Datenschutzerklärung

Stand: 10. September 2026

Die svenya UG (haftungsbeschränkt) — im Folgenden „wir“, „uns“ oder „unser“ — betreibt die Ticketing-Plattform unter https://svenya.io. Diese Erklärung beschreibt, welche personenbezogenen Daten wir dabei verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie richtet sich an alle Personen, die unsere Website besuchen, Tickets erwerben oder als Ticketanbieter mit uns zusammenarbeiten.

Auf einen Blick:

• Wer verantwortlich ist: für die Plattform wir, für die Daten aus Ihrem Ticketkauf der Ticketanbieter (Abschnitt 1.3).
• Was anfällt: Ihre Bestell- und Kontaktdaten, Ticket- und Einlassdaten, der Zahlungsstatus und technische Protokolle (Abschnitt 3).
• Wie lange: so lange wie nötig, danach nach den Fristen in Abschnitt 2.2; für Belege gelten die gesetzlichen Fristen.
• Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (Abschnitt 6).
• Kontakt: info@svenya.io.

Die Einzelheiten stehen in den folgenden Abschnitten.

1 Verantwortlicher und Kontakt

1.1 Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

svenya UG (haftungsbeschränkt)
Grundigpark 1
90768 Fürth
Deutschland

Geschäftsführer: Florian Linhardt
Registergericht: Amtsgericht Fürth, HRB 22018
Telefon: +49 911 95099163
E-Mail: info@svenya.io

Weitere Angaben finden Sie im Impressum unter https://svenya.io/impressum.

1.2 Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG bei uns nicht vorliegen. Für alle Anliegen zum Datenschutz erreichen Sie uns unter info@svenya.io.

1.3 Wann wir Verantwortlicher und wann Auftragsverarbeiter sind

Ticketanbieter nennen wir die Organisation, bei der Sie das Ticket kaufen — auf Ihrer Rechnung steht sie unter diesem Namen. Sie ist Ihr Vertragspartner, nicht wir; unsere Leistung ist der Ticketvertrieb.

Für die Daten aus Ihrem Ticketkauf ist der Ticketanbieter verantwortlich. Wir verarbeiten sie in seinem Auftrag und nach seiner Weisung (Art. 28 DSGVO). Verarbeitet er Ihre Daten darüber hinaus für eigene Zwecke, informiert er Sie selbst darüber.

Für den Betrieb der Plattform sind wir selbst verantwortlich: Aufruf der Website, Nutzerkonto, Sicherheit und Missbrauchsabwehr, Reichweitenmessung, unser Newsletter, unsere Vorverkaufsgebühr nach Abschnitt 3.10 sowie die Abrechnung gegenüber Ticketanbietern.

Führt eine andere Firma die Veranstaltung durch, erscheint sie auf Ihrer Rechnung als Veranstalter. Von uns erhält sie keine personenbezogenen Daten.

Mit Ihren Rechten aus Abschnitt 6 können Sie sich immer zuerst an uns wenden. Ist der Ticketanbieter zuständig, leiten wir Ihr Anliegen unverzüglich weiter und sagen Ihnen Bescheid.

2 Allgemeine Grundsätze

2.1 Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt. In Betracht kommen Ihre Einwilligung (lit. a), die Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (lit. b), die Erfüllung einer rechtlichen Verpflichtung (lit. c) sowie unser berechtigtes Interesse (lit. f). Welche Grundlage jeweils gilt, steht bei der einzelnen Verarbeitung in Abschnitt 3. Stützen wir uns auf ein berechtigtes Interesse, benennen wir es dort ausdrücklich.

2.2 Speicherdauer

Wir speichern personenbezogene Daten so lange, wie es für den jeweiligen Zweck erforderlich ist. Danach richtet sich die Dauer nach folgenden Kriterien: gesetzliche Aufbewahrungspflichten, insbesondere acht Jahre für Rechnungen und sonstige Buchungsbelege (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO), zehn Jahre für Handelsbücher und Jahresabschlüsse und sechs Jahre für Handelsbriefe; die regelmäßige Verjährungsfrist von drei Jahren ab dem Ende des Jahres, in dem ein Anspruch entstanden ist; ein von Ihnen erklärter Widerruf oder Widerspruch. Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen, sperren wir die Daten für die weitere Verarbeitung, statt sie zu löschen.

Bei der jeweiligen Verarbeitung nennen wir das Kriterium, nach dem sich die Dauer richtet — in der Regel den Wegfall des Zwecks. Wie lange das im Einzelfall ist, erfahren Sie auf Anfrage unter info@svenya.io.

2.3 Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Dazu gehören die verschlüsselte Übertragung über TLS, eine rollenbasierte Zugriffsbeschränkung und ein Änderungsprotokoll (Abschnitt 3.11). Wir passen diese Maßnahmen fortlaufend an den Stand der Technik an.

3 Die einzelnen Verarbeitungen

3.1 Aufruf der Website

Bei jedem Aufruf übermittelt Ihr Browser technisch notwendige Daten an unseren Server. Verarbeitet werden IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem.

Zweck ist die Auslieferung der Website, die Aufrechterhaltung der Sicherheit und die Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Plattform stabil und angriffssicher zu betreiben. Diese Daten sind zur Nutzung der Website zwingend erforderlich; ohne sie ist ein Verbindungsaufbau technisch nicht möglich.

3.2 Cookies und Zugriff auf Ihr Endgerät

Wir speichern Informationen auf Ihrem Endgerät oder greifen darauf zu, soweit das für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Das betrifft die Sitzungsverwaltung, die Anmeldung und den Schutz vor Formularmissbrauch. Diese Zugriffe sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; die anschließende Verarbeitung der Daten stützen wir auf Art. 6 Abs. 1 lit. f DSGVO.

Für alle darüber hinausgehenden Zugriffe holen wir Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO ein. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

3.3 Nutzerkonto und Anmeldung

Für ein Nutzerkonto verarbeiten wir Ihre E-Mail-Adresse, Ihren Vor- und Nachnamen sowie ein von Ihnen gewähltes Passwort, das wir ausschließlich als kryptografischen Hashwert speichern.

Zweck ist die Bereitstellung des Kontos und Ihres Zugriffs auf erworbene Tickets. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angabe dieser Daten ist für ein Konto erforderlich; ohne sie können wir kein Konto führen. Sie löschen Ihr Konto jederzeit selbst oder auf Mitteilung an info@svenya.io.

Fordern Sie ein neues Passwort an, verfällt der dafür versendete Link nach kurzer Zeit; der zugehörige Datensatz wird anschließend gelöscht. Ein Nutzerkonto selbst hat keine feste Frist — wir führen es, solange Sie es nutzen.

3.4 Bestellung und Ticketkauf

Für eine Bestellung verarbeiten wir Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse, die bestellten Tickets, den Bestellzeitpunkt sowie die Angaben zur Zahlung. Diese Daten sind zum Abschluss und zur Durchführung des Vertrags erforderlich; ohne sie können wir keine Bestellung annehmen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Rechnungen und Buchungsbelege tritt Art. 6 Abs. 1 lit. c DSGVO hinzu; insoweit gelten die Aufbewahrungsfristen aus Abschnitt 2.2. Zur Veranstaltung selbst — etwa bei Verlegung oder Absage — informieren wir Sie per E-Mail; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei einer Erstattung verarbeiten wir zusätzlich die für die Rückabwicklung nötigen Zahlungsangaben.

Bieten wir für eine Veranstaltung ermäßigte Tickets an, für die ein Nachweis erforderlich ist, können dabei Angaben über Ihre Gesundheit anfallen. Diese besonderen Kategorien personenbezogener Daten verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und nur, soweit es zur Prüfung der Ermäßigung erforderlich ist. Sie können die Einwilligung jederzeit widerrufen; ohne sie ist lediglich der Erwerb eines ermäßigten Tickets nicht möglich.

3.5 Tickets für andere Personen und Gästelisten

Sie können Tickets für andere Personen erwerben, und Ticketanbieter können Gästelisten führen. In beiden Fällen verarbeiten wir Daten von Personen, die uns diese nicht selbst mitgeteilt haben — in der Regel Vor- und Nachname und, wenn angegeben, die E-Mail-Adresse; bei Gästelisten zusätzlich Notizen des Ticketanbieters.

Diese Daten stammen von der bestellenden Person oder vom Ticketanbieter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Ticketvertrags, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an einer geordneten Einlasskontrolle. Wir verarbeiten sie nur zur Ausstellung und Prüfung der Tickets sowie zur Einlasskontrolle.

Betroffene Personen erhalten diese Informationen nach Art. 14 DSGVO. Ihre Rechte aus Abschnitt 6 stehen Ihnen auch dann zu, wenn Sie die Tickets nicht selbst bestellt haben. Wenn Sie Tickets für andere erwerben oder eine Gästeliste pflegen, informieren Sie die betroffenen Personen bitte über diese Erklärung.

Gästelisteneinträge anonymisieren wir, sobald die Veranstaltung abgewickelt und keine Nachbereitung mehr zu erwarten ist; Name, E-Mail-Adresse und Notizen entfallen dabei. Empfängerangaben zu Teilnehmer-E-Mails löschen wir, wenn sie für den Nachweis der Zustellung nicht mehr gebraucht werden.

3.6 Ticketzustellung, Wallet-Pässe und Einlasskontrolle

Tickets stellen wir digital bereit. Auf Ihren Wunsch erzeugen wir zusätzlich einen Pass für die digitale Brieftasche Ihres Mobilgeräts; dabei werden die auf dem Ticket enthaltenen Daten an den jeweiligen Anbieter der Brieftasche übermittelt (Abschnitt 4.2). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie die Bereitstellung anfordern.

Beim Einlass wird der Ticketcode gescannt. Wir protokollieren dabei den Zeitpunkt, das Prüfergebnis, das eingesetzte Gerät, die IP-Adresse des Scanners und im Fehlerfall den Grund der Zurückweisung. Zweck ist die Zutrittskontrolle, die Verhinderung von Mehrfachnutzung und die Aufklärung von Streitfällen am Einlass. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber der ticketinhabenden Person und im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Fälschungen und Mehrfacheinlass zu verhindern.

Scannen darf nur Personal, das der Ticketanbieter dafür freigeschaltet hat — auch Personal einer anderen Firma. Es handelt dabei mit den Rechten des Ticketanbietern.

Das Scan-Protokoll löschen wir, sobald Streitfälle am Einlass nicht mehr zu erwarten sind.

3.7 Newsletter

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse sowie zum Nachweis der Einwilligung den Zeitpunkt, die IP-Adresse, den Browserkennstring und die Fassung des Einwilligungstextes. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten zunächst eine Bestätigungsmail und werden erst nach Ihrer Bestätigung aufgenommen.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 7 DSGVO. Versenden wir Werbung für eigene ähnliche Angebote an Kundinnen und Kunden, stützen wir das auf § 7 Abs. 3 UWG und Art. 6 Abs. 1 lit. f DSGVO; Sie können dem jederzeit widersprechen. Jede Newsletter-Mail enthält einen Abmeldelink. Nach der Abmeldung bewahren wir den Nachweis der Einwilligung und der Abmeldung auf, um die Rechtmäßigkeit belegen zu können (Art. 5 Abs. 2 DSGVO); für Werbung nutzen wir Ihre Adresse dann nicht mehr.

Eine nicht bestätigte Anmeldung löschen wir, wenn die Bestätigung ausbleibt. Hinweise auf den Newsletter, die wir im Bestellverlauf einblenden, protokollieren wir mit Ihrer E-Mail-Adresse und löschen sie, sobald der Nachweis nicht mehr erforderlich ist.

3.8 Kontakt und Support

Wenn Sie uns schreiben, verarbeiten wir Ihre Kontaktdaten und den Inhalt Ihrer Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Anfragen zuverlässig zu bearbeiten. Sie erreichen uns unter support@svenya.io.

Teilen Sie uns in einer Anfrage besondere Kategorien personenbezogener Daten mit — etwa Angaben zur Gesundheit —, verarbeiten wir diese nur, soweit es zur Bearbeitung erforderlich ist, und stützen uns auf Art. 9 Abs. 2 lit. a DSGVO. Bitte teilen Sie uns solche Angaben nur mit, wenn sie für Ihr Anliegen wirklich nötig sind.

3.9 Zahlungsabwicklung

Zahlungen wickeln die in Abschnitt 4.2 genannten Zahlungsdienstleister ab. Die Zahlungsdaten geben Sie unmittelbar dort ein; vollständige Karten- oder Kontodaten erreichen uns nicht. Wir erhalten den Status der Zahlung sowie die zur Zuordnung nötigen Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Zahlungsdienstleister verarbeiten Ihre Daten zusätzlich in eigener Verantwortung; hierfür gelten deren Datenschutzerklärungen.

3.10 Vorverkaufsgebühr

Beim Ticketkauf fällt eine Vorverkaufsgebühr an, die Sie zusammen mit dem Ticketpreis zahlen und die auf Ihrer Rechnung als eigene Zeile erscheint. Sie ist eine Nebenleistung zur Eintrittskarte; Vertragspartner bleibt auch insoweit der Ticketanbieter, wir vermitteln den Kauf in dessen Namen.

Aus Ihrer Bestellung verarbeiten wir die Bestellnummer, die gekauften Tickets, die Preisbestandteile, den Zahlungsstatus und den Zeitpunkt, um daraus unsere eigene Vergütung zu ermitteln, sie gegenüber dem Ticketanbieter abzurechnen und buchhalterisch zu erfassen. Für diese Verarbeitung sind wir selbst verantwortlich — sie erfolgt nicht im Auftrag des Ticketanbieters.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Vergütung unserer Vermittlungsleistung. Für Rechnungen und Buchungsbelege tritt Art. 6 Abs. 1 lit. c DSGVO hinzu; insoweit gelten die Aufbewahrungsfristen aus Abschnitt 2.2.

3.11 Änderungsprotokoll

Änderungen an wesentlichen Datensätzen protokollieren wir mit Zeitpunkt, handelnder Person, IP-Adresse und Browserkennstring.

Zweck ist die Nachvollziehbarkeit von Änderungen und die Aufklärung von Missbrauchsfällen. Das Protokoll ist eine technische Maßnahme nach Art. 32 DSGVO.

Für die Daten, die beim Ticketkauf anfallen, führen wir es als Sicherungsmaßnahme im Auftrag des Ticketanbieters nach Art. 28 Abs. 3 lit. c DSGVO; verantwortlich dafür ist er (Abschnitt 1.3). Für die Verarbeitungen, für die wir selbst verantwortlich sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Nachvollziehbarkeit und an der Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Soweit das Protokoll Zahlungs- und Bestellvorgänge dokumentiert, ist es Teil der Belegkette und unterliegt der gesetzlichen Aufbewahrungspflicht; insoweit tritt Art. 6 Abs. 1 lit. c DSGVO hinzu. Diese Einträge unterliegen den gesetzlichen Aufbewahrungsfristen aus Abschnitt 2.2 und werden danach gesperrt, statt laufend gelöscht zu werden.

3.12 Protokoll versendeter E-Mails

Von uns versendete E-Mails protokollieren wir mit Empfängeradresse, Betreff, Zeitpunkt und Zustellstatus. Zusätzlich speichern wir den Inhalt der Nachricht, um Zustellprobleme nachvollziehen und Ihnen im Supportfall dieselbe Nachricht erneut zusenden zu können.

Zweck ist der Nachweis der Zustellung und die Bearbeitung von Supportanfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, den Zugang vertragswesentlicher Nachrichten — insbesondere Ihrer Tickets — belegen zu können.

Das Protokoll löschen wir samt Nachrichteninhalt, sobald Zustellnachweis und Supportfälle es nicht mehr erfordern.

3.13 Einwilligungsverwaltung

Für nicht notwendige Cookies und vergleichbare Techniken holen wir Ihre Einwilligung über ein Banner ein und halten Ihre Entscheidung fest. Diese Verwaltung betreiben wir selbst; ein Dienstleister ist daran nicht beteiligt.

Gespeichert werden dabei eine zufällige Kennung, die Ihr Browser selbst erzeugt, die von Ihnen freigegebenen und abgelehnten Kategorien, der Zeitpunkt Ihrer Entscheidung, die Domain, auf der Sie sie getroffen haben, sowie die Fassung des Einwilligungstextes. Ihre IP-Adresse, Angaben zu Ihrem Browser und eine Verknüpfung mit einem Benutzerkonto speichern wir dabei ausdrücklich nicht.

Zweck ist die Erfüllung unserer Nachweispflicht nach Art. 7 Abs. 1 DSGVO. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO; für das Setzen der nicht notwendigen Cookies selbst ist es Ihre Einwilligung nach § 25 Abs. 1 TDDDG.

Sie können Ihre Einwilligung jederzeit widerrufen. Dazu genügt der Link „Datenschutz-Einstellungen“ in der Fußleiste jeder Seite; der Widerruf ist damit so einfach wie die Erteilung (Art. 7 Abs. 3 DSGVO). Unabhängig davon fragen wir Ihre Entscheidung nach einem Jahr erneut ab.

3.14 Reichweitenmessung

Wir messen die Nutzung unserer Seiten mit Matomo, einer quelloffenen Analyse-Software, die wir auf eigenen Servern in Deutschland betreiben. Die dabei anfallenden Daten werden nicht an Dritte übermittelt und verlassen unsere Infrastruktur nicht.

Erfasst werden die aufgerufenen Seiten, die Verweisquelle, ungefähre Herkunftsregion, Browser, Betriebssystem und Gerätetyp. Ihre IP-Adresse wird dabei gekürzt, bevor sie gespeichert wird, sodass kein Rückschluss auf Sie als Person möglich ist.

Zweck ist die Verbesserung unseres Angebots und die Erkennung technischer Probleme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, zu verstehen, welche Inhalte genutzt werden und wo Abläufe stocken. Ein Zugriff auf Ihr Endgerät, der eine Einwilligung nach § 25 Abs. 1 TDDDG erfordern würde, findet nicht statt — wir setzen für die Reichweitenmessung keine Cookies.

3.15 Content-Delivery-Network

Der Datenverkehr dieser Website wird über das Netz der Cloudflare, Inc. geleitet. Dabei verarbeitet der Anbieter Ihre IP-Adresse und technische Angaben Ihres Browsers, um Inhalte schneller auszuliefern und Angriffe auf die Verfügbarkeit abzuwehren.

Zweck ist der sichere und leistungsfähige Betrieb der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Verfügbarkeit unseres Angebots und der Abwehr missbräuchlicher Zugriffe.

3.16 Schutz vor Bots und Missbrauch

Zum Schutz unserer Formulare und Anmeldeseiten setzen wir ein Prüfverfahren der Cloudflare, Inc. ein. Dabei werden Ihre IP-Adresse und technische Signale Ihres Browsers an den Anbieter übermittelt. Das Verfahren arbeitet ohne Cookies.

Zweck ist die Abwehr automatisierter Angriffe und missbräuchlicher Massenanfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Verfügbarkeit und Integrität der Plattform.

3.17 Adresseingabe

Bei der Eingabe einer Anschrift unterstützt Sie eine Vervollständigungsfunktion der Google Ireland Ltd.. Ihre Eingabe und Ihre IP-Adresse werden dabei an den Anbieter übermittelt.

Zweck ist eine fehlerarme Adresserfassung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Fehleingaben und dadurch fehlgeschlagene Zustellungen zu vermeiden.

3.18 Kartendarstellung

Auf Veranstaltungsseiten können Sie eine Karte des Veranstaltungsortes laden. Die Karte wird erst auf Ihren Klick geladen; bis dahin wird keine Verbindung zum Anbieter aufgebaut. Beim Laden werden Ihre IP-Adresse und technische Angaben Ihres Browsers an den Anbieter übermittelt.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 3.13); laden Sie die Karte nicht, findet keine Übermittlung statt.

3.19 Auslieferung von Bildern und Mediendateien

Bilder und Mediendateien unseres Angebots — etwa Veranstaltungsbilder und Logos der Ticketanbieter — speichern wir bei der Amazon Web Services EMEA SARL und liefern sie über deren Content-Delivery-Network aus. Die Dateien werden dabei in der jeweils benötigten Größe und im passenden Bildformat erzeugt.

Rufen Sie eine Seite mit solchen Inhalten auf, stellt Ihr Browser die Anfrage unmittelbar an dieses Netz. Übermittelt werden dabei Ihre IP-Adresse, technische Angaben Ihres Browsers und die angeforderte Datei. Ohne diese Übermittlung lässt sich das Bild technisch nicht ausliefern.

Zweck ist die zügige und zuverlässige Darstellung unseres Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in kurzen Ladezeiten und einer gleichbleibenden Verfügbarkeit. Zu den Voraussetzungen einer Übermittlung in Drittländer siehe Abschnitt 5.

3.20 Versand von E-Mails

Bestellbestätigungen, Tickets und Benachrichtigungen zu Ihrer Veranstaltung versenden wir über den E-Mail-Dienst der Amazon Web Services EMEA SARL. Übermittelt werden dabei Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen Nachricht.

Zweck ist die Durchführung des Vertrags über den Ticketkauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne eine funktionierende E-Mail-Adresse können wir Ihnen Ihr Ticket nicht zustellen.

3.21 Ticketanbieter

Für die Zusammenarbeit mit Ticketanbietern verarbeiten wir die Daten der bei ihnen handelnden Personen: Name, dienstliche Kontaktdaten, Funktion, Zugangsdaten zum Organisationskonto sowie die für die Auszahlung erforderlichen Angaben.

Zweck ist die Anbahnung und Durchführung des Vertrags über den Ticketvertrieb, die Abrechnung und die Auszahlung der Erlöse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei handelnden Personen einer juristischen Person Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an einer funktionierenden Vertragsabwicklung. Für Rechnungsstellung und Aufbewahrung tritt Art. 6 Abs. 1 lit. c DSGVO hinzu.

Erlöse zahlen wir nach Ablauf einer Einbehaltsfrist von 14 Tagen aus; die dafür erstellten Abrechnungsunterlagen unterliegen den Aufbewahrungsfristen aus Abschnitt 2.2.

Zugriffe im Organisationskonto protokollieren wir nach Abschnitt 3.11. Einladungen in eine Organisation löschen wir nach Annahme oder Ablauf.

3.22 Prüfung der Umsatzsteuer-Identifikationsnummer

Gibt ein Ticketanbieter eine Umsatzsteuer-Identifikationsnummer an, übermitteln wir diese zusammen mit dem Firmennamen und der Anschrift zur Bestätigung an das Bundeszentralamt für Steuern. Das Amt ist für diese Verarbeitung eigenständig verantwortlich; es handelt sich nicht um eine Auftragsverarbeitung.

Zweck ist die Prüfung, ob die Rechnung ohne Umsatzsteuer ausgestellt werden darf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 18e UStG. Ohne diese Angabe können wir grenzüberschreitende Leistungen nicht steuerfrei abrechnen.

3.23 Unterzeichnung von Verträgen

Verträge mit Ticketanbietern können elektronisch unterzeichnet werden. Dabei werden Name, E-Mail-Adresse, Zeitpunkt der Unterzeichnung und technische Nachweisdaten an den in Abschnitt 4.1 genannten Signaturdienst übermittelt und dort im Auftrag verarbeitet.

Zweck ist der rechtssichere Abschluss und Nachweis des Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ticketkäuferdaten sind davon nicht betroffen.

4 Empfänger Ihrer Daten

Innerhalb unseres Unternehmens erhalten nur die Stellen Zugriff, die ihn zur Erfüllung ihrer Aufgaben brauchen. Darüber hinaus geben wir Daten an folgende Empfänger weiter.

4.1 Auftragsverarbeiter

Diese Dienstleister verarbeiten Daten ausschließlich nach unserer Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO:

• Laravel Cloud (Laravel Holdings Inc.) — Applikations-Hosting, Datenbank und Cache. Verarbeitungsort: EU Central (Frankfurt). Übermittlungsgrundlage: EU-U.S. DPF: Laravel Holdings Inc. zertifiziert. DPA vorhanden. Produktivbetrieb ausschließlich in der EU-Region Frankfurt, dadurch kein Drittlandtransfer im Regelbetrieb. Datenschutzerklärung des Anbieters
• Cloudflare, Inc. — Content-Delivery-Network und Schutz vor Angriffen auf die Verfügbarkeit, bereitgestellt ueber Laravel Cloud. Verarbeitungsort: Weltweites Netz; die Auswahl der Rechenzentren trifft Laravel Cloud, nicht svenya UG (haftungsbeschränkt). Übermittlungsgrundlage: EU-U.S. DPF zertifiziert inkl. UK-Extension und Swiss-U.S. DPF; SCC im Cloudflare Customer DPA. Eingebunden als Unterauftragsverarbeiter von Laravel Cloud. Datenschutzerklärung des Anbieters
• Cloudflare, Inc. — Objektspeicher für Tickets und Dokumente sowie Auslieferung über ein Content-Delivery-Network. Verarbeitungsort: EU — alle produktiv genutzten Buckets sind auf die EU-Jurisdiktion gesetzt. Übermittlungsgrundlage: EU-Jurisdiktion gesetzt, dadurch kein Drittlandtransfer im Regelbetrieb. Ergänzend EU-U.S. DPF zertifiziert inkl. UK-Extension und Swiss-U.S. DPF; SCC im Cloudflare Customer DPA. Datenschutzerklärung des Anbieters
• Resend, Inc. — Newsletter-Versand (Audiences/Broadcasts) sowie Ersatzweg fuer transaktionale E-Mails, wenn der Hauptversand ausfaellt. Verarbeitungsort: USA — Anbieter bietet keine EU-Region an. Übermittlungsgrundlage: EU-U.S. DPF zertifiziert inkl. UK-Extension; DPA bindet EU-SCC und UK-SCC ausdrücklich ein. Datenschutzerklärung des Anbieters
• DocuSeal (EU-Endpoint api.docuseal.eu) — elektronische Signatur von Vertragsdokumenten. Verarbeitungsort: EU — ausschließlich Server in Dublin, Irland. Übermittlungsgrundlage: Bei Nutzung des EU-Endpoints kein Drittlandtransfer. Rechtsträger anwaltlich bestätigen. Datenschutzerklärung des Anbieters
• Amazon Web Services EMEA SARL — Speicherung und Auslieferung von Bild- und Mediendateien über ein Content-Delivery-Network. Verarbeitungsort: Speicherregion EU (Frankfurt), eu-central-1; Auslieferung über weltweite Edge-Standorte. Übermittlungsgrundlage: Speicherung in der EU-Region eu-central-1. Auslieferung über Edge-Standorte auch außerhalb der EU: EU-U.S. DPF, UK Extension und Swiss-U.S. DPF, Amazon Web Services, Inc. gelistet mit Status Active (DPF-Liste, abgerufen 2026-08-26); SCC im AWS Data Processing Addendum. Vertragspartei ist AWS EMEA SARL, Luxemburg. Datenschutzerklärung des Anbieters
• Amazon Web Services EMEA SARL — Versand transaktionaler E-Mails (Bestellbestätigungen, Tickets, Systembenachrichtigungen). Verarbeitungsort: EU (Frankfurt), Region eu-central-1. Übermittlungsgrundlage: Verarbeitung in der EU-Region eu-central-1, dadurch kein Drittlandtransfer im Regelbetrieb. Ergänzend EU-U.S. DPF, UK Extension und Swiss-U.S. DPF: Amazon Web Services, Inc. gelistet mit Status Active (DPF-Liste, abgerufen 2026-08-26); SCC im AWS Data Processing Addendum. Vertragspartei ist AWS EMEA SARL, Luxemburg. Datenschutzerklärung des Anbieters

4.2 Eigenständig Verantwortliche

Diese Empfänger entscheiden über Zwecke und Mittel ihrer Verarbeitung selbst. Sie sind keine Auftragsverarbeiter; es gelten ihre eigenen Datenschutzerklärungen:

• Stripe Payments Europe, Limited (Irland) / Stripe, LLC (USA) — Zahlungsabwicklung auf das Konto des Ticketanbieters. Verarbeitungsort: Irland; Übermittlung in die USA möglich. Übermittlungsgrundlage: EU-U.S. DPF: Stripe, LLC zertifiziert, einschließlich UK Extension und Swiss-U.S. DPF (stripe.com/legal/data-privacy-framework, abgerufen 2026-08-30). Datenschutzerklärung des Anbieters
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — Zahlungsabwicklung auf das Konto des Ticketanbieters. Verarbeitungsort: Luxemburg. Übermittlungsgrundlage: EU/EWR. Konzerninterne Übermittlungen in Drittländer erfolgen auf Grundlage verbindlicher interner Datenschutzvorschriften nach Art. 47 DSGVO, die von den zuständigen Aufsichtsbehörden genehmigt wurden; gegenüber Dritten auf Grundlage von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses (paypal.com/de/legalhub/paypal/bcr, abgerufen 2026-08-30). Datenschutzerklärung des Anbieters
• Cloudflare, Inc. — Prüfverfahren zum Schutz vor automatisierten Zugriffen (CAPTCHA). Verarbeitungsort: USA und weltweites Netz. Übermittlungsgrundlage: EU-U.S. DPF zertifiziert inkl. UK-Extension und Swiss-U.S. DPF. Datenschutzerklärung des Anbieters
• Google Ireland Ltd. — Adress-Autovervollständigung im Onboarding. Verarbeitungsort: Irland; Übermittlung in die USA möglich. Übermittlungsgrundlage: EU-U.S. DPF: Google LLC und dessen US-Tochtergesellschaften zertifiziert, einschließlich UK Extension und Swiss-U.S. DPF (policies.google.com/privacy/frameworks, abgerufen 2026-08-30). Datenschutzerklärung des Anbieters
• Google Ireland Ltd. — Kartendarstellung des Veranstaltungsorts. Verarbeitungsort: Irland; Übermittlung in die USA möglich. Übermittlungsgrundlage: EU-U.S. DPF: Google LLC und dessen US-Tochtergesellschaften zertifiziert, einschließlich UK Extension und Swiss-U.S. DPF (policies.google.com/privacy/frameworks, abgerufen 2026-08-30). Datenschutzerklärung des Anbieters
• Apple Inc. — Bereitstellung von Ticket-Pässen für die digitale Brieftasche. Verarbeitungsort: Keine Uebermittlung — die Pass-Datei entsteht auf unserem Server und wird an das Endgeraet ausgeliefert. Übermittlungsgrundlage: Kein Drittlandtransfer. AppleWalletService signiert die PKPass-Datei lokal mit dem Entwicklerzertifikat; ein webServiceURL/authenticationToken ist NICHT gesetzt (verifiziert 2026-08-27), also keine Aktualisierungs- oder Push-Verbindung zu Apple. Apple erhaelt keine Ticketdaten.. Datenschutzerklärung des Anbieters

Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Vertragsdurchführung erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO oder Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

4.3 Weitere Empfänger

Daten geben wir außerdem weiter an Gerichte, Rechtsanwältinnen und Rechtsanwälte zur Geltendmachung oder Abwehr von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO) sowie an Behörden, soweit wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

5 Übermittlung in Drittländer

Einige der in Abschnitt 4 genannten Empfänger verarbeiten Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Das Empfängerland und die Übermittlungsgrundlage sind dort jeweils angegeben.

Für Übermittlungen in die Vereinigten Staaten stützen wir uns auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-U.S. Data Privacy Framework (C(2023) 4745 final). Die betroffenen Empfänger sind unter diesem Rahmen zertifiziert; wir prüfen den Zertifizierungsstatus regelmäßig anhand der öffentlichen Liste des US-Handelsministeriums.

Soweit wir mit einem Empfänger darüber hinaus die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914 in Verbindung mit Art. 46 Abs. 2 lit. c DSGVO vereinbart haben, gelten diese zusätzlich und unabhängig vom Angemessenheitsbeschluss. Ergänzend schützen wir die Übermittlung durch Verschlüsselung und Datenminimierung.

Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung. Wenden Sie sich dazu an info@svenya.io.

6 Ihre Rechte

6.1 Rechte im Überblick

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO).

6.2 Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Legen Sie Widerspruch ein, verarbeiten wir Ihre Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten für Direktwerbung, haben Sie jederzeit das Recht, dieser Verarbeitung zu widersprechen. Nach Ihrem Widerspruch verwenden wir Ihre Daten für Direktwerbung nicht mehr.

Ein Widerspruch ist formlos möglich, zum Beispiel per E-Mail an info@svenya.io.

6.3 Widerruf von Einwilligungen

Haben Sie in eine Verarbeitung eingewilligt, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach dem Widerruf verarbeiten wir die betroffenen Daten nur noch, soweit eine andere Rechtsgrundlage besteht, insbesondere zum Nachweis der Einwilligung selbst.

6.4 Ausübung Ihrer Rechte

Wenden Sie sich zur Ausübung Ihrer Rechte an info@svenya.io. Um Ihre Daten vor unberechtigtem Zugriff zu schützen, müssen wir Ihre Identität prüfen; die Bearbeitung Ihres Antrags ist dadurch selbst eine Verarbeitung personenbezogener Daten, die wir auf Art. 6 Abs. 1 lit. c DSGVO stützen.

Betrifft Ihr Anliegen Daten, für die nach Abschnitt 1.3 der Ticketanbieter verantwortlich ist, leiten wir es unverzüglich dorthin weiter.

6.5 Beschwerderecht

Unabhängig davon können Sie sich jederzeit bei einer Datenschutz-Aufsichts- behörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Postfach 1349, 91504 Ansbach (Besucheranschrift: Promenade 18, 91522 Ansbach).

7 Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist jederzeit kostenlos unter https://svenya.io/datenschutzerklaerung abrufbar. Den Stand entnehmen Sie der Kopfzeile dieses Dokuments. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer gesondert.