Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Webseite messelix.de und für die Web-App Messelix (app.messelix.de).

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist für diese Webseite sowie für die Konto-, Buchungs- und Nutzungsdaten der App:

DATO-IT GmbH
Zeißstraße 7
23560 Lübeck
Deutschland
Telefon: +49 451 70344070
E-Mail: info@dato-it.de
Vertreten durch die Geschäftsführer Daniel Schreiber und Tom Waitschulies
Registergericht: Amtsgericht Lübeck, HRB 26525 HL

Für die Kontaktdaten, die Aussteller mit Messelix erfassen, ist der jeweilige Aussteller verantwortlich; wir handeln dort als Auftragsverarbeiter (Abschnitt 9).

2. Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten bestellt. Sie erreichen ihn unter:

Dr. Sebastian Kraska
IITR Datenschutz GmbH
Marienplatz 2
80331 München
Telefon: 089-18917360
E-Mail: email@iitr.de

Bitte nennen Sie bei Ihrer Anfrage, dass sie die DATO-IT GmbH betrifft.

3. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Webseite und der App Messelix, zur Beantwortung Ihrer Anfragen sowie zur Erfüllung vertraglicher oder gesetzlicher Verpflichtungen erforderlich ist. Grundlage ist jeweils eine gesetzliche Erlaubnis nach Art. 6 Abs. 1 DSGVO; welche, nennen wir in den folgenden Abschnitten.

4. Hosting

Die Webseite messelix.de und die App app.messelix.de werden direkt von einem von der DATO-IT betriebenen Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, ausgeliefert. Der Server steht im Rechenzentrum Falkenstein (Deutschland), als Webserver dient Caddy. Zwischen Ihrem Browser und diesem Server ist kein Proxy oder anderer Dienstleister geschaltet. Eine frühere Vorschau-Adresse (pve.betaseal.net/messe-app) leitet auf app.messelix.de weiter; Übertragungen älterer App-Installationen werden dort für eine Übergangszeit über einen von der DATO-IT betriebenen Server bei der Strato AG, Berlin, an den Messelix-Server weitergereicht. Hetzner ist für uns als Auftragsverarbeiter tätig (Art. 28 DSGVO). Die KI-Auswertung läuft auf einem von der DATO-IT betriebenen Server bei der Hetzner Online GmbH in Finnland (EU), siehe Abschnitt 11.

5. Webseite: Server-Logdateien

Beim Aufruf der Webseite übermittelt Ihr Browser aus technischen Gründen Daten an unseren Server. Unser Webserver protokolliert dabei:

• Datum und Uhrzeit der Anfrage
• IP-Adresse
• Anfragemethode, aufgerufene Adresse (URL) und Servername
• Zugriffsstatus, übertragene Datenmenge und Bearbeitungsdauer
• die vom Browser mitgesendeten technischen Kopfzeilen, insbesondere Browser und Betriebssystem (User-Agent), Sprache und Kompressionsverfahren
• Verbindungsdaten der Verschlüsselung (TLS-Version)

Die Seite, von der aus die Anfrage kam (Referrer), Cookies und Anmeldedaten werden nicht protokolliert.

Die Protokolle entstehen auf dem unter Abschnitt 4 genannten Server. Zweck ist der sichere und stabile Betrieb, insbesondere die Abwehr und Aufklärung von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Logdaten werden spätestens nach 14 Tagen gelöscht. Eine Zusammenführung mit anderen Daten findet nicht statt.

Sicherungskopien: Die Datenbank des Servers wird täglich gesichert; diese Sicherungen werden 7 Tage aufbewahrt. Sicherungen des gesamten Servers werden bis zu 3 Monate aufbewahrt. Sie können Protokolle und Daten enthalten, die ausschließlich der Wiederherstellung dienen, und werden nach Ablauf der Frist überschrieben.

6. Webseite: keine Cookies, keine Tracker, keine externen Ressourcen

Die Webseite messelix.de setzt keine Cookies und speichert nichts in Ihrem Browser. Sie verwendet keine Analyse- oder Werbewerkzeuge. Schriften und Bilder werden von unserem eigenen Server geladen; eine Verbindung zu Google Fonts oder anderen Schrift- und CDN-Anbietern findet nicht statt. Die Verweise „Jetzt buchen“ und „Anmelden“ führen zur App unter app.messelix.de; erst wenn Sie darauf klicken, wird diese Adresse aufgerufen. Die Webseite lädt ein einziges kleines Skript von unserem eigenen Server; es misst nur, wie lange das Anmeldeformular für Infos und Gratis-Testtag geöffnet war (Schutz vor automatisierten Anmeldungen) und speichert nichts im Browser. Das Formular selbst sendet Ihre Eingaben an app.messelix.de (Abschnitt 20).

7. Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (zum Beispiel Name, E-Mail-Adresse, Nachricht), um Ihre Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

E-Mail-Dienst: Unsere E-Mails laufen über Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland), das für uns als Auftragsverarbeiter tätig ist. Eine Verarbeitung in den USA kann dabei nicht ausgeschlossen werden; sie ist über das EU-US Data Privacy Framework bzw. die EU-Standardvertragsklauseln abgesichert.

Speicherdauer: Bis Ihr Anliegen vollständig bearbeitet ist, darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen (z. B. Handels- oder Steuerrecht).

8. App: Konto-, Buchungs- und Erfasserdaten

Für die Nutzung der App verarbeiten wir als Verantwortlicher:

• Konto-Daten des Ausstellers: Firmenname, Rechnungsanschrift, E-Mail-Adresse, Name der Benutzer, Passwort (nur als Hash gespeichert) und, soweit angegeben, USt-IdNr.
• Buchungsdaten: gebuchte Messe, Messetage, Anzahl der Erfasser, Betrag und Zahlungsstatus
• Abo-Daten: Laufzeit des Abos und Stripe-Kundennummer
• Erfasserdaten: der vom Aussteller vergebene Name eines Erfassers sowie der Zugang per Link oder QR-Code (nur als Hash gespeichert). Erfasser benötigen kein Passwort.

Zweck ist die Bereitstellung der App und die Abwicklung der Buchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO. Die Angaben zu Erfassern machen die Aussteller; sie informieren ihre Mitarbeitenden darüber.

9. App: Kontaktdaten, die Aussteller erfassen (Auftragsverarbeitung)

Erfasser eines Ausstellers nehmen am Messestand Kontakte auf. Dabei entstehen Fotos von Visitenkarten oder Namensschildern, Notizen, Sprachnachrichten, Antworten auf die Fragefelder des Ausstellers und der Zeitpunkt der Erfassung. Daraus leitet die KI weitere Angaben ab (Abschnitt 11 und 12): die ausgelesenen Kartendaten, eine geglättete Fassung der Notiz, die Abschrift der Sprachnachricht, eine Kurzfassung mit Schlagworten, die Einstufung als privater oder geschäftlicher Kontakt, ergänzte Firmendaten und den Ort für die Herkunftskarte. Das Original bleibt immer erhalten.

Verantwortlicher für diese Daten ist der Aussteller. Wir verarbeiten sie als Auftragsverarbeiter nach seinen Weisungen (Art. 28 DSGVO); dafür ist ein Vertrag zur Auftragsverarbeitung erforderlich. Besucher, deren Daten ein Aussteller erfasst hat, wenden sich für Auskunft, Berichtigung und Löschung bitte an den Aussteller. Dieser kann einzelne Kontakte in der App löschen oder als Datei für Auskunftsanfragen herunterladen. Bei Privatpersonen werden nur das Auslesen des Fotos, das Glätten der Notiz und die Abschrift der Sprachnachricht durchgeführt; eine Web-Recherche findet nicht statt.

10. Speicherdauer

• Kontakte und Auswertungen bleiben nach der Messe 12 Monate verfügbar und werden danach gelöscht.
• Einzelne Kontakte kann der Aussteller jederzeit löschen. Gelöschte Daten können in Sicherungen noch enthalten sein: in der täglichen Datenbanksicherung bis zu 7 Tage, in Sicherungen des gesamten Servers bis zu 3 Monate. Diese Sicherungen dienen ausschließlich der Wiederherstellung und werden nach Ablauf der Frist überschrieben.
• Konto- und Buchungsdaten speichern wir, solange das Konto besteht und soweit gesetzliche Aufbewahrungspflichten (z. B. Handels- und Steuerrecht) bestehen.

11. App: KI-Auswertung

Das Auslesen der Fotos, das Glätten der Notizen und das Zusammenfassen läuft auf einem von der DATO-IT betriebenen Server bei der Hetzner Online GmbH in Finnland (EU). US-KI-Dienste werden nicht genutzt. Fotos, Notizen und Audiodaten gehen dafür nur an diesen Server. Die Abschrift der Sprachnachricht erfolgt lokal auf dem Server der App. Die Ergebnisse sind eine Aufbereitung für den Aussteller; die Originalangaben bleiben sichtbar, Angaben des Erfassers haben Vorrang.

12. App: Firmenrecherche

Bei Geschäftskunden ergänzt die App Firmendaten aus öffentlichen Quellen (Firmenbezeichnung, Branche, Webseite, Zentrale). Dafür werden nur Firmenname und Firmenanschrift (für die Ortsbestimmung auch Straße, Postleitzahl und Ort der Firma) sowie feste Stichworte wie „Impressum“ an Such- und Kartendienste übermittelt. Personendaten der Kontakte (Name, E-Mail-Adresse, Telefonnummer, Funktion), Notizinhalte, Fotos und Audiodaten werden dabei nie übermittelt. Empfänger sind:

• Suchmaschinen über eine eigene Metasuche (SearXNG) der DATO-IT, die nur lokal auf dem Server erreichbar ist. Sie kann je nach Verfügbarkeit Brave, Bing, Google, Startpage, Mojeek, Qwant und Wikipedia abfragen. Übermittelt werden der Suchtext (Firma und Ort) und die IP-Adresse des Servers, nicht die des Nutzers. Einige dieser Anbieter sitzen in den USA, sodass eine Übermittlung in ein Drittland nicht ausgeschlossen ist.
• OpenStreetMap Foundation (Nominatim, nominatim.openstreetmap.org, Großbritannien) zur Bestimmung von Koordinaten: Firmenname, Straße, Postleitzahl und Ort sowie die IP-Adresse des Servers.
• Die Webseiten der recherchierten Firmen (Startseite, Impressum, Kontakt): normale Abrufe mit der Kennung „DATO-IT Messe-App“.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Ausstellers an aktuellen Firmenstammdaten); es werden ausschließlich öffentlich verfügbare Firmenangaben abgefragt. Antworten des Kartendienstes werden bis zu 30 Tage zwischengespeichert, Recherche-Ergebnisse zusammen mit dem Kontakt gelöscht. Auf Wunsch schalten wir die Firmenrecherche für Ihre Firma ab.

13. App: Zahlung über Stripe

Die Zahlung der Buchung erfolgt vorab online über Stripe (Stripe Payments Europe Ltd., Irland). Die Zahlungsdaten geben Sie auf der Zahlungsseite von Stripe ein; wir erhalten die Bestätigung und den Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Dabei kann eine Übermittlung von Daten an Stripe, Inc. in den USA stattfinden. Nach eigenen Angaben stützt sich Stripe bei internationalen Datenübermittlungen auf die EU-Standardvertragsklauseln und hält sich an das EU-U.S. Data Privacy Framework. Informationen zur Datenverarbeitung durch Stripe finden Sie unter stripe.com/de/privacy.

14. App: Cookies und Speicher im Browser

Die App setzt drei technisch notwendige Cookies:

• ma_s: hält Sie nach der Anmeldung angemeldet. Laufzeit: 12 Stunden.
• ma_pc: Formularschutz vor Anmeldung und Registrierung (Schutz vor gefälschten Anfragen). Laufzeit: 2 Stunden.
• ma_e: hält einen Erfasser nach dem Öffnen des Links bzw. nach der Eingabe des Codes angemeldet. Laufzeit: bis zum Ende des Tages nach dem letzten Buchungstag.

Diese Cookies sind unbedingt erforderlich, damit der von Ihnen gewünschte Dienst funktioniert; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig. Rechtsgrundlage für die damit verbundene Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Cookies zu Analyse- oder Werbezwecken setzen wir nicht.

Zum Schutz vor Missbrauch zählt die App Fehlversuche bei der Anmeldung je IP-Adresse. Dieser Zähler wird nur im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

Damit das Erfassen auch bei Funkloch funktioniert, speichert die Erfassungsseite auf dem Gerät: in der lokalen Datenbank des Browsers (IndexedDB) noch nicht übertragene Fotos, Aufnahmen und Notizen, die nach erfolgreicher Übertragung dort gelöscht werden (Einträge, die sich nicht übertragen ließen, bleiben bis zum erneuten Senden oder Verwerfen auf dem Gerät); im lokalen Speicher (localStorage) den Entwurf der aktuellen Notiz, den aktuellen Kontakt, die Felder des Ausstellers und die Kennung des Erfassers; sowie einen Zwischenspeicher der Oberfläche der App. Kontaktdaten gehen nie über diesen Zwischenspeicher.

15. Empfänger

Eine Übermittlung Ihrer Daten an Dritte findet grundsätzlich nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet (z. B. gegenüber Finanzbehörden) oder es ist für die Durchführung eines Vertrags erforderlich. Empfänger im Rahmen von Webseite und App sind nur die in den Abschnitten 4 bis 13 und 20 genannten Dienstleister: Hetzner (Hosting), Microsoft (E-Mail), Stripe (Zahlung) sowie die Such- und Kartendienste und die Webseiten der recherchierten Firmen.

16. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an info@dato-it.de oder an unseren Datenschutzbeauftragten (Abschnitt 2). Betrifft Ihre Anfrage Kontaktdaten, die ein Aussteller von Ihnen erfasst hat, wenden Sie sich bitte zunächst an den Aussteller (Abschnitt 9).

17. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
E-Mail: mail@datenschutzzentrum.de
Webseite: www.datenschutzzentrum.de

18. Keine automatisierte Entscheidung

Die KI fasst Kontakte zusammen und ordnet sie als geschäftlich oder privat ein. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

19. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach dem Stand der Technik ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen. Dazu gehören die HTTPS/TLS-Verschlüsselung, die Speicherung von Passwörtern und Zugangslinks nur als Hash, die strikte Trennung der Daten je Firma, Zugriffsbeschränkungen sowie regelmäßige Sicherungen und Updates der eingesetzten Software.

20. Interessenten-Anmeldung und E-Mail-Informationen

Auf messelix.de können Sie „Infos und Gratis-Testtag anfordern“. Wir schicken Ihnen dann Informationen zu Messelix und Angebote (zum Beispiel einen Gratis-Testtag) per E-Mail. Das geschieht nur, wenn Sie einwilligen und Ihre Anmeldung bestätigen.

Verarbeitete Daten: Pflichtangaben sind E-Mail-Adresse und Firma. Freiwillig sind Name, Telefonnummer (nur für Rückfragen zu Ihrer Anfrage), die Messen, für die Sie sich interessieren, und die ungefähre Zahl der Personen, die am Stand Kontakte erfassen. Zusätzlich speichern wir den Wortlaut Ihrer Einwilligung samt Fassung, die Zeitpunkte von Anmeldung und Bestätigung, die Version der verschickten E-Mail-Vorlage, die gekürzte Kennung Ihres Browsers (User-Agent) und einen pseudonymisierten Prüfwert (Hash) Ihrer IP-Adresse. Ihre IP-Adresse selbst speichern wir hierfür nicht.

Zweck und Rechtsgrundlage: Zweck ist der Versand von Informationen und Angeboten zu Messelix per E-Mail. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG. Die Einwilligung ist freiwillig; ohne sie können Sie Messelix trotzdem uneingeschränkt nutzen. Ihre Telefonnummer nutzen wir ausschließlich für Rückfragen zu Ihrer Anfrage.

Double-Opt-In und Protokollierung: Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink (gültig 7 Tage). Erst nach der Bestätigung gilt die Einwilligung als erteilt, und Sie bekommen eine Willkommens-E-Mail. Damit wir die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO), protokollieren wir Anmeldung und Bestätigung wie oben beschrieben. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis der Einwilligung und am Schutz vor Missbrauch) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit eine Nachweispflicht besteht. Zum Schutz vor Missbrauch verwenden wir ein verstecktes Zusatzfeld, eine Zeitmessung, eine Begrenzung der Anmeldungen je IP-Adresse (nur im Arbeitsspeicher) und eine Begrenzung der Bestätigungs-E-Mails je Adresse und Tag. Dazu merken wir uns einen pseudonymisierten Prüfwert Ihrer E-Mail-Adresse und den Zeitpunkt 30 Tage lang. Externe Captcha-Dienste setzen wir nicht ein.

Speicherdauer: Wird die Anmeldung nicht innerhalb von 7 Tagen bestätigt, löschen wir Ihre Angaben automatisch. Bestätigte Anmeldungen speichern wir bis zu Ihrer Abmeldung; haben wir Ihnen 2 Jahre lang keine E-Mail geschickt, löschen wir sie ebenfalls. Nach der Abmeldung löschen wir alle Angaben. Als Nachweis Ihrer Einwilligung und ihres Widerrufs bewahren wir 3 Jahre lang nur den pseudonymisierten Prüfwert Ihrer E-Mail-Adresse, die Fassung der Einwilligung und die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung auf (Art. 6 Abs. 1 lit. f DSGVO, Art. 17 Abs. 3 lit. e DSGVO: Geltendmachung und Verteidigung von Rechtsansprüchen). Danach wird auch dieser Nachweis gelöscht. Sie können sich jederzeit erneut anmelden.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder E-Mail oder per Nachricht an info@dato-it.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Empfänger: Der E-Mail-Versand läuft über Microsoft 365, siehe Abschnitt 7 (E-Mail-Dienst). Die Daten der Anmeldung selbst liegen auf dem Server bei Hetzner (Abschnitt 4). Eine Weitergabe an weitere Dritte findet nicht statt.

21. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche oder technische Änderungen ergeben; die aktuelle Fassung finden Sie stets auf dieser Seite.

Stand: November 2026