Datenschutzerklärung

Kadir Alik, Schleiermacher Str. 23, 10961 Berlin, Deutschland
E-Mail: info@friendslist.de

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht benannt.

friendslist.de setzt keine Tracking- oder Werbe-Cookies, lädt keine Schriften oder Skripte von fremden Servern nach und verkauft keine Daten. Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) gibt es nicht. Nur für die Auswahl der Member-Club-Mails werten wir einfache Interessen aus – welche Musikrichtungen die Events haben, die du gemerkt oder für die du dich selbst eingetragen hast (Ziffer 7). Gemessen wird, welche Seiten wie oft aufgerufen werden und wie schnell sie laden – mit Vercel Web Analytics und Speed Insights, ohne Cookies und ohne dass etwas auf deinem Gerät gespeichert wird; die Skripte lesen dafür im Browser nur die nötigen Angaben aus (Ziffer 12). Ein Cookie-Banner zeigen wir nicht, weil wir keine Cookies zu Werbe- oder Analysezwecken setzen (Ziffer 11 und 12).

Beim Aufruf verarbeitet unser Hoster technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem sicheren und stabilen Betrieb. Diese Logs werden nicht mit anderen Daten zusammengeführt. Wir speichern sie nicht zusätzlich; beim Hoster werden sie nach der Aufbewahrungsfrist unseres Tarifs automatisch gelöscht – derzeit nach einem Tag.

Trägst du dich in eine Friendslist ein – so heißt bei uns die Gästeliste eines Events –, verarbeiten wir: Vorname, Nachname, E-Mail-Adresse, optional Telefonnummer sowie die Anzahl deiner Begleitung. Trägst du dich selbst ein, sind wir für Formular, Speicherung, Bestätigungsmail, QR-Code und Löschung verantwortlich; mit der Übermittlung an die im Formular genannte veranstaltende Person bzw. den Club wird diese für ihre eigene Nutzung der Liste (Einlass, Export, eigene Kopien) selbst verantwortlich. Veranstalter:innen können Gäste auch selbst eintragen, etwa nach einer Anfrage per Nachricht; dann stammen die Angaben von ihnen, die veranstaltende Person ist verantwortlich (Rechtsgrundlage: ihr berechtigtes Interesse, angekündigte Gäste einzulassen, Art. 6 Abs. 1 lit. f DSGVO), und wir verarbeiten die Angaben nur in ihrem Auftrag – Speichern, Bestätigungsmail mit QR-Code, Einlass auch über den Einlass-Link, Anzeige im eigenen Konto der eingetragenen Person, Löschung – und nicht für eigene Zwecke. Wer so eingetragen wurde, erfährt das in der ersten Mail – mit Namen und Kontakt der eintragenden Person, Zweck, Empfängern, Speicherdauer, Rechten und einem Link zum sofortigen Austragen (Art. 14 DSGVO).

Zweck: Wir übermitteln diese Angaben an die veranstaltende Person bzw. den Club, damit du an der Tür auf der Liste gefunden wirst – als Liste im Veranstalter-Bereich oder als Export (CSV, Excel, PDF). Ohne diese Weitergabe funktioniert eine Friendslist nicht.

QR-Code und Einlass: Mit der Bestätigungsmail bekommst du einen persönlichen QR-Code. Scannt das Türteam ihn, speichern wir den Zeitpunkt des Scans und wer gescannt hat; der Code ist danach verbraucht. So sehen Veranstalter:innen, wie viele der angemeldeten Gäste tatsächlich gekommen sind.

Einlass-Link für das Türteam: Veranstalter:innen können ihrem Kassen- oder Türpersonal einen Einlass-Link geben. Wer ihn öffnet, sieht für dieses eine Event Vor- und Nachname, die Zahl der Begleitung und gegebenenfalls Promoter und eine Notiz der veranstaltenden Person – keine E-Mail-Adresse, keine Telefonnummer – und kann Gäste einchecken, sonst nichts. Das Türpersonal handelt für die veranstaltende Person. Damit der Einlass auch ohne Internet funktioniert, speichert der Browser des Geräts diese Liste. Die Kopie wird gelöscht, sobald der Link abgelaufen (12 Stunden nach Ende der Veranstaltung) oder abgeschaltet ist und die Seite danach wieder geöffnet wird, außerdem jederzeit über „Daten von diesem Gerät löschen“. Der Link wird bei uns nicht gespeichert, sondern bei Bedarf aus einem geheimen Schlüssel berechnet; auf der Einlass-Seite findet keine Reichweitenmessung statt.

Mails zu deinem Eintrag: Nach dem Eintragen bekommst du eine Bestätigung mit Eventbild, allen Angaben zum Abend und deinem QR-Code. Hast du dich selbst eingetragen und beginnt die Party nach 16 Uhr, schicken wir dir am Partytag ab 16 Uhr eine einzige Erinnerung mit denselben Angaben und deinem QR-Code – ohne Werbung und ohne andere Partys; wer sich erst am Partytag nach 12 Uhr einträgt, bekommt keine. Verschiebt sich das Event zeitlich oder zieht es an einen anderen Ort, oder wird es abgesagt, schreiben wir dir noch einmal. Die Bilder stecken in der Mail selbst und werden nicht von unserem Server nachgeladen – wir erfahren also nicht, ob und wann du eine Mail öffnest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO: Die Eintragung ist die Leistung, um die du bittest, und die Weitergabe an die veranstaltende Person gehört notwendig dazu – ohne sie steht dein Name an der Tür nicht auf der Liste. Wer die Daten bekommt, steht im Formular mit Namen. Eine gesonderte Einwilligung holen wir dafür nicht ein, weil eine Einwilligung, ohne die es die Leistung nicht gäbe, keine freie wäre (Art. 7 Abs. 4 DSGVO).

Löschung: Spätestens 30 Tage nach der Veranstaltung werden alle Anmeldungen automatisch gelöscht. Du kannst dich außerdem jederzeit selbst austragen – über den Link in der Bestätigungsmail.

Ist eine Friendslist voll, kannst du dich auf die Warteliste setzen. Dafür verarbeiten wir Vorname, Nachname, E-Mail-Adresse und die Anzahl deiner Begleitung. Nach dem Eintragen bekommst du eine Bestätigung, wird ein Platz frei, eine zweite Mail, und wird das Event abgesagt, erfährst du es ebenfalls – mehr passiert damit nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst dich über den Link in jeder dieser Mails jederzeit streichen; spätestens 30 Tage nach der Veranstaltung löschen wir die Warteliste automatisch.

Für den Newsletter verarbeiten wir deine E-Mail-Adresse und die gewählte Sprache. Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung bekommst du eine Mail mit einem Bestätigungslink; erst danach bist du im Verteiler. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir Zeitpunkt von Anmeldung und Bestätigung sowie einen mit einem geheimen Schlüssel gesalzenen Hash der IP-Adresse (pseudonymisiert: ohne den Schlüssel nicht auf die IP zurückführbar) – die IP selbst speichern wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst sie jederzeit über den Abmeldelink in jeder Mail widerrufen – dann löschen wir deine Adresse aus dem Verteiler; eine Sperrliste führen wir nicht. Beim Versanddienst (Ziffer 13) bleiben versendete Mails und Zustellprotokolle 30 Tage gespeichert. Nicht bestätigte Anmeldungen löschen wir nach 7 Tagen.

Es gibt zwei Arten von Konten. Veranstalter-Konten zum Einreichen von Events: Wir speichern Name, E-Mail-Adresse, Veranstaltername, optional Telefonnummer und Instagram-Namen sowie dein Passwort ausschließlich als kryptografischen Hash (bcrypt) – im Klartext kennen wir es nicht. Friendslist-Mitglieder-Konten für Gäste: Wir speichern Name, E-Mail-Adresse und den Passwort-Hash.

Nach der Registrierung schicken wir dir einen Bestätigungscode per Mail; erst mit dem Code ist das Konto nutzbar. Verbrauchte oder abgelaufene Codes löschen wir täglich. Konten, die nie bestätigt wurden, löschen wir nach 7 Tagen.

Als Mitglied kannst du Events merken und dem Member Club von Clubs oder Veranstalter:innen beitreten. Wir speichern dann, welche Events und Clubs das sind; gemerkte Events löschen wir 30 Tage nach dem jeweiligen Event. In „Mein Bereich“ zeigen wir dir außerdem alle Friendslist-Einträge, die unter deiner Mailadresse bestehen – auch solche von vor der Konto-Anlage oder von Veranstalter:innen eingetragene.

Mails aus deinen Member Clubs: Beim Beitritt zu einem Member Club steht am Knopf, dass du Mails bekommst, sobald dort ein neues Event veröffentlicht wird – mit dem Klick bestellst du sie (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG). Wir halten fest, wann und mit welchem Text das war (Art. 7 Abs. 1 DSGVO), und merken uns, über welche Events du schon informiert wurdest, damit keine Mail doppelt kommt. Damit du nur Passendes bekommst, werten wir die Musikrichtungen der Events aus, die du gemerkt oder für die du dich selbst eingetragen hast (ab zwei Events; Einträge durch Veranstalter:innen zählen nicht). Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO, aber keine Entscheidung mit rechtlicher Wirkung; Grundlage ist unser berechtigtes Interesse, keine unpassenden Mails zu schicken (Art. 6 Abs. 1 lit. f DSGVO), und du kannst dem jederzeit widersprechen (Ziffer 16). Abbestellen kannst du die Mails jederzeit mit einem Klick über den Link in jeder Mail oder in deinem Bereich unter „Benachrichtigungen“ – ohne Login und ohne Begründung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – das Konto und seine Funktionen sind der Vertrag, den du mit uns schließt. Admin-Konten sind zusätzlich mit einem zweiten Faktor (Einmalcode aus einer Authenticator-App) gesichert; das dafür nötige Geheimnis speichern wir verschlüsselt und nutzen es ausschließlich zur Prüfung des Codes beim Login, Wiederherstellungscodes nur als Hash.

Löschung: Du kannst dein Konto jederzeit selbst in den Kontoeinstellungen löschen; dabei werden Merkliste, Member Clubs, Passwort und Codes entfernt; Friendslist-Einträge laufen bis zu ihrer 30-Tage-Frist weiter und lassen sich einzeln über den Link in der Mail austragen. Von dir eingereichte Events bleiben ohne Zuordnung zu einer Person im Kalender. Auf Wunsch löschen wir das Konto auch per Mail an uns.

Die App ist ein zweiter Zugang zu denselben Inhalten und demselben Konto wie die Website: Partys, Friendslist-Eintragung, deine QR-Codes, Clubs folgen, für Veranstalter:innen der Einlass-Scanner. Sie spricht ausschließlich mit unseren Servern (friendslist.de) über dieselbe Infrastruktur (Ziffer 3, 10 und 13). Die App enthält keine Werbe- oder Analyse-Bausteine von Dritten und bildet keine Werbe-Kennung; wir messen in der App nichts.

Anmeldung: Wenn du dich in der App anmeldest, stellt der Server ein Sitzungs-Token aus, das die App im Schlüsselbund deines Geräts (iOS Keychain) ablegt – verschlüsselt und nur für die App lesbar. Es gilt 60 Tage und wird bei Nutzung verlängert; beim Abmelden löscht die App es, bei einem Passwortwechsel oder einer Abmeldung im Browser wird es serverseitig ungültig. Diese Ablage ist für den Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Darüber hinaus speichert die App nur einen kurzlebigen Zwischenspeicher der zuletzt geladenen Partylisten, damit sie ohne Verbindung nicht leer ist.

Push-Mitteilungen: Mitteilungen gibt es nur mit Konto und nur, wenn du sie im System-Dialog von iOS erlaubst. Dann erzeugt dein Gerät eine Zustelladresse (Push-Token), die wir zusammen mit Plattform, Sprache und deinen Einstellungen (neue Partys gefolgter Clubs, Erinnerung am Abend der Party) zu deinem Konto speichern. Zum Versand übergeben wir Token, Titel und Text der Mitteilung sowie das Ziel in der App an den Push-Dienst von Expo (650 Industries, Inc., siehe Ziffer 13), der sie an Apples Dienst APNs weiterreicht – keine E-Mail-Adresse, keinen Namen. Wir merken uns Zustellquittungen einige Stunden, um Geräte, auf denen die App gelöscht wurde, auszutragen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit in der App unter „Mehr“ oder in den iOS-Einstellungen widerrufen – dann löschen bzw. deaktivieren wir den Token. Mit dem Abmelden oder Löschen des Kontos verschwindet er ebenfalls.

Kamera: Nur der Einlass-Scanner für Veranstalter:innen nutzt die Kamera, und nur, wenn du das erlaubst. Das Kamerabild wird auf dem Gerät nach einem QR-Code durchsucht; es wird weder gespeichert noch übertragen. Übertragen wird allein der Inhalt des Codes (die Einlass-Kennung der Eintragung), damit unser Server den Gast als eingecheckt vermerkt (Ziffer 4).

Apple: Die App beziehst du über Apples App Store. Welche Daten Apple dabei und beim Betrieb von iOS verarbeitet (etwa Absturzberichte, wenn du das in den iOS-Einstellungen erlaubt hast), bestimmt Apple als eigener Verantwortlicher; Auskunft gibt Apples Datenschutzrichtlinie.

Flyer, die Veranstalter:innen zu einem Event hochladen, speichern wir im Dateispeicher Vercel Blob (Vercel Inc., siehe Ziffer 13). Die Dateien liegen dort auf Servern in den USA und sind über eine nicht erratbare Adresse öffentlich abrufbar – das ist nötig, damit Browser sie anzeigen können. Wird ein Flyer ersetzt oder das Event gelöscht, löschen wir die Datei mit; in Zwischenspeichern des Hosters und in Backups kann sie noch bis zu 30 Tage nachlaufen, ist dann aber nicht mehr öffentlich abrufbar. Wer einen Flyer hochlädt, ist dafür verantwortlich, dass darauf abgebildete Personen einverstanden sind.

Buchst du als Veranstalter:in eine Hervorhebung, speichern wir die Buchung am Event (Paket, Zeitpunkt, Preis) und stellen eine Rechnung an die Angaben deines Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen und Buchungsbelege bewahren wir wegen der steuerlichen Aufbewahrungspflicht (§ 147 Abs. 3 AO, § 14b UStG) acht Jahre ab Ende des Kalenderjahres der Rechnung auf – auch wenn das Konto vorher gelöscht wird. Länger nur, wenn ein laufendes Steuer- oder Rechtsverfahren es verlangt. Eine Zahlung findet nicht über die Website statt; es gibt keinen Zahlungsdienstleister.

Wer ein Marktplatz-Profil anlegt (Location, DJ, Foto, Video, Visuals, Technik, MC, Grafik, Promotion), entscheidet selbst, was darin steht: Name oder Künstlername, Kategorien, Beschreibung, Schlagworte, Stadt, Preisangaben, Links zu Website und Social-Media-Kanälen, Referenzbilder und Video-Links; Locations zusätzlich Art, Kapazität, Bezirk, optional Adresse und die Verknüpfung mit dem Eintrag im Club-Verzeichnis. Das Profil ist für alle angemeldeten Konten auf friendslist.de sichtbar, nicht für Suchmaschinen und nicht für Besucher ohne Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Profils auf deinen Wunsch); die Bilder liegen wie Flyer bei Vercel Blob (Ziffer 8 und 13). Vor der Veröffentlichung prüfen wir das Profil kurz; abgelehnte Profile sehen nur du und wir. Du kannst das Profil jederzeit pausieren, ändern oder löschen – beim Löschen entfernen wir auch die Bilder.

Anfragen an ein Profil und Antworten darauf laufen als Nachrichten über friendslist.de. Wir speichern Betreff, Text, Absender, Empfänger und Zeitpunkt, damit beide Seiten den Verlauf lesen können; die E-Mail-Adressen der Beteiligten geben wir dabei nicht an die jeweils andere Seite weiter. Über jede neue Nachricht informieren wir den Empfänger per E-Mail über unseren Versanddienst (Ziffer 13) mit dem Anfang der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir werten Nachrichten nicht routinemäßig aus und nutzen sie nicht für Werbung. Einsehen können wir sie nur anlassbezogen – bei einer Meldung nach Art. 16 DSA, einem Missbrauchsverdacht, einer Support-Anfrage einer der beiden Seiten oder einer behördlichen Anordnung; jeder solche Zugriff wird intern protokolliert. Verläufe bleiben für beide Seiten lesbar, bis eines der beiden Konten gelöscht wird – dann werden sie mit gelöscht.

Um Angriffe auf Konten abzuwehren, protokollieren wir Anmeldeversuche und sicherheitsrelevante Aktionen im Adminbereich. Dabei speichern wir nur einen gesalzenen Hash der IP-Adresse, nie die Adresse selbst. Diese Einträge löschen wir nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Cookies setzen wir nur, wenn du dich anmeldest oder registrierst: ein technisch notwendiges Sitzungs-Cookie (__Host-fl_session; httpOnly, Secure, SameSite=Lax, Laufzeit 14 Tage), das dich eingeloggt hält; bei Admin-Konten während der Anmeldung für höchstens fünf Minuten ein zweites (__Host-fl_mfa), das nur die Eingabe des Einmalcodes erlaubt; und zwischen Registrierung und Bestätigung deiner Mailadresse für höchstens 24 Stunden ein drittes (__Host-fl_reg), das nachweist, dass du das Passwort des Kontos gesetzt hast – so kann niemand anderes dein Konto mit dem Code aus deiner Mail übernehmen. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Besucher:innen, die sich weder anmelden noch registrieren, bekommen kein Cookie.

Speicher im Browser: Nur die Einlass-Seite für das Türpersonal (Ziffer 4) legt etwas auf dem Gerät ab – die Gästeliste dieses Events und noch nicht übertragene Check-ins im lokalen Speicher des Browsers sowie die Seite selbst mit ihren Skripten in einem Offline-Speicher (Service Worker). Das ist für den ausdrücklich gewünschten Einlass ohne Internet unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Alle anderen Seiten speichern nichts im Browser.

Damit Veranstalter:innen sehen, wie ihr Event läuft, zählen wir pro Event und Tag die Seitenaufrufe und die Klicks auf den Ticket-Link, dazu eine grobe Herkunftsangabe (z. B. „Suchmaschine“ oder „Instagram“). Gespeichert werden ausschließlich Summen. Wir setzen dafür kein Cookie und legen keine Kennung auf deinem Gerät an. Damit ein Skript die Zahlen nicht aufblasen kann, zählt ein Aufruf pro Internetanschluss, Event und Tag nur einmal; dafür halten wir 24 Stunden lang einen Zähler zu einem mit Geheimnis gesalzenen Hash der IP-Adresse (wie in Ziffer 10), nie die Adresse selbst. Einzelne Personen lassen sich aus den Summen weder erkennen noch wiedererkennen. Rechtsgrundlage für den Zähler ist Art. 6 Abs. 1 lit. f DSGVO; eine Einwilligung ist nicht erforderlich.

Zusätzlich nutzen wir Vercel Web Analytics (Vercel Inc., siehe Ziffer 13), um zu sehen, welche Seiten wie oft aufgerufen werden. Der Dienst setzt keine Cookies und speichert nach Angaben von Vercel keine IP-Adresse; erfasst werden die aufgerufene Seite, die verweisende Seite, Land bzw. Region, Gerätetyp, Browser und Betriebssystem. Um Besuche innerhalb eines Tages zu unterscheiden, bildet Vercel aus IP-Adresse und Browserkennung einen Hash, der täglich neu gesalzen wird und nicht auf dich zurückführbar ist. Auf demselben Weg misst Vercel Speed Insights die Ladezeiten der Seiten bei echten Besuchen (Core Web Vitals), ebenfalls ohne Cookies. Adressen kürzen wir vor dem Senden um alle Parameter bis auf Kampagnen-Angaben (src, utm_…) – Tokens aus E-Mail-Links, Mailadressen und Suchbegriffe gehen also nicht mit –, der Admin-Bereich wird nicht gezählt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, die Reichweite der Seite zu kennen. Auf deinem Gerät wird dafür nichts gespeichert; die Skripte lesen im Browser nur die für die Messung nötigen Angaben aus (aufgerufene Adresse, verweisende Seite, Ladezeiten, Art der Netzverbindung) und übermitteln sie. Wir halten das für eine Reichweitenmessung, die zum Betrieb eines öffentlichen Kalenders gehört; ob dafür nach § 25 TDDDG eine Einwilligung nötig ist, ist rechtlich nicht abschließend geklärt. Zur Speicherdauer: Der Tages-Hash ist nach 24 Stunden wertlos, weil er neu gesalzen wird – länger lässt sich ein Aufruf keinem Gerät zuordnen. Die daraus entstehende Auswertung ist zusammengefasst und nicht auf einzelne Personen bezogen; einsehbar ist sie für die Dauer des Auswertungszeitraums unseres Tarifs, aktuell 12 Monate. Vercel sagt ausdrücklich, dass darüber hinaus gespeichert werden kann, damit ein größerer Tarif später ältere Zahlen zeigen könnte.

Wir arbeiten mit folgenden Dienstleistern, jeweils auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO:

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA – Hosting der Website, Dateispeicher für Flyer (Vercel Blob) und Reichweiten- und Ladezeitmessung (Vercel Web Analytics und Speed Insights, Ziffer 12). Die Website wird aus der Region Frankfurt ausgeliefert; der Dateispeicher liegt in der Region Washington, D.C. (USA). Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, „EU-U.S. Data Privacy Framework“), unter dem Vercel zertifiziert ist (Art. 45 DSGVO); zusätzlich gelten die EU-Standardvertragsklauseln, falls der Beschluss entfällt.

Neon (ein Dienst der Databricks, Inc., USA) – Datenbank. Der Datenbank-Cluster liegt in der EU (Region Frankfurt). Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln.

Resend Inc. – Versand aller Mails der Seite (Bestätigungen und Erinnerungen mit QR-Code, Änderungen und Absagen, Auswertungen für Veranstalter:innen, Warteliste, Newsletter-Bestätigung, Member-Club-Mails, Marktplatz-Nachrichten, Konto-Mails). Verarbeitet werden dabei E-Mail-Adresse und Mailinhalt; Resend speichert versendete Mails 30 Tage. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); zusätzlich gelten die EU-Standardvertragsklauseln.

650 Industries, Inc. (Expo), USA – Push-Dienst für die App (Ziffer 7a): nimmt unsere Mitteilungen entgegen und reicht sie an Apple (APNs) bzw. Google (FCM) weiter. Verarbeitet werden der Push-Token des Geräts, Titel und Text der Mitteilung und ihr Ziel in der App. Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln. Apple Inc. stellt den Zustelldienst APNs bereit; Apple ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

STRATO GmbH, Berlin – unser E-Mail-Postfach (info@friendslist.de). Dort liegen Nachrichten aus Kontakt- und Meldeformular, Antworten auf unsere Mails und unsere Antworten; Server in Deutschland.

Cloudflare, Inc. – verwaltet ausschließlich die DNS-Einträge der Domain (die Zuordnung von friendslist.de zu unserem Hoster). Die Website selbst läuft nicht über Cloudflare; Seiteninhalte oder Formulardaten sieht Cloudflare nicht.

Darüber hinaus geben wir Friendslist-Daten an die jeweilige veranstaltende Person bzw. den Club weiter – das ist der Zweck der Anmeldung und in Ziffer 4 beschrieben.

Die Standardvertragsklauseln, auf die wir uns bei Vercel, Neon, Resend und Expo stützen, sind Teil der jeweiligen Auftragsverarbeitungsverträge. Der Text der Klauseln ist im Durchführungsbeschluss (EU) 2021/914 der EU-Kommission veröffentlicht und dort frei abrufbar. Eine Kopie der mit diesen Anbietern geschlossenen Vereinbarungen stellen wir dir auf Anfrage an info@friendslist.de zur Verfügung – Geschäftsgeheimnisse und Preise darin schwärzen wir.

Über das Kontaktformular und das Meldeformular nach Art. 16 DSA erheben wir Name, E-Mail-Adresse, deine Nachricht und – bei einer Meldung – die Adresse des beanstandeten Inhalts. Diese Angaben brauchen wir, um dir zu antworten; bei einer Meldung schreibt Art. 16 Abs. 2 DSA sie ausdrücklich vor.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten) und bei Meldungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Art. 16 DSA). Wir speichern die Eingaben nicht in einer Datenbank: Sie werden ausschließlich als E-Mail an uns und als Empfangsbestätigung an dich versendet (Versanddienst Resend, Ziffer 13). Die Mails löschen wir, sobald das Anliegen erledigt ist – bei Meldungen spätestens nach drei Jahren, damit wir bei einer späteren Beschwerde noch nachweisen können, wie wir entschieden haben.

Führt eine Meldung dazu, dass wir einen Inhalt entfernen, teilen wir der Person, die ihn eingestellt hat, die Begründung mit (Art. 17 DSA). Deinen Namen und deine Adresse geben wir dabei nicht weiter, außer die Meldung selbst betrifft dich erkennbar – etwa bei einem Foto von dir.

Gegen Missbrauch der Formulare begrenzen wir die Zahl der Absendungen je Internetanschluss und Stunde. Dafür speichern wir keine IP-Adresse im Klartext, sondern nur einen kurzlebigen Zählwert zu einem Hash (Ziffer 12 gilt entsprechend).

Ticket-Buttons führen zu externen Anbietern wie Eventbrite oder Resident Advisor, Karten-Links zu Google oder Apple Maps. Tischanfragen öffnen WhatsApp oder dein Mailprogramm mit einem vorbereiteten Text an die veranstaltende Person – wir speichern die Anfrage nicht und erfahren auch nicht, ob du sie abschickst. Erst wenn du dort klickst, verlässt du unsere Seite und es gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Wir binden diese Dienste nicht ein und übertragen von uns aus keine Daten dorthin.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht: Verarbeitungen, die wir auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO – etwa Server-Logs, Sicherheitsprotokolle, Zähler und Reichweitenmessung, die Auswahl der Member-Club-Mails nach Musikrichtung), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Der Nutzung deiner Daten für Direktwerbung einschließlich der Auswahl nach Musikrichtung kannst du jederzeit ohne Begründung widersprechen – dann hört sie sofort auf. Eine formlose Mail genügt.

Schreib dafür einfach an info@friendslist.de. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren – für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Stand: Oktober 2026. Diese Erklärung beschreibt den aktuellen Stand der Verarbeitung. Wenn wir Funktionen ergänzen, passen wir sie an.