Nach Art. 26 DSGVO. Ergänzt den Auftragsverarbeitungsvertrag — beide gehören zusammen.
Ein Auftragsverarbeitungsvertrag allein würde unterstellen, wir verarbeiteten die Gästedaten ausschließlich in Ihrem Auftrag. Das trifft nur zur Hälfte zu.
In Ihrem Auftrag — dort sind Sie Verantwortlicher, wir Auftragsverarbeiter:
In unserem eigenen Interesse — dort sind wir selbst Verantwortlicher:
Wer Zweck und Mittel bestimmt, ist Verantwortlicher — unabhängig davon, was im Vertrag steht. Deshalb braucht es beides.
Gemeinsam festgelegt wird die Erhebung pseudonymer Interaktionsdaten („Nutzungsmessung“) von Gästen, die Ihr Widget oder die Gäste-App mit Ihrem Zugang benutzen. Die Kiosk-Ansicht sendet keine Interaktionsdaten.
| Datum | Zweck |
|---|---|
| Pseudonyme Sitzungskennung | Wiedererkennung innerhalb einer Sitzung |
| Veranstaltungskennung | welche Veranstaltung angezeigt oder geklickt wurde |
| Art der Interaktion | Anzeige, Klick, Detailansicht, Merken, Stempel |
| Verweildauer | Stärke des Signals |
| Herkunft | Widget oder App |
Nicht erhoben werden IP-Adresse und Browsertyp — auch nicht als Hash. Die Sitzungskennung existiert nur im Arbeitsspeicher der geöffneten Seite; sie wird weder als Cookie noch im Local- oder Session-Storage des Browsers abgelegt und ist nach dem Schließen oder Neuladen der Seite verloren. Schickt ein Browser keine Kennung mit, vergeben wir je Anfrage eine neue Zufallskennung; aus IP-Adresse oder Browsertyp wird keine Kennung abgeleitet.
Einwilligung des Gastes nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Bis zum 29.09.2026 stützte sich die Erhebung auf berechtigtes Interesse (Art. 6 Abs. 1 lit. f); seither wird ohne Einwilligung nichts erhoben. Die Einwilligung holen Sie auf Ihrer Website ein; wir stellen dafür die Schnittstelle im Widget und einen Textvorschlag bereit. Widerruft der Gast, meldet Ihr Einwilligungswerkzeug das dem Widget, und es sendet ab sofort nichts mehr.
Was das Widget im Browser speichert, braucht keine Einwilligung: die Liste der Veranstaltungen, die der Gast selbst mit „Merken“ markiert, liegt im Local-Storage seines Browsers — ein vom Gast ausdrücklich gewünschter Dienst (§ 25 Abs. 2 Nr. 2 TDDDG). Sie geht an niemanden.
| Pflicht | Wer |
|---|---|
| Information der Gäste auf Ihrer Website und in Ihrem Haus (Art. 13) | Sie — einen Textvorschlag finden Sie in der Anleitung für Gastgeber, einen ausführlichen Baustein schicken wir auf Anfrage |
| Einholen, Nachweis und Widerruf der Einwilligung auf Ihrer Website (§ 25 TDDDG, Art. 7) | Sie — mit Ihrem Einwilligungswerkzeug; wir stellen die Schnittstelle im Widget |
| Information über die Verarbeitung im Modell | Wir — in unserer Datenschutzerklärung |
| Auskunft, Berichtigung, Löschung, Widerspruch | Wir — die Daten liegen bei uns |
| Technische Maßnahmen der Plattform | Wir |
| Technische Maßnahmen Ihrer Website und Ihres Bildschirms | Sie |
| Meldung einer Datenschutzverletzung der Plattform | Wir, mit Unterrichtung binnen 24 Stunden |
| Verzeichnis der Verarbeitungstätigkeiten | jede Partei für sich |
Art. 26 Abs. 2 DSGVO verlangt, dass das Wesentliche dieser Vereinbarung den betroffenen Personen zur Verfügung steht. Das geschieht durch diese Seite und durch einen Hinweis in Ihrer eigenen Datenschutzerklärung. Einen Textvorschlag enthält die Anleitung für Gastgeber; einen ausführlichen Baustein schicken wir auf Anfrage. (Bis 29.09.2026 stand hier, der Baustein liege im Dashboard. Das stimmte nicht.)
Diese Vereinbarung gilt für die Laufzeit des Nutzungsverhältnisses. Danach werden die Ihnen zuzuordnenden Interaktionsdaten binnen 30 Tagen gelöscht.
Was bleibt, sind die bereits in das Modell eingeflossenen Gewichte. Sie lassen sich nicht einzelnen Sitzungen zuordnen und nicht zurückrechnen — ein trainiertes Modell enthält keine Kopie seiner Trainingsdaten, sondern Parameter. Ein Anspruch auf Neutraining des Modells besteht nicht.
Diese Vereinbarung kommt mit dem Anhaken bei der Anmeldung zustande. Gespeichert werden die zugestimmte Fassung und der Zeitpunkt.