verwaltungsoberfläche und Plattform-Konsole sowie für E-Mails an unsere Adressen. Sie richtet sich vor allem an Personen, die mit einem Benutzerkonto für eine Organisation arbeiten. Für die Ticket-Shops der Organisationen (Adressen der Form veranstalter.8tix.de) gilt die Datenschutzerklärung des jeweiligen Shops; dort verarbeiten wir Daten im Auftrag der Organisation (siehe „Unsere Rolle in den Ticket-Shops“).

Auf dieser Website setzen wir keine Analyse- oder Werbedienste ein und keine Cookies, die eine Einwilligung erfordern. Welche Cookies wir setzen, welche Dienste wir einsetzen und wie lange wir Daten speichern, steht im Abschnitt „Technische Angaben“ am Ende dieser Erklärung. Er wird automatisch aus der Konfiguration der Plattform erzeugt.

Hosting

Wir betreiben die Plattform auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in der Europäischen Union. Dort liegen alle Daten der Plattform: die Datenbank, Dateien wie Ticket- und Rechnungs-PDFs, E-Mails an unsere Adressen und die Sicherungskopien. Mit Hetzner haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit wir den Dienst für die Organisationen bereitstellen, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb.

Aufruf der Website und Server-Protokolle

Bei jedem Aufruf verarbeitet unser Server die Daten, die Ihr Browser technisch übermittelt: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und die Kennung des Browsers (User-Agent). Ohne diese Daten kann die Website nicht ausgeliefert werden.

Der Server, der unverschlüsselte Aufrufe auf https umleitet, protokolliert IP-Adresse, Zeitpunkt, Methode, Pfad und Statuscode. Diese Protokolle werden nach ihrer Größe fortlaufend überschrieben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Auslieferung der Website, ihr sicherer Betrieb und die Aufklärung von Störungen.

Missbrauchsschutz und Sicherheitsprotokoll

Um Überlastung und Angriffe abzuwehren, zählen wir Anfragen in kurzen Zeitfenstern, und zwar je IP-Adresse (bei IPv6 je /64-Netz), je Benutzerkonto oder je E-Mail-Adresse. Wird eine Grenze überschritten, lehnen wir weitere Anfragen vorübergehend ab. Die Zähler liegen in einem Arbeitsspeicher-Datenspeicher und verfallen von selbst.

Sicherheitsrelevante Ereignisse speichern wir mit IP-Adresse und User-Agent im Sicherheitsprotokoll. Dazu gehören An- und Abmeldungen, fehlgeschlagene Anmeldungen mit der eingegebenen E-Mail-Adresse, Prüfungen des zweiten Faktors, Passwort-Zurücksetzungen, Wechsel der Organisation, verweigerte Zugriffe und überschrittene Anfragegrenzen. Die Administratorinnen und Administratoren einer Organisation sehen die Ereignisse ihrer Organisation.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das der Organisationen ist der Schutz der Konten und Daten, die Abwehr von Angriffen und die Aufklärung von Sicherheitsvorfällen.

Cookies und lokale Speicherung

Wir setzen nur Cookies ein, die für den Betrieb der Website technisch notwendig sind, zum Beispiel um Sie nach der Anmeldung angemeldet zu halten oder Ihre Spracheinstellung zu speichern. Dafür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Im lokalen Speicher Ihres Browsers legen wir Darstellungseinstellungen ab. Die Scanner-App für die Einlasskontrolle speichert dort außerdem eine zufällige Gerätekennung, die beim Scannen im Scan-Protokoll der Organisation erscheint. Die vollständige Liste mit Zweck und Speicherdauer steht unter „Technische Angaben“.

Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie für die Nutzung Ihres Kontos erforderlich ist, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Benutzerkonten und Anmeldung

Ein Benutzerkonto entsteht, wenn eine Organisation Sie einlädt oder Sie eine Organisation bei uns einrichten. Wir verarbeiten dabei:

1. E-Mail-Adresse, Anzeigename, Spracheinstellung und, wenn Sie eines hochladen, ein Profilbild,
2. Ihr Passwort, ausschließlich als Hash (Argon2id) und nie im Klartext,
3. Angaben zur Zwei-Faktor-Anmeldung: den Schlüssel Ihrer Authenticator-App (verschlüsselt gespeichert), Einmalcodes per E-Mail und Wiederherstellungscodes (nur als Hash),
4. Ihre Mitgliedschaften und Rollen in Organisationen,
5. Benachrichtigungen innerhalb der Anwendung,
6. im Änderungsprotokoll der Organisation, welche Datensätze Sie wann angelegt, geändert oder gelöscht haben.

Zweck ist die Bereitstellung der Software für die Organisation, für die Sie tätig sind, und die Nachvollziehbarkeit von Änderungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der Organisation und Ihre Nutzung des Kontos) und für das Änderungsprotokoll Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Organisation und von uns an Sicherheit und Nachvollziehbarkeit). Ohne E-Mail-Adresse und Passwort können wir kein Konto einrichten.

Sitzungen enden nach einer Zeit ohne Aktivität und werden dann gelöscht. Entfernt eine Organisation Sie und sind Sie in keiner anderen Organisation Mitglied, löschen wir Ihr Benutzerkonto. Einträge im Änderungs- und Sicherheitsprotokoll bleiben bis zum Ablauf ihrer Frist erhalten.

Zur Unterstützung bei Problemen können unsere Plattform-Administratoren die Verwaltungsoberfläche aus der Sicht eines Benutzerkontos aufrufen. Jeder solche Zugriff wird im Sicherheitsprotokoll festgehalten.

Vertrag mit Organisationen und Abrechnung

Für den Vertrag mit einer Organisation und die Abrechnung unserer Gebühren verarbeiten wir die Firmen- und Rechnungsdaten der Organisation und die Kontaktdaten ihrer Ansprechpartnerinnen und Ansprechpartner. Einen Teil unserer Gebühren behalten wir bei Kartenzahlungen über Stripe ein (siehe „Anbindung von Stripe“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungen und Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

E-Mail-Versand

E-Mails der Plattform versenden wir über Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich). Dazu gehören Einladungen, Codes für die Zwei-Faktor-Anmeldung, Links zum Zurücksetzen des Passworts, Benachrichtigungen und unsere Antworten auf Ihre E-Mails. Brevo verarbeitet dabei Empfängeradresse, Betreff und Inhalt der E-Mail. Mit Brevo haben wir einen Vertrag über die Auftragsverarbeitung geschlossen; die Verarbeitung findet in der EU statt.

Um Zustellprobleme zu erkennen, protokollieren wir den Versand mit Empfänger, Betreff und Status. Links mit Zugangscodes, etwa zum Zurücksetzen des Passworts, speichern wir dabei nicht. Zwischengespeicherte Inhalte von E-Mails liegen verschlüsselt vor.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für das Versandprotokoll Art. 6 Abs. 1 lit. f DSGVO (Erkennen und Beheben von Zustellproblemen).

E-Mails an uns

E-Mails an die Adressen der Plattform (info@8tix.de, postmaster@8tix.de und abuse@8tix.de) empfängt unser eigener Mailserver auf unseren Servern bei Hetzner. Wir speichern sie mit Absender, Empfängern, Betreff, Inhalt und Anhängen sowie dem Ergebnis der Absenderprüfung (SPF, DKIM, DMARC), um Ihr Anliegen zu bearbeiten und zu beantworten. Unsere Antworten versenden wir über Brevo. Das Protokoll des Mailservers enthält Absender- und Empfängeradressen und die IP-Adresse des einliefernden Servers; es wird nach seiner Größe fortlaufend überschrieben.

Betrifft Ihre E-Mail eine Bestellung oder eine Veranstaltung, ist dafür die Organisation zuständig, die die Veranstaltung anbietet. Wir verweisen Sie dann an sie oder leiten Ihr Anliegen an sie weiter.

Die Speicherdauer steht unter „Technische Angaben“. Nachrichten, die wir als Geschäftsbrief aufbewahren müssen, bewahren wir bis zum Ende der gesetzlichen Frist auf. Auf Wunsch löschen wir alle E-Mails einer Absenderadresse, soweit keine Aufbewahrungspflicht entgegensteht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre E-Mail einen Vertrag mit uns betrifft oder anbahnt, sonst Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen und Missbrauchsmeldungen). Für die Aufbewahrung von Geschäftsbriefen ist es Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Anbindung von Stripe

Organisationen wickeln Kartenzahlungen über ihr eigenes Stripe-Konto ab, das sie mit der Plattform verbinden (Stripe Connect). Beim Verbinden leiten wir Sie zu Stripe weiter und übergeben Ihre E-Mail-Adresse, damit Stripe das Formular vorausfüllen kann. Von Stripe speichern wir nur die Kennung des Kontos und seinen Status, etwa ob es Zahlungen annehmen kann, aber keine Zugangsschlüssel.

Anbieter ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe verarbeitet die Daten in eigener Verantwortung nach seiner Datenschutzerklärung (stripe.com/de/privacy). Stripe kann Daten in die USA übermitteln; die Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

KI-gestützte Zusammenfassungen

Ist unter „Technische Angaben“ die Microsoft Ireland Operations Limited (Azure OpenAI) aufgeführt, erstellt die Plattform damit Zusammenfassungen der Verkäufe in der Veranstaltungsübersicht. Übermittelt werden nur Titel, Termine und Verkaufszahlen einer Veranstaltung, keine Daten von Käuferinnen und Käufern oder Benutzerkonten. Die Verarbeitung erfolgt innerhalb der EU-Datengrenze von Microsoft. Die Suche in der Anwendung läuft vollständig auf unseren eigenen Servern.

Unsere Rolle in den Ticket-Shops

In den Ticket-Shops verarbeiten wir die Daten der Käuferinnen und Käufer, etwa Name, E-Mail-Adresse, Rechnungsanschrift, Angaben aus Bestellformularen, Namen auf Tickets und Einlassdaten, im Auftrag der jeweiligen Organisation als Auftragsverarbeiter (Art. 28 DSGVO). Verantwortlich ist die Organisation, die die Veranstaltung anbietet. Wie sie die Daten verarbeitet, steht in der Datenschutzerklärung ihres Shops. Fragen und Anträge zu diesen Daten richten Sie bitte an die Organisation; erreichen sie uns, leiten wir sie an die Organisation weiter.

Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhalten nur die Dienste, die in dieser Erklärung und unter „Technische Angaben“ genannt sind, die Organisation, für die Sie tätig sind, und Behörden, wenn wir gesetzlich dazu verpflichtet sind. Eine Übermittlung in Drittländer kommt nur bei Diensten in Betracht, die dort mit einem Ort außerhalb der EU aufgeführt sind. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO).

Speicherdauer

Die Fristen für Protokolle, Sitzungen und E-Mails stehen unter „Technische Angaben“. Im Übrigen speichern wir personenbezogene Daten, solange der jeweilige Zweck es erfordert. Bestehen gesetzliche Aufbewahrungspflichten, insbesondere nach § 147 AO und § 257 HGB, schränken wir die Verarbeitung ein und löschen die Daten nach Ablauf der Frist.

Wir sichern die Datenbank und die Dateien täglich, zusätzlich sichert unser Hoster täglich den gesamten Server. Die Sicherungen werden fortlaufend überschrieben, sodass gelöschte Daten noch bis zu acht Tage in ihnen enthalten sein können.

Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

Ihre Rechte

Sie haben das Recht auf

1. Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO),
2. Berichtigung unrichtiger Daten (Art. 16 DSGVO),
3. Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
4. Datenübertragbarkeit (Art. 20 DSGVO),
5. Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für Ihre Anfragen genügt eine E-Mail an die oben unter „Verantwortlicher“ genannte Adresse.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist oben unter „Verantwortlicher“ genannt.

Verschlüsselung

Die Website ist nur über eine verschlüsselte Verbindung (TLS) erreichbar. Sie erkennen das an „https://“ in der Adresszeile Ihres Browsers.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; Version und Datum stehen am Ende der Seite.