Datenschutz­erklärung

1. Verantwortliche

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der Plattform BSTAGE ist:

BSTAGE UG (haftungsbeschränkt) i. G.
Unterer Ahlenbergweg 39a, 58313 Herdecke
E-Mail: contact@bstage.studio

Wir sind nach § 38 BDSG nicht verpflichtet, eine:n Datenschutzbeauftragte:n zu benennen. Fragen zum Datenschutz beantworten wir unter contact@bstage.studio.

2. Auf einen Blick

• Diese Website setzt keine Cookies, nutzt kein Tracking und keine Analysedienste.
• Die Schriftarten der Website liegen auf unserem eigenen Server. Beim Besuch geht keine Anfrage an Google.
• In der Plattform verwenden wir nur Cookies und Speicher, die für die Funktion nötig sind.
• Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

3. Besuch dieser Website

Wenn du diese Website aufrufst, verarbeitet unsere Hosting-Dienstleisterin technisch notwendig deine IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufene Adresse, die übertragene Datenmenge sowie Browser und Betriebssystem. Ohne diese Daten lässt sich die Seite nicht ausliefern und nicht gegen Angriffe schützen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sichere und stabile Bereitstellung der Website.

Hosting: Website und Plattform laufen bei Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (siehe Abschnitt 13). Die Datenbank liegt in der EU, hochgeladene Dateien liegen in Rechenzentren in Westeuropa. Jede Nacht sichern wir die Datenbank und die hochgeladenen Dateien in einen Speicher bei Cloudflare mit Standort in der EU. Jede Sicherung der Datenbank wird nach 30 Tagen gelöscht, die Sicherungskopie einer Datei spätestens 30 Tage, nachdem die Datei gelöscht wurde.

Kontaktformular und E-Mail

Schreibst du uns über das Kontaktformular oder per E-Mail, verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Anliegen, deine Nachricht und – wenn du es angibst – dein Unternehmen, um deine Anfrage zu beantworten. Das Formular setzt keine Cookies und bindet zur Abwehr von Spam keine Dienste Dritter ein.

Die Nachricht wird über Cloudflare an unseren E-Mail-Versanddienst Resend übergeben und in unser Postfach zugestellt. Das Postfach liegt bei Mailbux (CloudWish LLC), nach Angaben des Anbieters auf Servern in der EU (siehe Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage einen Vertrag mit uns betrifft oder anbahnt, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Anfragen zu beantworten.

Speicherdauer: Wir löschen deine Anfrage sechs Monate nach der letzten Nachricht in diesem Austausch, damit Rückfragen möglich bleiben. Führt sie zu einem Vertrag, bewahren wir sie als Geschäftsbrief sechs Jahre auf (§ 257 HGB, § 147 AO).

4. Registrierung und Anmeldung

Für die Nutzung der Plattform legst du ein Konto an. Dabei verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Passwort – gespeichert ausschließlich als kryptografischer Hash – und den gewählten Arbeitsbereich (Event, Agentur oder Künstler:in). Rechnungs- und Bankdaten hinterlegst du freiwillig in deinem Konto. Die Sprache, die du für Website und Plattform wählst, speichern wir an deinem Konto, damit E-Mails und Oberfläche in dieser Sprache erscheinen.

Beim Anmelden entsteht eine Sitzung. Zu ihr speichern wir deine IP-Adresse und die Kennung deines Browsers, damit du Sitzungen auf anderen Geräten erkennen und beenden kannst und Missbrauch auffällt. Wiederholte Anmeldeversuche werden kurzzeitig pro IP-Adresse gezählt und begrenzt.

Aktivierst du die Zwei-Faktor-Authentifizierung, speichern wir das geheime Schlüsselmaterial und deine Wiederherstellungscodes geschützt.

Stimmst du den AGB zu, speichern wir an deinem Konto, welcher Fassung du wann zugestimmt hast. Das ist unser Nachweis, dass die AGB für dein Konto gelten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Konto und Sitzung, Art. 6 Abs. 1 lit. f DSGVO für die Sicherheitsmaßnahmen und den Nachweis der Zustimmung.

Beta-Bewerbung und Einladungscodes

Solange BSTAGE in der Beta ist, bewirbst du dich nach der Registrierung kurz, bevor wir dein Konto freigeben. Dabei verarbeiten wir deinen Namen oder den deines Unternehmens, deine Rolle (Event, Agentur oder Künstler:in), deine Stadt, freiwillig deine Website und Links zu deinen Social-Kanälen sowie deinen Text, warum du mitmachen möchtest. Wir speichern außerdem, wann du dich beworben hast, wann und von wem in unserem Team entschieden wurde (Freigabe oder Warteliste), eine interne Notiz zur Entscheidung und die Herkunft der Freigabe (Bewerbung, Einladungscode, Einladung einer Betatester:in oder bestehendes Konto). Für Betatester:innen speichern wir die vorgemerkten Vorteile (kostenlose Zeit und Rabatt).

Zweck: Auswahl der Betatester:innen und Verwaltung ihrer Vorteile. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsvertrags in der Beta-Phase, AGB § 5a). Empfänger: nur das BSTAGE-Team; bei einer neuen Bewerbung geht eine interne E-Mail an unser Postfach (Versand über Resend, siehe Abschnitt 9), Speicherung bei Cloudflare (siehe Abschnitt 13). Die interne Notiz schicken wir dir nicht per E-Mail; mit deiner Datenauskunft (Export in deinem Konto) erhältst du sie wie alle übrigen Angaben.

Einladungscodes legt unser Team an; gespeichert werden nur ein Prüfwert (Hash) des Codes, eine Bezeichnung, die Zahl der erlaubten und genutzten Einlösungen und der Ablauf. Registrierst du dich mit einem Code, speichern wir an deinem Konto, mit welchem. Wirst du als Künstler:in ohne Konto von einer Agentur oder Veranstalter:in eingeladen und übernimmst das für dich angelegte Profil, gleichen wir deine E-Mail-Adresse mit dieser Einladung ab und speichern, wer eingeladen hat.

Speicherdauer: Bewerbungen, die wir nicht freigeben, setzen wir auf eine Warteliste. Ihre Angaben speichern wir bis zur Freischaltung deines Kontos zum offiziellen Start und löschen sie dann automatisch; es bleibt nur der Zeitpunkt deiner Bewerbung am Konto. Angenommene Bewerbungen und die Angaben zur Freigabe speichern wir, bis dein Konto gelöscht wird.

5. Anmeldung mit Google

Du kannst dich statt mit einem Passwort mit deinem Google-Konto anmelden. Google übermittelt uns dann deinen Namen, deine E-Mail-Adresse, dein Profilbild und eine Kontokennung. Die Zugriffstoken speichern wir verschlüsselt. Anbieterin ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung an Google LLC in den USA ist möglich (siehe Abschnitt 13).

Angemeldet kannst du in deinem Konto ein Google-Konto nachträglich verknüpfen, auch eines mit einer anderen E-Mail-Adresse als der deines BSTAGE-Kontos. Die Anmelde-Adresse deines BSTAGE-Kontos bleibt dabei unverändert. Die Adresse des Google-Kontos speichern wir als Teil der Verknüpfung und zeigen sie dir in deinem Konto an. Du kannst die Verknüpfung dort jederzeit trennen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Nutzung ist freiwillig; die Anmeldung per E-Mail und Passwort steht immer zur Verfügung.

6. Nutzung der Plattform

In der Plattform verarbeiten wir die Inhalte, die du und deine Partner:innen anlegen: Profile, Events, Timeslots, Bookings mit Angebotsverlauf, Verträge, Rechnungen, Ausgaben, Verfügbarkeiten, Nachrichten, Beiträge im Backstage-Feed, Benachrichtigungen und hochgeladene Dateien. Dateien liegen in privatem Speicher und werden nur nach Anmeldung an Berechtigte ausgeliefert. Ausgenommen sind Profilbild, Medien und Bilder in Beiträgen eines öffentlichen Profils: Sie sind ohne Anmeldung abrufbar, solange das Profil öffentlich ist.

• Öffentliche Profile: Ob dein Profil und deine Verfügbarkeit öffentlich sichtbar sind, legst du in den Einstellungen fest. Ausgeblendete Verfügbarkeiten liefert der Server nicht aus.
• Zusammenarbeit: Partner:innen, die du zu einem Event einlädst, sehen dessen Daten. Gastzugänge per Link und Passwort sind 14 Tage gültig, jederzeit widerrufbar und zeigen keine Finanzdaten.
• Meldungen und Moderation: Wenn du ein Profil oder einen Inhalt meldest, speichern wir die Meldung mit Einordnung und optionalem Freitext, um sie zu prüfen.
• Admin-Aktionen: Sperrt unser Team ein Konto oder hebt eine Sperre auf, verschickt es einen Link zum Zurücksetzen des Passworts, schaltet es einen Bereich frei oder entzieht ihn, setzt es einen Tarif oder verbirgt es einen Inhalt, protokollieren wir, wer das wann mit welchem Konto oder Profil getan hat. Das macht Eingriffe der Administration nachvollziehbar und schützt vor ihrem Missbrauch.
• Protokolle: Beim Betrieb der Plattform entstehen Anwendungsprotokolle mit Zeitpunkt, aufgerufener Schnittstelle, IP-Adresse und Fehlerinformationen. Sie dienen der Fehlersuche und dem Schutz vor Missbrauch.
• Fehleralarm: Tritt im Betrieb ein Fehler auf, erhalten wir eine E-Mail mit Zeitpunkt, Fehlerart und gekürzter Fehlermeldung. Sie enthält keine Inhalte deiner Anfragen, kann aber eine interne Kennung enthalten, etwa die eines Profils. Sie geht über Resend an unser Postfach bei Mailbux, und wir löschen sie nach 30 Tagen.
• Unterschrift: Für Verträge kannst du ein Bild deiner Unterschrift hinterlegen. Wir speichern es mit deinem Namen und setzen es zusammen mit Name und Zeitpunkt in Verträge ein, die du unterschreibst. Das ist eine einfache elektronische Signatur.
• Künstlerverzeichnis und Roster: Für Künstler:innen lassen sich unter anderem Gage, Agenturkontakt und freiwillig das Geschlecht angeben (männlich, weiblich, divers oder keine Angabe). Das Geschlecht erscheint nicht auf öffentlichen Profilseiten; angemeldete Nutzer:innen, die in der Künstlersuche suchen, erhalten es mit.
• Booking-Anfragen über öffentliche Profile: Aus einem Event-Bereich kannst du über die öffentliche Profilseite einer Künstler:in eine Booking-Anfrage senden. Sie geht mit deinen Angaben zum Event, deinem Namen, deiner Telefonnummer, deiner Nachricht, der E-Mail-Adresse deines Kontos und deinem Unternehmen an die Künstler:in oder an ihre Agentur. Gegen Missbrauch speichern wir einen Hashwert deiner IP-Adresse und löschen ihn nach 24 Stunden.
• Word-Vorlagen: Hinterlegst du eine eigene Word-Vorlage, setzen wir Rechnung oder Vertrag in einem Container bei Cloudflare mit LibreOffice in ein PDF um. Das ausgefüllte Dokument liegt dort nur während der Umwandlung und wird danach gelöscht.
• Bilder von fremden Servern: Bilder, die über eine fremde Adresse eingebunden sind, etwa in einem Profil oder Beitrag, lädt dein Browser direkt von dort. Der Betreiber dieses Servers erfährt dabei deine IP-Adresse und die Kennung deines Browsers. Darauf haben wir keinen Einfluss.
• Schriftarten: Website und Plattform laden ihre Schriftarten lokal von unseren eigenen Servern. Es findet keine Verbindung zu Google Fonts statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die vertraglichen Funktionen, Art. 6 Abs. 1 lit. f DSGVO für Protokolle, Fehleralarm, Moderation und den Schutz vor Missbrauch bei Booking-Anfragen. Unser berechtigtes Interesse ist eine sichere und fehlerfreie Plattform.

7. Abonnements und Zahlung

Buchst du einen kostenpflichtigen Tarif, wickeln wir die Zahlung über Stripe ab. Anbieterin ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; eine Übermittlung an Stripe, Inc. in den USA ist möglich (siehe Abschnitt 13).

Stripe verarbeitet dafür deinen Namen, deine E-Mail-Adresse, die Rechnungsanschrift, gegebenenfalls deine Umsatzsteuer-Identifikationsnummer, die Angaben zur gewählten Zahlungsart und die Transaktionsdaten. Vollständige Karten- oder Kontodaten erhalten wir nicht; wir sehen Tarif, Betrag, Zahlungsstatus und Rechnungen.

Zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten, etwa zur Geldwäscheprävention, handelt Stripe als eigenständige Verantwortliche. Details dazu stehen in der Datenschutzerklärung von Stripe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Zahlung, Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung von Rechnungen und Buchungsbelegen.

8. Daten Dritter in deinem Arbeitsbereich

Wenn du in BSTAGE personenbezogene Daten anderer Menschen verarbeitest – etwa Gästelisten, Personal und Schichten, Kontaktpersonen oder Fahrer:innen –, bist du für diese Daten verantwortlich. Wir verarbeiten sie in deinem Auftrag nach Art. 28 DSGVO. Grundlage ist unser Vertrag zur Auftragsverarbeitung, der mit den AGB geschlossen wird.

Prüfung der USt-IdNr. bei Rechnungen

Erstellst du in BSTAGE eine Rechnung ins EU-Ausland ohne Umsatzsteuer (Reverse Charge), prüfen wir die Umsatzsteuer-Identifikationsnummer deiner Kund:in bei der Europäischen Kommission im MwSt-Informationsaustauschsystem (VIES). Dafür übermitteln wir ihre USt-IdNr. und deine eigene USt-IdNr. Ist die Nummer ungültig, entsteht die Rechnung nicht. Das Ergebnis – gültig oder nicht prüfbar, Zeitpunkt, Konsultationsnummer und der Name, unter dem die Nummer geführt wird – speichern wir an der Rechnung als Nachweis; es wird mit der Rechnung aufbewahrt und gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für deine eigene USt-IdNr. Für die Angaben deiner Kund:in handeln wir in deinem Auftrag (Art. 28 DSGVO); die Prüfung dient deinem Nachweis, dass die Rechnung ohne Umsatzsteuer entstehen durfte (Art. 6 Abs. 1 lit. c DSGVO).

9. E-Mails

Wir senden E-Mails, die durch eine Aktion ausgelöst werden: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Bestätigung einer E-Mail-Änderung oder Kontolöschung, Einladungen, Nachrichten zu deiner Beta-Bewerbung und deinen Beta-Vorteilen sowie Hinweise zu Anfragen, Verträgen und Rechnungen. Newsletter und Werbe-E-Mails versenden wir nicht.

Für den Versand nutzen wir Resend, einen Dienst der Plus Five Five, Inc., San Francisco, USA. Übermittelt werden Empfängeradresse, Betreff und Inhalt der Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Google Kalender

Du kannst den Postingplan eines Events freiwillig mit deinem Google Kalender verbinden. Wir erhalten dafür Zugriff auf deine Kalendertermine (Berechtigung calendar.events) und deine E-Mail-Adresse und legen Termine mit Titel, Datum und Uhrzeit an. Das Zugriffstoken speichern wir, bis du die Verbindung trennst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Du kannst die Verbindung jederzeit in den Einstellungen oder in deinem Google-Konto widerrufen.

11. Fehlermeldungen

Meldest du einen Fehler aus der Anwendung, speichern wir Titel und Beschreibung, die aufgerufene Seite, die Kennung deines Browsers, die Fenstergröße, dein Profil und – wenn du ihn anhängst – einen Screenshot. Sind im Browser zuvor Fehler aufgetreten, hängen wir deren Meldungen aus der Konsole an; sie können Bruchstücke von Seiteninhalten enthalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine fehlerfreie Plattform.

Speicherdauer: Eine gesetzliche Frist gibt es dafür nicht. Wir löschen Fehlermeldungen samt Screenshot und Meldungen von Inhalten sechs Monate, nachdem wir sie abschließend bearbeitet haben. So können wir erkennen, ob ein behobener Fehler wieder auftritt, und Rückfragen zu einer Entscheidung beantworten.

12. Cookies und lokale Speicherung

Diese Website setzt keine Cookies. Die Plattform speichert nur, was für den von dir gewünschten Dienst unbedingt erforderlich ist. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig.

13. Empfänger und Übermittlung in Drittländer

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Wo Daten in die USA übermittelt werden, stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 für zertifizierte Unternehmen und ergänzend auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Außerdem übermitteln wir beim Erstellen einer Rechnung mit Reverse Charge USt-IdNr. an die Europäische Kommission (VIES, Brüssel) – siehe Abschnitt 8. Sie ist keine Auftragsverarbeiterin, sondern prüft als öffentliche Stelle.

Innerhalb der Plattform sehen andere Nutzer:innen Daten nur, soweit du sie freigibst oder mit ihnen zusammenarbeitest. Behörden erhalten Daten nur bei gesetzlicher Verpflichtung.

14. Speicherdauer

Wir speichern personenbezogene Daten, solange es für den jeweiligen Zweck erforderlich ist, und löschen sie danach. Bestehen gesetzliche Aufbewahrungspflichten, sperren wir die Daten bis zum Fristablauf für jede andere Verwendung und löschen sie dann. Handels- und steuerrechtliche Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

Rechnungen und Verträge, die du selbst in BSTAGE für deine Geschäftspartner:innen erstellst, sind deine Unterlagen. Für deren Aufbewahrung bist du verantwortlich – exportiere sie, bevor du sie oder dein Konto löschst.

15. Deine Rechte

Du hast gegenüber uns das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) – dein Konto kannst du auch selbst in den Einstellungen löschen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wende dich dafür an contact@bstage.studio. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der für uns zuständigen Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Die Bereitstellung deiner Daten ist für Registrierung und Nutzung der Plattform erforderlich; ohne sie können wir keinen Vertrag schließen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

16. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt. Passwörter speichern wir nur als Hash, Zugriffstoken verschlüsselt, Dateien in privatem Speicher. Die Daten jedes Arbeitsbereichs sind voneinander getrennt, Berechtigungen prüft der Server bei jeder Anfrage. Zwei-Faktor-Authentifizierung steht allen Konten zur Verfügung. Die Datenbank und die hochgeladenen Dateien sichern wir jede Nacht. Sicherungskopien der Datenbank löschen wir nach spätestens 30 Tagen, die einer Datei spätestens 30 Tage nach deren Löschung.

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.