K Der Organisator Private Eventorganisation

Datenschutz

1. Verantwortlicher für die Plattform

Verantwortlicher für den Betrieb der Plattform Konveniat ist:

Ecker Remy
4 rue de la Paix
L-8020 Strassen
Luxemburg
E-Mail: konveniat@pt.lu

2. Rollenverteilung bei Events

Für Gästedaten, Adressen, Menüwünsche, RSVP-Antworten, Zahlungen, Tischpläne und Einladungen ist in der Regel der jeweilige Event-Organisator verantwortlich. Konveniat stellt die technische Plattform bereit und verarbeitet Eventdaten im Rahmen der Nutzung technisch für den jeweiligen Organisator.

Für Plattformkonto, Login, Registrierung, Sicherheit, 2FA, Passkeys, Systemprotokolle, Betreiberbereich und Kontaktanfragen ist der Plattformbetreiber selbst verantwortlich.

3. Verarbeitete Daten

  • Kontodaten: Name, E-Mail-Adresse, Passwort-Hash, Kontostatus, Rollen, 2FA-/Passkey-Status
  • Eventdaten: Eventtitel, Zeiten, Orte, Einstellungen, Einladungs- und Druckkonfiguration
  • Teilnehmerdaten: Namen, Adressen, E-Mail-Adressen, Telefonnummern, Menüwahl, RSVP-Antworten, Begleitpersonen, Zahlungs- und Rückzahlungsstatus, Tischzuordnung
  • Technische Daten: installationsgebunden pseudonymisierte IP-Kennung, grobe Browser-/Plattformklasse, Sicherheits- und Audit-Logs, Mail- und Zustellprotokolle
  • Kontaktanfragen: Name, E-Mail-Adresse, Betreff und Nachricht aus dem Kontaktformular

4. Zweck der Verarbeitung

Die Daten werden verarbeitet, um private Events zu organisieren, Einladungen zu versenden, Rückmeldungen per QR/RSVP zu ermöglichen, Adressen zu sammeln, Menüs und Tischpläne zu verwalten, Druckansichten zu erzeugen, Backups bereitzustellen und die Sicherheit der Plattform zu gewährleisten.

5. Hosting, Mailversand und Speicherorte

Die Anwendung wird auf einem vom Betreiber administrierten Webhosting betrieben. Strukturierte Daten liegen in der Datenbank der Installation; Bilder, Flyer, Exporte, Backups und Importdateien liegen im geschützten Storage der Installation. Mailversand erfolgt über die im Betreiberbereich oder im jeweiligen Benutzerkonto konfigurierten SMTP-Postfächer.

Hosting, Datenbank und geschützter Storage liegen beim Hostinganbieter der jeweiligen Installation. E-Mail-Versand erfolgt über den im Betreiberbereich hinterlegten SMTP-Anbieter oder über ein vom jeweiligen Nutzer hinterlegtes eigenes SMTP-Profil. Der konkrete Anbieter und Serverstandort richten sich nach der Betreiberkonfiguration der Installation und sollten im Betreiberbereich bzw. in den veröffentlichten Rechtstexten ergänzt werden, sobald sie feststehen.

6. Schutzmaßnahmen

Konveniat trennt Daten mandanten- und eventbezogen. Die normale Betreiberoberfläche ist darauf ausgelegt, Eventkontakte und personenbezogene Eventinhalte nicht anzuzeigen; der Plattformbetreiber nutzt sie nicht zu Werbezwecken. Sensible Felder werden anwendungsseitig geschützt gespeichert. Technische Administratoren, die Hosting, PHP-Prozess und installationsweiten Master-Key kontrollieren, liegen innerhalb der Vertrauensgrenze und können technisch auf entschlüsselbare Inhalte zugreifen. Konveniat ist deshalb kein absolutes Zero-Knowledge-System. Zugriffe und sicherheitsrelevante Aktionen werden protokolliert.

7. KI-Hilfe

Die KI-Hilfe führt lokale Navigation und Suchfunktionen innerhalb der Webapp aus. Personenbezogene Kontaktinhalte werden nicht ohne ausdrückliche Bestätigung an externe KI-Dienste gesendet. Betreiber können optionale KI-Anbieter konfigurieren; Datenschutz-Sperren sollen verhindern, dass Kontaktlisten oder persönliche Eventdaten als Freitext an externe Dienste übertragen werden.

8. Aufbewahrung und Löschung

Eventdaten bleiben gespeichert, solange der jeweilige Organisator sie für Organisation, Nachbereitung, Export oder Backup benötigt. Archivierte Events bleiben erhalten, gelöschte Events werden aus der laufenden Datenbank entfernt.

Wenn ein Organisator einen Kontakt löscht, wird der Kontakt in der laufenden Datenbank endgültig entfernt. Wenn ein Event gelöscht wird, werden die zugehörigen Eventdaten, RSVP-Daten, Adresssammlungen, Menüs, Tischplandaten, Exportverweise sowie lokal gespeicherte Eventdateien wie Bilder, Flyer und Motive entfernt. Wenn ein Nutzerkonto gelöscht wird, werden die diesem Konto zugeordneten Events, globalen Kontakte, Sicherheitseinträge, SMTP-Profile, Passkeys/API-Keys und lokalen Eventdateien entfernt.

Kontaktanfragen aus dem öffentlichen Formular werden mit dem installationsgebundenen Hauptschlüssel verschlüsselt gespeichert, nach 90 Tagen fällig und beim ersten täglichen Bereinigungslauf nach Fälligkeit automatisch aus der laufenden Datenbank gelöscht. Die Benachrichtigungs-E-Mail an den Betreiber enthält weder Absenderdaten noch den Nachrichtentext; diese Angaben werden in der normalen Oberfläche nur im geschützten Betreiberbereich angezeigt. Technische Administratoren mit Zugriff auf Hosting und installationsweiten Master-Key liegen innerhalb der Vertrauensgrenze. Bereits vorhandene Kontaktanfragen werden beim Öffnen der geschützten System-/Kontaktanfragenansicht in begrenzten Stapeln verlustfrei verschlüsselt und erhalten dann ihre Aufbewahrungsfrist.

Technische Protokolle werden datensparsam geführt: Mail-Logs speichern keine Klartext-E-Mail-Adressen; Audit-Logs speichern statt einer rohen IP-Adresse ein installationsgebundenes HMAC-Pseudonym und nur eine grobe Browser-/Plattformklasse. Die standardmäßige Audit-Aufbewahrung beträgt 365 Tage und ist installationsbezogen konfigurierbar. Soweit gesetzliche Pflichten oder technische Sicherungsfristen greifen, können Daten in technischen Backups bis zum Ablauf der jeweiligen Frist fortbestehen; danach werden sie automatisch überschrieben oder gelöscht. Die konkrete Sicherungsfrist richtet sich nach der Hosting- und Backup-Konfiguration.

9. Rechte betroffener Personen

Betroffene Personen können Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und weitere gesetzliche Rechte geltend machen. Für Eventdaten ist zuerst der jeweilige Event-Organisator Ansprechpartner. Für Plattformdaten und Kontaktanfragen kann die Anfrage an konveniat@pt.lu gerichtet werden.

Eine Beschwerde bei der zuständigen Datenschutzaufsicht bleibt möglich, in Luxemburg insbesondere bei der Commission nationale pour la protection des données (CNPD).

Kontaktanfragen aus dem öffentlichen Formular werden mit dem installationsgebundenen Hauptschlüssel verschlüsselt gespeichert und nach 90 Tagen fällig und beim ersten täglichen Bereinigungslauf nach Fälligkeit automatisch aus der laufenden Datenbank gelöscht. Die Benachrichtigungs-E-Mail an den Betreiber enthält weder Absenderdaten noch den Nachrichtentext; diese Angaben werden in der normalen Oberfläche nur im geschützten Betreiberbereich angezeigt. Technische Administratoren mit Zugriff auf Hosting und installationsweiten Master-Key liegen innerhalb der Vertrauensgrenze. Bereits vorhandene Kontaktanfragen werden beim Öffnen der geschützten System-/Kontaktanfragenansicht in begrenzten Stapeln verlustfrei verschlüsselt und erhalten dann ihre Aufbewahrungsfrist.

Sicherheits- und Audit-Protokolle speichern keine rohe IP-Adresse. Stattdessen wird ein nur innerhalb dieser Installation vergleichbares HMAC-Pseudonym und eine grobe Browser-/Plattformklasse gespeichert. Audit-Einträge werden nach 365 Tagen beim nächsten erfolgreichen Audit-Zugriff automatisch gelöscht. Die Oberfläche zeigt dem Plattformbetreiber keine persönlichen Eventinhalte und diese werden nicht zu Werbezwecken genutzt. Technische Administratoren mit Kontrolle über Hosting, PHP-Prozess und installationsweiten Master-Key liegen jedoch innerhalb der Vertrauensgrenze; Konveniat ist deshalb kein absolutes Zero-Knowledge-System.