Datenschutzerklärung

1. Verantwortlicher

Aigner Software e. U.
Inhaber: Matthias Manuel Aigner
Hauptplatz 23
4190 Bad Leonfelden
Österreich
E-Mail: [email protected]

2. Worum es geht

EventUpload ist ein Dienst, mit dem Veranstalter („Organisatoren“) eine Upload-Seite erstellen. Andere Personen („Teilnehmer“) können darüber Dateien hochladen, die direkt im Google Drive des Organisators gespeichert werden. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden.

3. Daten von Organisatoren

Wenn du dich mit Google anmeldest, verarbeiten wir:

• Konto-Daten von Google: Name, E-Mail-Adresse, Profilbild und Google-Konto-ID – für Anmeldung und Konto.
• Google-Drive-Berechtigung: ein Zugriffstoken (Refresh-Token), verschlüsselt gespeichert, damit Uploads in dein Drive auch dann funktionieren, wenn du nicht online bist.
• Einstellungen deiner Upload-Seiten: Titel, Texte, Farben, Logo, Adresse der Seite, ID und Name des Drive-Ordners.
• Statistik: Anzahl der Uploads und Dateien sowie die übertragene Datenmenge pro Upload-Seite.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Daten von Teilnehmern (Uploader)

• Dateien: werden direkt vom Browser an Google Drive übertragen und im Drive des Organisators gespeichert. Sie laufen nicht über unsere Server und werden von uns nicht gespeichert oder angesehen.
• Datei-Informationen: Dateiname, Größe und Dateityp – um den Upload vorzubereiten und zu prüfen, ob die Datei angekommen ist.
• Name (optional): Falls der Organisator danach fragt, wird der Name dem Dateinamen vorangestellt und in der Dateibeschreibung im Drive gespeichert.
• Technische Daten: IP-Adresse und Browser-Informationen für den Missbrauchsschutz (Cloudflare Turnstile, siehe unten) und in Server-Protokollen.

Für die hochgeladenen Dateien und den Namen ist der jeweilige Organisator Verantwortlicher im Sinne der DSGVO; wir übertragen sie in seinem Auftrag (Art. 28 DSGVO). Fragen zu hochgeladenen Dateien richtest du daher bitte an den Organisator der Upload-Seite. Für die technischen Daten zum Betrieb und zur Sicherheit sind wir verantwortlich (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

5. Zugriff auf Google-Konten und Google Drive

EventUpload fragt bei der Anmeldung folgende Google-Berechtigungen an:

• openid, email, profile – für die Anmeldung mit deinem Google-Konto.
• drive.file – damit EventUpload für jede Upload-Seite einen Ordner in deinem Google Drive anlegen, Dateien der Teilnehmer darin speichern und prüfen kann, ob eine Datei angekommen ist.

Mit drive.file kann EventUpload nur auf Dateien und Ordner zugreifen, die es selbst angelegt hat. Deine übrigen Dateien in Google Drive kann EventUpload weder sehen noch verändern.

Die Nutzung und Übertragung von Informationen, die EventUpload über Google APIs erhält, erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Insbesondere:

• Wir nutzen Google-Daten ausschließlich, um die Funktionen von EventUpload bereitzustellen.
• Wir verkaufen sie nicht, geben sie nicht an Dritte weiter (außer an die unten genannten technischen Dienstleister) und nutzen sie nicht für Werbung.
• Menschen lesen diese Daten nicht, außer du stimmst ausdrücklich zu, es ist für die Sicherheit nötig oder gesetzlich vorgeschrieben.
• Wir verwenden sie nicht zum Trainieren von KI-Modellen.

Du kannst den Zugriff jederzeit im Dashboard („Trennen“) oder in deinem Google-Konto unter Drittanbieter-Apps widerrufen. Das gespeicherte Token wird dann gelöscht bzw. ungültig.

6. Dienstleister (Auftragsverarbeiter)

• Google Cloud / Firebase (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Hosting der Webseite, Anmeldung (Firebase Authentication), Datenbank (Cloud Firestore), Server-Funktionen (Cloud Functions), Logo-Speicher (Cloud Storage) und Server-Protokolle. Datenbank, Server-Funktionen und Speicher befinden sich in der Region europe-west3 (Frankfurt).
• Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA): Auslieferung und Schutz der Webseite (CDN, DNS) sowie Cloudflare Turnstile auf Upload-Seiten, um automatisierte Uploads (Bots) zu verhindern. Turnstile verarbeitet dazu technische Daten wie IP-Adresse und Browser-Merkmale.

Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge. Soweit Daten in die USA übermittelt werden können, erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. von EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

Google Drive selbst ist der Speicher des Organisators. Für die dort gespeicherten Dateien gelten die Bedingungen zwischen dem Organisator und Google.

7. Speicherdauer

• Konto-Daten und Einstellungen: bis du dein Konto löschen lässt.
• Google-Drive-Token: bis du die Verbindung trennst oder den Zugriff bei Google widerrufst.
• Upload-Vorgänge (Dateinamen, Größen, optionaler Name) für die Statistik: höchstens 14 Tage.
• Zwischenschritte der Anmeldung: höchstens 10 Minuten.
• Server-Protokolle: in der Regel 30 Tage.
• Hochgeladene Dateien: werden von uns nicht gespeichert; sie liegen im Google Drive des Organisators, bis dieser sie löscht.

Wenn du eine Upload-Seite löschst, bleiben die Dateien in deinem Google Drive erhalten.

8. Cookies und lokale Speicherung

Wir verwenden nur technisch notwendige Speicherung:

• Ein Cookie __session während der Google-Anmeldung (höchstens 10 Minuten), um die Anmeldung vor Missbrauch zu schützen.
• Die Anmeldung im Dashboard wird im Browser gespeichert (IndexedDB von Firebase Authentication), damit du angemeldet bleibst.
• Cloudflare Turnstile kann auf Upload-Seiten technisch notwendige Daten im Browser speichern.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein. Deshalb brauchen wir auch keinen Cookie-Banner.

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Schreib uns dazu an [email protected]. Wir antworten in der Regel innerhalb eines Monats. Dein Konto löschen wir ebenfalls auf Anfrage per E-Mail.

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, [email protected], dsb.gv.at.

10. Datensicherheit

• Alle Verbindungen sind verschlüsselt (HTTPS/TLS).
• Google-Drive-Tokens werden zusätzlich mit AES-256 verschlüsselt gespeichert; der Schlüssel liegt getrennt im Google Secret Manager.
• Zugriff auf Daten ist über Sicherheitsregeln auf das jeweilige Konto beschränkt.
• Teilnehmer erhalten nur eine Upload-Berechtigung für einzelne Dateien – keinen Zugriff auf das Drive oder auf Dateien anderer.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich EventUpload oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.