Datenschutzrichtlinie

1. Rechtsgrundlage

Unsere primäre Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten ist die Erfüllung eines Vertrags — Artikel 6 Abs. 1 lit. b DSGVO. Die Verarbeitung ist erforderlich, damit wir den von Ihnen abonnierten Dienst erbringen können: Erstellung und Pflege Ihres Kontos, Hosting Ihres Profils und Ihrer Uploads, Auffindbarkeit durch Veranstalter und andere Branchenakteure sowie Betrieb von MavelTree und MavelCam.

Wir stützen uns auf eine Einwilligung — Artikel 6 Abs. 1 lit. a DSGVO — nur für optionale Verarbeitungen: einwilligungsbasierte Marketing-E-Mails sowie nicht erforderliche Cookies und Analyse, die über das Iubenda-Banner verwaltet werden. Sie können die Einwilligung für diese optionalen Kategorien jederzeit zurückziehen, ohne dass Ihre Möglichkeit, den Dienst zu nutzen, davon berührt wird.

Eine begrenzte Anzahl von Verarbeitungen stützt sich auf das berechtigte Interesse nach Artikel 6 Abs. 1 lit. f DSGVO (etwa Sicherheitsüberwachung und Akquise-Attribution) oder auf rechtliche Verpflichtung nach Artikel 6 Abs. 1 lit. c (etwa Aufbewahrung von Einwilligungsnachweisen gemäß Artikel 7).

2. Was wir erheben

Die folgende Tabelle listet jede Kategorie personenbezogener Daten, die wir verarbeiten, den Zweck, die Rechtsgrundlage, die Aufbewahrungsdauer und den jeweiligen Auftragsverarbeiter.

Datenklasse	Typ	Zweck	Rechtsgrundlage	Aufbewahrung	Auftragsverarbeiter
Email address	Identifier	Account creation, login, transactional email	Art. 6(1)(b)	For account lifetime + 12 months after closure	Clerk, Microsoft Azure
First name, last name	Identifier	Profile display, contact	Art. 6(1)(b)	For account lifetime	Clerk, Microsoft Azure
Profile image	Image	Profile display, MavelTree	Art. 6(1)(b)	For account lifetime	Microsoft Azure (Blob storage)
Cover image	Image	Profile display	Art. 6(1)(b)	For account lifetime	Microsoft Azure (Blob storage)
Country, nationality, province	Location	Profile display, discovery filters	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Birthdate	Identifier	Age verification (16+ floor)	Art. 6(1)(b)	For account lifetime	Clerk, Microsoft Azure
Biography	Text	Profile display	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Profile slug	Identifier	Public URL	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Social network handles	Identifier	Profile links	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Tracks (audio files & metadata)	Media	Music showcase	Art. 6(1)(b)	For account lifetime	Microsoft Azure (Blob storage)
Fees	Commercial	Booking workflow	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Tech rider	Document	Booking workflow	Art. 6(1)(b)	For account lifetime	Microsoft Azure
Contact information	Identifier	Booking workflow	Art. 6(1)(b)	For account lifetime	Microsoft Azure
viberateId	Identifier (3P)	Artist enrichment	Art. 6(1)(b)	For account lifetime	Viberate
Language preference	Preference	Locale selection	Art. 6(1)(b)	For account lifetime	Microsoft Azure
UTM source / referrer	Marketing	Acquisition attribution	Art. 6(1)(f) — legitimate interest	24 months	Amplitude, Microsoft Azure
IP address at consent	Network	Consent record evidence	Art. 6(1)(c) — legal obligation (GDPR Art. 7(1))	For account lifetime + 6 years after closure	Microsoft Azure
User-agent at consent	Network	Consent record evidence	Art. 6(1)(c)	For account lifetime + 6 years after closure	Microsoft Azure
MavelCam audio / video / photo uploads	Media	Event capture and showcase	Art. 6(1)(b)	For account lifetime; deletable on demand	Microsoft Azure (Blob storage), ShazamKit (in-app recognition only)
Sentry error reports	Diagnostic	Service reliability	Art. 6(1)(f)	90 days	Sentry
Analytics events	Behavioural	Product analytics	Art. 6(1)(a) — consent (Iubenda)	24 months	Amplitude

Email address
First name, last name
Profile image
Cover image
Country, nationality, province
Birthdate
Biography
Profile slug
Social network handles
Tracks (audio files & metadata)
Fees
Tech rider
Contact information
viberateId
Language preference
UTM source / referrer
IP address at consent
User-agent at consent
MavelCam audio / video / photo uploads
Sentry error reports
Analytics events

Die Aufbewahrungsfristen sind Richtwerte; einzelne Daten können auf eine verifizierte Löschungsanfrage hin früher gelöscht werden (siehe §6).

3. Auftragsverarbeiter

Wir teilen personenbezogene Daten ausschließlich zu den genannten Zwecken mit den folgenden Auftragsverarbeitern. Jeder von ihnen handelt auf Grundlage einer Auftragsverarbeitungsvereinbarung (AVV).

Auftragsverarbeiter	Zweck	Region	AVV / Garantien
Clerk	Authentication and account management	United States	DPA in place; SCCs (EU 2021/914) cover transfers
Microsoft Azure	Application hosting and Blob storage	European Union (West Europe)	DPA in place; processing within EU
Sentry	Error and exception monitoring	European Union	DPA in place; processing within EU
Amplitude	Product analytics (opt-in via Iubenda)	United States	DPA in place; SCCs (EU 2021/914) + transfer impact assessment
Viberate	Artist metadata enrichment	European Union (Slovenia)	DPA in place; processing within EU
ShazamKit (Apple)	Audio recognition (MavelCam, in-app only)	United States	Apple framework; on-device matching where supported
Iubenda	Consent management and cookie banner	European Union (Italy)	DPA in place; processing within EU
i18nexus	Translation key management	United States	No personal data of end users is processed

Clerk
Microsoft Azure
Sentry
Amplitude
Viberate
ShazamKit (Apple)
Iubenda
i18nexus

4. Internationale Übermittlungen

Anwendungsdaten werden standardmäßig in der Europäischen Union (Region West Europe) auf Microsoft Azure gespeichert. Sitzt ein Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums — insbesondere Clerk, Amplitude, ShazamKit (Apple) und i18nexus, alle in den Vereinigten Staaten — werden Übermittlungen durch die Standardvertragsklauseln der Europäischen Kommission (SCC) gemäß Beschluss (EU) 2021/914 abgesichert.

Wir haben eine Übermittlungs-Folgenabschätzung für Übermittlungen in die USA durchgeführt und dabei die Rechtsprechung des Gerichtshofs der Europäischen Union (insbesondere Schrems II) sowie die im EU-US-Datenschutzrahmen angekündigten Garantien berücksichtigt. Wir stützen uns auf die SCC als primären Übermittlungsmechanismus, ergänzt um zusätzliche technische Maßnahmen, sofern angemessen (Verschlüsselung bei Übertragung und Speicherung, Datenminimierung gegenüber dem Empfänger). Sollte eine künftige Entscheidung die SCC als Grundlage für Übermittlungen an einen bestimmten Auftragsverarbeiter unwirksam machen, verlagern wir die betreffende Verarbeitung zu einem EU-Anbieter oder beenden die Beziehung.

5. Aufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie wir sie für die in §2 und §3 genannten Zwecke benötigen, danach löschen oder anonymisieren wir sie. Kontogebundene Daten werden in der Regel für die Lebensdauer Ihres Kontos zuzüglich eines kurzen Zeitraums nach Schließung aufbewahrt, damit wir auf rechtliche Ansprüche reagieren und Einwilligungen nachweisen können.

Konkrete Aufbewahrungsfristen finden Sie in der Inventartabelle oben. Wenn Sie uns bitten, Ihr Konto zu löschen, werden die Daten innerhalb von dreißig (30) Tagen gelöscht oder anonymisiert, mit Ausnahme der Daten, die wir gesetzlich aufbewahren müssen (etwa Einwilligungsnachweise nach Art. 7 Abs. 1 DSGVO).

6. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte in Bezug auf Ihre personenbezogenen Daten zu. Wir beantworten eine verifizierte Anfrage innerhalb eines (1) Monats, verlängerbar um zwei weitere Monate bei komplexen Anfragen gemäß Art. 12 Abs. 3 DSGVO.

Auskunft — Kopie Ihrer personenbezogenen Daten anfordern (Art. 15).
Berichtigung — unrichtige oder unvollständige Daten korrigieren (Art. 16).
Löschung — „Recht auf Vergessenwerden“ (Art. 17).
Einschränkung — die Verarbeitung Ihrer Daten einschränken (Art. 18).
Datenübertragbarkeit — Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten (Art. 20).
Widerspruch — gegen eine auf berechtigtem Interesse beruhende Verarbeitung Widerspruch einlegen (Art. 21).
Widerruf der Einwilligung — jederzeit, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird (Art. 7 Abs. 3).
Beschwerde bei Ihrer örtlichen Datenschutzaufsichtsbehörde einlegen (in Spanien die AEPD: www.aepd.es).

https://app.mavelpoint.com/account/privacy

7. Meldung von Verletzungen

Ist eine Verletzung des Schutzes personenbezogener Daten voraussichtlich mit einem Risiko für Ihre Rechte und Freiheiten verbunden, melden wir sie der zuständigen Aufsichtsbehörde unverzüglich und spätestens binnen 72 Stunden, nachdem sie uns bekannt wurde, gemäß Art. 33 DSGVO. Ist die Verletzung voraussichtlich mit einem hohen Risiko verbunden, benachrichtigen wir auch die betroffenen Nutzer unverzüglich gemäß Art. 34 DSGVO.

8. Minderjährige

Der Dienst richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Erlangen wir Kenntnis davon, dass ein Nutzer unter 16 Jahre alt ist, kündigen wir das Konto und löschen die zugehörigen personenbezogenen Daten. Wenn Sie der Auffassung sind, dass ein Kind uns personenbezogene Daten übermittelt hat, schreiben Sie bitte an support@mavelpoint.com.

9. Automatisierte und KI-Verarbeitung

Wir verwenden automatisierte Werkzeuge zum Betrieb des Dienstes, einschließlich maschineller Übersetzung der nutzerseitigen Texte und automatischer Klassifizierung bestimmter Inhalte zur Erkennung mutmaßlicher Verstöße gegen unsere Richtlinie zur akzeptablen Nutzung. Diese Werkzeuge unterstützen menschliche Entscheidungen. Wir treffen keine Entscheidungen mit Rechtswirkung gegenüber Ihnen oder mit ähnlich erheblicher Beeinträchtigung allein auf Grundlage einer automatisierten Verarbeitung im Sinne von Art. 22 DSGVO. Wesentliche Durchsetzungsmaßnahmen — Kontosperrungen, Inhaltsentfernungen und Beschwerden — werden von einer Person überprüft.

10. Kontakt

MavelPoint wird betrieben von IPS Projects, S.L., einer in Spanien eingetragenen Gesellschaft. Für datenschutzbezogene Fragen — einschließlich der Ausübung der Rechte aus §6 — schreiben Sie an support@mavelpoint.com. Wir leiten Ihre Anfrage an die zuständige Person weiter.

Wir haben weder einen formalen Datenschutzbeauftragten (Art. 37 DSGVO) noch einen EU-Vertreter (Art. 27 DSGVO) benannt, da die hierfür maßgeblichen Voraussetzungen derzeit nicht erfüllt sind: Wir führen keine systematische Überwachung betroffener Personen in großem Umfang durch, verarbeiten keine besonderen Datenkategorien in großem Umfang und sind in der Europäischen Union niedergelassen. Wir werden diese Einschätzung mit dem Wachstum des Dienstes erneut prüfen und diesen Abschnitt entsprechend aktualisieren.