Datenschutzerklärung

Verantwortliche Stelle und Geltungsbereich

Nostium B.V., Bogert 1, 5612 LX Eindhoven, Niederlande, ist Verantwortlicher für die Verarbeitung, für die es die Zwecke und Mittel bestimmt. Diese Erklärung gilt für die öffentliche Website und, wo Nostium verantwortlich ist, Nostium‑Konten, Buchungsumgebungen, Portale, Integrationen, Support und Geschäftsdienste. Verwenden Sie dataprotection@nostium.com für Datenschutzfragen oder Anfragen; allgemeine Fragen können an support@nostium.com oder +31 (0)40 8200 194 gesendet werden.

Rollen mit verbundenen Organisationen

Wenn Sie bei einer Organisation buchen, die Nostium nutzt, ist diese Organisation im Allgemeinen für ihren Service, den Inhalt der Buchung und ihre Kundekommunikation verantwortlich. Nostium verarbeitet Daten als Auftragsverarbeiter, wenn es ausschließlich auf Weisung dieser Organisation handelt, als eigenständige Verantwortliche für eigene Zwecke wie Plattform‑Sicherheit und Verwaltung, oder als gemeinsame Verantwortliche, wenn die Parteien tatsächlich gemeinsam Zwecke und Mittel bestimmen. Die jeweils geltende Vereinbarung dokumentiert die Zuordnung der Rollen; Sie können Ihre Rechte bei jeder beteiligten Stelle geltend machen.

Datenkategorien und -quellen

Je nach Dienst kann Nostium Ihren Namen, Adresse, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Organisations- oder Veranstaltungsbeziehung, Konto‑ und Autorisierungsdaten, Buchungsdetails, Teilnehmer, Präferenzen oder Kommentare, Zahlungs‑ und Rechnungsstatus, Korrespondenz, Supportinformationen und technische Protokolle verarbeiten. Daten stammen von Ihnen, Ihrem Arbeitgeber oder Ihrer Organisation, der Location, bei der Sie buchen, einer angeschlossenen Ticket-, Gutschein-, Zahlungs‑ oder Verkaufsplattform oder werden technisch während der Nutzung erzeugt. Wir verlangen nicht mehr Daten als für den jeweiligen Zweck angemessen erforderlich.

Website‑Besuche und technische Daten

Für notwendige Betriebsabläufe können IP‑Adresse, Geräte‑ und Browserinformationen, Spracheinstellung, Datum und Uhrzeit, angeforderte Route, verweisende Seite sowie Fehler‑ oder Sicherheitsdaten verarbeitet werden, um den Dienst verfügbar und sicher zu halten. Nach gesonderter Einwilligung können Google Analytics und Microsoft Clarity zusätzlich einen Online‑Identifikator, ungefärbte region‑information, sessions‑ und kampagnendaten, Seitenansichten und Interaktionen wie Klicks, Scrollen und Rendering‑Verhalten verarbeiten. Clarity kann daraus maskierte Sitzungsaufzeichnungen und Heatmaps erstellen; Eingabefelder und sensible Inhalte sind maskiert. Nach Marketing‑Einwilligung kann Tracklution Kampagnenparameter und Conversion‑Ereignisse verarbeiten. Diese optionalen Verarbeitungsschritte erfolgen nicht ohne Einwilligung.

Kontakt-, Demo- und Partneranfragen

Wenn Sie ein Formular absenden, verarbeitet Nostium die von Ihnen eingegebenen Kontakt‑, Firmen‑ und Nachrichtendaten, die zur Registrierung, Zuweisung, Beantwortung und Nachverfolgung Ihrer Kontakt‑, Demo‑ oder Partnerschaftsanfrage erforderlich sind. Firma ist bei einer Kontaktanfrage optional, und Nachname sowie Telefonnummer sind bei einer Demo optional; lassen Sie freien Text weg, der für Ihre Anfrage nicht erforderlich ist. Jede Anfrage wird zunächst im Nostium‑CMS gespeichert. Nach Freigabe und Aktivierung der jeweils relevanten Verarbeitung können Kontakt‑ und Demonanfragen per E‑Mail an das verantwortliche Team gesendet, an Nostium Hub weitergeleitet und, wenn aktiviert, an das bestehende HubSpot‑Formular übermittelt werden. Partnerschaftsanfragen können nach Genehmigung der Mailverarbeitung per E‑Mail weitergeleitet werden. Das CMS löscht offene Anfragen spätestens 24 Monate nach Eingang und abgeschlossene oder archivierte Anfragen spätestens 12 Monate nach Abschluss. Ein Löschungsantrag wird erforderlichenfalls auch an Empfänger weitergeleitet. Diese Verarbeitung erfolgt zur Erfüllung Ihrer Anfrage und wegen unseres berechtigten Interesses an einer geordneten Beziehung‑ und Anfrageverwaltung.

Buchungen, Teilnehmer und Zahlungen

Eine Buchung kann Identifikations‑ und Kontaktdaten, Datum, Uhrzeit, Aktivität, Veranstaltungsort, Anzahl oder Namen der Teilnehmer, Sonderwünsche, Betrag, Zahlungsmethode, Zahlungsstatus und Transaktionskennungen enthalten. Zwecke sind u. a. Erstellung und Änderung von Buchungen, Zahlungen, Zugangskontrolle, Kapazitäts‑ och planung, Bestätigungen, Erinnerungen, Rückerstattungen, Support, Betrugsprävention und Erfüllung von Steuer‑ oder sonstigen rechtlichen Pflichten. Die verbundene Organisation bleibt der primäre Ansprechpartner für den Inhalt ihres Angebots und Services.

Konten und Benutzerverwaltung

Für persönliche oder geschäftliche Konten verarbeitet Nostium Informationen wie Name, E‑Mail‑Adresse, verschlüsselte Authentifizierungsdaten, Zwei‑Faktor‑Einstellungen, Organisations‑ und Veranstaltungsbeziehungen, Rollen, Berechtigungen, Login‑ und Audit‑Daten sowie Einstellungen. Dies ist erforderlich für Kontoerstellung, Authentifizierung, Autorisierung, Support, Sicherheit und Vertragserfüllung. Teilen Sie niemals Zugangsdaten; die Administratoren einer Organisation sind zudem für korrekte Benutzerberechtigungen in ihrer Umgebung verantwortlich.

Kunden, Verträge und Verwaltung

Bei Geschäfts­kunden, Lieferanten und Partnern verarbeiten wir Kontaktdaten, Rolle, Korrespondenz, Absprachen, Angebote, Rechnungen, Zahlungsstatus und Support‑Historie zur Vorbereitung und Erfüllung von Verträgen, zur Serviceleistung, Beziehungs­pflege, zur Feststellung von Rechten und zur Erfüllung administrativer Pflichten. Als erforderlich gekennzeichnete Informationen sind notwendig; ohne die erforderlichen Kontakt-, Buchungs-, Konto‑ oder Zahlungsdaten ist der jeweilige Dienst möglicherweise nicht verfügbar.

Nostium Newsletter und Marketing

Nach freiwilligem Abonnement verarbeitet Nostium Ihre E-Mail‑Adresse, Sprache, Zeitpunkt der Einwilligung, Richtlinienversion und Abonnementstatus, um relevante Produkt‑Updates oder Informationen zu senden. Name und Firma sind optional. Marketing, das Einwilligung erfordert, basiert ausschließlich auf dieser Einwilligung. Das Abonnement und der Nachweis der Einwilligung bleiben längstens 24 Monate nach der letzten bestätigenden Bestätigung aktiv; danach stellen wir den Versand ein oder fragen eine erneute Einwilligung an. Sie können die Einwilligung früher über die Abmeldefunktion oder dataprotection@nostium.com widerrufen; der Widerruf berührt nicht die bisher rechtmäßige Verarbeitung. Beim Widerruf löscht das Website‑CMS ausstehende lokale Mail‑Kopien, blockiert normale Nachverfolgung und den Bulk‑Export und löscht die archivierte Anfrage spätestens 12 Monate danach. Jeder verwendete Newsletter‑Dienst muss das Opt‑out ebenfalls sofort anwenden und darf höchstens einen minimalen Suppressions‑Eintrag so lange behalten, wie nötig, um ihn zu respektieren.

Kommunikation von verbundenen Organisationen

Eine verbundene Organisation kann Nostium nutzen, um notwendige Buchungskommunikationen wie Bestätigungen, Erinnerungen, Änderungen, Stornierungen oder Servicenachrichten zu versenden. Diese Organisation ist verantwortlich für den Inhalt und die Rechtsgrundlage ihrer eigenen Marketingkommunikation; Nostium erleichtert die technische Zustellung im Rahmen der geltenden Datenschutz‑ und Verarbeitungsvereinbarungen. Sie können Fragen oder Einwände zu solchem Marketing auch an den Absender richten.

Cookies und Einwilligung

Die öffentliche Website verwendet notwendige Technologien für Sitzungs­sicherheit, Formularschutz und das Erinnern Ihrer Wahl. Google Tag Manager, Google Analytics und Microsoft Claritys analysemuligheder bleiben deaktiviert, bis Sie Analytics erlauben; Tracklution og Microsoft-lagring relateret til annoncer forbliver deaktiveret, indtil du tillader Marketing. Nostium setzt auf strenges Opt‑in und sendet efter afvisning ingen cookieless‑målinger. Aktuelle kategorier, teknologier, opbevaringsperioder og regler for Nederlandene, EU og Tyskland er beskrevet i cookie‑politiken. Samtykke kan trækkes tilbage via den permanente Cookie‑indstillinger‑kontrol lige så nemt som det blev givet; derefter modtager indlæste leverandører afslaget, valgfri tilgængelig first‑party‑lagring slettes, og siden genstarter uden de trukne scripts.

Rechtsgrundlagen

Nostium verarbeitet personenbezogene Daten, wenn dies für einen Vertrag oder von Ihnen veranlasste Maßnahmen erforderlich ist, zur Erfüllung einer rechtlichen Verpflichtung, aufgrund Ihrer Einwilligung oder wegen eines berechtigten Interesses wie Sicherheit, Kontinuität, Betrugsprävention, Support und sorgfältiger Kundenpflege. Bei berechtigtem Interesse wägen wir dieses gegen Ihre Rechte und Erwartungen ab. Besonders sensible Daten werden nur verarbeitet, wenn eine geeignete DSGVO‑Ausnahme greift; geben Sie solche Daten nicht an, sofern der Service oder die Einrichtung sie nicht ausdrücklich anfordert.

Empfänger, Auftragsverarbeiter und Cherry B.V.

Der Zugriff ist auf autorisiertes Personal, die angebundene Organisation und Dienstleister beschränkt, die für Hosting, E‑Mail, Support, Sicherheit, Zahlungen, Formulare, CRM oder Integrationen benötigt werden. Kontakt‑ und Demofomulare können wie oben beschrieben an Nostium Hub und HubSpot übertragen werden. Nach entsprechender Einwilligung können Google Ireland Limited, Microsoft Ireland Operations Limited und Tracklution Oy die für die beschriebene Messung benötigten Daten erhalten; Tracklution kann einwilligungsbasierte Ereignisse an vorab inventarisierte Werbeziele senden. Nostium kann notwendige Daten mit der Muttergesellschaft Cherry B.V., Galvanistraat 23A, 3861 NJ Nijkerk, für interne Abläufe, Support, Sicherheit, Prüfungen, Compliance und Verwaltung teilen. Ein externer Auftragsverarbeiter wird erst aktiviert, nachdem seine Rolle, Weisungen, Sicherheit, Unterauftragsverarbeiter, Lösch- und Prüfungsrechte vertraglich festgehalten wurden; wo Parteien Zwecke und Mittel gemeinsam bestimmen, werden Verantwortlichkeiten gemäß Artikel 26 DSGVO festgehalten.

Übermittlungen außerhalb des EWR

Tracklution verarbeitet primär bei AWS in Stockholm. Google, Microsoft, deren Unterauftragsverarbeiter und im Voraus aufgeführte annoncemål können ebenfalls Daten aus oder außerhalb des EWR verarbeiten, einschließlich in den Vereinigten Staaten. Vor Aktivierung dokumentiert Nostium für jede Übermittlung das Ziel‑Land, den Empfänger, eine etwaige Angemessenheitsentscheidung oder die Standardvertragsklauseln der Europäischen Kommission, die Transferbewertung sowie ergänzende technische und organisatorische Maßnahmen. Eine aktuelle Liste der relevanten Unterauftragsverarbeiter und Schutzmaßnahmen ist auf Anfrage bei dataprotection@nostium.com erhältlich.

Aufbewahrungsfristen

Personenbezogene Daten werden nicht länger aufbewahrt als für den Zweck, gesetzliche Pflichten und mögliche Streitigkeiten erforderlich. Offene Website-Anfragen werden im CMS höchstens 24 Monate nach Eingang aufbewahrt; abgeschlossene oder archivierte Anfragen höchstens 12 Monate nach Abschluss. Die Einwilligung zum Newsletter bleibt höchstens 24 Monate nach der letzten positiven Bestätigung aktiv. Die Anwendung löscht täglich abgelaufene CMS-Datensätze, fehlgeschlagene Queue-Jobs mit Formulardaten nach spätestens sieben Tagen und CMS-Audits nach einem Jahr. Temporäre Seiten-Autosaves, die älter als 24 Stunden sind, werden stündlich gelöscht. Seiten- und Katalogrevisionen werden spätestens nach einem Jahr gelöscht und auf die zwanzig neuesten Snapshots pro Datensatz beschränkt; wird die Anzahl früher überschritten, verfallen die ältesten Snapshots. Temporäre CMS-Bearbeitungssperren verfallen nach 90 Sekunden und werden spätestens fünf Minuten danach aus der Datenbank entfernt. Sicherheits-Rate-Limits für Formulare und CMS-Anmeldungen verfallen nach einer Minute; abgelaufene Datenbank-Cache- und Cache-Lock-Einträge werden spätestens fünf Minuten danach physisch gelöscht, und benutzerdefinierte CMS-Anmeldeschlüssel enthalten keine lesbare E-Mail-Adresse oder IP-Adresse. Das CMS bietet keine persistente Anmeldung: veraltete remember-Tokens werden ungültig und ein verbleibender recaller-Cookie wird auf dem Anmeldebildschirm entfernt. Ein separater CMS-Aktivitätszeitstempel wird nur durch CMS-Anfragen erneuert; nach zwei Stunden ohne CMS-Aktivität wird der Benutzer abgemeldet, selbst wenn die öffentliche Website besucht wird. Normales Surfen auf der Website kann die CMS-Zeitgrenze daher nicht verlängern. Wenn eine Website-Anfrage dauerhaft gelöscht wird, löscht die Anwendung auch sofort verbleibende lokale Warteschlangen-Jobs und fehlgeschlagene Warteschlangen-Kopien. Während einer gültigen Einschränkung der Verarbeitung markiert das CMS die Anfrage für Speicherung und Datenschutzbehandlung, löscht verbleibende lokale Warteschlangen-Kopien, blockiert gewöhnliche Folgeaktionen und Massenexporte und plant eine Überprüfung innerhalb von 30 Tagen. Automatische Löschung wird nur solange ausgesetzt, wie die Einschränkung die Aufbewahrung erfordert, und wird nach rechtmäßiger Aufhebung der Einschränkung fortgesetzt. Website-CMS-Sitzungen sind höchstens zwei Stunden gültig und Passwort-Zurücksetzungs-Token höchstens eine Stunde; abgelaufene Einträge werden innerhalb von fünfzehn Minuten gelöscht und lokale Anwendungsprotokolle werden höchstens vierzehn Tage aufbewahrt. Deaktivierte CMS-Mitarbeiterkonten können dauerhaft mit Authentifizierungsresten und identifizierenden Audit-Kopien gelöscht werden, sobald diese nicht mehr benötigt sind und keine Aufbewahrungspflicht besteht. Ein öffentliches CMS-Upload bleibt verfügbar, solange es für die Website-Publikation benötigt wird; nachdem es in den Papierkorb verschoben wurde, werden die Datei, Medien-Metadaten und zugehörige Audit-Kopien innerhalb von 30 Tagen endgültig gelöscht. Andere Konto- und Kundendaten verbleiben in der Regel während der Geschäftsbeziehung und werden danach gelöscht, anonymisiert oder zugriffsbeschränkt; Buchungs-, Transaktions- und Rechnungsunterlagen können in der Regel für sieben Jahre für die niederländische Verwaltung aufbewahrt werden. Google Analytics-Cookies können standardmäßig bis zu zwei Jahre verbleiben; Nostium konfiguriert die Aufbewahrung von Google Analytics-Eventdaten auf zwei Monate. Clarity-Aufzeichnungen werden 30 Tage aufbewahrt und markierte Aufnahmen sowie Heatmap-/Klickdaten bis zu neun Monate. Tracklution-Ereignisdaten werden bis zu zwölf Monate aufbewahrt. Genaue Browser-Speicherfristen sind im Cookie-Inventar aufgeführt. Ein Vorfall, eine rechtliche Forderung oder eine Aufbewahrungspflicht kann eine längere Frist erfordern; der Zugriff ist in diesem Fall eingeschränkt und der Grund dokumentiert.

Sicherheit und Vorfälle

Nostium verwendet angemessene technische und organisatorische Maßnahmen, darunter verschlüsselte Verbindungen, Rollen und Berechtigungen, starke Authentifizierung wo angebracht, Netz‑ und Umgebungs‑Trennung, Protokollierung, Backups, Updates, Zugriffsüberprüfungen sowie Entwicklungs‑ und Incident‑Response‑Verfahren. Über die Website hochgeladene Bilder werden vor der Veröffentlichung neu codiert, sodass eingebettete Standort-, Geräte-, Autoren‑ und Kommentarmetadaten nicht öffentlich werden. Der Zugriff ist auf Personen beschränkt, die Daten für ihre Aufgaben benötigen und zur Vertraulichkeit verpflichtet sind. Sicherheitsvorfälle werden untersucht und dokumentiert und, sofern die DSGVO dies verlangt, innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet sowie betroffene Personen benachrichtigt, wenn ein hohes Risiko besteht.

Ihre Datenschutzrechte

Unter den Bedingungen der DSGVO können Sie Zugang und eine Kopie, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit Ihrer Daten verlangen. Sie können der Verarbeitung, die auf berechtigtem Interesse beruht, widersprechen und jederzeit Direktmarketing widersprechen. Wenn die Verarbeitung auf Einwilligung beruht, können Sie diese für die Zukunft widerrufen. Sie können auch Auskunft über Empfänger, Quellen, Aufbewahrungsfristen und relevante Sicherheitsmaßnahmen für internationale Übermittlungen verlangen.

Anfragen und Beschwerden

Senden Sie Anfragen an dataprotection@nostium.com und fügen Sie genügend Kontext bei, damit die relevanten Daten gefunden werden können. Um Missbrauch zu verhindern, können wir Ihre Identität verhältnismäßig überprüfen. Für eine gültige Löschung löschen wir auch identifizierbare lokale Queue‑Kopien. Bei Berichtigung, Löschung oder Einschränkung informieren wir andere Empfänger, wenn Artikel 19 DSGVO dies erfordert; bevor eine Einschränkung aufgehoben wird, benachrichtigen wir Sie. Nostium antwortet normalerweise innerhalb eines Monats; bei komplexen oder umfangreichen Anfragen erlaubt die DSGVO eine Verlängerung um zwei Monate und wir informieren Sie innerhalb des ersten Monats. Sie können die niederländische Datenschutzbehörde oder die Behörde in dem EU‑Land, in dem Sie leben, arbeiten oder in dem die behauptete Verletzung stattgefunden hat, beschweren.

Kinder

Nostium‑Dienste sind nicht dafür vorgesehen, ohne angemessene Einbeziehung eines Elternteils, Vormunds oder einer verbundenen Organisation Kinderdaten zu erfassen. Eine Aktivität oder Einrichtung kann Teilnehmerdaten für eine Buchung benötigen; diese Organisation bestimmt, was notwendig ist und auf welcher Rechtsgrundlage. Wenn Sie glauben, dass die Daten einer minderjährigen Person unrechtmäßig oder ohne geeignete Rechtsgrundlage verarbeitet wurden, kontaktieren Sie uns, damit der Fall untersucht und Daten bei Bedarf gelöscht werden können.

Automatisierte Entscheidungen und Profiling

Nach der aktuellen Richtlinie trifft Nostium keine Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen ausschließlich auf Grundlage automatisierter Verarbeitung. Operative Regeln, Verfügbarkeitsberechnungen, Betrugswarnungen und Berichte können Prozesse unterstützen, stellen aber ohne angemessene menschliche Beteiligung keine solche individuelle Entscheidung dar. Sollte sich dies ändern, werden wir die erforderlichen Informationen zu Logik, Bedeutung, Folgen und Ihren Rechten im Voraus bereitstellen.

Öffentliche Teamprofile und Kundenbewertungen

Nostium kann den Vornamen, die Rolle, Initialen und — wo angemessen — ein Foto und freiwillig geteilten Link zum beruflichen Profil eines Teammitglieds anzeigen, um klarzumachen, wer unsere Dienste erbringt. Wir minimieren die Daten, prüfen Veröffentlichungen bei Rollenwechsel und mindestens jährlich und entfernen oder korrigieren ein Profil nach berechtigtem Widerspruch oder wenn die Veröffentlichung nicht mehr erforderlich ist. Nostium zeigt zudem eine begrenzte Auswahl öffentlich auf Google veröffentlichter Kundenbewertungen, einschließlich des dort verwendeten Namens oder Pseudonyms, Datum, Bewertung und Text. Dieses Material wird direkt von Nostium bereitgestellt ohne Google‑Widget, Profilbild oder vorherige Anfrage an Google. Diese Veröffentlichungen stützen sich auf unser berechtigtes Interesse an erkennbaren, vertrauenswürdigen Informationen und Werbung, abgewogen gegen die betroffenen Interessen. Sie können aus Gründen, die Ihre besondere Situation betreffen, Widerspruch einlegen oder Löschung beantragen unter dataprotection@nostium.com. Die Schaltfläche „mehr Bewertungen“ öffnet Google nur nach Ihrer Aktivierung.

Änderungen und Kontakt

Wir aktualisieren diese Erklärung, wenn Dienstleistungen, Anbieter, Rollen oder Gesetze sich ändern. Bei wesentlichen Änderungen informieren wir betroffene Personen über die Website, das Konto oder per E‑Mail, sofern zutreffend. Die neueste Version ersetzt frühere Versionen für künftige Verarbeitungen. Datenschutzfragen und -anfragen: dataprotection@nostium.com. Post: Nostium B.V., Bogert 1, 5612 LX Eindhoven, the Netherlands. Zuletzt aktualisiert: 25 August 2026.

Deaktivierte CMS‑Konten

Wenn der CMS‑Zugang deaktiviert wird, beendet Nostium sofort die zugehörigen Sitzungen und die Möglichkeit zum Zurücksetzen des Passworts. Spätestens 30 Tage danach muss ein Administrator prüfen, ob Name, geschäftliche E‑Mail‑Adresse und verbleibende Konto‑ bzw. Prüfungsdaten weiterhin für Sicherheitszwecke, eine Streitigkeit oder eine gesetzliche Aufbewahrungspflicht benötigt werden. Ohne dokumentierten Bedarf werden das Konto, Authentifizierungsreste und identifizierende Prüfkopien dauerhaft gelöscht; falls eine Aufbewahrung erforderlich ist, werden der Grund und ein neues Prüfdatum im eingeschränkten Register vermerkt.

Empfänger-Freigabeprotokolle

Bei neuen Website‑Anfragen protokolliert das CMS, welche genehmigten Versandkanäle für diese Anfrage in die Warteschlange gesetzt wurden, wobei nur die Empfängerkategorie, der Zweck, der Kanal und die Zeit gespeichert werden. Das Protokoll kopiert keinen Namen, keine E‑Mail‑Adresse, Telefonnummer, Nachricht oder sonstige übermittelte Inhalte und unterliegt derselben Aufbewahrungsfrist wie die Anfrage. Ein Warteschlangen‑Eintrag beweist nicht, dass ein externer Empfänger die Daten verarbeitet hat; bei einem Datenschutz‑Anliegen verifiziert Nostium daher getrennt den Empfang, die Berichtigung, Einschränkung oder Löschung mit jedem betroffenen Empfänger und dokumentiert dies.