Datenschutz und Löschung

#Personenbezogene Daten brauchen people:read

Namen, E-Mail-Adressen, Firmen, Telefonnummern, Antworten auf Anmeldefragen, Käufer auf Bestellungen und Rechnungen: Alles, was sagt, wer jemand ist, braucht den Scope people:read. Ohne ihn antwortet die API trotzdem, mit Personen als IDs:

{
  "attendeeId": "b3ac0008-0000-4000-8000-000000000000",
  "ticketTypeName": "Conference pass",
  "firstName": null,
  "lastName": null,
  "email": null,
  "answers": null,
  "status": "active",
  "valid": true,
  "personalData": "withheld"
}

Ein Dashboard, das Tickets zählt, eine Synchronisierung des Programms oder ein KI-Assistent, der über Verkäufe berichtet, braucht also überhaupt keine personenbezogenen Daten und sollte sie auch nicht bekommen. Ein Aufruf, bei dem es ausschließlich um eine Person geht, etwa die Suche nach Teilnehmenden per Name oder das Lesen von Leads, wird ohne den Scope abgelehnt (peopleScope).

Vortragende und Sponsoren stehen auf der öffentlichen Seite der Veranstaltung. Ihre Namen sind hier daher keine personenbezogenen Daten; die E-Mail-Adresse einer vortragenden Person dagegen schon, und sie braucht people:read.

#Jemand hat seine Daten gelöscht

Teilnehmende können ihre Daten in der Veranstaltungs-App löschen (Mehr › Meine Daten löschen). Ab diesem Moment gilt:

• Die API antwortet für diese Person mit "erased": true, "personalData": "erased" und ohne personenbezogene Daten, egal welche Scopes der Schlüssel hat;
• die Suche findet sie nie;
• für einen Idempotency-Key gespeicherte Antworten, die sie nennen, werden gelöscht;
• der Webhook attendee.erased informiert sofort jeden Endpunkt, nur mit IDs.

Wenn Sie attendee.erased erhalten, löschen oder anonymisieren Sie Ihre eigene Kopie dieser teilnehmenden Person. Lag die Veranstaltung noch in der Zukunft, wurde ihr Ticket storniert (ticketCancelled), und es wird kein separates attendee.cancelled gesendet. Rechnungen behalten den Käufer so, wie er gedruckt wurde, weil das Gesetz Rechnungen sieben Jahre lang aufbewahren lässt.

#Ausgeschaltete Module

Ein Veranstalter kann Funktionen pro Veranstaltung unter den Modulen der Veranstaltung ausschalten. Solange eines ausgeschaltet ist, antworten seine Endpunkte mit 409, "code": "moduleOff" und dem Namen des Moduls, und seine MCP-Tools sagen dasselbe. Gelöscht wird nichts: Wieder eingeschaltet, sind die Daten wieder da.

#Nie in einer Antwort

• API-Schlüssel, Signiergeheimnisse von Webhooks (außer einmal, beim Erstellen) und Schlüssel von Zahlungsdienstleistern.
• Der Code eines Tickets, mit dem sein Inhaber eingelassen wird, und die Zugangscodes von Ticketarten.
• Das persönliche Token eines Teilen-Kit-Links.
• Die vollständige Adresse eines Webhook-Endpunkts: Der Query-Teil wird ausgeblendet, weil eine Power Automate-Adresse dort ihren Schlüssel trägt.
• Das Protokoll der Schlüssel speichert nie einen Query-String, einen Body oder eine Antwort.

#Wo die Daten liegen

AttendBeacon läuft in der Europäischen Union (Sweden Central). Was Ihre Integration herauskopiert, liegt in Ihrer Verantwortung: Bewahren Sie es nicht länger auf als nötig und reagieren Sie auf attendee.erased.