Rechtliches

Unterauftragsverarbeiter und externe Empfänger

Stand: 15. September 2026 · Alle Rechtsdokumente

Diese deutsche Fassung ist die verbindliche.

Diese Liste ist Anlage 3 des Auftragsverarbeitungsvertrags und zugleich die namentliche Aufstellung zu Ziffer 10 der Datenschutzerklärung. Änderungen teilen wir nach § 5.2 AVV mindestens 30 Tage vorher mit.

---

1. Im Einsatz

1.1 Auslieferung der Bilder (Content-Delivery-Netz)

Die Bilder eines Events liefern wir über das Content-Delivery-Netz von Amazon (CloudFront) aus. Damit sie überall schnell und zuverlässig ankommen, werden sie dabei vorübergehend an Edge-Standorten zwischengespeichert — auch außerhalb der EU. Für die Auslieferung der Bilder ist der Standortumfang auf die Vereinigten Staaten, Kanada, Europa und Israel begrenzt.

Diese Zwischenspeicherung besteht nur, solange das Event läuft. Mit dem Ende des Events leeren wir den Zwischenspeicher; danach ist über diesen Weg kein Abruf mehr möglich.

Die gespeicherte Fassung eines Bildes verlässt die bei der Buchung gewählte Datenregion nicht. Die Datenregion bestimmt, wo ein Bild gespeichert, verarbeitet und gelöscht wird — nicht jeden Ort, an dem ein Byte für die Auslieferung kurzzeitig vorgehalten wird.

Für die Marketing-Website und die Programmdateien der Anwendungen (JavaScript, Stylesheets, Bilder der Website) nutzen wir dasselbe Netz mit einem größeren Standortumfang. Diese Dateien enthalten keine personenbezogenen Daten.

1.2 Konto- und Geschäftsdatensätze (Europäische Union)

Die bei der Buchung gewählte Datenregion bestimmt über die Daten dieses Events: die Bilder und das, was zum Event und zu den daran beteiligten Personen erfasst wird. Diese werden in dieser Region gespeichert, verarbeitet und gelöscht und nicht in die andere gespiegelt.

Konto- und Geschäftsdatensätze liegen in der Europäischen Union — Frankfurt (eu-central-1) — und zwar bei jedem Event, unabhängig von dessen Datenregion. Das sind:

• das Konto der Veranstalterin: E-Mail-Adresse, Anmeldecodes und die damit verwalteten Events
• Partner- und Empfehlungsdatensätze einschließlich der Markeneinstellungen einer Partnerin
• Rabatt- und Gutscheincodes, deren Einlösungen sowie Empfehlungsansprüche
• die Rechnungsempfängerin einer Buchung und der zugehörige Rechnungsdatensatz
• eine Widerrufserklärung nach § 356a BGB

Diese Datensätze werden einmal in der Europäischen Union vorgehalten und aus beiden Regionen gelesen. Das ist eine bewusste Gestaltung und kein Nebenprodukt. Ein Konto verwaltet Events in beiden Regionen, eine Partnerin ist ein Unternehmen mit einem Markendatensatz, und ein Gutschein, der zu einem Event ausgegeben wurde, muss gegen eine Buchung in der anderen Region einlösbar sein — ein Datensatz, der aus beiden Regionen lesbar sein muss, kann nicht auf sie aufgeteilt werden, und eine Aufteilung hieße, dass ein in der einen Region ausgegebener Code in der anderen zurückgewiesen wird. Unser Zahlungsdienstleister und unser E-Mail-Versanddienst sind aus demselben Grund jeweils ein einziger, in der EU ansässiger Dienst.

Für ein Event mit Datenregion USA heißt das: Die Bilder des Events und die Daten seiner Gäste liegen in Nord-Virginia, das Konto, mit dem es gebucht wurde, und die Rechnung dazu liegen in Frankfurt.

1.3 Automatische Prüfung hochgeladener Bilder (Google)

Über eine vom Gast angeforderte Generierung hinaus gibt es eine zweite, automatische Übermittlung an Google. Wir führen sie hier gesondert auf, weil sie auch Bilder erreicht, deren Urheber:in die KI überhaupt nicht nutzt.

Die KI-Fotobox hat keine eigene Kamera: Ein Gast wendet sie auf ein selbst aufgenommenes Bild an, das bereits in der Galerie liegt. Damit die Anwendung weiß, bei welchen Bildern sie die Funktion anbieten kann, wird jedes hochgeladene Bild unmittelbar nach dem Hochladen einmal an die Gemini API übermittelt — verkleinert auf eine Kantenlänge von höchstens 1.280 Pixeln, soweit unsere Software das Bild neu kodieren kann, andernfalls unverkleinert — und auf zweierlei beurteilt: ob überhaupt eine Person darauf zu sehen ist und ob der Bildausschnitt weit genug für ein Kostüm ist. Gespeichert wird allein die daraus abgeleitete Ja/Nein-Antwort, und zwar zu dem Bild; die Antwort des Anbieters selbst wird verworfen, sobald die Ja/Nein-Antwort daraus abgeleitet ist.

Die Prüfung läuft nur bei Events, für die die veranstaltende Person KI-Bilder gebucht hat — bei einem Event ohne sie wird nichts übermittelt. Ein Fehler oder eine Zeitüberschreitung lässt das Bild unbewertet und ändert an ihm sonst nichts.

Bedingungen, Transfergrundlage und die Speicherung beim Anbieter entsprechen denen einer Generierung und sind in der Tabelle oben angegeben. Was übermittelt wird, was gespeichert bleibt und wie ein Gast widersprechen kann, steht in Ziffer 6.1a der Datenschutzerklärung.

---

2. Vorgesehen

---

3. Entfernt

---

4. Keine Empfänger

Wir setzen keine ein:

• Analyse-, Statistik- oder Reichweitenmessdienste
• Werbenetzwerke, Retargeting, Conversion-Pixel
• externe Schriftarten-, Icon- oder Skript-Dienste, fremde Content-Delivery-Netze
• Social-Media-Plugins, eingebettete Videos oder Karten
• Kundendaten-Plattformen, CRM-Tracking, Session-Recording
• Datenhändler

Die Marketing-Website und alle Anwendungen laden Dateien ausschließlich von unseren eigenen Servern und über unser eigenes Auslieferungsnetz (Abschnitt 1.1). Die einzige Ausnahme ist das Bot-Schutz-Modul in Abschnitt 1; es ist als solches im zentralen Speicherverzeichnis deklariert.

---

5. Interne Empfänger

---

Maßgebliche Sprachfassung

Maßgeblich ist ausschließlich die deutsche Fassung dieses Dokuments. Fassungen in anderen Sprachen stellen wir ausschließlich zu Informationszwecken bereit. Bei Abweichungen geht die deutsche Fassung vor.