Datenschutzhinweis
Dokumentversion: 2026-11-04 · Deutsche Übersetzung. Weicht sie vom ungarischen Text ab, gilt die ungarische Fassung.
1. Verantwortlicher und Kontakt
Verantwortlicher für personenbezogene Daten zum Betrieb der Website, zu Nutzerkonten und zum Ticketverkauf ist die Kálvin Trend Kft.
Sitz: 1053 Budapest, Képíró utca 3. Handelsregisternummer: 01-09-406517. Steuernummer: 32098541-2-41. Datenschutz-E-Mail: support@concertpass.eu. Postanschrift: [NOCH EINZUSETZEN]. Bestellung und Erreichbarkeit eines Datenschutzbeauftragten, falls erforderlich: [NOCH EINZUSETZEN].
Dieser Hinweis beschreibt nach der Verordnung (EU) 2016/679 (DSGVO) die Verarbeitung von Besuchern, registrierten Nutzern, Käufern und Ticketinhabern. Rolle und Angaben eines gesonderten Veranstalters, Veranstaltungsorts oder Einlassdienstes sind bei der Veranstaltung anzugeben: [NOCH EINZUSETZEN].
Die Nutzung der Website oder die Annahme der Bedingungen ist keine Einwilligung in jede Verarbeitung. Jeder Zweck hat die unten genannte Rechtsgrundlage. Zwecke auf Grundlage einer Einwilligung brauchen eine gesonderte Wahl.
2. Registrierung und Konto
Daten: Name, E-Mail-Adresse, kryptografische Daten zur Passwortprüfung, Status der E-Mail-Bestätigung, gewählte Sprache, Kontokennung, Erstellungs- und Änderungszeit sowie freiwillig angegebene Telefon- und Rechnungsdaten. Bei Zwei-Faktor-Authentifizierung können auch das dafür nötige Geheimnis und Wiederherstellungsdaten verarbeitet werden.
Zweck: Konto, Identifizierung, Passwortzurücksetzung und Zugang zu den Tickets. Rechtsgrundlage: Vorbereitung und Erfüllung des Vertrags, DSGVO Artikel 6 Absatz 1 Buchstabe b; zur Missbrauchsprävention das berechtigte Interesse des Verantwortlichen, Buchstabe f.
Speicherung: für die Dauer des Kontos bzw. bis über einen Löschantrag entschieden ist. Das System anonymisiert bei der regelmäßigen Wartung Konten ohne Bestellung, die länger als zwei Jahre inaktiv sind. Die endgültige Inaktivitätsfrist für Konten mit früherem Kauf: [NOCH EINZUSETZEN]. Für Abrechnung und Rechtsdurchsetzung gelten gesonderte Fristen.
3. Kauf, Ticket, Umschreibung und Einlass
Daten: Käufer- und Bestellkennungen, gewählte Veranstaltung, Platz und Ticketart, Name und E-Mail des Inhabers, Preise und Gebühren, Bestell- und Zahlungsstatus, die Kennung zum QR-Code, Daten vor und nach einer Umschreibung, angenommene Version der Bedingungen, Zeitpunkt der Annahme und IP-Adresse.
Zweck: Platzreservierung, Erfüllung, Zustellung, Prüfung der Eintrittsberechtigung, Namensänderung, Erstattung und Nachweis des Vertrags. Rechtsgrundlage: DSGVO Artikel 6 Absatz 1 Buchstabe b; bei Rechtsansprüchen und Missbrauchsprävention Buchstabe f, das berechtigte Interesse am Schutz der Vertragsansprüche und der Ticketsicherheit.
Kauft der Käufer für eine andere Person oder schreibt er ein Ticket um, erhalten wir Name und E-Mail von ihm. Der Inhaber erhält die Information spätestens bei der ersten Kontaktaufnahme und innerhalb der Frist des Artikels 14 DSGVO. Nachrichten zum Ticket und zur Veranstaltung sind keine Newsletter.
Aufbewahrung nicht buchhalterischer Ticket-, Umschreibungs- und fehlgeschlagener Bestelldaten sowie eines etwaigen Einlassprotokolls: [NOCH EINZUSETZEN]. Im Streit können nötige Beweise bis zum Ende des Verfahrens oder bis zum Ablauf der Verjährung aufbewahrt werden, beschränkt auf den nötigen Umfang.
4. Zahlung und Rechnung
Daten: Rechnungsname, Land, Postleitzahl, Ort, Straße und Hausnummer, gegebenenfalls Steuernummer, Rechnungs- und Bestelldaten, Kennung der Zahlungstransaktion, Betrag, Währung, Erstattung und Zahlungsstatus. Kartendaten verarbeitet Stripe. Die eigene Datenbank der Website speichert keine vollständige Kartennummer und keinen CVC. Das System kann einen von Stripe erhaltenen Kartenfingerabdruck speichern. Das ist ein personenbezogenes Datum zur technischen Verknüpfung von Zahlungsmitteln, keine vollständige Kartennummer.
Rechtsgrundlage der Zahlung ist die Vertragserfüllung, DSGVO Artikel 6 Absatz 1 Buchstabe b. Rechtsgrundlage von Rechnungsstellung und buchhalterischer Aufbewahrung ist eine rechtliche Verpflichtung, Buchstabe c, insbesondere das Gesetz C von 2000 über das Rechnungswesen und die Umsatzsteuerregeln.
Buchungsbelege und die dafür nötigen Daten sind mindestens acht Jahre aufzubewahren. Die Kontolöschung löscht sie nicht vorzeitig. Die IP-Adresse der Annahme der Bedingungen fällt nicht automatisch unter die buchhalterische Pflicht: Die gesonderte, auf berechtigtem Interesse beruhende Frist und die Interessenabwägung sind [NOCH EINZUSETZEN].
5. Kundendienst und Beschwerden
Daten: Name und Kontakt der anfragenden Person, Bestellnummer, Inhalt der Anfrage und Anlagen, Verlauf und Antwort. Zweck: Beantwortung, vertragliche Bearbeitung und Beschwerdebehandlung.
Rechtsgrundlage: Vertragserfüllung, DSGVO Artikel 6 Absatz 1 Buchstabe b; bei einer Verbraucherbeschwerde eine rechtliche Verpflichtung, Buchstabe c; zum Nachweis von Ansprüchen ein berechtigtes Interesse, Buchstabe f. Protokoll und sachliche Antwort einer Beschwerde bewahren wir nach dem Verbraucherschutz drei Jahre auf. Aufbewahrung sonstiger Kundendienstkorrespondenz: [NOCH EINZUSETZEN].
6. Newsletter und Servicemitteilungen
Newsletter-Daten: Name, E-Mail, Sprache, Zeitpunkt der Einwilligung und Anmeldestatus. Zweck: die gesondert gewünschte Marketinginformation. Rechtsgrundlage: freiwillige Einwilligung, DSGVO Artikel 6 Absatz 1 Buchstabe a. Das Kontrollkästchen ist nicht vorausgewählt.
Die Einwilligung kann im Profil oder über den Abmeldelink jederzeit widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der vorherigen Verarbeitung. Die Nutzung zu Marketingzwecken endet mit dem Widerruf. Die gesonderte Aufbewahrung des Einwilligungsnachweises: [NOCH EINZUSETZEN].
Ticketzustellung, Rechnungshinweis, Sicherheitsnachricht, Veranstaltungsänderung und eine für die Ticketnutzung nötige Erinnerung dienen der Leistung. Rechtsgrundlage ist die Vertragserfüllung.
Eine Erinnerung, einen abgebrochenen Kauf zu Ende zu führen, behandeln wir als Marketingnachricht. Dafür ist eine vorherige, ordnungsgemäß dokumentierte Einwilligung nötig. In eine für die Ticketnutzung nötige Nachricht bauen wir keine Werbung ohne Einwilligung ein.
7. Betriebs- und Sicherheitsdaten, Cookies
Zu Sicherheitszwecken können IP-Adresse, technische Daten von Browser und Gerät, Zeitpunkt von Zugriff und Handlungen, die Sitzung und das Protokoll administrativer Änderungen verarbeitet werden. Rechtsgrundlage: berechtigtes Interesse, DSGVO Artikel 6 Absatz 1 Buchstabe f; unser Interesse ist der Schutz des Dienstes und die Verhinderung unbefugten Zugriffs und Betrugs.
Das System löscht Auditprotokolle nach drei Jahren. Die Notwendigkeit dieser Dauer ist in einer Interessenabwägung zu belegen. Die genaue Aufbewahrung von Webserver-, Fehler- und Mailprotokollen: [NOCH EINZUSETZEN].
Zu den notwendigen Cookies gehören better-auth.session_token (Sitzung von höchstens 30 Tagen), better-auth.session_data (30-Sekunden-Cache der Authentifizierung), Cookies für angemeldet bleiben und Zwei-Faktor-Authentifizierung sowie das Sprach-Cookie NEXT_LOCALE (bis zum Ende der Browsersitzung, wenn kein gesondertes Ablaufdatum gesetzt ist). Bei HTTPS können Authentifizierungs-Cookies das Präfix __Secure- erhalten. Die genaue Lebensdauer der Zwei-Faktor-Cookies: [NOCH EINZUSETZEN aus den Live-Einstellungen].
Notwendige Cookies stellen den angeforderten Dienst und die Identifizierung bereit. Rechtsgrundlage der personenbezogenen Daten ist je nach Zweck Vertragserfüllung oder berechtigtes Interesse. Die Speicherung auf dem Endgerät nutzt die Ausnahme für den notwendigen Betrieb. Im Browser können sie gelöscht oder gesperrt werden; das kann abmelden oder den Dienst stören.
Im aktuellen Anwendungscode ist kein Analyse- oder Werbe-Tracker eingebunden. Vor einem solchen Werkzeug sind dieser Hinweis und ein Verfahren für vorherige Einwilligung zu aktualisieren. Die Zahlungsseite von Stripe und Cloudflare Turnstile, falls eingeschaltet, haben eine eigene technische Verarbeitung. Die verlinkten Hinweise beschreiben sie.
Mit dem Kartenfingerabdruck kann die Verwaltung gewarnt werden, wenn dasselbe Zahlungsmittel mehreren Konten oder Bestellungen zugeordnet ist. Zweck ist Betrugsprävention, Rechtsgrundlage das berechtigte Interesse. Die Warnung ist keine automatische Ablehnung und beweist für sich keinen Missbrauch. Aufbewahrungsdauer und Freigabe der Interessenabwägung: [NOCH EINZUSETZEN].
8. Auftragsverarbeiter und andere Empfänger
Rackforest Zrt. — gemieteter Server, Domain und Mailserver von concertpass.eu. Sitz: 1132 Budapest, Victor Hugo utca 11. 5. em. B05001. E-Mail: info@rackforest.hu. Beim Betrieb von Server und Mail kann sie als Auftragsverarbeiter auf die Anwendungsdaten zugreifen. Bei der Domainregistrierung kann sie aufgrund eigener Rechtspflichten auch selbst verantwortlich sein.
Stripe — Zahlungen, Erstattungen und Betrugsprävention. Für Bestellung und Transaktion nötige Daten, darunter E-Mail und Betrag, können dorthin gelangen. Bei manchen Tätigkeiten ist Stripe Auftragsverarbeiter, bei anderen selbst Verantwortlicher. Die genaue Stripe-Gesellschaft und Anschrift nach dem Händlervertrag: [NOCH EINZUSETZEN].
Számlázz.hu / KBOSS.hu Kft. — Erstellung und Verwaltung der Rechnungen mit den nötigen Rechnungsdaten. Sitz und Kontakte nach dem Vertrag: [NOCH EINZUSETZEN].
Tickets, Bestätigungen und Kundenhinweise gehen über den von der Rackforest Zrt. gemieteten Mailserver. Dabei werden E-Mail-Adresse des Empfängers und der nötige Inhalt der Nachricht bei diesem Anbieter verarbeitet.
Cloudflare, Inc. / Turnstile — ist der Bot-Schutz bei der Registrierung eingeschaltet, können technische Geräte- und Browserdaten, die IP-Adresse und das Prüfergebnis verarbeitet werden. Die tatsächlich geltende Gesellschaft, Aufbewahrung und Garantien: [NOCH EINZUSETZEN nach Vertrag und aktiver Konfiguration].
Veranstalter und Einlasspartner erhalten nur die Ticket- und Berechtigungsdaten, die sie für ihre Aufgabe brauchen. Genauer Empfänger, Rolle und übergebene Daten: [NOCH EINZUSETZEN je Veranstaltung]. Buchhalter, Rechtsvertreter und Behörden erhalten Daten nur mit geeigneter Rechtsgrundlage und nur im nötigen Umfang. Regelmäßige Mitwirkende: [NOCH EINZUSETZEN].
9. Übermittlung ins Ausland und Sicherheit
Die veröffentlichten Rechenzentren der Rackforest Zrt. liegen in Budapest. Das beweist für sich nicht, dass sämtliche Daten, Sicherungen und Unterauftragsverarbeiter ausschließlich in Ungarn bleiben. Maschinenraum, Sicherungen, Mail, Stripe und Cloudflare einschließlich Ort und Unterauftragsverarbeiter hat der Betreiber nach dem Vertrag zu prüfen.
Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums ist nur nach Kapitel V DSGVO möglich, etwa aufgrund eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln mit den nötigen zusätzlichen Maßnahmen. Die tatsächlichen Zielländer, Rechtsgrundlagen und der Zugang zu einer Kopie der Garantien: [NOCH EINZUSETZEN].
Der Dienst nutzt Zugriffskontrolle, verschlüsselte Übertragung und Berechtigungen. Zugriffsregel, Aufbewahrung und Löschzyklus der Sicherungen: [NOCH EINZUSETZEN]. Regelmäßige Wartung und in Sicherungen verbleibende Daten liegen ebenfalls in der Verantwortung des Verantwortlichen.
10. Pflichtangaben und automatisierte Entscheidungen
Ohne den für das Konto nötigen Namen und die E-Mail, die für die Ticketausstellung nötigen Inhaberdaten und die für die Rechnung nötigen Daten kann der Kauf nicht abgeschlossen werden. Der Verzicht auf Newsletter oder freiwillige Profildaten hindert den Dienst nicht für sich.
Die eigene Anwendung der Website trifft keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Artikel 22 DSGVO. Die eigenen Betrugs- und Risikoprüfungen des Zahlungsdienstes beschreibt der Hinweis von Stripe.
11. Rechte und Rechtsbehelf
Die betroffene Person kann beim anzugebenden Datenschutzkontakt Auskunft und eine Kopie, Berichtigung und unter den jeweiligen Voraussetzungen Löschung, Einschränkung und Übertragbarkeit verlangen. Gegen eine Verarbeitung auf berechtigtem Interesse kann sie aus Gründen ihrer besonderen Situation Widerspruch einlegen; gegen Direktwerbung jederzeit. Eine Einwilligung kann jederzeit widerrufen werden.
Wir antworten ohne unangemessene Verzögerung, in der Regel innerhalb eines Monats. In begründeten Fällen kann die Frist um zwei weitere Monate verlängert werden; darüber und über die Gründe informieren wir innerhalb des ersten Monats. Ein Antrag ist in der Regel unentgeltlich. Zur Identifizierung darf nur das Nötige verlangt werden.
Die Kontolöschung kann im Profil angestoßen werden. Das System kann die automatische Löschung anhalten, wenn künftige gültige Tickets bestehen; dann kann beim Kundendienst ein einzelner Datenschutzantrag gestellt werden. Zwingende buchhalterische Aufbewahrung und nötige Rechtsdurchsetzung können die Löschung begrenzen.
Beschwerde bei der ungarischen Nationalen Behörde für Datenschutz und Informationsfreiheit: 1055 Budapest, Falk Miksa utca 9–11.; Post: 1363 Budapest, Pf. 9.; Telefon: +36 1 391 1400; Auskunfts-E-Mail: ugyfelszolgalat@naih.hu; Website: https://www.naih.hu. Ein behördliches Verfahren ist über die offiziellen Wege der NAIH einzuleiten. Die Auskunfts-E-Mail eröffnet kein Verfahren.
Die betroffene Person kann auch gerichtlich vorgehen, in Ungarn wahlweise vor dem Gericht ihres Wohnsitzes oder Aufenthaltsorts. Eine in einem anderen EWR-Staat lebende Person kann sich auch an die Aufsichtsbehörde ihres gewöhnlichen Aufenthalts, ihres Arbeitsorts oder des Orts des mutmaßlichen Verstoßes wenden.