Privacy

Verantwortlicher / Who is responsible for your data

Deutsch

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten auf der Plattform Vamoo ist der im Impressum genannte Betreiber: Nicolai Schmid, Glasbläserhöfe 16b, 21035 Hamburg, Deutschland, E-Mail: hi@nicolaischmid.com. Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen.

Vamoo ist eine Plattform, auf der Veranstalter Tickets für ihre eigenen Veranstaltungen verkaufen. Daraus ergeben sich zwei Rollen:

• Für Ihren Ticketkauf ist der Veranstalter Verantwortlicher. Er entscheidet, welche Veranstaltung er anbietet, welche Angaben er von Teilnehmenden erhebt, wie lange er Bestelldaten für seine Zwecke aufbewahrt und wie er sie nutzt. Vamoo verarbeitet Bestell-, Ticket- und Einlassdaten in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO, auf Grundlage des Auftragsverarbeitungsvertrags. Ein neuer Veranstalter nimmt ihn mit den Veranstalterbedingungen an; gegenüber einem Veranstalter, der bei seinem Inkrafttreten bereits über Vamoo verkaufte, ist Vamoo seit diesem Datum daran gebunden. Die Speicherfristen auf dieser Seite wendet Vamoo als Teil seiner Verarbeitungsbedingungen einheitlich für jeden Veranstalter an; ein Veranstalter kann sie nicht verändern.
• Für den Betrieb der Plattform selbst ist Vamoo Verantwortlicher: für Konten und Anmeldung, für die Zustellprotokolle der E-Mails, für Sicherheits- und Prüfprotokolle, für technische Server-Protokolle und für die Bearbeitung von Datenschutzanfragen, die bei uns eingehen.

Für Fragen zu einer bestimmten Bestellung ist der Veranstalter Ihr erster Ansprechpartner. Sie können sich aber jederzeit auch an uns wenden; wir beantworten Ihr Anliegen, soweit es die Plattform betrifft, und leiten es andernfalls an den Veranstalter weiter.

English

The controller within the meaning of Art. 4(7) GDPR for the processing of personal data on the Vamoo platform is the operator named in the Imprint: Nicolai Schmid, Glasbläserhöfe 16b, 21035 Hamburg, Germany, email: hi@nicolaischmid.com. No data protection officer has been appointed, because the conditions of Art. 37 GDPR and § 38 BDSG (German Federal Data Protection Act) are not met.

Vamoo is a platform on which organizers sell tickets to their own events. That produces two roles:

• For your ticket purchase the organizer is the controller. They decide which event to offer, which details to collect from attendees, how long to keep order data for their own purposes and how to use it. Vamoo processes order, ticket and admission data on their behalf as a processor under Art. 28 GDPR, under the Data Processing Agreement. A new organizer accepts it with the Organizer Terms; for an organizer already selling on Vamoo when it took effect, Vamoo has been bound by it since that date. Vamoo applies the retention periods on this page uniformly for every organizer as part of its processing terms; an organizer cannot change them.
• For the platform itself Vamoo is the controller: for accounts and sign-in, for the delivery log of the emails it sends, for security and audit logs, for technical server logs, and for handling the data protection requests that reach us.

For a question about a specific order the organizer is your first point of contact. You can always contact us as well; we answer where the platform is concerned and otherwise pass your request on to the organizer.

Kein Tracking / No tracking

Deutsch

Vamoo lädt keine Analyse-, Werbe- oder Social-Media-Skripte. Es gibt keinen Cookie-Banner, weil es nichts gibt, wofür eine Einwilligung einzuholen wäre: Alles, was die Tabelle unten aufführt, ist entweder nötig, um Sie anzumelden, Ihre Plätze zu halten und Ihre Zahlung abzuwickeln, oder eine Einstellung, die Sie selbst geändert haben.

Das meiste davon ist gelöscht, wenn Sie den Tab schließen. Drei Dinge bleiben länger, und sie sollen hier ausdrücklich genannt werden:

• Ihr Anmelde-Cookie bleibt, bis Sie sich abmelden, und wird beim Surfen erneuert. Genau das bedeutet „angemeldet sein". Die Tabelle nennt ihn und sagt, wer ihn setzt.
• Zwei Kennungen von Stripe, die nur im Zahlungsschritt gesetzt werden, behalten die von Stripe bestimmte Dauer: etwa ein Jahr die eine, eine halbe Stunde die andere. Vamoo lädt Stripe.js von Stripes eigenen Servern, weil Stripe das verlangt; Stripe setzt diese Kennungen selbst für seine Betrugsprüfung, und Vamoo liest sie nie.
• Ihre Darstellungseinstellung der Dokumentation, wenn Sie unter /docs zwischen hell und dunkel wechseln. Sie ist der einzige Eintrag im Local Storage; sie wird nur in Ihrem Browser gelesen, um die gewählte Darstellung wiederherzustellen, nie an unsere Server gesendet, und sie identifiziert niemanden.

Zwei weitere eigene Cookies leben nur Augenblicke: einer verbindet die Anmeldung, die Sie begonnen haben, mit ihrer Rückkehr und wird gelöscht, sobald sie abgeschlossen ist; der andere trägt für 120 Sekunden Ihre einmalige Zahlungsberechtigung vom Bestellvorgang zur Zahlungsseite. Die Tabelle nennt beide. Alles andere — Ihr Warenkorb, Ihr Platz im Bestellvorgang, die Schlüssel, mit denen Sie Ihre eigene Bestellung oder Ihr Ticket wieder öffnen — liegt im Session Storage, den Ihr Browser beim Schließen des Tabs verwirft.

English

Vamoo loads no analytics, no advertising and no social pixels. There is no cookie banner because there is nothing to ask consent for: everything listed below is either needed to sign you in, hold your places and take your payment, or a setting you changed yourself.

Most of what the table lists is gone when you close the tab. Three things are not, and they deserve naming here rather than leaving you to work it out from the lifetime column:

• Your sign-in cookie lasts until you sign out, and is refreshed while you browse. That is what being signed in is. The table names it and says who sets it.
• Stripe's two identifiers, set on the payment step only, keep Stripe's own lifetimes: about a year for one, half an hour for the other. Vamoo loads Stripe.js from Stripe's own servers because Stripe requires it, Stripe sets these itself for its fraud checks, and Vamoo never reads them.
• Your documentation appearance, if you switch /docs between light and dark. It is the only entry in local storage; it is read only in your browser to restore the appearance you chose, never sent to our servers, and it identifies nobody.

Two further first-party cookies live only for moments: one ties the sign-in you started to the one that comes back and is deleted once it completes; the other carries your one-time payment credential from checkout to the payment page for 120 seconds. The table names both. Everything else — your cart, your place in a checkout, the tokens that let you back into your own order or ticket — is session storage, which your browser discards when the tab closes.

Was in Ihrem Browser gespeichert wird / What is stored in your browser

Deutsch

Die folgende Tabelle wird unmittelbar aus dem Programmcode erzeugt, damit sie nicht von dem abweichen kann, was die Software tatsächlich tut; sie ist deshalb in englischer Sprache. Sie nennt jeden Cookie, jeden Speichereintrag und jedes fremde Skript mit Zweck, Speicherdauer und demjenigen, der ihn setzt.

English

The table below is generated from the code itself, so that it cannot drift from what the software actually does. It names every cookie, storage key and third-party script with its purpose, lifetime and who sets it.

Welche Daten Vamoo speichert, und wie lange / What data Vamoo holds, and for how long

Deutsch

Vamoo speichert, was Sie eingeben und was ein Kauf erzeugt:

• Konto und Anmeldung: E-Mail-Adresse, Name, die Kennung Ihres Kontos bei unserem Anmeldedienst und die Anmeldevorgänge, die dieser Dienst für Ihr Konto protokolliert.
• Bestellungen: Name und E-Mail-Adresse des Käufers, Rechnungsland und Rechnungsanschrift, bei Geschäftskunden Firma und Umsatzsteuer-Identifikationsnummer, die bestellten Tickets, Preise, Zahlungsart und Zahlungsstand, die beim Kauf akzeptierten Veranstaltungsbedingungen, die Herkunftsparameter des Links, über den Sie zur Veranstaltung gekommen sind (Kampagnenkennungen wie utm-Parameter), und gegebenenfalls eine kurze Notiz des Veranstalters, wenn eine unbezahlte Bestellung storniert wurde. Ältere Bestellungen können zusätzlich eine gespeicherte Werbeeinwilligung mit Zeitpunkt tragen, aus der Zeit, als der Bestellvorgang danach fragte; sie wird für nichts verwendet und in Ihrer Datenauskunft ausgewiesen.
• Rechnungen: Rechnungsempfänger, Anschrift, Positionen, Beträge und Steuern, als druckfähiges Dokument und, soweit die Rechnung dafür in Betracht kommt, zusätzlich als strukturierte elektronische Rechnung.
• Zahlungen und Erstattungen: die Referenz des Zahlungsvorgangs bei Stripe oder die Überweisungsreferenz, Beträge, Zeitpunkte und bei Erstattungen die Begründung des Veranstalters. Ihre eigenen Karten- und Kontodaten speichert Vamoo nicht; die Bankverbindung des Veranstalters, an die Sie überweisen, ist Teil seines Verkäuferprofils und wird mit Ihrer Bestellung festgehalten.
• Tickets: Name und E-Mail-Adresse der Person, die das Ticket hält, Einladungen und Übertragungen an andere Personen, Wartelisten-Einträge und die Zusatzangaben, die der Veranstalter zum Ticket erfragt (heute möglich: Unternehmen, Funktion und der Link zu einem öffentlichen Profil), soweit Sie sie ausfüllen.
• Einlass: wann ein Ticket am Einlass geprüft wurde, mit welchem Gerät und durch welches Personal, gegebenenfalls eine kurze Notiz des Personals.
• E-Mail-Zustellung: an welche Adresse welche Nachricht (Betreff) wann gesendet und ob sie zugestellt wurde, einschließlich der Empfängerlisten für Erinnerungen, Absagen und neue Termine einer Veranstaltung. Der Inhalt der Nachrichten wird nicht im Zustellprotokoll gespeichert; der Text einer vom Veranstalter verfassten Nachricht wird nur für die Dauer der Zustellversuche mit dem Sendeauftrag vorgehalten.
• Sperrliste: Adressen, an die nicht mehr gesendet werden darf — nach einer Unzustellbarkeit oder einer Beschwerde —, gespeichert nur als kryptografischer Schlüsselwert, nicht im Klartext.
• Protokolle: Sicherheits- und Prüfprotokolle über Aktionen des Veranstalter-Personals und der Plattform-Administratoren, sowie technische Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Adresse) bei unserem Hosting-Anbieter.
• Datenschutzanfragen: die Auskunftsanfragen, die Sie über Ihr Ticketkonto stellen, mit Zeitpunkt, Stand und Ergebnis. Eine per E-Mail gestellte Anfrage — insbesondere eine Löschanfrage — wird heute nur im Postfach des Betreibers festgehalten (siehe unten).

Veranstalter-Konten enthalten zusätzlich die Angaben zum Personal, zum Verkäuferprofil (Firma, Anschrift, Steuernummern), zu den Veranstaltungen und zum Zahlungsempfang (Stripe-Konto, Bankverbindung), die ihre Inhaber anlegen.

Speicherfristen. Die Fristen richten sich nach dem Zweck:

• Rechnungen, Gutschriften, Zahlungen und Erstattungen: mindestens zehn Jahre ab Ausstellung, wegen der handels- und steuerrechtlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Die zehn Jahre sind die Frist, vor deren Ablauf nichts gelöscht wird; eine automatische Löschung nach ihrem Ablauf ist noch nicht gebaut, bis dahin bleiben diese Unterlagen auch darüber hinaus erhalten. Die Frist ist für alle Verkäuferländer einheitlich die längste in Betracht kommende.
• Bestellungen, Tickets, Einladungen, Übertragungen und Wartelisten-Einträge: vorgesehen sind die Dauer des Vertrags und danach drei Jahre, entsprechend der regelmäßigen Verjährungsfrist des § 195 BGB, für Rückfragen, Reklamationen und Streitfälle. Ein automatischer Löschlauf für diese Frist ist noch nicht gebaut; bis dahin werden diese Daten nicht nach Zeitablauf gelöscht. Was eine Löschanfrage bewirkt, steht unten.
• Konto (Name, E-Mail-Adresse, Anmeldekennung): bis Sie die Löschung verlangen.
• E-Mail-Zustellprotokoll einschließlich der Empfängerlisten für Erinnerungen, Absagen und neue Termine: ein Jahr nach Abschluss der Zustellung; danach löscht ein automatischer Löschlauf die Einträge.
• Protokoll der Einlassgeräte: nach 24 Stunden anonymisiert und 90 Tage nach dieser Anonymisierung gelöscht. Der dauerhafte Einlassnachweis bleibt beim Ticket (drei Jahre, siehe oben).
• Datenschutzanfragen: drei Jahre nach Abschluss als Nachweis der Bearbeitung (Art. 5 Abs. 2 DSGVO). Die Exportdatei selbst wird sieben Tage nach Bereitstellung gelöscht.
• Sperrliste: unbefristet, weil der Eintrag genau das ist, was einen weiteren Versand an eine unzustellbare Adresse oder an eine Adresse, von der eine Beschwerde kam, verhindert. Gespeichert wird nur der Schlüsselwert, nie die Adresse.
• Einladungen an Personal: 90 Tage nach Annahme, Widerruf, Ablauf oder Fehlschlag der Einladung.
• Anmeldecodes für die Übernahme eines Tickets (E-Mail-Adresse, Sendezeitpunkte, Sende- und Fehlversuchszähler): derzeit ohne feste Löschfrist aufbewahrt, auch nach Gebrauch.
• Zugriffsrechte des Personals (Anmeldekennungen der Teammitglieder und Plattform-Administratoren): für die Dauer des Zugriffs; nach dem Entzug bleibt der Eintrag derzeit ohne feste Löschfrist als Nachweis erhalten.
• Ausgangsprotokolle von Schnittstellen zu Veranstalter-Systemen (Webhooks): 30 Tage nach der Zustellung oder nach dem endgültigen Fehlschlag, dann automatisch gelöscht. Sie enthalten keine Namen oder E-Mail-Adressen, aber Bestellnummern, Beträge und Kennungen, die über die Bestellung einer Person zuzuordnen sind.
• Vom Veranstalter erzeugte Exportdateien (Bestell- und Abschlusslisten mit Käufername und E-Mail-Adresse): sieben Tage nach Erstellung, dann gelöscht.
• Herkunftsparameter eines Bestellvorgangs (Kampagnenkennungen), die nicht zu einer Bestellung geführt haben: derzeit ohne feste Löschfrist — ein abgelaufener Bestellvorgang wird als abgelaufen markiert, aber nicht gelöscht; sie sind keiner Person zugeordnet.
• Nachrichten über das Kontaktformular (Name, E-Mail-Adresse, Anliegen, bei einer Meldung die gemeldete Adresse und Ihre Bestätigung, dass die Angaben nach bestem Wissen richtig und vollständig sind (Name und E-Mail-Adresse können bei Meldungen von Missbrauchsdarstellungen fehlen)): zwölf Monate nach Eingang, dann gelöscht. Die Kopie, die als E-Mail im Google-Workspace-Postfach des Betreibers eingeht, wird nach zwölf Monaten gelöscht, es sei denn, sie muss als Nachweis einer Anfrage oder als Geschäftskorrespondenz länger aufbewahrt werden (bis zu sechs Jahre, § 147 AO).
• Sicherheits- und Prüfprotokolle über Aktionen des Personals und der Plattform-Administratoren: unbefristet.
• Server-Protokolle beim Hosting-Anbieter: ein Tag; das ist die Aufbewahrungsdauer der Laufzeitprotokolle im von Vamoo genutzten Vercel-Tarif (Pro). Vamoo leitet diese Protokolle an keinen anderen Dienst weiter.

Wo oben steht, dass ein Löschlauf noch nicht gebaut ist, werden die Daten bis dahin nicht nach Zeitablauf gelöscht; die genannte Frist ist dann die vorgesehene, nicht die durchgesetzte.

Was eine Löschanfrage bewirkt. Verlangen Sie die Löschung, bestätigen wir den Eingang, prüfen Ihre Identität (siehe „Ihre Rechte") und stellen Ihnen Ihre Datenauskunft bereit, damit Sie und wir vom selben Bestand ausgehen. Gelöscht oder unkenntlich gemacht wird, was keiner Aufbewahrungspflicht und keinem laufenden Vertrag unterliegt: Name und E-Mail-Adresse werden durch einen neutralen Wert ersetzt, Rechnungsanschrift, Firmenangaben und Zusatzangaben werden entfernt, Wartelisten-Einträge und offene Einladungen werden beendet, und ein Anmeldekonto bei unserem Anmeldedienst wird gelöscht. Ausgestellte Rechnungen, Zahlungen und Erstattungen bleiben für die Dauer der Aufbewahrungsfrist unverändert erhalten (Art. 17 Abs. 3 lit. b DSGVO) und werden nur noch für diesen Zweck verwendet. Solange ein Vertrag läuft — ein gültiges Ticket für eine künftige Veranstaltung, eine unbezahlte Bestellung, eine offene Erstattung oder Übertragung —, teilen wir Ihnen mit, welche Daten wir bis wann noch benötigen und ab wann die Löschung möglich ist. Ein automatischer Löschlauf dafür ist noch nicht gebaut. Bis er bereitsteht, gilt: Ihr Anmeldekonto wird sofort gelöscht; die übrigen Daten benennen wir Ihnen in unserer Antwort und löschen sie, sobald der Löschlauf vorhanden ist; und eine Adresse kann auf Anfrage noch nicht für den E-Mail-Versand gesperrt werden, sodass Nachrichten zu Ihren bestehenden Bestellungen sie weiterhin erreichen können. Ihr Antrag wird mit Eingangsdatum im Postfach des Betreibers festgehalten, nicht innerhalb von Vamoo. Die Monatsfrist des Art. 12 Abs. 3 DSGVO gilt für unsere Antwort in jedem Fall.

English

Vamoo holds what you enter and what a purchase produces:

• Account and sign-in: email address, name, the identifier of your account at our sign-in provider, and the sign-in events that provider records for your account.
• Orders: the buyer's name and email address, billing country and billing address, for business buyers the company and VAT id, the tickets ordered, prices, payment method and payment state, the event terms accepted at purchase, the attribution parameters of the link that brought you to the event (campaign identifiers such as utm parameters), and, where an unpaid order was cancelled, a short note by the organizer. Older orders may additionally carry a stored marketing consent with its timestamp, from the time checkout asked for one; it is used for nothing and is listed in your data export.
• Invoices: the billed party, address, line items, amounts and taxes, as a print-ready document and, where the invoice qualifies for it, also as a structured electronic invoice.
• Payments and refunds: the reference of the payment at Stripe or the bank-transfer reference, amounts, timestamps and, for refunds, the organizer's reason. Vamoo does not store your own card or bank account details; the organizer's bank details you transfer to are part of their seller configuration and are recorded with your order.
• Tickets: the name and email address of the person holding the ticket, invitations and transfers to other people, waitlist entries, and the additional details the organizer asks for per ticket (today: company, role and a link to a public profile), where you fill them in.
• Admission: when a ticket was checked at the door, with which device and by which staff member, and where applicable a short staff note.
• Email delivery: which message (subject) was sent to which address when, and whether it was delivered, including the recipient lists for an event's reminders, cancellation and new dates. Message bodies are not kept in the delivery log; the text of a message written by the organizer is held with the send job only for as long as delivery is being attempted.
• Suppression list: addresses that must not be mailed again — after a bounce or a complaint — stored only as a cryptographic key, never in clear text.
• Logs: security and audit logs of actions by organizer staff and platform administrators, and technical server logs (IP address, time, address requested) at our hosting provider.
• Data protection requests: the access requests you make through your ticket account, with time, state and outcome. A request made by email — an erasure request in particular — is today recorded only in the operator's mailbox (see below).

Organizer accounts additionally carry the staff, seller profile (company, address, tax identifiers), event and payment-receipt configuration (Stripe account, bank details) their owners create.

Retention periods. The periods follow the purpose:

• Invoices, credit notes, payments and refunds: at least ten years from issuance, under the commercial and tax retention duties (Art. 6(1)(c) GDPR). The ten years are the period before which nothing is deleted; automatic deletion after it is not built yet, so until then these records are kept beyond it as well. The period is the same for every seller country: the longest one that can apply.
• Orders, tickets, invitations, transfers and waitlist entries: the intended period is the life of the contract and three years after it, matching the regular German limitation period of § 195 BGB, for follow-up questions, complaints and disputes. The automatic sweep for this period is not built yet; until it is, this data is not deleted by age. What an erasure request does is described below.
• Account (name, email address, sign-in identifier): until you ask for erasure.
• Email delivery log, including the recipient lists for reminders, cancellation and new dates: one year after delivery concluded; an automatic sweep then deletes the entries.
• Door-device log: anonymised after 24 hours and deleted 90 days after that anonymisation. The durable admission record stays with the ticket (three years, see above).
• Data protection requests: three years after completion, as evidence that they were handled (Art. 5(2) GDPR). The export file itself is deleted seven days after it was made available.
• Suppression list: indefinitely, because the entry is exactly what stops another email reaching an undeliverable address or one that complained. Only the key is stored, never the address.
• Staff invitations: 90 days after acceptance, revocation, expiry or failure of the invitation.
• Sign-in codes for claiming a ticket (email address, send times, send and failed-attempt counters): currently kept with no fixed deletion period, also after use.
• Staff access records (sign-in identifiers of team members and platform administrators): for the duration of the access; after it is revoked the record is currently kept with no fixed deletion period, as evidence.
• Outbound logs of integrations with organizer systems (webhooks): 30 days after delivery or after the final failure, then deleted automatically. They carry no names or email addresses, but order references, amounts and identifiers that link to a person through the order.
• Export files produced by the organizer (order and closing lists with buyer name and email address): seven days after creation, then deleted.
• Attribution parameters of a checkout (campaign identifiers) that did not lead to an order: currently no fixed deletion period — an expired checkout is marked expired but not deleted; they are linked to no person.
• Messages sent through the contact form (name, email address, the message, and for a report the reported address and your confirmation that the information is accurate and complete to the best of your knowledge (a report of abuse material may leave out the name and email address)): twelve months after receipt, then deleted. The copy delivered by email to the operator's Google Workspace mailbox is deleted after twelve months, unless it must be kept longer as evidence of a request or as business correspondence (up to six years, § 147 AO).
• Security and audit logs of staff and platform-administrator actions: indefinitely.
• Server logs at the hosting provider: one day, which is the runtime-log retention of the Vercel plan Vamoo uses (Pro). Vamoo forwards these logs to no other service.

Where a row above says that a sweep is not built yet, the data is not deleted by age until it is; the period named there is the intended one, not the enforced one.

What an erasure request does. If you ask for erasure, we confirm receipt, verify your identity (see "Your rights") and provide your data export, so that you and we work from the same record. What is deleted or made unrecognisable is everything not subject to a retention duty or a live contract: name and email address are replaced by a neutral value; billing address, company details and additional answers are removed; waitlist entries and open invitations are ended; and a sign-in account at our sign-in provider is deleted. Issued invoices, payments and refunds stay unchanged for the retention period (Art. 17(3)(b) GDPR) and are used for that purpose only. While a contract is live — a valid ticket for a future event, an unpaid order, a pending refund or transfer — we tell you which data we still need until when, and from when erasure is possible. An automatic erasure job for this is not built yet. Until it is: your sign-in account is deleted immediately; the remaining data is named in our answer and deleted as soon as the erasure job exists; and an address cannot yet be blocked from receiving email on request, so messages about your existing orders may still reach it. Your request is recorded with its date of receipt in the operator's mailbox, not inside Vamoo. The one-month period of Art. 12(3) GDPR applies to our answer in every case.

Rechtsgrundlagen / Legal basis

Deutsch

• Vertrag, Art. 6 Abs. 1 lit. b DSGVO: Bestellung, Rechnung und Ticket; die E-Mails, die Bestellung und Ticket zustellen und an die gebuchte Veranstaltung erinnern; Einlass; Warteliste; Übertragung und Einladung eines Tickets; Ihr Konto zur Anzeige Ihrer Tickets; die Zusatzangaben, die der Veranstalter zum Ticket erfragt.
• Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO: die Aufbewahrung von Rechnungen und Zahlungsdaten; die Beantwortung von Datenschutzanfragen; die Bearbeitung von Meldungen rechtswidriger Inhalte (Art. 16 der Verordnung (EU) 2022/2065).
• Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO: die Betrugsprüfung bei Online-Zahlungen über Stripe — unser Interesse und das des Veranstalters, Zahlungsausfälle und Missbrauch zu vermeiden, überwiegt, weil die Prüfung auf den Zahlungsvorgang beschränkt ist, den Sie selbst auslösen; Sicherheits- und Prüfprotokolle über Personal-Aktionen, damit Eingriffe in Bestellungen nachvollziehbar bleiben; technische Server-Protokolle für Betriebssicherheit und Fehlersuche; die Sperrliste, die auch in Ihrem Interesse unerwünschten Versand verhindert; die Aufbewahrung von Bestelldaten nach Vertragsende für Rückfragen und Streitfälle; der Nachweis, dass Datenschutzanfragen bearbeitet wurden; die Beantwortung von Nachrichten über das Kontaktformular.
• Einwilligung, Art. 6 Abs. 1 lit. a DSGVO: Auf Einwilligung stützt Vamoo keine Verarbeitung. Es gibt keinen Newsletter, und im Bestellvorgang wird keine Werbeeinwilligung abgefragt; deshalb gibt es auch keinen Cookie-Banner. Veranstalter können über Vamoo heute nur veranstaltungsbezogene Nachrichten an Ticketinhaber senden (Bestätigung, Erinnerung, Absage, neue Termine).

Soweit der Veranstalter Verantwortlicher ist, gelten die von ihm genannten Rechtsgrundlagen; sie sind für den Ticketkauf dieselben.

English

• Contract, Art. 6(1)(b) GDPR: the order, invoice and ticket; the emails that deliver the order and the ticket and remind you of the event you booked; admission; the waitlist; transferring a ticket or inviting someone to one; your account for seeing your tickets; the additional details the organizer asks for per ticket.
• Legal obligation, Art. 6(1)(c) GDPR: retaining invoices and payment records; answering data protection requests; handling reports of illegal content (Art. 16 of Regulation (EU) 2022/2065).
• Legitimate interest, Art. 6(1)(f) GDPR: fraud screening of online payments through Stripe — our interest and the organizer's in avoiding payment failure and abuse prevails, because the screening is confined to a payment you yourself initiate; security and audit logs of staff actions so that interventions in orders remain traceable; technical server logs for operational security and troubleshooting; the suppression list, which prevents unwanted email in your interest too; keeping order data after the contract ends for follow-up questions and disputes; evidence that data protection requests were handled; answering messages sent through the contact form.
• Consent, Art. 6(1)(a) GDPR: Vamoo bases no processing on consent. There is no newsletter and checkout asks for no marketing consent, which is also why there is no cookie banner. Today organizers can send ticket holders only event-related messages through Vamoo (confirmation, reminder, cancellation, new dates).

Where the organizer is the controller, the legal bases they state apply; for the ticket purchase they are the same as above.

Wer die Daten verarbeitet / Who processes it

Deutsch

Empfänger. Ihre Bestell- und Ticketdaten erhält der Veranstalter der Veranstaltung, für die Sie kaufen, und das von ihm berechtigte Personal — er ist dafür Verantwortlicher. Zahlungsdaten erhält bei Online-Zahlung Stripe (Karte oder eine andere Zahlart, die Stripe anbietet und der Veranstalter freigeschaltet hat), bei Überweisung Ihre Bank und die Bank des Veranstalters. An Behörden geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind.

Auftragsverarbeiter. Die folgenden Dienste sehen personenbezogene Daten in unserem Auftrag. Karten- und sonstige Zahlungsdaten der Online-Zahlung sind die Ausnahme, die ausdrücklich genannt werden soll: Sie gehen aus Ihrem Browser direkt an Stripe und erreichen Vamoo nie. Die Tabelle wird aus dem Programmcode erzeugt und ist deshalb in englischer Sprache; sie nennt für jeden Dienst die Rolle, die Daten, die Verarbeitungsregion und den Auftragsverarbeitungsvertrag.

Übermittlung in Drittländer. Die Datenbank von Vamoo bei Convex liegt in Irland, also innerhalb der EU; Convex, Inc. (USA) betreibt den Dienst und kann für Support und Betrieb von den USA aus darauf zugreifen. Die Serverfunktionen der Website laufen bei Vercel in Frankfurt, also ebenfalls in der EU; Vercel Inc. (USA) betreibt den Dienst, und die Seiten werden über sein weltweites Edge-Netz ausgeliefert. WorkOS und Resend sind Unternehmen mit Sitz in den USA und verarbeiten dort. Stripe schließt mit Konten im Europäischen Wirtschaftsraum über Stripe Payments Europe Limited (Irland) ab, übermittelt Daten aber an Stripe, LLC in den USA. Das Postfach des Betreibers liegt bei Google Workspace; Vertragspartner ist Google Cloud EMEA Limited (Irland), Google LLC (USA) betreibt den Dienst und kann E-Mails in den USA verarbeiten. Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter dort zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags des jeweiligen Anbieters sind. PostHog, Inc. (USA) erhält die Fehlerberichte, die eine Seite oder ein Teil davon aus Ihrem Browser sendet, wenn sie fehlschlägt, ausschließlich in seiner EU-Cloud in Frankfurt; sein eigener Zugriff aus den USA ist durch die Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag gedeckt, den Vamoo mit PostHog durch Unterschrift schließt und nicht durch die Nutzung des Dienstes. Die Verträge der übrigen Anbieter sind Bestandteil ihrer Nutzungsbedingungen und gelten durch die Nutzung des Dienstes; die Tabelle verlinkt sie alle.

English

Recipients. Your order and ticket data goes to the organizer of the event you are buying for and to the staff they authorise — they are the controller for it. Payment data goes to Stripe for an online payment (card or another method Stripe offers and the organizer has enabled), and to your bank and the organizer's bank for a bank transfer. We disclose data to authorities only where the law obliges us to.

Processors. The following services see personal data on our behalf. Card and other online-payment details are the exception worth stating plainly: they go from your browser to Stripe directly and never reach Vamoo. The table is generated from the code and names, for each service, its role, the data it sees, the processing region and the data-processing agreement.

Transfers outside the EEA. Vamoo's database at Convex is located in Ireland, inside the EU; Convex, Inc. (USA) operates the service and may access it from the United States for support and operations. The website's server functions run at Vercel in Frankfurt, also inside the EU; Vercel Inc. (USA) operates the service, and pages are delivered through its worldwide edge network. WorkOS and Resend are companies established in the United States and process there. Stripe contracts with accounts in the European Economic Area through Stripe Payments Europe Limited (Ireland) but transfers data to Stripe, LLC in the United States. The operator's mailbox is hosted by Google Workspace; the contract is with Google Cloud EMEA Limited (Ireland), and Google LLC (USA) operates the service and may process email in the United States. Where data is processed outside the EEA, the transfer rests on the adequacy decision for the EU-US Data Privacy Framework where the provider is certified under it, and otherwise on the European Commission's standard contractual clauses (Decision (EU) 2021/914, Art. 46(2)(c) GDPR), which form part of each provider's data-processing agreement. PostHog, Inc. (USA) receives the error reports a page, or a part of one, sends from your browser when it fails, only at its EU Cloud in Frankfurt, Germany; its own access from the United States is covered by the standard contractual clauses in its data-processing agreement, which Vamoo concludes with PostHog by signature rather than by using the service. The other providers' agreements are part of their terms and apply by use of the service; the table links them all.

• Vercel

  Hosting and content delivery for the website

  IP address and request metadata in server logs. Every request passes through its servers, including the one-time code you enter to claim a ticket and the short-lived access credentials exchanged when you open your order or the payment page.

  Processing region: Germany (EU) for server functions, worldwide edge for static pages. The production project's server functions run in Vercel's Frankfurt region (fra1); pages are served from Vercel's worldwide edge network, and server logs are held on Vercel's infrastructure in the United States for the plan's one-day retention. Vercel Inc. (Delaware, USA) operates the service; transfer, where it occurs, under the EU standard contractual clauses (Module 2) in its DPA. · Data-processing agreement: vercel.com

• Convex

  Application database and backend functions

  Everything you enter: name, email, billing address, orders, tickets and check-ins

  Processing region: Ireland (EU). The production deployment is hosted on AWS in the EU West (Ireland) region, so the data is stored inside the EU and no transfer is needed for storage. Convex, Inc. (USA) operates the service and may access the deployment from the United States for support and operations; that access is covered by the EU standard contractual clauses in its DPA. · Data-processing agreement: www.convex.dev

• WorkOS

  Sign-in (AuthKit) for organizers and ticket holders

  Email address, the one-time sign-in code sent to it, the session tokens that keep you signed in, and the sign-in events for your account. For organizer teams also the team membership: the invitee's email address, the inviting team member and the organizer's team it belongs to, and which account accepted the invitation.

  Processing region: United States. WorkOS, Inc. (USA) states in its DPA that customer data is stored in and accessed from the United States. Transfer under the EU standard contractual clauses (Module 2) in its DPA. · Data-processing agreement: workos.com

• Stripe

  Online payments (card and any further method the organizer enables) on the organizer's connected Stripe account. Bank transfers go to the organizer's own bank and never touch Stripe.

  Buyers: payment details, amount, billing address and email; card and other payment credentials reach Stripe directly and never Vamoo. Organizers: the identity, business, tax and payout-account details Stripe collects from you when you open or complete your connected account in Stripe's own onboarding.

  Processing region: Ireland and United States. Accounts in the EEA contract with Stripe Payments Europe Limited (Dublin, Ireland); Stripe transfers personal data to Stripe, LLC in the United States under the EU-US Data Privacy Framework and the EU standard contractual clauses. The organizer's connected account is under the organizer's own agreement with Stripe; Vamoo's platform account is under Vamoo's. · Data-processing agreement: stripe.com

• Resend

  Sending order, ticket and notification email

  Your email address, and the contents of the email sent to you

  Processing region: United States. Plus Five Five, Inc. (Resend, San Francisco, USA) stores account data, delivery logs and message metadata in the United States; email may be dispatched from an EU sending region (Ireland). Transfer under the EU standard contractual clauses and the EU-US Data Privacy Framework. · Data-processing agreement: resend.com

• PostHog

  Error tracking: reports of a page or a data read that failed in your browser

  When a page fails in your browser: the kind of error, its error code, which part of Vamoo failed and where in Vamoo's own program code it happened, sent from your browser's IP address, which PostHog is configured not to store. Never the error's text, the address of the page, cookies, your account or anything you entered; a report carries a random number made for that one page load, not an identifier of you. Reports are kept for PostHog's event retention period (one year on the free plan, longer on a paid plan), which PostHog does not let a customer shorten; because no report identifies a person, there is none to find and erase on request.

  Processing region: European Union (Frankfurt, Germany). Vamoo sends error reports only to PostHog's EU Cloud, an address fixed in its program code. PostHog, Inc. (San Francisco, USA) operates the service and may access it from the United States; that access is covered by the EU standard contractual clauses (Module 2) in its DPA — an agreement concluded by signature, not click-through terms — and by the EU-US Data Privacy Framework, in which PostHog confirms in that DPA that it participates. · Data-processing agreement: posthog.com

• Google

  The operator's mailbox (Google Workspace): messages sent through the contact form, and email correspondence with the operator

  When you write to Vamoo by email or through the contact form: your name, email address and the content of your message, and the operator's reply

  Processing region: European Union and United States. The operator's Google Workspace account is contracted with Google Cloud EMEA Limited (Dublin, Ireland); Google LLC (USA) operates the service and may store and process mail in the United States. Transfer under the EU standard contractual clauses in Google's Cloud Data Processing Addendum and the EU-US Data Privacy Framework. · Data-processing agreement: workspace.google.com

Müssen Sie uns diese Daten geben? / Whether you have to give us this data

Deutsch

Es gibt keine gesetzliche Pflicht, uns Daten zu geben. Ohne bestimmte Angaben kommt aber kein Vertrag zustande:

• Name und E-Mail-Adresse des Käufers sind für den Kauf erforderlich: Ohne sie können Bestellung, Ticket und Rechnung nicht erstellt und nicht zugestellt werden. Ohne diese Angaben gibt es keinen Kauf — keine weitere Folge.
• Rechnungsland und Rechnungsanschrift sind erforderlich, weil zu jeder bezahlten Bestellung mit einem Rechnungsbetrag eine Rechnung ausgestellt wird und die Umsatzsteuer vom Land abhängt; für eine Bestellung ohne Rechnungsbetrag (etwa nur Freitickets) wird keine Rechnung erstellt. Die Anschrift wird dennoch bei jeder Bestellung abgefragt, weil jede Bestellung mit denselben Vertragsangaben erfasst wird; sie dient dann allein der Zuordnung der Bestellung. Kaufen Sie als Unternehmen und wünschen eine Rechnung auf das Unternehmen, ist zusätzlich die Firma anzugeben; die Umsatzsteuer-Identifikationsnummer ist auch dann freiwillig.
• Die E-Mail-Adresse weiterer Teilnehmender ist nur nötig, wenn Sie Tickets für andere Personen kaufen und ihnen das Ticket zuweisen möchten; sonst bleibt das Ticket bei Ihnen. Benennen Sie die Person beim Kauf, geben Sie mit der Adresse auch ihren Namen ein; weisen Sie ihr das Ticket später über Ihre Bestellseite zu, trägt sie ihren Namen selbst ein, wenn sie das Ticket übernimmt.
• Zusatzangaben zum Ticket (etwa Unternehmen oder Funktion) legt der Veranstalter fest und kennzeichnet sie als Pflicht- oder freiwillige Angabe. Vamoo erinnert an eine fehlende Pflichtangabe, prüft sie am Einlass aber nicht; welche Folge eine fehlende Pflichtangabe für Ihre Teilnahme hat, bestimmt der Veranstalter in seinen Veranstaltungsbedingungen. Eine freiwillige Angabe können Sie leer lassen.
• Ein Konto brauchen Sie nur, wenn Sie ein Ihnen zugewiesenes oder übertragenes Ticket übernehmen, Ihre Tickets unter einer Anmeldung sehen oder verwalten oder eine Datenauskunft selbst abrufen möchten; kaufen können Sie auch ohne Konto.
• Die öffentliche Warteliste eines Angebots verlangt nur eine E-Mail-Adresse, damit wir Ihnen einen frei werdenden Platz anbieten können. Die Warteliste eines zugangsbeschränkten Angebots setzt zusätzlich den dafür erforderlichen Gutschein- oder Freischaltungsnachweis voraus, die Warteliste eines Programmpunkts ein Konto mit gültigem Ticket.

English

There is no statutory duty to give us data. Without certain details, however, no contract can be formed:

• The buyer's name and email address are required to buy: without them the order, the ticket and the invoice can neither be created nor delivered. Without them there is simply no purchase — no other consequence.
• Billing country and billing address are required because every paid order with an amount to invoice receives an invoice and VAT depends on the country; an order with nothing to invoice (for example complimentary tickets only) receives none. The address is nevertheless asked for on every order, because every order is recorded with the same contract details; it then serves only to identify the order. If you buy as a business and want the invoice made out to it, the company is required as well; the VAT id stays optional even then.
• The email address of other attendees is needed only if you buy tickets for other people and want to assign the ticket to them; otherwise the ticket stays with you. If you name them at checkout, you enter their name with the address; if you assign the ticket later from your order page, they enter their name themselves when they claim it.
• Additional details per ticket (such as company or role) are set by the organizer, who marks each as required or optional. Vamoo reminds you of a missing required detail but does not check it at the door; what a missing required detail means for your attendance is for the organizer to state in their event terms. An optional one you may leave empty.
• An account is needed only if you claim a ticket assigned or transferred to you, want to see or manage your tickets under a sign-in, or fetch a data export yourself; you can buy without one.
• The public waitlist of an offer asks only for an email address so that we can offer you a place that becomes free. The waitlist of a restricted offer additionally requires the voucher or pre-approval that offer needs; the waitlist of a programme item requires an account with a valid ticket.

Automatisierte Entscheidungen / Automated decisions

Deutsch

Vamoo trifft keine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht und Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Ob ein Platz verfügbar ist oder eine Warteliste greift, ergibt sich rein aus der Kapazität, nicht aus einer Bewertung Ihrer Person; es findet kein Profiling statt.

Bei Online-Zahlungen über Stripe prüft Stripe den Zahlungsvorgang automatisiert auf Betrugsmerkmale (Stripe Radar) und kann eine Zahlung ablehnen. Das ist eine Entscheidung von Stripe als Zahlungsdienstleister des Veranstalters nach Stripes eigenen Kriterien; Vamoo kennt die Logik nicht und kann sie nicht beeinflussen. Eine Ablehnung hat für Sie keine andere Folge, als dass diese Zahlung nicht ausgeführt wird: Sie können es mit einer anderen Karte oder Zahlart über Stripe erneut versuchen oder sich an den Veranstalter wenden. Die Zahlungsart einer Bestellung ist mit der Bestellung festgelegt und lässt sich nachträglich nicht wechseln. Das ist keine Entscheidung im Sinne des Art. 22 DSGVO, weil sie den Vertragsschluss nicht ausschließt, sondern nur einen Zahlweg betrifft.

English

Vamoo makes no decision based solely on automated processing that produces legal effects concerning you or similarly significantly affects you (Art. 22 GDPR). Whether a place is available or a waitlist applies follows from capacity alone, not from any assessment of you; there is no profiling.

For online payments through Stripe, Stripe screens the transaction automatically for fraud indicators (Stripe Radar) and may decline a payment. That is a decision by Stripe as the organizer's payment provider, under Stripe's own criteria; Vamoo does not know the logic and cannot influence it. A decline has no consequence for you other than that this payment is not carried out: you can try again with another card or Stripe payment method, or contact the organizer. An order's payment method is fixed when the order is placed and cannot be switched afterwards. This is not a decision within Art. 22 GDPR, because it does not exclude the contract but concerns one payment route only.

Daten, die wir über Sie von jemand anderem erhalten / Data we receive about you from someone else

Deutsch

Nicht alle Daten stammen von der Person, die sie betreffen. Vier Fälle gibt es auf Vamoo:

• Ein Käufer kauft ein Ticket für Sie und gibt Ihre E-Mail-Adresse ein, damit Ihnen das Ticket zugewiesen werden kann.
  • Beim Kauf benannt: Der Käufer gibt Ihren Namen und Ihre E-Mail-Adresse ein und, soweit der Tickettyp diese Angaben vorsieht, Unternehmen, Funktion und Profil-Link. Nach der Zahlung wird Ihnen das Ticket direkt zugewiesen: Wir legen dazu einen Eintrag mit Ihrer E-Mail-Adresse an und senden Ihnen das Ticket. Der persönliche Link in dieser E-Mail öffnet Ihr Ticket ohne Anmeldung; wenn Sie sich mit dieser Adresse anmelden, finden Sie es außerdem unter Ihren Tickets. Wer den Link hat, sieht Ihr Ticket mit Ihrem Namen und dem Einlasscode; leiten Sie die E-Mail deshalb nicht weiter. Aus dieser E-Mail geht hervor, wer Ihre Angaben eingegeben hat. Ihren Namen und die Zusatzangaben können Sie auf Ihrer Ticketseite berichtigen; die E-Mail-Adresse können nur der Käufer und der Veranstalter ändern.
  • Berichtigt der Käufer oder das Personal des Veranstalters später Ihre Adresse, solange Ihr Eintrag noch nicht mit einem Vamoo-Konto verbunden ist, geht das Ticket mit demselben Namen direkt an die neue Adresse. Verbunden wird der Eintrag, wenn Sie sich mit einem Code anmelden, den wir Ihnen per E-Mail senden, ein Ticket übernehmen, ein Ticket Ihrer eigenen Bestellung für sich auswählen oder dem Team eines Veranstalters beitreten bzw. eines anlegen. Ihr Eintrag bleibt bestehen, ebenso die Zusatzangaben, die für dieses Ticket eingegeben wurden; wir teilen Ihnen per E-Mail mit, dass das Ticket neu zugewiesen wurde und sein Einlasscode nicht mehr gilt. Ist Ihr Eintrag bereits verbunden, nimmt Ihnen die Änderung das Ticket ebenso und Sie erhalten dieselbe Mitteilung; die neue Adresse erhält dann eine Einladung, das Ticket zu übernehmen. Nimmt das Personal des Veranstalters eine solche Änderung vor, geht das Ticket auf dieselbe Weise über, wir senden aber weder Ihnen noch der neuen Adresse eine E-Mail dazu; der Veranstalter sendet das Ticket oder die Einladung, wenn er es möchte.
  • Nicht beim Kauf benannt: Weist Ihnen der Käufer das Ticket erst später über seine Bestellseite zu, gibt er nur Ihre E-Mail-Adresse ein. Sie erhalten eine Einladung, aus der hervorgeht, wer sie geschickt hat, und geben Ihren Namen selbst an, wenn Sie das Ticket übernehmen.
• Ein bisheriger Ticketinhaber überträgt sein Ticket an Sie und gibt dafür Ihre E-Mail-Adresse ein.
• Der Veranstalter erfasst Angaben über Sie: wenn er Ihnen ein Freiticket ausstellt und dafür Ihren Namen und Ihre E-Mail-Adresse eingibt, oder wenn sein Personal für ein Ticket Ihren Namen und Ihre E-Mail-Adresse eingibt und, soweit der Tickettyp diese Angaben vorsieht, Unternehmen, Funktion und Profil-Link (in beiden Fällen wird Ihnen das Ticket direkt zugewiesen, wie wenn ein Käufer Sie beim Kauf benennt; ein Freiticket senden wir Ihnen per E-Mail und teilen Ihnen dabei mit, dass der Veranstalter Ihre Angaben eingegeben hat, ein vom Personal zugewiesenes Ticket erhalten Sie per E-Mail erst, wenn das Personal es Ihnen sendet, und aus dieser E-Mail geht hervor, dass der Veranstalter oder die Person, die das Ticket bestellt hat, Ihre Angaben eingegeben hat), wenn sein Personal ein Ticket an Sie weitergibt und dafür Ihre E-Mail-Adresse und, wenn es möchte, Ihren Namen eingibt (mit Ihrem Namen wird Ihnen das Ticket direkt zugewiesen, ohne ihn können Sie es mit einer Einladung übernehmen, die das Personal Ihnen sendet, wenn es möchte), wenn er Sie namentlich für ein Angebot vorab freischaltet, wenn sein Personal die Zusatzangaben zu Ihrem Ticket (Unternehmen, Funktion, Profil-Link) berichtigt, wenn sein Personal am Einlass eine kurze Notiz zu Ihrem Ticket hinterlegt, oder wenn er beim Stornieren einer unbezahlten Bestellung eine Notiz dazu schreibt.
• Ein Veranstalter lädt Sie in sein Team ein (E-Mail-Adresse, die Ihnen zugedachte Rolle und der Zuständigkeitsbereich) oder hinterlegt Sie als Support-Kontakt einer Veranstaltung (Anzeigename, E-Mail-Adresse, optional Telefonnummer und Webadresse); Sie erhalten dann eine Einladung bzw. die Bitte, die Adresse zu bestätigen.

In diesen Fällen ist die Quelle der Daten der Käufer, der bisherige Inhaber oder der Veranstalter. Die Kategorien sind Name und E-Mail-Adresse, die Zusatzangaben zum Ticket (Unternehmen, Funktion, Profil-Link), soweit der Käufer sie beim Kauf oder das Personal sie einträgt, bei Team-Einladungen Rolle und Zuständigkeitsbereich, bei Support-Kontakten Anzeigename, Telefonnummer und Webadresse, sowie, bei einer Notiz des Personals, der Inhalt dieser kurzen Notiz zu Ihrem Einlass oder zur Stornierung einer unbezahlten Bestellung. Rechtsgrundlage für Ticketdaten ist der Vertrag des Käufers mit dem Veranstalter, in dessen Rahmen Ihnen das Ticket zugute kommt (Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Käufer), sowie unser und das berechtigte Interesse des Käufers und des Veranstalters, Ihnen das Ticket zuzustellen (Art. 6 Abs. 1 lit. f DSGVO); für Notizen des Personals das berechtigte Interesse des Veranstalters an einer nachvollziehbaren Einlass- und Bestellabwicklung (lit. f); für Team-Einladungen und Support-Kontakte der Vertrag des Veranstalters mit Vamoo und sein berechtigtes Interesse am Betrieb seines Teams (lit. b, lit. f). Die Informationen dieser Seite erreichen Sie mit der ersten E-Mail, die wir Ihnen senden — der Einladung, dem Ticket, der Team-Einladung oder der Bestätigungsbitte —, denn jede E-Mail, die Vamoo versendet, verweist auf diese Datenschutzerklärung. Eine Ausnahme ist die Team-Einladung: Dort erhalten Sie zuerst die Annahme-E-Mail unseres Anmeldedienstes WorkOS und unmittelbar danach die Einladung von Vamoo mit diesem Hinweis. Alle Rechte aus dem Abschnitt „Ihre Rechte" stehen Ihnen genauso zu wie einem Käufer.

English

Not all data comes from the person it is about. There are four cases on Vamoo:

• A buyer buys a ticket for you and enters your email address so that the ticket can be assigned to you.
  • Named at checkout: the buyer enters your name and email address and, where the ticket type asks for them, your company, role and profile link. Once the order is paid the ticket is assigned to you directly: we create a record with your email address and send you the ticket. The personal link in that email opens your ticket without signing in, and you also find it under your tickets once you sign in with that address. Anyone who has the link sees your ticket with your name and entry code, so don't forward that email. That email tells you who entered your details. You can correct your name and the additional details on your ticket page; only the buyer and the organizer can change the email address.
  • If the buyer or the organizer's staff later correct your address while your record is not yet linked to a Vamoo account, the ticket goes directly to the new address under the same name. Your record is linked when you sign in with a code we email you, claim a ticket, take a ticket of your own order for yourself, or join or create an organizer's team. Your record stays, and so do the additional details entered for that ticket; we tell you by email that the ticket was reassigned and that its entry code no longer works. If your record is already linked, the change takes the ticket from you just the same and you get the same notice; the new address then receives an invitation to claim it. When the organizer's staff make such a change, the ticket moves the same way, but we do not email you or the new address about it; the organizer sends the ticket or the invitation when they choose to.
  • Not named at checkout: if the buyer assigns the ticket to you later from their order page, they enter only your email address. You receive an invitation, which tells you who sent it, and you enter your name yourself when you claim the ticket.
• A previous ticket holder transfers their ticket to you and enters your email address to do so.
• The organizer records details about you: when they issue you a complimentary ticket and enter your name and email address for it, or when their staff enter your name and email address for a ticket and, where the ticket type asks for them, your company, role and profile link (in both cases the ticket is assigned to you directly, as when a buyer names you at checkout; with a complimentary ticket we email it to you and say that the organizer entered your details, while a ticket their staff assign you is emailed to you only when they choose to send it, and that email says that the organizer or the person who ordered the ticket entered your details), when their staff reassign a ticket to you and enter your email address and, if they choose, your name for it (with your name the ticket is assigned to you directly; without it you can claim it with an invitation, which they send you when they choose to), when they pre-approve you by name for an offer, when their staff correct the additional details on your ticket (company, role, profile link), when their door staff leave a short note on your ticket at admission, or when they add a note while cancelling an unpaid order.
• An organizer invites you to their team (email address, the role intended for you and its scope) or names you as an event's support contact (display name, email address, optionally telephone number and web address); you then receive an invitation or a request to confirm the address.

In these cases the source of the data is the buyer, the previous holder or the organizer. The categories are name and email address, the additional ticket details (company, role, profile link) where the buyer enters them at checkout or staff enter them, for team invitations the role and its scope, for support contacts the display name, telephone number and web address, and, for a staff note, the content of that short note about your admission or about the cancellation of an unpaid order. The legal basis for ticket data is the buyer's contract with the organizer, under which the ticket benefits you (Art. 6(1)(b) GDPR towards the buyer), together with our, the buyer's and the organizer's legitimate interest in delivering the ticket to you (Art. 6(1)(f) GDPR); for staff notes, the organizer's legitimate interest in traceable admission and order handling ((f)); for team invitations and support contacts, the organizer's contract with Vamoo and their legitimate interest in running their team ((b), (f)). The information on this page reaches you with the first email we send you — the invitation, the ticket, the team invitation or the confirmation request — because every email Vamoo sends links to this privacy notice. The team invitation is the exception: there you first receive the acceptance email of our sign-in provider WorkOS and, immediately after, Vamoo's invitation carrying this notice. Every right in the section "Your rights" is yours exactly as it is a buyer's.

Ihre Rechte / Your rights

Deutsch

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen (Art. 21).

Auskunft selbst abrufen. Wenn Sie sich mit der E-Mail-Adresse anmelden, unter der Sie gekauft haben, können Sie Ihre Datenauskunft selbst abrufen: In Ihrem Ticketkonto finden Sie den Abschnitt „Your data", dort fordern Sie die Datei an und erhalten innerhalb von Minuten einen Download-Link. Die Datei umfasst, was über Sie als Käufer oder Ticketinhaber gespeichert ist: Konto, Bestellungen, Rechnungen, Zahlungen, Tickets, Einlass, E-Mail-Zustellung, Sperrliste und Datenschutzanfragen. Nicht enthalten sind technische Server-Protokolle, die Anmeldeereignisse bei unserem Anmeldedienst und Personal-Daten wie Team-Einladungen; diese erhalten Sie auf Anfrage per E-Mail. Ebenfalls nicht in der Datei enthalten ist die Begründung, die der Veranstalter zu einer Erstattung eingetragen hat; die Datei weist das nicht eigens aus, Sie erhalten sie auf Anfrage per E-Mail. Die Protokolle der Einlassgeräte können auch auf Anfrage nicht einzeln herausgegeben werden: Sie sind nicht nach Personen durchsuchbar, werden nach 24 Stunden anonymisiert und 90 Tage danach gelöscht; der dauerhafte Einlassnachweis ist in der Datei enthalten. Wo eine enthaltene Kategorie nicht vollständig aufgelistet werden konnte, sagt die Datei das und warum. Der Link gilt sieben Tage; pro 24 Stunden wird eine Datei erstellt. Der Link wird nur in Ihrem angemeldeten Ticketkonto angezeigt und nicht per E-Mail versandt; wer ihn hat, kann die Datei bis zu ihrer Löschung abrufen, geben Sie ihn also nicht weiter.

Alle anderen Anfragen — Löschung, Berichtigung, Einschränkung, Widerspruch, oder eine Auskunft ohne Anmeldung — richten Sie per E-Mail an hi@nicolaischmid.com. Zu Ihrem Schutz prüfen wir Ihre Identität, indem wir an die Adresse antworten, die zu Ihrer Bestellung gehört; eine weitergeleitete Bestellbestätigung genügt nicht als Nachweis. Wir antworten innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO); in komplexen Fällen können wir die Frist um zwei Monate verlängern und teilen Ihnen das innerhalb des ersten Monats mit Begründung mit.

Anfragen zum Ticketkauf können Sie auch an den Veranstalter richten; wir unterstützen ihn bei der Beantwortung.

Beschwerde. Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes — zum Beispiel bei der Behörde des deutschen Bundeslandes oder des EU-Mitgliedstaats, in dem Sie wohnen.

English

You have the right of access (Art. 15 GDPR), to rectification (Art. 16), to erasure (Art. 17), to restriction of processing (Art. 18) and to data portability (Art. 20). Against processing based on a legitimate interest you may object on grounds relating to your particular situation (Art. 21).

Fetching your data yourself. If you sign in with the email address you bought under, you can fetch your data export yourself: in your ticket account you will find the section "Your data", where you request the file and receive a download link within minutes. The file covers what is held about you as a buyer or ticket holder: account, orders, invoices, payments, tickets, admission, email delivery, suppression list and data protection requests. Not included are technical server logs, the sign-in events at our sign-in provider and staff data such as team invitations; you receive those on request by email. Also not in the file is the reason the organizer entered for a refund; the file does not flag that omission; you receive it on request by email. The door-device logs cannot be supplied individually even on request: they are not searchable by person, are anonymised after 24 hours and deleted 90 days after that; the durable admission record is in the file. Where an included category could not be listed in full, the file says so and why. The link is valid for seven days; one file is produced per 24 hours. The link is shown only inside your signed-in ticket account and is not emailed; anyone holding it can fetch the file until it is deleted, so do not pass it on.

Every other request — erasure, rectification, restriction, objection, or access without signing in — please send by email to hi@nicolaischmid.com. For your protection we verify your identity by replying to the address that belongs to your order; a forwarded order confirmation is not sufficient proof. We answer within one month of receipt (Art. 12(3) GDPR); in complex cases we may extend this by two months and will tell you so, with reasons, within the first month.

Requests about the ticket purchase may also be addressed to the organizer; we support them in answering.

Complaint. You have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), in particular in the Member State of your habitual residence, place of work or place of the alleged infringement — for example the authority of the German federal state or of the EU Member State where you live.

Änderungen / Changes

Deutsch

Änderungen werden hier mit neuem Gültigkeitsdatum veröffentlicht. Siehe auch die Nutzungsbedingungen und das Impressum.

English

Changes are published here with a new effective date. See also the Terms of Service and the Imprint.