Datenschutzerklärung

Stand: 02.11.2026

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Hier erfahren Sie, welche Daten wir beim Besuch der Website doeak-2027.com, beim Kauf von Tickets und bei der Teilnahme am Deutsch-Österreichischen AIDS-Kongress 2027 (DÖAK 2027) verarbeiten, warum wir das tun und welche Rechte Sie haben.

1. Verantwortliche

Verantwortlich für die Datenverarbeitung auf dieser Website und im Online-Shop sowie Veranstalter des DÖAK 2027 ist die

VATERBLUT GmbH Im Marienpark 47 12107 Berlin

Geschäftsführer: Joachim Bartz, Bernhard Bartz, Lars Witte-Winter

E-Mail: info@doeak-2027.com Telefon: +49 30 843 7080

Wir verkaufen die Tickets im eigenen Namen und auf eigene Rechnung. Die wissenschaftliche Kongressleitung des DÖAK 2027 liegt bei der Deutschen AIDS-Gesellschaft e.V. (DAIG), Norderneyweg 18, 45149 Essen („Kongressleitung“). Für die Durchführung des Kongresses sind wir gemeinsam mit der DAIG verantwortlich (siehe Abschnitt 7).

2. Rechtsgrundlagen im Überblick

Art. 6 Abs. 1 lit. a DSGVO: Ihre Einwilligung, zum Beispiel für den Newsletter und für Google Maps.

Art. 6 Abs. 1 lit. b DSGVO: Vertrag und vorvertragliche Maßnahmen, zum Beispiel Kundenkonto, Bestellung, Ticket und Einlass.

Art. 6 Abs. 1 lit. c DSGVO: rechtliche Pflichten, zum Beispiel steuer- und handelsrechtliche Aufbewahrung.

Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen, zum Beispiel Sicherheit und Organisation vor Ort.

Für den Zugriff auf Ihr Endgerät gilt zusätzlich § 25 TDDDG.

3. Besuch der Website

3.1 Hosting, Server-Logfiles und E-Mail-Versand

Unsere Website wird bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, gehostet. Beim Aufruf der Website speichert der Server in Logfiles Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, die Referrer-URL, Browsertyp und -version sowie das Betriebssystem. Das dient der Auslieferung der Website und der Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles löschen wir spätestens nach acht Wochen.

E-Mails (Bestellbestätigungen, Tickets, Eingangsbestätigungen) versenden wir über den Mailserver von IONOS. Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

3.2 Datensicherung

Wir sichern Website und Datenbank täglich mit dem Plugin UpdraftPlus, einschließlich Kundenkonten, Bestellungen und Formulareinträgen. Die Sicherungen liegen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Deutschland), und werden nach 14 Tagen gelöscht. IONOS sichert zusätzlich die Server selbst und löscht diese Sicherungen ebenfalls nach 14 Tagen. Gelöschte Daten bleiben deshalb bis zu 14 Tage in Sicherungskopien erhalten. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. DÖAK 2027 · Deutsch-Österreichischer AIDS-Kongress · 11. bis 13. März 2027 · KOSMOS Berlin

Datenschutzerklärung · Stand: 02.11.2026 · VATERBLUT GmbH · doeak-2027.com/datenschutz · Seite 2 von 7

3.3 Verschlüsselung

Die Website nutzt SSL/TLS-Verschlüsselung. Sie erkennen das an „https://“ in der Adresszeile.

3.4 Cookies und Borlabs Cookie

Technisch notwendige Cookies (Warenkorb, Kontoanmeldung, Sicherheit, Spracheinstellung, Speicherung Ihrer Cookie-Auswahl) benötigen keine Einwilligung. Rechtsgrundlage sind § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und f DSGVO. Alle anderen Dienste laden wir erst nach Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Die Einwilligung verwalten wir mit Borlabs Cookie. Das Programm läuft auf unserem eigenen Server und protokolliert Ihre Auswahl mit einer Zufallskennung, Datum, Uhrzeit und Version. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ am Seitenende ändern. Ein Widerruf wirkt für die Zukunft.

3.5 Sicherheit (Wordfence)

Zum Schutz vor Angriffen nutzen wir das Plugin Wordfence. Es prüft Anfragen an die Website und Anmeldeversuche und protokolliert IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung. Zum Abgleich mit Angriffsinformationen können Daten an die Defiant Inc., Seattle (USA), übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Übermittlung in die USA beruht auf EU-Standardvertragsklauseln.

3.6 Externe Inhalte nach Einwilligung

Google Maps: Wenn Sie zustimmen, laden wir eine Karte der Google Ireland Limited, Dublin. Dabei werden Ihre IP-Adresse und Seitenangaben übermittelt, auch in die USA. Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Newsletter-Formular: Das Formular lädt Mailjet erst nach Ihrer Einwilligung (siehe Abschnitt 12).

4. Kundenkonto

Tickets können Sie nur über ein Kundenkonto bestellen. Wir speichern dort Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt), Ihre Rechnungsadresse sowie Ihre Bestellungen, Rechnungen und Tickets. Tickets sind personengebunden, und pro Kongresstag ist nur ein Ticket je Person möglich. Das Konto ist außerdem Voraussetzung für die Umschreibung auf eine Ersatzperson. Tickets, Rechnungen und Teilnahmeunterlagen bleiben bis nach dem Kongress in Ihrem Konto abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Konten, in denen zwölf Monate lang keine Anmeldung und keine Bestellung stattgefunden hat, löschen wir automatisch. Sie können Ihr Konto jederzeit löschen lassen. Daten, die wir gesetzlich aufbewahren müssen (zum Beispiel Rechnungen), bleiben nach Abschnitt 5.4 erhalten.

5. Bestellung, Zahlung und Rechnung

5.1 Bestelldaten

Bei einer Bestellung erheben wir Anrede und Titel (freiwillig), Vor- und Nachname, Institution für das Namensschild, Firmenname (freiwillig), Anschrift, Telefonnummer (freiwillig), E-Mail-Adresse, Ticketart, Tarifgruppe, Zahlungsart, Bestellhinweise (freiwillig), Bestellnummer, Datum und Preis. Wir nutzen die Daten für die Vertragsabwicklung, Bestellbestätigung, Rechnung, Tickets und Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Rechnungserstellung Art. 6 Abs. 1 lit. c DSGVO. Pflichtfelder sind markiert. Ohne diese Angaben kommt kein Vertrag zustande.

5.2 Tarifgruppen und Nachweise

Nachweise für ermäßigte Tarife verlangen wir nur auf Anfrage oder beim Einlass. Wir prüfen sie und löschen sie danach, wenn Sie sie uns per E-Mail geschickt haben. Bei der Tarifgruppe „Mitglieder ÖAG/DAIG“ gleichen wir für DAIG-Mitglieder die Mitgliedschaft mit der DAIG ab. ÖAG-Mitgliedschaften weisen Sie selbst nach. Studierende und Selbsthilfegruppen teilen sich eine Tarifgruppe. Deshalb speichern wir nicht, welcher der beiden Gruppen Sie angehören. Die DÖAK 2027 · Deutsch-Österreichischer AIDS-Kongress · 11. bis 13. März 2027 · KOSMOS Berlin

Datenschutzerklärung · Stand: 02.11.2026 · VATERBLUT GmbH · doeak-2027.com/datenschutz · Seite 3 von 7

Tarifgruppe erscheint nicht auf Ticket oder Namensschild. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.3 Zahlungsabwicklung

Alle Zahlungen wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam (Niederlande), ab. Wir übermitteln dafür Name, E-Mail-Adresse, Rechnungsanschrift, Bestellnummer und Betrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mollie handelt in eigener Verantwortung.

Je nach gewählter Zahlungsart handeln außerdem folgende Anbieter in eigener Verantwortung:

Kreditkarte: die beteiligten Kartenorganisationen und Banken.

Klarna („Bezahle mit Klarna“): Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden.

Sofortüberweisung: Sofort GmbH, Theresienhöhe 12, 80339 München, Teil der Klarna-Gruppe.

Rechnung mit Riverty: Riverty GmbH, Gütersloher Str. 123, 33415 Verl.

PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxemburg.

Bei Rechnungskauf oder Ratenzahlung prüfen Klarna bzw. Riverty Ihre Identität und Bonität. Dabei können Auskunfteien einbezogen werden und eine automatisierte Entscheidung fallen. Bei Zahlung per Überweisung erhalten Sie die Zahlungsdaten per E-Mail.

5.4 Aufbewahrungsfristen

Rechnungen und Buchungsbelege: acht Jahre (§ 147 AO, § 257 HGB; Art. 6 Abs. 1 lit. c DSGVO).

Handels- und Geschäftsbriefe: sechs Jahre (§ 147 AO, § 257 HGB).

Übrige Bestelldaten: bis zum Ende der vertraglichen Verjährungsfrist, in der Regel drei Jahre ab Ende des Jahres, in dem der Kongress stattfand (Art. 6 Abs. 1 lit. f DSGVO).

6. Tickets, Einlass und Teilnahme

6.1 Ticketversand

Nach Zahlungseingang erhalten Sie Ihr Ticket mit Ihrem Namen und einem QR-Code per E-Mail. Zusätzlich liegt es in Ihrem Kundenkonto. Wir erstellen und verwalten die Tickets mit dem Plugin FooEvents auf unserem eigenen Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.2 Ticket in der Wallet (optional)

Wenn Sie auf „Zur Wallet hinzufügen“ klicken, übermitteln wir Ihren Namen, die Ticketdaten und den QR-Code an den Dienst AddToWallet, der daraus einen Pass für Apple Wallet oder Google Wallet erstellt. Empfänger ist die Hazelnut Ventures LLC (USA) als Auftragsverarbeiter, zertifiziert nach dem EU-US Data Privacy Framework. Beim Speichern bei Apple oder Google gelten zusätzlich deren Datenschutzbestimmungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.3 Einlass und Namensschild

Am Einlass scannen wir den QR-Code und speichern den Zeitpunkt des Einlasses. Wir können einen amtlichen Lichtbildausweis verlangen. Er wird nur angesehen, nicht kopiert. Das Namensschild enthält Ihren Vor- und Nachnamen und Ihre Institution. Den Einlass übernehmen unser eigenes Personal und beauftragte Dienstleister, die zur Vertraulichkeit verpflichtet sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.4 Zutritt zu den Sälen

Beim Betreten eines Saals kann der QR-Code auf Ihrem Ticket oder Namensschild gescannt werden. Wir speichern Zeitpunkt und Saal bzw. Session. Das dient drei Zwecken:

Auslastung und Sicherheit: Steuerung der Saalbelegung und Einhaltung von Kapazitätsgrenzen (Art. 6 Abs. 1 lit. f DSGVO).

Fortbildungsnachweis: Die Scans belegen Ihre Teilnahme, sofern Fortbildungspunkte anerkannt werden (siehe 6.5).

DÖAK 2027 · Deutsch-Österreichischer AIDS-Kongress · 11. bis 13. März 2027 · KOSMOS Berlin

Datenschutzerklärung · Stand: 02.11.2026 · VATERBLUT GmbH · doeak-2027.com/datenschutz · Seite 4 von 7

Statistik: Auswertung der Besucherzahlen je Session (Art. 6 Abs. 1 lit. f DSGVO).

Sponsor*innen und Ausstellende erhalten ausschließlich zusammengefasste Zahlen ohne Personenbezug, etwa die Teilnehmendenzahl einer Session oder die Verteilung nach Ticketart. Gruppen mit weniger als fünf Personen weisen wir nicht gesondert aus. Personenbezogene Daten erhalten Sponsor*innen und Ausstellende nicht. Die Kongressleitung (DAIG) erhält Daten nur im Umfang von Abschnitt 7.

Die einzelnen Scan-Daten löschen wir, sobald wir sie für den Fortbildungsnachweis nicht mehr benötigen, spätestens am 30.09.2027. Länger speichern wir sie nur, wenn die Regeln der Ärztekammer das für Teilnahmenachweise vorschreiben. Zusammengefasste Zahlen ohne Personenbezug speichern wir dauerhaft.

Sie können der Erfassung Ihrer Saalbesuche widersprechen. Wenden Sie sich dazu an den Info-Counter. Für Fortbildungspunkte ist die Erfassung allerdings erforderlich.

6.5 Fortbildungspunkte (CME)

Falls der Kongress als Fortbildung anerkannt wird und Sie Punkte wünschen, verarbeiten wir Ihre einheitliche Fortbildungsnummer (EFN), Ihren Namen und Ihre Teilnahmezeiten. Wir melden die Daten in Abstimmung mit der Kongressleitung an die zuständige Ärztekammer. Sie erhalten eine Teilnahmebescheinigung. Die Daten speichern wir so lange, wie es die Regeln der Ärztekammer für Teilnahmenachweise vorsehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Gemeinsame Verantwortung mit der wissenschaftlichen Kongressleitung

Für die Durchführung des Kongresses sind wir und die Deutsche AIDS-Gesellschaft e.V. (DAIG), Geschäftsstelle, Norderneyweg 18, 45149 Essen, gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Das betrifft das wissenschaftliche Programm und den Call for Abstracts, die Betreuung von Referierenden, den Abgleich des Mitgliedertarifs mit den Mitgliederdaten der DAIG, die Fortbildungsnachweise sowie die Auswertung und Nachbereitung des Kongresses.

Die DAIG erhält, soweit für diese Aufgaben erforderlich, Name, Titel, Institution, Ticketart, Tarifgruppe und Teilnahme. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Die Aufgaben sind wie folgt verteilt:

Wir sind Ihre zentrale Anlaufstelle, informieren Sie nach Art. 13 und 14 DSGVO und bearbeiten Anfragen zu Ihren Rechten.

Die DAIG entscheidet über das wissenschaftliche Programm und den Mitgliederabgleich.

Jede Seite sichert die Daten in ihrem Bereich.

Die DAIG nutzt die Daten nicht für eigene Werbung, etwa Mitgliederwerbung.

Sie können Ihre Rechte bei uns und bei der DAIG geltend machen.

8. Daten, die wir nicht direkt von Ihnen erhalten

Gruppenbuchungen: Vor- und Nachname sowie E-Mail-Adresse erhalten wir von der bestellenden Stelle (Sponsor*innen, Ausstellende, Industriepartner*innen). Wir nutzen sie für Ticketausstellung, Versand und Einlass (Art. 6 Abs. 1 lit. b und f DSGVO). Die Ticket-E-Mail enthält einen Hinweis auf diese Datenschutzerklärung.

Ersatzpersonen: Name und E-Mail-Adresse erhalten wir von der Person, die das Ticket gekauft hat, wenn es umgeschrieben wird (Art. 6 Abs. 1 lit. b DSGVO).

Freitickets: Für Referierende, Vorsitzende, Moderierende und Gäste erhalten wir Name und E-Mail-Adresse von der Kongressleitung (DAIG) bzw. der Programmkommission, um einen persönlichen Ticketcode zu versenden (Art. 6 Abs. 1 lit. f DSGVO).

Co-Autor*innen: Die Angaben erhalten wir von der einreichenden Person (siehe Abschnitt 10).

Es gelten die Speicherfristen des jeweiligen Abschnitts. DÖAK 2027 · Deutsch-Österreichischer AIDS-Kongress · 11. bis 13. März 2027 · KOSMOS Berlin

Datenschutzerklärung · Stand: 02.11.2026 · VATERBLUT GmbH · doeak-2027.com/datenschutz · Seite 5 von 7

9. Widerruf, Stornierung und Umschreibung

Wenn Sie online über „Vertrag widerrufen“ widerrufen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die Bestellnummer und gegebenenfalls die betroffenen Tickets. Sie erhalten per E-Mail eine Eingangsbestätigung mit dem Inhalt Ihrer Erklärung sowie Datum und Uhrzeit des Eingangs. Rechtsgrundlagen sind § 356a BGB und Art. 6 Abs. 1 lit. c DSGVO.

Widerruf, Stornierung und Umschreibung per E-Mail oder Post behandeln wir entsprechend. Rechtsgrundlage ist hier Art. 6 Abs. 1 lit. b DSGVO. Den Nachweis über Ihre Erklärung speichern wir drei Jahre ab Ende des Jahres des Eingangs. Buchungsunterlagen bewahren wir nach Abschnitt 5.4 auf.

10. Call for Abstracts

Wenn Sie ein Abstract einreichen, verarbeiten wir:

Vor- und Nachname, E-Mail-Adresse und Affiliationen aller Autor*innen sowie die Angabe, wer präsentiert,

freiwillig: LinkedIn-Profil und Angaben zur Förderung („Unterstützt von“),

Titel, Track und Text des Abstracts sowie hochgeladene Grafiken und PDF-Dateien.

Wir nutzen die Daten für die Begutachtung durch die Programmkommission, die Programmplanung, die Kommunikation mit Einreichenden und die Veröffentlichung angenommener Abstracts mit Namen und Affiliationen. Veröffentlicht werden nur englischsprachige Abstracts. Empfänger sind die Mitglieder der Programmkommission der Kongressleitung (siehe Abschnitt 7).

Rechtsgrundlage ist für die einreichende Person Art. 6 Abs. 1 lit. b DSGVO und für Co-Autor*innen Art. 6 Abs. 1 lit. f DSGVO (korrekte Zuordnung wissenschaftlicher Beiträge). Einreichende bestätigen, dass die Co-Autor*innen einverstanden sind, und informieren sie über diese Datenschutzerklärung.

Abstracts dürfen keine identifizierbaren Patientendaten enthalten. Fallbeispiele sind vollständig zu anonymisieren.

Abgelehnte Einreichungen löschen wir spätestens am 30.09.2027. Angenommene Abstracts werden veröffentlicht und bleiben dauerhaft Teil der Kongressdokumentation.

11. Foto- und Videoaufnahmen

Während des Kongresses machen wir, unser Team oder von uns beauftragte Fotograf*innen Foto- und Videoaufnahmen. Wir veröffentlichen sie auf doeak-2027.com sowie auf Instagram, Facebook und LinkedIn. Meist entstehen Übersichts- und Stimmungsbilder sowie Aufnahmen von Referierenden. Nahaufnahmen und Porträts einzelner Personen machen wir nur nach Absprache. Rechtsgrundlage ist unser berechtigtes Interesse an der Dokumentation und Berichterstattung (Art. 6 Abs. 1 lit. f DSGVO). Für Nahaufnahmen und Porträts holen wir Ihre Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO).

Wenn Sie nicht erkennbar abgebildet werden möchten, erhalten Sie am Info-Counter eine Kennzeichnung (zum Beispiel ein farbiges Lanyard), oder Sie sprechen das Foto-Team an. Sie können auch nachträglich widersprechen. Wir entfernen die Aufnahmen dann aus unseren Kanälen. Meta (Irland) und LinkedIn (Irland) verarbeiten veröffentlichte Aufnahmen in eigener Verantwortung, teils auch in den USA. Die Aufnahmen speichern wir, solange wir sie für Dokumentation und Berichterstattung brauchen.

12. Newsletter

Für den Newsletter benötigen wir Ihre E-Mail-Adresse. Der Name ist freiwillig. Wir nutzen das Double-Opt-in-Verfahren: Sie erhalten einen Bestätigungslink. Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung speichern wir. Versanddienstleister ist die Mailjet SAS, Paris (Frankreich), als Auftragsverarbeiter mit Rechenzentren in der EU. Für Verwaltung und Support kann Personal der Sinch-Gruppe außerhalb der EU, etwa in den USA, zugreifen. Das ist durch EU-Standardvertragsklauseln abgesichert. Wir werten Öffnungen und Klicks aus. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). DÖAK 2027 · Deutsch-Österreichischer AIDS-Kongress · 11. bis 13. März 2027 · KOSMOS Berlin

Datenschutzerklärung · Stand: 02.11.2026 · VATERBLUT GmbH · doeak-2027.com/datenschutz · Seite 6 von 7

Sie können sich jederzeit über den Link im Newsletter oder per E-Mail an info@doeak-2027.com abmelden. Danach nehmen wir Ihre E-Mail-Adresse in eine Sperrliste auf, damit Sie keine weiteren Newsletter erhalten (Art. 6 Abs. 1 lit. f DSGVO). Ansonsten speichern wir Ihre Daten bis zum Widerruf.

13. Kontakt per E-Mail oder Telefon

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Fragen zum wissenschaftlichen Programm geben wir an die Kongressleitung weiter. Wir löschen Anfragen nach der Erledigung, sofern keine Aufbewahrungspflichten bestehen.

Angaben zu Unterstützungsbedarf vor Ort (zum Beispiel wegen einer Behinderung) sind freiwillig. Gesundheitsbezogene Angaben verarbeiten wir nur aufgrund Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit widerrufen können. Wir geben sie nur an das Personal vor Ort weiter, das sie braucht, und löschen sie spätestens einen Monat nach dem Kongress.

14. Empfänger und Übermittlung in Drittländer