Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Webseite ist: Not another lame Application UG (haftungsbeschränkt), Grünwalder Weg 1, 82041 Oberhaching. E-Mail: hello@noala.io

2. Hosting

Unsere Webseite wird bei Hetzner Online GmbH gehostet (Industriestr. 25, 91710 Gunzenhausen). Die Auslieferung erfolgt über Bunny.net (bunny.net, Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien) als Content Delivery Network.

3. E-Mail-Versand

Für den Versand von E-Mails erfolgt der E-Mail-Versand über Mailgun (Sinch Email, 535 Mission St., San Francisco, CA, USA). E-Mails werden über EU-Server (api.eu.mailgun.net) verarbeitet.

Inhaber eines Location-Kontos erhalten einen wöchentlichen Bericht über Anfragen, Buchungen und Umsatz ihrer Locations (Art. 6 Abs. 1 lit. b DSGVO); er lässt sich mit einem Klick in jedem Bericht abbestellen. Über eigene, ähnliche Noala-Angebote — etwa wenn eine kostenlose Freischaltung endet — informieren wir Betriebe per E-Mail (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG); dem können Sie jederzeit widersprechen, mit einem Klick in jeder dieser E-Mails, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen. Meldet sich jemand von einem Gerät oder Browser an, mit dem Ihr Konto noch nie angemeldet war, schicken wir Ihnen zu Ihrer Sicherheit einen Hinweis; dafür speichern wir je Konto einen nicht umkehrbaren Prüfwert aus Browser und Betriebssystem, nie die IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO); ein Prüfwert, der 365 Tage lang nicht mehr vorkam, wird gelöscht.

4. SMS-Verifizierung

Für die SMS-Verifizierung bei der Registrierung erfolgt die SMS-Verifizierung über seven.io (seven communications GmbH, Heilbronn, Deutschland). Es wird ausschließlich Ihre Telefonnummer zum Versand des Verifizierungscodes übermittelt.

Handynummer bei Anfragen. Wer über Noala eine Anfrage sendet — auf noala.io oder über das Anfrage-Widget auf der Website einer Location —, bestätigt seine Handynummer mit einem SMS-Code (oder meldet sich mit Google, Apple oder einem Passkey an). Dabei entsteht ein Kundenkonto ohne Passwort, dem die Anfrage gehört. Die Angabe ist für das Senden einer Anfrage erforderlich: Sie ist Ihr Zugang zum Konto und der Weg, auf dem Sie Ihre Anfrage wiederfinden und Ihre E-Mail-Adresse korrigieren können, falls Antworten und Angebote nicht ankommen (Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahme auf Ihre Anfrage). Ohne bestätigte Nummer (oder einen der genannten Anmeldewege) können wir eine Anfrage nicht annehmen. Die Nummer sehen auch die angefragten Anbieter, damit sie für Rückfragen anrufen können. Ändern Sie die E-Mail-Adresse Ihres Kontos, senden wir einen Bestätigungslink an die neue und einen Hinweis an die bisherige Adresse.

5. Zahlungsabwicklung (Stripe)

Zahlungen auf Noala werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Bei einer Zahlung werden die dafür erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten, Betrag) direkt an Stripe übermittelt; Ihre Kartendaten erreichen unsere Server zu keinem Zeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe kann Daten auch in die USA übermitteln; Grundlage hierfür sind die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework, dem Stripe angehört. Das Stripe-Skript wird erst nach Ihrer Einwilligung über den Cookie-Hinweis geladen.

6. Adress-Suche (Google Maps / Places)

Für die Adress-Vervollständigung bei der Suche kommt Google Places zum Einsatz (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Das Skript wird ausschließlich nach Ihrer Einwilligung über den Cookie-Hinweis geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG); dabei wird Ihre IP-Adresse an Google übermittelt. Ohne Einwilligung erfolgt die Eingabe der Stadt als Freitext; die Plattform bleibt uneingeschränkt nutzbar.

7. Fehler-Monitoring (Sentry)

Zur Stabilität der Plattform kommt Sentry zum Einsatz (Functional Software Inc., 45 Fremont Street, San Francisco, CA, USA). Das Skript wird erst nach Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO). Übermittelt werden technische Fehlerdaten (Browsertyp, aufgerufene Seite, Fehlermeldung); Grundlage für die Drittlandübermittlung sind die EU-Standardvertragsklauseln.

8. Standorterkennung (lokal, ohne Übermittlung)

Um Ihnen passende Städte vorzuschlagen und vor dem Feld für Ihre Handynummer die Vorwahl Ihres Landes vorzubelegen, ermitteln wir aus Ihrer IP-Adresse eine ungefähre Stadt und das Land — ausschließlich mit einer lokal auf unserem Server liegenden Datenbank. Kennt sie Ihre IP-Adresse nicht, fragen wir niemanden sonst: Die Stadt bleibt offen, und die Vorwahl richtet sich nach der Spracheinstellung Ihres Browsers. Eine Übermittlung Ihrer IP-Adresse an Dritte findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Vorauswahl); die Vorauswahl ist jederzeit manuell überschreibbar. Die Datenbank ist GeoLite2 City von MaxMind, Inc.; wir laden sie herunter und betreiben sie selbst, MaxMind erhält dabei keine Daten über Sie. Dieses Angebot enthält GeoLite-Daten von MaxMind, verfügbar unter https://www.maxmind.com.

9. Geokodierung von Location-Adressen (Nominatim)

Wenn ein Anbieter eine Location anlegt oder ein Dienstleister sein Einzugsgebiet angibt, wandeln wir die angegebene Adresse bzw. Stadt serverseitig in Koordinaten um. Dazu kommt Nominatim zum Einsatz (OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, Großbritannien). Übermittelt wird ausschließlich die eingegebene Adresse der Location bzw. der Städtename — keine Daten über Endnutzer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9a. Google-Kalender-Verbindung für Anbieter

Anbieter können ihr Google-Konto freiwillig mit Noala verbinden (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Google LLC, USA). Sie erteilen die Rechte selbst in Googles Zustimmungsdialog und können jedes einzeln abwählen. Noala erhält dabei nur: die Information „belegt“ oder „frei“ aus den Kalendern, die der Anbieter einem Raum zuordnet (keine Titel, Teilnehmer oder Notizen), die Namen seiner Kalender und Zugriff auf einen eigenen Kalender „Noala-Buchungen“, in den Noala verbindliche Buchungen einträgt (Anlass, Gästezahl, Raum, Name der Kundschaft, Link zum Vorgang). Auf andere Kalender, E-Mails, Dateien oder Kontakte greift Noala nicht zu. Zweck ist, Doppelbuchungen zu verhindern und Buchungen im Kalender des Anbieters zu zeigen (Art. 6 Abs. 1 lit. b DSGVO). Die Zugangsschlüssel speichern wir verschlüsselt; mit dem Trennen geben wir sie an Google zurück und löschen sie und die gelesenen Belegt-Tage. Bei einer Übermittlung in die USA stützt sich Google auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Die Nutzung von Daten aus Google-APIs folgt der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

9b. Outlook-/Microsoft-365-Kalender-Verbindung für Anbieter

Anbieter können ihr Microsoft-Konto (Outlook.com oder Microsoft 365) freiwillig mit Noala verbinden (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Microsoft Corporation, USA). Microsoft vergibt den Kalender-Zugriff nur als ein gemeinsames Lese- und Schreibrecht für die Kalender des Kontos; Noala nutzt davon ausschließlich: Beginn, Ende und den Status „belegt/frei“ der Termine in den Kalendern, die der Anbieter einem Raum zuordnet (nie Betreff, Teilnehmer oder Text), die Namen seiner Kalender, die E-Mail-Adresse des Kontos zur Anzeige, und das Eintragen verbindlicher Buchungen in einen eigenen Kalender „Noala-Buchungen“ (Anlass, Gästezahl, Raum, Name der Kundschaft, Link zum Vorgang). Auf E-Mails, Dateien oder Kontakte greift Noala nicht zu. Zweck und Rechtsgrundlage wie in Abschnitt 9a (Art. 6 Abs. 1 lit. b DSGVO). Die Zugangsschlüssel speichern wir verschlüsselt; beim Trennen löschen wir sie und die gelesenen Belegt-Tage. Bei einer Übermittlung in die USA stützt sich Microsoft auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.

10. Cookies und Einwilligung

Wir setzen nur technisch notwendige Cookies (Session-Cookie für den Login-Status). Tracking- oder Werbe-Cookies setzen wir nicht. Skripte von Drittanbietern (Stripe, Google Places, und weitere Dienstleister) werden erst geladen, nachdem Sie über den Cookie-Hinweis eingewilligt haben (§ 25 TDDDG); ohne Einwilligung bleibt die Plattform nutzbar.

11. Automatisierte Eventerkennung

Wenn Sie Ihr Event in der Suche in eigenen Worten beschreiben, werten wir diesen Freitext mit Unterstützung eines automatisierten Dienstes aus, um Anlass, Gästezahl und Rahmendaten zu erkennen. Die Verarbeitung erfolgt durch einen Auftragsverarbeiter (Art. 28 DSGVO) — einen Dienstleister mit Sitz in den USA. Ein Verzeichnis der Auftragsverarbeiter kann gemäß Art. 15 Abs. 1 lit. c DSGVO angefragt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

Dabei kann der eingegebene Freitext in die USA übermittelt werden; die Übermittlung ist durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Übermittelt wird ausschließlich der von Ihnen eingegebene Beschreibungstext — keine Konto- oder Kontaktdaten. Bitte geben Sie keine sensiblen personenbezogenen Daten in das Freitextfeld ein.

12. Automatisierte Charakter-Suche

Wenn Ihre Suche einen Charakter-Wunsch ausdrückt (etwa „industrieller Charme, viel Glas"), werten wir Ihren Charakter-Wunsch mit Unterstützung eines weiteren automatisierten Dienstes aus, um Ihnen zusätzliche Räume vorzuschlagen, die diesem Charakter entsprechen. Die Verarbeitung erfolgt durch einen weiteren Auftragsverarbeiter (Art. 28 DSGVO) mit Sitz in den USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

Übermittelt werden ausschließlich Kurzdaten ohne Personenbezug (keine Namen, Kontakt- oder Kontodaten). Die Übermittlung in die USA ist durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Wie oft ein Charakter-Wunsch bzw. ein Klick auf eine solche Empfehlung vorkommt, zählen wir ausschließlich als anonym und aggregiert; es werden keine Nutzungsprofile erstellt.

13. Automatisierte Aussteller-Recherche und Kontaktaufnahme mit Ausstellern von Fachmessen

Was wir tun. Zur Anbahnung von Geschäftsbeziehungen mit Unternehmen lesen wir öffentlich zugängliche Ausstellerverzeichnisse von Fachmessen sowie die öffentlichen Websites der dort gelisteten Unternehmen (Startseite, Impressum, Kontakt- und Team-Seiten). Ziel ist, je Unternehmen eine für Messen, Marketing oder Vertrieb zuständige Ansprechperson — ersatzweise die Geschäftsführung — und deren geschäftliche E-Mail-Adresse zu ermitteln und ihr einmalig per E-Mail unser Angebot für Veranstaltungsorte und Gastronomie am Messeort vorzustellen — oder, wenn wir eine Messe exklusiv an einen Partner vergeben haben, dessen Angebot (siehe „Versand im Auftrag eines Partners"). Privatpersonen sprechen wir nicht an; den Veranstalter der jeweiligen Messe und seine Beschäftigten ebenfalls nicht.

Welche Daten. Firmenname, Land, Halle und Stand sowie Website aus dem Ausstellerverzeichnis; Name und Funktion der Ansprechperson; ihre geschäftliche E-Mail-Adresse; die Fundstelle (Quelle und Abrufdatum); das Ergebnis der Zustellbarkeitsprüfung; technische Abrufprotokolle. Private Kontaktdaten erheben wir nicht; Adressen bei Freemail-Anbietern übernehmen wir nur, wenn das Unternehmen sie selbst in seinem Impressum nennt.

Woher die Daten stammen (Art. 14 Abs. 2 lit. f DSGVO). Aus den öffentlich zugänglichen Ausstellerverzeichnissen der jeweiligen Messe und aus den öffentlichen Websites der Unternehmen, insbesondere dem Impressum nach § 5 DDG. Die konkrete Fundstelle und das Abrufdatum nennen wir in jeder ersten E-Mail.

Rechtsgrundlage und Interessen. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Anbahnung von Geschäftsbeziehungen mit Unternehmen, die am Messeort Veranstaltungsorte und Gastronomie benötigen; die Verarbeitung zum Zweck der Direktwerbung kann ein berechtigtes Interesse sein (Erwägungsgrund 47 DSGVO). Wir verarbeiten ausschließlich geschäftliche Kontaktdaten, die das Unternehmen selbst für Geschäftskontakte veröffentlicht; die Ansprache erfolgt einmalig, ist als Erstkontakt erkennbar und kann jederzeit mit sofortiger Wirkung beendet werden. Eine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO) findet nicht statt: Gefundene Kontakte liegen ausschließlich als Entwürfe bei uns, und eine E-Mail an ein Unternehmen senden wir nur, nachdem ein Mensch bei uns sie ausgewählt und den Versand selbst ausgelöst hat — automatischen Versand gibt es nicht.

Versand im Auftrag eines Partners. Einzelne Messen vergeben wir exklusiv an einen Partner, etwa einen Gastronomie- oder Location-Betrieb am Messeort. Dann senden wir die einmalige E-Mail in seinem Auftrag; sie wirbt für sein Angebot, und ihr Link führt auf seine Website. Die E-Mail nennt den Partner mit Firma, Anschrift, Vertretung und Registerangaben als Werbenden und Noala als Versender. Auch dann ist allein Noala für Ihre Daten verantwortlich: Der Partner erhält von uns weder Ihre Kontaktdaten noch die Liste der angeschriebenen Unternehmen; er liefert uns nur Text und Link seines Angebots, und Noala erhält für den Versand ein Entgelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse des Partners an der Anbahnung von Geschäftsbeziehungen (Interesse eines Dritten) und unser Interesse an diesem Versand. Antworten Sie auf eine solche E-Mail, geht Ihre Antwort direkt an den Partner; für die Angaben, die Sie ihm damit selbst übermitteln, ist er verantwortlich. Für jedes Unternehmen gilt: eine einzige E-Mail — wer bereits eine E-Mail von uns erhalten hat, sei es für Noala oder für einen Partner, erhält keine weitere.

Empfänger und Auftragsverarbeiter. Partner, in deren Auftrag wir eine E-Mail senden, sind keine Empfänger Ihrer Daten. Der Versand erfolgt über unseren E-Mail-Dienstleister (Abschnitt 3, Verarbeitung über EU-Server). Derzeit ist die automatisierte Textauswertung durch einen externen Dienst deaktiviert. Die eingelesenen Verzeichnisse und Websites werden ausschließlich mit eigenen, regelbasierten Verfahren auf unseren eigenen Servern ausgewertet; die eingelesenen Texte verlassen die EU nicht. Externe Dienste zum Finden oder Prüfen von E-Mail-Adressen setzen wir derzeit nicht ein. Ein Verzeichnis unserer Auftragsverarbeiter kann gemäß Art. 15 Abs. 1 lit. c DSGVO angefragt werden.

Speicherdauer. Erhobene Kontaktdaten löschen wir spätestens 6 Monate nach der Erhebung, sofern bis dahin keine Geschäftsbeziehung entstanden ist (täglicher Löschlauf). Technische Abrufprotokolle löschen wir nach 90 Tagen. Widersprechen Sie der Verarbeitung, löschen wir Ihre Daten und behalten ausschließlich Ihre E-Mail-Adresse in einer Sperrliste, damit der Widerspruch dauerhaft beachtet wird (Art. 21 Abs. 3, Art. 17 Abs. 3 lit. b DSGVO).

Ihre Rechte, insbesondere Widerspruch. Sie können der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO) — ein Klick auf den Abmelde-Link in jeder unserer E-Mails, die Antwort „Stop" auf eine E-Mail, die wir in eigenem Namen senden, oder eine Nachricht an hello@noala.io genügt; wir schreiben Ihnen dann nicht wieder — weder für uns noch im Auftrag eines Partners. Daneben haben Sie die Rechte auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung (Art. 15–18 DSGVO) sowie das Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO, Abschnitt 18). Diese Information erhalten Sie spätestens mit unserer ersten Nachricht (Art. 14 Abs. 3 lit. b DSGVO).

14. Videogespräche (Noala Meet / Zoom Video SDK)

Für Videogespräche (Noala Meet, erreichbar über onboard.noala.io) kommt das Video SDK von Zoom zum Einsatz (Zoom Video Communications, Inc., 55 Almaden Blvd, San Jose, CA, USA). Beim Beitritt zu einem Raum werden Ihre Audio- und Videodaten sowie technische Verbindungsdaten (IP-Adresse, Gerätedaten) über die Infrastruktur von Zoom übertragen; Kamera und Mikrofon werden erst aktiv, wenn Ihr Browser Sie um Erlaubnis gefragt hat und Sie zugestimmt haben. Der von Ihnen eingegebene Anzeigename ist für andere Teilnehmende sichtbar. Eine Aufzeichnung der Gespräche findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Gesprächs, an dem Sie teilnehmen möchten); Grundlage für die Übermittlung in die USA sind die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework, dem Zoom angehört. Wer keinem Raum beitritt, dessen Daten erreichen Zoom nicht.

15. Eingebettete 3D-Rundgänge

Manche Locations bieten einen 3D-Rundgang an, der von einem Drittanbieter (z.B. Matterport) bereitgestellt wird. Ein solcher Rundgang wird erst geladen, wenn Sie ihn ausdrücklich per Klick starten — der Name des Drittanbieters steht dabei am Startknopf. Mit dem Start wird Ihre IP-Adresse an den jeweiligen Anbieter übermittelt (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG). Ohne Klick wird keine Verbindung aufgebaut.

16. Bewertungen

Nach einem über Noala gebuchten Event können Sie die Location bzw. den Dienstleister bewerten. Wir speichern dazu Ihre Sterne, Ihren freiwilligen Text, den Bezug zu Ihrer Buchung und den Monat des Events. Veröffentlicht werden nur die Bewertung, Ihr Vorname mit dem Anfangsbuchstaben Ihres Nachnamens und der Monat des Events — nie Ihre Kontaktdaten. Rechtsgrundlage ist Ihre Entscheidung, eine Bewertung abzugeben (Art. 6 Abs. 1 lit. a DSGVO); Sie können eine Bewertung jederzeit im Kundenkonto zurückziehen oder uns bitten, sie zu löschen.

Nach einem Event fragen wir Sie einmal per E-Mail nach einer Bewertung (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Dieser Nachfrage können Sie jederzeit widersprechen — über den Link in der E-Mail oder formlos an uns; Mails zu Ihren Buchungen erhalten Sie weiterhin.

17. Vertrags- und Rechnungsdaten, Speicherdauer

Anfragen, Angebote, Buchungen und die zugehörige Kommunikation verarbeiten wir zur Durchführung der Vermittlung (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsbelege bewahren wir aufgrund gesetzlicher Pflichten 10 Jahre auf (§ 14b UStG, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO). Löschen Sie Ihr Konto, werden Ihre personenbezogenen Daten gelöscht bzw. — soweit gesetzliche Aufbewahrungspflichten entgegenstehen, etwa bei Rechnungen — anonymisiert und nach Ablauf der Fristen gelöscht.

Datensicherungen. Damit bei einem technischen Ausfall keine Daten verloren gehen, sichern wir unsere Datenbank täglich (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO). Die Sicherungen auf unserem Server löschen wir nach 7 Tagen. Eine verschlüsselte Kopie liegt zusätzlich bei Bunny.net (Slowenien) und wird nach 30 Tagen automatisch gelöscht. Daten, deren Löschung Sie verlangen, können bis zum Ablauf dieser Fristen noch in einer Sicherung enthalten sein.

18. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — etwa beim Bayerischen Landesamt für Datenschutzaufsicht. Kontaktieren Sie uns unter hello@noala.io.