Gilt für die Nutzung von Stagency nach der Anmeldung (Web-Anwendung unter stagency.app und die Stagency-App für iOS und Android) durch Agenturen, Künstler und deren Mitarbeitende. Für den Besuch der Website ohne Anmeldung gilt die Datenschutzerklärung der Website. Stand: Oktober 2026.
1. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten in Stagency ist:
Henrich & Malecki Solution GbR Niederwindhagener Straße 14 53578 Windhagen Deutschland E-Mail: info@stagency.app
2. Was Stagency ist – und wer für welche Daten verantwortlich ist
Stagency ist eine Software für Künstleragenturen zur Verwaltung von Künstlern, Bookings, Verträgen und Rechnungen. Dabei sind zwei Rollen zu unterscheiden:
Deine Account- und Vertragsdaten (Registrierung, Login, Abo, Support) verarbeiten wir als Verantwortlicher.
Die Daten, die eine Agentur in Stagency einträgt – Künstler, Veranstalter, Bookings, Verträge, Rechnungen –, verarbeiten wir im Auftrag der jeweiligen Agentur als Auftragsverarbeiter (Art. 28 DSGVO). Verantwortlich für diese Daten ist die Agentur. Einen Vertrag zur Auftragsverarbeitung stellen wir auf Anfrage bereit.
3. Welche Daten verarbeitet werden
Account: E-Mail-Adresse, Name, Passwort (nur als Hash gespeichert), Sprache, Rolle in der Agentur, Zeitpunkte von Anmeldung und Login.
Agentur: Name, Logo, Kontakt-E-Mail, Rechnungsanschrift, USt-IdNr., Bankverbindung für Rechnungen, Social-Media-Links, Mitarbeiter und deren Rollen, optional eigene SMTP-Zugangsdaten für den Mailversand.
Elektronische Unterschriften: Beim Unterzeichnen eines Vertrags über einen Freigabelink speichern wir Unterschriftsbild, Name, Zeitpunkt, IP-Adresse und Browserkennung der unterzeichnenden Person als Nachweis.
Freigabelinks: Wird ein per Link geteilter Vertrag, eine Rechnung oder ein Produktionsplan geöffnet, protokollieren wir Zeitpunkt, IP-Adresse und Browserkennung des Abrufs, damit die Agentur den Zustellstatus sehen kann.
Booking-Anfragen: Über das öffentliche Anfrage-Formular auf einem Künstlerprofil erfasste Kontaktdaten (Name, E-Mail, Telefon) sowie die Anfrage-Details (Event, Venue, Gage, Nachricht) und die IP-Adresse des Absenders zur Missbrauchsabwehr (Rate-Limiting); die IP-Adresse wird nach 7 Tagen automatisch gelöscht.
Zahlungsdaten: Abo-Plan, Zahlungsstatus und die Kundennummer bei unserem Zahlungsdienstleister. Kreditkarten- oder Kontodaten für das Abo werden ausschließlich beim Zahlungsdienstleister erfasst und erreichen Stagency nicht.
Support: Inhalte und Anhänge von Support-Anfragen sowie die Konversation mit unserem Support.
Technische Daten: IP-Adresse, Browser- bzw. Gerätetyp, aufgerufene Seite und Zeitpunkt in Server-Logs; bei Fehlern zusätzlich Fehlermeldung und Account-Kennung in einem Fehlerprotokoll; Änderungsprotokoll (Audit-Log) für sicherheitsrelevante Aktionen; Nutzung der öffentlichen Schnittstelle (API) mit Zeitpunkt und Endpunkt.
4. Zwecke und Rechtsgrundlagen
Bereitstellung der Software inklusive Login, Datenverwaltung, Freigabelinks, E-Mail-Versand und Abo-Abrechnung – Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Sicherheit und Stabilität (Server-Logs, Fehlerprotokolle, Audit-Log, Missbrauchsabwehr) – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Dienst).
Nachweis elektronischer Unterschriften und Zustellungen – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Agentur an der Beweisbarkeit) bzw. im Auftrag der Agentur.
Aufbewahrung von Rechnungsdaten – Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.
Prüfung von USt-IdNr. (bei Eingabe, beim Speichern und automatisch nachts) sowie auf Wunsch die qualifizierte Bestätigung durch das BZSt samt gespeichertem Nachweis – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Agentur an korrekten Rechnungen und Steuerangaben). Empfänger siehe Abschnitt 5.
Allgemeiner Chat mit dem Assistenten „Tom" ohne Zugriff auf Daten deiner Agentur – Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Der Chat wird nur ausgeführt, wenn du ihn aktiv nutzt. Bitte gib dort keine personenbezogenen Daten ein. Deine Eingaben werden zur Beantwortung an Anthropic (USA) übermittelt. Ohne Freigabe deiner Agentur wird der Chat-Verlauf nicht gespeichert.
KI-Funktionen mit Daten deiner Agentur (Datenabfragen im Tom-Chat, Dashboard-Tages-Briefing, Vertrags-Upload-Extraktion sowie Übersetzung von Künstler-Biografien und Vertragsvorlagen) – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Nur aktiv, wenn eine Owner-, Admin- oder Backoffice-Person deiner Agentur unter Support → KI-Chat per Checkbox eingewilligt hat; die Einwilligung ist dort jederzeit widerrufbar. Ohne Freigabe werden diese Funktionen nicht ausgeführt (serverseitig bei jeder Anfrage geprüft). Künstler-Logins nutzen die Funktionen nur für ihre eigenen Daten und nur, wenn die verwaltende(n) Agentur(en) eingewilligt hat/haben.
5. Empfänger und Auftragsverarbeiter
Wir setzen für den Betrieb von Stagency folgende Dienstleister ein. Mit allen Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung (die unten genannten amtlichen Register sind Behörden); bei Anbietern mit Sitz außerhalb der EU erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. – wo der Anbieter zertifiziert ist – des EU-US Data Privacy Framework.
Supabase Pte. Ltd. (65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513) – Datenbank-Hosting, Authentifizierung und Dateispeicher. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Datenbank-Server befinden sich in der AWS-Region EU-West-1 (Irland) innerhalb der Europäischen Union. Mit Supabase besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement); für etwaige Datenübermittlungen in Drittländer (z. B. für Support oder Wartung aus Singapur) kommen EU-Standardvertragsklauseln (SCCs) zum Einsatz. Weitere Informationen: supabase.com/legal/customer-resources/data-processing-addendum
Vercel Inc. (USA) – Hosting und Auslieferung der Web-Anwendung sowie Ausführung der Server-Funktionen; verarbeitet dabei IP-Adresse und Request-Daten.
Stripe Payments Europe, Ltd. (Irland) – Abwicklung der Abo-Zahlungen und Rechnungsstellung für das Stagency-Abo. Für die Zahlungsdaten gilt zusätzlich die Datenschutzerklärung von Stripe.
Google Ireland Limited (Irland) – Google Maps Platform zur Adress-Vervollständigung bei der Eingabe von Veranstaltungsorten. Dabei wird der eingegebene Suchtext an Google übertragen. Auf Seiten ohne Anmeldung, die dir eine Agentur schickt (z. B. das Advancing-Formular), lädt Google Maps erst nach deiner Einwilligung; dabei werden deine IP-Adresse, die Texte, die du in das Adressfeld tippst, und die gewählten Orte an Google übertragen. Du kannst die Einwilligung jederzeit unter „Cookie-Einstellungen“ im Seitenfuß dieser Seiten und am Ende dieser Erklärung widerrufen.
Google Ireland Limited (Irland; ggf. Google LLC, USA) – Google Kalender, nur wenn du den Kalender in Stagency verbindest. Einzelheiten stehen in Abschnitt 6.
Anthropic PBC (USA; für Nutzer aus der EU ggf. Anthropic Ireland, Limited) – Sprachmodell für den KI-Assistenten „Tom" von Stagency. Wir unterscheiden zwei Stufen:
Ohne Freigabe deiner Agentur: allgemeiner Chat ohne Zugriff auf Daten deiner Agentur. Übermittelt wird nur, was du eingibst. Der Chat-Verlauf wird in dieser Stufe nicht gespeichert. Bitte gib im allgemeinen Chat keine personenbezogenen Daten ein.
Mit Freigabe deiner Agentur: Datenabfragen im Tom-Chat, Dashboard-Tages-Briefing, Vertrags-Upload-Extraktion sowie Übersetzung von Künstler-Biografien und Vertragsvorlagen. Dabei werden die für die jeweilige Anfrage nötigen Booking-, Aufgaben-, Vertrags- oder Biografie-Daten (z. B. Namen, Termine, Gagen) übermittelt.
Die Daten werden in die USA übermittelt, dafür kommen EU-Standardvertragsklauseln (SCCs) zum Einsatz. Laut den Commercial Terms von Anthropic werden die Inhalte nicht zum Training von Modellen verwendet. Anthropic speichert Eingaben und Antworten standardmäßig bis zu 30 Tage für Sicherheitszwecke; einen Vertrag mit sofortiger Löschung (Zero Data Retention) und eine Datenhaltung ausschließlich in der EU gibt es nicht.
Die Freigabe erteilst oder widerrufst du jederzeit unter Support → KI-Chat. Mit einem Widerruf werden sofort keine Daten deiner Agentur mehr an Anthropic übermittelt. Der allgemeine Chat ohne Zugriff auf Daten deiner Agentur bleibt weiter nutzbar. Der bisher gespeicherte Tom-Chat-Verlauf der Agentur-Mitarbeitenden wird beim Widerruf unwiderruflich gelöscht. Chat-Verläufe von Künstler-Logins werden nicht gelöscht, sie bleiben gespeichert, sind aber ohne Freigabe nicht mehr nutzbar und lösen keine Datenabfrage mehr aus. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
Bereits gespeicherte Vertragsvorlagen sind vom Widerruf nicht betroffen: Sobald du eine extrahierte Vorlage speicherst, ist sie normaler Vertragsinhalt deiner Agentur, kein KI-Ergebnis mehr, und lässt sich unabhängig davon selbst löschen. Weitere Informationen: anthropic.com/legal/data-processing-addendum, privacy.claude.com, support.claude.com/en/articles/15425996-data-retention-practices-for-covered-models
Ein zum Hochladen ausgewählter Vertrag wird nur zur Extraktion verarbeitet und von uns nicht gespeichert. Beabsichtigte Löschfrist für gespeicherte Vertragsdaten: sechs Jahre nach Ende der Buchung, entsprechend der Aufbewahrungspflicht für empfangene und abgesandte Handelsbriefe (§ 257 Abs. 1 Nr. 2/3 HGB, § 147 AO) – technisch noch nicht automatisiert, Daten werden aktuell nicht automatisch gelöscht.
Amtliche Register für die Prüfung von USt-IdNr. – EU-Kommission (VIES), Schweizer Bundesamt für Statistik (UID-Register), HM Revenue & Customs (Vereinigtes Königreich) und Bundeszentralamt für Steuern (BZSt, Deutschland). Wenn du die USt-IdNr. eines Veranstalters, eines Künstlers oder deiner Agentur eingibst, speicherst oder sie automatisch nachgeprüft wird (nachts, bei Gültigkeit und Ungültigkeit alle 30 Tage), fragen wir das zuständige Register nach der Gültigkeit. Übermittelt wird dabei nur die USt-IdNr. Das Ergebnis speichern wir am Datensatz (bei VIES zusätzlich den gemeldeten Firmennamen). Nur wenn du ausdrücklich „Bestätigung einholen (BZSt)" wählst, übermitteln wir zusätzlich Name, Straße, PLZ und Ort des Geschäftspartners sowie die eigene deutsche USt-IdNr. deiner Agentur an das BZSt; die Antwort speichern wir als Nachweis. Diese Stellen sind Behörden, keine Auftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Eigener E-Mail-Anbieter der Agentur – hinterlegt eine Agentur eigene SMTP-Zugangsdaten, werden Mails an Veranstalter und Künstler über diesen Anbieter versendet; die Zugangsdaten werden verschlüsselt gespeichert.
Apple Inc. / Google LLC – Vertrieb der nativen App über App Store und Google Play. Download- und Absturzstatistiken, die die Store-Betreiber selbst erheben, unterliegen deren Datenschutzbestimmungen.
Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt. Innerhalb von Stagency sehen Mitarbeiter einer Agentur nur die Daten ihrer eigenen Agentur; Künstler mit eigenem Login sehen nur ihre eigenen Daten.
6. Google Kalender (optional)
Du kannst in Stagency freiwillig einen Google Kalender verbinden. Ohne diese Verbindung übertragen wir nichts an Google Kalender und lesen nichts daraus.
Berechtigung: Beim Verbinden fragt Google dich nach der Berechtigung „Termine in allen deinen Google Kalendern ansehen, bearbeiten, teilen und endgültig löschen“ (Scope calendar.events). Wir nutzen sie ausschließlich für die unten genannten Zwecke.
Welche Daten: Wir senden Termine an deinen Kalender: Künstlername und Veranstaltung als Titel, Datum (als ganztägiger Termin), Ort und Adresse sowie die Notizen der Buchung. Außerdem speichern wir die E-Mail-Adresse deines Google-Kontos, die Kennung deines Kalenders, ein kurzlebiges Zugriffs-Token (läuft nach kurzer Zeit ab) und ein langlebiges Token (Refresh-Token).
Wozu: Buchungen aus Stagency in deinen Kalender eintragen und aktuell halten (anlegen, ändern, löschen).
Termine aus Google übernehmen (eigene Option, standardmäßig aus): Nur wenn ein Künstler seinen eigenen Kalender verbunden und diese Option eingeschaltet hat, lesen wir ab dann neu angelegte Termine dieses Kalenders (Titel, Beschreibung als Notiz, Ort, Datum und Uhrzeiten). Daraus entsteht eine Buchung des Künstlers in der verwaltenden Agentur, die alle Mitarbeitenden mit Zugriff auf diesen Künstler sehen; die Zuständigen der Agentur erhalten eine Aufgabe mit dem Termintitel. Die Vergangenheit wird nicht nachgeladen. Lässt sich ein Termin nicht übernehmen, speichern wir den Google-Termin zur Fehleranalyse (Kennung, Grund und die vom Kalender gelieferten Termindaten); diese Fehlereinträge sind nur für uns lesbar und werden gelöscht, wenn du die Verbindung trennst.
Speicherung: Das Refresh-Token wird verschlüsselt im Secret-Speicher der Datenbank (Supabase Vault) abgelegt, die Datenbank liegt in der EU (siehe Abschnitt 5). Die Token werden nur serverseitig verwendet und gelangen nicht in den Browser.
Weitergabe: Wir verkaufen die von Google erhaltenen Daten nicht, nutzen sie nicht für Werbung und geben sie nicht an Dritte weiter, außer an die in Abschnitt 5 genannten Dienstleister, die wir für den Betrieb brauchen. Übernommene Termine sind normale Buchungen deiner Agentur. Nur wenn deine Agentur die KI-Funktionen freigegeben hat (Abschnitt 4), können Eventname, Datum, Ort und Notizen einer Buchung für eine Anfrage an den Assistenten „Tom“ an Anthropic übermittelt werden. Menschen bei uns lesen die Daten nicht, außer du bittest uns im Support darum oder es ist zur Behebung eines Fehlers oder aus Sicherheitsgründen nötig.
Trennen und Löschung: Du kannst die Verbindung jederzeit in den Einstellungen trennen. Dann widerrufen wir das Token bei Google und löschen die gespeicherte Verbindung samt Token. Bereits in deinem Google Kalender angelegte Termine bleiben dort bestehen und lassen sich in Google selbst löschen. Beim Löschen deines Accounts (durch dich selbst oder durch unseren Support) widerrufen wir den Zugriff ebenfalls bei Google (höchstens 5 Sekunden Wartezeit je Verbindung) und löschen die gespeicherte Verbindung samt Token. Schlägt der Widerruf bei Google fehl, wird der Account trotzdem gelöscht; den Zugriff kannst du dann zusätzlich in deinem Google-Konto unter „Sicherheit → Drittanbieter mit Kontozugriff“ entziehen. Löscht ein Inhaber eine ganze Agentur, gilt das für alle Verbindungen dieser Agentur. Entfernt eine Agentur einen Künstler oder ein Mitglied aus Stagency, widerrufen wir den Zugriff ebenfalls bei Google und löschen die gespeicherte Verbindung samt Token; schlägt der Widerruf fehl, wird trotzdem entfernt und du kannst den Zugriff in deinem Google-Konto entziehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Verbinden); du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Verbindung trennst.
Die Nutzung und Übertragung von Informationen, die Stagency von Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use). (Stagency's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)
7. Native App (iOS und Android)
Die Stagency-App zeigt dieselbe Anwendung wie die Website und nutzt dieselben Server. Zusätzlich gilt:
Die Anmeldesitzung wird lokal auf dem Gerät gespeichert, damit du angemeldet bleibst. Beim Abmelden wird sie gelöscht.
Die App verwendet keine Werbe- oder Tracking-SDKs und kein App-Tracking. Wenn du Push-Benachrichtigungen in der App aktivierst, speichern wir eine Gerätekennung und ein Push-Token für dein Konto. Apple bzw. Google verarbeitet dieses Token zur Zustellung. Auf dem Sperrbildschirm zeigen wir nur allgemeine Hinweise ohne vertrauliche Buchungsdetails. Du kannst Push in der App wieder deaktivieren.
Links aus Stagency-E-Mails (z. B. Anmelde- oder Einladungslinks) können direkt in der App geöffnet werden. Dafür wird ausschließlich der Link selbst verarbeitet.
Wenn du Fotos oder Dokumente hochlädst, greift die App nur auf die von dir ausgewählten Dateien zu.
8. Speicherdauer
Account- und Agenturdaten speichern wir, solange der Account besteht. Löscht die Inhaberin oder der Inhaber eine Agentur, werden die Agenturdaten einschließlich der hochgeladenen Dateien unwiderruflich gelöscht. Löscht ein mit einer Agentur verknüpfter Künstler seinen persönlichen Zugang, bleiben die von der Agentur verwalteten Geschäfts- und Verlaufsdaten erhalten; die persönliche Anmeldung, Integrationen und persönlichen App-Daten werden entfernt.
Rechnungsdaten, die wir für unser Abo ausstellen, bewahren wir zur Erfüllung gesetzlicher Pflichten bis zu zehn Jahre bei unserem Zahlungsdienstleister auf.
Server-Logs und Fehlerprotokolle werden nur so lange gespeichert, wie es für Sicherheit und Fehleranalyse erforderlich ist, und danach gelöscht oder anonymisiert.
Einträge im Änderungsprotokoll (Audit-Log) über die Löschung eines Accounts bleiben ohne Personenbezug als Nachweis erhalten.
9. Account löschen
Du kannst deinen Account jederzeit selbst in der Web-Anwendung oder in der App löschen. Als Inhaberin oder Inhaber einer Agentur findest du die Funktion unter Einstellungen → Account → Gefahrenzone. Sie entfernt die Agentur mit allen Künstlern, Bookings, Verträgen, Rechnungen, Dateien und Mitarbeiterzugängen und kündigt ein laufendes Abo sofort. Zuvor kannst du die Agenturdaten unter Einstellungen → Account als CSV exportieren.
Als Künstler findest du die Funktion unter Mein Profil → Account löschen. Bei einem eigenständigen Künstler-Account werden das Profil und die persönlichen Dateien entfernt. Ist dein Künstlerprofil mit einer Agentur verknüpft, wird dein persönlicher Zugang einschließlich persönlicher Integrationen gelöscht und vom Künstlerprofil getrennt. Die von der Agentur verwalteten Geschäfts- und Verlaufsdaten – insbesondere Bookings, Verträge, Rechnungen und vereinbarte Werte – bleiben unverändert bei der Agentur erhalten. Die Löschung des persönlichen Zugangs kann nicht rückgängig gemacht werden.
10. Deine Rechte
Du hast gegenüber uns das Recht auf:
Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO) – ein CSV-Export ist direkt in der App verfügbar,
Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).
Zur Ausübung deiner Rechte genügt eine E-Mail an info@stagency.app. Betrifft dein Anliegen Daten, die eine Agentur über dich in Stagency eingetragen hat (z. B. als Künstler oder Veranstalter), wende dich bitte zusätzlich an diese Agentur – sie ist dafür verantwortlich; wir unterstützen sie bei der Bearbeitung.
Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.
11. Cookies und lokale Speicherung
Stagency verwendet keine Werbe- oder Analyse-Cookies. Im Browser bzw. in der App werden ausschließlich technisch notwendige Einträge lokal gespeichert: die Anmeldesitzung, die gewählte Sprache sowie Anzeigeeinstellungen (z. B. Dashboard-Layout). Diese Einträge werden nicht an Dritte übertragen. Zusätzlich speichern wir deine Einwilligung für Google Maps auf öffentlichen Seiten (Eintrag stagency_consent_google_maps), wenn du sie erteilst; Widerruf unter „Cookie-Einstellungen“.
12. Sicherheit
Alle Verbindungen sind TLS-verschlüsselt. Daten werden verschlüsselt gespeichert; Passwörter ausschließlich als Hash. Der Zugriff auf Daten ist auf Datenbankebene je Agentur getrennt, sodass ein Account nur die Daten seiner eigenen Agentur lesen und ändern kann. Hinterlegte Zugangsdaten für den E-Mail-Versand werden zusätzlich verschlüsselt abgelegt.
13. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die eingesetzten Dienstleister ändern. Die jeweils aktuelle Fassung findest du unter stagency.app/privacy; das Datum des Stands ist oben angegeben.
14. Kontakt
Fragen zum Datenschutz beantworten wir unter info@stagency.app oder postalisch an die oben genannte Anschrift.