Datenschutzerklärung

(gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, nachfolgend „DSGVO“)

Verantwortlicher

Nutzer der Anwendung Attendu

(nachfolgend „Verantwortlicher“)

Auftragsverarbeiter

Attendu s.r.o.

IČ: 24721123

mit Sitz in Londýnská 730/59, 120 00 Praha 2 - Vinohrady

(nachfolgend „Auftragsverarbeiter“)

I. EINLEITENDE BESTIMMUNGEN

• Diese Bedingungen für die Verarbeitung personenbezogener Daten (nachfolgend „Bedingungen“) regeln im Einklang mit Art. 28 der Verordnung (EU) Nr. 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung, nachfolgend „DSGVO“) die gegenseitigen Rechte und Pflichten für den Fall, dass der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten von Gästen und weiteren Personen (nachfolgend „Gast“) verarbeitet, die der Verantwortliche in die Anwendung Attendu hochlädt oder die sich über die Anwendung Attendu für ein vom Verantwortlichen veranstaltetes Event registrieren, wobei der Verantwortliche mit dem Auftragsverarbeiter einen Vertrag über die Erbringung von Leistungen im Zusammenhang mit der Nutzung der Anwendung Attendu geschlossen hat, einschließlich der etwaigen Verarbeitung von Zahlungen für die Teilnahme am Event.

• Der Auftragsverarbeiter erklärt, dass er berechtigt ist, die übermittelten personenbezogenen Daten des Gastes für den Verantwortlichen zu verarbeiten, und dass er während der gesamten Dauer der Verarbeitung sämtliche Anforderungen der geltenden Rechtsvorschriften sowie dieser Bedingungen erfüllt. Erlangt der Auftragsverarbeiter begründete Zweifel an seiner künftigen Fähigkeit, diese Anforderungen zu erfüllen, ist er verpflichtet, unverzüglich Abhilfe zu schaffen und gleichzeitig den Verantwortlichen und den Gast unverzüglich zu informieren.

• Diese Bedingungen dienen zugleich als Information für den Gast über die Verarbeitung seiner personenbezogenen Daten gemäß Art. 13 und 14 DSGVO. Verantwortlicher für die personenbezogenen Daten des Gastes ist der Veranstalter des Events (Verantwortlicher), Attendu s.r.o. ist sein Auftragsverarbeiter. Mit seinen Fragen und Anliegen wendet sich der Gast in erster Linie an den Verantwortlichen; der Auftragsverarbeiter unterstützt den Verantwortlichen bei deren Bearbeitung.

II. UMFANG DER VERARBEITETEN DATEN

• Im Rahmen der Registrierung und der Teilnahme des Gastes am Event können folgende Kategorien personenbezogener Daten verarbeitet werden:

  • Identifikationsdaten: Vorname, Nachname, Titel.
  • Kontaktdaten: E-Mail-Adresse, Telefonnummer.
  • Berufliche Daten: Name des Unternehmens, berufliche Position (sofern abgefragt).
  • Zahlungs- und Transaktionsdaten: Angaben zur Zahlung (Art der Zahlungskarte, letzte 4 Ziffern, Betrag, Währung, Transaktionsstatus). Vollständige Zahlungsdaten (vollständige Kartennummer u. Ä.) verarbeitet ausschließlich das Zahlungsgateway Stripe als eigenständiger Verantwortlicher.
  • Technische Daten: IP-Adresse, Angaben zum Gerät und zum Browser (in dem für das Funktionieren der Anwendung erforderlichen Umfang).
  • Chats der Nutzer
  • Ausgaben von Attendu AI
  • Weitere Daten: alle weiteren Daten, die der Verantwortliche im Rahmen des Registrierungsformulars des Events abfragt.

III. RECHTE UND PFLICHTEN

• Der Verantwortliche ist berechtigt, die vom Gast bereitgestellten personenbezogenen Daten nur auf Grundlage der Registrierung des Gastes für ein vom Verantwortlichen veranstaltetes Event zu verarbeiten. Der Auftragsverarbeiter ist berechtigt, mit den vom Gast bereitgestellten personenbezogenen Daten nur zu den vom Verantwortlichen festgelegten Zwecken umzugehen.

• Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet, bei der Verarbeitung personenbezogener Daten diese Bedingungen einzuhalten.

• Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet, über alle vom Gast erhaltenen Informationen, über die personenbezogenen Daten sowie über die Sicherheitsmaßnahmen Verschwiegenheit zu wahren. Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet sicherzustellen, dass die zur Verarbeitung personenbezogener Daten und zum Umgang mit ihnen befugten Personen zur Verschwiegenheit verpflichtet werden.

• Der Auftragsverarbeiter ist berechtigt, einen weiteren Auftragsverarbeiter in die Verarbeitung personenbezogener Daten einzubeziehen. Der Auftragsverarbeiter ist ferner verpflichtet, den weiteren Auftragsverarbeiter zur Erfüllung der Pflichten gemäß diesen Bedingungen zu verpflichten. Für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters haftet der Auftragsverarbeiter so, als ob er den Umgang mit den personenbezogenen Daten unmittelbar selbst durchführen würde. Eine aktuelle Liste der weiteren Auftragsverarbeiter stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung. Die beabsichtigte Hinzuziehung eines neuen weiteren Auftragsverarbeiters oder dessen Ersetzung teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 14 Tage im Voraus per E-Mail mit; der Verantwortliche kann innerhalb dieser Frist einen begründeten Einspruch erheben. Einigen sich die Parteien nicht auf eine Lösung, kann der Verantwortliche den Vertrag aus diesem Grund kündigen.

• Einige weitere Auftragsverarbeiter können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Der Auftragsverarbeiter stellt sicher, dass sich eine solche Übermittlung auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln gemäß Art. 46 DSGVO stützt.

• Sobald der Zweck der Verarbeitung personenbezogener Daten entfällt oder die Dauer abläuft, für die der Verantwortliche die personenbezogenen Daten verarbeiten sollte, wird der Verantwortliche die personenbezogenen Daten des Gastes nicht weiter verarbeiten, sämtliche personenbezogenen Daten unverzüglich löschen und auch alle vorhandenen Kopien löschen, es sei denn, ihre weitere Speicherung ist durch eine geltende Rechtsvorschrift vorgeschrieben. Der Auftragsverarbeiter führt die Löschung der personenbezogenen Daten auf Weisung des Verantwortlichen durch. Nach Beendigung des Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten der Gäste in einem maschinenlesbaren Format an den Verantwortlichen zurück oder löscht sie. Sofern der Verantwortliche nichts anderes wählt, löscht der Auftragsverarbeiter die personenbezogenen Daten der Gäste einschließlich vorhandener Kopien innerhalb von 30 Tagen nach Beendigung des Vertrags, mit Ausnahme der Daten, deren weitere Speicherung eine Rechtsvorschrift vorschreibt.

• Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Gastes ausschließlich auf Grundlage des Vertrags mit dem Verantwortlichen und dokumentierter Weisungen des Verantwortlichen, einschließlich Weisungen in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland. Die Rechtsgrundlage der Verarbeitung gegenüber dem Gast bestimmt der Verantwortliche.

• Rechtsgrundlagen der Verarbeitung:

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung, die für die Registrierung für das Event und die etwaige Verarbeitung der Zahlung erforderlich ist.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Gewährleistung der Sicherheit der Anwendung und Betrugsprävention.
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): für Zwecke, für die keine andere Rechtsgrundlage zur Verfügung steht (z. B. Marketingkommunikation).

• Empfänger der personenbezogenen Daten:

  • Öffentliche Stellen (z. B. Gerichte, Verwaltungsbehörden).
  • Anbieter von Rechts-, Buchhaltungs- und Steuerdienstleistungen.
  • Der Verantwortliche, der Events über die Anwendung Attendu veranstaltet.
  • Stripe, Inc. (Zahlungsgateway): als weiterer Auftragsverarbeiter zum Zweck der Vermittlung von Zahlungen und zugleich als eigenständiger Verantwortlicher zum Zweck der Betrugsprävention und der Erfüllung regulatorischer Pflichten. Die Bedingungen für die Verarbeitung personenbezogener Daten durch Stripe sind unter https://stripe.com/privacy abrufbar.
  • Etwaige weitere Auftragsverarbeiter, deren aktuelle Liste beim Auftragsverarbeiter auf Anfrage erhältlich ist.

• Dauer der Verarbeitung personenbezogener Daten: Die personenbezogenen Daten werden für die zur Erfüllung des Verarbeitungszwecks erforderliche Dauer verarbeitet, d. h. für die Dauer des Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter oder für eine kürzere, vom Verantwortlichen bestimmte Dauer, und anschließend für die von den Rechtsvorschriften vorgeschriebene Dauer, insbesondere nach dem Gesetz Nr. 499/2004 Sb. (tschechisches Gesetz über das Archivwesen und die Schriftgutverwaltung) und der DSGVO. Zahlungsdaten, die von Stripe verarbeitet werden, unterliegen den Aufbewahrungsregeln von Stripe.

• Rechte des Gastes:

  • Recht auf Auskunft über personenbezogene Daten.
  • Recht auf Berichtigung und Vervollständigung personenbezogener Daten.
  • Recht auf Löschung personenbezogener Daten.
  • Recht auf Einschränkung der Verarbeitung.
  • Recht auf Datenübertragbarkeit.
  • Recht auf Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht.
  • Recht, die Einwilligung in die Verarbeitung zu widerrufen, sofern die Verarbeitung auf einer Einwilligung beruht, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

• Ist der Gast mit der Verarbeitung unzufrieden, kann er eine Beschwerde beim Verantwortlichen oder beim Úřad pro ochranu osobních údajů (tschechische Datenschutzbehörde) einreichen.

IV. ZAHLUNGSABWICKLUNG

• Erfordert ein vom Verantwortlichen veranstaltetes Event eine Zahlung (z. B. Eintrittsgeld, Registrierungsgebühr), wird die Zahlung über das Zahlungsgateway Stripe, Inc. abgewickelt.

• Stripe tritt in einer doppelten Rolle auf:

  • Als weiterer Auftragsverarbeiter (Sub-Processor) gegenüber dem Auftragsverarbeiter zum Zweck der Vermittlung und Abwicklung der Zahlung.
  • Als eigenständiger Verantwortlicher für personenbezogene Daten für eigene Zwecke, insbesondere Betrugsprävention, Erfüllung regulatorischer Pflichten und Verbesserung seiner Dienste.

• Vollständige Zahlungsdaten (z. B. die vollständige Nummer der Zahlungskarte, der CVC-Code) werden direkt in die gesicherte Oberfläche von Stripe eingegeben, und weder der Auftragsverarbeiter noch der Verantwortliche haben Zugriff darauf. Der Auftragsverarbeiter und der Verantwortliche können nur Zugriff auf eingeschränkte Transaktionsdaten haben (Kartentyp, letzte 4 Ziffern, Betrag, Zahlungsstatus).

• Die Datenschutzbestimmungen von Stripe sind unter folgender Adresse abrufbar: https://stripe.com/privacy

V. SICHERHEITS- UND TECHNISCHE MASSNAHMEN DES AUFTRAGSVERARBEITERS

• Der Auftragsverarbeiter verpflichtet sich, Maßnahmen gegen unbefugten Zugriff, Veränderung, Vernichtung oder Verlust personenbezogener Daten zu ergreifen.

• Der Auftragsverarbeiter verpflichtet sich, ein angemessenes Sicherheitsniveau unter Berücksichtigung der Risiken der Verarbeitung zu gewährleisten.

• Die Maßnahmen umfassen Pseudonymisierung, Verschlüsselung, Verfügbarkeit und Wiederherstellbarkeit der Systeme sowie eine regelmäßige Bewertung ihrer Wirksamkeit.

• Berücksichtigung von Risiken wie unbefugter Zugriff, Vernichtung, Verlust oder Offenlegung von Daten.

• Die Mitarbeiter des Auftragsverarbeiters sind zur Verschwiegenheit verpflichtet.

• Der Auftragsverarbeiter ist verpflichtet:

  • die befugten Personen mit den Bedingungen vertraut zu machen,
  • den Zugang zu den Systemen nur befugten Personen zu gewähren,
  • den Schutz der Datenträger zu gewährleisten,
  • die sichere Übertragung personenbezogener Daten zu gewährleisten,
  • den Verantwortlichen bei der Erfüllung seiner Pflichten gegenüber den Gästen zu unterstützen,
  • dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach deren Feststellung, zu melden und bei ihrer Behebung und Meldung zu unterstützen,
  • Audits und Überprüfungen der Einhaltung der DSGVO zu ermöglichen.

VI. INKRAFTTRETEN UND ÄNDERUNG DER BEDINGUNGEN

• Diese Bedingungen treten am 6. 5. 2026 in Kraft.

• Der Auftragsverarbeiter ist berechtigt, diese Bedingungen zu ändern. Die Änderung teilt er dem Verantwortlichen mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mit.