Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch und der Nutzung dieses Angebots erhoben werden und wie sie verarbeitet werden – erreichbar unter streams.emilbrecht.me und streams.hobbylos.online, dahinter stehen dieselbe Anwendung, dieselbe Datenbank und dieselbe verantwortliche Stelle. Personenbezogene Daten sind alle Daten, mit denen Du persönlich identifiziert werden kannst.

Der Login erfolgt ausschließlich über Twitch-OAuth. Wir erhalten von Twitch deinen Twitch-Login, Display-Name, dein Profilbild und – wenn du es in deinem Twitch-Account freigegeben hast – deine E-Mail-Adresse. Annotation-Daten (Marker, Sessions, Marker-Typen, Share-Links, Export-History) erzeugst du selbst während der Nutzung.

Du hast jederzeit Anspruch auf kostenlose Auskunft, Berichtigung, Löschung sowie Widerruf von Einwilligungen.

Die Anwendung läuft auf einem Server eines europäischen Hosting-Anbieters mit Serverstandort in der Europäischen Union; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Am Server übernimmt Caddy die TLS-Terminierung mit Let's-Encrypt-Zertifikaten. Anfragen werden in den Server-Logs mit IP-Adresse und User-Agent kurzfristig protokolliert (Diagnose, Missbrauchsabwehr); die Logs werden nach spätestens 14 Tagen automatisch gelöscht.

Der Anwendung vorgeschaltet ist Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) als Reverse-Proxy und Content-Delivery-Network. Sämtliche Anfragen laufen über die Server von Cloudflare; die Verbindung zwischen deinem Browser und Cloudflare wird dort entschlüsselt und zum Ursprungsserver neu verschlüsselt. Dabei verarbeitet Cloudflare unter anderem deine IP-Adresse, den User-Agent und die aufgerufene Adresse, um Angriffe abzuwehren und Inhalte auszuliefern. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Mit den eingesetzten Hostern besteht jeweils ein Auftragsverarbeitungsvertrag.

Verantwortliche Stelle

Emil Brecht
Petunienweg 18
60433 Frankfurt am Main
Telefon: +49 69 90721340
E-Mail: [email protected]

Speicherdauer

Daten werden gelöscht, sobald der Verarbeitungszweck entfällt oder ein Löschverlangen gestellt wird. Dein Konto kannst du jederzeit selbst unter Konto-Einstellungen löschen; alternativ per E-Mail an die oben genannte Adresse. Server-Backups rotieren automatisch (14 Tage on-box); zeitversetzt gelöschte Daten können bis zum Ablauf dieser Frist noch in einem Backup enthalten sein. Off-Site- Sicherungskopien der Backups werden ebenfalls zeitversetzt gelöscht.

Rechtsgrundlagen

• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO
• Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO
• Rechtliche Verpflichtung: Art. 6 Abs. 1 lit. c DSGVO
• Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO

Deine Rechte

• Widerruf von Einwilligungen
• Widerspruchsrecht gegen Datenverarbeitung (Art. 21 DSGVO)
• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Auskunft und Datenübertragbarkeit beantragst du formlos per Mail; die Antwort erhältst du als maschinenlesbaren JSON-Export binnen eines Monats.

Sicherheit

Die Verbindung wird per SSL/TLS verschlüsselt. Authentifizierung erfolgt über kurzlebige Auth.js-Session-Cookies (HttpOnly, Secure).

Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies, alle über Auth.js gesetzt:

• __Secure-authjs.session-token — hält deine Login-Sitzung (JWT).
• __Host-authjs.csrf-token — schützt vor Cross-Site-Request-Forgery.
• authjs.callback-url — merkt sich die Seite, zu der nach dem Login zurückgeleitet wird.
• authjs.pkce.code_verifier und authjs.state — kurzlebige Prüf-Cookies, die nur während des Twitch-OAuth-Logins gesetzt und danach wieder gelöscht werden.

Cookies gelten jeweils nur für die Adresse, unter der du angemeldet bist: meldest du dich unter streams.emilbrecht.me an und rufst anschließend streams.hobbylos.online auf, erzeugt das dort eine eigene, separate Sitzung (und umgekehrt).

Keines dieser Cookies dient Tracking oder Werbung. Im localStorage werden ausschließlich UI-Präferenzen ohne Personenbezug gespeichert (z. B. ob das Live-Chat-Panel oder die gespeicherten Umfragen ein- oder ausgeblendet sind, oder ob die automatische Poll-/Spike- Erkennung aktiv ist). Es findet kein eigenes Tracking und kein Analytics statt.

Beim Einbetten des Twitch-Players (siehe Abschnitt 5) setzt Twitch eigene Cookies auf der Domain twitch.tv — darauf haben wir keinen Einfluss.

Server-Logs

Caddy protokolliert pro Request kurzfristig: Browsertyp/-version, Betriebssystem, Referrer-URL, Hostname, Uhrzeit, IP-Adresse, aufgerufener Pfad. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Diagnose, Sicherheit). Es findet keine Zusammenführung dieser Logs mit Account-Daten statt.

Account-Daten (über Twitch-OAuth)

Beim Login speichern wir: Twitch-User-ID, Twitch-Login, Display-Name, URL des Twitch-Profilbilds und – soweit von Twitch ausgeliefert – die E-Mail-Adresse. Die Daten werden für die Authentifizierung und die Anzeige im Team-Kontext verwendet.

Nutzungsdaten

Folgende Daten erzeugst du durch die Nutzung und werden in der Datenbank gespeichert: Teams, Streamer-Zuordnungen (Twitch-Logins), Annotation-Sessions, einzelne Marker mit Zeitstempel und Kommentar, Marker-Typen, Share-Links, Export-History (welche Person wann welches Format exportiert hat), freiwillig übermittelte Feedback-Nachrichten (Seiten-URL, Nachrichtentext und optional deine Account-Zuordnung; diese Nachrichten leiten wir zusätzlich an einen externen Benachrichtigungsdienst weiter, siehe Abschnitt 5), gespeicherte Chat-Umfragen (Titel und aggregierte Ergebnisse, siehe Abschnitt 5) sowie ein etwaiger Moderations- oder Sperrstatus deines Accounts (Zeitpunkt einer Sperre bzw. eines erzwungenen Logouts).

Kontaktanfragen

Per E-Mail übermittelte Daten werden zur Bearbeitung der Anfrage gespeichert. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b oder f DSGVO.

Twitch (Twitch Interactive, Inc.)

Wir nutzen drei Twitch-Schnittstellen:

• OAuth für den Login (nur Identity-Scope, keine schreibenden Aktionen).
• Helix-API (App-Access-Token), um live/offline-Status und VOD-Listen zu Streamer:innen abzufragen — ausschließlich öffentlich zugängliche Daten.
• Embed-Player (iframe auf der Session-Seite). Der Player setzt Cookies auf der Domain twitch.tv und überträgt technische Daten an Twitch (IP, User-Agent, Referrer). Darauf haben wir keinen Einfluss; es gelten die Twitch-Datenschutzhinweise.
• Anonyme IRC-Verbindung zum Twitch-Chat des annotierten Kanals während einer Live-Session. Wir lesen nur mit (kein eigener Bot-Account, kein Schreiben), erkennen Reaction-Spikes und Zahlen-Polls und stellen den Chat live in der Annotation-UI dar. Chat-Nachrichten werden dabei nicht dauerhaft gespeichert — mit Ausnahme aggregierter Umfrage-Ergebnisse, die ein Mod bewusst speichert (siehe „SessionPoll“ oben); die einzelnen zugrunde liegenden Chat-Nachrichten werden dabei nicht mit abgelegt. Ist die Chat-Moderation für ein Team aktiviert, markiert eine automatische Heuristik Nachrichten team-intern zusätzlich farblich als möglichen Spam, Werbung, Spoiler oder Hassrede- Verdacht. Dabei wird nichts blockiert und nichts an Twitch gemeldet, die Einschätzung ist rein lokal und kann falsch liegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (für den Login/Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (für die Helix-/Chat-/Embed-Nutzung — berechtigtes Interesse an der Bereitstellung der Annotation-Funktionalität).

betterplace.org

Bei manchen Live-Sessions kann ein Spenden-Feed eines Fundraisers von betterplace.org eingeblendet werden. Angezeigt werden dabei ausschließlich Daten, die die spendende Person selbst öffentlich auf betterplace.org hinterlegt hat: Vorname bzw. Anzeigename, Spendenbetrag und eine optionale Nachricht. Quelle ist die öffentliche betterplace-API; eine eigene Speicherung dieser Daten findet über einen kurzen Server-Cache hinaus nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung öffentlich einsehbarer Spendendaten).

Feedback-Weiterleitung (Slack Technologies LLC)

Schickst du über den Feedback-Button eine Nachricht ab (siehe Abschnitt 4, „Nutzungsdaten“), leiten wir sie zusätzlich zur Speicherung in unserer Datenbank an einen selbst betriebenen n8n-Dienst auf privater Hardware weiter, der die Meldung an Slack (Slack Technologies LLC, USA) weiterreicht, damit Feedback aktiv auffällt. Übermittelt werden dabei der Nachrichtentext, die aufgerufene Seiten-URL, bei eingeloggten Personen deine Account-Zuordnung sowie ein Zeitstempel. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zeitnaher Fehlerbehebung und Verbesserung des Angebots). Bitte schreib keine sensiblen Daten, etwa zu Gesundheit oder Zahlungen, ins Feedback-Feld.