Datenschutzerklärung

Whenext zeigt Countdowns zu öffentlich angekündigten Terminen. Zum Lesen der Seite ist kein Konto nötig.

Über dich als Besucher legen wir nichts an. Kein Cookie zur Wiedererkennung, keine gespeicherte Kennung, kein Profil, keine Historie. Wer die Seite nur liest, hinterlässt in unserer eigenen Datenhaltung nichts, was auf eine Person zurückführt — die Besucherzählung speichert ausschließlich Summen, keine IP-Adresse und keine Kennung (Abschnitt 4).

Zwei Einschränkungen gehören dazu, sonst wäre der Satz oben zu schön:

• In den Serverprotokollen des Hosters steht deine IP-Adresse, wie bei jeder Website im Netz. Ohne sie käme keine Verbindung zustande. Wir lesen sie nicht aus und führen sie mit nichts zusammen (Abschnitt 3).
• Geht beim Laden etwas schief, steht der Fehler samt Browserkennung in unserem Fehlerprotokoll — ohne IP-Adresse und ohne Konto (Abschnitt 3).

Was nur anfällt, wenn du es selbst auslöst:

• Ein Konto, wenn du dich registrierst.
• Eine Push-Anmeldung, wenn du eine Erinnerung einrichtest.
• Ein regelmäßiger Abruf, wenn du einen Kalender abonnierst.

Was nicht stattfindet: kein Werbenetzwerk, kein Weiterverkauf von Daten, kein geräteübergreifendes Zusammenführen, kein Profil und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Die Seite läuft auf einem eigenen Server, den wir bei der netcup GmbH mieten. Bei jedem Aufruf verarbeitet dieser Server die Angaben, die dein Browser technisch übermittelt und ohne die eine Verbindung nicht zustande käme:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Angeforderte Adresse und übertragene Datenmenge
• Statuscode der Antwort
• Browser- und Betriebssystemkennung (User-Agent)
• Verweisende Adresse (Referrer), sofern dein Browser eine sendet

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist der Betrieb selbst: eine Seite auszuliefern, Angriffe und Überlastung zu erkennen und Fehler nachvollziehen zu können. Diese Protokolle werden nicht mit anderen Daten zusammengeführt und nicht dazu benutzt, einzelne Besucher zu identifizieren.

Geht dabei etwas schief — im Server oder beim Anzeigen in deinem Browser —, speichern wir den Fehler in einem Fehlerprotokoll: die Fehlermeldung, die aufgerufene Adresse ohne Parameter, den User-Agent und den Zeitpunkt. Keine IP-Adresse und kein Konto; E-Mail-Adressen in einer Fehlermeldung werden vor dem Speichern entfernt. Einen Fehler in deinem Browser meldet die Seite dafür an unseren eigenen Server, an Dritte geht nichts. Ein Eintrag wird gelöscht, wenn der Fehler 30 Tage lang nicht wieder auftritt. Rechtsgrundlage und Interesse sind dieselben wie oben.

Zum Schutz vor Überlastung zählt der Server, wie viele Anfragen eine IP-Adresse an unsere Schnittstellen (/api/) stellt. Der Zähler liegt nur im Arbeitsspeicher, wird nirgends gespeichert und nach einer Minute verworfen. Wer zu viele Anfragen stellt, bekommt kurz keine Antwort. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. f DSGVO.

Whenext zählt, wie viele Menschen die Seite besuchen. Diese Zählung läuft im Server, nicht im Browser: es wird kein Skript geladen, kein Cookie gesetzt und nichts auf deinem Gerät gespeichert oder ausgelesen. Eine Einwilligung nach § 165 Abs. 3 TKG 2021 ist dafür nicht erforderlich, weil auf dein Endgerät gar nicht zugegriffen wird. Eine Ausnahme gibt es, und sie steht weiter unten: die Aufrufe einzelner Countdowns meldet die Seite selbst.

Damit dieselbe Person nicht bei jedem Klick erneut als Besucher zählt, wird pro Aufruf eine Kennung gebildet — als nicht umkehrbarer Hashwert (SHA-256) aus vier Bestandteilen:

• einem geheimen, nur uns bekannten Zufallswert,
• dem Kalendertag,
• deiner IP-Adresse,
• deiner Browserkennung.

Der Kalendertag steckt mit im Hashwert. Dadurch wechselt die Kennung jede Nacht: derselbe Rechner ist am nächsten Tag rechnerisch ein anderer Besucher, und über den Tag hinaus lässt sich nichts fortschreiben.

Gespeichert wird diese Kennung nicht. Sie fließt in eine Zählstruktur (HyperLogLog), die sich keine Kennungen merkt, sondern nur so viele Bits, dass sich ihre Anzahl schätzen lässt. Aus dem Ergebnis lässt sich keine einzelne Kennung zurückgewinnen. Deine IP-Adresse wird für diese Zählung zu keinem Zeitpunkt gespeichert — sie geht in die Berechnung ein und ist danach weg.

Zusätzlich werden pro Kalendertag gezählt:

• die Gesamtzahl der Seitenaufrufe,
• wie oft jede einzelne Seite aufgerufen wurde,
• von welchen fremden Domains verwiesen wurde,
• aus welchem Land die Aufrufe kamen — nur als Ländercode (etwa „DE“). Das Land wird beim Zählen aus deiner IP-Adresse nachgeschlagen, und zwar in einer Datenbank auf unserem eigenen Server (DB-IP Lite); die Adresse wird dafür an niemanden übermittelt und auch hier nicht gespeichert,
• wie viele Zugriffe von erkannten Crawlern kamen — aufgeschlüsselt nach deren Namen (etwa Googlebot, Bingbot, GPTBot), damit erkennbar ist, ob und von wem die Seite maschinell gelesen wird.

Aufrufe einzelner Countdowns

Für jeden Countdown zählen wir zusätzlich, wie oft er angesehen wurde. Diese eine Zählung meldet die Seite selbst, sobald du sie im Browser geöffnet hast. Der Grund ist technisch: Countdown-Seiten werden zwischengespeichert und erreichen unseren Server sonst gar nicht.

Auf deinem Gerät ändert das nichts. Es wird weiterhin kein Cookie gesetzt und nichts gespeichert oder ausgelesen; gemeldet wird nur, welcher Countdown geöffnet wurde. Die Kennung entsteht wie oben beschrieben erst im Server und wandert in dieselbe Zählstruktur. Wer JavaScript abgeschaltet hat, wird hier nicht mitgezählt.

Die Zahlen zu privaten Countdowns sieht ausschließlich das Konto, dem der Countdown gehört — auch der Betrieb von Whenext sieht sie nicht. Getrennt wird das nicht durch eine Einstellung, sondern durch die Ablage: private und öffentliche Zähler liegen an verschiedenen Stellen.

Welche Funktionen benutzt werden

Neben den Aufrufen zählen wir, welche Funktionen der Seite benutzt werden: ein abonnierter oder heruntergeladener Kalender, eine gesetzte oder gelöschte Erinnerung, eine erteilte Push-Erlaubnis, ein Countdown, der als iframe in einer fremden Seite eingebunden ist, ein gemerkter Termin, eine eingerichtete Startseite, eine Suche, ein gesetzter Filter, ein Wechsel von Zeitzone oder Sprache, ein Klick auf einen Link nach draußen, eine Anmeldung oder Registrierung, ein Aufruf unserer MCP-Schnittstelle — und jede Seite, die nicht gefunden wurde.

Zu jeder gezählten Handlung wird außerdem die volle Stunde festgehalten, in der sie passiert ist — nicht der genaue Zeitpunkt. Das beantwortet, ob eine Funktion mittags oder nachts benutzt wird, und sonst nichts.

Zu jeder dieser Handlungen speichern wir ein paar Merkmale — etwa welche Kalenderkategorie, welcher Vorlauf bei einer Erinnerung, welcher Suchbegriff, oder auf welcher Seite ein eingebetteter Countdown steht. Nicht gespeichert wird, wer gehandelt hat. Es entsteht dieselbe tageweise wechselnde Kennung wie oben, und sie wandert in dieselbe Zählstruktur, die sich keine Kennungen merkt. Das gilt auch für Handlungen, die eine Anmeldung voraussetzen: aus den Zahlen geht nicht hervor, welches Konto etwas getan hat.

Bei privaten Countdowns speichern wir weder die Adresse noch die Seite, in die jemand sie eingebunden hat — gezählt wird nur, dass es eine Einbettung gab. Von einer Push-Erlaubnis speichern wir nur die Domain des Push-Dienstes, nie die Adresse deines Geräts. Bei einer Anmeldung speichern wir nur, ob sie geklappt hat, nie die eingegebene Adresse. Und bei einem Klick nach draußen nur die Zieldomain, nicht die genaue Adresse.

Das sind reine Zähler ohne Personenbezug. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist zu wissen, ob und wie die Seite genutzt wird. Die Zähler werden nach 400 Tagen automatisch gelöscht. Die Zahlen sind ausschließlich für den Betrieb von Whenext einsehbar und werden nicht an Dritte weitergegeben.

Whenext setzt keine Werbe- oder Trackingcookies. Es gibt deshalb auch keinen Einwilligungsdialog. Gespeichert wird auf deinem Gerät nur, was die Seite zum Funktionieren braucht:

Alle drei sind unbedingt erforderlich, damit die Seite den von dir ausdrücklich gewünschten Dienst erbringen kann. § 165 Abs. 3 TKG 2021 nimmt genau diesen Fall von der Einwilligung aus. Du kannst sie jederzeit in den Browsereinstellungen löschen; die Seite funktioniert danach weiter, vergisst aber Sprache, Zeitzone und Anmeldung.

Ein Konto ist freiwillig und nur nötig, um Erinnerungen zu verwalten. Verarbeitet werden dabei deine E-Mail-Adresse, dein Passwort (ausschließlich als Hashwert, nie im Klartext), ein optionaler Anzeigename sowie Zeitpunkt der Registrierung und der letzten Anmeldung. Zu jeder Anmeldung speichern wir eine Sitzung mit IP-Adresse und Browserkennung; sie endet mit der Abmeldung oder läuft ab.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — ohne diese Daten lässt sich das Konto nicht führen. Konto und Anmeldung laufen auf unserem eigenen Server; die Daten liegen in unserer Datenbank auf diesem Server. Zur Bestätigung der Adresse und zum Zurücksetzen des Passworts werden E-Mails an dich versendet.

Du kannst dein Konto jederzeit selbst löschen, unter „Mein Profil" → „Konto löschen" (oder über die oben genannte Kontaktadresse). Das geschieht sofort und lässt sich nicht rückgängig machen: Mit dem Konto werden alle Sitzungen, eigenen Countdowns samt ihren Aufrufzahlen, Erinnerungen, Push-Anmeldungen, die Einstellungen der eigenen Startseite und Veranstalter-Bestätigungen gelöscht.

Beim Löschen kannst du wählen, eine Kopie deiner Daten zu behalten. Dann speichern wir die Auskunft zum Zeitpunkt der Löschung — ohne Verbindung zu einem Konto, das es nicht mehr gibt — 30 Tage lang und schicken dir den Link dazu per E-Mail. Nur wer diesen Link hat, kann die Kopie abrufen. Nach 30 Tagen löschen wir sie automatisch und endgültig. Rechtsgrundlage ist deine Wahl, also deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Unter „Mein Profil" → „Meine Daten" siehst du alles, was wir zu deinem Konto gespeichert haben — E-Mail-Adresse, Anmeldungen mit IP-Adresse und Zeitpunkt, Countdowns, Erinnerungen, Einstellungen — und kannst es als Excel-Datei herunterladen oder als PDF speichern (Art. 15 und 20 DSGVO).

Für Konten mit Verwaltungsrechten gilt zusätzlich: Jede Änderung im Verwaltungsbereich — ein Event bearbeiten, ausblenden oder löschen, Vorschläge freigeben, eine Rolle ändern — wird mit E-Mail-Adresse, Zeitpunkt und Art der Änderung protokolliert (Audit-Log). Das dient der Nachvollziehbarkeit: wer hat einen Termin geändert, und wann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge lassen sich nicht bearbeiten und bleiben auch stehen, wenn das Konto gelöscht wird — sonst wäre das Protokoll lückenhaft. Für ein normales Konto gibt es kein solches Protokoll.

Wenn du dich an ein Event erinnern lassen möchtest, fragt dein Browser dich um Erlaubnis für Benachrichtigungen. Erteilst du sie, speichern wir:

• die Adresse des Push-Dienstes deines Browsers (Endpoint) samt der beiden Schlüssel, mit denen die Nachricht für dein Gerät verschlüsselt wird,
• die Browserkennung des angemeldeten Geräts,
• welches Event dich interessiert und wann vorher du erinnert werden willst.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, erteilt durch die Erlaubnis im Browser und das Einrichten der Erinnerung. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen — indem du die Erinnerung entfernst oder die Benachrichtigungserlaubnis im Browser entziehst.

Zum Zustellen wird die Nachricht an den Push-Dienst deines Browsers übergeben — je nach Browser also an Google (Chrome, Edge), Mozilla (Firefox) oder Apple (Safari). Der Inhalt ist dabei für dein Gerät verschlüsselt; der Push-Dienst sieht ihn nicht, wohl aber, dass eine Nachricht an dein Gerät geht. Auf diese Dienste haben wir keinen Einfluss, sie sind Teil des Browsers.

Erinnerungen per E-Mail. Statt einer Push-Benachrichtigung kannst du dich auch per E-Mail erinnern lassen. Dann schicken wir die Erinnerung an die bestätigte Adresse deines Kontos. Gespeichert wird dafür nichts Neues über dich, nur an der Erinnerung die Sprache und die Zeitzone, in der die Mail schreiben soll. Die Adresse lesen wir erst beim Versand aus deinem Konto. Die Mail geht über denselben Mailserver wie die Mails aus Abschnitt 6.

Rechtsgrundlage ist auch hier deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, erteilt durch das Einrichten der Erinnerung. Jede Mail enthält einen Link, mit dem du alle offenen Erinnerungen per E-Mail ausschaltest — ohne Anmeldung. Dein Postfach bietet dafür oft auch einen eigenen Knopf „Abbestellen“ an.

Whenext bietet Termine als Kalenderdatei zum Abonnieren an. Ein Abonnement wird bei uns nicht registriert — dein Kalenderprogramm ruft die Adresse einfach in Abständen ab. Diese Abrufe erscheinen wie jeder andere Seitenaufruf im Serverprotokoll (Abschnitt 3), und zwar so lange, wie das Abonnement in deinem Kalender steht. Entfernst du es dort, endet der Abruf.

Die verwendeten Schriften liegen auf unserem eigenen Server. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schriftdienst, und beim Laden der Seite wird deine IP-Adresse an keinen solchen Anbieter übertragen.

Auf Eventseiten stehen Schaltflächen zum Teilen bei X, LinkedIn und WhatsApp sowie zum Eintragen in den Google Kalender. Das sind reine Links, keine eingebetteten Inhalte und keine Zählpixel: zu diesen Anbietern wird erst dann eine Verbindung aufgebaut, wenn du auf den Link klickst. Danach gilt deren Datenschutzerklärung.

Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein:

Die netcup GmbH hat ihren Sitz in Deutschland. Upstash Inc. ist ein Unternehmen mit Sitz in den USA. Soweit dabei Daten in ein Drittland übermittelt werden, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission beziehungsweise auf das EU-US Data Privacy Framework, sofern der Anbieter dort zertifiziert ist.

• Serverprotokolle: werden auf unserem Server rotiert und gelöscht, üblicherweise nach wenigen Tagen bis Wochen.
• Besucherzähler: 400 Tage, danach automatische Löschung.
• Konto: bis zur Löschung durch dich oder auf deine Anfrage.
• Sitzungen: bis zur Abmeldung, längstens 7 Tage nach der letzten Nutzung.
• Fehlerprotokoll: ein Eintrag wird gelöscht, wenn der Fehler 30 Tage lang nicht wieder auftritt.
• Anfragezähler gegen Überlastung: eine Minute, nur im Arbeitsspeicher.
• Audit-Log (nur Konten mit Verwaltungsrechten): solange Whenext betrieben wird, auch über die Löschung des Kontos hinaus.
• Datensicherungen: die Datenbank wird täglich gesichert; jede Sicherung wird nach 14 Tagen gelöscht. Eine gelöschte Angabe kann deshalb bis zu 14 Tage in einer Sicherung stehen bleiben.
• Kopie deiner Daten nach dem Löschen des Kontos (nur auf Wunsch): 30 Tage, danach automatische Löschung.
• Werbeanfragen über das Formular auf der Seite „Werben“: Firma, Name, Mailadresse und die Angaben der Anfrage, solange die Anfrage bearbeitet wird. Auf Wunsch löschen wir sie früher. Die Anfrage geht zusätzlich als Mail an das Team.
• Erinnerungen und Push-Anmeldungen: bis du sie entfernst oder das Konto löschst; abgelaufene Anmeldungen werden aussortiert.

Dir stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir zu dir verarbeiten.
• Berichtigung (Art. 16 DSGVO) — falsche Angaben korrigieren zu lassen.
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen — also gegen die Abschnitte 3 und 4.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO), jederzeit und mit Wirkung für die Zukunft.

Auskunft und Löschung für dein Konto kannst du unter „Mein Profil" selbst erledigen (Abschnitt 6). Für alles andere genügt eine Nachricht an die oben genannte Adresse. Bei der Besucherzählung stößt das Auskunftsrecht allerdings an eine praktische Grenze, und zwar aus dem Grund, aus dem es sie gibt: es wird keine Kennung gespeichert, die sich einer Person zuordnen ließe. Wir können dir dort schlicht nichts heraussuchen — es liegt nichts vor (Art. 11 DSGVO).

Unabhängig davon steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO) — bei der Behörde deines Wohnsitzes oder bei der des Verantwortlichen. Das ist die österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Ändert sich, was die Seite verarbeitet, ändert sich diese Erklärung mit. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum oben nennt ihren Stand.

Die Termine auf dieser Seite stammen aus öffentlichen Quellen und werden nach bestem Wissen gepflegt. Sie ändern sich, werden verschoben oder abgesagt, und ein Teil von ihnen ist von vornherein als Schätzung gekennzeichnet. Alle Angaben ohne Gewähr. Für Entscheidungen, die jemand auf einen hier angezeigten Termin stützt, wird keine Haftung übernommen.

Für Inhalte fremder Seiten, auf die verlinkt wird, ist deren jeweiliger Anbieter verantwortlich. Zum Zeitpunkt der Verlinkung waren keine Rechtsverstöße erkennbar; eine ständige inhaltliche Kontrolle ohne konkreten Anhaltspunkt findet nicht statt.

Dieser Vorbehalt gilt für die Inhalte der Seite. Er gilt nicht für die Datenschutzerklärung selbst: was hier über die Verarbeitung deiner Daten steht, ist eine gesetzlich vorgeschriebene Auskunft, und die muss zutreffen. Fällt dir darin ein Fehler auf, schreib uns — wir tragen ihn nach.