Datenschutzerklärung

Datenschutzerklärung für EVUSION

Informationen gemäß Art. 13 und 14 DSGVO • Stand: 17. August 2026

---

1. Einleitung und Geltungsbereich

Der Schutz Ihrer personenbezogenen Daten ist für uns ein zentrales Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG), des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) und des Digitale-Dienste-Gesetzes (DDG).

Diese Datenschutzerklärung gilt für die Website evusion.com, alle zugehörigen Subdomains und die browserbasierte EVUSION-Web-Anwendung.

2. Verantwortlicher

EVUSION Event Solutions UG (haftungsbeschränkt) Torf 10 59581 Warstein Deutschland

Handelsregister: HRB 16411, Amtsgericht Arnsberg Umsatzsteuer-ID: DE461859185 Geschäftsführer: Alessandro Piras

Kontakt für Datenschutzanfragen: E-Mail: privacy@evusion.com Telefon: +49 155 61494918

3. Datenschutzbeauftragter

Die interne Prüfung hat ergeben, dass wegen der Datenschutz-Folgenabschätzung für die aktive KI-Assistenz ein Datenschutzbeauftragter nach § 38 Absatz 1 Satz 2 BDSG zu benennen ist. Die Benennung, Veröffentlichung der Kontaktdaten und Meldung an die zuständige Aufsichtsbehörde sind noch nicht abgeschlossen. Bis dahin bearbeitet die Geschäftsführung Datenschutzanliegen über die genannten Kontaktwege. Nach der Benennung werden die Kontaktdaten hier unverzüglich ergänzt.

3.1 Rollen bei Eventdaten

Für Accountverwaltung, Abrechnung, Plattformsicherheit, Vertragskommunikation und die eigenen Website-Funktionen ist EVUSION Verantwortlicher. Soweit Veranstalter EVUSION zur Verwaltung ihrer eigenen Events, Gästelisten, Teilnahmedaten, Antworten, Check-ins oder Sitzplatzinformationen einsetzen, ist regelmäßig der jeweilige Veranstalter Verantwortlicher; EVUSION verarbeitet diese Daten im Rahmen der vereinbarten Leistung als Auftragsverarbeiter.

Teilnehmende und Gäste erhalten die veranstalterspezifischen Datenschutzinformationen vom jeweiligen Veranstalter. Anliegen zu einer eventbezogenen Verarbeitung richten Sie daher zunächst an den Veranstalter. EVUSION unterstützt Veranstalter bei Betroffenenrechten, soweit EVUSION als Auftragsverarbeiter tätig wird.

4. Minderjährige und Einwilligungen nach Art. 8 DSGVO

EVUSION richtet sich nicht an Kinder unter 16 Jahren als eigenständig handelnde Nutzer. Organisieren Schulen, Bildungseinrichtungen oder private Veranstalter Events mit Minderjährigen, liegt die Verantwortung für altersgerechte Information und erforderliche Einwilligungen bei der jeweiligen verantwortlichen Stelle. Soweit ein Dienst der Informationsgesellschaft unmittelbar einem Kind angeboten wird und die Verarbeitung auf einer Einwilligung beruht, gelten die Voraussetzungen des Art. 8 DSGVO. Bei Kindern unter 16 Jahren ist die Einwilligung oder Genehmigung durch den Träger der elterlichen Verantwortung erforderlich.

5. Kategorien verarbeiteter Daten

5.1 Automatisch erhobene Daten (Server- und Anwendungs-Logs)

Bei jedem Aufruf werden technisch notwendige Verbindungsdaten verarbeitet:

• IP-Adresse (nach maximal 7 Tagen gekürzt oder durch Hash ersetzt)
• Datum und Uhrzeit des Zugriffs
• aufgerufene Ressource und HTTP-Statuscode
• Referrer-URL
• Browser, Betriebssystem und Spracheinstellung
• übertragene Datenmenge
• Request-ID, Trace-ID, Span-ID und pseudonymisierte Korrelationskennungen für technische Fehleranalyse, Sicherheit, Missbrauchsprävention und Zuordnung von Hintergrundprozessen

5.2 Bei Registrierung und Nutzung

• E-Mail-Adresse, Vor- und Nachname
• Passwort ausschließlich als Argon2-Hash
• optional Profilbild, Telefonnummer, Firma, Anschrift und USt-IdNr.
• erstellte Events, Sessions, Gästelisten und Eventinhalte
• Einwilligungs- und Annahmedokumentation für Rechtstexte
• bei optionalen Assistenzfunktionen: Eingaben und Ergebnisse
• Buchungen, Tickets, Rechnungen und Zahlungsstatus nach Aktivierung der Zahlungsfunktion
• technische Prozess- und Workflow-Metadaten, soweit sie zur Ausführung, Nachvollziehbarkeit und Fehlerbehebung von Bestellungen, Ticket-Erstellung, E-Mail-Versand, Datenexporten, Löschprozessen oder vergleichbaren Plattformprozessen erforderlich sind

5.3 Bei Kontaktaufnahme

Kontaktdaten (E-Mail, ggf. Telefon), Inhalt und Zeitpunkt Ihrer Nachricht sowie zugeordnete Bearbeitungsvermerke.

5.4 Bei elektronischen Widerrufserklärungen

Wenn Sie die elektronische Widerrufsfunktion nutzen, verarbeiten wir die für den Widerruf erforderlichen Angaben: Name, E-Mail-Adresse bzw. elektronisches Kommunikationsmittel, Angaben zur Identifizierung des betroffenen Vertrags, Zeitpunkt des Eingangs sowie den Bearbeitungs- und Bestätigungsstatus. Die Verarbeitung dient der Entgegennahme, Zuordnung, Bestätigung und rechtlichen Dokumentation Ihrer Widerrufserklärung.

5.5 Cookies und vergleichbare Technologien

Details zu eingesetzten Cookies, lokalen Speichern und Einwilligungen finden Sie in unserer Cookie-Richtlinie. Der Zugriff auf Endeinrichtungen erfolgt ausschließlich nach den Vorgaben des § 25 TDDDG.

Bei öffentlichen Abstimmungen speichert der Browser eine zufällig erzeugte lokale Kennung und die IDs bereits beantworteter Abstimmungen, um Mehrfachabgaben im angeforderten Ablauf zu begrenzen. Die serverseitige HMAC-Prüfung bleibt die maßgebliche Kontrolle; die lokale Kennung ist nur eine Bedien- und Missbrauchsschutzinformation.

Ist Cloudflare Turnstile für ein öffentliches RSVP- oder Registrierungsformular konfiguriert, lädt die angeforderte Route eine Challenge von challenges.cloudflare.com. Dabei werden technisch erforderliche Verbindungsdaten, insbesondere die IP-Adresse, sowie Challenge-Token und Prüfergebnis verarbeitet. Konkrete Angaben zu Vertragspartei, Rolle, Verarbeitungsorten, Unterauftragnehmerkette, Transfers und einer etwaigen weiteren Anbieteraufbewahrung werden erst veröffentlicht, wenn sie für die aktivierte Bereitstellung extern bestätigt und dokumentiert sind.

Traefik verarbeitet als Reverse Proxy technisch erforderliche Verbindungs- und Routingdaten serverseitig. Die aktuelle Repository-Konfiguration belegt kein eigenes Traefik-Sticky- oder Lastverteilungs-Cookie; ein solches Cookie wird daher nicht behauptet.

6. Zwecke der Verarbeitung

• Vertragserfüllung: Bereitstellung der Plattform, Event-Management, Gäste- und Ticket-Verwaltung
• Kommunikation: Beantwortung von Anfragen, Versand von Service-Benachrichtigungen zu Ihren Events
• Widerrufs- und Vertragsprozesse: Entgegennahme, Bestätigung, Zuordnung und Bearbeitung elektronischer Widerrufserklärungen
• Sicherheit: Schutz vor Missbrauch, Betrug, DDoS und Bot-Verkehr, Gewährleistung der IT-Sicherheit
• Betrieb und Observability: Fehleranalyse, Performance- und Verfügbarkeitsüberwachung, technische Nachvollziehbarkeit von Requests, Hintergrundprozessen und Zahlungs-/Ticketing-Flows über pseudonymisierte Request-, Trace- und Workflow-Kennungen
• Optimierung: aggregierte oder anonymisierte Auswertungen zur Verbesserung von Plattform und Performance
• Assistenzfunktionen: auf Anforderung Erstellung von Event-Texten, Strukturvorschlägen, Farbpaletten und Event-Bildern
• Rechtliche Pflichten: Steuer-, Handels- und buchhalterische Aufbewahrungspflichten
• Direktwerbung und Newsletter: ausschließlich mit ausdrücklicher Einwilligung

7. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (Newsletter, Marketing, optionale Cookies, optionale Assistenzfunktionen)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtungen (HGB, AO, GoBD)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen an IT-Sicherheit, Betrugsprävention und produktbezogener Reichweitenanalyse
• § 25 Abs. 2 TDDDG – Zugriff auf Endeinrichtungen, soweit unbedingt erforderlich
• § 25 Abs. 1 TDDDG – Einwilligung für sonstige Zugriffe auf Endeinrichtungen

8. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an die folgenden Kategorien von Empfängern weiter, soweit dies für die genannten Zwecke erforderlich oder gesetzlich vorgeschrieben ist:

• freigegebene Hosting- und Infrastruktur-Anbieter für die jeweils aktivierte Bereitstellung
• freigegebene E-Mail-Versanddienste für transaktionale Nachrichten und einwilligungsgebundene Marketing-Kommunikation
• freigegebene Zahlungsdienstleister nach Aktivierung der betreffenden Zahlungsfunktion
• Dienstleister für aktivierte optionale Funktionen nach den jeweils geltenden Vertrags- und Datenschutzinformationen
• Behörden, Gerichte und Aufsichtsstellen bei gesetzlicher Verpflichtung

Soweit wir externe Dienstleister als Auftragsverarbeiter einsetzen, erfolgt dies ausschließlich auf Basis von Verträgen nach Art. 28 DSGVO. Empfänger, die als eigenständige Verantwortliche handeln (wie z. B. Zahlungsdienstleister), verarbeiten Daten auf Grundlage eigener rechtlicher Verpflichtungen. Eine vollständige Übersicht der Subprozessoren stellen wir Auftraggebern im Rahmen des Auftragsverarbeitungsvertrags zur Verfügung.

9. Drittlandübermittlungen

Drittlandverarbeitungen werden für jede aktivierte Funktion vor Aktivierung geprüft. Dabei werden Empfänger, Verarbeitungs- und Supportorte, Rollen, Unterauftragnehmerkette und der konkret tragfähige Transfermechanismus dokumentiert. Ein Angemessenheitsbeschluss, Standardvertragsklauseln, eine Transfer-Folgenabschätzung oder ergänzende Maßnahmen werden nur genannt, wenn hierfür aktuelle Nachweise für den konkreten Empfänger vorliegen. Bis zu dieser Freigabe wird aus Quellcode, Konfiguration oder Anbieterinformationen kein Transfermechanismus abgeleitet.

10. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Anschließend werden die Daten gelöscht oder so weit anonymisiert, dass ein Personenbezug nicht wiederherstellbar ist.

Backup-Kopien und WAL-/Objekt-Storage-Sicherungen werden ausschließlich für Wiederherstellungszwecke verarbeitet und innerhalb der dokumentierten Backup-Zyklen sowie konfigurierten Object-Lock-Fristen überschrieben oder gelöscht; sie werden nicht für neue Verarbeitungszwecke verwendet.

Operative Telemetrie ist nicht anonym, solange eine Zuordnung über technische Kennungen möglich bleibt. EVUSION setzt deshalb Datenminimierung, Pseudonymisierung und kurze Aufbewahrung ein. Audit-Logs, Rechnungs-/Zahlungsnachweise, Sicherheitsvorfälle und rechtliche Nachweise können getrennt länger aufbewahrt werden, soweit dies gesetzlich erforderlich ist oder berechtigte Rechtsverteidigungs-, Sicherheits- oder Compliance-Interessen bestehen.

11. Ihre Rechte als betroffene Person

Sie haben gegenüber EVUSION folgende Rechte:

• Auskunft (Art. 15 DSGVO): Informationen über die zu Ihrer Person verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO): „Recht auf Vergessenwerden", soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten in einem strukturierten, maschinenlesbaren Format
• Widerspruch (Art. 21 DSGVO): insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen sowie jederzeit gegen Direktwerbung
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Die Rechte können Sie formlos per E-Mail an privacy@evusion.com oder über die Selbstbedienungsfunktionen in Ihren Kontoeinstellungen geltend machen. Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Datenexporte und Löschläufe berücksichtigen, soweit einschlägig, auch technische Korrelationskennungen, dokumentierte Aufbewahrungsausnahmen und den Bearbeitungsstatus. Operative Telemetrie wird im Regelfall nicht einzeln in historischen Logsystemen mutiert, sondern durch kurze Aufbewahrungsfristen, Pseudonymisierung und dokumentierte Lösch- und Wiederherstellungsregeln begrenzt. Gesetzlich oder sicherheitsbezogen erforderliche Nachweise bleiben davon unberührt.

Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Kavalleriestraße 2–4 40213 Düsseldorf Telefon: +49 211 38424-0 E-Mail: poststelle@ldi.nrw.de www.ldi.nrw.de

12. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung im Sinne des Art. 22 DSGVO findet bei EVUSION nicht statt. Optionale Assistenzfunktionen erzeugen Vorschläge, die Sie eigenverantwortlich prüfen und freigeben.

13. Hinweise zu optionalen Assistenzfunktionen

EVUSION bietet optionale Assistenzfunktionen an, insbesondere zur Erstellung von Event-Beschreibungen, Strukturvorschlägen, Farbpaletten und Event-Bildern. Bei Nutzung dieser Funktionen werden die dafür eingegebenen Inhalte und erzeugten Ergebnisse verarbeitet. Die jeweils geltenden Empfänger und Datenflüsse ergeben sich aus diesem Abschnitt.

14. Eingesetzte Dienste und Anbieter

14.1 Hosting und Infrastruktur – IONOS

EVUSION nutzt IONOS Cloud für Hosting- und Infrastrukturleistungen. Für die konkret gebuchten IONOS-Cloud-Leistungen besteht nach der dokumentierten Management-Bestätigung ein Vertrag zur Auftragsverarbeitung. Die aktuelle IONOS-Cloud-Vertragsdokumentation ordnet den Auftragsverarbeitungsvertrag den gebuchten Cloud-Produkten zu. Plattform- und KI-Workloads werden in der freigegebenen Bereitstellung in Deutschland verarbeitet. Vertrags-, Unterauftrags- und Standortänderungen werden vor ihrer Übernahme in die Plattform erneut geprüft.

14.2 Zahlungsabwicklung – Stripe (nach Aktivierung)

Stripe ist für aktivierte Zahlungs-, Abonnement- oder Auszahlungsfunktionen ein möglicher Empfänger. Die konkrete Vertragspartei, Rolle, Verarbeitungskette, Orte und etwaige Transfermechanismen werden für den jeweiligen Ablauf vor Aktivierung geprüft. Datenschutzhinweise: stripe.com/de/privacy.

14.3 Authentifizierung

Die Authentifizierung wird auf der für die jeweilige Bereitstellung freigegebenen Infrastruktur betrieben. Anbieterrollen, Verarbeitungs-, Speicher- und Supportorte werden vor Aktivierung geprüft. Authentifizierungsdaten werden nicht allein wegen optionaler Analyse-, Karten- oder Zahlungsfunktionen an deren Anbieter weitergegeben.

14.4 E-Mail-Versand – Brevo

Brevo ist ein möglicher Empfänger für transaktionale E-Mails und – nach gesonderter Einwilligungs- und Versandprüfung – Marketing-Kommunikation. Vertragspartei, Rolle, Orte, Unterauftragnehmerkette und Löschverhalten werden vor Aktivierung geprüft. Datenschutzhinweise: brevo.com/de/legal/privacypolicy.

14.5 Assistenzfunktionen – IONOS AI Model Hub

Für freigegebene Assistenzfunktionen wird ausschließlich der IONOS AI Model Hub eingesetzt. Eingaben und Ausgaben werden zur Erbringung der angeforderten Assistenz verarbeitet. Nach der aktuellen IONOS-Dokumentation werden Prompts und Ausgaben zustandslos verarbeitet, nach der Sitzung verworfen und nicht für das Training oder Nachtraining von Modellen verwendet; technisch erforderliche Service-Protokolle bleiben davon unberührt. Vom Kunden angelegte Dokumentensammlungen werden bis zu ihrer Löschung in Berlin gespeichert. Sensible Daten und nicht ausdrücklich freigegebene Daten dürfen nicht eingegeben werden. Ergebnisse werden vor Speicherung, Versand oder Veröffentlichung menschlich geprüft. Andere KI-Anbieter und Fallbacks sind für diesen Ablauf nicht freigegeben.

14.6 Karten und Adresssuche

OpenStreetMap und Photon sind Kandidaten für optionale Karten- und Adressfunktionen. Sie dürfen erst nach der erforderlichen Interaktion oder Einwilligung und nach Prüfung von Empfängern, Rollen, Orten und Transferfragen geladen werden. Bei einem freigegebenen Aufruf kann die IP-Adresse technisch an den jeweiligen Betreiber übermittelt werden.

14.7 Eigenbetriebene Plattformkomponenten

Datenbank-, Speicher-, Such-, Dokument- und Workflow-Komponenten werden je nach freigegebener Bereitstellung eigenbetrieben oder über geprüfte Anbieter bereitgestellt. Betriebsstand, Rollen, Orte und Datenflüsse werden vor Aktivierung geprüft; Informationen dazu stellen wir berechtigten Vertragspartnern und Aufsichtsbehörden im erforderlichen Umfang bereit.

14.8 Observability, Monitoring und Hintergrundprozesse

EVUSION betreibt Observability-Komponenten für Logs, Metriken und Traces auf der für die jeweilige Bereitstellung freigegebenen Infrastruktur. Dabei werden technische Ereignisse aus Web, API, Zahlungs-/Webhook-Flows, Workflow-Orchestrierung und Worker-Aktivitäten über Request-IDs, Trace-IDs, Span-IDs und pseudonymisierte Subjekt-/Organisationskennungen korreliert. Anbieterrollen und Verarbeitungsorte werden vor Aktivierung geprüft. Normale Anwendungslogs werden auf die für Betrieb und Sicherheit erforderlichen technischen Daten beschränkt. Externe Zahlungsdienstleister wie Stripe können eigene Referenz- und Ereignis-IDs verarbeiten; deren Verarbeitung richtet sich ergänzend nach Abschnitt 14.2.

14.9 Cloudflare Turnstile

Cloudflare Turnstile wird bei entsprechend konfigurierten öffentlichen RSVP- und Registrierungsformularen als Missbrauchsschutz eingesetzt. Der Browser verbindet sich nur auf der angeforderten Formularroute und nur bei konfiguriertem Site Key mit challenges.cloudflare.com. Weitere Anbieter- und Transferangaben werden nicht allein aus Bibliothek, Hostname oder Konfiguration abgeleitet, sondern erst nach dokumentierter externer Bestätigung für die aktivierte Bereitstellung konkret ausgewiesen.

15. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Dazu gehören insbesondere verschlüsselte Übertragungen, rollenbasierte Zugriffskontrollen, Schutzmaßnahmen für administrative Zugänge, Sicherungen, Protokollierung sicherheitsrelevanter Vorgänge sowie Prozesse für Sicherheitsvorfälle. Details zu den Kategorien der Maßnahmen finden Sie in den technisch-organisatorischen Maßnahmen.

16. Newsletter und Direktwerbung

Marketing-Kommunikation wird nur nach bestätigter Einwilligung im Double-Opt-in-Verfahren versandt. Sie können den Empfang jederzeit über den Abmeldelink in jeder Nachricht oder per E-Mail an privacy@evusion.com widerrufen. Derzeit erfolgt kein Versand auf Grundlage einer Bestandskundenausnahme; eine Bestandskundenbeziehung allein genügt nicht. Eine Ausnahme nach § 7 Abs. 3 UWG darf erst genutzt werden, wenn sämtliche Voraussetzungen für den konkreten Versand vollständig dokumentiert, freigegeben und mit einer jederzeitigen kostenfreien Widerspruchsmöglichkeit versehen sind.

17. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung bei Änderungen unserer Dienste oder der Rechtslage. Die jeweils aktuelle Fassung steht unter evusion.com/legal/privacy bereit. Bei wesentlichen Änderungen informieren wir registrierte Nutzer mindestens 14 Tage vor Inkrafttreten per E-Mail oder über die Plattform.

18. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich an privacy@evusion.com.

Stand: 17. August 2026