Datenschutzerklärung

Der Schutz Ihrer persönlichen Daten ist uns ein wichtiges Anliegen. Nachfolgend informieren wir Sie gemäß Datenschutz-Grundverordnung (DSGVO) und österreichischem Datenschutzgesetz (DSG) darüber, welche Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage.

1. Verantwortlicher

Markus Binder Hausleitnerweg 9 4550 Kremsmünster Österreich

E-Mail: info@spottly.at

Für alle Fragen zum Datenschutz sowie zur Ausübung Ihrer Rechte wenden Sie sich bitte an diese Adresse. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Was Spottly ist und wer welche Daten verarbeitet

Spottly ist eine Plattform, über die Gastgeber Räumlichkeiten für Veranstaltungen anbieten und Gäste diese buchen können. Der Nutzungsvertrag über eine Räumlichkeit kommt unmittelbar zwischen Gastgeber und Gast zustande.

Das bedeutet für Ihre Daten: Wenn Sie eine Buchung tätigen, geben wir bestimmte Daten an den jeweiligen Gastgeber weiter, damit dieser den Vertrag erfüllen kann. Der Gastgeber ist für die Verarbeitung dieser Daten eigenständig verantwortlich.

3. Aufruf der Website

Beim Aufruf unserer Website werden durch unseren Hosting-Dienstleister automatisch Server-Logdaten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite.

Zweck: Bereitstellung und Stabilität der Website, Erkennung und Abwehr von Angriffen Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb) Speicherdauer: Diese Daten werden nach spätestens 30 Tagen gelöscht.

4. Benutzerkonto

Für die Nutzung von Spottly ist ein Konto erforderlich. Dabei verarbeiten wir:

• E-Mail-Adresse und Passwort (verschlüsselt gespeichert)
• Ihren Namen (den Sie bei der Registrierung oder in den Kontoeinstellungen angeben)
• optional Ihre Telefonnummer, wenn Sie diese in den Kontoeinstellungen hinterlegen
• Zeitpunkt der Registrierung sowie den Zeitpunkt der letzten erfolgreichen Anmeldung (technisch über unseren Anmeldeanbieter)

Ein Profilbild erheben wir nicht.

Zweck: Bereitstellung des Kontos, Authentifizierung, Kommunikation und – nach bestätigter Buchung – Kontaktaufnahme zwischen Gast und Gastgeber Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) Speicherdauer: Bis zur Löschung des Kontos, danach unter Beachtung gesetzlicher Aufbewahrungsfristen

Bei der Registrierung und bei Buchungen stimmen Sie unseren Allgemeinen Geschäftsbedingungen und dieser Datenschutzerklärung zu. Wir protokollieren diese Zustimmung mit Zeitstempel, der jeweils gültigen Textversion sowie IP-Adresse und Browserkennung, um sie im Streitfall nachweisen zu können. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Nachweispflicht nach Art. 7 Abs. 1 DSGVO.

5. Inserate von Gastgebern

Wenn Sie als Gastgeber eine Location einstellen, verarbeiten wir zusätzlich:

• Bezeichnung, Beschreibung und Fotos der Räumlichkeit
• Adresse der Räumlichkeit sowie die daraus ermittelten Geokoordinaten
• Preise, Kapazität, Ausstattungsmerkmale und Verfügbarkeitszeiten
• Ihren gewählten Anzeigenamen sowie – sofern abgeschlossen – den Hinweis, dass Ihre Identität geprüft wurde

Wichtiger Hinweis zur Adresse: Die genaue Adresse Ihrer Location wird öffentlich nicht angezeigt. Auf der Karte erscheint lediglich ein ungefährer Bereich. Klarname und Telefon von Gast und Gastgeber werden nach bestätigter, bezahlter Buchung freigeschaltet. Die vollständige Adresse erhält der Gast erst später: sobald eine volle Rückerstattung nach den Stornobedingungen nicht mehr möglich ist (derzeit in der Regel 14 Tage vor dem Veranstaltungstermin).

Zweck: Darstellung des Angebots, Auffindbarkeit über Suche und Karte, Erfüllung der Buchung Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Speicherdauer: Bis zur Löschung des Inserats; Angaben, die für bestehende Buchungen oder gesetzliche Aufbewahrung nötig sind, bleiben entsprechend länger erhalten

6. Buchungen und Zahlungsabwicklung

Bei einer Buchung verarbeiten wir Buchungszeitraum, gebuchte Location, Personenanzahl, Gesamtbetrag, Servicegebühr und Zahlungsstatus.

Weitergabe an den Gastgeber: Name, E-Mail-Adresse, Buchungszeitraum und Personenanzahl des Gastes sowie – nach bestätigter, bezahlter Buchung – hinterlegte Kontaktdaten (Klarname, Telefon) werden an den Gastgeber übermittelt, damit dieser die Buchung erfüllen kann.

Weitergabe an den Gast: Name und Kontaktdaten des Gastgebers werden nach bestätigter, bezahlter Buchung freigeschaltet. Die vollständige Adresse der Location folgt erst, wenn volle Rückerstattung nicht mehr möglich ist (siehe Abschnitt 5).

Zahlungsabwicklung durch Stripe: Zahlungen werden ausschließlich über Stripe abgewickelt. Kreditkartennummern und vergleichbare Zahlungsdaten werden direkt an Stripe übermittelt und sind uns zu keinem Zeitpunkt zugänglich. Von Stripe erhalten wir Statusinformationen zur Zahlung sowie technische Kennungen und Betragsangaben, die wir zur Buchungsabwicklung, Stornierung und Auszahlung speichern (zum Beispiel, ob und in welcher Höhe abgebucht wurde und ob eine Auszahlung erfolgt ist).

Anbieter ist Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage hierfür sind Standardvertragsklauseln der Europäischen Kommission sowie die Zertifizierung von Stripe unter dem EU-US Data Privacy Framework. Datenschutzerklärung: stripe.com/at/privacy

Zweck: Abwicklung der Buchung und der Zahlung Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Speicherdauer: Buchungs- und Zahlungsdaten werden gemäß § 132 Bundesabgabenordnung sieben Jahre aufbewahrt.

7. Auszahlungen an Gastgeber und Identitätsprüfung

Für die Auszahlung von Buchungserlösen nutzen wir Stripe Connect. Gastgeber durchlaufen dabei eine von Stripe durchgeführte Prüfung, in deren Rahmen Stripe unter anderem Name, Geburtsdatum, Adresse, Bankverbindung und gegebenenfalls ein Ausweisdokument erhebt.

Diese Daten werden direkt an Stripe übermittelt. Wir erhalten lediglich den Status der Prüfung, nicht die zugrunde liegenden Dokumente.

Zweck: Auszahlung von Erlösen, Erfüllung geldwäscherechtlicher Pflichten von Stripe Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO

8. Meldepflicht gegenüber der Finanzverwaltung

Als Betreiber einer digitalen Plattform sind wir nach dem Digitale Plattformen-Meldepflichtgesetz (DPMG) verpflichtet, Informationen über Gastgeber, die über Spottly Einnahmen erzielen, an das Finanzamt zu melden.

Soweit uns die erforderlichen Angaben vorliegen, umfasst die Meldung insbesondere Name, Anschrift der angebotenen Räumlichkeiten, Höhe und Anzahl der Vergütungen. Angaben wie Wohnadresse des Gastgebers, Steueridentifikationsnummer, Geburtsdatum und Bankverbindung erheben wir derzeit nicht selbst; sie können im Rahmen der Auszahlungsprüfung bei Stripe vorliegen. Soweit das Gesetz diese Daten verlangt und wir sie nicht vorhalten, holen wir sie nach oder beziehen sie – soweit zulässig – über Stripe nach.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem DPMG Speicherdauer: Die gesetzlich vorgeschriebene Frist von zehn Jahren

Diese Meldepflicht betrifft ausschließlich Gastgeber, nicht Gäste.

9. Nachrichtenfunktion

Über Spottly können Gäste und Gastgeber Nachrichten austauschen. Diese werden auf unseren Systemen gespeichert.

Zum Schutz beider Seiten filtern wir Nachrichten automatisiert auf Kontaktdaten wie Telefonnummern und E-Mail-Adressen. Nachrichten, die solche Daten enthalten, werden nicht zugestellt. Dies dient der Verhinderung von Betrug und der Absicherung der Zahlungsabwicklung. Es findet keine inhaltliche Auswertung und keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO Speicherdauer: Bis zur Löschung des Kontos, bei buchungsbezogenen Nachrichten bis zum Ablauf möglicher Gewährleistungsfristen

10. Bewertungen

Nach einer abgeschlossenen Buchung können Gäste Bewertungen abgeben. Öffentlich angezeigt werden Sternebewertung, optionaler Kommentar und das Datum – ohne Namensnennung und ohne Profilbild.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Speicherdauer: Bewertungen bleiben auch nach Löschung des Kontos in anonymisierter Form bestehen, da sie Teil der öffentlichen Reputation des Gastgebers sind.

11. Melden und Blockieren

Melden: Angemeldete Nutzer können Inserate, Profile, Bewertungen oder Nachrichten melden. Dabei speichern wir, wer gemeldet hat, was gemeldet wurde, den angegebenen Grund und optionale Erläuterungen sowie den Bearbeitungsstand. Diese Meldungen sehen nur wir (die Plattformverwaltung), nicht die gemeldete Person und nicht andere Nutzer. Wir nutzen sie zur Prüfung und – soweit nötig – zur Entfernung rechtswidriger oder regelwidriger Inhalte. Eingangs- und Ergebnisinformationen können wir dem Melder per E-Mail bestätigen.

Blockieren: Sie können andere Nutzer blockieren. Dann speichern wir die Blockierung zwischen Ihrem Konto und dem blockierten Konto, damit Nachrichten und sichtbare Interaktionen unterdrückt werden. Die blockierte Person erfährt nicht, dass Sie sie blockiert haben. Sie können die Blockierung jederzeit in den Kontoeinstellungen aufheben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung und berechtigtes Interesse an einem sicheren Plattformbetrieb) Speicherdauer: Blockierungen bleiben, bis Sie sie aufheben oder eines der beiden Konten gelöscht wird. Meldungen behalten wir für die Nachvollziehbarkeit unserer Prüfung und zur Erfüllung gesetzlicher Pflichten (insbesondere zur Behandlung von Hinweisen auf rechtswidrige Inhalte); sie werden nicht automatisch mit der Kontolöschung entfernt, soweit sie für diese Zwecke noch erforderlich sind.

12. Kartendarstellung (Mapbox)

Für die Anzeige von Karten nutzen wir Mapbox. Anbieter ist Mapbox, Inc., 1136 Sherman Avenue, Suite 200, Evanston, IL 60202, USA.

Die Karte wird nicht automatisch geladen. Sie sehen zunächst einen Platzhalter und entscheiden selbst, ob Sie die Karte aktivieren möchten. Erst mit Ihrem Klick wird eine Verbindung zu Servern von Mapbox hergestellt und dabei Ihre IP-Adresse in die USA übertragen. Die Telemetriefunktion von Mapbox ist deaktiviert.

Ihre Entscheidung wird lokal in Ihrem Browser gespeichert, damit Sie nicht bei jedem Besuch erneut klicken müssen. Sie können diese Einwilligung jederzeit widerrufen, indem Sie die lokalen Daten Ihres Browsers für diese Website löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), für die Übermittlung in die USA Art. 49 Abs. 1 lit. a DSGVO Datenschutzerklärung von Mapbox: www.mapbox.com/legal/privacy

13. Adressumwandlung (Geocoding)

Wenn Sie eine Location einstellen oder in der Suche einen Ort bzw. eine Postleitzahl eingeben, wandeln wir diese Angaben auf unseren Servern in ungefähre Koordinaten um. Dabei werden keine Standort- oder Geräteinformationen Ihres Endgeräts an den Geocoding-Dienst übermittelt – nur der von Ihnen eingegebene Ortstext bzw. die Adresse der Location.

Vorrangig nutzen wir dafür den Geocoding-Dienst von Mapbox (Anbieter siehe Abschnitt 12). Ist dieser Dienst nicht verfügbar, nutzen wir als Ausweichlösung Nominatim. Betreiber ist die OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Datenschutzerklärung: wiki.osmfoundation.org/wiki/Privacy_Policy

Zweck: Auffindbarkeit von Locations, Darstellung auf der Karte, Umkreissuche Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); soweit eine Übermittlung in Drittländer erfolgt, zusätzlich die jeweils einschlägigen Garantien bzw. Ausnahmen der DSGVO

14. Standortabfrage für die Umkreissuche

Wenn Sie in der Suche ausdrücklich „Meinen Standort verwenden“ wählen, fragt Ihr Gerät bzw. Browser den aktuellen Standort ab. Wir fordern dabei keine besonders hohe Genauigkeit an; dennoch erhalten wir in der Regel genaue Koordinaten (Breiten- und Längengrad), nicht nur eine grobe Stadt- oder Regionsangabe.

Diese Koordinaten werden an unsere Server übertragen, damit wir passende Locations in Ihrer Nähe anzeigen können. Sie werden nicht dauerhaft Ihrem Konto zugeordnet und nicht als Profilstandort gespeichert. Sie dienen nur der jeweiligen Suche. In technischen Serverprotokollen können Zugriffe kurzzeitig mit den Suchparametern erscheinen und werden wie übrige Logdaten gelöscht (siehe Abschnitt 3).

Die Abfrage erfolgt nur nach Ihrer Aktion und – soweit das Betriebssystem das verlangt – nach Ihrer Freigabe. Sie können die Standortberechtigung jederzeit in den Einstellungen Ihres Geräts oder Browsers widerrufen und stattdessen Postleitzahl oder Ort eingeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die ausdrückliche Aktion bzw. Systemfreigabe)

15. Push-Benachrichtigungen (App)

In der mobilen App können wir – sofern diese Funktion freigeschaltet ist und Sie zustimmen – Push-Benachrichtigungen zu Buchungen, Nachrichten und wichtigen Systemhinweisen senden.

Dazu speichern wir einen Geräte-Token Ihres Geräts. Die Zustellung übernehmen:

• auf Android: Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC)
• auf iOS: der Apple Push Notification service (Apple Inc.)

An diese Dienste werden die für die Zustellung erforderlichen Kennungen (insbesondere der Push-Token) übermittelt. Eine Nutzung zu Werbezwecken durch uns findet nicht statt.

Sie können Push-Benachrichtigungen jederzeit in den Einstellungen Ihres Geräts oder der App deaktivieren. Bei Kontolöschung entfernen wir gespeicherte Geräte-Tokens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) Speicherdauer: Bis zum Widerruf, Gerätewechsel oder zur Kontolöschung

16. E-Mail-Versand

Für den Versand von Bestätigungen, Benachrichtigungen und Systemnachrichten nutzen wir Resend. Anbieter ist Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Grundlage der Übermittlung sind Standardvertragsklauseln der Europäischen Kommission.

Übermittelt werden Ihre E-Mail-Adresse, Ihr Name sowie der Inhalt der jeweiligen Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

17. Datenbank und Speicherung

Ihre Daten werden bei Supabase gespeichert. Anbieter ist Supabase, Inc., 970 Toa Payoh North, Singapur. Die für Spottly genutzten Server befinden sich innerhalb der Europäischen Union. Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Der Betrieb der Website erfolgt über Vercel. Anbieter ist Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Auch mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln.

Vercel und Supabase setzen ihrerseits Unterauftragsverarbeiter ein, insbesondere Amazon Web Services, Microsoft Azure und Google Cloud, auf deren Infrastruktur die Dienste betrieben werden. Die jeweils aktuelle Liste der Unterauftragsverarbeiter kann bei den genannten Anbietern eingesehen werden. Mit allen eingesetzten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

18. Cookies und lokale Speicherung

Wir setzen keine Cookies zu Werbe-, Analyse- oder Tracking-Zwecken ein. Es findet keine Webanalyse statt, und es sind keine Werbe- oder Social-Media-Pixel eingebunden.

Technisch notwendig speichern wir:

• Ihre Anmeldesitzung in Cookies Ihres Browsers, damit Sie eingeloggt bleiben
• Ihre Entscheidung zur Kartendarstellung im lokalen Speicher Ihres Browsers

Diese Speicherung ist für die Nutzung der Plattform erforderlich und bedarf nach § 165 Abs. 3 TKG 2021 keiner gesonderten Einwilligung.

19. Nutzung der mobilen App

Bei der Nutzung unserer App für Android und iOS gelten dieselben Angaben wie für die Website, da die App die Inhalte von spottly.at anzeigt.

Zusätzlich kann die App auf Kamera und Fotomediathek Ihres Geräts zugreifen, wenn Sie Fotos zu einer Location hochladen möchten. Der Zugriff erfolgt ausschließlich nach ausdrücklicher Freigabe durch Sie und nur für den jeweiligen Vorgang. Sie können die Berechtigung jederzeit in den Einstellungen Ihres Geräts widerrufen.

Zur Standortabfrage und zu Push-Benachrichtigungen siehe Abschnitte 14 und 15.

20. Ihre Rechte

Ihnen stehen folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an info@spottly.at. Wir antworten innerhalb eines Monats.

Sie können Ihr Konto jederzeit selbst in den Kontoeinstellungen löschen (Bereich „Konto löschen“, Passwortbestätigung). Details und Ausnahmen bei offenen Buchungen: /konto-loeschen. Buchungs- und Zahlungsdaten bleiben für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert und werden für die weitere Nutzung gesperrt. Bewertungen bleiben anonymisiert erhalten. Zustimmungsnachweise bleiben gemäß Art. 7 Abs. 1 DSGVO erhalten.

21. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich bei der Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at www.dsb.gv.at

22. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über TLS. Passwörter werden nicht im Klartext gespeichert. Der Zugriff auf Daten ist durch Zugriffsregeln auf Datenbankebene beschränkt, sodass Nutzer jeweils nur die sie betreffenden Daten abrufen können.

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Funktionen der Plattform oder die rechtlichen Vorgaben ändern. Es gilt jeweils die auf dieser Seite abrufbare Fassung.

Stand: August 2026