Prüffassung · noch nicht zur Veröffentlichung freigegeben
Datenschutzerklärung
Prüffassung für Website und Closed-Beta-App. Der Text beruht auf dem geprüften Quellcode; offene Betriebsangaben sind ausdrücklich benannt.
1. Verantwortliche Stelle und Kontakt
Studio3000 GmbH, Bachstrasse 33, 5034 Suhr, Schweiz. Für den Betrieb dieser Website, Kontenverwaltung und eigene Kommunikation ist die Studio3000 GmbH verantwortlich. Datenschutzanfragen kannst du an [email protected] oder unsere Postanschrift richten, Betreff Datenschutz VenueMaster3000.
2. Website und App
Diese Erklärung unterscheidet die öffentliche Website www.venuemaster3000.com und die zugangsbeschränkte App unter venuemaster3000.com. In der Closed Beta erfolgt der Zugang auf Einladung. Ein Besuch der Website legt kein App-Konto und kein kostenpflichtiges Abonnement an.
3. Besuch der Website
Beim Abruf werden technisch erforderliche Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte Adresse, Browserinformationen und Antwortstatus verarbeitet, damit Seiten ausgeliefert und Angriffe erkannt werden können. Die aktuell geprüfte Website liefert statisches HTML aus. Schriftdateien werden mit der Website ausgeliefert. Die Darstellungseinstellung vm3k-website-theme wird lokal im Browser gespeichert, bis du sie oder die Website-Daten löschst. Im geprüften Website-Quellcode sind keine Analyse-, Werbe- oder Session-Replay-Skripte eingebunden. Cloudflare ist im öffentlich sichtbaren Auslieferungsweg erkennbar; Betreiberverträge, Verarbeitungsstaaten und Protokollfristen sind noch zu bestätigen. Der Betrieb erfolgt nach bestätigter Angabe der Anbieterin bei Hetzner mit Standort Finnland. Der Ort und die Aufbewahrung der Sicherungen werden gesondert bestätigt.
4. Konto, Einladungen und Kommunikation
In der App werden je nach Nutzung E-Mail-Adresse, Name, Profilangaben, Benutzerkennung, Rollen, Organisationszugehörigkeit, Einladungen, Anmeldedaten und Sitzungsinformationen verarbeitet. Anmeldung und Berechtigungen beruhen auf Supabase Auth. Die App speichert Sitzungsinformationen im Browser, damit du angemeldet bleiben kannst. Suchverlauf und Darstellungspräferenzen können lokal gespeichert werden. Wenn du uns kontaktierst, bearbeiten wir deine Kontaktdaten, Nachricht und beigefügte Unterlagen zur Beantwortung. E-Mail-Empfänger werden nicht allein durch diese Kontaktaufnahme für Werbung angemeldet. Support- und persönliche E-Mail-Adressen werden über Fastmail geführt. Nach Angabe der Anbieterin ist die EU-Region gewählt. Fastmail beschreibt dafür Primärspeicherung in Amsterdam und eine Replik, Backups und Protokolle in den USA; es handelt sich daher nicht um ausschliessliche EU-Verarbeitung.
5. Daten deiner Organisation
Veranstaltungen, Kontakte, Mitarbeitende, Schichten, Vergütungsangaben, Buchungsanfragen, Nachrichten, Dokumente und Änderungsprotokolle können personenbezogene Daten enthalten. Für die Zwecke und Inhalte, die eine Organisation in ihrem Mandanten verwaltet, ist regelmässig diese Organisation verantwortlich. Studio3000 bearbeitet diese Inhalte im Auftrag nach der vereinbarten Auftragsbearbeitung. Rechteanfragen zu solchen Inhalten richten sich an die Organisation; wir unterstützen sie bei der Bearbeitung. Die konkrete AVV und Unterauftragnehmerliste sind vor der verbindlichen Nutzung zu bestätigen.
6. Nutzungsanalyse und Sitzungsaufzeichnungen der App
Der App-Code enthält PostHog für Seitenaufrufe, Interaktionen und Sitzungsaufzeichnungen. Bei Anmeldung sind Benutzerkennung und E-Mail-Adresse vorgesehen; Mandantenkennung und Mandantenname können zugeordnet werden. Das voreingestellte Ziel ist eu.i.posthog.com, kann aber konfiguriert werden. Eingaben und Seitentexte sollen maskiert werden. Sentry ist für Fehlerdiagnose, Leistungsdaten, Konsolenprotokolle und Sitzungsaufzeichnungen eingebunden. Im Code sind personenbezogene Standarddaten zugelassen; Aufzeichnungen sind für 10 % der Sitzungen und bei Fehlern für 100 % vorgesehen, mit Textmaskierung und blockierten Medien. Die Anbieterin bestätigt, dass PostHog und Sentry aktiv sind. Die genannten Aufzeichnungsraten und Maskierungen beschreiben den Code; die tatsächlich ausgelieferte Konfiguration ist noch abzugleichen. Die Einwilligungssteuerung, tatsächlichen Datenfelder, Empfänger und Aufbewahrungsfristen müssen vor Freigabe geprüft werden. Wir behaupten deshalb weder anonyme Analyse noch eine bereits vorhandene Einwilligungslösung.
7. Optionale Verbindungen und Feedback
Freigeschaltete Verbindungen können Daten mit Google-Diensten, Microsoft, Dropbox, Notion, Todoist, Slack, Ticketanbietern oder einem von der Organisation eingerichteten E-Mail-Dienst austauschen. Für transaktionale E-Mails ist derzeit ZeptoMail mit EU-Endpunkt eingerichtet. Resend ist als Alternative vorhanden; eine aktive Nutzung im geprüften Standardversand wurde nicht festgestellt. Andere Anmelde- und Fallbackpfade sind noch abzugleichen. Bei einer Nutzung von Resend würden Daten auch in den USA gespeichert. Quackback ist für Feedback mit Benutzer- und Mandantenbezug vorgesehen. Rückmeldungen und freiwillig beigefügte Bilder können weitere personenbezogene Inhalte enthalten. Crikket-Capture ist im Code auf die Staging-Umgebung begrenzt. Vorhandener Stripe-Code belegt keine aktive Zahlungserhebung in der Closed Beta.
8. Frameworks und Systeme
Die Website verwendet Astro, TypeScript, i18next, Zod, lokal ausgelieferte Geist-Schriften und ShadcnStudio-/AdminCN-Designquellen. Directus liefert redaktionelle Inhalte nur beim Build; der Browser ruft dafür nicht das CMS auf. Die App verwendet React, React Router, Vite, TypeScript, Tailwind CSS, shadcn/ui mit Radix und Base UI, TanStack Query/Table, React Hook Form, Zod, i18next, Tiptap, Recharts und SVAR-Komponenten. Das Backend umfasst selbst betriebenes Supabase mit PostgreSQL, Auth, Storage, Realtime und Edge Functions auf Deno sowie Inngest für Hintergrundabläufe. Wir betreiben GrowthBook selbst und verwenden es in der App in Produktion und Staging zur zentralen Steuerung freigeschalteter Funktionen. Der Browser lädt die Funktionsdefinitionen über gb-api.apps3k.com und wertet sie lokal aus. Beim Abruf fallen technisch erforderliche Verbindungsdaten wie IP-Adresse und Browserinformationen an. Die geprüfte Einbindung übergibt keine Namen, E-Mail-Adressen oder Mandanteninhalte und bindet kein GrowthBook-Nutzungstracking ein. Die am 25. Oktober 2026 abgerufenen Definitionen enthalten keine personenbezogenen Zielgruppenregeln und keine A/B-Test-Zuweisungen. Die öffentliche Website verwendet GrowthBook nicht. Bibliotheken oder selbst betriebene Systeme sind nicht allein wegen ihrer Verwendung Empfänger deiner Daten. Datenübermittlungen entstehen durch die tatsächlich konfigurierten Dienste und Verbindungen.
9. Zwecke und Rechtsgrundlagen
Wir bearbeiten Daten für Bereitstellung und Absicherung des Dienstes, Konten und Berechtigungen, Zusammenarbeit, Support und die Erfüllung gesetzlicher Pflichten. Es gilt das Schweizer Datenschutzgesetz. Soweit die DSGVO anwendbar ist, kommen je nach Verarbeitung Vertrag oder vorvertragliche Schritte (Art. 6 Abs. 1 lit. b), gesetzliche Pflichten (lit. c), berechtigte Interessen an sicherem Betrieb und Bearbeitung von Anfragen (lit. f) oder eine freiwillige Einwilligung für optionale Zwecke (lit. a) in Betracht. Die konkrete Zuordnung und Interessenabwägung für Analyse, Aufzeichnungen und Beschäftigtendaten ist noch freizugeben; diese Aufzählung ersetzt keine wirksame Einwilligung.
10. Empfänger und Bekanntgabe ins Ausland
Zugriff erhalten berechtigte Personen der jeweiligen Organisation und beauftragte Betriebs-, Kommunikations- und Supportdienstleister nach ihrer Aufgabe. Welche juristischen Personen, Länder, Unterauftragnehmer und Garantien im Einzelfall gelten, muss im Dienstleisterverzeichnis bestätigt werden. Für Bekanntgaben in Länder ohne angemessenes Schutzniveau sind die jeweils erforderlichen Garantien oder gesetzlichen Ausnahmen zu prüfen, etwa anwendbare Standardvertragsklauseln. Ein EU-Endpunkt oder ein Schweizer Firmensitz allein garantiert keine ausschliessliche Speicherung in diesem Gebiet.
11. Dauer und Löschung
Daten werden nur so lange benötigt, wie es der jeweilige Zweck, der Vertrag und gesetzliche Aufbewahrungspflichten erfordern. Danach werden sie gelöscht oder anonymisiert, soweit keine zulässige weitere Aufbewahrung erforderlich ist. Für Mandantendaten gelten die vereinbarten Weisungen. Konten, Einladungen, Dokumente, Audit-Protokolle, Analyse- und Aufzeichnungsdaten sowie Sicherungen benötigen unterschiedliche Fristen. Die konkreten Fristen, Wiederherstellungsfenster und Löschläufe sind noch mit den Betriebseinstellungen abzugleichen. Eine sofortige Löschung aus sämtlichen Backups wird nicht zugesagt.
12. Deine Rechte und Änderungen
Nach dem anwendbaren Recht kannst du insbesondere Auskunft, Berichtigung, Löschung und gegebenenfalls Datenherausgabe oder Übertragung sowie Einschränkung und Widerspruch verlangen. Eine Einwilligung kannst du mit Wirkung für die Zukunft widerrufen. Zur Zuordnung eines Anliegens können wir angemessene Nachweise verlangen. Du kannst dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (www.edoeb.admin.ch) oder, soweit zuständig, eine europäische Datenschutzaufsicht wenden. Bei wesentlichen Änderungen aktualisieren wir diese Erklärung. Stand dieser Prüffassung: 25. Oktober 2026.