Datenschutzerklärung für Atraxis

Stand: November 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Handcrafted Halloween Haunts e.K.
Am Schifferwall 2
21335 Lüneburg
Deutschland

Telefon: +49 176 30348899
E-Mail: info@handcrafted-halloween-haunts.com

---

2. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der geltenden gesetzlichen Datenschutzbestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO).

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Plattform Atraxis.

---

3. Zwecke der Datenverarbeitung

Atraxis ist eine Softwareplattform zur Verwaltung von Cast-Mitgliedern, Bewerbungen, Kostümen, Verfügbarkeiten und Einsatzplanungen.

Personenbezogene Daten werden insbesondere zu folgenden Zwecken verarbeitet:

• Bereitstellung der Plattform
• Verwaltung von Benutzerkonten
• Durchführung von Authentifizierungs- und Anmeldevorgängen
• Verwaltung von Bewerbungen
• Verwaltung von Cast-Mitgliedern
• Planung und Dokumentation von Einsätzen
• Verwaltung von Kostümen
• Ablage, Versionierung und Freigabe von Dokumenten (Atraxis Cloud)
• Kommunikation mit Benutzern
• Gewährleistung von Sicherheit und Nachvollziehbarkeit innerhalb der Plattform
• Erfüllung gesetzlicher Verpflichtungen

---

4. Benutzerkonten

Bei der Nutzung von Atraxis werden personenbezogene Daten verarbeitet, die für die Erstellung und Verwaltung von Benutzerkonten erforderlich sind.

Hierzu gehören insbesondere:

• Name
• E-Mail-Adresse
• Benutzerrolle
• Anmeldedaten
• Zeitpunkte von Anmeldungen und Aktivitäten

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vorvertraglicher Maßnahmen und zur Erfüllung des Nutzungsverhältnisses.

---

5. Bewerbungsmanagement

Soweit die Bewerbungsfunktion genutzt wird, können folgende Daten verarbeitet werden:

• Name
• Kontaktdaten (E-Mail-Adresse, Telefonnummer, ggf. Anschrift und Social-Media-Profil)
• Geburtsdatum
• Nachricht bzw. Bewerbungstext
• Fotos
• Größenangaben und weitere Freitextangaben zur Bewerbung
• Notizen und Bewertungen der Organisation
• Statusinformationen des Bewerbungsprozesses

Fotos werden bereits beim Auswählen im Bewerbungsformular in einen temporären Bereich hochgeladen, damit sie als Vorschau angezeigt werden können. Wird das Formular nicht abgeschickt, werden diese Fotos nach 24 Stunden automatisch gelöscht.

Die Verarbeitung erfolgt zur Durchführung des Bewerbungsverfahrens gemäß Art. 6 Abs. 1 lit. b DSGVO.

Sechs Monate nach Abschluss einer Bewerbung (Zusage, Absage, Rückzug oder Nichterscheinen) wird die Bewerbung automatisch anonymisiert: Name, Kontaktdaten, Geburtsdatum, Anschrift, Fotos, Freitexte und Notizen werden gelöscht. Erhalten bleiben nur statistische Angaben (Organisation, Veranstaltung, Saison, Status und Zeitpunkte).

---

6. Kontaktformular

Auf unserer Website können Sie uns über ein Kontaktformular eine Anfrage zu Atraxis schicken. Dabei werden folgende Daten verarbeitet:

• Name
• E-Mail-Adresse
• Event, Attraktion oder Unternehmen (freiwillig)
• Ihre Nachricht
• Zeitpunkt der Anfrage

Ihre Anfrage wird in unserer Datenbank (Supabase) gespeichert und zusätzlich per E-Mail über Resend an unser Postfach weitergeleitet. Zum Schutz vor Missbrauch wird Ihre IP-Adresse kurzzeitig für eine Begrenzung der Anzahl von Anfragen verwendet und nach spätestens zwei Tagen gelöscht.

Wir verwenden Ihre Angaben ausschließlich, um Ihre Anfrage zu bearbeiten und zu beantworten. Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO bzw. auf Grundlage unseres berechtigten Interesses an der Beantwortung von Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Kontaktanfragen werden 12 Monate nach Eingang automatisch gelöscht.

---

7. Cast-Mitglieder und Einsatzplanung

Im Rahmen der Verwaltung von Cast-Mitgliedern können insbesondere folgende Daten verarbeitet werden:

• Name
• Kontaktdaten
• Adresse
• Verfügbarkeiten
• Team- und Positionszuordnungen
• Einsatzhistorie
• Kommunikationsdaten

Die Verarbeitung erfolgt zur Organisation und Durchführung von Veranstaltungen sowie zur Verwaltung von Beschäftigungs- oder Vertragsverhältnissen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

Dokumente und Formulare: Organisationen können Personen mit Zugang zum Self-Service-Portal Formulare und Verträge zum Ausfüllen zuweisen (zum Beispiel Personalfragebögen, Einwilligungen oder Belehrungen). Welche Angaben ein Formular abfragt, legt die jeweilige Organisation fest; sie ist dafür verantwortlich (siehe Abschnitt 20). Gespeichert werden die ausgefüllten Felder, eine im Browser gezeichnete Unterschrift sowie, wer das Dokument wann zugewiesen, eingereicht, zur Korrektur zurückgegeben oder abgeschlossen hat. Einzelne Felder können beim Öffnen mit Ihren Stammdaten (zum Beispiel Name, Adresse, Geburtsdatum) vorausgefüllt werden; Ihr Profil wird dadurch nicht verändert. Die gezeichnete Unterschrift ist eine einfache elektronische Signatur; sie ersetzt keine gesetzlich vorgeschriebene Schriftform. Zugriff haben Sie selbst sowie die Personalverwaltung der Organisation (standardmäßig Inhaber, Administration und HR). Über eine neue Zuweisung oder eine Rückgabe zur Korrektur werden Sie per E-Mail benachrichtigt; die E-Mail enthält keine Formularinhalte. In der Historie der Organisation werden nur die Ereignisse protokolliert, nie Formularinhalte. Ausgefüllte Dokumente werden 5 Jahre nach Abschluss bzw. Einreichung gelöscht, nicht eingereichte Zuweisungen 5 Jahre nach der Zuweisung bzw. dem Zurückziehen.

---

8. Kostüm- und Make-up-Planung, gesundheitsbezogene Angaben

Zur Zuordnung passender Kostümteile erfassen wir Konfektions- und Größenangaben (z. B. Kleider-, Hosen- und Schuhgröße, Körpergröße). Diese Angaben lassen für sich genommen keine Rückschlüsse auf den Gesundheitszustand zu.

Darüber hinaus können gesundheitsbezogene Angaben erfasst werden. Dabei handelt es sich um besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO:

• Allergien (freiwillige Angabe; sie löst keine automatische Warnung aus)
• Latex- und Silikonallergie sowie weitere Hinweise für das Make-up
• Einschränkungen wie Klaustrophobie, Asthma, Kälteempfindlichkeit oder Unverträglichkeit von Stroboskoplicht sowie weitere Hinweise
• im Bewerbungsverfahren: Angaben zu einer Latexallergie

Diese Angaben dienen ausschließlich dem Schutz Ihrer Gesundheit bei Kostüm, Make-up und Einsatzplanung, zum Beispiel um keine unverträglichen Materialien zu verwenden oder Sie nicht in engen oder kalten Bereichen einzusetzen.

Zugriff auf diese Angaben haben Sie selbst sowie die Rollen, denen die jeweilige Organisation Zugriff auf diese Felder eingeräumt hat (z. B. Kostüm- und Make-up-Verantwortliche). Angaben zu Latex- und Silikonallergien werden mit den Materialangaben der Masken und Make-ups abgeglichen: Bevor Sie einer Rolle zugeordnet werden, deren Maske oder Make-up einen für Sie unverträglichen Stoff enthält, erscheint eine deutliche Warnung. Planerinnen und Planer ohne Zugriff auf die Allergiefelder erhalten dabei einen abgeleiteten Sicherheitshinweis auf Grundlage Ihrer Gesundheitsangabe: Sie sehen nur „Zuordnung erfordert Klärung“, weder die Allergie noch das Material noch die betroffene Maske bzw. das Make-up. Auch dieser Hinweis ist eine gesundheitsbezogene Angabe; ihn sehen nur Rollen mit der gesonderten Berechtigung „Sicherheitshinweis Make-up-Unverträglichkeit sehen“ (standardmäßig Administration, Planung und Make-up-Verantwortliche; die Organisation kann dies anpassen). Wird eine solche Zuordnung dennoch bewusst vorgenommen, wird dies mit einem festen Grund, der bestätigenden Person und dem Zeitpunkt protokolliert und nach 12 Monaten gelöscht. Die Bestätigung wird nur zusammen mit der Zuordnung selbst gespeichert. Außerdem speichern wir, wann Sie die Angaben zu Latex, Silikon, Einschränkungen und Brille zuletzt selbst im Self-Service gespeichert haben. Solange das nicht geschehen ist, werden diese Angaben als „nicht beantwortet“ angezeigt statt als „Nein“, und wir fragen bei Ihnen nach.

Für das Make-up-Team erscheinen Latex- und Silikonallergien in der Make-up-Planung, im Make-up-Bericht und im Schminkplan der Make-up-Artists als Arbeitshinweis („Nicht verwenden: Latex“ bzw. „Silikon“), nicht als Diagnose. In Exporte der Mitgliederliste werden gesundheitsbezogene Angaben nicht übernommen.

Bei der Maskenausgabe speichern wir, wer welche Maske an welchem Veranstaltungstag und in welcher Rolle erhalten hat, dass die Unterschrift auf dem Ausgabeformular vorliegt, wer die Maske ausgegeben und zurückgenommen hat (jeweils mit Zeitpunkt), welche Mängel bei der Rückgabe festgestellt wurden und wie diese bearbeitet wurden. Zweck ist der Nachweis über Verbleib und Zustand der Masken. Zugriff haben die Make-up-Verantwortlichen der Organisation; Make-up-Artists sehen für den jeweiligen Tag die auszugebenden Masken mit den Namen der eingeteilten Personen. Diese Angaben werden 5 Jahre nach der Rückgabe der Maske bzw. nach der Bearbeitung des Mangels gelöscht.

Wenn Sie als Make-up-Artist tätig sind, erfassen die Make-up-Verantwortlichen Ihrer Organisation Ihre Arbeitszeiten (Artist-Zeiten): an welchem Veranstaltungstag Sie wann ein- und ausgecheckt haben, wer die Zeiten erfasst oder geändert hat und ob sie bereits abgerechnet sind. Zweck ist die Abrechnung Ihrer Tätigkeit. Zugriff haben nur die Make-up-Verantwortlichen der Organisation; Änderungen werden im Verlauf protokolliert. Abgerechnete Zeiten lassen sich nicht mehr ändern. Die Zeiten werden zum Ende des Jahres nach der jeweiligen Saison gelöscht (Saison 2026: am 1. Januar 2028).

Gesundheitsbezogene Angaben werden nie an KI-Dienste übermittelt und vor jeder Übermittlung an unser Fehler-Monitoring entfernt.

Die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sowie die Frage, welche dieser Angaben verpflichtend oder freiwillig sind, legen wir derzeit gemeinsam mit unserer Datenschutzberatung fest. Diese Datenschutzerklärung wird anschließend entsprechend ergänzt. Sie können gesundheitsbezogene Angaben jederzeit berichtigen oder löschen lassen (siehe Abschnitt 18).

---

9. Historien- und Protokollierungsdaten

Zur Gewährleistung der Sicherheit, Nachvollziehbarkeit und Integrität der Plattform werden Änderungen an relevanten Datensätzen protokolliert.

Hierbei können insbesondere folgende Informationen gespeichert werden:

• Zeitpunkt der Änderung
• Art der Änderung
• betroffener Datensatz
• ausführender Benutzer

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO.

---

10. Dokumentenablage (Atraxis Cloud)

Organisationen können in der Atraxis Cloud Dateien ablegen, in Ordnern verwalten und mit Veranstaltungen, Attraktionen oder Spieltagen verknüpfen. Dateien werden entweder von Benutzern hochgeladen oder von Atraxis automatisch erzeugt und abgelegt, zum Beispiel der Einsatzplan einer Attraktion als PDF nach dessen Veröffentlichung. Solche Dokumente enthalten die Namen der eingeteilten Personen und ihre Rollen.

Zu jeder Datei speichern wir neben dem Inhalt den Dateinamen, Dateityp und Größe, alle früheren Versionen, den Zeitpunkt jeder Version, die Person, die sie hochgeladen bzw. die automatische Ablage ausgelöst hat, sowie die Verknüpfungen. Welche weiteren personenbezogenen Daten eine Datei enthält, bestimmt die jeweilige Organisation (siehe Abschnitt 21).

Zugriff haben nur angemeldete Personen der Organisation, deren Rolle die Cloud freigegeben ist. Ordner können zusätzlich so geschützt werden, dass sie mit allen Unterordnern und Dateien nur für bestimmte Rollen sichtbar sind, zum Beispiel nur für die Personalverwaltung. Beim Hochladen prüfen wir automatisch Dateityp und Größe; eine inhaltliche Auswertung der Dateien oder eine Übermittlung an KI-Dienste findet nicht statt. Automatisch erzeugte Dokumente entstehen innerhalb unserer Anwendung mit den Zugriffsrechten der auslösenden Person; dabei wird kein weiterer Dienstleister eingesetzt.

Die Dateien werden bei Supabase in Frankfurt am Main gespeichert (siehe Abschnitt 12) und nur über kurzlebige, signierte Links ausgeliefert.

Freigabelinks: Berechtigte Personen einer Organisation können einzelne Dateien oder Ordner über einen Link an Dritte weitergeben. Jeder Link läuft nach höchstens 90 Tagen ab, kann jederzeit widerrufen und optional mit einem Passwort geschützt werden; Inhalte, die nur für die Personalverwaltung freigegeben sind, können nicht per Link geteilt werden. Wir speichern zu einem Link nur einen nicht umkehrbaren Prüfwert des Links und gegebenenfalls des Passworts, das Ablaufdatum, die erstellende Person und die Anzahl sowie den Zeitpunkt des letzten Aufrufs, aber keine IP-Adressen oder Gerätedaten der Aufrufenden. Zum Schutz vor dem Ausprobieren von Passwörtern wird bei jeder Passworteingabe die IP-Adresse gespeichert und spätestens nach zwei Tagen gelöscht. Nach richtiger Passworteingabe wird ein Cookie gesetzt (siehe Abschnitt 14). Die Freigabeseiten werden nicht von Suchmaschinen erfasst.

Die Verarbeitung erfolgt zur Durchführung des Nutzungsverhältnisses auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit Dateien personenbezogene Daten Dritter enthalten, im Auftrag der jeweiligen Organisation. Die Speicherung der IP-Adresse bei Passworteingaben erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit der Freigaben gemäß Art. 6 Abs. 1 lit. f DSGVO.

Dateien bleiben einschließlich aller früheren Versionen gespeichert, bis die Organisation sie löscht. Gelöschte Ordner und Dateien liegen 30 Tage im Papierkorb der Cloud und werden danach mit allen Versionen endgültig gelöscht.

---

11. Hosting durch Vercel

Die Plattform wird über Vercel bereitgestellt.

Die serverseitige Verarbeitung der Anwendung findet in einem Rechenzentrum in Frankfurt am Main, Deutschland, statt.

Im Rahmen der Nutzung können technische Zugriffsdaten verarbeitet werden, insbesondere:

• IP-Adresse
• Browserinformationen
• Gerätedaten
• Server-Logdaten

Fehler werden in den Server-Logdaten nur mit technischen Angaben protokolliert (betroffene Funktion, Fehlerart, interne Kennungen von Organisation und Datensatz sowie Programmstelle). Fehlermeldungen, Formularinhalte, Namen, E-Mail-Adressen oder Gesundheitsangaben werden vor der Protokollierung entfernt. Zugriff auf die Server-Logdaten haben ausschließlich die technischen Administratoren der Plattform; die Logdaten werden von Vercel automatisch nach Ablauf der vertraglich vorgesehenen Vorhaltedauer gelöscht.

Mit Vercel (Vercel Inc., USA) wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

Soweit personenbezogene Daten außerhalb der Europäischen Union verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der Europäischen Kommission.

Vercel lässt seine Sicherheitsmaßnahmen regelmäßig durch unabhängige Prüfungen nach SOC 2 Type 2 bestätigen. Die von Vercel genutzten Rechenzentrumsbetreiber sind unter anderem nach ISO 27001 zertifiziert.

---

12. Datenbank und Authentifizierung durch Supabase

Für Datenbankbetrieb, Authentifizierung und technische Backend-Dienste nutzen wir Supabase.

Die Daten werden in einem Rechenzentrum in Frankfurt am Main, Deutschland, gespeichert.

Mit Supabase (Supabase Pte. Ltd., Singapur) wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Soweit personenbezogene Daten außerhalb der Europäischen Union verarbeitet werden, etwa im Rahmen von Support-Zugriffen, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

Die Datenübertragung erfolgt verschlüsselt. Gespeicherte Daten werden durch technische und organisatorische Maßnahmen vor unbefugtem Zugriff geschützt.

Von der Datenbank wird täglich eine Sicherungskopie erstellt, die sieben Tage aufbewahrt wird. Hochgeladene Dateien (z. B. Fotos) sind in diesen Sicherungskopien nicht enthalten; gelöschte Dateien können daher nicht wiederhergestellt werden.

---

13. Fehler-Monitoring durch Sentry

Zur Erkennung, Analyse und Behebung technischer Fehler setzen wir Sentry ein. Eine Leistungs- oder Nutzungsanalyse findet nicht statt.

Im Rahmen des Monitorings können insbesondere folgende Daten verarbeitet werden:

• Browser- und Gerätedaten
• Fehlerart, interne Fehlercodes und Stacktraces
• technische Kontextdaten zur aufgerufenen Seite bzw. Anfrage (ohne Suchparameter)
• interne Kennungen der betroffenen Organisation und Datensätze

Bevor ein Fehlerbericht unsere Anwendung verlässt, werden Anmeldedaten, Cookies und Formularinhalte entfernt. Der Text von Fehlermeldungen wird nicht übermittelt, außer es handelt sich um feste, technische Standardmeldungen ohne Inhaltsdaten; Kontaktdaten, gesundheitsbezogene Angaben und Freitexte gelangen so nicht in Fehlerberichte. Sentry filtert zusätzlich auf seinen Servern sensible Werte heraus. IP-Adressen werden nicht gespeichert.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Fehlerbehebung und einem sicheren Betrieb der Plattform gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die Daten werden innerhalb der Europäischen Union verarbeitet und gespeichert (Sentry EU Data Residency). Mit Sentry (Functional Software, Inc., USA) wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Soweit dennoch Daten in die USA übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework sowie der Standardvertragsklauseln der Europäischen Kommission.

---

14. Cookies und Browser-Speicher

Atraxis verwendet keine Tracking-, Analyse- oder Werbe-Cookies. Alle hier genannten Einträge werden ausschließlich von Atraxis selbst gesetzt und gelesen und nicht an Dritte übermittelt.

Cookies

Browser-Speicher

Die Anmelde-Cookies sind für die Nutzung von Atraxis unbedingt erforderlich; ohne sie ist eine Anmeldung nicht möglich. Dasselbe gilt für das Cookie eines passwortgeschützten Freigabelinks: Ohne es müsste das Passwort bei jedem Aufruf erneut eingegeben werden. Die übrigen Einträge speichern ausschließlich Einstellungen und Auswahlen, die Sie selbst vorgenommen haben, damit sie beim nächsten Aufruf erhalten bleiben. Ohne sie ist Atraxis ebenfalls nutzbar; die Auswahl muss dann jeweils neu getroffen werden.

Rechtsgrundlage für das Speichern und Auslesen dieser Einträge ist § 25 Abs. 2 Nr. 2 TDDDG, da sie für die von Ihnen ausdrücklich gewünschte Funktion - die Anmeldung bzw. das Beibehalten Ihrer Einstellungen - erforderlich sind. Die damit verbundene Verarbeitung personenbezogener Daten erfolgt für die Anmeldung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und für die Einstellungen auf Grundlage unseres berechtigten Interesses an einer nutzerfreundlichen Bedienung gemäß Art. 6 Abs. 1 lit. f DSGVO. Sie können alle Einträge jederzeit über die Einstellungen Ihres Browsers löschen.

---

15. Versand von E-Mails

Für den Versand von E-Mails nutzen wir Resend.

Dabei können insbesondere folgende Daten verarbeitet werden:

• Name
• E-Mail-Adresse
• Inhalt versendeter Nachrichten

Die Verarbeitung erfolgt ausschließlich zum Versand systemrelevanter E-Mails, Benachrichtigungen und Einladungen sowie zur Weiterleitung von Kontaktanfragen an unser Postfach.

Mit Resend (Plus Five Five, Inc., USA) wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

Resend ist ein Unternehmen mit Sitz in den Vereinigten Staaten. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework, nach dem Resend zertifiziert ist, sowie der Standardvertragsklauseln der Europäischen Kommission.

---

16. KI-Dienst von OpenAI

Für das Formulieren von Erinnerungs-Mails an Cast-Mitglieder mit unvollständigen Profilangaben nutzen wir einen KI-Dienst von OpenAI.

An OpenAI übermittelt werden ausschließlich die Bezeichnungen der fehlenden Profilfelder (z. B. „Schuhgröße“) und die Nummer der Erinnerung. Namen, Kontaktdaten, Profilinhalte und gesundheitsbezogene Angaben werden nicht übermittelt; der Name wird erst nach der Formulierung in unserer Anwendung eingesetzt. Fehlen nur gesundheitsbezogene Angaben, wird kein KI-Dienst genutzt.

Außerdem kann das Makeup-Team beim Anlegen von Verbrauchsmaterial bis zu vier Fotos des Produkts oder seines Barcodes aufnehmen; der KI-Dienst schlägt daraus Produktangaben wie Name, Marke und Gebinde vor. Übermittelt werden nur diese Fotos. Sie werden vorher verkleinert und von allen Metadaten (zum Beispiel Standort und Gerät) befreit und weder bei uns noch in unserem OpenAI-Konto gespeichert. Die Funktion ist für Produktfotos gedacht; die Nutzer werden gebeten, nur das Produkt zu fotografieren. Ist ein Barcode lesbar, fragen wir zusätzlich die freie Produktdatenbank Open Beauty Facts ab; dabei wird nur die Barcode-Nummer übermittelt, keine personenbezogenen Daten.

Auf Knopfdruck („Im Internet suchen“) kann der KI-Dienst zu einem Material außerdem live im Internet nach der Herstellerseite und nach Shop-Angeboten suchen. Übermittelt werden dabei nur Marke, Produktname und Gebinde des Materials sowie das Land „Deutschland“ für passende Ergebnisse – kein Foto und keine personenbezogenen Daten. Die gefundenen Links und Preise werden nur angezeigt; gespeichert wird lediglich ein Link, den die Person ausdrücklich übernimmt.

Vertragspartner ist OpenAI Ireland Ltd.; mit OpenAI wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Die Verarbeitung kann auch in den USA stattfinden; die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Die Anfragen werden nicht in unserem OpenAI-Konto gespeichert und nicht zum Training von KI-Modellen verwendet. OpenAI kann Anfragen zur Missbrauchserkennung bis zu 30 Tage aufbewahren.

Für die Abrechnung und Kostenkontrolle zählen wir je Organisation, wie oft welche KI-Funktion genutzt wurde und wie viele Tokens und Websuchen dabei angefallen sind. Gespeichert werden nur diese Zahlen mit Organisation, Funktion, Modell und Zeitpunkt – weder Inhalte noch die Person, die die Funktion genutzt hat. Die Einträge werden nach 24 Monaten automatisch gelöscht.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einer effizienten Kommunikation und Materialverwaltung gemäß Art. 6 Abs. 1 lit. f DSGVO.

---

17. Speicherdauer

Personenbezogene Daten werden nur solange gespeichert, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Nach Wegfall des jeweiligen Zwecks werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Im Einzelnen gelten insbesondere folgende Aufbewahrungsfristen:

Die Fristen werden durch einen täglichen automatischen Löschlauf umgesetzt.

---

18. Rechte der betroffenen Personen

Betroffene Personen haben im Rahmen der gesetzlichen Vorschriften insbesondere folgende Rechte:

• Auskunft gemäß Art. 15 DSGVO
• Berichtigung gemäß Art. 16 DSGVO
• Löschung gemäß Art. 17 DSGVO
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruch gemäß Art. 21 DSGVO
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

---

19. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung ihrer personenbezogenen Daten zu beschweren.

Zuständige Aufsichtsbehörde für unser Unternehmen ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Deutschland

---

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund technischer, rechtlicher oder organisatorischer Änderungen erforderlich wird.

Die jeweils aktuelle Fassung ist innerhalb der Plattform abrufbar.

---

21. Verantwortlichkeiten der Organisationen

Atraxis wird von Organisationen wie Freizeitparks, Veranstaltern, Museen oder anderen Einrichtungen zur Verwaltung ihrer Bewerber, Mitarbeiter, Cast-Mitglieder und Einsatzplanungen genutzt.

Die jeweilige Organisation ist grundsätzlich für die Rechtmäßigkeit der von ihr in Atraxis erfassten und verarbeiteten personenbezogenen Daten verantwortlich.

Soweit Atraxis personenbezogene Daten im Auftrag einer Organisation verarbeitet, erfolgt dies ausschließlich auf Grundlage eines Vertrages zur Auftragsverarbeitung gemäß Art. 28 DSGVO und nach Weisung der jeweiligen Organisation.

Betroffene Personen können sich sowohl an die jeweilige Organisation als auch an uns wenden. Soweit wir personenbezogene Daten ausschließlich im Auftrag einer Organisation verarbeiten, werden wir entsprechende Anfragen an die verantwortliche Organisation weiterleiten.