1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf eventseasy.de, tickets.eventseasy.de, staff.eventseasy.de und api.eventseasy.de ist, soweit in Abschnitt 2 nicht anders beschrieben:
Paul & Paul Studio UG (haftungsbeschränkt)
Staasstraße 37
42369 Wuppertal, Deutschland
Geschäftsführer: Nicklas Neubauer
E-Mail: datenschutz@paulpaul.studio
Telefon: +49 175 4165444
Website: https://paulpaul.studio
2. Überblick und Rollen
EventsEasy ist eine Software für Veranstalter: Events anlegen, Tickets über einen Ticketshop verkaufen, Gästelisten führen und den Einlass prüfen. Die Paul & Paul Studio UG (haftungsbeschränkt) („paul&paul“) betreibt die Plattform. Diese Datenschutzerklärung gliedert sich in:
- Teil A: Aufruf der Seiten der Plattform – paul&paul ist Verantwortlicher.
- Teil B: Nutzung von EventsEasy durch Veranstalter und ihre Mitarbeitenden (Veranstalter-Web) – paul&paul ist Verantwortlicher.
- Teil C: Daten, die Veranstalter mit EventsEasy verarbeiten (Gäste, Ticketkäufe, Gästelisten, Einlass-Personal, Lieferanten). Verantwortlicher ist der jeweilige Veranstalter; paul&paul verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Führt paul&paul selbst eine Veranstaltung durch, ist paul&paul auch insoweit Verantwortlicher.
Gäste, die Tickets kaufen, finden die Datenschutzhinweise des jeweiligen Veranstalters im Ticketshop.
Teil A: Aufruf der Seiten
3. Hosting und Server-Protokolle
Die Plattform läuft auf eigenen Servern von paul&paul bei der Hetzner Online GmbH in Rechenzentren in Deutschland. Die Verbindung wird verschlüsselt (TLS) und endet an unserem eigenen Proxy-Server; ein Content-Delivery-Netzwerk wird nicht eingesetzt.
Beim Aufruf einer Seite speichert der Proxy-Server ein Zugriffsprotokoll mit IP-Adresse, Datum und Uhrzeit, aufgerufener Adresse, Statuscode, übertragener Datenmenge, Referrer-URL und Browserkennung (User-Agent). Die Protokolle dienen dem Betrieb und der Abwehr von Angriffen; dazu werden sie automatisiert auf Angriffsmuster ausgewertet, und auffällige IP-Adressen werden vorübergehend gesperrt.
Die Anwendung selbst protokolliert Anfragen ohne IP-Adresse, ohne Browserkennung und ohne Inhalte; Namen, E-Mail-Adressen und Zugangsdaten werden vor dem Schreiben eines Protokolls entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
Speicherdauer: Zugriffsprotokolle des Proxy-Servers höchstens 7 Tage. Anwendungsprotokolle werden nach Größe rotiert (höchstens drei Dateien je Dienst) und nicht gesondert archiviert.
4. Cookies und Speicher im Endgerät
EventsEasy setzt keine Cookies oder vergleichbaren Techniken zu Analyse-, Werbe- oder Trackingzwecken ein und bindet keine Inhalte Dritter ein (keine externen Schriften, Skripte oder Karten). Es werden nur Cookies gesetzt, die für den Dienst unbedingt erforderlich sind:
| Cookie | Seite | Zweck | Laufzeit |
|---|---|---|---|
__Host-ee_login | eventseasy.de | bindet einen laufenden Anmeldevorgang an den Browser | 10 Minuten |
__Host-ee_admin | eventseasy.de | Sitzung nach der Anmeldung | bis zur Abmeldung, höchstens 12 Stunden |
__Host-ee_csrf | eventseasy.de, tickets.eventseasy.de | Schutz vor untergeschobenen Anfragen (CSRF) | Dauer der Sitzung |
__Host-ee_guest_login, __Host-ee_guest | tickets.eventseasy.de | Anmeldung und Sitzung im Ticketshop | Dauer des Anmeldevorgangs bzw. der Sitzung |
Die Personal-App auf staff.eventseasy.de verwendet keine Cookies. Sie speichert auf dem gekoppelten Gerät einen Geräteschlüssel und die für den Einlass nötigen Daten, damit sie auch ohne Netz funktioniert.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den vom Nutzer ausdrücklich gewünschten Dienst); für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht erforderlich; ein Cookie-Banner wird deshalb nicht angezeigt.
5. DNS
Die Domain eventseasy.de wird bei der Cloudflare, Inc. (USA) verwaltet. Cloudflare beantwortet nur die Namensauflösung; die Zugriffe auf die Seiten laufen nicht über Cloudflare, sondern direkt zu unserem Server.
Teil B: Veranstalter und ihre Mitarbeitenden
6. Anmeldung über das paul&paul-Portal
Die Anmeldung im Veranstalter-Web erfolgt über das Kundenportal von paul&paul (Single Sign-on nach OpenID Connect). EventsEasy erhält dabei vom Portal eine pseudonyme Nutzerkennung, die Organisation und die Rolle (Administrator oder Mitglied). Namen und E-Mail-Adressen der Nutzer speichert EventsEasy nicht; sie liegen im Portal. Für die Sitzung speichert EventsEasy einen gehashten Sitzungsschlüssel mit Beginn, letzter Aktivität und Ablauf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Veranstalter); für Mitarbeitende des Veranstalters Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, personenbezogenen Zugangskontrolle).
Speicherdauer: Sitzungen enden mit der Abmeldung, nach 2 Stunden ohne Aktivität oder spätestens nach 12 Stunden. Die Zuordnung von Nutzerkennung, Organisation und Rolle bleibt bis zum Ende der Mitgliedschaft in der Organisation bzw. des Vertrags gespeichert.
7. Vertrag, Abrechnung und Zugang
Den Zugang zu EventsEasy bucht der Veranstalter im paul&paul-Portal; Rechnungen erstellt paul&paul über sein Abrechnungssystem. EventsEasy erhält vom Portal nur den Status des Zugangs (gebucht, Tarif, gültig bis).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Rechnungen und Buchungsbelege Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB.
Speicherdauer: Buchungsbelege und Rechnungen 8 Jahre, Handels- und Geschäftsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres.
8. Verbindung mit Mollie
Ticketzahlungen laufen über das eigene Konto des Veranstalters bei der Mollie B.V., Amsterdam, Niederlande. Verbindet ein Veranstalter sein Mollie-Konto, speichert EventsEasy die von Mollie ausgegebenen Zugangsschlüssel verschlüsselt sowie den Status der Verbindung. Mollie verarbeitet die Daten aus dem Kontoverhältnis mit dem Veranstalter in eigener Verantwortung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Trennung der Verbindung; beim Trennen werden die Zugangsschlüssel bei Mollie widerrufen und in EventsEasy gelöscht.
9. Protokoll der Änderungen
Wichtige Aktionen im Veranstalter-Web (zum Beispiel Rollenänderungen, Gerätekopplungen, Veröffentlichungen, Stornos) werden mit Zeitpunkt, pseudonymer Nutzerkennung und betroffenem Datensatz protokolliert, ohne Namen, E-Mail-Adressen oder Inhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Schutz vor Missbrauch) sowie Art. 32 DSGVO.
Speicherdauer: [offen]
10. Fehlerberichte
Tritt im Server von EventsEasy ein Fehler auf, kann ein Fehlerbericht an eine selbst betriebene GlitchTip-Instanz auf Servern von paul&paul in Deutschland übermittelt werden. Der Bericht enthält Fehlermeldung, technischen Aufrufpfad, Zeitpunkt und die aufgerufene Adresse ohne Parameter; Namen, E-Mail-Adressen, Zugangsdaten und IP-Adressen werden vorher entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fehlerfreier und sicherer Betrieb).
Speicherdauer: 90 Tage.
Teil C: Daten, die Veranstalter mit EventsEasy verarbeiten
11. Auftragsverarbeitung
Veranstalter nutzen EventsEasy, um Tickets zu verkaufen, Gästelisten zu führen, den Einlass zu prüfen und ihr Lager zu verwalten. Für diese Daten ist der Veranstalter Verantwortlicher; paul&paul verarbeitet sie nur nach seinen Weisungen auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Dazu gehören:
- Gäste und Ticketkäufe: E-Mail-Adresse, auf Wunsch des Veranstalters Name je Ticket, Bestellung, Zahlungsstatus und Zahlungskennung von Mollie, Ticket und Einlass-Status, Bestätigung der Altersgrenze (ohne Geburtsdatum).
- Gästelisten: Name, auf Wunsch des Veranstalters Nachname und Telefonnummer, E-Mail-Adresse, Zahl der Begleitpersonen, Einlass-Status.
- Einlass-Personal: Gerätebezeichnung, Kopplungs- und Nutzungszeitpunkte, PIN nur als Prüfwert; Namen speichert EventsEasy nicht.
- Lieferanten: Firmenangaben und, falls erfasst, Ansprechperson, E-Mail-Adresse und Telefonnummer.
Welche Daten der Veranstalter zu welchem Zweck verarbeitet und wie lange er sie speichert, beschreibt er in seinen eigenen Datenschutzhinweisen; für Gäste sind sie im Ticketshop verlinkt. Anfragen zu diesen Daten richten Betroffene bitte an den Veranstalter; Anfragen, die bei paul&paul eingehen, leitet paul&paul an ihn weiter.
12. Übernommene Gästeliste aus dem bisherigen System von paul&paul
Für die eigene Veranstaltung von paul&paul aus dem bisherigen EventsEasy-System wurden Name, E-Mail-Adresse und Einlass-Status der Gästeliste übernommen, nicht aber Telefonnummern, Codes, Einlasszeiten oder Einwilligungen. Verantwortlicher ist insoweit paul&paul. Zweck ist die Nachvollziehbarkeit der eigenen Veranstaltung; die Adressen werden nicht für Werbung genutzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 6 Abs. 4 DSGVO (mit dem ursprünglichen Zweck vereinbare Weiterverarbeitung).
Speicherdauer: [offen; Vorschlag: 12 Monate nach der Übernahme, danach werden Name und E-Mail-Adresse gelöscht und nur Zählungen behalten]
13. Empfänger und Auftragsverarbeiter
| Dienst | Anbieter | Zweck | Standort | Rolle |
|---|---|---|---|---|
| Server-Hosting | Hetzner Online GmbH, Gunzenhausen | Server, Datenbank, Dateispeicher | Deutschland | Auftragsverarbeiter |
| Backup-Speicher | BorgBase OÜ, Tallinn | verschlüsselte Sicherungen | EU | Auftragsverarbeiter; Daten vor der Übertragung verschlüsselt |
| E-Mail-Versand | Lettermint B.V., Niederlande | Ticket- und Anmelde-E-Mails | EU | Auftragsverarbeiter |
| Zahlungen | Mollie B.V., Amsterdam | Zahlungsabwicklung für Veranstalter | EU | eigener Verantwortlicher |
| DNS | Cloudflare, Inc., USA | Namensauflösung, kein Datenverkehr | weltweit | – |
| Zertifikate | Let's Encrypt (ISRG), USA | TLS-Zertifikate, keine Besucherdaten | USA | – |
| Kundenportal, Abrechnung, Fehlerberichte | paul&paul (eigene Systeme) | Anmeldung, Zugang, Rechnungen, Fehleranalyse | Deutschland | – |
Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU findet nicht statt.
14. Speicherdauer im Überblick
Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Gelöschte Daten können bis zu 6 Monate in verschlüsselten Sicherungen verbleiben; nach einer Wiederherstellung werden die Löschungen erneut angewendet.
15. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).
Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.
Anfragen richten Sie an: datenschutz@paulpaul.studio. Für Daten aus Teil C wenden Sie sich bitte an den jeweiligen Veranstalter.
16. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für paul&paul ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
https://www.ldi.nrw.de
17. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Ohne die Anmeldedaten aus dem Portal kann das Veranstalter-Web nicht genutzt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
18. Datensicherheit
Alle Verbindungen sind TLS-verschlüsselt. Zugangsschlüssel zu Zahlungskonten werden verschlüsselt gespeichert, Sitzungs- und Gerätekennungen nur als Prüfwerte. Die Daten der Veranstalter sind in der Datenbank voneinander getrennt. Sicherungen werden vor der Übertragung verschlüsselt.
Stand: Oktober 2026
Paul & Paul Studio UG (haftungsbeschränkt)