Datenschutzerklärung

Welche Daten wir verarbeiten, wenn Sie PopUp nutzen, und warum.

Diese Datenschutzerklärung gilt für die Website popupevent.org und für die PopUp Apps.

Verantwortlicher

Dorian Weissenböck, Siebenbrunnengasse 50, Top 17, 1050 Wien, Österreich
E-Mail: contact@popupevent.org

Weitere Pflichtangaben zum Medieninhaber finden Sie im Impressum.

Besuch der Website

Beim Aufruf der Website verarbeiten wir technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite sowie Browser- und Geräteinformationen. Das ist nötig, um die Seite auszuliefern und sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Wir setzen auf dieser Website keine Werbe- oder Tracking-Cookies ein. Ihre Spracheinstellung speichert Ihr Browser lokal.

Hosting und Cloudflare

Website und App-Server betreiben wir bei Hetzner Online GmbH in Deutschland. Zum Schutz vor Angriffen und Missbrauch laufen Anfragen an unsere Website über Cloudflare, das dafür technische Daten wie die IP-Adresse verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Angebot (Art. 6 Abs. 1 lit. f DSGVO). Die Datenschutzerklärung von Cloudflare: cloudflare.com/privacypolicy.

E-Mails an uns

Wenn Sie an support@, contact@ oder legal@popupevent.org schreiben, verarbeiten wir Ihre Nachricht, um Ihr Anliegen zu bearbeiten. Betreff, Nachrichtentext, mitgeschickte Bild-Anhänge (z. B. Screenshots) und der bisherige E-Mail-Verlauf werden dabei von einem KI-Dienst ausgewertet, um das Anliegen einzuordnen und eine Antwort vorzubereiten (Claude über AWS Bedrock; ersatzweise Anthropic PBC, USA, siehe „KI-Verarbeitung und Übermittlung in Drittländer“). Einfache Support-Anfragen können automatisch beantwortet werden; solche Antworten sind als KI-Antwort gekennzeichnet, und wenn Sie darauf antworten, übernimmt ein Mensch. Anfragen an contact@ und legal@ bearbeitet immer ein Mensch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Welche Daten verarbeiten wir?

Account und Profil

• Name, Benutzername, E-Mail-Adresse, Passwort (nur als Hash)
• Profilbild (optional), Profiltyp (öffentlich/privat)
• Hochschule, wenn Sie Ihren Studierenden-Status bestätigen

Nutzung der App

• Standortdaten, nur wenn Sie sie freigeben
• Chatnachrichten und -verläufe
• Events, die Sie erstellen, merken oder denen Sie beitreten
• Follower- und Freundeslisten
• Technische Nutzungs- und Fehlerdaten (z. B. App-Version, Gerätemodell, Absturzberichte)

Instagram-Verknüpfung (nur wenn Sie sie selbst vornehmen)

Es gibt keinen „Login mit Instagram“. Um zu belegen, dass Ihnen ein Instagram-Account gehört (etwa um importierte Events zu übernehmen oder als Veranstalter erkannt zu werden), schicken Sie einen Code, den die App anzeigt, von Ihrem Instagram-Account als Direktnachricht an unser Instagram-Profil. Dabei verarbeiten wir Ihren Instagram-Benutzernamen, den Nachrichtentext mit dem Code und eine technische Kennung des Nachrichtenkanals. Die Nachricht läuft über Instagram; Meta ist dafür eigenständig Verantwortlicher. Die Zustellung an uns erfolgt über ManyChat, Inc. als Auftragsverarbeiter.

Feedback und Meldungen

• Feedback und Bug-Reports
• Meldungen zu Nutzern, Events oder Nachrichten samt Grund
• Geräte- und Verbindungsinformationen in begrenztem Umfang zum Schutz vor Spam und Missbrauch

Öffentlich zugängliche Event-Informationen

Wir übernehmen Events auch aus öffentlich zugänglichen Quellen, etwa öffentlichen Instagram-Profilen von Veranstaltern, und ordnen diese Ankündigungen automatisiert, auch mit KI, ein; vor der Veröffentlichung in der App findet eine Prüfung statt. Veranstalter, deren Event so importiert wurde, finden alle Einzelheiten in der Information nach Art. 14 DSGVO: Warum ist mein Event auf PopUp?

Zwecke

• Bereitstellung der App: Account, Profil, Events, Karte, Chats, Follower, Benachrichtigungen
• Anzeige passender Events, Standortfunktionen nur mit Freigabe
• Fehleranalyse, Stabilität und Verbesserung der App
• Bearbeitung von Feedback, Meldungen und Support-Anfragen
• Moderation, IT-Sicherheit, Schutz vor Spam und Missbrauch und Durchsetzung der AGB

Moderation

Hochgeladene Bilder und Event-Texte (Titel, Beschreibung) werden vor der Veröffentlichung automatisiert auf rechtswidrige oder anstößige Inhalte geprüft (KI-Dienste von AWS, Frankfurt). Meldet ein Nutzer eine Chat-Nachricht, wird nur diese gemeldete Nachricht mit etwas Kontext von einem KI-Dienst (Claude über AWS Bedrock, Frankfurt) bewertet; die Namen der Beteiligten werden vorher durch neutrale Bezeichnungen (z. B. „Person A“) ersetzt. Es werden nicht alle Nachrichten durchsucht. Bei einem eindeutigen Verstoß kann eine Nachricht automatisch entfernt und der Zugang zum Chat eingeschränkt werden; Zweifelsfälle entscheidet ein Mensch. Gegen eine automatische Maßnahme können Sie in der App unter „Einstellungen → Moderation & Sperren“ oder per E-Mail an legal@popupevent.org Einspruch einlegen; ein Mensch prüft den Fall erneut (Art. 22 DSGVO).

KI-gestützte Event-Suche

Wo verfügbar, können Sie Events in einem Chat in eigenen Worten suchen. An den KI-Dienst übermittelt werden nur Ihre Sucheingabe, die vorangegangenen Nachrichten desselben Such-Chats, die App-Sprache sowie Datum und Uhrzeit. Nicht übermittelt werden Ihr Name, Ihre Benutzerkennung, Ihre E-Mail-Adresse, Ihr Standort oder Angaben aus Ihrem Profil. Der KI-Dienst hat keinen Zugriff auf unsere Datenbank und liefert nur Suchfilter zurück; die Suche selbst läuft auf unserem Server. Eingesetzt wird Claude über AWS Bedrock (Frankfurt), ersatzweise Anthropic PBC (USA). Wir speichern Ihre Sucheingaben nicht und legen keinen Suchverlauf an; zur Missbrauchsvermeidung zählen wir nur die Anzahl der Anfragen in einem kurzen Zeitraum. Geben Sie keine sensiblen Daten und keine Daten anderer Personen ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Weitere Funktionen

Safety-Button (SOS)

Lösen Sie auf einem Event, für das der Veranstalter den Safety-Button aktiviert hat, einen Alarm aus, übermitteln wir an das Team des Veranstalters: Ihren Benutzernamen und Ihr Profilbild, die gewählte Kategorie, Ihren Standort zum Zeitpunkt der Auslösung (soweit freigegeben) und Ihre optionale Notiz. Gegenüber dem Team ist der Alarm nicht anonym, anderen Gästen wird er nicht angezeigt. Alarme werden nach Abschluss des Vorgangs gelöscht oder anonymisiert, spätestens nach 12 Monaten, außer sie werden für ein rechtliches oder behördliches Verfahren benötigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a, d und f DSGVO.

Studierenden-Status

Zur Bestätigung geben Sie eine Hochschul-E-Mail-Adresse an, an die wir einen einmaligen Bestätigungslink senden. Die Hochschul-E-Mail-Adresse selbst speichern wir nicht, nur einen kurzlebigen Bestätigungs-Token, der nach der Bestätigung gelöscht wird, und die Zuordnung zu Ihrer Hochschule. Zweck: Zugang zu Studierenden-Events. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO.

Kamera, Fotos und Kalender

Auf Kamera und Fotomediathek greift die App nur zu, wenn Sie ein Bild aufnehmen oder auswählen bzw. einen QR-Code scannen; hochgeladen wird nur das von Ihnen ausgewählte Bild. Auf den Kalender greift die App nur zu, wenn Sie ein Event in Ihren Gerätekalender eintragen; wir lesen Ihren Kalender nicht aus. Sie können die Berechtigungen jederzeit in den Geräteeinstellungen widerrufen.

Login mit Apple und Google

Melden Sie sich mit Apple oder Google an, erhalten wir eine anbieterspezifische Nutzerkennung, Ihre E-Mail-Adresse (bei Apples „E-Mail-Adresse verbergen“ nur die Weiterleitungsadresse) und, soweit übermittelt, Ihren Namen. Wir übermitteln dabei keine Nutzungsdaten an Apple oder Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Push-Benachrichtigungen

Mit Ihrer Erlaubnis senden wir Push-Benachrichtigungen, z. B. zu Chats, Event-Einladungen und Followern. Sie können sie in den System- oder App-Einstellungen abschalten.

Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), z. B. Standort, Push, Kamera
• Vertrag (Art. 6 Abs. 1 lit. b DSGVO), z. B. Account, Events, Chats
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), z. B. IT-Sicherheit, Missbrauchsschutz, Moderation, Fehleranalyse, importierte Events

Auftragsverarbeiter und Dienstleister

Wir geben keine Daten an Werbenetzwerke weiter. Folgende Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO):

• Server-Hosting: Hetzner Online GmbH, Deutschland
• Schutz der Website: Cloudflare, Inc.
• Datenbank: Supabase Inc., EU-Region
• Dateispeicherung, E-Mail-Versand, Bildprüfung und KI: Amazon Web Services (AWS), Frankfurt (S3, SES, Rekognition, Bedrock)
• KI (Event-Einordnung und Ausfall-Ersatz): Anthropic PBC, USA
• KI (Auslesen von Event-Flyern): Google (Gemini API)
• Abruf öffentlicher Instagram-Beiträge: Apify Technologies s.r.o., Tschechien
• Instagram-Direktnachrichten für die Verknüpfung: ManyChat, Inc., USA
• Adresssuche für öffentliche Veranstaltungsorte: OpenStreetMap Foundation (Nominatim), nur Adressen bzw. Koordinaten öffentlicher Events, keine Personendaten
• Push-Benachrichtigungen: Expo sowie Apple und Google
• Karten: Mapbox
• Absturz- und Fehlerdiagnose: Sentry (Functional Software, Inc.), Verarbeitung in der EU, ohne Bildschirmaufnahmen und ohne Zuordnung zu Ihrer Identität

KI-Verarbeitung und Übermittlung in Drittländer

Unsere KI-Verarbeitung läuft vorrangig über AWS Bedrock in Frankfurt. Bestimmte Verarbeitungen finden jedoch in den USA statt: die Einordnung von Event-Daten und öffentlich zugänglichen Instagram-Beiträgen über Anthropic, das Auslesen von Flyern über Google Gemini sowie der Ausfall-Ersatz über Anthropic, wenn Bedrock nicht erreichbar ist. Bei einzelnen Modellen kann AWS Anfragen aus Kapazitätsgründen auch außerhalb der EU ausführen. In die Einordnung und das Auslesen von Flyern fließen nur Event-Daten und öffentlich zugängliche Beiträge, keine privaten Chat-Inhalte.

Auch einzelne andere Dienstleister (z. B. Supabase, Cloudflare, ManyChat, Apple, Google) können Daten außerhalb der EU verarbeiten. Wo das geschieht, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder auf EU-Standardvertragsklauseln (Art. 46 DSGVO).

Speicherdauer

• Account- und Profildaten: solange Sie Ihren Account nutzen; nach der Löschung werden sie gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen
• Chatnachrichten: bis Sie sie oder Ihren Account löschen; eine gelöschte Nachricht wird auch beim Gegenüber entfernt
• Standort: keine dauerhafte Speicherung eines Verlaufs
• Feedback und Meldungen: solange für Missbrauchsschutz und Qualitätssicherung nötig
• Safety-Alarme: spätestens nach 12 Monaten gelöscht oder anonymisiert
• Nutzungs- und Fehlerdaten: in der Regel bis zu 12 Monate, danach gelöscht oder anonymisiert
• Als rechtswidrig erkannte oder gemeldete Inhalte können zu Beweis- und Sicherheitszwecken auch über eine Account-Löschung hinaus aufbewahrt werden, soweit erforderlich und zulässig; gemeldete Nachrichtentexte werden verschlüsselt gespeichert

Sicherheit

Übertragung per HTTPS/TLS, Passwörter nur als Hash (bcrypt) und angemessene technische und organisatorische Maßnahmen.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Schreiben Sie dazu an contact@popupevent.org. Sie können sich außerdem bei der österreichischen Datenschutzbehörde beschweren: dsb.gv.at.

Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir in der App. Die aktuelle Fassung steht unter dieser Adresse und in der App.

Kontakt

E-Mail: contact@popupevent.org
Datenschutzanfragen: legal@popupevent.org

Stand: 15.10.2026