Datenschutzerklärung für die App PartySpot

Stand: Juni 2026. Diese Fassung befindet sich in finaler rechtlicher Prüfung; einzelne kursiv in Klammern markierte Angaben werden noch ergänzt.

Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten durch den Anbieter der mobilen Applikation „PartySpot” (nachfolgend „App”). Sie ergänzt und konkretisiert die datenschutzrechtlichen Hinweise in § 17 der AGB und enthält die vollständigen Pflichtangaben nach Art. 13 und Art. 14 DSGVO.

Stand: 19. Juni 2026

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und Diensteanbieter im Sinne des § 5 Digitale-Dienste-Gesetz (DDG) ist:

SZuCO – Dr.-Ing. Piotr Szegvári Einzelunternehmer Zum Weizenring 14 14469 Potsdam Deutschland

E-Mail: info@partyspot.app Schneller elektronischer Kontaktweg: Kontaktformular in der PartySpot-App (Einstellungen → Hilfe & Support) Umsatzsteuer-Identifikationsnummer gemäß § 27a UStG: DE458930351

(nachfolgend „wir”, „uns”, „PartySpot” oder „Anbieter”)

Die ladungsfähige Anschrift, der schnelle elektronische Kontaktweg und — sofern vorhanden — die USt-IdNr. sind nach Art. 13 Abs. 1 lit. a DSGVO und § 5 DDG Pflichtbestandteile.

Bei allen Fragen zum Datenschutz und zur Ausübung Ihrer Rechte können Sie sich jederzeit an die vorstehende Adresse oder an info@partyspot.app wenden.

Hinweis zur Rolle des Hosts: Soweit ein Host (Veranstalter einer Party) personenbezogene Daten Dritter (insbesondere Personenfotos und -videos) über den rein privaten, persönlich verbundenen Kreis hinaus verarbeitet, kann ihn insoweit eine eigene datenschutzrechtliche Verantwortlichkeit treffen (siehe Ziffer 9). Diese Datenschutzerklärung betrifft primär die Verarbeitung, die der Anbieter selbst vornimmt.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Eine Pflicht zur Benennung besteht nach unserer Einschätzung derzeit nicht. Maßgeblich ist in erster Linie Art. 37 Abs. 1 DSGVO: Unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen (Art. 37 Abs. 1 lit. b DSGVO) noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. c DSGVO). Die in der App enthaltenen standortbezogenen Funktionen werden ausschließlich auf freiwilliger Opt-in-Basis und mit grober Auflösung bzw. zur einmaligen Beitrittsverifikation eingesetzt (siehe Ziffern 4.9 und 4.10) und begründen nach unserer Einschätzung keine umfangreiche systematische Überwachung im vorgenannten Sinne. Ergänzend besteht auch nach § 38 BDSG keine zahlenmäßig begründete Pflicht, da in der Regel nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für alle datenschutzrechtlichen Anliegen erreichen Sie uns unter den in Ziffer 1 genannten Kontaktdaten. Sollten sich die tatsächlichen Verhältnisse ändern, werden wir die Bestellung eines Datenschutzbeauftragten erneut prüfen und diese Erklärung entsprechend anpassen.

3. Allgemeine Hinweise zur Datenverarbeitung

(1) Die App ist eine reine Mobile-Anwendung für Apple iOS/iPadOS und Google Android. Eine Web-Version wird nicht angeboten.

(2) Die App finanziert sich ausschließlich über einmalige In-App-Käufe. Es findet keine Werbung statt; es erfolgt kein werbliches Tracking und kein werbliches Profiling durch uns oder Dritte (siehe Ziffer 13).

(3) Soweit wir nachstehend ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) als Rechtsgrundlage anführen, benennen wir das jeweilige Interesse ausdrücklich. Sie können einer solchen Verarbeitung unter den Voraussetzungen des Art. 21 DSGVO widersprechen (siehe Ziffer 11).

(4) Eine Bereitstellung bestimmter Daten kann zur Nutzung der App oder einzelner Funktionen erforderlich sein. Soweit eine Verarbeitung zur Erfüllung eines Vertrags erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO), kann ohne diese Daten der jeweilige Vertrag nicht durchgeführt bzw. die jeweilige Funktion nicht bereitgestellt werden. Soweit eine Verarbeitung auf einer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), ist sie freiwillig; die Nichterteilung oder ein Widerruf hat keine sonstigen Nachteile außer dem Entfall der jeweiligen optionalen Funktion.

4. Verarbeitung im Einzelnen

4.1 Account / Registrierung (Host-Konto)

• Zweck: Bereitstellung und Verwaltung eines Nutzerkontos, insbesondere zur Anlage und Verwaltung von Partys, zur Zustellung gesetzlich vorgeschriebener Bestätigungen bei In-App-Käufen und zur Wiedererkennung über mehrere Sitzungen hinweg.
• Datenarten: E-Mail-Adresse, Anzeigename, Zeitpunkt der An-/Abmeldung (Login-Zeitpunkt), technische Nutzerkennung (UID). Bei Anmeldung über einen vom Betriebssystem bzw. Drittanbieter bereitgestellten Login (z. B. „Sign in with Apple” / Google) die hierbei übermittelten Identifikationsdaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags und vorvertragliche Maßnahmen); soweit gesetzliche Pflichten betroffen sind (z. B. Bestätigungen auf dauerhaftem Datenträger nach § 312f, § 356a BGB), Art. 6 Abs. 1 lit. c DSGVO.
• Empfänger / Verarbeiter: Google Firebase (Firebase Authentication) als Auftragsverarbeiter (siehe Ziffer 7).

4.2 Anonyme Gastnutzung (Beitritt ohne Registrierung)

• Zweck: Teilnahme an einer Party ohne Anlage eines vollständigen Kontos, durch Beitritt per QR-Code oder achtstelligem Beitrittscode mit frei wählbarem Pseudonym („Alias”).
• Datenarten: frei gewählter Alias, technisch erzeugte anonyme Nutzerkennung (anonyme Firebase-Auth-Sitzung), Zuordnung zur jeweiligen Party (Teilnehmer-Status), ggf. ein Push-Token (siehe Ziffer 4.4). Es werden insoweit von uns keine Klarnamen oder E-Mail-Adressen erhoben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Teilnahmefunktion). Soweit die Verarbeitung darüber hinaus dem stabilen Betrieb und der Missbrauchsvermeidung dient, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: technische Funktionsfähigkeit und Schutz vor missbräuchlicher Nutzung).
• Empfänger / Verarbeiter: Google Firebase (Authentication, Firestore).

4.3 Party-, Foto-, Video-, Kommentar- und Voting-Daten

• Zweck: Durchführung der jeweiligen Party, insbesondere gemeinsame Musik-Steuerung (Songauswahl, Setlists, Warteschlange), Musik- und Foto-Voting, Bereitstellung der gemeinsamen Party-Galerie (Fotos und Videos bis 30 Sekunden, on-device komprimiert), Kommentierung sowie Anzeige der Inhalte gegenüber den berechtigten Teilnehmern der jeweiligen Party.
• Datenarten: Songauswahl/Setlists, Abstimmungen (Votes), Fotos und Videos nebst zugehörigen Metadaten (z. B. Upload-Zeitpunkt, Uploader-Kennung, Dateigröße, Mediatyp, Dauer, Vorschaubilder, Download-URLs). Kommentare einschließlich Verfasser-Alias und Zeitpunkt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags / Bereitstellung der Galerie- und Voting-Funktionen). Hinsichtlich auf Fotos/Videos abgebildeter Personen siehe ergänzend Ziffer 9 (Bildrechte; § 22 KUG, Art. 6/7 DSGVO) und Ziffer 4.11 (Screenshot-Hinweis).
• Zugriff / Sichtbarkeit: Inhalte sind technisch auf den durch QR-Code/Beitrittscode definierten Teilnehmerkreis der jeweiligen Party beschränkt (geschlossene Gruppe). Nicht-Mitglieder können weder die Inhalte noch deren Metadaten einsehen.
• Empfänger / Verarbeiter: Google Firebase (Firestore für Metadaten/Kommentare/Votes; Cloud Storage für Foto-/Video-Dateien), soweit als Speicherort der PartySpot Storage gewählt ist. Bei externem Speicher siehe Ziffer 4.7.

4.3.1 Einbettung von Personendaten in die Bilddatei (EXIF-„Baking”) — wichtiger Hinweis

Beim Herunterladen bzw. Exportieren eines Fotos durch einen Teilnehmer bereitet die App die JPG-Bilddatei auf und schreibt dabei personenbezogene Inhalte fest in die Metadaten (EXIF) der Bilddatei. Konkret werden eingebettet:

• der Alias der erstellenden Person (EXIF-Feld „Artist”);
• Party-Name und ggf. Party-Beschreibung (EXIF-Feld „ImageDescription”);
• die Foto-Bewertung (Plus-/Minus-Stimmen, Sterne-Rating; EXIF-„Rating” und im Kommentarfeld);
• die Aliasse aller kommentierenden Personen sowie deren Kommentartexte im Klartext (EXIF-Felder „UserComment” und „XPComment”, aktuell bis zu ca. 1.800 Zeichen, danach abgeschnitten);
• ein Software-/Copyright-Vermerk („PartySpot”).

Hinweis zur Tragweite: Diese Daten werden dauerhaft in die heruntergeladene Datei geschrieben. Sobald die Datei aus der App heraus gespeichert, exportiert oder geteilt wird, verlassen die eingebetteten Personendaten (Ersteller-Alias, Kommentator-Aliasse und Kommentartexte) den geschlossenen Teilnehmerkreis der Party und entziehen sich der App-seitigen Zugriffskontrolle (Mitglieder-only). Wer die exportierte Datei erhält, kann die eingebetteten Metadaten mit gängigen Werkzeugen auslesen. Bitte berücksichtigen Sie dies, bevor Sie heruntergeladene Fotos außerhalb der Party weitergeben.

• Zweck der Einbettung: Erhalt des Kontexts (Urheberschaft, Party-Bezug, Bewertungen und Kommentare) in der exportierten Datei.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vom Nutzer angeforderter Download/Export mit Kontext) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Erhalt der Zuordnung und des Kontexts in der exportierten Datei). Hinsichtlich der hierbei erfassten Daten Dritter (Kommentator-Aliasse und -Texte) ist die exportierende Person mitverantwortlich für die weitere Verwendung außerhalb der App.
• Datenminimierung: Wir prüfen fortlaufend, ob und in welchem Umfang die Einbettung personenbezogener Inhalte Dritter (insbesondere fremder Kommentar-Aliasse und -Texte) reduziert oder von einer gesonderten Zustimmung abhängig gemacht werden sollte (Art. 5 Abs. 1 lit. c DSGVO).

4.4 Push-Benachrichtigungen / FCM-Token (auch bei anonymer Nutzung)

• Zweck: Versand von Push-Benachrichtigungen über fünf einzeln aktivierbare/deaktivierbare Kanäle: (1) neue Fotos auf der eigenen Party, (2) neue Kommentare zu eigenen Fotos, (3) Musik-Updates (Track-Wechsel), (4) App-Ankündigungen, (5) „Partys in der Nähe” (siehe Ziffer 4.9). Die Push-Funktion wird zudem für Vorwarnungen vor Löschungen genutzt (siehe Ziffer 10).
• Datenarten: Geräte-Push-Token (FCM-Token), gespeichert in der Subsammlung users/{uid}/fcmTokens; Zuordnung zur Nutzer- bzw. anonymen Sitzungskennung; Kanal-Einstellungen (Opt-in/Opt-out je Kanal). Ein Push-Token kann auch bei anonymer Gastnutzung verarbeitet werden.
• Zwei getrennte Verarbeitungsebenen und ihre Rechtsgrundlagen:
• (a) Speicherung und Verwaltung des FCM-Tokens als technische Voraussetzung dafür, das Gerät überhaupt adressieren zu können: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Benachrichtigungsinfrastruktur als Teil der Funktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: technischer Betrieb der Zustellung, Entfernen ungültiger Token). Das Speichern des Tokens dient für sich genommen noch keinem inhaltlichen Benachrichtigungszweck.
• (b) Inhaltliche Push-Kanäle: Der Versand inhaltlicher Benachrichtigungen je Kanal beruht auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung des jeweiligen Kanals; die plattformseitige Push-Berechtigung wird zusätzlich auf Betriebssystemebene erteilt) sowie ergänzend Art. 6 Abs. 1 lit. b DSGVO, soweit die Benachrichtigung zur Erbringung der gewünschten Funktion erforderlich ist. Service-/Hinweis-Benachrichtigungen (z. B. Lösch-Vorwarnungen, Ziffer 10) stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: rechtzeitige Information vor Datenverlust) bzw. Art. 6 Abs. 1 lit. b DSGVO.
• Hinweis zum Kanal „Partys in der Nähe”: Dieser Kanal setzt zwei getrennte Einwilligungen voraus: zum einen die Aktivierung des Push-Kanals (lit. a, hier) und zum anderen die gesonderte Geohash-Einwilligung für die Standortrasterung (Ziffer 4.9). Beide können unabhängig voneinander widerrufen werden.
• Widerruf / Steuerung: Jeder Kanal ist in der App einzeln deaktivierbar; zusätzlich kann die Push-Berechtigung auf Betriebssystemebene entzogen werden. Nicht mehr gültige Token werden automatisch entfernt.
• Empfänger / Verarbeiter: Google Firebase Cloud Messaging (FCM) sowie die Push-Zustelldienste der Plattformbetreiber (Apple Push Notification service / Google).

4.5 In-App-Käufe und Receipt-Validierung

• Zweck: Abwicklung einmaliger In-App-Käufe (Party-Tiers, stapelbare Speicher-Add-ons, Party-Recap), Freischaltung der erworbenen Funktionen, Betrugsprävention durch serverseitige Validierung der Kaufbelege sowie Erfüllung gesetzlicher Pflichten (z. B. Bestätigungen, Gewährleistung, Widerruf).
• Datenarten: Kaufbeleg-/Transaktionsdaten der Plattform (Apple/Google), Produkt-/Tier-Kennung, Plattform-Kennung, Zeitpunkt, ein Beleg-Fingerprint sowie die zugeordnete Nutzerkennung; Validierungsergebnis. Die eigentliche Zahlungsabwicklung (Zahlungsmittel/-daten) erfolgt ausschließlich über die Plattformbetreiber; wir erhalten keine vollständigen Zahlungsdaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Kaufvertrags / Bereitstellung des digitalen Produkts); Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, u. a. Nachweis-, Bestätigungs- sowie handels- und steuerrechtliche Aufbewahrungspflichten); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Schutz vor Betrug und manipulierten oder widerrufenen Kaufbelegen).
• Verarbeitung: Die Validierung erfolgt serverseitig über die Cloud Functions validatePartyPurchase, validateStoragePurchase und validateRecapPurchase; Kaufvorgänge werden zu Nachweiszwecken protokolliert.
• Speicherdauer: siehe Ziffer 10 Abs. 3 (Aufbewahrung bis zum Ablauf der handels- und steuerrechtlichen Fristen).
• Empfänger / Verarbeiter: Apple (App Store) bzw. Google (Google Play) als für die Zahlungsabwicklung eigenständig Verantwortliche; Google Firebase (Cloud Functions, Firestore) als Auftragsverarbeiter für die Validierung und Protokollierung.

4.6 Musiksteuerung (Spotify / Apple Music)

• Zweck: Fernsteuerung einer auf dem Gerät des Hosts bereits installierten Drittanbieter-Musik-App (Spotify über das App-Remote-SDK bzw. Apple Music über MusicKit), insbesondere Auswahl, Start/Pause und Reihenfolge der Wiedergabe. PartySpot streamt selbst keine Musik und speichert keine Tonaufnahmen, sondern übermittelt lediglich Steuerbefehle und liest die für die Funktion erforderlichen Wiedergabe-/Kontextinformationen.
• Datenarten: OAuth-Zugriffs-/Aktualisierungs-Token sowie Account-Kennungen des jeweiligen Drittanbieter-Dienstes; im Rahmen der Steuerung verarbeitete Wiedergabe-/Kontextdaten (z. B. Track-Kennungen, Playlist-Informationen, Genre des ersten Artists für die Cluster-Sortierung). Die Token werden geschützt und nutzerspezifisch abgelegt (users/{uid}/secrets).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Host gewünschten Musiksteuerungsfunktion). Die Verbindung zum Drittanbieter erfolgt auf aktive Veranlassung des Hosts (OAuth-Autorisierung).
• Eigenverantwortung des Drittanbieters: Spotify bzw. Apple sind hinsichtlich der in ihren Diensten stattfindenden Verarbeitung (insbesondere Wiedergabe über den Premium-Account des Hosts) eigenständig Verantwortliche. Es gelten insoweit deren eigene Datenschutzbestimmungen.
• Empfänger: Spotify; Apple Music. Speicherung der Token bei Google Firebase (Auftragsverarbeiter).

4.7 Externer Cloud-Speicher (Dropbox / Google Drive)

• Zweck: Wahlweise Speicherung der Party-Fotos und -Videos in einer vom Host selbst verwalteten externen Cloud anstelle des PartySpot Storage.
• Eigene Übermittlungshandlung des Anbieters: Wählt der Host einen externen Speicher, überträgt die App die Foto-/Video-Inhalte aktiv in den vom Host per OAuth verbundenen Speicher; zusätzlich aktualisiert eine Cloud-Function die OAuth-Token im Hintergrund (z. B. users/{uid}/secrets/storage_dropbox), damit lang laufende Partys nicht abreißen. Diese Übermittlung in den externen Dienst ist eine vom Anbieter vorgenommene Verarbeitung; soweit der Empfänger in einem Drittland sitzt, gilt hierfür die empfängerbezogene Drittland-Grundlage nach Ziffer 8.
• Datenarten: OAuth-Zugriffs-/Aktualisierungs-Token für den jeweiligen Cloud-Anbieter (geschützt nutzerspezifisch abgelegt), erforderliche Account-/Pfadinformationen, die übertragenen Foto-/Video-Inhalte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Host gewählten Speicherfunktion einschließlich der Übertragung der Inhalte); hinsichtlich des Hintergrund-Refreshs der Token ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: unterbrechungsfreie Bereitstellung der Speicherfunktion während laufender Partys).
• Rolle der Anbieter / Eigenverantwortung des Hosts: Im Verhältnis zum Host bestehen das Speicher- und Datenschutzverhältnis unmittelbar zwischen dem Host und dem jeweiligen Cloud-Anbieter; Dropbox und Google sind insoweit eigenständig Verantwortliche im Verhältnis zum Host. PartySpot speichert die Dateien in diesem Fall nicht im PartySpot Storage, sondern hält in der Regel lediglich Metadaten/Verweise vor. Es gelten ergänzend die Datenschutzbestimmungen des jeweiligen Cloud-Anbieters.
• Empfänger: Dropbox Inc., Google (Google Drive) — je nach Auswahl des Hosts; Google Firebase (für Token-Refresh-Funktion und Metadaten).

4.8 Pseudonyme/aggregierte Nutzungsstatistik und archivierte Setlists (parties-data)

• Zweck: Statistische Auswertung pro Party (Zähler), Verbesserung und Weiterentwicklung der App sowie Empfehlungs-/Playlist-Funktionen. Wird eine Party endgültig gelöscht (vgl. Ziffer 10), wird zuvor — sofern Songs vorhanden sind — ein Archiv-Schnappschuss in der Sammlung parties-data angelegt, um Setlists für künftige Empfehlungen vorzuhalten.
• Datenarten: Bei der Archivierung werden sowohl direkte Personenkennungen als auch direkt identifizierende Party-Angaben entfernt: kein ownerId, keine participantIds, keine song-bezogenen UIDs/Voter-Kennungen, kein Party-Name, keine Party-Beschreibung, kein Standorttext und keine Koordinaten sowie keine exakten Zeitstempel. Übernommen werden ausschließlich nicht personenbeziehbare Daten: Songliste — je Track die Provider-ID (Spotify-Track-ID bzw. Apple-Music-Katalog-ID) und der provider-neutrale ISRC, ohne Titel/Interpret/Album —, Genres, der Streaming-Provider der Party (Spotify/Apple Music), Bewertungs-Aggregate (Auf-/Ab-Stimmen, Summen), relative Spielzeit-Offsets (ohne absolutes Datum/Uhrzeit), grobe Tageszeit (UTC-Stunde und Wochentag), Party-Dauer, Teilnehmerzahl, gebuchtes Tier sowie ein grober Geohash (geohash5, ca. 5 km Zell-Genauigkeit). Daneben wird ein aggregierter Kosten-Schnappschuss (Teilnehmerzahl, Kostenkennzahlen) abgelegt. Die Daten dieser Sammlung sind ausschließlich serverseitig zugänglich.
• Einordnung / Rechtsgrundlage: Der Archiv-Schnappschuss ist so ausgelegt, dass er keine Angaben enthält, die eine einzelne Party oder eine Person ausweisen oder re-identifizierbar machen; es handelt sich um anonyme Daten, auf die die DSGVO keine Anwendung findet (vgl. Erwägungsgrund 26 DSGVO). Den vorgelagerten Vorgang der Anonymisierung (Überführung der personenbezogenen Quelldaten in den anonymen Schnappschuss) stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: statistische Auswertung, Produktverbesserung sowie Bereitstellung von Empfehlungs-/Playlist-Funktionen).
• Speicherdauer: Der anonymisierte Schnappschuss unterliegt als anonyme Daten keiner datenschutzrechtlichen Löschfrist und kann für die Empfehlungs-/Statistikzwecke dauerhaft vorgehalten werden. Ein etwaiger aggregierter Kosten-Schnappschuss wird gelöscht, sobald er für die interne Kostenauswertung nicht mehr benötigt wird.
• Hinweis zur Konsistenz mit den AGB: Die in § 8 Abs. 6 und § 17 der AGB verwendete Bezeichnung „anonymisiert / nicht auf eine einzelne Party und ihren Standort rückführbar” entspricht der tatsächlichen technischen Umsetzung (Archiv-Schema Version 2): Name, Beschreibung, Standorttext, Koordinaten und exakte Zeitstempel werden bei der Archivierung entfernt; es verbleibt nur eine grobe, nicht re-identifizierbare Setlist.
• Empfänger / Verarbeiter: Google Firebase (Firestore, Cloud Functions).

4.9 „Partys in der Nähe” — Geohash (Opt-in)

• Zweck: Anzeige öffentlich gelisteter Partys in der ungefähren Umgebung des Nutzers über eine grobe geografische Rasterung.
• Datenarten: Geohash mit grober Auflösung (5 Zeichen, entspricht ca. 5 km Zell-Genauigkeit). Eine exakte Standortbestimmung des Nutzers für diesen Zweck findet nicht statt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche, freiwillige Einwilligung / Opt-in). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Diese Einwilligung ist von der Aktivierung des Push-Kanals „Partys in der Nähe” (Ziffer 4.4) zu unterscheiden.
• Speicherdauer: Löschung des Geohash nach Ende der jeweiligen Party.
• Empfänger / Verarbeiter: Google Firebase.

4.10 Standort-/Vor-Ort-Verifikation (GPS, Opt-in) und öffentlicher Party-Standort

• Zweck: Optionale Überprüfung, ob sich ein Gast für den Beitritt zu einer als „nur vor Ort” konfigurierten Party tatsächlich am Veranstaltungsort befindet (GPS-Vor-Ort-Verifikation).
• Datenarten: Standortdaten (GPS) des Geräts zum Zeitpunkt der Verifikation, soweit für den Abgleich erforderlich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche, freiwillige Einwilligung / Opt-in); die plattformseitige Standortfreigabe wird zusätzlich auf Betriebssystemebene erteilt. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO); die plattformseitige Berechtigung kann in den Geräteeinstellungen entzogen werden.
• Speicherdauer der GPS-Verifikationsdaten: Die Standortprüfung dient ausschließlich dem einmaligen Beitritts-Abgleich; eine dauerhafte Speicherung des Roh-GPS-Standorts des Gastes für diesen Zweck ist nicht vorgesehen — verarbeitet bzw. vorgehalten wird, soweit erforderlich, lediglich das Verifikationsergebnis (Ja/Nein). (Die konkrete, kurze Speicherdauer etwaiger Roh-GPS-Daten wird noch ergänzt.)
• Öffentlicher Party-Standort: Markiert ein Host eine Party als öffentlich und hinterlegt einen Standort, werden die Standortdaten der Party zum Zweck der Anzeige auf einer Karte verarbeitet; auf der Kartenansicht erfolgt eine Verschleierung der genauen Position (Versatz). Die Entscheidung über die Veröffentlichung des Party-Standorts obliegt dem Host. Speicherdauer der Party-Standortdaten: Der hinterlegte Party-Standort wird für die Dauer der Party vorgehalten und unterliegt anschließend den Löschfristen für die Party nach Ziffer 10; zur Behandlung im anonymisierten Archiv parties-data siehe Ziffer 4.8 (dort verbleibt nur ein grober Geohash, kein Standorttext und keine Koordinaten).
• Empfänger / Verarbeiter: Google Firebase; für die Kartendarstellung Google Maps (Karten-SDK, siehe Ziffer 7.3).

4.11 Screenshot-Hinweis („Screenshot-Guard”)

• Zweck: Schutz der Bildrechte und Persönlichkeitsrechte der in der Galerie abgebildeten Personen. Teilnehmer können darüber informiert werden, wenn von Inhalten der Galerie ein Screenshot angefertigt wird; der Host kann diese Funktion deaktivieren.
• Datenarten: technische Ereignisinformation über einen erkannten Screenshot innerhalb der jeweiligen Party (soweit auf der genutzten Plattform erkennbar), ggf. zugeordnet zur auslösenden Teilnehmerkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Schutz der Rechte abgebildeter Personen und Eindämmung einer ungewollten Weiterverbreitung von Inhalten innerhalb der geschlossenen Party-Gruppe).
• Empfänger / Verarbeiter: Google Firebase, soweit eine serverseitige Verarbeitung erfolgt.

4.12 Service- und Hinweis-E-Mails

• Zweck: Versand transaktions- und betriebsbezogener E-Mails, insbesondere Vorwarnungen vor der Löschung von Fotos/Videos und vor der Löschung inaktiver Accounts (siehe Ziffer 10), sowie gesetzlich vorgeschriebener Bestätigungen im Zusammenhang mit In-App-Käufen.
• Datenarten: E-Mail-Adresse, Anlass der Mitteilung, zugehörige Vertrags-/Party-/Fristinformationen.
• Rechtsgrundlage: Für Lösch-Vorwarnungen und vergleichbare betriebliche Hinweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: rechtzeitige Information vor Datenverlust und transparente Vertragsabwicklung); für gesetzlich vorgeschriebene Bestätigungen Art. 6 Abs. 1 lit. c DSGVO. Diese Hinweis-E-Mails sind abschaltbar; davon unberührt bleiben zwingend vorgeschriebene rechtliche Bestätigungen.
• Empfänger / Verarbeiter: Google Firebase bzw. der für den Versand eingesetzte Dienst (Auftragsverarbeiter).

4.13 Wünsche und Feedback

• Zweck: Entgegennahme und Bearbeitung von Funktionswünschen, Feedback und Support-Anfragen.
• Datenarten: der von Ihnen eingegebene Text (auf 2.000 Zeichen begrenzt), Ihre Nutzerkennung, Bearbeitungsstatus.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Verbesserung der App und Bearbeitung von Anliegen) bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anliegen die Vertragsdurchführung betrifft.
• Empfänger / Verarbeiter: Google Firebase.

5. Technisch erforderliche Verarbeitung und Geräte-Integritätsattestierung beim Betrieb der App

(1) Technisch erforderliche Verarbeitung: Beim Betrieb der App werden technisch erforderliche Daten verarbeitet, um die App bereitzustellen (z. B. Geräte-/Sitzungskennungen, Verbindungs- und Fehlerinformationen). Rechtsgrundlage für die zur Bereitstellung der App und ihrer Funktionen zwingend erforderliche Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Sicherheit, Betrugs- und Missbrauchsschutz: Soweit eine Verarbeitung darüber hinaus dem sicheren, stabilen und betrugsresistenten Betrieb dient (insbesondere die nachfolgende Geräte-Integritätsattestierung sowie Maßnahmen zur Missbrauchsbegrenzung), stützen wir sie auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Schutz der App und ihrer Nutzer vor Manipulation, Missbrauch und automatisierten Angriffen).

(3) Geräte-Integritätsattestierung (App Check): In Release-Builds setzen wir Firebase App Check ein. Dabei wird über die plattformeigenen Verfahren App Attest/DeviceCheck (Apple, iOS/iPadOS) bzw. Play Integrity (Google, Android) geprüft, ob Anfragen von einer echten, unveränderten Instanz der App stammen. Hierzu werden geräte- und app-bezogene Integritäts-/Attestierungstoken erzeugt und an Apple Inc. bzw. Google übermittelt; Apple bzw. Google sind insoweit eigene Empfänger bzw. eigenständig Verantwortliche im Rahmen ihrer jeweiligen Dienste (siehe Ziffer 7.3). Diese Verarbeitung dient ausschließlich der Sicherheit und dem Missbrauchsschutz; sie dient nicht der Werbung und keinem werblichen Profiling.

6. Herkunft der Daten (Art. 14 DSGVO)

Soweit wir personenbezogene Daten nicht unmittelbar bei Ihnen erheben, stammen diese aus folgenden Quellen, jeweils mit den nachstehend genannten Datenkategorien (Art. 14 Abs. 1 lit. d, Abs. 2 lit. f DSGVO):

• von anderen Teilnehmern derselben Party: Bildnis (Foto-/Video-Aufnahmen, auf denen Sie abgebildet sein können), Sie betreffende Kommentare (Text), Bewertungen/Votes sowie damit verbundene Aliasse und Zeitpunkte;
• von den Plattformbetreibern Apple/Google (In-App-Käufe): Kaufbeleg-/Transaktionsdaten, Produkt-/Tier-Kennung, Plattform-Kennung, Zeitpunkt, Beleg-Fingerprint, Validierungsergebnis;
• von den Plattformbetreibern Apple/Google (Geräte-Integritätsattestierung, Ziffer 5): Ergebnis der Integritätsprüfung bzw. zugehörige Attestierungsinformationen;
• von den Drittdiensten Spotify, Apple Music, Dropbox, Google Drive: Account-/Profilkennungen sowie für die jeweilige Funktion erforderliche Kontext-/Pfadinformationen aus der von Ihnen veranlassten Verbindung.

Ergänzende Einzelheiten zu Zwecken und Rechtsgrundlagen je Datenart ergeben sich aus Ziffer 4.

7. Empfänger und Auftragsverarbeiter

7.1 Google Firebase (Auftragsverarbeiter, Art. 28 DSGVO)

Wir setzen die Dienste von Google (Google Ireland Limited bzw. Google LLC) im Rahmen der Firebase-Plattform ein, insbesondere:

• Firebase Authentication (Account- und anonyme Gast-Sitzungen),
• Cloud Firestore (Datenbank für Party-, Foto-Metadaten, Kommentare, Votes, Einstellungen),
• Cloud Storage for Firebase (Speicherung der Foto-/Video-Dateien im PartySpot Storage),
• Cloud Functions (serverseitige Logik, u. a. Receipt-Validierung, Benachrichtigungs-Trigger, Token-Refresh, Archivierungs-/Löschprozesse),
• Cloud Messaging (FCM) (Push-Benachrichtigungen),
• Firebase App Check (Geräte-Integritätsattestierung, Ziffer 5).

Mit Google besteht bzw. wird ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. Google verarbeitet diese Daten ausschließlich nach unserer Weisung zu den hier beschriebenen Zwecken.

Verarbeitungsregionen: Die Cloud Functions werden in der Region europe-west3 (Frankfurt am Main, Deutschland/EWR) betrieben. Die Verarbeitungsregion für Cloud Firestore und Cloud Storage for Firebase ist europe-west1 (Belgien, EU/EWR). Funktionsbedingt werden bestimmte Dienste (insbesondere Cloud Messaging/FCM) global betrieben und können einen Drittlandbezug aufweisen (siehe Ziffer 8).

7.2 Plattformbetreiber Apple und Google (In-App-Käufe)

Apple (App Store) und Google (Google Play) wickeln die Zahlung für In-App-Käufe ab und stellen die Kaufbelege aus. Sie handeln insoweit als eigenständig Verantwortliche nach Maßgabe ihrer eigenen Datenschutzbestimmungen; wir erhalten von ihnen die zur Freischaltung und Validierung erforderlichen Beleg-/Transaktionsdaten (siehe Ziffer 4.5).

7.3 Weitere Empfänger

• Spotify / Apple (Musiksteuerung, Ziffer 4.6) — eigenständig Verantwortliche.
• Dropbox Inc. / Google (externer Cloud-Speicher, Ziffer 4.7) — eigenständig Verantwortliche im Verhältnis zum Host; an diese übermittelt der Anbieter bei entsprechender Auswahl die Inhalte aktiv.
• Apple Push Notification service / Google (Push-Zustellung, Ziffer 4.4).
• Apple Inc. (App Attest / DeviceCheck) und Google (Play Integrity) — Empfänger der Geräte-Integritätsattestierung (Ziffer 5).
• Google (Google Maps Karten-SDK) — Empfänger im Rahmen der Kartendarstellung für öffentliche Party-Standorte (Ziffer 4.10); bei Nutzung der Kartenansicht werden regelmäßig Daten an Google übermittelt.
• Gegebenenfalls staatliche Stellen oder Behörden, soweit wir hierzu rechtlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

8. Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)

(1) Grundsatz: Soweit Cloud Firestore und Cloud Storage in einer EU-/EWR-Region betrieben werden (vgl. Ziffer 7.1) und die Cloud Functions in europe-west3 (Frankfurt) laufen, findet die Kern-Verarbeitung der Inhalts- und Metadaten im EWR statt. Ein Drittlandbezug verbleibt jedoch insbesondere bei funktionsbedingt global betriebenen oder von US-Anbietern erbrachten Diensten (z. B. Cloud Messaging/FCM und Apple Push Notification service, In-App-Käufe über Apple/Google, Geräte-Integritätsattestierung über Apple/Google, Musiksteuerung über Spotify sowie — bei entsprechender Wahl des Hosts — externer Cloud-Speicher bei Dropbox/Google).

(2) Empfängerbezogene Garantien: Für Übermittlungen an Empfänger in den USA stützen wir uns je Empfänger auf die folgenden Garantien. Soweit ein Empfänger nach dem EU-US Data Privacy Framework (EU-US DPF) zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO); andernfalls oder ergänzend auf Grundlage der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen.

Die konkrete, je Empfänger geltende Garantie (aktive DPF-Zertifizierung mit Verweis auf die offizielle DPF-Liste oder SCC) ist vor Veröffentlichung anhand der jeweils aktuellen DPF-Liste und der vertraglichen Grundlagen verbindlich einzutragen.

(3) Hinweis zur Rechtslage des DPF: Der EU-US-DPF-Angemessenheitsbeschluss ist derzeit wirksam; gegen ihn ist jedoch ein Rechtsmittel beim Gerichtshof der Europäischen Union anhängig (Verfahren C-703/25 P). Sollte der Beschluss aufgehoben oder ausgesetzt werden, stützen wir betroffene Übermittlungen auf die EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen und passen diese Erklärung an.

(4) Auskunft / Garantien: Auf Anfrage stellen wir Informationen zu den geeigneten Garantien und zu deren Verfügbarkeit bzw. eine Kopie zur Verfügung (Art. 13 Abs. 1 lit. f, Art. 14 Abs. 1 lit. f DSGVO).

9. Bildrechte abgebildeter Personen; Rolle des Hosts

(1) Auf Fotos und Videos können Personen erkennbar abgebildet sein. Bilder identifizierbarer Personen sind personenbezogene Daten (Art. 4 Nr. 1 DSGVO); ihre Speicherung und das Teilen innerhalb der Party-Galerie bedürfen einer Rechtsgrundlage, insbesondere der Einwilligung der abgebildeten Personen (§ 22 KUG; Art. 6 Abs. 1 lit. a, Art. 7 DSGVO). Bei Minderjährigen sind die zusätzlichen Anforderungen nach Ziffer 12 zu beachten.

(2) Verantwortlichkeit: Für rein private Partys im persönlich verbundenen Kreis kann die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) eingreifen. Werden Inhalte über diesen Kreis hinaus zugänglich gemacht, greift die Haushaltsausnahme regelmäßig nicht; in diesem Fall kann den Host als Veranstalter eine eigene datenschutzrechtliche Verantwortlichkeit für die innerhalb seiner Party geteilten Personenfotos treffen. Die Einholung der erforderlichen Einwilligungen der abgebildeten Personen obliegt dann dem Host bzw. der hochladenden Person.

(3) Verarbeitung durch den Anbieter: Die technische Verarbeitung, die wir selbst vornehmen (insbesondere Speicherung, Hosting und Komprimierung im PartySpot Storage sowie die EXIF-Einbettung beim Download nach Ziffer 4.3.1), verantworten wir; insoweit ist der Anbieter eigener datenschutzrechtlich Verantwortlicher bzw. — gegenüber dem Host — Auftragsverarbeiter. Eine etwaige gemeinsame Verantwortlichkeit (Art. 26 DSGVO) zwischen Anbieter und Host ist gesondert zu regeln, soweit sie im Einzelfall vorliegt. Die Haushaltsausnahme entlastet den Anbieter nicht.

(4) Schutzmaßnahmen und ihre Grenzen: Inhalte sind grundsätzlich auf den geschlossenen Teilnehmerkreis der jeweiligen Party beschränkt (Mitglieder-only-Zugriff); Uploader und Host können einzelne Inhalte jederzeit löschen; ein Screenshot-Hinweis (Ziffer 4.11) sowie zeitlich begrenzte Aufbewahrungsfristen (Ziffer 10) begrenzen die Persistenz und die Weiterverbreitung. Diese Schutzwirkung endet jedoch, sobald Inhalte aus der App heraus exportiert/geteilt werden; insbesondere wandern beim Foto-Download personenbezogene Daten (auch Dritter) in die EXIF-Metadaten der Datei (siehe Ziffer 4.3.1). Beim ersten Foto-Upload weisen wir aktiv auf die Verantwortung für die eingestellten Inhalte hin.

10. Speicherdauer und Löschfristen

(1) Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies erfordern. Im PartySpot Storage gelten — vorbehaltlich gesetzlicher Aufbewahrungspflichten und der nachstehenden Vorwarnung — folgende Regelfristen:

a) Fotos und Videos: Löschung 30 Tage nach Ende der jeweiligen Party.

b) Partys: Löschung 12 Monate nach dem letzten der jeweiligen Party zugeordneten Party-Kauf.

c) Nutzerkonten: Löschung nach 12 Monaten Inaktivität.

d) Geohash („Partys in der Nähe”, Ziffer 4.9): Löschung nach Ende der jeweiligen Party.

e) Archiv-Schnappschuss parties-data (Ziffer 4.8): Der Schnappschuss wird bereits bei seiner Erstellung anonymisiert (keine Namen, keine Standorttexte/Koordinaten, keine exakten Zeitstempel). Als anonyme Daten unterliegt er keiner datenschutzrechtlichen Löschfrist; ein etwaiger aggregierter Kosten-Schnappschuss wird gelöscht, sobald er für interne Kostenauswertungen nicht mehr benötigt wird.

(2) Vorwarnung: Vor einer Löschung nach Absatz 1 lit. a–c informieren wir Sie rechtzeitig per Push-Nachricht und — soweit eine E-Mail-Adresse vorliegt — per E-Mail, damit Sie betroffene Inhalte rechtzeitig sichern können.

(3) Token und kaufbezogene Daten: OAuth-Token (Musiksteuerung, externer Speicher) werden für die Dauer der bestehenden Verbindung gespeichert und bei Trennung der Verbindung bzw. Widerruf gelöscht. Kaufbezogene Daten und Validierungsprotokolle bewahren wir auf, soweit und solange dies zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten erforderlich ist; die maßgebliche gesetzliche Aufbewahrungsfrist beträgt insoweit grundsätzlich bis zu zehn Jahre (vgl. § 257 HGB, § 147 AO), gerechnet ab dem Ende des jeweiligen Geschäfts-/Kalenderjahres. Daten, die ausschließlich der Betrugsprävention/Validierung dienen und keiner gesetzlichen Aufbewahrungspflicht unterliegen, löschen oder anonymisieren wir, sobald der Validierungszweck entfällt. Nach Ablauf der gesetzlichen Fristen werden die betroffenen Belegdaten gelöscht; nicht aufbewahrungspflichtige Bestandteile werden bereits zuvor gelöscht oder anonymisiert.

(4) Externer Speicher: Hat der Host eine selbst verwaltete externe Cloud (Dropbox, Google Drive) gewählt, gelten die vorstehenden Löschfristen für die dort gespeicherten Inhalte nicht; deren Aufbewahrung und Löschung verantwortet der Host nach Maßgabe seines Vertrags mit dem jeweiligen Anbieter.

(5) Sie können die Löschung Ihrer Inhalte und Ihres Kontos jederzeit über die in der App vorgesehenen Funktionen oder per Mitteilung an info@partyspot.app verlangen. Gesetzliche Löschansprüche (Art. 17 DSGVO) bleiben unberührt; sie können durch gesetzliche Aufbewahrungspflichten (Absatz 3) eingeschränkt sein.

11. Ihre Rechte als betroffene Person

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die zu Ihnen verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung („Recht auf Vergessenwerden”, Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — insbesondere für die Opt-in-Funktionen GPS-Vor-Ort-Verifikation (Ziffer 4.10) und Geohash „Partys in der Nähe” (Ziffer 4.9) sowie für aktivierte Push-Kanäle (Ziffer 4.4). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung dieser Rechte genügt eine Mitteilung an die in Ziffer 1 genannten Kontaktdaten.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns ist voraussichtlich die für den Unternehmenssitz zuständige Landes-Datenschutzaufsichtsbehörde zuständig:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow

Sie können sich unbeschadet dessen auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes wenden.

12. Minderjährige

(1) Die App und insbesondere kostenpflichtige In-App-Käufe richten sich nicht an Kinder. Für Vertragsschlüsse durch Minderjährige gelten die §§ 104 ff. BGB.

(2) Eine datenschutzrechtliche Einwilligung in Dienste der Informationsgesellschaft (Art. 8 DSGVO) ist in Deutschland erst ab Vollendung des 16. Lebensjahres wirksam. Bei jüngeren Personen bedarf es der Einwilligung bzw. Zustimmung der Träger der elterlichen Verantwortung.

(3) Für die Einwilligung in die Nutzung des eigenen Bildnisses (Foto/Video) ist ab Einsichtsfähigkeit der minderjährigen Person (regelmäßig ab dem 14. Lebensjahr) zusätzlich deren eigene Einwilligung neben der Einwilligung der Sorgeberechtigten erforderlich (siehe auch Ziffer 9).

(4) Wir erheben nicht wissentlich personenbezogene Daten von Kindern unterhalb der jeweils maßgeblichen Altersschwelle ohne die erforderliche Zustimmung. Erlangen wir Kenntnis von einer entgegenstehenden Verarbeitung, löschen wir die betroffenen Daten unverzüglich.

13. Keine automatisierte Entscheidung im Einzelfall; kein Werbe-Profiling

(1) Eine ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

(2) Die App enthält keine Werbung. Es findet kein werbliches Tracking und kein werbliches Profiling durch uns oder durch Dritte statt. Die in der App verwendeten Sortier-/Voting- und Auto-DJ-Funktionen dienen ausschließlich der Wiedergabe-Steuerung innerhalb der jeweiligen Party und stellen keine personenbezogene Profilbildung zu Werbe- oder Bewertungszwecken dar.

14. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen (Art. 32 DSGVO). Hierzu gehören insbesondere: Transportverschlüsselung der Datenübertragung, zugriffsbeschränkende Sicherheitsregeln (Zugriff auf Party-Inhalte und Metadaten nur für Mitglieder der jeweiligen Party), getrennte und zugriffsbeschränkte Ablage sensibler Zugangsdaten/Token, serverseitige Validierung von Kaufbelegen, in Release-Builds Geräte-Integritätsattestierung (Ziffer 5) sowie Maßnahmen zur Begrenzung von Missbrauch (z. B. Größen- und Mengenbegrenzungen, Zugriffs-Throttling). Hinsichtlich aus der App exportierter Dateien und der darin eingebetteten Metadaten (Ziffer 4.3.1) endet die Wirkung dieser Maßnahmen mit dem Export. Unsere Sicherheitsmaßnahmen werden fortlaufend an den Stand der Technik angepasst.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, behördliche Vorgaben oder Änderungen unserer Dienste und der zugrunde liegenden Datenverarbeitung anzupassen. Es gilt jeweils die in der App und im jeweiligen Store-Eintrag abrufbare aktuelle Fassung. Über wesentliche Änderungen informieren wir in geeigneter Weise.

Stand: 19. Juni 2026 · Version 1.1 (Entwurf)

Ergänzende Hinweise zu dieser Website (partyspot.app)

Die vorstehende Datenschutzerklärung betrifft die PartySpot-App. Für die Website partyspot.app selbst — eine reine Informations- und Anmeldeseite — gilt ergänzend Folgendes. Diese Website verzichtet bewusst auf Cookies, Tracking und externe Analyse-Dienste.

Hosting

Die Website wird bei der Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin, gehostet. Strato verarbeitet in unserem Auftrag (Art. 28 DSGVO) die beim Aufruf anfallenden Daten zur sicheren Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO).

Server-Logfiles

Beim Aufruf werden automatisch Informationen in Server-Logfiles gespeichert (Browsertyp/-version, Betriebssystem, Referrer-URL, Hostname, Uhrzeit, IP-Adresse). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (technischer Betrieb und Sicherheit). Die Logs werden nach kurzer Zeit gelöscht.

Anmeldung zur Launch-Benachrichtigung

Trägst du auf dieser Website deine E-Mail-Adresse ein, verarbeiten wir diese Adresse, die gewählte Sprache, den Zeitpunkt und ggf. die IP-Adresse (Missbrauchsvermeidung), um dich einmalig über den Start der App zu informieren. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit per Nachricht an info@partyspot.app widerrufen kannst. Eine Weitergabe an Dritte zu Werbezwecken erfolgt nicht.

Cookies, Tracking & Schriftarten

Diese Website setzt keine Cookies und bindet keine Analyse-, Tracking- oder Werbe-Dienste ein. Alle Schriftarten werden lokal vom eigenen Server geladen (kein Google-Fonts-CDN), sodass deine IP-Adresse zu diesem Zweck nicht an Dritte übertragen wird.