Datenschutzerklärung

1Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Anfragen zum Datenschutz: contact@avaria-media.de

Die vollständigen Anbieterangaben stehen im Impressum.

2Was beim bloßen Aufruf einer Seite anfällt

Wie jeder Webserver verarbeitet auch dieser die Angaben, die dein Browser technisch mitschickt: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemkennung und die verweisende Seite. Ohne diese Angaben lässt sich eine Seite nicht ausliefern.

Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle des Webservers werden nach spätestens sieben Tagen gelöscht oder gekürzt.

Zusätzlich merkt sich die Anwendung für wenige Minuten im Arbeitsspeicher, wie viele Anfragen von einer IP-Adresse kommen — ausschließlich, um Missbrauch zu bremsen. Diese Zählung wird nicht gespeichert und ist nach einem Neustart weg.

Ein Personenbezug wird nicht hergestellt; eine Zusammenführung mit anderen Daten findet nicht statt.

3Konto und Anmeldung über Twitch

Ein Zugang entsteht nur über eine Anmeldung mit einem Twitch-Konto. Dabei fragen wir von Twitch ausschließlich die E-Mail-Adresse ab (Freigabe user:read:email). Gespeichert werden:

• die Twitch-Benutzerkennung (eine Zahl, die sich nie ändert),
• der Twitch-Anmeldename und der Anzeigename,
• die E-Mail-Adresse,
• die Adresse des Profilbilds,
• Zeitpunkt der letzten Anmeldung, Status (wartend, freigeschaltet, gesperrt) und zugewiesene Rollen.

Zweck ist die Bereitstellung des Zugangs; Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gelöscht, wenn das Konto gelöscht wird.

Ein neues Konto ist zunächst nicht freigeschaltet und sieht keine Daten. Die Freischaltung erfolgt von Hand.

4Verbundene Kanäle und Twitch-Token

Wer einen Kanal verbindet, erteilt Twitch gegenüber Freigaben — etwa, neue Follower zu sehen oder im Chat zu schreiben. Twitch übergibt uns dafür ein Zugriffs- und ein Erneuerungs-Token.

Diese Token liegen ausschließlich verschlüsselt in der Datenbank (AES-256-GCM mit einem Schlüssel, der nicht in der Datenbank steht). Sie werden nie angezeigt, nie protokolliert und nie weitergegeben. Jeder Protokollpfad der Anwendung läuft durch einen Filter, der Token-ähnliche Zeichenfolgen entfernt.

Wer die Verbindung löst, dessen Token wird gelöscht. Die Freigaben lassen sich außerdem jederzeit direkt bei Twitch in den Verbindungseinstellungen widerrufen.

Wer im OBS-Dock als er selbst in den Chat schreiben will, erteilt dafür eine eigene Freigabe (user:write:chat). Das Token dazu gehört der Person, nicht einem Kanal, liegt genauso verschlüsselt und wird gelöscht, sobald die Freigabe im Dock zurückgegeben wird. Gesendet wird damit nur, was die Person im Dock abschickt; die Nachricht geht direkt an Twitch und wird von uns nicht gespeichert.

5Daten der Zuschauer — hier ist der Creator verantwortlich

Für alles, was in einem verbundenen Kanal passiert, ist der Creator der Verantwortliche und wir sind sein Auftragsverarbeiter (Art. 28 DSGVO). Wir verarbeiten diese Daten nur auf seine Weisung und nur für den Betrieb der Anwendung. Wer als Zuschauer Auskunft oder Löschung verlangt, wendet sich an den Creator; wir unterstützen ihn dabei.

Im Auftrag verarbeitet werden:

Es findet kein Profiling und keine automatisierte Entscheidung mit rechtlicher Wirkung statt. Punkte und Ränge sind eine Spielmechanik des Kanals.

6Öffentliche Social-Hub-Seiten

Ein Creator kann eine öffentliche Linkseite veröffentlichen. Wer sie besucht, muss sich nicht anmelden; es wird kein Cookie gesetzt und keine Kennung vergeben.

Ein Klick auf einen Link läuft über unseren Server, damit der Creator sieht, welcher Link zieht. Dabei wird ausschließlich ein Zähler um eins erhöht — keine IP-Adresse, kein Zeitpunkt, keine Kennung. Aus diesen Zahlen lässt sich niemand wiedererkennen.

Profilbilder auf dieser Seite werden über unseren Server geladen, nicht direkt von Twitch. So erfährt Twitch nicht, wer die Seite eines Creators ansieht.

7Beichtstuhl, Q&A und Einsendungen

Ein Creator kann Zuschauer bitten, anonyme Beichten, Fragen, Bilder oder Clip-Links einzuschicken. Wer das tut, meldet sich dafür mit Twitch an (siehe oben); gespeichert werden zu jedem Beitrag:

• der Twitch-Anmeldename, der Anzeigename, die Twitch-Benutzerkennung und die Adresse des Profilbilds,
• der eingeschickte Text, gegebenenfalls das hochgeladene Bild oder die Kennung des verlinkten Clips, die gewählte Kategorie und der Zeitpunkt,
• der Stand der Prüfung, eine Bewertung durch den Creator und Stimmen anderer Zuschauer (nur der Anmeldename und der gewählte Wert).

Beichten sind vollständig anonym: Weder im Stream noch für das Team des Kanals steht ein Name dabei. Gespeichert wird nur intern, von welchem Konto sie kommt — damit die Grenze je Person gilt und Missbrauch gesperrt werden kann, ohne dass jemand erfährt, wer es war. Fragen und Einsendungen können im Stream mit Namen und Profilbild erscheinen; darauf weist die Seite vor dem Einschicken hin. Eine beantwortete Frage kann der Creator mit Namen und Antwort auf seiner öffentlichen Social-Hub-Seite zeigen.

Für diese Daten ist der jeweilige Creator verantwortlich, wie bei den übrigen Zuschauerdaten (Abschnitt „Daten der Zuschauer“); wir verarbeiten sie in seinem Auftrag. Sie bleiben gespeichert, bis der Creator den Beitrag löscht oder den Kanal trennt.

Clips werden nur über die offizielle Einbettung von Twitch, YouTube (im erweiterten Datenschutzmodus) oder TikTok abgespielt — und nur in der Einblendung des Creators, nicht auf der Seite zum Einschicken. Beim Abspielen verbindet sich die Browserquelle des Creators mit dem jeweiligen Dienst.

8Hochgeladene Dateien

Bilder, Videos, Klänge und Werbemittel liegen außerhalb des öffentlichen Verzeichnisses und sind nur über eine zufällige, nicht erratbare Kennung erreichbar. Sie werden nicht durchsucht und nicht ausgewertet.

Diese Adressen sind bewusst ohne Anmeldung abrufbar: Eine Browserquelle in OBS kann sich nicht anmelden. Wer die Kennung nicht kennt, kommt nicht an die Datei.

9Protokoll über Änderungen

Änderungen an Konten, Rollen, Kanälen und Kampagnen werden mit Zeitpunkt, handelndem Konto und betroffenem Gegenstand protokolliert. Das ist nötig, um nachvollziehen zu können, wer einem Konto Rechte gegeben oder einen Kanal getrennt hat (Art. 6 Abs. 1 lit. f DSGVO).

10Cookies

Diese Anwendung setzt ausschließlich Cookies, die für den Betrieb erforderlich sind. Es gibt keine Werbe-, Tracking- oder Analyse-Cookies. Welche das im Einzelnen sind, steht auf der Seite Cookies.

Weil sie erforderlich sind, braucht es dafür keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

11Empfänger und Übermittlung in Drittländer

• Twitch Interactive, Inc. (USA) — für Anmeldung, Chat und die Kanaldaten. Ohne Twitch gibt es diese Anwendung nicht; die Übermittlung ist zur Erfüllung des Nutzungsverhältnisses erforderlich (Art. 49 Abs. 1 lit. b DSGVO) und stützt sich im Übrigen auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln.
• Bildsuche im Spiel „Hear me out“ — die eingegebenen Suchbegriffe schickt unser Server an eine vom Betreiber selbst betriebene Metasuche (SearXNG), die die Suchanfrage ohne Angaben zu deiner Person an Suchmaschinen wie Google (Google LLC, USA), Bing (Microsoft Corporation, USA) und DuckDuckGo (Duck Duck Go, Inc., USA) weitergibt, sowie die Bildersuchen von Microsoft Bing (Microsoft Corporation, USA) und DuckDuckGo (Duck Duck Go, Inc., USA), ersatzweise Wikipedia und Wikimedia Commons (Wikimedia Foundation, Inc., USA) und AniList (AniList, USA); ein gewähltes Bild holt er von der Seite, auf der es liegt. Die IP-Adresse der Mitspielenden wird dabei nicht weitergegeben. Gewählte und hochgeladene Bilder bleiben gespeichert, bis ein neues Spiel beginnt oder der Raum gelöscht wird.
• Clip-Einbettungen — Twitch Interactive, Inc. (USA), Google Ireland Ltd. für YouTube (mit Übermittlung an Google LLC, USA) und TikTok Technology Ltd. (Irland). Nur, wenn ein Creator einen eingeschickten Clip in seiner Einblendung abspielt; betroffen ist die Browserquelle des Creators, nicht die Zuschauer.
• Hosting: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Der Server steht in der Europäischen Union; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

Weitere Empfänger gibt es nicht. Es werden keine Daten verkauft, und es sind keine Werbenetzwerke, Analysedienste, Kartendienste oder fremden Schriftarten eingebunden.

12Speicherdauer

• Kontodaten: bis zur Löschung des Kontos.
• Sitzungen: bis zum Abmelden, spätestens mit Ablauf der Sitzung.
• Twitch-Token: bis der Kanal getrennt oder die Freigabe bei Twitch widerrufen wird.
• Zuschauer- und Ereignisdaten: nach Weisung des Creators; spätestens, wenn sein Kanal getrennt wird.
• Chatnachrichten: stündliches Aufräumen, es bleibt nur ein kurzes Fenster.
• Protokolleinträge: bis zur Löschung des zugehörigen Kanals oder Kontos.

13Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Für alle diese Rechte genügt eine Nachricht an contact@avaria-media.de.

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere der des Bundeslandes, in dem wir sitzen, oder der deines Aufenthaltsorts.

14Sicherheit

• Übertragung ausschließlich verschlüsselt (HTTPS).
• Token verschlüsselt gespeichert; Passwörter gibt es nicht, weil die Anmeldung über Twitch läuft.
• Zugriff auf Kanaldaten über zwei Rechteschichten: Berechtigung und Kanalrolle.
• Anfragen werden begrenzt, um automatisierte Angriffe zu bremsen.
• Sicherheitskopfzeilen und eine strenge Inhaltsrichtlinie (CSP) gegen eingeschleuste Skripte.

15Änderungen dieser Erklärung

Ändert sich die Anwendung, ändert sich diese Erklärung mit. Es gilt jeweils die hier veröffentlichte Fassung; das Datum steht oben.