Datenschutzerklärung

Diese Erklärung gilt für die Website von pinn und – in Abschnitt 5 – für die Anwendung pinn. Für die Daten der Gäste eines Events gelten zusätzlich die Datenschutzhinweise, die im jeweiligen Event angezeigt werden.

1. Verantwortlicher

Irgendwas mit Medien GmbH
Rüttenscheider Str. 14
45128 Essen

Vertreten durch die Geschäftsführer Christian Boenisch und Jan Weiner
E-Mail: irgendwas@imm.one

2. Keine Cookies, kein Tracking

Die Website setzt keine Cookies, verwendet keine Analyse- oder Trackingdienste und bindet keine Inhalte von Drittanbietern ein. Schriften und Grafiken werden ausschließlich von unserem eigenen Server geladen.

3. Hosting und Server-Logdateien

Website und Anwendung laufen auf Servern der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in einem Rechenzentrum in der EU; Objektspeicher und Backups liegen in Deutschland. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf verarbeitet der Server technisch notwendige Daten: gekürzte IP-Adresse (bei IPv4 bleiben nur die ersten zwei Blöcke erhalten, bei IPv6 nur die ersten 32 Bit), Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung (User-Agent). Persönliche Links werden darin unkenntlich gemacht. Zweck ist der sichere und stabile Betrieb, Rechtsgrundlage unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Logdateien werden nach spätestens sieben Tagen automatisch gelöscht.

4. Kontakt per E-Mail

Wenn Sie uns per E-Mail schreiben – auch an unseren Support (support@getpinn.de) –, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir löschen die Daten, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Anwendung pinn

Wer verantwortlich ist

Für die Daten der Gäste eines Events ist der jeweilige Veranstalter (unser Kunde) Verantwortlicher. Die Irgendwas mit Medien GmbH verarbeitet sie in seinem Auftrag (Art. 28 DSGVO). Es gelten die Datenschutzhinweise, die im jeweiligen Event angezeigt werden.

Selbst verantwortlich ist die Irgendwas mit Medien GmbH für die Konten der Veranstalter sowie für Betrieb und Sicherheit der Anwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden) und lit. f DSGVO (sicherer Betrieb).

Registrierung als Veranstalter

Wer sich als Veranstalter registriert, gibt Organisation, Name und E-Mail-Adresse an und bestätigt unsere Nutzungsbedingungen; gespeichert werden dazu deren Version und der Zeitpunkt. Zum Schutz vor Missbrauch zählt der Server kurzzeitig im Arbeitsspeicher, wie oft von einer IP-Adresse bzw. für eine E-Mail-Adresse eine Registrierung angefordert wurde; diese Zählung wird nicht gespeichert und verfällt nach einer Stunde.

Konten der Veranstalter

Gespeichert werden Name, E-Mail-Adresse, Rolle und Organisation. Das Passwort liegt nur als Hash vor, das Zwei-Faktor-Geheimnis verschlüsselt; bei Passkeys wird nur der öffentliche Schlüssel gespeichert. Die Daten bleiben gespeichert, bis das Konto gelöscht wird bzw. bis zum Vertragsende.

Anmeldung und Cookies

Für die Anmeldung setzt die Anwendung ein technisch notwendiges Sitzungs-Cookie (§ 25 Abs. 2 Nr. 2 TDDDG). Zur Sitzung werden eine gekürzte IP-Adresse und die Browserkennung gespeichert. Eine Sitzung gilt höchstens 12 Stunden; abgelaufene Sitzungen werden gelöscht.

Für Gäste setzt die Anwendung technisch notwendige Cookies, die den persönlichen Guide-Link auf dem Gerät merken. Ein Gerät, das als Check-in-Station dient, erhält nach Eingabe der PIN ein eigenes Geräte-Cookie.

Zugriffsprotokolle

Zur Nachweisbarkeit wird protokolliert, wer wann welche Personendaten angesehen, geändert oder exportiert hat – ohne IP-Adresse.

Profilfotos und Check-in

Ein Profilfoto ist bei der Registrierung freiwillig. Es dient nur der Anzeige am Check-in. Eine Gesichtserkennung findet nicht statt. Der QR-Code auf dem Badge enthält nur eine zufällige Kennung, keine Personendaten.

Nach dem Scan eines Badges sieht die Check-in-Station nur Vor- und Nachname sowie das Profilfoto. Ohne Netzverbindung speichert die Station vorübergehend nur die zufällige Badge-Kennung, Check-in oder Check-out und den Zeitpunkt im Browser (IndexedDB), bis zum Abgleich mit dem Server; danach werden diese Einträge gelöscht.

Für den Abschlussreport fasst pinn die Daten eines Events zu Summen zusammen (z. B. Anmeldungen, Check-ins pro Stunde und Ticket-Kategorie, Länder). Der Report enthält keine Namen oder E-Mail-Adressen und ist nur für den Veranstalter des Events abrufbar.

Verschlüsselung, Backups und E-Mail

Die Übertragung erfolgt verschlüsselt per TLS. Profilfotos und Logos werden verschlüsselt gespeichert. Verschlüsselte Datenbank-Backups werden höchstens 30 Tage aufbewahrt. E-Mails der Anwendung werden über den Versanddienst Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) versendet; dabei erhält Brevo Empfängeradresse und Inhalt der E-Mail. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Für die E-Mails an Gäste kann der Veranstalter pro Event einen Absendernamen und eine Antwortadresse festlegen. Die E-Mails enthalten kein Tracking und keine Lesebestätigung.

Löschung

Für jedes Event legt der Veranstalter eine Löschfrist fest. Danach werden die Daten der Gäste – Angaben, Profilfotos, Einwilligungen, Einladungen und Check-ins – automatisch gelöscht.

6. Drittländer und Profiling

Es findet keine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU bzw. des EWR statt. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

7. Ihre Rechte

Sie haben jederzeit das Recht auf

• Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20).

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO) – etwa bei den Server-Logdateien oder bei Kontaktanfragen –, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Eine formlose Nachricht an die oben genannte E-Mail-Adresse genügt.

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für unseren Sitz zuständigen Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Verschlüsselung

Website und Anwendung werden ausschließlich verschlüsselt über HTTPS (TLS) ausgeliefert.

Stand: Oktober 2026