Datenschutzerklärung

Diese Erklärung zeigt, welche personenbezogenen Daten Onda verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange und welche Rechte du hast. Sie gilt für die Onda-App, die Business-App, die Teilen-Seiten für Events und die Website offen: domain.

Überblick

1. Verantwortlicher und Kontakt

Verantwortlicher: offen: betreiber name, offen: anschrift, NIF offen: nif.

Kontakt zum Datenschutz: offen: email kontakt oder das Kontaktformular der Website. Es antwortet ein Mensch.

Datenschutzbeauftragter: offen: dpd kontakt

2. Welche Daten wir wozu verarbeiten

2.1 Konto und Profil

Bei der Registrierung verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Passwort (wir speichern nur einen verschlüsselten Hash, nie das Passwort selbst), dein Geburtsjahr, deine Sprache und deine Zustimmung zu den Bedingungen. Freiwillig kannst du Nutzernamen, Foto, kurze Bio, Inselzone, Interessen und Sprachen ergänzen.

Öffentlich sind nur dein Anzeigename, dein Nutzername, dein Foto, deine Bio und deine Reputationsstufe. Deine E-Mail-Adresse sehen andere nie, auch nicht Community-Admins.

Zweck: dein Konto anlegen und verwalten und dir den Dienst bereitstellen. Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO).

2.2 Mitmachen ohne Konto

Du kannst ohne Konto zu einem Event zusagen oder einer Community beitreten. Dafür verarbeiten wir den Namen, den du angibst (2 bis 40 Zeichen), ob du eine Begleitperson mitbringst, und einen Zufallscode, der auf deinem Gerät gespeichert wird, um deine Zusage wiederzuerkennen. Auf unseren Servern speichern wir nur einen verschlüsselten Hash dieses Codes. In der Gästeliste erscheinst du mit der Kennzeichnung “Gast”. Legst du später auf demselben Gerät ein Konto an, gehen deine Zusagen auf dein Konto über.

Gegen Missbrauch begrenzen wir die Zahl der Zusagen je IP-Adresse. Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO) und unser berechtigtes Interesse am Schutz des Dienstes (Art. 6 Abs. 1 Buchst. f DSGVO).

2.3 Events, Zusagen und Einladungen

Wir verarbeiten die Events, die du anlegst, deine Zusagen (“Gehe hin”, “Interessiert”), Wartelisten, Einladungen, Mitbringlisten und gemerkte Events. Je nach Sichtbarkeit des Events sehen andere, dass du kommst: Wer organisiert, sieht die Gästeliste; deine Freunde sehen deine Zusagen, sofern du das in den Einstellungen nicht abschaltest. Private Events sehen nur Eingeladene.

Bedenke, dass eine Zusage verrät, wo du sein wirst. Deshalb entscheidest du über die Sichtbarkeit und kannst deine Zusage jederzeit zurücknehmen.

Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO).

2.4 Chats, Kommentare, Fotos und Bewertungen

Wir verarbeiten die Nachrichten, Kommentare, Fotos und Bewertungen (1 bis 5 Sterne mit Text), die du veröffentlichst. Chats eines Events oder einer Community sehen nur deren Mitglieder, Direktnachrichten nur die Beteiligten. Chats sind nicht Ende-zu-Ende-verschlüsselt: Technisch hat Onda Zugriff darauf und nutzt ihn nur, wenn es für die Bearbeitung einer Meldung nötig ist oder das Gesetz es verlangt.

Bei Fotos entfernen wir automatisch die Metadaten (zum Beispiel den GPS-Standort) und speichern eine verkleinerte Kopie; das Original wird nicht aufbewahrt. Bewertungen können nur Teilnehmer eines Events abgeben; der betroffene Betrieb sieht sie in seinem Panel.

Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO).

2.5 Live-Lage und Reputation

Wenn du die Lage an einem Ort meldest (wie voll es ist, Schlange, Musik, Stimmung, Eintritt und optional ein kurzer Text), speichern wir deine Meldung mit Ort, Uhrzeit, deiner Reputationsstufe zu diesem Zeitpunkt und dem Gewicht deiner Meldung. Öffentlich zeigen wir das zusammengefasste Ergebnis (“bestätigt”, “unbestätigt”, Zahl der Meldenden), nicht, wer gemeldet hat. Freitext erscheint erst, nachdem ein Mensch aus unserem Team ihn geprüft hat.

Deine Stimmen (“Stimmt”, “Unsicher”, “Stimmt nicht”) und deine Meldungen fließen in deine Reputation ein: Punkte und eine Stufe (neu, Stammgast, vertraut), die bestimmen, wie stark deine Meldungen zählen. Die Reputation wirkt nur in der Live-Lage.

Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO) und unser berechtigtes Interesse an verlässlichen Angaben und am Schutz vor Manipulation (Art. 6 Abs. 1 Buchst. f DSGVO).

2.6 Standort

Onda nutzt deinen Standort nur, wenn du es willst und dein Browser oder System es erlaubt:

• Karte: um die Karte nach einem Tipp auf den Standort-Knopf auf deine Position zu zentrieren. Zum Laden der Events senden wir nur den sichtbaren Kartenausschnitt an den Server, nicht deine genaue Position, und protokollieren ihn nicht.
• Lage melden: Beim Senden einer Meldung wird deine Position einmal übertragen, um zu prüfen, dass du in der Nähe des Ortes bist (unter 500 Metern). Der Server berechnet die Entfernung und verwirft die Koordinaten. Wir speichern deinen Standort nicht und schreiben ihn in keine Protokolle.

Wir nutzen den Standort nie im Hintergrund. Grundlage: deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO), die du in der Berechtigungsabfrage von Browser oder System erteilst und dort jederzeit widerrufen kannst. Ohne sie kannst du Onda nutzen, aber keine Lage vor Ort melden.

2.7 Persönliche Empfehlungen (Profilbildung)

Schaltest du persönliche Empfehlungen ein, nutzen wir deine Interessen und deine Interaktionen mit Onda (angesehene und gemerkte Events, Zusagen, “Nicht interessiert”, gefolgte Orte und Communities), um den Bereich “Für dich” zu sortieren. Die wichtigsten Kriterien sind die Übereinstimmung mit deinen Interessen, die zeitliche Nähe, die Entfernung zur gewählten Zone und die aktuelle Beliebtheit. Das ist Profilbildung im Sinne der DSGVO.

Grundlage: deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO), mit eigenem Schalter bei der Registrierung und in den Einstellungen, den du jederzeit ausschalten kannst. Ohne Einwilligung personalisieren wir nichts; die Reihenfolge richtet sich nach Datum, Zone und allgemeiner Beliebtheit.

Wir treffen keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

2.8 Statistiken für Betriebe und Communities

Wir erfassen Interaktionen (Aufrufe, Klicks, Merken, Zusagen, Einlösungen von Specials, Folgen, Ticketkäufe) mit einer pseudonymen Kennung. Daraus berechnen wir zusammengefasste Statistiken für Betriebe und Communities, zum Beispiel Besuche je Wochentag, den Verlauf eines Events oder die Verteilung nach Sprache. Betriebe sehen in diesen Statistiken nie Daten einzelner Personen, und Verteilungen (etwa nach Sprache oder nach Einheimischen und Besuchern) erscheinen erst ab 20 Datensätzen. Bist du nicht angemeldet, nutzen wir einen täglich wechselnden verschlüsselten Hash aus IP-Adresse und Browser.

Grundlage: unser berechtigtes Interesse und das der Betriebe und Communities, die Reichweite ihrer Events in zusammengefasster Form zu kennen (Art. 6 Abs. 1 Buchst. f DSGVO). Du kannst jederzeit widersprechen (Abschnitt 9).

2.9 Benachrichtigungen und Push

In der App siehst du Benachrichtigungen (Einladungen, Zusagen zu deinen Events, Warteliste, Lage bestätigt oder entfernt, Community-Ankündigungen, Erinnerungen, Nachrichten). Erlaubst du zusätzlich Push-Benachrichtigungen, speichern wir die von deinem Browser erzeugte Abonnement-Adresse, deren technische Schlüssel und den Browsertyp. Zugestellt wird über den Push-Dienst deines Browsers (zum Beispiel Google bei Chrome, Apple bei Safari, Mozilla bei Firefox). Der Inhalt beschränkt sich auf Titel und Link, ohne Nachrichtentexte.

Grundlage: deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO) über die Browser-Erlaubnis und die Schalter je Typ in den Einstellungen.

2.10 E-Mail

Wir senden E-Mails, die für den Dienst nötig sind: Bestätigung der Adresse, Zurücksetzen des Passworts, Einladungen, Belege und Moderationsentscheidungen. Newsletter oder Werbung senden wir nicht ohne deine vorherige Einwilligung. Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO) und bei Moderationsentscheidungen rechtliche Verpflichtung (Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 17 der Verordnung über digitale Dienste).

2.11 Tickets, Specials und Einlass

Wenn du ein Ticket bekommst, verarbeiten wir die Bestellung, den Namen der Inhaberin oder des Inhabers, den Ticketcode und den Status (gültig, benutzt). Beim Einlass sieht das Personal des Ortes, ob das Ticket gültig ist, den Namen und die Ticketart. Wenn du ein Special einlöst, verarbeiten wir den Einmalcode (90 Sekunden gültig), die Uhrzeit der Einlösung und welches Teammitglied des Ortes sie erfasst hat.

In der Testphase sind Zahlungen simuliert: Du gibst keine Zahlungsdaten ein, und es wird kein Geld eingezogen. Bevor echte Zahlungen starten, aktualisieren wir diese Erklärung (vorgesehener Zahlungsdienst: Stripe).

Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO). Bei echten Zahlungen zusätzlich die gesetzliche Aufbewahrungspflicht für Belege (Art. 6 Abs. 1 Buchst. c DSGVO).

2.12 Business-Konten und Beanspruchen von Orten

Für Business-Konten verarbeiten wir die Daten des Betriebs und der Teammitglieder (Name, E-Mail, Rolle). Zum Beanspruchen eines Ortes fragen wir Nachweise ab (Website, Instagram, geschäftliche E-Mail und optional ein Foto der Lizenz), die ein Mensch aus dem Onda-Team prüft. Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO) und berechtigtes Interesse, Identitätsmissbrauch zu verhindern (Art. 6 Abs. 1 Buchst. f DSGVO).

2.13 Meldungen und Moderation

Wenn du einen Inhalt meldest, verarbeiten wir deine Erklärung, den Verweis auf den Inhalt und, falls du kein Konto hast, deinen Namen und deine E-Mail-Adresse. Die betroffene Person erhält unsere begründete Entscheidung, aber nie deine Daten, außer es ist unbedingt nötig und gesetzlich erlaubt. Jede Moderationsentscheidung speichern wir unveränderlich mit Grund und Grundlage als Nachweis gegenüber Betroffenen und Behörden.

Grundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 16 und 17 der Verordnung (EU) 2022/2065) und berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 Buchst. f DSGVO).

2.14 Automatische Übersetzung

Tippst du bei einer Beschreibung auf “Übersetzen”, senden wir diesen Text (ohne deinen Namen oder andere Kontodaten) an den Übersetzungsdienst offen: uebersetzungsdienst und speichern das Ergebnis, damit nicht doppelt übersetzt wird. Grundlage: Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO).

2.15 Karte

Für die Karte lädt dein Gerät Kacheln von OpenFreeMap (Hyperknot Software Kft., Ungarn), das dafür das Content-Delivery-Netz von Cloudflare nutzen kann. Dabei werden deine IP-Adresse und der geladene Kartenausschnitt übertragen, nicht dein Konto. Grundlage: berechtigtes Interesse an der Anzeige der Karte (Art. 6 Abs. 1 Buchst. f DSGVO). Wir planen, die Kacheln vom eigenen Server auszuliefern.

2.16 Sicherheit, Protokolle und Sicherungen

Zum Schutz des Dienstes verarbeiten wir IP-Adresse, Browser und Zeitpunkt jeder Sitzung (du kannst deine Sitzungen in den Einstellungen sehen und beenden) sowie technische Protokolle ohne Koordinaten, ohne Zugangscodes und ohne E-Mail-Adressen im Klartext. Wir erstellen verschlüsselte Sicherungen. Grundlage: berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 Buchst. f DSGVO) und die Sicherheitspflicht (Art. 32 DSGVO).

2.17 Website

Die Website nutzt keine Analyse- oder Werbewerkzeuge. Externe Inhalte (zum Beispiel eine eingebettete Karte oder ein Video) laden erst, wenn du mit einem Klick einwilligst. Einzelheiten unter Cookies und Speicher.

2.18 Kontaktformular und Sicherheitsprüfung

Schreibst du uns über das Kontaktformular, verarbeiten wir deine Rolle (zum Beispiel Bar oder Presse), deinen Namen, deine E-Mail-Adresse, die Zone und deine Nachricht, um dir zu antworten. Grundlage: deine Einwilligung mit dem Häkchen im Formular (Art. 6 Abs. 1 Buchst. a DSGVO), die du jederzeit widerrufen kannst. Wir löschen den Austausch, sobald wir ihn für die Antwort nicht mehr brauchen. Solange Onda ein Prototyp ist, sendet das Formular nichts, und wir speichern nichts.

Gegen automatisches Absenden nutzt das Formular die Sicherheitsprüfung Cloudflare Turnstile von Cloudflare, Inc. (USA). Sie lädt erst, wenn du das Häkchen bei der Einwilligung setzt. Cloudflare erhält technische Daten (IP-Adresse, TLS-Fingerabdruck, Browserkennung und die Seite, von der aus sie lädt), nicht deine Angaben im Formular. Grundlage: berechtigtes Interesse am Schutz des Formulars vor Missbrauch (Art. 6 Abs. 1 Buchst. f DSGVO).

3. Rechtsgrundlagen (Überblick)

Beruht die Verarbeitung auf Einwilligung, kannst du sie jederzeit widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

4. Empfänger

Wir verkaufen deine Daten nicht und geben sie nicht für Werbung weiter.

5. Übermittlung in Drittländer

Wir speichern die Daten in Rechenzentren in der Europäischen Union. Die Push-Dienste von Google und Apple sowie das Netz von Cloudflare (auch Turnstile im Kontaktformular) können Daten (IP-Adresse, Abonnement-Adresse) in den USA verarbeiten. Ist der Empfänger zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen, sonst auf Standardvertragsklauseln (Art. 45 und 46 DSGVO).

6. Speicherdauer

7. Automatisierte Entscheidungen

Onda nutzt in zwei Fällen automatische Regeln, ohne Rechtswirkung für dich:

• Live-Lage: Der Status eines Ortes ergibt sich aus der Summe der Gewichte der Meldungen; ein Wert wird automatisch ausgeblendet, wenn mindestens drei Personen “Stimmt nicht” wählen und es mehr Gegen- als Fürstimmen gibt.
• Wortfilter: Vor dem Speichern eines Freitexts zur Lage prüfen wir, ob er Namen von Personen, Vorwürfe oder Beleidigungen enthält; dann wird er nicht gespeichert, und wir sagen dir, warum.

Alle anderen Moderationsentscheidungen trifft ein Mensch. Du kannst immer eine Prüfung durch einen Menschen verlangen (siehe Digitale Dienste).

8. Mindestalter

Onda ist nur für Personen ab 18 Jahren. Bei der Registrierung gibst du dein Geburtsjahr an; ergibt es weniger als 18 Jahre, wird kein Konto angelegt. Erfahren wir, dass ein Konto einer minderjährigen Person gehört, sperren wir es und löschen die Daten.

9. Deine Rechte

Du hast das Recht,

• Auskunft über deine Daten und eine Kopie zu erhalten (Einstellungen, Meine Daten exportieren, als JSON);
• unrichtige Daten berichtigen zu lassen (im Profil oder per Nachricht an uns);
• deine Daten löschen zu lassen (Einstellungen, Konto löschen);
• die Verarbeitung einschränken zu lassen;
• die von dir bereitgestellten Daten übertragen zu lassen;
• Verarbeitungen auf Grundlage des berechtigten Interesses zu widersprechen, insbesondere den Statistiken für Betriebe (Abschnitt 2.8);
• eine Einwilligung jederzeit zu widerrufen (Standort, Empfehlungen, Push), in den Einstellungen oder in deinem Browser.

Schreib dafür an offen: email kontakt. Wir antworten innerhalb eines Monats. Wenn du meinst, dass wir deine Daten nicht richtig behandeln, kannst du dich bei der spanischen Datenschutzbehörde AEPD beschweren (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, elektronischer Zugang sedeagpd.gob.es) oder bei der Aufsichtsbehörde deines Wohnsitzlandes in der EU.

10. Pflichtangaben

Name, E-Mail, Passwort und Geburtsjahr sind für ein Konto nötig; zum Mitmachen ohne Konto reicht ein Name. Alles andere ist freiwillig. Ohne die Pflichtangaben können wir den Dienst nicht bereitstellen.

11. Sicherheit

Verschlüsselte Verbindungen (HTTPS), Passwörter nur als verschlüsselter Hash, getrennte Sitzungen je App, Fotos ohne Metadaten, Standortprüfung ohne Speicherung, eingeschränkter Zugriff für das Moderationsteam mit Protokoll jeder Aktion und verschlüsselte Sicherungen.

12. Änderungen

Ändern wir diese Erklärung wesentlich, informieren wir dich in der App, bevor die Änderung gilt. Das Datum der aktuellen Fassung steht oben.

Dies ist eine Übersetzung. Maßgeblich ist die spanische Fassung.