Website Privacy Policy

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder unsere mobile App „PopUp Events“ nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Datenerfassung auf dieser Website

Wer ist verantwortlich?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Kontaktdaten entnehmen Sie dem Abschnitt „Kontakt“ und dem Impressum.

Wie erfassen wir Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen (z. B. in Formularen).

3. Mobile App „PopUp Events“

Welche Daten sammelt die App?

Für die aktuelle native App gelten die ausführlichen Angaben in der App-Datenschutzerklärung. Diese Website-Policy ergänzt die Informationen für den Webauftritt.

App-Berechtigungen

Die App kann je nach Plattform Berechtigungen anfordern (z. B. Internet, Standort, Benachrichtigungen). Details stehen in der App-Privacy-Policy.

4. Hosting

Unsere Server werden betrieben von Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Serverstandort: Nürnberg, Deutschland). Für Dateispeicherung, E-Mail-Versand (AWS SES), die automatisierte Bildprüfung (AWS Rekognition) und KI-Dienste (AWS Bedrock) nutzen wir Amazon Web Services (AWS) (Region EU-Central-1, Frankfurt). Datenbankdienste werden bereitgestellt von Supabase Inc. (EU-Region).

Weitere Dienstleister und Empfänger: Apify Technologies s.r.o. (Tschechien) für den Abruf öffentlich zugänglicher Instagram-Beiträge zur Event-Recherche, ManyChat, Inc. (USA) für Instagram-Direktnachrichten beim Zuordnen von Veranstalter-Profilen, Anthropic PBC (USA) und Google LLC (USA) für bestimmte KI-Verarbeitungen (siehe Punkt 10) sowie Stripe Payments Europe, Ltd. (Irland) für die Zahlungsabwicklung (siehe Punkt 9). Alle genannten Anbieter verarbeiten Daten auf Basis geeigneter Garantien gemäß Art. 46 DSGVO bzw. eines Angemessenheitsbeschlusses.

Event-Import aus öffentlichen Instagram-Beiträgen: Ein Teil der auf PopUp gezeigten Veranstaltungen stammt aus öffentlich zugänglichen Instagram-Beiträgen von Veranstalter- und Venue-Accounts und ist in der App als importiert gekennzeichnet. Was wir dabei verarbeiten, woher die Daten stammen, wie lange wir sie speichern und wie Veranstalter den Import stoppen können, steht in der gesonderten Information nach Art. 14 DSGVO: Warum ist mein Event auf PopUp?

5. Allgemeine Hinweise

Wir behandeln personenbezogene Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

6. Server-Log-Dateien

Der Provider kann automatisch Informationen erfassen, die Ihr Browser übermittelt, z. B. Browsertyp, Betriebssystem, Referrer-URL, Uhrzeit der Anfrage und IP-Adresse.

7. Google Analytics (nur nach Einwilligung)

Auf unserer Startseite (popupevent.org) setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland; für Nutzer außerhalb des EWR: Google LLC, USA).

Einwilligung: Google Analytics wird erst geladen, nachdem Sie im Cookie-Banner auf „Akzeptieren“ geklickt haben. Klicken Sie auf „Ablehnen“ oder treffen Sie keine Auswahl, wird kein Analyse-Skript geladen und es werden keine Analyse-Daten an Google übermittelt.

Verarbeitete Daten: Aufgerufene Seiten und Zeitpunkt des Aufrufs, Referrer, Näherungswerte zu Gerät, Browser und Region sowie eine pseudonyme Kennung, die Google im Browser Ihres Geräts speichert. Die IP-Anonymisierung ist aktiviert (anonymize_ip): Ihre IP-Adresse wird gekürzt, bevor sie ausgewertet wird. Zweck ist die statistische Auswertung der Website-Nutzung zur Verbesserung unseres Angebots. Wir nutzen die Daten nicht für personalisierte Werbung.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).

Widerruf: Ihre Auswahl wird ausschließlich lokal in Ihrem Browser gespeichert (Eintrag popup_cookie_consent im localStorage dieser Website). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Klicken Sie auf der Startseite popupevent.org ganz unten im Fußbereich unter „Rechtliches“ auf „Cookie-Einstellungen“. Damit wird Ihre gespeicherte Auswahl gelöscht, der Banner erscheint erneut und Sie können „Ablehnen“ wählen; war Google Analytics in dieser Sitzung bereits geladen, wird die Seite dabei neu geladen. Alternativ können Sie die Website-Daten für popupevent.org in Ihrem Browser löschen (Cookies und Websitedaten bzw. lokaler Speicher). Zusätzlich können Sie die Erfassung durch Google über das Browser-Add-on von Google zur Deaktivierung von Google Analytics unterbinden.

Drittlandsbezug: Google kann Daten auch in den USA verarbeiten. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO). Weitere Informationen: policies.google.com/privacy.

8. Tracking im Ticket-Shop der Veranstalter

Veranstalter können in ihrem über PopUp betriebenen Ticket-Shop eigene Marketing-Pixel hinterlegen, um die Wirksamkeit ihrer Werbung zu messen. Möglich sind derzeit: Meta Pixel (Facebook/Instagram), TikTok Pixel und Google Analytics des jeweiligen Veranstalters. Ist nichts hinterlegt, findet im Shop kein Marketing-Tracking statt.

Einwilligung: Diese Pixel werden erst nach Ihrer Einwilligung im Ticket-Shop geladen. Ohne Einwilligung wird kein Pixel-Skript ausgeführt und es werden keine Daten an die genannten Anbieter übermittelt. Der für den Kauf technisch notwendige Ablauf (Bestellung, Zahlung, Ticketversand) funktioniert unabhängig davon.

Verarbeitete Daten: Bei aktivierten Pixeln werden Seitenaufrufe und Kaufereignisse im Shop (inkl. Bestellwert und Währung) sowie die dabei üblichen technischen Daten (IP-Adresse, Browser-/Geräteinformationen, Cookie- bzw. Browser-Kennungen) an den jeweiligen Anbieter übermittelt.

Verantwortlichkeit: Ob und welche Pixel eingebunden sind, entscheidet der jeweilige Veranstalter. Er ist für dieses Tracking und die damit verfolgten Werbezwecke datenschutzrechtlich (mit)verantwortlich; für die Erhebung und Übermittlung der Daten an die Anbieter besteht insoweit eine gemeinsame Verantwortlichkeit zwischen dem Veranstalter, dem jeweiligen Anbieter und PopUp (Art. 26 DSGVO). Bitte richten Sie Anliegen zu diesem Tracking an den Veranstalter; Sie können Ihre Rechte aber auch uns gegenüber geltend machen (contact@popupevent.org).

Empfänger: Meta Platforms Ireland Ltd. (Irland; Datenübermittlung an Meta Platforms, Inc., USA), TikTok Technology Limited (Irland; Datenübermittlung an TikTok-Konzernunternehmen, u. a. USA) und Google Ireland Limited / Google LLC (USA). Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Drittlandsübermittlungen werden auf EU-Standardvertragsklauseln bzw. eine Zertifizierung nach dem EU-US Data Privacy Framework gestützt (Art. 46 DSGVO).

9. Ticketkauf und Zahlungen (Web-Shop)

Über den Ticket-Shop und den Veranstalter-Shop können Tickets und Getränke gekauft werden. Dabei verarbeiten wir Bestell- und Zahlungsdaten: gekaufte Positionen, Beträge und Währung, Servicegebühr, Bestell-/Ticket-Kennungen und QR-Token, Zahlungsstatus, Zahlungs- und Erstattungsreferenzen, Kaufzeitpunkt, Ihre E-Mail-Adresse für Beleg und Ticket sowie — bei Anforderung einer Rechnung — die von Ihnen angegebenen Rechnungsdaten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).

Zahlungsdienstleister: Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. (The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland; Konzernmutter Stripe, Inc., USA). Zahlungsdaten (insbesondere Kartendaten) geben Sie direkt bei Stripe ein; Stripe ist dafür eigenständig Verantwortlicher (stripe.com/privacy). Wir speichern keine vollständigen Kartendaten, sondern nur Zahlungsreferenzen, Betrag und Status. Die Auszahlung an den Veranstalter läuft über Stripe Connect; der Veranstalter erhält die zur Vertragsabwicklung, zum Einlass und zur Buchhaltung nötigen Daten und ist dafür eigenständig Verantwortlicher. Stripe kann Daten auch außerhalb der EU/des EWR verarbeiten; Garantien nach Art. 46 DSGVO sind vorhanden.

Aufbewahrung: Belege, Rechnungen und Verkaufsaufzeichnungen bewahren wir gemäß § 132 BAO sieben Jahre auf (Beginn mit Ende des Kalenderjahres) — auch nach einer Konto-Löschung, dann datenminimiert und ausschließlich zu diesem Zweck.

10. KI-gestützte Bearbeitung von E-Mail-Anfragen

E-Mails an support@popupevent.org, contact@popupevent.org und legal@popupevent.org werden automatisiert durch einen KI-Dienst ausgewertet (Betreff, Nachrichtentext, ggf. Bild-Anhänge wie Screenshots sowie der bisherige E-Mail-Verlauf). Eingesetzt wird Claude über AWS Bedrock (Eingang in der EU; einzelne KI-Anfragen können über AWS auch außerhalb der EU/EWR verarbeitet werden — Garantien nach Art. 46 DSGVO), bei vorübergehender Nichtverfügbarkeit zusätzlich ersatzweise Anthropic PBC (USA, EU-Standardvertragsklauseln). Zweck ist die Einordnung des Anliegens und die Vorbereitung eines Antwortentwurfs; Antworten werden derzeit von einem Menschen geprüft und versendet. Einfache Routine-Support-Anfragen an support@ können automatisch beantwortet werden — solche Antworten sind stets als KI-Antwort gekennzeichnet, und eine einfache Antwort auf die E-Mail genügt, damit ein Mensch übernimmt. Anfragen an contact@ und legal@ werden inhaltlich immer von einem Menschen bearbeitet. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) bzw. Vertragserfüllung (lit. b).

KI-Verarbeitung insgesamt — auch außerhalb der EU: Unsere KI-Verarbeitung läuft primär über AWS Bedrock in Frankfurt. Bestimmte Verarbeitungen finden jedoch regelmäßig in den USA statt: die Batch-Klassifikation von Event-Daten über die Anthropic-API (Anthropic PBC, USA), die Bild- und Flyer-Analyse über Google Gemini (Google LLC, USA) sowie einzelne Modelle, die über AWS-Inference-Profile mit möglichem Routing außerhalb der EU/des EWR angesprochen werden; zusätzlich dient Anthropic (USA) als Ausfall-Fallback aller über Bedrock laufenden Aufrufe. In diese Pfade fließen Event- und Flyer-Daten sowie öffentlich zugängliche Instagram-Beiträge — keine privaten Chat-Inhalte. Absicherung über EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw. das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist. Details in der App-Datenschutzerklärung.

Veranstalter können über PopUp Werbe-Mails (Newsletter) an Personen senden, die dem ausdrücklich zugestimmt haben. Es gilt das strikte Opt-in-Prinzip — ohne Ihre Einwilligung erhalten Sie keine Werbung.

Rollen: Für die Inhalte und den Versand dieser Werbe-Mails ist der jeweilige Veranstalter datenschutzrechtlich Verantwortlicher. PopUp stellt nur die technische Plattform bereit und handelt insoweit als Auftragsverarbeiter des Veranstalters (Art. 28 DSGVO); der Versand erfolgt über unsere E-Mail-Infrastruktur (Amazon SES) mit dem Absender „[Veranstalter] via PopUp".

Zwei Wege der Einwilligung:

Anmeldefeld im Veranstalter-Shop — Double-Opt-in: Sie erhalten zuerst eine Bestätigungsmail; erst nach Klick auf den Bestätigungslink werden Sie in die Liste aufgenommen.
Häkchen beim Ticketkauf (standardmäßig nicht gesetzt) — die Anmeldung wird erst nach erfolgreicher Bestätigung Ihrer E-Mail bzw. Zahlung wirksam.

Verarbeitete Daten: E-Mail-Adresse (verschlüsselt gespeichert), Zeitpunkt der Einwilligung sowie — als gesetzlicher Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) — IP-Adresse und Browserkennung (User-Agent) zum Zeitpunkt des Opt-ins.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmelde-Link in jeder Werbe-Mail (One-Click). Danach erhalten Sie von diesem Veranstalter keine weiteren Werbe-Mails. Der Newsletter ist ausschließlich ein Web-Angebot des Veranstalter-Shops; die mobile App selbst versendet keine Werbung.

12. Promoter-Programm

Wer sich als Promoter bewirbt (popupevent.org/promoter), bewirbt Events über einen persönlichen Rabatt-Code und erhält dafür eine Provision. Es gelten zusätzlich die Teilnahmebedingungen für das Promoter-Programm.

Zweck: Abwicklung des Promoter-Programms — Prüfung der Bewerbung, Betrieb des Promoter-Kontos, Erzeugung und Zuordnung der persönlichen Rabatt-Codes, Abrechnung und Auszahlung der Provision.

Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Für die Aufbewahrung der Abrechnungsunterlagen zusätzlich die Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Datenkategorien: E-Mail-Adresse (verschlüsselt gespeichert), Anzeigename, Instagram-Handle, selbst angegebene Follower-Zahl, Bewerbungstext, Zeitpunkt des letzten Logins, Zustimmung zu den Teilnahmebedingungen (Version + Zeitpunkt) sowie die Auszahlungsdaten — Name, Anschrift und IBAN bzw. PayPal-Adresse, verschlüsselt gespeichert. Dazu kommen die aus den Käufen entstehenden Abrechnungsdaten (eingelöste Codes, Provisionsbeträge, Auszahlungen).

Empfänger: Es erfolgt keine Weitergabe an Dritte — ausgenommen die für die Überweisung notwendige Zahlungsabwicklung (Bank bzw. PayPal) sowie Weitergaben aufgrund gesetzlicher Pflichten (z. B. gegenüber Finanzbehörden). Die Codes selbst erscheinen im Konto des jeweiligen Veranstalters; nach einer Kontolöschung sind sie dort anonymisiert.

Speicherdauer: Das Promoter-Konto wird bis zu seiner Löschung gespeichert. Auszahlungs- und Abrechnungsdaten bewahren wir 7 Jahre auf (§ 132 BAO, Aufbewahrungspflicht für Buchhaltungsunterlagen) und verarbeiten sie in dieser Zeit nur noch eingeschränkt zu diesem Zweck.

Ihre Rechte: Es gelten die unter Punkt 14 genannten Betroffenenrechte, insbesondere Auskunft, Berichtigung und Löschung (Art. 17 DSGVO). Die Löschung des Promoter-Kontos können Sie jederzeit formlos per E-Mail an support@popupevent.org verlangen; sie erfolgt vorbehaltlich der oben genannten gesetzlichen Aufbewahrungsfristen.

13. Speicherdauer

Daten werden gelöscht, sobald der Zweck der Speicherung entfällt, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Newsletter-Einwilligungsnachweise werden bis zum Widerruf und darüber hinaus so lange aufbewahrt, wie dies zur Verteidigung gegen Ansprüche erforderlich ist.

14. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit
Widerspruch gegen bestimmte Verarbeitungen, Widerruf erteilter Einwilligungen
Beschwerde bei einer Datenschutzbehörde

15. Kontakt

E-Mail: contact@popupevent.org

Letzte Aktualisierung: 01.09.2026

1. Privacy at a glance

General

This overview explains what happens to your personal data when you visit this website or use the PopUp mobile app. Personal data means any information relating to an identified or identifiable person.

2. Data collection on this website

Who is responsible?

The operator of this website is responsible for processing. Contact details are provided under “Contact” and in the legal notice (Impressum).

How do we collect data?

Some data is collected when you provide it to us (e.g. via forms).

3. Mobile app “PopUp Events”

What data does the app collect?

For the current native app, please read the detailed app privacy policy. This website policy complements that information for the web presence.

App permissions

Depending on the platform, the app may request permissions (e.g. internet, location, notifications). See the app privacy policy for details.

4. Hosting

Our servers are operated by Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany (server location: Nuremberg, Germany). For file storage, email delivery (AWS SES), automated image screening (AWS Rekognition), and AI services (AWS Bedrock) we use Amazon Web Services (AWS) (region EU-Central-1, Frankfurt). Database services are provided by Supabase Inc. (EU region).

Further providers and recipients: Apify Technologies s.r.o. (Czech Republic) for retrieving publicly available Instagram posts for event research, ManyChat, Inc. (USA) for Instagram direct messages when claiming organiser profiles, Anthropic PBC (USA) and Google LLC (USA) for certain AI processing (see point 10), and Stripe Payments Europe, Ltd. (Ireland) for payment processing (see point 9). All providers process data on the basis of appropriate safeguards pursuant to Art. 46 GDPR or an adequacy decision.

Event import from public Instagram posts: Some of the events shown on PopUp come from publicly available Instagram posts of organiser and venue accounts and are labelled as imported in the app. What we process, where the data comes from, how long we keep it and how organisers can stop the import is set out in a separate notice pursuant to Art. 14 GDPR: Why is my event on PopUp?

5. General

We process personal data in accordance with applicable data protection law and this privacy policy.

6. Server log files

The hosting provider may automatically collect information your browser transmits, such as browser type, operating system, referrer URL, time of the request, and IP address.

7. Google Analytics (only with your consent)

On our home page (popupevent.org) we use Google Analytics 4, a web analytics service provided by Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland; for users outside the EEA: Google LLC, USA).

Consent: Google Analytics is only loaded after you click “Accept” in the cookie banner. If you click “Decline” or make no choice, no analytics script is loaded and no analytics data is sent to Google.

Data processed: pages viewed and the time of the visit, referrer, approximate device, browser and region information, and a pseudonymous identifier that Google stores in your browser. IP anonymisation is enabled (anonymize_ip): your IP address is truncated before it is evaluated. The purpose is statistical analysis of website use to improve our service. We do not use the data for personalised advertising.

Legal basis: your consent (Art. 6(1)(a) GDPR, § 165(3) Austrian Telecommunications Act 2021).

Withdrawal: Your choice is stored only locally in your browser (the popup_cookie_consent entry in this site's localStorage). You can withdraw your consent at any time with future effect: on the home page popupevent.org, click “Cookie settings” at the very bottom of the footer under “Legal”. This clears your stored choice, the banner reappears and you can select “Decline”; if Google Analytics had already been loaded in that session, the page is reloaded. Alternatively you can delete the site data for popupevent.org in your browser (cookies and site data / local storage). You can also prevent collection by Google using Google's browser add-on to opt out of Google Analytics.

Third-country transfers: Google may also process data in the USA. Google LLC is certified under the EU-US Data Privacy Framework; EU Standard Contractual Clauses apply in addition (Art. 46 GDPR). More information: policies.google.com/privacy.

8. Tracking in the organizer's ticket shop

Organizers can add their own marketing pixels to the ticket shop they run through PopUp in order to measure the effectiveness of their advertising. Currently possible are: the organizer's own Meta Pixel (Facebook/Instagram), TikTok Pixel, and Google Analytics. If nothing is configured, no marketing tracking takes place in the shop.

Consent: These pixels are only loaded after you consent in the ticket shop. Without consent no pixel script is executed and no data is transmitted to the providers named below. The flow technically required for the purchase (order, payment, ticket delivery) works regardless.

Data processed: where pixels are active, page views and purchase events in the shop (including order value and currency) as well as the usual technical data (IP address, browser/device information, cookie or browser identifiers) are transmitted to the respective provider.

Responsibility: The respective organizer decides whether and which pixels are embedded. The organizer is (jointly) responsible under data protection law for this tracking and the advertising purposes pursued with it; for the collection and transmission of the data to the providers there is joint controllership between the organizer, the respective provider, and PopUp (Art. 26 GDPR). Please direct requests about this tracking to the organizer; you can, however, also exercise your rights against us (contact@popupevent.org).

Recipients: Meta Platforms Ireland Ltd. (Ireland; onward transfer to Meta Platforms, Inc., USA), TikTok Technology Limited (Ireland; onward transfer to TikTok group companies, including in the USA), and Google Ireland Limited / Google LLC (USA). Legal basis: your consent (Art. 6(1)(a) GDPR). Third-country transfers are based on EU Standard Contractual Clauses or certification under the EU-US Data Privacy Framework (Art. 46 GDPR).

9. Ticket purchases and payments (web shop)

Tickets and drinks can be purchased via the ticket shop and the organizer shop. We process the related order and payment data: items purchased, amounts and currency, service fee, order/ticket identifiers and QR tokens, payment status, payment and refund references, the time of purchase, your email address for the receipt and ticket, and — if you request an invoice — the invoicing details you provide. Legal basis: performance of a contract (Art. 6(1)(b) GDPR) and legal obligations (Art. 6(1)(c) GDPR).

Payment service provider: Payments are processed by Stripe Payments Europe, Ltd. (The One Building, 1 Grand Canal Street Lower, Dublin 2, Ireland; parent company Stripe, Inc., USA). You enter payment details (in particular card data) directly with Stripe; Stripe is an independent controller for that data (stripe.com/privacy). We do not store full card details, only payment references, the amount, and the status. Payouts to the organizer run via Stripe Connect; the organizer receives the data needed to perform the contract, manage admission, and keep their books, and is an independent controller for it. Stripe may also process data outside the EU/EEA; safeguards under Art. 46 GDPR are in place.

Retention: We keep receipts, invoices, and sales records for seven years pursuant to § 132 of the Austrian Federal Fiscal Code (BAO), counted from the end of the calendar year — including after an account deletion, then reduced to the minimum and used solely for that purpose.

10. AI-assisted handling of email enquiries

Emails to support@popupevent.org, contact@popupevent.org, and legal@popupevent.org are automatically analysed by an AI service (subject, message text, any image attachments such as screenshots, and the previous email history). We use Claude via AWS Bedrock (received in the EU; individual AI requests may be processed by AWS outside the EU/EEA as well — safeguards under Art. 46 GDPR), with an additional fallback via Anthropic PBC (USA, EU Standard Contractual Clauses) if the service is temporarily unavailable. The purpose is classifying the enquiry and preparing a draft reply; replies are currently reviewed and sent by a human. Simple routine support enquiries to support@ may be answered automatically — such replies are always marked as AI-generated, and simply replying to the email is enough to have a human take over. Enquiries to contact@ and legal@ are always handled substantively by a human. Legal basis: legitimate interest (Art. 6(1)(f) GDPR) or performance of contract (point (b)).

AI processing overall — including outside the EU: Our AI processing runs primarily via AWS Bedrock in Frankfurt. However, certain processing regularly takes place in the USA: the batch classification of event data via the Anthropic API (Anthropic PBC, USA), the image and flyer analysis via Google Gemini (Google LLC, USA), and individual models addressed through AWS inference profiles that may route outside the EU/EEA; in addition, Anthropic (USA) serves as an outage fallback for all calls that normally run through Bedrock. These paths receive event and flyer data as well as publicly available Instagram posts — no private chat content. Transfers are safeguarded by EU Standard Contractual Clauses (Art. 46 GDPR) or the EU-US Data Privacy Framework where the recipient is certified. Details in the app privacy policy.

Organizers can send marketing emails (newsletters) via PopUp to people who have explicitly opted in. A strict opt-in principle applies — you receive no advertising without your consent.

Roles: The respective organizer is the data controller for the content and sending of these marketing emails. PopUp only provides the technical platform and acts as the organizer's processor (Art. 28 GDPR); sending runs through our email infrastructure (Amazon SES) with the sender "[Organizer] via PopUp".

Two ways to consent:

Sign-up field in the organizer shop — double opt-in: you first receive a confirmation email and are only added to the list after clicking the confirmation link.
Checkbox at ticket checkout (off by default) — the sign-up only takes effect after your email is confirmed or payment succeeds.

Data processed: email address (stored encrypted), the time of consent, and — as the legally required proof of consent (Art. 7(1) GDPR) — the IP address and browser identifier (user agent) at the time of opt-in.

Legal basis: your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with future effect via the unsubscribe link in every marketing email (one click). You will then receive no further marketing emails from that organizer. The newsletter is solely a web feature of the organizer shop; the mobile app itself sends no advertising.

12. Promoter programme

Anyone applying as a promoter (popupevent.org/promoter) advertises events using a personal discount code and earns a commission for it. The promoter programme terms apply in addition.

Purpose: running the promoter programme — reviewing the application, operating the promoter account, creating and attributing the personal discount codes, and accounting for and paying out the commission.

Legal basis: performance of a contract and pre-contractual steps (Art. 6(1)(b) GDPR). For retaining the accounting records additionally compliance with a legal obligation (Art. 6(1)(c) GDPR).

Categories of data: email address (stored encrypted), display name, Instagram handle, self-reported follower count, application text, time of the last login, acceptance of the programme terms (version + timestamp), and the payout details — name, address and IBAN or PayPal address, stored encrypted. In addition, the accounting data arising from purchases (redeemed codes, commission amounts, payouts).

Recipients: there is no disclosure to third parties — except for the payment processing required to make the transfer (bank or PayPal) and disclosures required by law (e.g. to tax authorities). The codes themselves appear in the respective organizer's account; after an account deletion they are anonymised there.

Retention: the promoter account is stored until it is deleted. Payout and accounting data is kept for 7 years (§ 132 of the Austrian Federal Fiscal Code, retention obligation for accounting records) and is only processed on a restricted basis for that purpose during this time.

Your rights: the data subject rights listed under point 14 apply, in particular access, rectification and erasure (Art. 17 GDPR). You can request deletion of your promoter account at any time by an informal email to support@popupevent.org; it takes place subject to the statutory retention periods stated above.

13. Retention

We delete data when the purpose of storage no longer applies, unless statutory retention periods require longer storage. Newsletter consent records are kept until withdrawal and beyond for as long as needed to defend against claims.

14. Your rights

Access, rectification, erasure, restriction of processing, data portability
Object to certain processing, withdraw consent where processing is based on consent
Lodge a complaint with a supervisory authority

15. Contact

Email: contact@popupevent.org

Last updated: 1 Sep 2026

Privacy Policy

1. Datenschutz auf einen Blick

Allgemeine Hinweise

2. Datenerfassung auf dieser Website

Wer ist verantwortlich?

Wie erfassen wir Daten?

3. Mobile App „PopUp Events“

Welche Daten sammelt die App?

App-Berechtigungen

4. Hosting

5. Allgemeine Hinweise

6. Server-Log-Dateien

7. Google Analytics (nur nach Einwilligung)

8. Tracking im Ticket-Shop der Veranstalter

9. Ticketkauf und Zahlungen (Web-Shop)

10. KI-gestützte Bearbeitung von E-Mail-Anfragen

11. Newsletter & Werbe-Mails von Veranstaltern

12. Promoter-Programm

13. Speicherdauer

14. Ihre Rechte

15. Kontakt

Privacy Policy

1. Privacy at a glance

General

2. Data collection on this website

Who is responsible?

How do we collect data?

3. Mobile app “PopUp Events”

What data does the app collect?

App permissions

4. Hosting

5. General

6. Server log files

7. Google Analytics (only with your consent)

8. Tracking in the organizer's ticket shop

9. Ticket purchases and payments (web shop)

10. AI-assisted handling of email enquiries

11. Newsletter & marketing emails from organizers

12. Promoter programme

13. Retention

14. Your rights

15. Contact