Datenschutzerklärung

Die Bono & Partner GmbH, Rosenberggürtel 34a, AT-8010 Graz, FN 596076 h (nachfolgend „Verantwortliche“, „wir“ oder „uns“) betreibt die unter www.promnight.at abrufbare Plattform promnight.at, eine Entdeckungs-, Organisations- und Vermittlungsplattform rund um Maturabälle in Österreich.

Diese Datenschutzerklärung informiert Sie gemäß Art. 12 bis 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, nachfolgend „DSGVO“) sowie nach dem österreichischen Datenschutzgesetz (DSG) vollständig und transparent darüber, welche personenbezogenen Daten wir im Zusammenhang mit dem Betrieb der Plattform erheben, zu welchem Zweck und auf welcher Rechtsgrundlage wir diese verarbeiten, wie lange wir sie speichern, an wen wir sie weitergeben und welche Rechte Ihnen zustehen.

Diese Datenschutzerklärung gilt für alle Personengruppen, deren Daten im Zusammenhang mit der Plattform verarbeitet werden — auch für solche, die die Plattform selbst nicht nutzen (siehe A.2 und B.29).

Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO besteht nach derzeitiger Einschätzung nicht. Für sämtliche datenschutzrechtlichen Anliegen wenden Sie sich bitte an die vorstehende E-Mail-Adresse.

Wir verarbeiten personenbezogene Daten folgender Gruppen:

• 1.Besucherinnen und Besucher der Plattform ohne Nutzerkonto (Seitenaufrufe, Merkliste, Interessensbekundung, Bewertungen, Teilnahmebestätigungen).
• 2.Ticket-Reservierende — Personen, die über die Plattform eine unverbindliche Ticket-Vormerkung vornehmen.
• 3.Erinnerungs-Abonnentinnen und -Abonnenten — Personen, die eine Terminerinnerung per E-Mail anfordern.
• 4.Komitee-Mitglieder mit Nutzerkonto — Personen, die einen Balleintrag anlegen oder beanspruchen und über das Dashboard verwalten.
• 5.Vom Komitee erfasste Dritte — Mitglieder des Maturajahrgangs bzw. des Komitees, die vom kontoführenden Komitee-Mitglied namentlich im Organisationsbereich erfasst werden, ohne selbst ein Konto zu besitzen (siehe B.15).
• 6.Sponsoren und deren Ansprechpersonen — soweit ein Komitee diese im Sponsoring-Bereich erfasst.
• 7.Dienstleister (Gewerbebetriebe) und deren Ansprechpersonen — Betriebe, die ein Profil im Dienstleister-Verzeichnis führen.
• 8.Anonym Bewertende und Abstimmende — Personen, die eine Ballbewertung abgeben oder in geteilten Ansichten über Ideen abstimmen.
• 9.Personen aus fremd erhobenen Daten — insbesondere in Balleinträgen genannte Bands, DJs, Veranstaltungsorte und Schulen, die wir aus öffentlich zugänglichen Quellen recherchiert haben (siehe B.29).
• 10.Administratorinnen und Administratoren der Plattform.

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

„Verarbeitung“ ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten (Art. 4 Nr. 2 DSGVO).

„Auftragsverarbeiter“ ist eine Stelle, die personenbezogene Daten im Auftrag der Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO).

„Profiling“ ist jede automatisierte Verarbeitung personenbezogener Daten, die darin besteht, diese zu verwenden, um bestimmte persönliche Aspekte zu bewerten (Art. 4 Nr. 4 DSGVO).

„Einwilligung“ ist jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung (Art. 4 Nr. 11 DSGVO).

„Pseudonyme Session-Kennung“ bezeichnet in dieser Erklärung eine zufällig erzeugte Zeichenfolge, die in Ihrem Browser gespeichert wird und die es uns ermöglicht, wiederholte Interaktionen desselben Browsers zu erkennen, ohne dass wir daraus Ihre Identität ableiten können.

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — soweit wir für eine Verarbeitung Ihre Einwilligung einholen, insbesondere bei nicht technisch notwendigen Diensten (Abschnitt F) und bei der Erinnerungsfunktion.
• Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen) — bei Kontoführung, Ticket-Vormerkung, Nachrichtenaustausch und Dienstleisterprofilen.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — insbesondere bei gesetzlichen Aufbewahrungspflichten und der Führung einer Sperrliste für abgemeldete E-Mail-Adressen.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — bei Sicherheit, Missbrauchsabwehr, statistischer Auswertung, Betrieb der Charts sowie beim Betrieb des Dienstleister-Verzeichnisses. Die jeweiligen Interessen benennen wir bei der einzelnen Verarbeitung.

Wo wir uns auf berechtigte Interessen stützen, haben wir eine Abwägung mit Ihren Interessen, Grundrechten und Grundfreiheiten vorgenommen. Sie haben in diesen Fällen ein Widerspruchsrecht nach Art. 21 DSGVO (Abschnitt E.6).

Die Plattform vereint zwei rechtlich unterschiedliche Verarbeitungssphären. Diese Unterscheidung ist für Ihre Rechte wesentlich:

(1) Eigene Verantwortlichkeit von promnight.at

Für den Betrieb der Plattform, die öffentlichen Ballseiten, das Dienstleister-Verzeichnis, die Charts, sämtliche E-Mail-Kommunikation, die Ticket-Reservierung, das Konto- und Verifizierungswesen sowie alle Sicherheits- und Statistikfunktionen sind wir allein Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

(2) Auftragsverarbeitung für das Komitee

Im internen Organisationsbereich des Komitee-Dashboards (Crew-/Jahrgangsverwaltung, Aufgaben, Punktesystem, Ideen, Aushang, Budget, interne Ticketstände, Sponsoring-Pipeline, Abschluss und Gewinnverteilung, geteilte Ansichten) entscheidet das jeweilige Komitee-Mitglied über Zwecke und Mittel der Verarbeitung. Es ist dort Verantwortlicher; wir handeln als Auftragsverarbeiterin nach Art. 28 DSGVO. Die Bedingungen dieser Auftragsverarbeitung sind im Anhang 1 der Allgemeinen Geschäftsbedingungen geregelt, der mit der Registrierung des Komitee-Kontos zustande kommt.

Praktische Folge: Wenn Sie als Mitglied eines Maturajahrgangs in einem Komitee-Dashboard erfasst wurden und Auskunft, Berichtigung oder Löschung verlangen, richten Sie Ihr Verlangen bitte primär an das jeweilige Komitee. Wenden Sie sich an uns, leiten wir Ihr Verlangen unverzüglich weiter und unterstützen das Komitee bei der Erfüllung; bei offensichtlicher Rechtswidrigkeit oder Untätigkeit des Komitees werden wir die betroffenen Daten selbst löschen.

(3) Eigene Verantwortlichkeit des Dienstleisters

Die private Vertriebs-Pipeline eines Dienstleisters (Status und Freitext-Notizen zu einzelnen Bällen, siehe B.22) sowie von ihm versandte Nachrichten liegen in dessen eigener Verantwortung. Auch hier handeln wir als Auftragsverarbeiterin nach Maßgabe des Anhangs 1 der AGB.

Die Plattform richtet sich an Personen ab dem vollendeten 16. Lebensjahr. Personen unter 16 Jahren dürfen die Plattform nicht nutzen und dürfen uns keine personenbezogenen Daten übermitteln. Diese Altersgrenze ist in § 1 der Allgemeinen Geschäftsbedingungen verbindlich festgelegt.

Hintergrund: Nach § 4 Abs. 4 des österreichischen Datenschutzgesetzes ist die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft ab dem vollendeten 14. Lebensjahr wirksam. Wir setzen die Altersgrenze bewusst höher an, weil unsere Angebote inhaltlich auf Maturantinnen und Maturanten zugeschnitten sind.

Da die Kernzielgruppe der Plattform (16 bis 20 Jahre) teilweise minderjährig ist, gelten folgende zusätzliche Schutzmaßnahmen:

• Wir erheben in keinem Bereich der Plattform besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und fragen solche Daten auch nicht ab.
• Wir setzen kein werbliches Profiling zu Zwecken personalisierter Werbung ein und geben keine Daten zu Werbezwecken an Dritte weiter.
• Freitextfelder (etwa das Notizfeld der Ticket-Reservierung) sind optional; wir bitten ausdrücklich darum, dort keine über den Zweck hinausgehenden persönlichen Angaben zu machen.
• Wir stellen an Minderjährige gerichtete Informationen in klarer, einfacher Sprache bereit.
• Betroffenenanfragen Minderjähriger bearbeiten wir vorrangig.

Hinweis für Erziehungsberechtigte: Sollten Sie feststellen, dass ein Kind unter 16 Jahren uns Daten übermittelt hat, informieren Sie uns bitte unter kontakt@promnight.at. Wir löschen diese Daten unverzüglich.

Soweit eine Verarbeitung auf einer Einwilligung beruht und die betroffene Person das 18. Lebensjahr noch nicht vollendet hat, gehen wir davon aus, dass die Nutzung im Rahmen der altersgemäßen Einsichts- und Urteilsfähigkeit erfolgt bzw. die Zustimmung der Erziehungsberechtigten vorliegt.

Wir setzen technische und organisatorische Sicherheitsmaßnahmen nach Art. 32 DSGVO ein. Im Einzelnen:

Übertragung und Browser-Sicherheit

• Ausschließlich verschlüsselte Verbindungen (TLS/HTTPS); in der Produktivumgebung wird die Verschlüsselung über HTTP Strict Transport Security (HSTS) technisch erzwungen.
• Content Security Policy mit frame-ancestors 'none', object-src 'none', base-uri 'self' und form-action 'self'.
• Sicherheits-Header: X-Frame-Options: DENY (Klickjacking-Schutz), X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy mit deaktiviertem Zugriff auf Kamera, Mikrofon und Standort.

Datenbank und Zugriffskontrolle

• Row Level Security (RLS) ist auf allen Datentabellen aktiviert. Der Zugriff eines eingeloggten Kontos ist datenbankseitig auf die eigenen Datensätze beschränkt.
• Schreibende Datenbankzugriffe erfolgen ausnahmslos serverseitig über einen dedizierten Dienst-Client, der niemals im Browser ausgeführt wird und dessen Schlüssel nicht an den Browser gelangt.
• Öffentliche Schnittstellen unterliegen einer expliziten Spalten-Allowlist. Kontakt-E-Mail-Adressen und Telefonnummern von Dienstleistern sowie Gutscheincodes werden in keiner öffentlichen Antwort ausgeliefert.

Authentifizierung

• Passwörter werden ausschließlich als kryptographischer Hash beim Auftragsverarbeiter Supabase gespeichert; ein Klartextpasswort ist uns zu keinem Zeitpunkt bekannt.
• Passwort-Rücksetzungs-Token sind einmalig verwendbar und zeitlich befristet. Die Rücksetzungsfunktion antwortet unabhängig davon, ob ein Konto existiert, um das Ausspähen registrierter Adressen zu verhindern.
• Sicherheitsrelevante Vergleiche (Token, Passwörter, Signaturen) erfolgen laufzeitkonstant.
• Zufallswerte (Session-Kennungen, Verifizierungs- und Gutscheincodes) werden mit kryptographisch sicheren Zufallsgeneratoren erzeugt.

Missbrauchsabwehr

• Ratenbegrenzungen auf allen missbrauchsanfälligen Endpunkten, unter anderem: Ticket-Reservierung 3 Anfragen je 15 Minuten, Erinnerungsanmeldung 5 je 60 Minuten, Administrations- und Passwort-Anmeldung 5 je 15 Minuten, Dienstleister-Registrierung 3 je Stunde, Erstkontaktanfragen 15 je Stunde, Nachrichtenversand 60 je Minute, Auflösung von Freigabe-Links begrenzt je Stunde.
• Eingehende Webhooks werden per HMAC-Signatur geprüft und gegen Wiedereinspielung (Replay) abgesichert.
• Automatisierte Aufträge (Cron) sind durch ein serverseitiges Geheimnis geschützt und schlagen bei dessen Fehlen fehl.

Restrisiken, über die wir transparent informieren

• Die Ratenbegrenzungen wirken pro Serverinstanz und nicht instanzübergreifend.
• Eine Zwei-Faktor-Authentifizierung wird derzeit nicht angeboten.

Ein Teil der von uns eingesetzten Auftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten von Amerika oder setzt dort Unterauftragsverarbeiter ein. In diesen Fällen stützen wir die Übermittlung auf:

• einen Angemessenheitsbeschluss der Europäischen Kommission, soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO), oder
• die von der Europäischen Kommission genehmigten Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Der jeweils einschlägige Mechanismus ist in Abschnitt C bei jedem Empfänger einzeln ausgewiesen. Trotz dieser Garantien kann nicht vollständig ausgeschlossen werden, dass US-Behörden auf Grundlage US-amerikanischer Rechtsvorschriften Zugriff auf Daten nehmen und dass Ihnen insoweit nicht die gleichen Rechtsschutzmöglichkeiten zustehen wie innerhalb der Europäischen Union.

Beim Aufrufen unserer Webseite werden automatisch technische Zugriffsdaten verarbeitet, die Ihr Browser an unseren Hosting-Dienstleister (Vercel Inc.) übermittelt:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL sowie gegebenenfalls Referrer-URL
• Browsertyp und -version
• Betriebssystem und Gerätetyp
• HTTP-Statuscode der Antwort

Zweck

Gewährleistung des technischen Betriebs, Sicherstellung der Systemsicherheit, Fehlerdiagnose und Abwehr missbräuchlicher Zugriffe.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im ordnungsgemäßen und sicheren Betrieb der Plattform.

Speicherdauer

bis zu 30 Tage, danach automatische Löschung, sofern kein konkreter Anlass zur längeren Speicherung besteht (z. B. Sicherheitsvorfall).

Zusätzlich verarbeiten wir Ihre IP-Adresse kurzzeitig im Arbeitsspeicher, um Ratenbegrenzungen durchzusetzen (Abwehr von Spam und automatisierten Massenanfragen). Es findet keine dauerhafte Speicherung der IP-Adresse in unserer Datenbank statt.

Wir setzen zwei Analysedienste des Anbieters Vercel Inc. ein:

Vercel Web Analytics — misst Seitenaufrufe, Verweisquellen (Referrer), Geräte- und Browserkategorie sowie das aus der IP-Adresse abgeleitete Land. Der Anbieter gibt an, hierfür keine Cookies zu setzen und keine geräteübergreifenden Profile zu bilden.

Vercel Speed Insights — misst technische Leistungskennzahlen realer Seitenaufrufe (Core Web Vitals wie Ladezeit und Interaktionsbereitschaft) samt Seitenpfad, Geräte- und Verbindungsdaten.

Beide Dienste werden erst nach Ihrer ausdrücklichen Einwilligung geladen. Ohne Einwilligung findet keine Erhebung durch diese Dienste statt.

Zweck

Verstehen der Nutzung der Plattform, Erkennen von Leistungsproblemen, Verbesserung des Angebots.

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 165 Abs. 3 Telekommunikationsgesetz 2021 für den Zugriff auf Ihr Endgerät. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt F.3).

Empfänger

Vercel Inc., USA.

Drittlandübermittlung

Vercel Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend stützt sich der Anbieter auf die Standarddatenschutzklauseln der EU-Kommission.

Speicherdauer

nach den Fristen des Anbieters; wir selbst speichern diese Daten nicht.

Zur einheitlichen Darstellung von Schriften binden wir die Schriftarten „Gloock“ und „Inter“ über den Dienst Google Fonts der Google LLC ein. Beim Laden der Schriftarten wird Ihre IP-Adresse sowie Ihr User-Agent an einen Server von Google übertragen.

Der Abruf erfolgt erst nach Ihrer ausdrücklichen Einwilligung. Ohne Einwilligung wird die Seite mit systemseitig vorhandenen Ersatzschriften dargestellt; die Nutzbarkeit der Plattform ist dadurch nicht eingeschränkt.

Zweck

einheitliche und barrierearme Typografie.

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Empfänger

Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Drittlandübermittlung

Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Speicherdauer

nach den Fristen des Anbieters.

Wenn Sie die Filterfunktion „In der Nähe“ aktivieren, liest unsere Plattform den vom Hosting-Dienstleister Vercel bereitgestellten HTTP-Request-Header x-vercel-ip-city aus. Dieser Header enthält eine ungefähre Stadtbezeichnung, die aus Ihrer IP-Adresse abgeleitet wurde. Ein Zugriff auf die präzise Standortermittlung Ihres Geräts (GPS) findet nicht statt; die entsprechende Browser-Berechtigung ist plattformseitig deaktiviert.

Zweck

Darstellung geographisch relevanter Suchergebnisse.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Nutzbarkeit der Suchfunktion. Die Verarbeitung erfolgt nur auf Ihre aktive Anforderung hin.

Speicherdauer

keine Speicherung. Die Verarbeitung endet mit dem Abschluss der jeweiligen HTTP-Anfrage; nach Deaktivierung des Filters wird der Wert im Anwendungsspeicher zurückgesetzt.

Wenn Sie einen Ball über die Herzschaltfläche speichern oder über die Schaltfläche „Ich geh auch!“ Interesse bekunden, ordnen wir diese Aktion einer pseudonymen Session-Kennung zu. Diese wird in einem technisch abgesicherten Cookie (pn_session, HttpOnly, Secure, SameSite=Lax) gespeichert und enthält keine personenbezogenen Angaben. Ein Nutzerkonto ist nicht erforderlich.

Gespeichert werden: Session-Kennung, Ball-Kennung, Zeitpunkt. Zusätzlich wird ein aggregierter Zähler am Balleintrag fortgeschrieben. Ergänzend speichert Ihr Browser die Kennungen gemerkter Bälle lokal (localStorage, Schlüssel saved_balls), damit Ihre Liste auch ohne Serverabfrage darstellbar ist.

Zweck

Bereitstellung der Merkliste und der Interessenszählung ohne Registrierungspflicht, Verhinderung von Mehrfachzählungen, Ermittlung der Beliebtheit eines Balls für die Charts.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Bereitstellung von Grundfunktionen für nicht registrierte Besucher und an manipulationsresistenten Zählungen. Der Cookie ist zur Erbringung dieser von Ihnen angeforderten Funktion technisch erforderlich.

Transparenzhinweis

Da die Session-Kennung ein Jahr gültig ist, kann über sie nachvollzogen werden, welche Bälle derselbe Browser gemerkt oder bewertet hat. Wir behandeln diese Kennung deshalb wie ein personenbezogenes Datum, auch wenn wir daraus Ihre Identität nicht ermitteln können.

Speicherdauer

Cookie 365 Tage ab Setzung. Datenbankeinträge werden gelöscht, sobald der zugehörige Balleintrag archiviert oder gelöscht wird, spätestens jedoch 365 Tage nach der letzten Aktivität der Session.

Beim Aufruf einer Ball-Detailseite (z. B. /events/[slug]) speichern wir einen Logeintrag, der ausschließlich die interne Ball-Kennung und das Datum enthält. Es werden weder IP-Adressen noch Session-Kennungen noch sonstige nutzerbezogene Merkmale erfasst. Ein Personenbezug besteht nicht.

Zweck

Berechnung der Ball-Charts sowie der Aufrufstatistik im Komitee-Dashboard.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an aussagekräftigen Nutzungsstatistiken für Komitees und am Betrieb der Charts.

Speicherdauer

bis zum Veranstaltungsdatum des jeweiligen Balls; die Löschung erfolgt im Zuge der Archivierung bzw. Löschung des Balleintrags (siehe Abschnitt D).

Ohne Nutzerkonto können Sie für einen bestimmten Ball eine Erinnerungs-E-Mail anfordern. Wir erheben dabei:

• E-Mail-Adresse
• gewünschter Erinnerungstyp (7 Tage vor dem Ball, 1 Tag vor dem Ball, oder Ticket-Alert bei Verfügbarkeit von Tickets)
• interne Ball-Kennung

Die E-Mail-Adresse wird ausschließlich für den Versand der von Ihnen angeforderten Erinnerung verwendet. Eine Verwendung für Newsletter, Werbung oder sonstige Zwecke findet nicht statt. Eine erneute Anmeldung mit derselben Adresse liefert dieselbe Erfolgsmeldung wie eine Erstanmeldung, damit über diesen Weg nicht ermittelt werden kann, ob eine Adresse bereits eingetragen ist.

Versendete E-Mails

Erinnerung 7 Tage vorher, Erinnerung 1 Tag vorher, Ticket-Alert bei Statuswechsel auf „verfügbar“.

Zweck

Versand der angeforderten Erinnerungen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie erklären diese Einwilligung durch die aktive Eingabe Ihrer E-Mail-Adresse und die Auswahl des Erinnerungstyps im Erinnerungsdialog. Sie können sie jederzeit formlos widerrufen — per E-Mail an kontakt@promnight.at oder über den Abmeldelink in jeder Erinnerungs-E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Speicherdauer

Löschung spätestens 7 Tage nach Versand der letzten Erinnerung zum jeweiligen Ball, bei Widerruf unverzüglich.

Wenn ein Komitee die Funktion der Ticket-Vormerkung aktiviert hat, können Sie eine unverbindliche Reservierung vornehmen. Wir erheben:

• Vorname und Nachname
• E-Mail-Adresse
• gewünschte Ticketanzahl (1 bis 4, je nach Vorgabe des Komitees)
• optionale Notiz (Freitext)
• Status der Reservierung (ausstehend / bestätigt / abgeholt / storniert)
• Zeitpunkt der Reservierung

Die Reservierungsfunktion ist ein reines Vormerksystem. Es findet keine Zahlungsabwicklung über die Plattform statt; wir erheben keine Zahlungsdaten.

Offenlegung an das Komitee: Diese Daten sind für das kontoführende Mitglied des zugehörigen Komitees über das Dashboard einsehbar und können von diesem als CSV-Datei exportiert werden (Spalten: Name, E-Mail, Ticketanzahl, Status, Erstellungszeitpunkt). Das Komitee ist für den weiteren Umgang mit einer exportierten Datei eigenverantwortlich; wir haben nach dem Export keine technische Kontrolle mehr darüber. Wir verpflichten Komitees in § 6 der AGB, exportierte Daten ausschließlich zur Ticketausgabe zu verwenden und nach Abschluss der Veranstaltung zu vernichten.

Bestätigungs-E-Mail: Sie erhalten eine automatische Bestätigung mit Vorname, Schulname, Datum, Ort, Ticketanzahl, Gesamtpreis und Abholdetails. Das Komitee erhält eine Benachrichtigung.

Freitext-Notiz: Bitte geben Sie dort nur Angaben ein, die für die Ticketausgabe erforderlich sind. Wir werten dieses Feld nicht aus.

Zweck

Durchführung und Verwaltung der Vormerkung, Benachrichtigung von Besucher und Komitee.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

Speicherdauer

bis 3 Monate nach dem Veranstaltungsdatum, danach automatische Löschung. Bestehen im Einzelfall gesetzliche Aufbewahrungspflichten, gilt die jeweilige gesetzliche Frist.

Nach einem Ball kann dessen Archivseite bewertet werden. Wir speichern:

• Bewertungen: fünf Sterne-Bewertungen (Gesamteindruck, Stimmung, Band, Location, Organisation, jeweils 0–5), die pseudonyme Session-Kennung, Zeitpunkt. Ein Freitextfeld wird nicht erhoben.
• „Ich war dabei“: pseudonyme Session-Kennung, Archiv-Kennung, Zeitpunkt.

Beides erfolgt ohne Nutzerkonto. Je Session ist eine Bewertung bzw. Markierung je Ball möglich. Ergänzend speichert Ihr Browser lokale Merker (afterglow_reviewed_…, afterglow_attending_…), um Doppelabgaben zu verhindern.

Öffentliche Darstellung: Die Bewertungen werden in aggregierter Form sowie mit Abgabedatum öffentlich dargestellt. Ihre Session-Kennung wird niemals veröffentlicht. Das Komitee kann auf eine Bewertung öffentlich mit einem Freitext (bis 500 Zeichen) antworten; für diesen Text ist das Komitee inhaltlich verantwortlich.

Automatisierter Ball-Score: Aus den Bewertungen, der Zahl der Teilnahmebestätigungen und der Vollständigkeit des Eintrags wird automatisiert ein Bewertungswert für den Ball (nicht für Personen) berechnet. Bei weniger als drei Bewertungen wird kein Wert ausgewiesen.

Zweck

Rückmeldung zu vergangenen Veranstaltungen, Bereitstellung des Ballarchivs.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einem aussagekräftigen, missbrauchsresistenten Archiv. Der Session-Cookie dient der Verhinderung von Mehrfachabgaben und ist für diese Funktion erforderlich.

Speicherdauer

Bewertungen und Teilnahmebestätigungen werden dauerhaft im Ballarchiv vorgehalten. Sie können die Löschung der Ihrer Session zugeordneten Einträge verlangen; teilen Sie uns dazu bitte den betroffenen Ball und den ungefähren Zeitpunkt mit.

Komitees können ein Titelbild und bis zu fünf Archivfotos je Ball hochladen (jeweils max. 5 MB, JPG/PNG/WEBP). Dienstleister können ein Logo und bis zu acht Portfoliobilder hochladen. Diese Bilder sind öffentlich abrufbar.

Bilder können abgebildete Personen erkennbar zeigen. Für die Zulässigkeit der Veröffentlichung — insbesondere nach § 78 Urheberrechtsgesetz (Recht am eigenen Bild) und nach der DSGVO — ist die hochladende Stelle (Komitee bzw. Dienstleister) verantwortlich. Wir verpflichten Komitees und Dienstleister in § 5 bzw. § 9 der AGB vertraglich dazu, nur Bilder hochzuladen, für die alle erforderlichen Einwilligungen der abgebildeten Personen vorliegen, und stellen uns von Ansprüchen Dritter frei.

Ihr Recht als abgebildete Person: Wenn Sie auf einem Bild auf promnight.at erkennbar sind und dessen Entfernung wünschen, genügt eine formlose Nachricht an kontakt@promnight.at mit Angabe der Seite. Wir entfernen das Bild unverzüglich, ohne dass Sie einen Nachweis erbringen oder Ihr Verlangen begründen müssen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der bildlichen Darstellung von Veranstaltungen. Für die Einholung erforderlicher Einwilligungen ist die hochladende Stelle verantwortlich.

Speicherdauer

Titelbilder bis zur Löschung des Balleintrags; Archivfotos dauerhaft, bis zur Entfernung auf Verlangen.

Komitees können sich registrieren, um einen Maturaball einzutragen oder einen bestehenden Eintrag zu beanspruchen (Claim). Wir erheben:

• Vorname und Nachname
• E-Mail-Adresse
• Passwort (ausschließlich als kryptographischer Hash gespeichert)
• Schulname
• Instagram-Handle des Komitees (für das Verifizierungsverfahren, siehe B.12)

Die Authentifizierung und Sitzungsverwaltung erfolgt über Supabase Auth. Eine Bestätigung der E-Mail-Adresse über einen Bestätigungslink findet derzeit nicht statt — das Konto ist unmittelbar nach der Registrierung nutzbar. Der volle Funktionsumfang (insbesondere die Ticket-Reservierungsfunktion) setzt jedoch die erfolgreiche Verifizierung nach B.12 voraus.

Zwischenspeicherung im Browser: Während des mehrstufigen Registrierungsvorgangs werden Ihre Eingaben lokal in Ihrem Browser zwischengespeichert (localStorage, Schlüssel ball_eintragen_data), damit ein Seitenwechsel oder Abbruch nicht zum Datenverlust führt. Nach Abschluss der Registrierung wird dieser Zwischenspeicher gelöscht.

Speicherung im Authentifizierungsprofil: Die bei der Registrierung angegebenen Stammdaten werden zusätzlich im Nutzerprofil des Authentifizierungsdienstes (user_metadata) hinterlegt.

Zweck

Erstellung und Verwaltung des Kontos, Zugang zum Dashboard, Verwaltung des Balleintrags.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer

für die Dauer der aktiven Nutzung des Kontos. Zur Löschung siehe Abschnitt D und E.3.

Nach der Registrierung bzw. dem Claim führen wir ein Verifizierungsverfahren durch. Verarbeitet werden:

• Instagram-Handle des Komitees
• systemseitig generierter Verifizierungscode (Format PN-XXXXX)
• Anfragetyp (Neueintrag oder Claim)
• Verifizierungsstatus (ausstehend / verifiziert / abgelehnt)
• gegebenenfalls eine interne Bearbeitungsnotiz unserer Administration zum Vorgang

Der Verifizierungscode wird per E-Mail mitgeteilt. Das Komitee übermittelt diesen Code als Instagram-Direktnachricht an das Konto @promnight.at. Nach manueller Prüfung setzen wir den Status auf „verifiziert“ und löschen den Code.

Wichtiger Hinweis zur Übermittlung an Meta: Die Direktnachricht läuft über die Infrastruktur von Instagram, betrieben von der Meta Platforms Ireland Ltd. bzw. Meta Platforms, Inc. Auf diese Übermittlung haben wir keinen Einfluss; sie erfolgt durch Sie als Absender. Es besteht insoweit kein Auftragsverarbeitungsverhältnis zwischen uns und Meta. Für die Verarbeitung durch Meta gilt deren eigene Datenschutzerklärung. Wenn Sie diese Übermittlung vermeiden möchten, kontaktieren Sie uns bitte unter kontakt@promnight.at — wir bieten dann ein alternatives Verifizierungsverfahren an.

Zweck

Sicherstellung der Authentizität von Komitees, Verhinderung missbräuchlicher Beanspruchung fremder Balleinträge.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Integrität und Vertrauenswürdigkeit der Plattformdaten und am Schutz echter Komitees vor Identitätsmissbrauch.

Speicherdauer

Verifizierungscode wird nach Abschluss der Prüfung gelöscht. Anfragedatensätze werden bis 12 Monate nach Abschluss des Verfahrens vorgehalten und danach gelöscht.

Nach erfolgreicher Registrierung eines neuen Balleintrags erhält das Komitee-Mitglied per E-Mail einen eindeutigen Gutscheincode im Format PROMNIGHT-XXXXXXXX. Dieser dient zugleich als Attributionsinstrument für die Provisionszuordnung im Rahmen unserer Partnerschaften.

Löst ein Komitee den Code beim Partnerunternehmen ein, übermittelt dieses den Code und den für die Provisionsberechnung relevanten Bestellwert an uns. Weitere personenbezogene Daten der Komitee-Mitglieder übermitteln wir nicht an Partnerunternehmen und erhalten von diesen keine.

Gutscheincodes sind über öffentliche Schnittstellen nicht abrufbar und ausschließlich im eingeloggten Komitee-Dashboard sowie für unsere Administration einsehbar.

Zweck

Durchführung der Provisionsabrechnung mit Partnerunternehmen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Partnerschaftsvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO (buchhalterische Aufbewahrungspflichten).

Speicherdauer

für die Dauer der Partnerschaft und der gesetzlichen Aufbewahrungsfristen für Geschäftsunterlagen (bis zu 7 Jahre gemäß § 212 UGB und § 132 BAO).

Transparenzhinweis

Der Gutscheincode und die Kontakt-E-Mail-Adresse des Komitees bleiben aus Gründen der Provisionszuordnung und Nachvollziehbarkeit auch nach Archivierung des Balleintrags gespeichert (siehe B.14 und Abschnitt D).

Komitee-Mitglieder stellen im Rahmen des Balleintrags folgende Informationen bereit:

Schulname und Ballbezeichnung, Veranstaltungsdatum und Uhrzeiten, Veranstaltungsort und Adresse (samt Geokoordinaten), Motto, Dresscode, Altersfreigabe, Ticketpreis und Ticketstatus, Instagram-Handle, Website, Beschreibung, Pre-Party- und After-Party-Informationen, Angaben zu Band bzw. DJ, Titelbild.

Diese Daten werden nach administrativer Freigabe öffentlich auf der Plattform dargestellt, über öffentliche Schnittstellen abrufbar gemacht, von Suchmaschinen indexiert und in automatisch generierten Vorschaubildern für soziale Netzwerke (Open-Graph-Bilder) verwendet. Der Instagram-Handle des Komitees wird als bewusst veröffentlichte Information behandelt.

Nicht öffentlich sind: die Kontakt-E-Mail-Adresse des Komitees, der Gutscheincode und die interne Mitglieds-Kennung des Inhabers.

Angabe „Band/DJ“: Dieses Freitextfeld kann den Namen einer Person oder eines Betriebs enthalten. Es wird öffentlich dargestellt und nach der Veranstaltung zusätzlich in eine Dienstleisterübersicht überführt sowie im Marktüberblick für Dienstleister als Wettbewerbsinformation angezeigt (siehe B.21 und B.30). Wenn Sie als dort genannte Person die Entfernung wünschen, genügt eine Nachricht an kontakt@promnight.at.

Archivierung: Rund 27 Stunden nach dem Veranstaltungsdatum wird der Balleintrag in ein dauerhaftes Archiv überführt und bleibt dort zu Informations- und Dokumentationszwecken öffentlich abrufbar. Balleinträge ohne zugeordnetes Komitee-Konto werden 7 Tage nach dem Veranstaltungsdatum vollständig und einschließlich aller abhängigen Daten gelöscht.

Transparenzhinweis: Das Archiv enthält aus Gründen der Provisionszuordnung und der Nachvollziehbarkeit weiterhin die Kontakt-E-Mail-Adresse des Komitees und den Gutscheincode. Diese Felder sind nicht öffentlich und ausschließlich für unsere Administration einsehbar.

Zweck

Bereitstellung von Veranstaltungsinformationen, dauerhafte Dokumentation der Ballsaison.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Komitee) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vollständigen, öffentlich zugänglichen Veranstaltungsverzeichnis).

Im Dashboard steht Komitees ein interner Organisationsbereich zur Verfügung. In diesem Bereich handeln wir als Auftragsverarbeiterin des Komitees (siehe A.5). Verarbeitet werden:

Wesentliche Hinweise:

• Die Erfassung von Namen des Maturajahrgangs betrifft Dritte, die selbst kein Konto haben und der Erfassung nicht zugestimmt haben. Das Komitee ist als Verantwortlicher verpflichtet, diese Personen über die Erfassung zu informieren und ihnen ihre Betroffenenrechte zu ermöglichen (§ 5 Abs. 9 AGB).
• Das Punktesystem stellt eine Bewertung benannter Einzelpersonen dar, aus der über den Verteilungsschlüssel unmittelbar Geldbeträge abgeleitet werden. Es handelt sich um Profiling im Sinne des Art. 4 Nr. 4 DSGVO. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO liegt nicht vor, da die Punktevergabe und die Festlegung des Verteilungsschlüssels durch Menschen erfolgen. Die tatsächliche Auszahlung liegt allein beim Komitee; wir wickeln keine Zahlungen ab und sind an der Verteilung nicht beteiligt.
• Abstimmungen erfolgen über einen anonymen, auf die jeweilige geteilte Ansicht beschränkten Token (Cookie pn_teilnehmer, Laufzeit 180 Tage). Eine Zuordnung zur Person der abstimmenden Nutzerin oder des abstimmenden Nutzers ist uns nicht möglich.
• Die zu Dienstleistern erfassten Angaben provider_name und Notizen verlassen das Komitee-Dashboard nicht. Nur die Angabe, dass in einer bestimmten Kategorie noch gesucht wird, fließt anonymisiert in die Bedarfsanzeige für Dienstleister ein (siehe B.21).

Rechtsgrundlage (Komitee als Verantwortlicher)

in der Regel Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Organisation der Veranstaltung.

Speicherdauer

Löschung 12 Monate nach dem Veranstaltungsdatum, bei Löschung des Balleintrags unverzüglich.

Komitees können einzelne Ausschnitte ihres Organisationsbereichs über einen Freigabe-Link teilen (Rangliste, persönliche Aufgabenliste, Sponsoring-Pipeline, Ideenabstimmung, Budget, Abschluss, Aushang). Wer den Link kennt, kann die jeweilige Ansicht ohne Anmeldung aufrufen.

Je nach freigegebenem Ausschnitt können dabei Namen, Punktestände, Rangplätze, Sponsorennamen und -beträge, Freitexte sowie individuelle Auszahlungsbeträge sichtbar werden.

Schutzmaßnahmen: Die Links tragen einen nicht erratbaren Code, sind auf den jeweiligen Ausschnitt und den jeweiligen Ball beschränkt, sind von der Suchmaschinenindexierung ausgenommen (noindex, nofollow), laufen standardmäßig nach 30 Tagen ab und können vom Komitee jederzeit widerrufen werden. Die Auflösung eines Links unterliegt einer Ratenbegrenzung. Die Identität des Kontoinhabers und Daten anderer Bälle werden über einen Freigabe-Link nie ausgeliefert.

Verantwortlichkeit

Die Entscheidung, welche Ansicht mit wem geteilt wird, trifft ausschließlich das Komitee. Wir handeln insoweit als Auftragsverarbeiterin.

Rechtsgrundlage (Komitee)

Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

Freigabe-Links werden mit Ablauf, Widerruf oder Löschung des Balls unwirksam und spätestens 12 Monate nach dem Veranstaltungsdatum gelöscht.

Wir werten die Nutzung der Plattform aus und stellen den Komitees Kennzahlen zu ihrem eigenen Ball bereit:

• Ball-Charts — wöchentlich aktualisierte Ranglisten (Im Trend, Meistgespeichert, Meistangesehen, Newcomer sowie ein Chart je Bundesland), berechnet aus Aufrufen, Merkvorgängen und Interessensbekundungen der letzten 28 Tage. Die Charts sind öffentlich.
• Relative Einordnung — der Perzentilrang des eigenen Balls im österreichweiten Reichweitenvergleich („Top X %, Platz N von M“), sichtbar ausschließlich für das eigene Komitee.
• Kohortenvergleich — Vergleich des eigenen Profils mit dem Median vergleichbarer Bälle im selben Bundesland. Der Vergleichswert wird nur ausgewiesen, wenn mindestens fünf andere Bälle in die Berechnung einfließen; andernfalls entfällt er. Es werden ausschließlich aggregierte Werte an den Browser übertragen, nie Daten einzelner anderer Bälle.
• Wochenreport per E-Mail — enthält den Perzentilrang, geplanten Gewinn, gesichertes Sponsoring, Break-even-Ticketzahl, offene und überfällige Aufgaben, Anzahl neuer Nachrichten und die Vollständigkeit des Eintrags. Empfänger ist ausschließlich das eigene Komitee. Diese Kennzahlen werden je Kalenderwoche protokolliert.
• Antwortpuls — eine ausschließlich für das eigene Komitee sichtbare Aggregatkennzahl über die eigene Antwortgeschwindigkeit auf Dienstleisteranfragen (Median und grobe Verteilung). Es werden keine Nachrichteninhalte und keine Identitäten der Gegenseite ausgewertet oder ausgegeben.

Einordnung: Diese Auswertungen bewerten Veranstaltungen und Komitees als Organisationseinheiten, nicht einzelne natürliche Personen in ihren persönlichen Eigenschaften. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Wir weisen sie gleichwohl gemäß Art. 13 Abs. 2 lit. f DSGVO transparent aus.

Zweck

Nutzungsstatistik, Motivation und Steuerungshilfe für Komitees, Betrieb der Charts als zentrales Engagement-Element.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an aussagekräftigen Statistiken und an einem attraktiven Plattformangebot.

Speicherdauer

Chart-Historie dauerhaft (Ballebene); Report-Protokoll 24 Monate.

Gewerbebetriebe können ein kostenloses Profil im Dienstleister-Verzeichnis anlegen. Wir erheben:

• Firmenname und daraus abgeleitete öffentliche Adresse (Slug)
• Kategorien und Einsatz-Bundesländer
• Kontakt-E-Mail-Adresse
• Telefonnummer
• Beschreibung und Referenztext (Freitext)
• Website und Instagram-Profil
• Logo und bis zu acht Portfoliobilder
• E-Mail-Adresse und Passwort für das Konto (Passwort nur als Hash)
• Verifizierungsstatus, gegebenenfalls Ablehnungsgrund

Ein Konto kann mehrere Profile führen (z. B. mehrere Standorte). Das jeweils aktive Profil wird serverseitig ausschließlich aus den Profilen des eigenen Kontos aufgelöst.

Zwischenspeicherung im Browser: Während der Registrierung werden Eingaben lokal zwischengespeichert (localStorage, Schlüssel dienstleister_registrieren_data) und nach Abschluss gelöscht. Die Profilangaben werden zusätzlich im Nutzerprofil des Authentifizierungsdienstes hinterlegt.

Nicht öffentlich sind: Kontakt-E-Mail-Adresse, Telefonnummer, Konto-Kennung, Ablehnungsgrund.

Zweck

Betrieb des Verzeichnisses, Kontoführung, Verifizierung.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO. Soweit es sich um Daten juristischer Personen handelt, ist die DSGVO nicht anwendbar; die Erklärung gilt insoweit für Einzelunternehmer und Ansprechpersonen.

Speicherdauer

für die Dauer des Kontos; nach Löschung des Kontos wird die Kontoverknüpfung entfernt.

Verifizierte Dienstleisterprofile werden im öffentlichen Verzeichnis und auf einer eigenen Profilseite dargestellt und von Suchmaschinen indexiert. Öffentlich sind: Firmenname, Kategorien, Einsatzgebiete, Beschreibung, Referenztext, Logo, Portfoliobilder, Website und Instagram-Profil.

Nicht verifizierte Profile sind ausschließlich für das eigene Konto sichtbar.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags mit dem Dienstleister).

Ruft ein eingeloggtes Komitee-Mitglied die Profilseite eines Dienstleisters auf, speichern wir einen Eintrag mit der Dienstleister-Kennung, der Kennung des eigenen kommenden Balls des Komitees und dem Zeitpunkt. Der Dienstleister sieht daraus eine Liste „Diese Bälle haben dein Profil besucht“ samt Anzahl und letztem Zeitpunkt.

Nicht erfasst werden: anonyme Besucher, Aufrufe durch den Dienstleister selbst, Komitees ohne kommenden Ball. Je Ball und Profil erfolgt höchstens alle sechs Stunden ein Eintrag. IP-Adressen werden nicht gespeichert.

Transparenzhinweis: Wir erfassen bewusst keine individuelle Nutzeridentität. Da ein Komitee-Konto typischerweise genau einen Ball verwaltet, lässt sich aus dem Eintrag jedoch faktisch ableiten, welches Komitee das Profil aufgerufen hat. Wir weisen darauf ausdrücklich hin.

Zweck

Rückmeldung an Dienstleister über das Interesse an ihrem Profil.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse des Dienstleisters an der Wirksamkeitsmessung seines Profils und unser Interesse am Betrieb eines funktionsfähigen Vermittlungsangebots. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (kontakt@promnight.at); wir schließen Ihren Ball dann von der Erfassung aus.

Speicherdauer

12 Monate.

Verifizierte Dienstleister sehen in ihrem Dashboard eine Übersicht kommender Bälle mit einer automatisiert berechneten Relevanzbewertung von 0 bis 100 („Score“). Diese Bewertung dient dem Dienstleister zur Priorisierung seiner Vertriebsansprache.

In die Bewertung fließen ein:

Ausdrücklich nicht Teil der Bewertung und nicht an Dienstleister ausgegeben sind Angaben zum Anmeldeverhalten oder zur Login-Aktivität von Komitee-Mitgliedern.

Die Bewertung wird wöchentlich als Momentaufnahme gespeichert, woraus sich eine Entwicklung über die Zeit ergibt.

Dem Dienstleister angezeigte Ballinformationen: Schulname, Adresse der Ballseite, Stadt, Bundesland, Datum, Motto, Angabe zu Band/DJ, Ticketstatus, Engagement-Kennzahlen der letzten 28 Tage, Chart-Auszeichnung sowie die Bewertung samt Erläuterung. Die Kontakt-E-Mail-Adresse und die interne Mitglieds-Kennung des Komitees werden serverseitig entfernt und niemals an Dienstleister ausgeliefert.

Marktüberblick: Zusätzlich werden aggregierte Marktdaten dargestellt (Saisonverteilung, Regionsverteilung, durchschnittliche Ticketpreise, Reichweiten, Bewertungsdurchschnitte). Darin enthalten ist eine Liste häufig genannter Wettbewerber, die aus dem Freitextfeld „Band/DJ“ archivierter Bälle abgeleitet wird und daher Namen von Einzelunternehmerinnen und -unternehmern enthalten kann (siehe B.14).

Einordnung nach Art. 22 DSGVO: Es handelt sich um Profiling im Sinne des Art. 4 Nr. 4 DSGVO, bezogen ganz überwiegend auf Veranstaltungen und Komitees als Organisationseinheiten. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gegenüber einer natürlichen Person findet nicht statt: Die Bewertung entscheidet allein darüber, in welcher Reihenfolge ein Dienstleister Ansprachen prüft; ob und wie er tätig wird, entscheidet er selbst.

Zweck

Zusammenführung von Angebot und Nachfrage, Reduktion ungezielter Kaltakquise gegenüber Komitees.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Dienstleisters bestehen in einer effizienten, zielgerichteten Vermittlung. Das Interesse der Komitees wird dadurch gewahrt, dass keine Kontaktdaten offengelegt werden, dass der Faktor „Bedarf“ auf einer aktiven Angabe des Komitees beruht und dass eine Erstansprache nur über den plattforminternen Nachrichtenkanal möglich ist.

Widerspruchsrecht

Sie können der Aufnahme Ihres Balls in den Ballradar jederzeit nach Art. 21 DSGVO widersprechen (kontakt@promnight.at). Wir nehmen den Ball dann von der Lead-Berechnung aus.

Speicherdauer

wöchentliche Momentaufnahmen 12 Monate.

Dienstleister können zu einzelnen Bällen einen Bearbeitungsstatus (neu / kontaktiert / Angebot / gebucht / abgesagt) und eine Freitext-Notiz (bis 1.000 Zeichen) hinterlegen. Diese Angaben sind ausschließlich für das jeweilige Dienstleisterkonto sichtbar.

Verantwortlichkeit

Der Dienstleister bestimmt Zweck und Inhalt dieser Notizen und ist dafür Verantwortlicher; wir handeln als Auftragsverarbeiterin (A.5). Wir verpflichten Dienstleister in § 9 der AGB, dort keine unsachlichen, herabwürdigenden oder besonderen Kategorien angehörenden Angaben zu erfassen.

Rechtsgrundlage (Dienstleister)

Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

12 Monate nach dem Veranstaltungsdatum des betroffenen Balls, bei Löschung des Ball- oder Dienstleisterkontos unverzüglich.

Komitee-Mitglieder und verifizierte Dienstleister können über die Plattform in einem 1:1-Kanal kommunizieren. Ein Gesprächsverlauf wird stets vom Komitee gestartet; Dienstleister können eine Erstanfrage senden, wobei die Kontaktdaten des Komitees serverseitig aufgelöst und nie an den Dienstleister ausgeliefert werden.

Verarbeitet werden:

• Nachrichteninhalt (Freitext bis 2.000 Zeichen)
• Absenderrolle und Absender-Kennung
• Lesestatus und Zeitstempel — der Absender sieht, ob und wann die Gegenseite gelesen hat
• Angebote: Titel (bis 200 Zeichen), Betrag (bis 100.000 €) und Status (offen / angenommen / abgelehnt / Gegenangebot)
• Kennungen der beteiligten Parteien und optionaler Ballbezug

Angebote sind ausdrücklich keine rechtsverbindlichen Angebote im Sinne des § 862 ABGB, sondern eine strukturierte Kommunikationshilfe. Ein Vertrag kommt ausschließlich unmittelbar zwischen Komitee und Dienstleister außerhalb der Plattform zustande (§ 9 AGB).

Benachrichtigung per E-Mail: Bei ungelesenen Nachrichten versenden wir einmal täglich eine Benachrichtigung an die Gegenseite. Diese enthält den Absendernamen, eine Vorschau des Nachrichtentexts von bis zu 140 Zeichen bzw. bei Angeboten Titel und Betrag, sowie einen Link zum Gesprächsverlauf. Damit verlassen Nachrichteninhalte die Plattform per E-Mail. Diese Benachrichtigungen sind abbestellbar (Abschnitt F.3 und B.26).

Zweck

Ermöglichung der Anbahnung von Dienstleistungsverhältnissen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Zugriffskontrolle

Nur die beiden Beteiligten eines Gesprächsverlaufs haben Lesezugriff, datenbankseitig durchgesetzt.

Speicherdauer

24 Monate ab der letzten Nachricht im jeweiligen Verlauf; bei Löschung eines der beteiligten Konten unverzüglich.

Auf Anforderung senden wir einen Link zur Passwort-Rücksetzung an die hinterlegte E-Mail-Adresse. Der Link enthält ein einmalig verwendbares, zeitlich befristetes Token und wird im Klartext in der E-Mail übermittelt.

Zweck

Wiederherstellung des Kontozugangs.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO.

Sicherheitshinweis

Die Anfrage wird unabhängig davon, ob ein Konto zu der Adresse existiert, mit derselben Meldung beantwortet, damit über diesen Weg keine registrierten Adressen ermittelt werden können.

Sämtliche E-Mails versenden wir über den Auftragsverarbeiter Resend von der Adresse no-reply@promnight.at mit Antwortadresse kontakt@promnight.at. Es werden keine Zählpixel und keine Öffnungs- oder Klickverfolgung eingesetzt.

An Komitee-Mitglieder:

An Besucherinnen und Besucher ohne Konto:

An Dienstleister: Bestätigung des Profileingangs, Freischaltung, Ablehnung (mit Ablehnungsgrund im Freitext), Nachrichtenbenachrichtigung (abbestellbar).

Rechtsgrundlagen:

• Vertragsbezogene und sicherheitsrelevante E-Mails: Art. 6 Abs. 1 lit. b DSGVO. Diese sind nicht abbestellbar, solange das Vertragsverhältnis besteht.
• Erinnerungs-E-Mails an Besucher: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, siehe B.7).
• Charts-Benachrichtigung, Wochenreport, Nachrichtenbenachrichtigung: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Nutzbarkeit und Wirksamkeit der von Ihnen genutzten Funktionen. Jederzeit abbestellbar.
• Motivations- und Hinweis-Kampagnen: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 174 Abs. 4 Telekommunikationsgesetz 2021 (Direktwerbung gegenüber Bestandskunden für eigene ähnliche Leistungen). Jederzeit abbestellbar, mit Hinweis auf die Abbestellmöglichkeit in jeder Nachricht.

Speicherdauer

siehe B.26 und Abschnitt D.

Abmeldung: Abbestellbare E-Mails enthalten einen Abmeldelink sowie die technischen Kopfzeilen List-Unsubscribe und List-Unsubscribe-Post für die Ein-Klick-Abmeldung nach RFC 8058. Der Abmeldelink enthält Ihre E-Mail-Adresse und die Kategorie in kodierter Form, gesichert durch eine kryptographische Signatur. Abmeldbare Kategorien sind: Charts, Kampagnen, Wochenreport, Nachrichtenbenachrichtigungen. Zusätzlich steht die Seite /abmelden zur Verfügung.

Sperrliste (email_suppressions): Abmeldungen sowie Zustellfehler und Beschwerden werden in einer Sperrliste mit E-Mail-Adresse, Kategorie und Grund gespeichert.

Rechtsgrundlage

Art. 6 Abs. 1 lit. c DSGVO — die Speicherung ist erforderlich, um Ihren Widerspruch dauerhaft umzusetzen (Art. 21 Abs. 3 DSGVO). Eine Löschung dieses Eintrags würde dazu führen, dass Sie erneut E-Mails erhielten.

Speicherdauer

dauerhaft bzw. bis zu Ihrem ausdrücklichen Verlangen, wieder E-Mails zu erhalten.

Zustellprotokoll (email_log): Fehlgeschlagene, übersprungene und zurückgewiesene Sendungen werden mit Empfängeradresse, Betreff, Kategorie, Status, Fehlertext und Zeitpunkt protokolliert.

Zweck

Sicherstellung der Zustellbarkeit, Fehlerdiagnose, Nachweis der Umsetzung von Abmeldungen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

12 Monate.

Rückläufer-Webhook: Unser E-Mail-Dienstleister meldet uns Zustellfehler und Beschwerden über eine signaturgeprüfte Schnittstelle. Betroffene Adressen werden daraufhin global gesperrt.

Bei bestimmten Ereignissen versenden wir interne Benachrichtigungen an die Postfächer der administrativ verantwortlichen Personen:

• Verifizierungs-Hinweis bei Anlage eines Balls, einem Claim oder einer Dienstleister-Registrierung — mit Name, E-Mail-Adresse, Schule bzw. Firma, Ort und Instagram-Handle der antragstellenden Person.
• Fehler-Hinweis bei Fehlschlag eines automatisierten Auftrags — mit Auftragsname und gekürztem Fehlertext.
• Täglicher Zustellbarkeitsbericht — mit einer Stichprobe tatsächlicher Empfängeradressen, Betreffzeilen und Fehlertexten aus dem Zustellprotokoll der letzten 25 Stunden.

Empfänger sind:

• kontakt@promnight.at (Unternehmenspostfach)
• das persönliche Postfach eines Administrators bei Apple iCloud Mail (für Nutzerinnen und Nutzer im EWR erbracht durch Apple Distribution International Ltd., Irland)
• das persönliche Postfach eines Administrators bei GMX (betrieben durch die 1&1 Mail & Media GmbH, Montabaur, Deutschland)

Diese Personen sind zur Verschwiegenheit verpflichtet und handeln ausschließlich in ihrer Rolle als Administratoren der Plattform. Beide Anbieter sind innerhalb des Europäischen Wirtschaftsraums ansässig; eine Drittlandübermittlung findet dadurch nicht statt.

Zweck

zeitnahe Bearbeitung von Verifizierungsanträgen, Betriebsüberwachung, Sicherstellung der E-Mail-Zustellbarkeit.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse am ordnungsgemäßen und störungsfreien Betrieb.

Speicherdauer

entsprechend den Fristen der jeweiligen Postfachanbieter.

Zur Erfüllung unserer Aufgaben als Betreiberin haben Administratorinnen und Administratoren Zugriff auf:

• alle Komitee-Konten einschließlich E-Mail-Adresse, Name, Instagram-Handle und Rolle
• alle Balleinträge einschließlich Kontakt-E-Mail-Adresse und Gutscheincode
• alle Ticket-Reservierungen einschließlich der Gästedaten
• alle Dienstleisterprofile einschließlich Kontakt-E-Mail-Adresse
• aggregierte Kennzahlen der Plattform

Administratoren können Konten und Balleinträge löschen, Einträge freischalten, Dienstleister verifizieren oder ablehnen, Gutscheincodes erzeugen und versenden, Kampagnen auslösen und die Archivierung anstoßen.

Zweck

Betrieb, Moderation, Missbrauchsabwehr, Support, Erfüllung von Betroffenenrechten.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

Schutzmaßnahmen

Der administrative Zugang ist durch eine Anmeldung mit Ratenbegrenzung geschützt. Der Kreis der zugriffsberechtigten Personen ist auf die Geschäftsführung und die beiden Plattformadministratoren beschränkt; alle sind zur Vertraulichkeit verpflichtet.

Ein Teil der auf der Plattform gelisteten Balleinträge wurde nicht von einem Komitee angelegt, sondern von uns recherchiert und eingetragen, um von Beginn an ein vollständiges Verzeichnis der österreichischen Ballsaison anbieten zu können.

Kategorien der verarbeiteten Daten: Schulname, Veranstaltungsdatum, Uhrzeit, Veranstaltungsort, Stadt, Bundesland, Motto, Beschreibung, Ticketstatus, gegebenenfalls Instagram-Handle des Komitees und Angaben zu Band bzw. DJ.

Herkunft der Daten: ausschließlich öffentlich zugängliche Quellen, insbesondere öffentliche Instagram-Profile von Schulen und Ballkomitees, Schulwebsites sowie öffentliche Veranstaltungsankündigungen. Die Recherche wird teilweise werkzeuggestützt durchgeführt, entspricht inhaltlich jedoch einer manuellen Recherche in öffentlich einsehbaren Quellen und greift nicht auf nicht-öffentliche Inhalte, Schnittstellen oder geschützte Bereiche zu.

Zweck

Aufbau und Pflege eines vollständigen, öffentlich zugänglichen Veranstaltungsverzeichnisses.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im Betrieb eines vollständigen Verzeichnisses. Bei der Abwägung fällt ins Gewicht, dass es sich ganz überwiegend um veranstaltungsbezogene Angaben und nicht um Daten aus der Privatsphäre handelt, dass sämtliche Angaben bereits öffentlich zugänglich waren und dass die Betroffenen mit einer Veröffentlichung ihrer Veranstaltungsankündigung rechnen mussten.

Ihre Rechte

Sie können jederzeit die Berichtigung, die Löschung oder die Übernahme des Eintrags in Ihre eigene Verwaltung verlangen. Eine formlose Nachricht an kontakt@promnight.at genügt; ein Nachweis oder eine Begründung ist nicht erforderlich. Wir entfernen den Eintrag unverzüglich.

Speicherdauer

Balleinträge ohne zugeordnetes Konto werden 7 Tage nach dem Veranstaltungsdatum vollständig gelöscht.

Bei der Archivierung eines Balls erzeugen wir aus dessen Angaben automatisiert ergänzende Übersichtsseiten:

• Schulprofile — aggregierte Statistik je Schule (Durchschnittsbewertung, bester Wert, Anzahl der Bälle). Kein Personenbezug.
• Location-Profile — Name, Stadt, Bundesland und Bewertungsdurchschnitt des Veranstaltungsorts.
• Dienstleisterprofile — Name und Kategorie, abgeleitet aus dem Freitextfeld „Band/DJ“ des Balleintrags. Diese Namen können Namen natürlicher Personen sein.

Kontaktangaben, Beschreibungen und Verlinkungen werden auf diesen Seiten nur dann angezeigt, wenn die betroffene Stelle das Profil selbst übernommen und die Angaben freigegeben hat. Andernfalls werden diese Felder serverseitig entfernt und gelangen nicht an den Browser.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einer strukturierten Aufbereitung öffentlich verfügbarer Veranstaltungsinformationen.

Ihre Rechte

Wenn Sie als natürliche Person auf einer solchen Seite genannt sind, entfernen wir den Eintrag auf formlose Nachricht an kontakt@promnight.at unverzüglich (Art. 21 DSGVO).

Zur Anzeige von Bällen auf Karten und für die Umkreissuche ermitteln wir Geokoordinaten zu Veranstaltungsorten. Dazu übermitteln wir die Zeichenfolge aus Veranstaltungsort, Stadt und „Austria“ an den Dienst Nominatim der OpenStreetMap Foundation. Personenbezogene Daten von Nutzerinnen und Nutzern werden dabei nicht übermittelt; als Kontaktkennung wird contact@promnight.at mitgesendet.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

OpenStreetMap Foundation, Vereinigtes Königreich (Angemessenheitsbeschluss der EU-Kommission).

• Kalenderexport (ICS / Google Calendar): Erzeugt ausschließlich aus öffentlichen Balldaten (Schulname, Motto, Ort, Zeit, Adresse der Ballseite). Es fließen keine personenbezogenen Nutzerdaten an Google; Google Calendar wird lediglich als Ziel-Adresse angeboten.
• Vorschaubilder für soziale Netzwerke (Open Graph): Werden serverseitig aus öffentlichen Balldaten erzeugt. Keine Kontakt- oder Reservierungsdaten.
• Teilen-Grafiken: Werden im Browser aus öffentlichen Balldaten erzeugt.

Balleinträge und Dienstleisterprofile können auf externe Websites, Instagram-Profile und Ticketshops verweisen. Verweise werden mit rel="noopener noreferrer nofollow" gesetzt. Beim Anklicken eines solchen Verweises gelten ausschließlich die Datenschutzbestimmungen der Zielseite; wir haben darauf keinen Einfluss.

Bilder aus einer historischen Einbindung des Dienstes Imgur (Imgur Inc., USA) können auf einzelnen älteren Seiten noch geladen werden. Dabei wird Ihre IP-Adresse an Imgur übermittelt. Diese Einbindung wird derzeit abgebaut.

Anbieter

Supabase Inc., 970 Toa Payoh North, Singapur

Funktion

PostgreSQL-Datenbank, Authentifizierung (Supabase Auth), Dateispeicher (Storage)

Verarbeitete Daten

sämtliche in Abschnitt B beschriebenen Datenbankinhalte, Passwort-Hashes, Sitzungs- und Rücksetzungstoken, Nutzerprofile im Authentifizierungsdienst, hochgeladene Bilder

Serverstandort

Die Datenbankinstanz wird ausschließlich in der Region eu-central-1 (Frankfurt am Main, Deutschland) betrieben.

Transfermechanismus

Standarddatenschutzklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, ergänzt um eine Transfer-Folgenabschätzung des Anbieters.

Datenschutzinformationen

https://supabase.com/privacy

Anbieter

Vercel Inc., 340 Pine Street, Suite 900, San Francisco, CA 94104, USA

Funktion

Hosting der Webanwendung, globales Auslieferungsnetz, serverseitige Ausführung, Ausführung automatisierter Aufträge (Cron), Reichweiten- und Performance-Messung

Verarbeitete Daten

Server-Logfiles gemäß B.1; abgeleitete Stadtangabe für die Funktion „In der Nähe“ gemäß B.4; sämtliche serverseitig verarbeiteten Daten; bei erteilter Einwilligung zusätzlich die Analysedaten gemäß B.2

Transfermechanismus

Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend Standarddatenschutzklauseln

Datenschutzinformationen

https://vercel.com/legal/privacy-policy

Automatisierte Aufträge (Zeiten in UTC): Erinnerungsversand täglich 06:00; Zustellbarkeitsbericht täglich 07:00; Nachrichtenbenachrichtigungen täglich 08:00; Chart-Veränderungen täglich 09:30; Wochenreport täglich 16:00; Chart-Momentaufnahme montags 09:00; Momentaufnahme der Dienstleister-Bewertungen montags 09:15; Feld-Aktualisierung täglich 03:00; Archivierung täglich 03:30.

Anbieter

Resend Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA

Funktion

Versand sämtlicher E-Mails der Plattform, Entgegennahme von Zustellrückmeldungen

Verarbeitete Daten

Empfängeradresse sowie der vollständige Inhalt der versendeten E-Mails (Namen, Codes, Rücksetzungslinks, Reservierungsdaten, Nachrichtenvorschauen, Kennzahlen), Zustell- und Fehlerdaten

Transfermechanismus

Standarddatenschutzklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO

Datenschutzinformationen

https://resend.com/legal/privacy-policy

Unterauftragsverarbeiter

https://resend.com/legal/subprocessors — darunter der Dienst Svix zur Signaturprüfung der Zustellrückmeldungen.

Anbieter

Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA

Funktion

Auslieferung von Web-Schriftarten (nur nach Einwilligung, siehe B.3)

Verarbeitete Daten

IP-Adresse und User-Agent beim Abruf der Schriftdateien

Transfermechanismus

Zertifizierung nach dem EU-US Data Privacy Framework

Anbieter

OpenStreetMap Foundation, St John's Innovation Centre, Cambridge, Vereinigtes Königreich

Funktion

Ermittlung von Geokoordinaten zu Veranstaltungsorten (siehe B.31)

Verarbeitete Daten

Adresszeichenfolge des Veranstaltungsorts; keine Nutzerdaten

Transfermechanismus

Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich

Eine Weitergabe personenbezogener Daten zu Werbezwecken an Dritte findet nicht statt. Wir verkaufen keine Daten.

Bestehen im Einzelfall gesetzliche Aufbewahrungspflichten oder ist die Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich, verlängern sich die genannten Fristen entsprechend.

Sie haben das Recht auf Bestätigung, ob wir Sie betreffende Daten verarbeiten, sowie auf Auskunft über diese Daten und die weiteren in Art. 15 DSGVO genannten Informationen, einschließlich einer Kopie der Daten.

Sie haben das Recht auf unverzügliche Berichtigung unrichtiger und auf Vervollständigung unvollständiger Daten. Komitee-Mitglieder können Vorname, Nachname und Instagram-Handle jederzeit selbst in den Kontoeinstellungen ändern; Dienstleister können ihre Profilangaben jederzeit selbst bearbeiten.

Sie haben das Recht auf unverzügliche Löschung, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe vorliegt. Das Recht besteht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Bei Löschung eines Komitee-Kontos werden die Daten in folgender Reihenfolge entfernt: abhängige Reservierungsdaten, Verifizierungs- und Claim-Anträge, Organisationsdaten des Dashboards, Mitgliedseintrag, Inhaberreferenzen im Balleintrag, Authentifizierungskonto. Ein bereits archivierter, öffentlicher Balleintrag kann zu Informations- und Dokumentationszwecken bestehen bleiben; personenbezogene Inhaberreferenzen werden dabei entfernt, mit Ausnahme der zu Abrechnungszwecken aufbewahrungspflichtigen Angaben nach B.13.

Bei Löschung eines Dienstleisterkontos werden das Profil, die Pipeline und die Vorlagen gelöscht; Nachrichtenverläufe werden mit dem Konto entfernt.

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn einer der in Art. 18 Abs. 1 DSGVO genannten Tatbestände vorliegt.

Sie haben das Recht, die Sie betreffenden Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.

Soweit wir Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) stützen, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir stellen die Verarbeitung dann ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen Direktwerbung (Motivations- und Hinweis-Kampagnen) können Sie ohne Angabe von Gründen und jederzeit widersprechen; wir stellen die Verarbeitung zu diesem Zweck dann sofort ein.

Praktisch relevant ist das Widerspruchsrecht insbesondere gegen: die Aufnahme Ihres Balls in den Ballradar für Dienstleister (B.21), die Profilaufruf-Statistik (B.20), einen von uns recherchierten Balleintrag (B.29) und automatisch erzeugte Profilseiten (B.30).

Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Einwilligungen zu Analyse und Schriftarten widerrufen Sie über die Cookie-Einstellungen (Abschnitt F.3), Einwilligungen zur Erinnerungsfunktion über den Abmeldelink oder per Nachricht an uns.

Es findet keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Die auf der Plattform eingesetzten Bewertungsverfahren (Abschnitt G) betreffen ganz überwiegend Veranstaltungen und Organisationseinheiten und dienen der Sortierung und Einordnung, nicht der Entscheidung über Rechte oder Ansprüche von Personen.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Österreich ist:

Der Zugriff auf Informationen in Ihrem Endgerät bedarf nach § 165 Abs. 3 Telekommunikationsgesetz 2021 grundsätzlich Ihrer Einwilligung. Eine Ausnahme gilt für Zugriffe, die für die Durchführung der Übertragung einer Nachricht oder für die Erbringung eines von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich sind. Auf diese Ausnahme stützen wir die oben als „technisch notwendig“ gekennzeichneten Einträge. Für alle übrigen Dienste holen wir Ihre Einwilligung ein.

Beim ersten Aufruf der Plattform erhalten Sie einen Hinweis mit gleichrangigen Schaltflächen zum Zustimmen und Ablehnen sowie der Möglichkeit, einzelne Zwecke getrennt auszuwählen. Vor Ihrer Entscheidung werden keine einwilligungsbedürftigen Dienste geladen.

Sie können Ihre Entscheidung jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen. Der Widerruf ist ebenso einfach wie die Erteilung.

Zusätzlich können Sie Cookies über die Einstellungen Ihres Browsers löschen oder blockieren. Die Löschung des lokalen Speichers kann dazu führen, dass Ihre Merkliste nicht mehr verfügbar ist.

Wir setzen keine Werbe-, Retargeting- oder Social-Media-Tracking-Technologien ein. Es werden keine Nutzerprofile zu Werbezwecken gebildet und keine Daten zu Werbezwecken an Dritte übermittelt. Insbesondere setzen wir kein Meta-Pixel, kein Google Analytics und keine vergleichbaren Dienste ein.

Zur Erfüllung unserer Transparenzpflicht nach Art. 13 Abs. 2 lit. f DSGVO fassen wir sämtliche automatisierten Bewertungsverfahren zusammen:

In keinem dieser Verfahren wird eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung getroffen (Art. 22 DSGVO). Die beiden Verfahren, die unmittelbar einzelne natürliche Personen bewerten — Punktesystem und Auszahlungsberechnung — beruhen auf manuellen Eingaben des Komitees; die Entscheidung über die tatsächliche Auszahlung trifft ausschließlich das Komitee, nicht wir.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, geänderte Funktionalitäten der Plattform oder geänderte Verarbeitungsvorgänge anzugleichen. Die jeweils aktuelle Fassung ist unter www.promnight.at/datenschutz abrufbar.

Bei wesentlichen Änderungen, die eine Verarbeitung auf neuer Rechtsgrundlage oder zu einem neuen Zweck betreffen, informieren wir registrierte Komitee-Mitglieder und Dienstleister zusätzlich per E-Mail und holen erforderlichenfalls eine neue Einwilligung ein.