Datenschutzerklärung

1. Verantwortlicher

István Ékes, Qavlar Tech
Preußenstraße 15, 66111 Saarbrücken, Deutschland
E-Mail: qibes@qavlar.tech
Telefon / WhatsApp: +49 179 152 4004

2. Erhobene Daten

a) Automatisch erfasste Daten

• Notwendige Cookies: ohne Einwilligung gesetzt, weil ohne sie grundlegende Funktionen nicht gehen (§ 25 Abs. 2 TTDSG). Bist du eingeloggt, setzt unser Login-System (Auth.js) ein technisch notwendiges Session-Cookie. Ein Cookie speichert außerdem deine Cookie-Entscheidung selbst (qnacht_consent, 1 Jahr).
• Funktionale Cookies (nur mit deiner Einwilligung): Ein Cookie speichert deine Sprachwahl (NEXT_LOCALE, 1 Jahr), aber nur wenn du das im Cookie-Banner erlaubst. Ohne Einwilligung wird die Sprache trotzdem für die laufende Sitzung übernommen (Cookie ohne Ablaufdatum, verschwindet mit dem Schließen des Browsers), einfach nicht dauerhaft gespeichert. Deine Entscheidung kannst du jederzeit über „Cookie-Einstellungen“ im Footer ändern.
• Standort-Cookies (eigene, spezifische Einwilligung): Wenn du auf „Standort teilen“ klickst, speichert ein Cookie deine Koordinaten für die „in deiner Nähe“-Empfehlungen (qnacht_loc, 30 Tage) sowie, falls du den Hinweis stattdessen wegklickst, dass du ihn nicht mehr sehen willst (qnacht_loc_dismissed, 30 Tage). Dieser eine, klar beschriftete Klick ist die Einwilligung dafür, unabhängig von der Cookie-Banner-Entscheidung oben.
• Es werden keine Werbe-, Marketing- oder Analyse-Cookies gesetzt.
• Aufrufstatistik (selbst gehostet): Wir zählen serverseitig, welche Events, Venues und Organizer-Profile aufgerufen werden, ohne deine IP-Adresse zu speichern. Dafür wird deine IP-Adresse zusammen mit deinem Browser-Kennzeichen und dem Kalendertag zu einem Hashwert verrechnet (HMAC-SHA-256 mit einem geheimen Schlüssel), der sich täglich ändert, sich nicht zurück in eine IP-Adresse umwandeln lässt und dich nicht über mehrere Tage hinweg wiedererkennbar macht. Zusätzlich erfassen wir, grob kategorisiert, von welcher Seite du kommst (z. B. „Instagram“, „Google“, oder direkt), sowie Browser, Betriebssystem und Gerätetyp (Handy/Tablet/Desktop), nie den vollständigen User-Agent-Text oder die vollständige Herkunfts-URL, da beide selbst schon identifizierend sein können. Es gibt kein Tracking-Skript im Browser, keine Cookies dafür und keine Weitergabe an Dritte, die Auswertung läuft ausschließlich auf unserem eigenen Server.

b) Von dir bereitgestellte Daten

• Konto: Für ein Nutzerkonto genügt deine E-Mail-Adresse, du loggst dich per Login-Link ein (kein Passwort). Der Link ist 30 Minuten gültig und nur einmal nutzbar. Damit niemand fremde Postfächer mit Links überflutet, zählen wir Versuche pro E-Mail-Adresse und pro Absender (ein Zähler mit Zeitstempel, der nach wenigen Tagen gelöscht wird). Optional speicherbar: Sprach- und Benachrichtigungseinstellungen, Stadt und Radius für den wöchentlichen Digest.
• Favoriten, Zusagen & Folgen: Welche Events du favorisierst, ob du zu- oder vielleicht-sagst, und welchen Organizer:innen oder Venues du folgst.
• Web-Push-Benachrichtigungen: Wenn du Push-Benachrichtigungen aktivierst, speichern wir die dafür nötigen technischen Endpunkt- und Schlüsseldaten deines Browsers. Die Zustellung läuft über den Push-Dienst deines Browser-Anbieters (z. B. Google/Firebase für Chrome, Mozilla für Firefox, Apple für Safari), an den wir die Benachrichtigung direkt schicken.
• Event- und Profil-Einreichungen: Wenn du ein Event einreichst, ein Organizer- oder Venue-Profil anlegst oder übernimmst, oder eine Änderung an einem Event vorschlägst, speichern wir die dabei angegebenen Inhalte (Titel, Beschreibung, Bild-Link, Stadt, Kontaktmöglichkeit) zur Prüfung und Veröffentlichung. Deine Einreichung, Änderungswünsche und Orts-Übernahmen sehen die Admins, die genannten Organizer:innen und der City Lead (Ambassador), der für das Gebiet zuständig ist, einschließlich deiner Kontaktangabe, damit sie bei Rückfragen antworten können. City Leads sind ehrenamtlich tätig und zur Vertraulichkeit verpflichtet (Nutzungsbedingungen, Abschnitt 9).
• Änderungsverlauf: Wenn Admins, City Leads oder Organizer:innen gemeinsame Inhalte ändern oder über Einreichungen entscheiden, speichern wir, wer es war (E-Mail-Adresse, Rolle), was geändert wurde und wann. Der Verlauf ist nur für Admins sichtbar und dient der Nachvollziehbarkeit und dem Schutz vor Missbrauch. Die E-Mail-Adresse bleibt dort auch nach Löschung des Kontos als Text erhalten.
• Ambassador-Gebiete: Für City Leads speichern wir Stadt, Radius, Mittelpunkt, Beginn und Ende der Zuständigkeit und den Grund des Endes.
• Entscheidungs-E-Mails: Über die Entscheidung zu Bewerbung, Übernahme oder Einreichung informieren wir dich per E-Mail (und bei Konto in der App). Das sind Mitteilungen zur Vertragsdurchführung, nicht abbestellbar, solange die Anfrage läuft.
• Bewerbung als City Lead: Name, E-Mail-Adresse, Stadt, dein Nachrichtentext, die Sprache der Seite und der Zeitpunkt, zu dem du die Nutzungsbedingungen akzeptiert hast. Die Admins sehen sie zur Entscheidung.

3. Rechtsgrundlage & Zweck

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): für dein Nutzerkonto, dein Organizer-Profil, deine Rolle als City Lead und die damit verbundenen Funktionen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): für das Teilen deines Standorts und für Web-Push-Benachrichtigungen; beides kannst du jederzeit widerrufen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): für die anonymisierte Aufrufstatistik, Betriebssicherheit und Missbrauchsprävention (z. B. bei Event-Einreichungen, Login-Links) sowie für den Änderungsverlauf.

4. Datenweitergabe

Wir verkaufen deine Daten nicht. Eingeschränkte Weitergabe an:

• Hosting: netcup VPS (Deutschland), mit Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Automatische Datenbank-Backups verbleiben auf demselben Server (14 Tage Aufbewahrung, danach automatische Löschung).
• E-Mail-Versand: Mailjet (Sinch Email), für Login-Links, Benachrichtigungen und den wöchentlichen Digest, mit Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
• Kartendarstellung: Für die Kartenansicht werden Kartenkacheln direkt von CARTO (basemaps.cartocdn.com) geladen, wodurch dein Browser deine IP-Adresse an diesen Anbieter überträgt. Solltest du eine Adresse über den „In Google Maps öffnen“-Link aufrufen, gilt ab diesem Zeitpunkt die Datenschutzerklärung von Google.
• Web-Push: siehe Punkt 2, Zustellung über den Push-Dienst deines Browser-Anbieters.
• Freiwillige externe Links: Ein „Kauf dem Entwickler-Team einen Kaffee“-Link führt zu Buy Me a Coffee, Teilen-Links führen zu WhatsApp. Beide sind rein optional und laden nichts nach, solange du nicht draufklickst.
• Behörden: Soweit nach deutschem Recht erforderlich.

5. Speicherdauer

• Kontodaten: bis zur Löschung deines Kontos.
• Favoriten, Zusagen, Folgen, Benachrichtigungen: bis du sie entfernst oder dein Konto löschst.
• Standort-Cookie und Sprach-Cookie: siehe Punkt 2, automatischer Ablauf.
• Aufrufstatistik: der tägliche Hashwert ist ab dem nächsten Tag nicht mehr zuordenbar.
• Datenbank-Backups: 14 Tage, danach automatische Löschung.
• Anfragen (City-Lead-Bewerbung, Event-Einreichung, Organizer-Übernahme): bis zur Bearbeitung und, sofern kein Konto daraus entsteht, danach zeitnah gelöscht.
• Änderungsverlauf: so lange, wie er zur Nachvollziehbarkeit gebraucht wird; nach Löschung deines Kontos bleibt die E-Mail-Angabe dort als Text erhalten; auf Anfrage anonymisieren wir sie.
• Zähler gegen Login-Link-Missbrauch: wenige Tage.

6. Deine Rechte gemäß DSGVO

• Auskunft: Kopie der über dich gespeicherten Daten anfordern (Art. 15 DSGVO).
• Berichtigung: Korrektur unrichtiger Daten verlangen (Art. 16 DSGVO).
• Löschung: Löschung beantragen, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 17 DSGVO).
• Datenübertragbarkeit: Daten in maschinenlesbarem Format erhalten (Art. 20 DSGVO).
• Widerspruch: gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO).
• Widerruf der Einwilligung: jederzeit, ohne Auswirkung auf frühere Verarbeitungen.
• Beschwerde: bei der Unabhängigen Datenschutzbehörde Saarland oder einer anderen zuständigen Aufsichtsbehörde.

Kontakt zur Ausübung deiner Rechte: qibes@qavlar.tech.

7. Sicherheit

Die gesamte Website läuft über HTTPS/TLS-Verschlüsselung. Wie unter Punkt 2 beschrieben, speichern wir bei der Aufrufstatistik nie eine rohe IP-Adresse. Der Zugriff auf Server und Datenbank ist auf autorisierte Personen beschränkt.

8. Aktualisierungen dieser Erklärung

Wir erweitern diese Erklärung, sobald neue Funktionen neue Datenverarbeitungen mit sich bringen. Wesentliche Änderungen veröffentlichen wir auf dieser Seite mit aktualisiertem Datum.