Datenschutz
Verantwortliche Stelle
Daniel Schuster
c/o COCENTER
Koppoldstr. 1
86551 Aichach
E-Mail: tanuel.mategi@gmail.com
Website: https://openstage.one
Diese Erklärung beschreibt den tatsächlichen Stand der Software (Stand: August 2026).
Es ist kein Datenschutzbeauftragter bestellt (gesetzliche Bestellpflicht greift hier nicht).
Hosting
Server und Uploads liegen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, als Auftragsverarbeiter (Art. 28 DSGVO). Zugriffe (IP-Adresse, Zeitpunkt, User-Agent) können in Server-Logs anfallen, soweit das für Betrieb, Sicherheit und Missbrauchsabwehr nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Logs werden nur so lange gespeichert, wie Betrieb und Sicherheit es erfordern, in der Regel wenige Tage bis wenige Wochen.
Welche Daten wir verarbeiten
Konto
Bei Registrierung mit E-Mail: E-Mail-Adresse, Passwort-Hash, optionaler Anzeigename, optionale Profil-Beschreibung, optionale Instagram-/YouTube-Links, optionales Profilbild (First-Party-Upload), Zeitstempel der E-Mail-Bestätigung sowie der Zustimmung zu AGB und Kenntnisnahme der Datenschutzerklärung. Bei Google-Anmeldung (nur nach Klick): Google-ID, E-Mail, Anzeigename; die E-Mail gilt als bestätigt. Google-Profilbilder speichern wir nicht. Scopes: email, profile.
Die Angabe der E-Mail ist für ein Konto erforderlich. Ohne sie kommt der Nutzungsvertrag nicht zustande.
Veranstaltungen
Hosts speichern Titel, Beschreibung, Adresse, Termine und optional Cover. Die Adresse wird serverseitig über OpenStreetMap Nominatim geocodiert (Koordinaten). Öffentliche Event-Seiten sind ohne Login sichtbar. Bei aktivierter Inhaltsprüfung können Titel, Beschreibung und Cover an die OpenAI Moderation API gehen.
Uploads
Profil- und Cover-Bilder liegen als WebP unter /uploads/… und werden bei der Auslieferung über den Cloudflare-Edge (Objektspeicher R2) bzw. in der Entwicklungsphase direkt vom Server bereitgestellt. Es gibt keine fremden Bild-CDNs. Aus Covern kann ein JPEG für Link-Vorschauen (Open Graph) erzeugt werden.
Kontaktformular
Über /kontakt nimmst du Kontakt auf (Frage, Missbrauchshinweis oder Anderes). Wir speichern Typ, Name, E-Mail, Betreff, Nachricht und optional eine bezogene URL. Bist du angemeldet, verknüpfen wir die Anfrage serverseitig mit deinem Konto. Die Anfrage liegt in der Admin-Inbox, eine Benachrichtigung geht an die Admins (Reply-To = deine Absenderadresse). Es gibt keine Bestätigungsmail an dich. Anfragen werden in v1 nicht gelöscht.
Collaborator-Einladungen
Hosts können andere per E-Mail zur Mitorganisation einer Event-Serie einladen, auch wenn die Person noch kein Konto hat. Wir speichern die eingeladene E-Mail-Adresse an der Serie und senden einen Annahmelink (gültig sieben Tage). Nach der Annahme bleibt die E-Mail der Mitgliedschaft zugeordnet; das Token wird entfernt. Ausstehende Einladungen sind nicht öffentlich. Die Adresse kann eine Drittangabe des Hosts sein.
RSVP („Ich komme“)
Angemeldete Nutzer können pro Termin „Ich komme“ setzen oder zurücknehmen. Wir speichern die Zuordnung Konto ↔ Termin. Die Anzahl der Zusagen ist auf der öffentlichen Termin-Seite sichtbar. Die Namensliste (Anzeigename, öffentlicher Handle, Profilbild) sehen nur Host, Admins und akzeptierte Mitorganisatoren der Serie – nicht die Allgemeinheit. E-Mail-Adressen der Zusagenden werden über diese Funktion nicht preisgegeben. Beim Löschen des Kontos oder des Termins entfallen die Zusagen.
In-App-Benachrichtigungen
Angemeldet siehst du in der App eine Inbox (Glocke) für Updates zu gemerkten Event-Serien und Plattformmeldungen. Die Einträge hängen am Konto, sind 90 Tage gültig und werden danach gelöscht. Unter Einstellungen kannst du Kanal-Präferenzen speichern (E-Mail und Push je Typ). Push nutzt Web-Push an deine Geräte (Service Worker); E-Mail-Kanal wird gespeichert, Versand für Favoriten/Plattform folgt später.
Technisch erforderliche Speicherung im Browser
- JWT-Zugangstoken als HttpOnly-Cookie (
openstage_access), solange du angemeldet bleibst - UI-Sprache als Cookie und
localStorage(openstage_locale) - Theme als Cookie und
localStorage(openstage_theme) - Letzte Suche und Verlauf lokal (
openstage_preferences); nach Login zusätzlich am Konto
Cookie-Einstellungen: Beim ersten Besuch erscheint ein Banner (c15t). Du kannst notwendige Cookies (Anmeldung, Sprache, Darstellung) von der optionalen Kategorie Statistik trennen. Statistik lädt PostHog (EU-Cloud) erst nach deiner Einwilligung: Seitenaufrufe, grobe Nutzungsereignisse (Texte in Klick-Events maskiert) und JS-Fehler. Es gibt keine Session-Aufzeichnung (kein Video der Sitzung). Die Einwilligung speichert c15t lokal im Browser; ein optionales c15t-Backend für Audit-Logs ist nur aktiv, wenn es konfiguriert ist. Einstellungen jederzeit über „Cookie-Einstellungen“ im Footer änderbar. Notwendige Speicherung: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO und § 25 Abs. 2 TDDDG. Optionale Statistik: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
Zwecke und Rechtsgrundlagen
| Vorgang | Zweck | Rechtsgrundlage |
|---|---|---|
| Konto, Events, Uploads | Vertrag über die Plattformnutzung | Art. 6 Abs. 1 lit. b DSGVO |
| Kontaktformular | Anfragen und Hinweise bearbeiten | Art. 6 Abs. 1 lit. f DSGVO |
| Collaborator-Einladungen | Host lädt zur Mitorganisation ein | Art. 6 Abs. 1 lit. b DSGVO |
| RSVP („Ich komme“) | Einschätzung für den Host; Anzahl öffentlich, Namen nur Host/Mitorganisatoren | Art. 6 Abs. 1 lit. b DSGVO |
| Server-Logs, Sicherheit, Missbrauchsabwehr | Stabiler Betrieb | Art. 6 Abs. 1 lit. f DSGVO |
| Google-Anmeldung | Alternative Anmeldung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Klick) |
| Browser-Geolocation | Nächste Stadt nach Klick „Standort nutzen“ | Art. 6 Abs. 1 lit. a DSGVO |
| Optionale Statistik-Cookies (PostHog) | Seitenaufrufe und Fehler, nur nach Opt-in | Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG |
| Inhaltsprüfung (OpenAI, lokal NSFW) | Missbrauch und rechtswidrige Inhalte erkennen | Art. 6 Abs. 1 lit. f DSGVO |
| Gesetzliche Pflichten | z. B. Aufbewahrung, Auskunft | Art. 6 Abs. 1 lit. c DSGVO |
Berechtigte Interessen (lit. f) sind Betriebssicherheit und Missbrauchsabwehr (inkl. Inhaltsprüfung) sowie die Bearbeitung von Kontaktanfragen. Du kannst widersprechen (Art. 21 DSGVO).
Empfänger und Dienste
OpenStage lädt im Browser keine Google-Fonts, keine Karten-iframes und keine Social-SDKs. First-Party bleiben UI, Schriften und Uploads.
| Dienst | Wann | Was |
|---|---|---|
| Hetzner | dauernd | Hosting von App, API, Datenbank und Uploads in Deutschland |
| Google OAuth | Klick „Mit Google anmelden“ | Redirect zu Google; wir speichern Google-ID, E-Mail, Anzeigename – kein Profilbild |
| Google Maps | Klick auf eine Event-Adresse | Du verlässt OpenStage; Query ist die Event-Adresse. Kein Maps-SDK, kein API-Key im Frontend |
| Instagram / YouTube | Klick auf Social-Icons im öffentlichen Profil | Du verlässt OpenStage zum hinterlegten Kanal. Keine Social-Plugins |
| Google Kalender / Outlook | Klick „Zum Kalender hinzufügen“ | Du verlässt OpenStage; Query sind Titel, Zeiten, Ort und Event-URL. Kein Calendar-SDK. Die ICS-Datei entsteht lokal im Browser |
| WhatsApp / Telegram / E-Mail | Klick im Teilen-Blatt, nur ohne Native Share | Du verlässt OpenStage. Keine Social-Plugins. Messenger-Crawler können öffentliche Event-URLs und das OG-Bild abrufen |
| Browser-Geolocation | Klick „Standort nutzen“ | Koordinaten bleiben im Gerät; OpenStage speichert sie nicht. Daraus wird nur die nächste Stadt aus dem Städte-Katalog gewählt |
| Nominatim / OpenStreetMap | Anlegen oder Aktualisieren einer Event-Serie; Anlegen/Import einer Admin-Stadt | Freitext-Adresse bzw. Stadt, Land serverseitig, Rate-Limit 1 Req/s |
| OpenAI Moderation API | Nur bei aktivierter Inhaltsprüfung (Umgebung oder Admin-Schalter) | Titel, Beschreibung und optional Cover der Event-Serie; Antwort nur Flag/Kategorien |
| Hetzner Konsole (SMTP) | Registrierung, E-Mail-Bestätigung, Passwort-Reset, E-Mail-Wechsel, Collaborator-Einladung, Kontaktanfrage (Admin-Benachrichtigung), Moderationsbegründung | Empfängeradresse, Link bzw. Kurzgrund; bei Kontaktanfragen Name, E-Mail, Betreff und Nachricht an die hinterlegte Admin-Adresse (Reply-To = Absender). Versand über Hetzner-Mailbox (SMTP), Absender noreply@openstage.one |
| Amazon SES | Optional, wenn der SES-Transport aktiv ist | Empfängeradresse und Link; bei Kontaktanfragen derselbe Inhalt wie beim SMTP. Versand über Amazon SES (API SendEmail, Region Frankfurt), Absender no-reply@openstage.one |
| PostHog (EU-Cloud) | Browser nur nach Cookie-Einwilligung „Statistik“, und nur wenn in den Systemeinstellungen aktiv; Server-Events nur wenn aktiv | Seitenaufrufe, grobe Nutzungsereignisse, JS-Fehler; interne User-ID nach Login, keine E-Mail. Keine Session-Aufzeichnung. Serverseitig können unbehandelte API-Fehler ohne Request-Bodies sowie Zähl-Events (Registrierung, Mail-Versand, Serie angelegt/aktualisiert) mit User-ID bzw. anonymous und nur IDs/Typen gemeldet werden |
| Web-Push (Browser-Dienste) | Nur nach Opt-in unter Einstellungen (Push) und Browser-Erlaubnis | Titel und Text der In-App-Benachrichtigung sowie relativer App-Link an deine Geräte |
Drittlandübermittlung
- Google OAuth, Google Maps, Google Kalender: Google LLC, USA. Google ist unter dem EU-US Data Privacy Framework zertifiziert; soweit das Framework nicht greift, stützt sich Google auf Standardvertragsklauseln.
- Outlook / Microsoft: Beim Klick verlässt du OpenStage; es gelten die Bedingungen von Microsoft. Microsoft ist ebenfalls DPF-zertifiziert bzw. nutzt Standardvertragsklauseln.
- Nominatim / OpenStreetMap: Die OpenStreetMap Foundation hat ihren Sitz im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
- OpenAI Moderation API: OpenAI, LLC, USA. Übermittlung nur bei aktivierter Inhaltsprüfung (Titel, Beschreibung, optional Cover). OpenAI ist unter dem EU-US Data Privacy Framework zertifiziert; soweit das Framework nicht greift, gelten Standardvertragsklauseln.
- Hetzner Konsole (E-Mail): Transaktionale Mails über SMTP an eine Hetzner-Mailbox in Deutschland (Absender noreply@openstage.one). Keine Drittlandübermittlung allein durch den Versand.
- Amazon SES (E-Mail): Nur wenn der SES-Transport aktiv ist. Amazon Web Services EMEA SARL / AWS. Versand transaktionaler Mails aus der Region Frankfurt (
eu-central-1). Übermittelt werden Empfängeradresse und Link. Soweit eine Verarbeitung in den USA stattfindet, stützt sich AWS auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. - PostHog (Statistik): PostHog, Inc., EU-Cloud (Ingest
eu.i.posthog.com, Speicherung in der EU, typischerweise Frankfurt). Nur nach Opt-in und wenn der Dienst in den Systemeinstellungen aktiv ist. Es gibt eine Auftragsverarbeitungs-Vereinbarung (DPA) beim Anbieter; das ist keine Rechtsberatung.
Eine Übermittlung findet im Übrigen nicht statt, soweit du OpenStage nicht durch Klick auf Drittangebote verlässt.
Speicherdauer
Kontodaten und Events bleiben, solange das Konto bzw. die Serie existiert. Löschst du dein Konto unter Profil → Userdaten, werden Konto, eigene Event-Serien, Termine, RSVP-Zusagen, In-App-Inbox und zugeordnete Uploads entfernt. In-App-Benachrichtigungen laufen nach 90 Tagen ab. Uploads, die du einem Profil oder Cover zuordnest, bleiben sonst mit diesem Datensatz. Kontaktanfragen bleiben in der Admin-Inbox; die Verknüpfung zum Konto entfällt, Name, E-Mail und Nachricht bleiben. Collaborator-Einladungen und -Mitgliedschaften hängen an der Serie (E-Mail bis Entfernen oder Löschen der Serie; Token sieben Tage bzw. bis zur Annahme). Server-Logs nur so lange, wie Betrieb und Sicherheit es erfordern. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Rechte
Du hast unter den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (z. B. Cookie-Einstellungen; Google-Login durch Wahl eines anderen Anmeldewegs). Konto und Host-Inhalte kannst du unter Profil → Userdaten selbst löschen; Admins können Konten ebenfalls löschen oder sperren.
Beschwerden kannst du an die zuständige Datenschutzaufsichtsbehörde richten. Für uns ist das typischerweise das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de. Das Beschwerderecht besteht unabhängig davon bei der Aufsichtsbehörde deines Wohnsitzes.
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die maschinelle Vorprüfung blendet Inhalte nur vorläufig aus; geflaggte Serien prüft eine natürliche Person. Am Flag speichern wir Zeitpunkt, Aktion, Pflicht-Kurzgrund, optional eine AGB-Ziffer sowie Quelle und Prüfsystem, soweit bekannt. Bei Löschen oder Kontosperre schicken wir dem Host die Begründung per E-Mail.
Schriften und Stadtbilder
Schriften sind self-hosted (siehe Impressum). Stadtbilder liegen lokal; Namensnennung und Lizenzen stehen im Impressum. Das sind Urheberhinweise, keine Tracking-Dienste.
Stand: August 2026