Datenschutzerklärung
Zuletzt aktualisiert: 10. Juni 2026
Inhaltsverzeichnis
1. Verantwortlicher
2. Erhebung personenbezogener Daten
3. Zweck der Datenverarbeitung
4. Rechtsgrundlagen der Verarbeitung
5. Auftragsverarbeiter & Datenweitergabe
6. Datenübermittlung in Drittländer
7. Cookies & lokale Speicherung
8. Speicherdauer & automatische Löschung
9. Ihre Rechte (DSGVO)
10. Zuständige Aufsichtsbehörde
11. Datensicherheit
12. Datenschutzverletzungen
13. Kontakt
1. Verantwortlicher
2. Erhebung personenbezogener Daten
Wir erheben folgende Kategorien personenbezogener Daten:
Registrierungsdaten
E-Mail-Adresse, Anzeigename, Passwort-Hash (bei E-Mail-Login) bzw. OAuth-Token (bei Google Login)
Lead-Daten (durch Nutzer erfasst)
Name, E-Mail, Telefonnummer, Unternehmen, Notizen und weitere Kontaktinformationen von Messebesuchern
Nutzungsdaten
Punktestände, Aktivitäten, Gamification-Fortschritt, Challenge-Teilnahmen
Technische Daten
IP-Adresse, Browser-Typ, Geräteinformationen, Zugriffszeiten, Referrer-URLs
3. Zweck der Datenverarbeitung
- Bereitstellung und Verbesserung unserer SaaS-Plattform
- Benutzerauthentifizierung und Kontoverwaltung
- Erfassung und Verwaltung von Lead-Kontaktdaten auf Messen und Events
- KI-gestützte Verkaufsanalyse und Empfehlungen
- Anzeige von Leaderboards, Rankings und Gamification-Statistiken
- Zahlungsabwicklung und Abonnementverwaltung über Stripe
- Versand transaktionaler E-Mails (Einladungen, Benachrichtigungen)
- Gewährleistung der IT-Sicherheit und Missbrauchserkennung
4. Rechtsgrundlagen der Verarbeitung
Registrierung & Kontoverwaltung (inkl. Google Login)
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Erforderlich zur Bereitstellung des SaaS-Dienstes. Bei Google Login werden Name, E-Mail und Profilbild übermittelt.
Lead-Daten (Erfassung durch Nutzer)
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Speicherung und Verwaltung von Lead-Kontaktdaten im Auftrag des Event-Veranstalters als Kernfunktion der Plattform.
Zahlungsabwicklung über Stripe
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Notwendig zur Abwicklung Ihres Abonnements und der Rechnungsstellung.
KI-Verkaufsassistent (Anthropic Claude)
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Bestandteil des vertraglich vereinbarten Funktionsumfangs. Zero Data Retention beim KI-Anbieter.
Technisch notwendige Cookies & localStorage
Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse
Erforderlich für die technische Funktionsfähigkeit (Authentifizierung, Sitzungsverwaltung).
Leaderboards & Gamification
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Kernfunktion des SaaS-Dienstes zur Anzeige von Rankings und Statistiken.
Transaktionale E-Mails (Resend)
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Versand von Einladungen, Passwortzurücksetzungen und Benachrichtigungen.
5. Auftragsverarbeiter & Datenweitergabe
Ihre Daten werden nicht verkauft. Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO):
Vercel Inc.
Zweck: Hosting der Webanwendung (Edge Network, Serverless Functions) sowie cookielose Web-Analyse (Vercel Analytics: aggregierte Seitenstatistiken, keine Cookies, kein seitenübergreifendes Tracking, keine Personenprofile)
Standort: EU/USA (Edge Network)
Supabase Inc.
Zweck: Datenbank (PostgreSQL), Authentifizierung, Dateispeicherung, Echtzeit-Subscriptions
Standort: EU (Frankfurt, aws-eu-central-1)
Stripe Inc.
Zweck: Zahlungsabwicklung, Abonnementverwaltung, Rechnungsstellung
Standort: USA/EU — SCCs gemäß Art. 46 DSGVO
Haufe-Lexware GmbH & Co. KG (lexoffice)
Zweck: Buchhaltung und Rechnungswesen (aus Stripe importierte Rechnungs- und Zahlungsdaten)
Standort: Deutschland (EU)
Anthropic PBC
Zweck: KI-Verkaufsassistent (Claude API, Zero Data Retention)
Standort: USA — SCCs / EU-US Data Privacy Framework
Resend Inc.
Zweck: Transaktionale E-Mails (Einladungen, Benachrichtigungen)
Standort: USA — SCCs
Hinweis zu Schriftarten: Alle verwendeten Schriftarten werden lokal bereitgestellt (Self-Hosting). Es findet keine Verbindung zu Google-Servern statt.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Geschäftskunden können unseren Standard-AVV unter pgday.app/dpa einsehen und abschließen.
6. Datenübermittlung in Drittländer
Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA. Die Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich auf Basis geeigneter Garantien gemäß Art. 44–49 DSGVO:
- EU-US Data Privacy Framework (DPF) für zertifizierte Unternehmen
- EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO
- Ergänzende technische und organisatorische Maßnahmen
7. Cookies & lokale Speicherung
Wir verwenden ausschließlich technisch notwendige Cookies, localStorage und sessionStorage für Authentifizierung, Sitzungsverwaltung sowie den CSV-Lead-Import (Entwurf nur lokal im Browser). Es werden keine Tracking- oder Marketing-Cookies eingesetzt (§ 25 Abs. 2 Nr. 2 TTDSG). Eine detaillierte Übersicht findest du in unserer Cookie-Richtlinie.
Zur Reichweitenmessung setzen wir Vercel Analytics ein — einen cookielosen, datenschutzfreundlichen Analysedienst: Er speichert keine Cookies, setzt keine seitenübergreifenden Kennungen und erzeugt ausschließlich aggregierte Seitenstatistiken ohne Personenprofile. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aggregierter Nutzungsstatistik).
8. Speicherdauer & automatische Löschung
Event-bezogene Kontaktdaten werden in unserer EU-Datenbank (Supabase, Frankfurt) verarbeitet. Nach Ende eines Events (Status „beendet“ oder „archiviert“) löschen wir zugehörige personenbezogene Lead- und Anmeldedaten automatisch nach 30 Tagen. Aggregierte Auswertungen ohne Personenbezug können länger verbleiben.
| Daten | Speicherort | Zweck | Löschung |
|---|---|---|---|
| Lead-Pool (CSV-Import) | Supabase PostgreSQL (EU, Frankfurt) | Kontaktlisten für ein Event | Automatische Löschung 30 Tage nach Event-Ende (Status beendet/archiviert) |
| Erfasste Leads (Aktivitäten) | Supabase PostgreSQL (EU, Frankfurt) | Gamification, Auswertung, Leaderboard | Wie Lead-Pool — 30 Tage nach Event-Ende |
| Öffentliche Event-Anmeldungen | Supabase PostgreSQL (EU, Frankfurt) | Registrierung über Event-Seite | Wie Lead-Pool — 30 Tage nach Event-Ende |
| CSV-Import-Entwurf | sessionStorage im Browser | Zwischenspeicher während des Imports | Nach erfolgreichem Import, beim Abmelden oder beim Schließen des Tabs; keine Server-Speicherung |
Kontodaten (E-Mail, Profil)
VertragsdauerLöschung innerhalb von 30 Tagen nach Kontolöschung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Event-Lead-Daten (Pool, Aktivitäten, Anmeldungen)
30 Tage nach Event-EndeAutomatische Löschung 30 Kalendertage, nachdem ein Event auf „beendet“ oder „archiviert“ gesetzt wurde. Der Veranstalter bleibt Verantwortlicher für die von ihm importierten Kontaktdaten.
Lead-Daten ohne Event-Bezug
VertragsdauerManuelle Löschung oder Löschung mit dem Konto des Veranstalters, sofern kein Event zugeordnet ist.
Zahlungsdaten (Stripe)
10 JahreGesetzliche Aufbewahrungspflicht gemäß § 147 AO und § 257 HGB.
Server-Logfiles
30 TageZur Sicherstellung des Betriebs und Erkennung von Missbrauch.
KI-Assistenten-Anfragen
Keine dauerhafte SpeicherungZero Data Retention beim KI-Anbieter (Anthropic). Anfragen werden nicht für Training verwendet.
9. Ihre Rechte (DSGVO)
Sie haben gemäß der DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:
Auskunft (Art. 15)
Information über gespeicherte Daten
Berichtigung (Art. 16)
Korrektur unrichtiger Daten
Löschung (Art. 17)
Löschung Ihrer Daten („Recht auf Vergessenwerden“)
Einschränkung (Art. 18)
Einschränkung der Verarbeitung
Übertragbarkeit (Art. 20)
Daten in maschinenlesbarem Format erhalten
Widerspruch (Art. 21)
Widerspruch gegen Verarbeitung
Beschwerderecht (Art. 77 DSGVO)
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an legal@pgday.app.
10. Zuständige Aufsichtsbehörde
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 611 1408-0
11. Datensicherheit
Wir setzen umfangreiche technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein:
- Strikte Multi-Tenant-Architektur mit vollständiger Mandantentrennung
- Verschlüsselte Übertragung aller Daten (HTTPS/TLS)
- Rollenbasierte Zugriffskontrolle (RBAC) mit 4-Stufen-Hierarchie
- Row Level Security (RLS) auf Datenbankebene
- Sichere Authentifizierung mit Supabase Auth
- Regelmäßige Sicherheitsüberprüfungen
12. Datenschutzverletzungen
Im Falle einer Verletzung des Schutzes personenbezogener Daten melden wir diese gemäß Art. 33 DSGVO unverzüglich (innerhalb von 72 Stunden) an die zuständige Aufsichtsbehörde. Betroffene Personen werden gemäß Art. 34 DSGVO benachrichtigt, sofern ein hohes Risiko für ihre Rechte und Freiheiten besteht.
13. Kontakt
Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an: