Festl
Checker
Stand: 14. Oktober 2026 (Fassung 7)

Datenschutzerklärung

Hier erklären wir verständlich, welche Daten Festl Checker verarbeitet, warum wir sie benötigen, wem sie sichtbar werden, welche Dienstleister beteiligt sind und welche Entscheidungen du selbst treffen kannst.

⌖Standort bleibt privatKeine Karte, Koordinaten oder genaue Entfernung für andere.
◉Profile erst vor Ort„Bin dabei“ zeigt vor dem Check-in nur eine Gesamtzahl.
🛡Du behältst KontrolleModi pausieren, Inhalte löschen, Personen blockieren und Rechte ausüben.

1. Verantwortlicher und Geltungsbereich

Verantwortlich für die Verarbeitung ist Festl Checker, Inhaber Daniel Rechberger, Leopold-Böhm-Straße 5, 1030 Wien, Österreich. Datenschutzanfragen richtest du bitte an:

Diese Erklärung gilt für die Website festlchecker.app, die Web-App web.festlchecker.app, die PWA, künftige mobile Apps sowie die dazugehörigen Nutzer-, Veranstalter-, Werbe- und Moderationsbereiche.

KI-Chat in der Website-Vorschau

Die Personen in der Vorschau sind erfunden. Wenn du im Vorschau-Chat eine Nachricht sendest, übermitteln wir sie und bis zu zehn vorherige Nachrichten aus dieser Unterhaltung an Amazon Bedrock in Frankfurt, um eine Antwort zu erzeugen. Der KI-Dienst hat keinen Zugriff auf dein Konto, echte Profile oder private Nachrichten. Bitte gib hier keine persönlichen oder sensiblen Daten ein.

Wir speichern diesen Gesprächsverlauf nicht auf unserem Server und protokollieren weder Nachrichtentexte noch KI-Antworten. Der Verlauf bleibt im Arbeitsspeicher deines Tabs. Mit „Chatverlauf löschen“ im Chatmenü stoppst du laufende Anfragen und löschst den lokalen Verlauf. Ohne eine weitere Nachricht von dir werden keine neuen Antworten angefordert. Zum Schutz vor Missbrauch verwenden wir kurzlebige Anfragezähler mit täglich wechselnden, aus der IP-Adresse abgeleiteten Kennungen. Diese Zähler enthalten keine Nachrichtentexte und werden nach Ablauf automatisch entfernt.

2. Daten, die du uns bereitstellst

  • Konto: E-Mail-Adresse, Geburtsdatum, Anmeldedaten (Passwort, Einmalcodes per E-Mail, Passkey oder die Anmeldung mit Apple bzw. Google; bei Passkeys speichern wir nur den öffentlichen Schlüssel) sowie Einwilligungsdaten. Für Nutzerkonten erheben wir keine Telefonnummer, und es gibt keine Verifizierung per SMS.
  • Profil: Anzeigename, Profilbilder, Biografie, Interessen, Sprachen, Beruf, Heimatort, Antworten auf Profilfragen und freiwillige Musikangaben.
  • Eventnutzung: vorgemerkte Events, Check-ins, gewählte Discovery-Modi, Likes, Passes, Intro-Nachrichten, Matches, Blocks und Meldungen.
  • Inhalte: Live Photos, Profilbilder, Nachrichten sowie Inhalte, die du an Support oder Moderation sendest.
  • Käufe: bei kostenpflichtigen Leistungen wie Event Pass, Boost oder Werbekampagnen: Produkt, Betrag, Zeitpunkt, Zahlungsstatus, Referenzen von Stripe und bei Event Pass und Boost deine Erklärung zum sofortigen Leistungsbeginn mit Zeitpunkt (Nachweis nach FAGG). Kartendaten und andere Zahlungsmitteldaten erhält ausschließlich Stripe.
  • Veranstalter- und Geschäftsdaten: Event-, Unternehmens-, Team- und Kontaktdaten einschließlich einer Kontakttelefonnummer der Organisation, wenn du einen Business-Bereich nutzt. Diese Telefonnummer wird nicht verifiziert.

Einige freiwillige Profilangaben oder Inhalte können Rückschlüsse auf besonders geschützte Merkmale zulassen. Veröffentliche nur Angaben, die du im jeweiligen Eventkontext zeigen möchtest.

Anmeldung mit Apple oder Google

Du kannst dich statt mit einem E-Mail-Code auch mit deiner Apple-ID („Mit Apple anmelden“) oder deinem Google-Konto („Mit Google anmelden“) anmelden. Anbieter sind Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland, und Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Anmeldung findet auf den Seiten des jeweiligen Anbieters statt; dein Passwort dort erhalten wir nie.

Wir erhalten nur: deine E-Mail-Adresse (bei Apple auf Wunsch eine anonyme Weiterleitungsadresse @privaterelay.appleid.com), die Bestätigung, dass sie verifiziert ist, und eine dauerhafte, anbieterspezifische Kennung. Von Apple speichern wir zusätzlich ein Zugriffstoken, ausschließlich um die Verbindung bei der Löschung deines Kontos bei Apple zu widerrufen. Namen, Profilbilder, Kontakte oder andere Daten fragen wir nicht ab.

Alle neuen Konten (E-Mail-Code, Apple oder Google) bestätigen ihr Geburtsdatum in einem eigenen Schritt direkt nach der ersten Anmeldung; Apple und Google teilen es nicht mit uns. Die Nutzung ist erst ab 18 Jahren möglich. Liegt das Datum unter 18 Jahren, löschen wir das Konto sofort und speichern das Datum nicht.

Kontoverknüpfung: Gibt es bereits ein Festl Checker Konto mit derselben bestätigten E-Mail-Adresse, verknüpfen wir die Apple- bzw. Google-Anmeldung mit diesem Konto, damit du keine doppelten Konten hast. E-Mail-Code und Passkeys funktionieren weiter.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung durch Apple und Google richtet sich nach deren Datenschutzerklärungen; dabei können Daten in die USA übermittelt werden (EU-U.S. Data Privacy Framework).

Widerruf: Du kannst die Verbindung jederzeit trennen – bei Apple unter Einstellungen › [dein Name] › Anmelden & Sicherheit › „Mit Apple anmelden“ › Festl Checker › „Nicht mehr verwenden“, bei Google unter myaccount.google.com › Sicherheit › „Verbindungen zu Drittanbieter-Apps und -Diensten“ › Festl Checker. Dein Festl Checker Konto bleibt bestehen und du meldest dich dann per E-Mail-Code oder Passkey an. Löschst du dein Konto, widerrufen wir die Apple-Verbindung automatisch; gelingt das ausnahmsweise nicht, kannst du sie wie oben beschrieben selbst entfernen.

3. Daten, die bei der Nutzung entstehen

  • Technische Daten: IP-Adresse, Browser-/Gerätetyp, Betriebssystem, Zeitstempel, Sicherheits-, Fehler- und Diagnoseprotokolle.
  • Nutzungsdaten: aufgerufene Funktionen, Eventbezug, Interaktionen, Sichtbarkeit und Status technischer Abläufe.
  • Besuchsstatistik: nur mit deiner Einwilligung (Kategorie Statistik) zählen wir Seitenaufrufe als reine Summe, ohne Kennung und ohne Profilbildung.
  • Standortprüfung: aktuelle Koordinaten und Genauigkeit werden verarbeitet, um Eventzeit und Geofence zu prüfen. Wir veröffentlichen sie nicht, zeigen keine genaue Entfernung und erstellen keinen Standortverlauf.
  • Sicherheitsinformationen: technische Signale, Meldungen, Moderationsergebnisse und Maßnahmen gegen Spam, Betrug oder Umgehungsversuche.

4. Daten aus anderen Quellen

Eine Anmeldung über Apple oder Google ist derzeit nicht aktiviert. Wird sie aktiviert, erhalten wir nur die dort freigegebenen Kontoangaben, und wir aktualisieren diese Erklärung vorher. Stripe übermittelt uns den Status deiner Zahlung. Veranstalter und öffentliche Veranstaltungskalender stellen Eventinformationen bereit. Andere Nutzer können Inhalte oder Verhalten melden. Behörden und berechtigte Dritte können uns Informationen übermitteln, wenn dies gesetzlich vorgesehen ist.

5. Zwecke und Rechtsgrundlagen

Dienst bereitstellenKonto, Profil, Events, Check-in, Discovery, Matches und ChatVertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
ZahlungenBestellung, Zahlungsabwicklung über Stripe, Rechnungen und AufbewahrungArt. 6 Abs. 1 lit. b DSGVO; Aufbewahrung nach Art. 6 Abs. 1 lit. c DSGVO (§ 132 BAO, § 212 UGB)
Sicherheit gewährleistenAuthentifizierung, Moderation, Missbrauchs-, Betrugs- und GefahrenabwehrBerechtigte Interessen (Art. 6 Abs. 1 lit. f), rechtliche Pflichten (lit. c), lebenswichtige Interessen (lit. d)
Optionale FunktionenStandortzugriff, Benachrichtigungen, Angebote und Neuigkeiten per E-Mail, freiwillige besondere AngabenEinwilligung, Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO
StatistikAnonyme Zählung von SeitenaufrufenEinwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021
WerbungEigene, klar gekennzeichnete Kampagnen ohne Cookies und ohne Profilbildung; Google AdSense nur nach EinwilligungEigene Kampagnen: Art. 6 Abs. 1 lit. f DSGVO. Google AdSense: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021
Einwilligungen verwaltenAbfrage, Speicherung und Nachweis deiner Datenschutz-Auswahl, einschließlich des Ladens von Googles Consent-Tool vor deiner AuswahlArt. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO; Laden des Consent-Tools und Speicherung im Browser sind unbedingt erforderlich (§ 165 Abs. 3 TKG 2021)
Dienst verbessernFehleranalyse, Stabilität, aggregierte Auswertung und ProduktentwicklungBerechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) oder Einwilligung
KommunikationService-E-Mails, Support, Sicherheits- und VertragsinformationenVertragserfüllung und rechtliche Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO)

6. Wie Discovery, Empfehlungen und Anzeigen funktionieren

Festl Checker begrenzt Discovery auf Personen, die für denselben Eventtag einen gültigen Check-in haben, einen kompatiblen Modus aktiviert haben, ein ausreichend vollständiges Profil besitzen und nicht blockiert oder durch Moderation ausgeschlossen sind. In V1 gibt es im Dating-Modus keine klassischen Suchfilter. Reihenfolge und Auswahl können unter anderem von Eventbezug, aktivem Modus, bereits gesehenen oder abgelehnten Profilen und technischen Sicherheitsregeln abhängen.

Ein Like bleibt der anderen Person verborgen, bis Interesse gegenseitig ist. Erst dann entsteht ein Match und der Chat wird geöffnet. Diese Logik trifft keine Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung.

Beim Entdecken (Friends, Dating und Gruppen) kann in regelmäßigen Abständen eine klar als Anzeige gekennzeichnete Karte erscheinen. Eigene Kampagnen von Werbepartnern werden nach Veranstaltung ausgewählt, nicht nach deinem Profil. Damit Impressionen und Klicks je Konto und Tag nur einmal gezählt werden, speichern wir eine Markierung, die nach 32 Tagen gelöscht wird; Werbepartner erhalten nur aggregierte Kennzahlen. Mit einem Event Pass ist das jeweilige Event für dich werbefrei: Du siehst dort weder eigene Kampagnen noch Google-Anzeigen. Anzeigen von Google AdSense sind nur in der Web-App und nur nach deiner Einwilligung über Googles Consent-Tool vorgesehen; sie können freie Anzeigenplätze in allen Modi füllen. Google erhält dabei keine Angaben aus deinem Profil oder deinen Dating-Einstellungen. Derzeit werden keine Google-Anzeigen ausgeliefert.

7. Sichtbarkeit und Empfänger

  • Andere Nutzer: sehen die von dir freigegebenen Profilinhalte nur im passenden Event- und Moduskontext. Nachrichten sehen nur die beteiligten Matchpartner.
  • Veranstalter: erhalten aggregierte Eventkennzahlen, nicht deine privaten Likes, Matches oder Chatnachrichten.
  • Werbepartner: erhalten ausschließlich aggregierte Leistungswerte ihrer Kampagnen; genaue Standorte und private Kommunikation werden nicht weitergegeben.
  • Dienstleister und Drittanbieter: siehe Abschnitt 8. Auftragsverarbeiter verarbeiten Daten nur nach unserer Weisung (Art. 28 DSGVO).
  • Behörden und berechtigte Dritte: erhalten Daten nur bei wirksamer Rechtsgrundlage, zur Rechtsdurchsetzung oder zum Schutz von Personen.

8. Eingesetzte Dienste und Drittanbieter

Wir setzen ausschließlich die folgenden externen Dienste ein. Wir nutzen keine externen Schriftarten, keine Social-Media-Plugins und keine externen Analysedienste. Für die Anmeldung über Apple oder Google sind Apple und Google eigenständige Verantwortliche für die Anmeldung auf ihren Seiten (siehe „Anmeldung mit Apple oder Google“).

Amazon Web Services (Hosting und technische Infrastruktur)

Anbieter: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg; Muttergesellschaft Amazon Web Services, Inc., USA.

Zweck und Dienste: Betrieb der Website und App: Amazon CloudFront (Auslieferung über weltweite Edge-Standorte) mit AWS Shield Standard (Schutz vor Überlastungsangriffen), Amazon S3 (Dateien und Medien), AWS Lambda und Amazon API Gateway (Server-Logik, Echtzeit-Verbindungen), Amazon DynamoDB (Datenbank), Amazon Cognito (Anmeldung, Einmalcodes, Passkeys), Amazon SES (Versand von E-Mails; Empfang von E-Mails an unsere Adressen), Amazon Rekognition (automatische Prüfung von Fotos), Amazon Bedrock (Inhaltsprüfung mit Guardrails, KI-Antworten im Vorschau-Chat, KI-gestützter Import öffentlicher Eventdaten), Amazon CloudWatch (Protokolle und Alarme), Amazon EventBridge und SQS (Hintergrundaufgaben), AWS Secrets Manager und Systems Manager (Schlüsselverwaltung) sowie Amazon Route 53 (DNS).

Standorte: Daten werden in der Region Frankfurt (eu-central-1) gespeichert und verarbeitet. Der E-Mail-Empfang läuft in Irland (eu-west-1). Die Inhaltsprüfung mit Bedrock Guardrails kann innerhalb der EU auf Frankfurt, Irland, Paris, Stockholm, Mailand und Spanien verteilt werden. CloudFront liefert Inhalte über Edge-Standorte aus, die dir am nächsten sind; einzelne globale Konfigurationen (TLS-Zertifikate, Firewall-Regeln, Betriebsalarme) liegen in der AWS-Region USA-Ost.

Daten: alle Daten, die zur Nutzung von Festl Checker anfallen (Abschnitte 2 und 3), einschließlich IP-Adresse und technischer Protokolle.

Rechtsgrundlage und Dauer: Art. 6 Abs. 1 lit. b und f DSGVO; Auftragsverarbeitung nach Art. 28 DSGVO. Speicherdauer wie in Abschnitt 10; Server-Protokolle werden nach 30 Tagen gelöscht. Die Übermittlung in die USA stützt sich auf den EU-US Data Privacy Framework und Standardvertragsklauseln.

Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; verbundenes Unternehmen Stripe, Inc., USA.

Zweck und Daten: Abwicklung von Zahlungen über Stripe Checkout und Stripe Link: Name, E-Mail-Adresse, Zahlungsmitteldaten, Rechnungsadresse, Betrag, Gerät- und Browserdaten sowie IP-Adresse zur Betrugsprävention. Stripe lädt erst, wenn du eine Zahlung startest, und setzt dabei für die Betrugsprävention Cookies (zum Beispiel __stripe_mid bis zu 1 Jahr, __stripe_sid 30 Minuten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (gesetzliche Aufbewahrung) und lit. f (Betrugsprävention); die Stripe-Cookies sind für den von dir angeforderten Zahlungsvorgang unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Stripe ist für eigene Zwecke wie Betrugsprävention und regulatorische Pflichten selbst verantwortlich. Die Übermittlung in die USA stützt sich auf den EU-US Data Privacy Framework und Standardvertragsklauseln.

Dauer: Zahlungs- und Buchhaltungsunterlagen bewahren wir sieben Jahre auf (§ 132 BAO). Mehr unter stripe.com/at/privacy.

Google (Consent-Tool und Werbung)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; verbundenes Unternehmen Google LLC, USA.

Consent-Tool (Datenschutz und Mitteilungen): Damit wir deine Einwilligung für Werbung einholen können, laden wir auf festlchecker.app und web.festlchecker.app Googles zertifizierte Plattform zur Einwilligungsverwaltung (IAB TCF v2.3) von fundingchoicesmessages.google.com. Das Consent-Tool muss technisch bereits vor deiner Auswahl geladen werden, weil die Einwilligungsabfrage sonst nicht angezeigt werden kann. Dabei verarbeitet Google zwangsläufig deine IP-Adresse sowie Browser- und Geräteinformationen, um die Abfrage auszuliefern und anzuzeigen, und anschließend deine Auswahl. Vor deiner Einwilligung laden wir außer diesem Skript keine weiteren Google-Dienste, insbesondere kein AdSense und keine Werbe- oder Messpixel, und es werden keine Werbe-Cookies gesetzt oder ausgelesen. Im Admin-Bereich und in der eingebetteten Vorschau wird das Consent-Tool nicht geladen. Deine Auswahl speichert Google im Cookie FCCDCF (laut Google bis zu 13 Monate); zusätzlich kann Google das Cookie FCNEC setzen, das Google selbst als Analyse-Cookie einordnet (laut Google bis zu 365 Tage). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung) und unser berechtigtes Interesse an einer rechtskonformen Einwilligungsabfrage (Art. 6 Abs. 1 lit. f DSGVO); das Laden des Consent-Tools und das Speichern deiner Auswahl sind unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Ist Googles Consent-Tool nicht verfügbar oder noch nicht eingerichtet, verwenden wir unser eigenes Banner; dann wird keine Google-Werbung geladen.

Google-Einwilligungsmodus: Bevor ein Google-Dienst geladen wird, setzen wir alle Google-Speicher- und Werbesignale standardmäßig auf „abgelehnt“. Ohne deine Einwilligung werden keine Werbe-Cookies gesetzt oder ausgelesen.

Google AdSense: Nur in der Web-App web.festlchecker.app und nur nach deiner Einwilligung über Googles Consent-Tool lädt Google AdSense Anzeigen in freie Anzeigenplätze (in allen Modi; bei einem Event mit Event Pass nie). Dabei verarbeiten Google und dessen Partner IP-Adresse, Geräte- und Browserinformationen, ungefähren Standort, Interaktionen mit Anzeigen sowie Cookies und ähnliche Kennungen (zum Beispiel __gads, __gpi, __eoi, IDE; laut Google bis zu 13 Monate) für Auslieferung, Frequenzbegrenzung, Messung, Betrugsprävention und, soweit du zustimmst, personalisierte Werbung. Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Google verarbeitet diese Daten als eigener Verantwortlicher. Derzeit werden keine Google-Anzeigen ausgeliefert.

iOS-App und App-Tracking-Transparenz: In der iOS-App von Festl Checker kann Google AdSense ebenfalls Anzeigen in freie Anzeigenplätze laden, aber nur, wenn du beidem zustimmst: Googles Consent-Tool und Apples Abfrage „App-Tracking-Transparenz“ („Erlauben, dass die App deine Aktivitäten in Apps und auf Websites anderer Firmen verfolgt“). Wir fragen erst, nachdem du im Consent-Tool der Werbung zugestimmt hast, nie direkt beim Start. Lehnst du die Apple-Abfrage ab oder ist Tracking auf deinem Gerät eingeschränkt, lädt die App keine Google-Anzeigen; es erscheinen nur unsere eigenen, nicht personalisierten Kampagnen. Die Werbe-ID deines Geräts (IDFA) lesen wir nicht aus. Deine Entscheidung kannst du jederzeit in den iOS-Einstellungen unter Datenschutz & Sicherheit › Tracking ändern. In der Android-App wird Google AdSense nicht geladen.

Drittland und Widerruf: Google LLC kann Daten in den USA verarbeiten; die Übermittlung stützt sich auf den EU-US Data Privacy Framework und Standardvertragsklauseln. Du kannst deine Einwilligung jederzeit über „Datenschutz-Einstellungen“ im Seitenfuß, auf der Anmeldeseite oder in den Einstellungen widerrufen. Weitere Informationen: policies.google.com/technologies/partner-sites und adssettings.google.com.

Weitere Google-Berührungspunkte: Zur Prüfung von Veranstalter-Domains fragt unser Server DNS-Einträge der angegebenen Domain über Google Public DNS (dns.google) ab; dabei werden nur der Domainname und der Prüfcode übermittelt. Links zu Google Maps sind einfache Links; Google erhält Daten erst, wenn du einen solchen Link öffnest.

OpenStreetMap (Kartenkacheln)

Wenn du die Eventkarte öffnest, lädt dein Browser Kartenkacheln von tile.openstreetmap.org der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei werden deine IP-Adresse, Browserinformationen und der angezeigte Kartenausschnitt übermittelt. Es werden keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung der von dir geöffneten Karte). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Kartendaten © OpenStreetMap-Mitwirkende, ODbL.

9. Fotos, Nachrichten und Moderation

Neu eingereichte Profilnamen, Beschreibungen, Gruppen- und Eventtexte, Veranstalter-Updates, Werbeinhalte und Chatnachrichten werden vor dem Speichern beziehungsweise Zustellen automatisiert mit Amazon Bedrock Guardrails auf mögliche Regelverstöße geprüft. Dabei wird der jeweilige Inhalt innerhalb der EU verarbeitet; Kontopasswörter und Zahlungsdaten werden nicht an die Inhaltsprüfung übermittelt. Bei technischen Fehlern bleibt die Übermittlung ausgesetzt und kann erneut versucht werden. Automatisch blockierte Texte werden nicht in Diagnoseprotokollen gespeichert; für die Moderation werden der betroffene Inhaltsbereich, ein Prüffingerabdruck und die Entscheidung erfasst. Eine solche Blockierung führt nicht automatisch zu einer Kontosperre. Bei einer fehlerhaften Entscheidung kannst du dich an die Moderation wenden. Meldungen und Beschwerden sind von dieser Vorabprüfung ausgenommen, damit du problematische Inhalte schildern kannst.

Profil- und Live-Fotos werden technisch geprüft und mit Amazon Rekognition in Frankfurt automatisiert auf möglicherweise unzulässige Inhalte analysiert. Unklare Fälle können menschlich überprüft werden. Meldungen können dazu führen, dass Inhalte eingeschränkt, entfernt oder Konten vorübergehend beziehungsweise dauerhaft gesperrt werden. Soweit rechtlich erforderlich, informieren wir über wesentliche Moderationsentscheidungen und verfügbare Beschwerdemöglichkeiten.

Live Photos werden direkt mit der Kamera aufgenommen, gelten nur für den jeweiligen Eventtag und sind zunächst stark verschwommen, bis du selbst ein gültiges Live Photo erstellt hast oder einen aktiven Event Pass hast. Nach dem Eventtag werden sie nicht mehr öffentlich gezeigt und können vom Eigentümer gelöscht werden.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck, die Bereitstellung des Kontos oder gesetzliche Pflichten erforderlich sind. Wenn du dein Konto löschst, löschen wir es sofort: Login (E-Mail-Anmeldung, Passkeys sowie verknüpfte Apple- oder Google-Anmeldung, bei Apple widerrufen wir die Verbindung), Profil mit Fotos und Dating-Angaben, Einstellungen, Check-ins, Likes, Passes und Super Likes, Matches, Gruppenmitgliedschaften, Live-Fotos, In-App-Freischaltungen und den Eintrag in der Nutzerverwaltung. Eine Rücknahme ist nicht möglich. Eigene Chatnachrichten werden gelöscht; Chatpartner sehen stattdessen „Nachricht gelöscht“ und ein „Gelöschtes Profil“, Chats ohne Nachrichten der anderen Person werden vollständig entfernt.

Server-Protokolle werden nach 30 Tagen gelöscht. Datenbank-Sicherungen zur Wiederherstellung nach technischen Fehlern werden fortlaufend überschrieben; gelöschte Daten sind darin spätestens nach 35 Tagen nicht mehr enthalten. Zahlungs- und Buchhaltungsunterlagen bewahren wir sieben Jahre auf (§ 132 BAO); sie enthalten nur die zufällige Konto-ID. Meldungen und Moderationsfälle, die zur Abwehr von Missbrauch nötig sind, bleiben ohne Name, E-Mail-Adresse und Fotos erhalten, selbst erstellte Meldungen werden pseudonymisiert. Ein Foto, das bei der Löschung gerade geprüft wird, wird nach der Moderationsentscheidung gelöscht. Speicherfristen von Cookies und Browserspeicher findest du in Abschnitt 14.

Wie du dein Konto in der App, im Browser oder per E-Mail löschen kannst und welche Daten dabei gelöscht werden: Konto löschen.

11. Übermittlungen in Drittländer

Wir bevorzugen Verarbeitung im Europäischen Wirtschaftsraum. Amazon Web Services, Stripe und Google gehören zu Unternehmensgruppen mit Sitz in den USA; ein Zugriff aus den USA kann nicht vollständig ausgeschlossen werden. Die betroffenen Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023); zusätzlich bestehen Standardvertragsklauseln. Für die OpenStreetMap Foundation im Vereinigten Königreich besteht ein Angemessenheitsbeschluss.

12. Deine Rechte

Je nach Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen, für Cookies und Werbung über „Datenschutz-Einstellungen“. Du kannst außerdem Beschwerde bei einer Datenschutzaufsichtsbehörde einlegen; zuständig ist insbesondere die Datenschutzbehörde.

Zur Bearbeitung können wir Informationen zur Identitätsprüfung benötigen. Die Rechte anderer Personen, Sicherheitsinteressen und gesetzliche Ausnahmen bleiben berücksichtigt.

13. Sicherheit

Wir nutzen unter anderem verschlüsselte Übertragung, private Speicherbereiche, rollenbasierte Zugriffe, Protokollierung, Wiederherstellungsmechanismen, Rate Limits und technische Inhaltsprüfung. Kein System ist vollständig risikofrei; melde verdächtige Vorgänge bitte unverzüglich.

14. Cookies und lokale Speicherung

Wir speichern Informationen in deinem Browser oder lesen sie aus, wenn das für den von dir gewünschten Dienst unbedingt erforderlich ist (§ 165 Abs. 3 TKG 2021), und sonst nur mit deiner Einwilligung. Deine Auswahl triffst du im Datenschutz-Banner (Googles Consent-Tool oder, solange es nicht verfügbar ist, unser eigenes Banner mit den Kategorien Notwendig und Statistik). Du kannst sie jederzeit über „Datenschutz-Einstellungen“ im Seitenfuß, auf der Anmeldeseite oder in den Einstellungen ändern oder widerrufen.

  • Notwendig: festl_consent_v1 (deine Datenschutz-Auswahl, bis zur Änderung), festlLanguage (Sprache, bis zur Änderung), Anmelde-Token und Ablaufdaten im Sitzungsspeicher (bis zum Schließen des Tabs bzw. Abmelden), Offline-Cache des Service Workers (bis zum nächsten App-Update), FCCDCF von Google (deine Auswahl im Consent-Tool, bis zu 13 Monate) sowie Stripe-Cookies während einer Zahlung.
  • Consent-Tool von Google (vor der Auswahl): Das Skript von fundingchoicesmessages.google.com wird geladen, damit die Einwilligungsabfrage erscheinen kann (unbedingt erforderlich, § 165 Abs. 3 TKG 2021). Google kann zusätzlich FCNEC setzen, das Google selbst als Analyse-Cookie einordnet (laut Google bis zu 365 Tage). Werbe-Cookies werden vor deiner Einwilligung weder gesetzt noch ausgelesen.
  • Statistik (Einwilligung): festlVisitTracked im Sitzungsspeicher, damit ein Seitenaufruf pro Sitzung nur einmal gezählt wird; gelöscht beim Schließen des Tabs oder beim Widerruf.
  • Marketing (Einwilligung über Googles Consent-Tool): Cookies und Kennungen von Google AdSense wie __gads, __gpi, __eoi und IDE, laut Google bis zu 13 Monate, nur auf web.festlchecker.app. Marketing kann nur in Googles Consent-Tool gewählt werden; unser eigenes Banner bietet diese Kategorie nicht an, weil Festl Checker keine eigenen Marketing-Cookies verwendet, und aktiviert keine Google-Werbung.

15. Änderungen und Kontakt

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage wesentlich ändern. Über erhebliche Änderungen informieren wir angemessen. Fragen und Datenschutzanträge richtest du an:

Last updated: 14 October 2026 (version 7)

Privacy notice

Here we explain clearly which data Festl Checker processes, why we need it, who can see it, which service providers are involved and which choices you can make yourself.

⌖Your location stays privateNo map, coordinates or precise distance for other people.
◉Profiles unlock at the eventBefore check-in, “I’m going” shows only a total count.
🛡You stay in controlPause modes, delete content, block people and exercise your rights.

1. Controller and scope

The controller responsible for processing is Festl Checker, owned by Daniel Rechberger, Leopold-Böhm-Straße 5, 1030 Vienna, Austria. Please send privacy requests to:

This notice applies to the website festlchecker.app, the web app web.festlchecker.app, the PWA, future mobile apps and the related user, organizer, advertising and moderation areas.

AI chat in the website preview

The people in the preview are fictional. When you send a preview chat message, we send it and up to ten previous messages in that conversation to Amazon Bedrock in Frankfurt to generate a reply. The AI service cannot access your account, real profiles or private messages. Please do not enter personal or sensitive information here.

We do not store this conversation on our server or log message text or AI replies. The conversation stays in your tab’s memory. “Clear chat history” in the chat menu stops pending requests and deletes the local history. No further replies are requested unless you send another message. To prevent abuse, we use short-lived request counters with daily rotating identifiers derived from the IP address. These counters contain no message text and are automatically removed after expiry.

2. Data you provide

  • Account: Email address, date of birth, sign-in data (password, one-time codes by email, passkey or signing in with Apple or Google; for passkeys we only store the public key) and consent records. We do not collect a phone number for user accounts, and there is no SMS verification.
  • Profile: Display name, profile photos, biography, interests, languages, occupation, hometown, answers to profile questions and optional music preferences.
  • Event use: saved events, check-ins, selected discovery modes, Likes, passes, intro messages, matches, blocks and reports.
  • Content: Live Photos, profile photos, messages and content you send to support or moderation.
  • Purchases: for paid services such as an Event Pass, a boost or advertising campaigns: product, amount, time, payment status, Stripe references and, for Event Pass and Boost, your request for an immediate start with its time (proof under the Austrian Distance and Off-Premises Contracts Act, FAGG). Card and other payment method details go to Stripe only.
  • Organizer and business data: event, company, team and contact details, including a contact phone number for the organization, when you use a business area. This phone number is not verified.

Some optional profile details or content may reveal specially protected characteristics. Only publish information you want to share in the relevant event context.

Signing in with Apple or Google

Instead of an email code you can sign in with your Apple ID ("Sign in with Apple") or your Google account ("Sign in with Google"). The providers are Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Ireland, and Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. You sign in on the provider's pages; we never receive your password there.

We receive only: your email address (with Apple, optionally an anonymous relay address @privaterelay.appleid.com), confirmation that it is verified, and a permanent provider-specific identifier. From Apple we also store an access token solely to revoke the connection with Apple when you delete your account. We do not request names, profile pictures, contacts or any other data.

All new accounts (email code, Apple or Google) confirm their date of birth in a separate step right after the first sign-in; Apple and Google do not share it with us. You must be at least 18 to use the service. If the date is under 18, we delete the account immediately and do not store the date.

Account linking: if a Festl Checker account with the same verified email address already exists, we link the Apple or Google sign-in to that account so you don't end up with duplicates. Email codes and passkeys keep working.

The legal basis is performance of the user agreement (Art. 6(1)(b) GDPR). Processing by Apple and Google is governed by their privacy policies; data may be transferred to the USA (EU-U.S. Data Privacy Framework).

Revoking: you can disconnect at any time – for Apple under Settings › [your name] › Sign-In & Security › Sign in with Apple › Festl Checker › Stop Using, for Google under myaccount.google.com › Security › Third-party apps & services › Festl Checker. Your Festl Checker account stays, and you then sign in with an email code or a passkey. When you delete your account we revoke the Apple connection automatically; if that fails in rare cases, you can remove it yourself as described above.

3. Data generated through use

  • Technical data: IP address, browser/device type, operating system, timestamps, security, error and diagnostic logs.
  • Usage data: features accessed, event context, interactions, visibility and the status of technical processes.
  • Visit statistics: only with your consent (Statistics category) do we count page views as a plain total, without an identifier and without profiling.
  • Location verification: current coordinates and accuracy are processed to check the event time and geofence. We do not publish them, show precise distance or create a location history.
  • Security information: technical signals, reports, moderation results and measures against spam, fraud or attempts to circumvent safeguards.

4. Data from other sources

Sign-in with Apple or Google is currently not enabled. If it is enabled, we only receive the account details you share there, and we will update this notice beforehand. Stripe tells us the status of your payment. Organizers and public event calendars provide event information. Other users can report content or behavior. Authorities and authorized third parties can send us information where the law provides for this.

5. Purposes and legal bases

Provide the serviceAccount, profile, events, check-in, discovery, matches and chatPerformance of a contract, Art. 6(1)(b) GDPR
PaymentsOrders, payment processing via Stripe, invoices and record keepingArt. 6(1)(b) GDPR; record keeping under Art. 6(1)(c) GDPR (§ 132 BAO, § 212 UGB)
Maintain safety and securityAuthentication, moderation and prevention of abuse, fraud and harmLegitimate interests (Art. 6(1)(f)), legal obligations (lit. c), vital interests (lit. d)
Optional featuresLocation access, notifications, offers and news by email, optional special detailsConsent, Art. 6(1)(a) and Art. 9(2)(a) GDPR
StatisticsAnonymous page view countConsent, Art. 6(1)(a) GDPR and § 165(3) TKG 2021
AdvertisingOwn, clearly labelled campaigns without cookies or profiling; Google AdSense only with consentOwn campaigns: Art. 6(1)(f) GDPR. Google AdSense: consent, Art. 6(1)(a) GDPR and § 165(3) TKG 2021
Managing consentAsking for, storing and documenting your privacy choices, including loading Google’s consent tool before you chooseArt. 6(1)(c) in conjunction with Art. 7(1) GDPR and Art. 6(1)(f) GDPR; loading the consent tool and storing the choice in the browser are strictly necessary (§ 165(3) TKG 2021)
Improve the serviceError analysis, stability, aggregate reporting and product developmentLegitimate interests (Art. 6(1)(f) GDPR) or consent
CommunicationService emails, support, security and contractual informationPerformance of a contract and legal obligations (Art. 6(1)(b) and (c) GDPR)

6. How discovery, recommendations and ads work

Festl Checker limits discovery to people with a valid check-in for the same event day, a compatible mode enabled and a sufficiently complete profile, who are not blocked or excluded by moderation. In V1, Dating mode has no conventional search filters. Ordering and selection may depend on event context, active mode, profiles already seen or passed on, and technical security rules.

A Like remains hidden from the other person until interest is mutual. Only then is a match created and chat unlocked. This logic does not make decisions with legal or similarly significant effects.

A card clearly labelled as an ad may appear at regular intervals while discovering (Friends, Dating and Groups). Own campaigns from advertising partners are selected by event, not by your profile. To count impressions and clicks only once per account and day, we store a marker that is deleted after 32 days; advertising partners only receive aggregated figures. With an Event Pass the event is ad-free for you: you see neither own campaigns nor Google ads there. Google AdSense ads are only intended in the web app and only after your consent via Google’s consent tool; they can fill free ad slots in every mode. Google receives no information from your profile or your dating settings. No Google ads are currently served.

7. Visibility and recipients

  • Other users: see the profile content you share only in the relevant event and mode context. Messages are visible only to the matched people involved.
  • Organizers: receive aggregate event metrics, not your private Likes, matches or chat messages.
  • Advertisers: only receive aggregated performance figures for their campaigns; exact locations and private communication are never shared.
  • Service providers and third parties: see section 8. Processors only process data on our instructions (Art. 28 GDPR).
  • Authorities and authorized third parties: receive data only with a valid legal basis, for law enforcement or to protect people.

8. Services and third parties we use

We only use the following external services. We do not use external fonts, social media plugins or external analytics services. For signing in with Apple or Google, Apple and Google are independent controllers for the sign-in on their pages (see "Signing in with Apple or Google").

Amazon Web Services (hosting and technical infrastructure)

Provider: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg; parent company Amazon Web Services, Inc., USA.

Purpose and services: Operating the website and app: Amazon CloudFront (delivery via worldwide edge locations) with AWS Shield Standard (protection against overload attacks), Amazon S3 (files and media), AWS Lambda and Amazon API Gateway (server logic, real-time connections), Amazon DynamoDB (database), Amazon Cognito (sign-in, one-time codes, passkeys), Amazon SES (sending emails; receiving emails sent to our addresses), Amazon Rekognition (automated photo checks), Amazon Bedrock (content screening with Guardrails, AI replies in the preview chat, AI-assisted import of public event data), Amazon CloudWatch (logs and alarms), Amazon EventBridge and SQS (background tasks), AWS Secrets Manager and Systems Manager (key management) and Amazon Route 53 (DNS).

Locations: Data is stored and processed in the Frankfurt region (eu-central-1). Incoming email is handled in Ireland (eu-west-1). Content screening with Bedrock Guardrails may be distributed within the EU across Frankfurt, Ireland, Paris, Stockholm, Milan and Spain. CloudFront delivers content from the edge locations closest to you; some global configuration (TLS certificates, firewall rules, operational alarms) is held in the AWS US East region.

Data: all data arising from your use of Festl Checker (sections 2 and 3), including IP address and technical logs.

Legal basis and duration: Art. 6(1)(b) and (f) GDPR; data processing agreement under Art. 28 GDPR. Retention as in section 10; server logs are deleted after 30 days. Transfers to the USA rely on the EU-US Data Privacy Framework and standard contractual clauses.

Stripe (payment processing)

Provider: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland; affiliate Stripe, Inc., USA.

Purpose and data: Processing payments via Stripe Checkout and Stripe Link: name, email address, payment method details, billing address, amount, device and browser data and IP address for fraud prevention. Stripe only loads when you start a payment and sets cookies for fraud prevention (for example __stripe_mid up to 1 year, __stripe_sid 30 minutes).

Legal basis: Art. 6(1)(b) GDPR (contract), (c) (statutory record keeping) and (f) (fraud prevention); the Stripe cookies are strictly necessary for the payment you request (§ 165(3) TKG 2021). Stripe is itself responsible for its own purposes such as fraud prevention and regulatory obligations. Transfers to the USA rely on the EU-US Data Privacy Framework and standard contractual clauses.

Duration: We keep payment and accounting records for seven years (§ 132 BAO). More at stripe.com/at/privacy.

Google (consent tool and advertising)

Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland; affiliate Google LLC, USA.

Consent tool (Privacy and messaging): To ask for your consent to advertising, we load Google’s certified consent management platform (IAB TCF v2.3) from fundingchoicesmessages.google.com on festlchecker.app and web.festlchecker.app. The consent tool has to be loaded before you make a choice, because otherwise the consent request could not be shown. In doing so, Google necessarily processes your IP address and browser and device information to deliver and display the request, and then your choice. Before you consent, we load no other Google services besides this script, in particular no AdSense and no advertising or measurement pixels, and no advertising cookies are set or read. The consent tool is not loaded in the admin area or in the embedded preview. Google stores your choice in the FCCDCF cookie (up to 13 months according to Google); Google may also set the FCNEC cookie, which Google itself classifies as an analytics cookie (up to 365 days according to Google). Legal basis: Art. 6(1)(c) GDPR in conjunction with Art. 7(1) GDPR (proof of consent) and our legitimate interest in a lawful consent request (Art. 6(1)(f) GDPR); loading the consent tool and storing your choice are strictly necessary (§ 165(3) TKG 2021). If Google’s consent tool is unavailable or not yet set up, we use our own banner; no Google ads are loaded in that case.

Google Consent Mode: Before any Google service is loaded, we set all Google storage and advertising signals to “denied” by default. Without your consent no advertising cookies are set or read.

Google AdSense: Only in the web app web.festlchecker.app and only after your consent via Google’s consent tool does Google AdSense load ads into free ad slots (in every mode; never at an event for which you hold an Event Pass). Google and its partners process your IP address, device and browser information, approximate location, interactions with ads and cookies and similar identifiers (for example __gads, __gpi, __eoi, IDE; up to 13 months according to Google) for delivery, frequency capping, measurement, fraud prevention and, if you agree, personalized advertising. Legal basis: consent, Art. 6(1)(a) GDPR and § 165(3) TKG 2021. Google processes this data as an independent controller. No Google ads are currently served.

iOS app and App Tracking Transparency: In the Festl Checker iOS app, Google AdSense may also load ads into free ad slots, but only if you agree to both: Google’s consent tool and Apple’s App Tracking Transparency prompt (“Allow the app to track your activity across other companies’ apps and websites”). We only ask after you have agreed to advertising in the consent tool, never right at launch. If you decline Apple’s prompt or tracking is restricted on your device, the app loads no Google ads; only our own non-personalised campaigns appear. We do not read your device’s advertising identifier (IDFA). You can change your decision at any time in the iOS Settings under Privacy & Security › Tracking. Google AdSense is not loaded in the Android app.

Third country and withdrawal: Google LLC may process data in the USA; transfers rely on the EU-US Data Privacy Framework and standard contractual clauses. You can withdraw your consent at any time via “Privacy settings” in the footer, on the sign-in page or in the settings. More information: policies.google.com/technologies/partner-sites and adssettings.google.com.

Other Google touchpoints: To verify organizer domains, our server looks up DNS records for the given domain via Google Public DNS (dns.google); only the domain name and verification code are sent. Links to Google Maps are plain links; Google only receives data when you open such a link.

OpenStreetMap (map tiles)

When you open the event map, your browser loads map tiles from tile.openstreetmap.org, operated by the OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, United Kingdom. Your IP address, browser information and the map area shown are transmitted. No cookies are set. Legal basis: Art. 6(1)(f) GDPR (displaying the map you opened). The European Commission has adopted an adequacy decision for the United Kingdom. Map data © OpenStreetMap contributors, ODbL.

9. Photos, messages and moderation

Newly submitted profile names, descriptions, group and event text, organizer updates, advertisements and chat messages are automatically checked for potential policy violations using Amazon Bedrock Guardrails before being saved or delivered. The content is processed within the EU; account passwords and payment details are not sent for content screening. If screening is unavailable, submission is paused and can be retried. Automatically blocked text is not stored in diagnostic logs; moderation records contain the content area, a content fingerprint and the decision. A block does not automatically suspend an account. Contact moderation if you believe a decision is wrong. Reports and appeals are excluded from this pre-screening so you can describe problematic content.

Profile and Live Photos are checked technically and analysed automatically with Amazon Rekognition in Frankfurt for potentially prohibited content. Unclear cases may be reviewed by a person. Reports may lead to content being restricted or removed or accounts being suspended temporarily or permanently. Where legally required, we inform you about significant moderation decisions and available appeal options.

Live Photos are taken directly with the camera, apply only to the relevant event day and are initially heavily blurred until you have created a valid Live Photo yourself or have an active Event Pass. After that event day, they are no longer shown publicly and may be deleted by their owner.

10. Retention

We retain personal data only as long as required for its purpose, account provision or legal obligations. When you delete your account, we delete it immediately: the login (email sign-in, passkeys and any linked Apple or Google sign-in; for Apple we revoke the connection), the profile with photos and dating details, settings, check-ins, likes, passes and super likes, matches, group memberships, live photos, in-app unlocks and the entry in the user administration. Deletion cannot be undone. Your own chat messages are deleted; chat partners see “Nachricht gelöscht” (message deleted) and a “Gelöschtes Profil” (deleted profile) instead, and chats without messages from the other person are removed completely.

Server logs are deleted after 30 days. Database backups for recovery after technical failures are overwritten continuously; deleted data is no longer contained in them after 35 days at the latest. We keep payment and accounting records for seven years (§ 132 BAO); they only contain the random account ID. Reports and moderation cases needed to prevent abuse are kept without name, email address or photos, and reports you filed yourself are pseudonymised. A photo that is under review at the time of deletion is deleted after the moderation decision. Retention periods for cookies and browser storage are listed in section 14.

How to delete your account in the app, in your browser or by email, and which data is deleted: Delete account.

11. Transfers to third countries

We prefer processing within the European Economic Area. Amazon Web Services, Stripe and Google belong to groups headquartered in the USA; access from the USA cannot be completely ruled out. These companies are certified under the EU-US Data Privacy Framework (adequacy decision of 10 July 2023); standard contractual clauses are also in place. An adequacy decision applies to the OpenStreetMap Foundation in the United Kingdom.

12. Your rights

Depending on the requirements, you have the right to access, rectification, erasure, restriction, data portability and objection, in particular to processing based on legitimate interests (Art. 21 GDPR). You can withdraw consent at any time with effect for the future, for cookies and advertising via “Privacy settings”. You can also lodge a complaint with a data protection supervisory authority, in particular the Austrian Data Protection Authority.

We may need information to verify your identity when handling a request. Other people’s rights, security interests and statutory exceptions remain applicable.

13. Security

We use safeguards including encrypted transmission, private storage, role-based access, logging, recovery mechanisms, rate limits and technical content checks. No system is entirely risk-free; please report suspicious activity promptly.

14. Cookies and local storage

We store or read information in your browser when this is strictly necessary for the service you request (§ 165(3) TKG 2021) and otherwise only with your consent. You make your choice in the privacy banner (Google’s consent tool or, while it is unavailable, our own banner with the categories Necessary and Statistics). You can change or withdraw it at any time via “Privacy settings” in the footer, on the sign-in page or in the settings.

  • Necessary: festl_consent_v1 (your privacy choice, until changed), festlLanguage (language, until changed), sign-in tokens and session data in session storage (until the tab is closed or you sign out), the service worker’s offline cache (until the next app update), FCCDCF from Google (your choice in the consent tool, up to 13 months) and Stripe cookies during a payment.
  • Google consent tool (before you choose): The script from fundingchoicesmessages.google.com is loaded so that the consent request can appear (strictly necessary, § 165(3) TKG 2021). Google may also set FCNEC, which Google itself classifies as an analytics cookie (up to 365 days according to Google). Advertising cookies are neither set nor read before you consent.
  • Statistics (consent): festlVisitTracked in session storage so that a visit is only counted once per session; deleted when the tab is closed or when you withdraw consent.
  • Marketing (consent via Google’s consent tool): Cookies and identifiers from Google AdSense such as __gads, __gpi, __eoi and IDE, up to 13 months according to Google, only on web.festlchecker.app. Marketing can only be chosen in Google’s consent tool; our own banner does not offer this category because Festl Checker uses no marketing cookies of its own, and it never enables Google ads.

15. Changes and contact

We update this notice when features, service providers or the legal framework change materially. We provide appropriate notice of significant changes. Send questions and privacy requests to: