Datenschutzerklärung

Datenschutzerklärung — StreamTik Interactive

1) Wer verantwortlich ist und wie man uns erreicht

1.1 Wir freuen uns über Ihr Interesse an StreamTik. Hier erfahren Sie, welche personenbezogenen Daten wir verarbeiten, wozu wir das tun und wie lange wir sie behalten. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

1.2 Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist StreamTik Interactive UG (haftungsbeschränkt), Ludwig-Erhard-Straße 18, 20459 Hamburg, Deutschland, Tel.: 040696328495, E-Mail: [email protected]. Verantwortlicher ist diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

1.3 Diese Erklärung gilt für alle Teile von StreamTik: für die Website, für das Kundenkonto, für den Windows-Launcher, für den Overlay-Editor und die Overlay-Anwendung, für die Spiele, für die Begleit-App Interactive Mods und für die Anbindung an TikTok-Live.

1.4 Wenn Sie Fragen zum Datenschutz haben, schreiben Sie an [email protected].

2) Überblick: welche Daten bei welcher Nutzung anfallen

2.1 StreamTik besteht aus mehreren Teilen. Je nachdem, welchen Teil Sie benutzen, fallen unterschiedliche Daten an. Dieser Überblick sagt kurz, worum es geht; die Einzelheiten stehen in den folgenden Abschnitten.

• Website-Besuch. Ihr Browser übermittelt beim Aufruf technische Zugriffsdaten. Dazu kommen eine Reichweitenmessung ohne Cookies, mit Ihrer Einwilligung eine Reichweitenmessung unseres Hosters, ein Bot-Schutz auf den beiden Formularen für Kündigung und Widerruf und Einträge im Browser-Speicher für Ihre Sprachwahl und Ihre Entscheidung zur Reichweitenmessung. Einzelheiten in Abschnitt 3.
• Konto und Kauf. Für ein Kundenkonto brauchen wir Ihre E-Mail-Adresse. Zur Anmeldung speichern wir Sitzungsdaten mit IP-Adresse und Browserkennung. Beim Kauf, bei einer Kündigung und bei einem Widerruf entstehen zusätzlich Nachweise. Einzelheiten in den Abschnitten 4 und 5.
• Launcher und Lizenz mit Gerätebindung. Der Launcher ist der einzige Weg, ein StreamTik-Programm zu starten. Er bindet Ihre Lizenz an das Gerät, auf dem Sie spielen. Dabei entsteht eine Geräte-Kennung, die Ihren Rechner nie im Klartext verlässt. Einzelheiten in Abschnitt 6.
• Overlay und Spiele. Ihre Overlay-Einstellungen und die von Ihnen hochgeladenen Bilder, Sounds und Videos liegen in unserem Cloud-Speicher. Die Spiele und die Overlay-Anwendung laufen auf Ihrem eigenen Rechner. Einzelheiten in Abschnitt 7.
• TikTok-Live und Zuschauer. Wenn Sie als Streamer Ihren TikTok-Kanal verbinden, verarbeiten wir Ereignisse Ihrer Zuschauer: Chatnachrichten, Geschenke, Follows und Likes. Einzelheiten in Abschnitt 7.

2.2 Rechtsgrundlage ist in jedem Abschnitt einzeln genannt. Am häufigsten sind es Art. 6 Abs. 1 lit. b DSGVO (Erfüllung unseres Vertrages mit Ihnen), Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse), Art. 6 Abs. 1 lit. c DSGVO (eine gesetzliche Pflicht) und Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung, etwa für die Reichweitenmessung in Abschnitt 3.5).

3) Website-Besuch

3.1 Zugriffsdaten und IP-Adressen

Bei der bloß informatorischen Nutzung unserer Website, also wenn Sie sich nicht anmelden und uns nichts übermitteln, erheben wir nur solche Daten, die Ihr Browser an den Seitenserver übermittelt. Man nennt sie Server-Logfiles — das sind automatisch erzeugte Protokolle jedes Seitenaufrufs:

• Unsere besuchte Website
• Datum und Uhrzeit zum Zeitpunkt des Zugriffes
• Menge der gesendeten Daten in Byte
• Quelle oder Verweis, von dem Sie auf die Seite gelangten
• Verwendeter Browser
• Verwendetes Betriebssystem
• Verwendete IP-Adresse

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Stabilität, Sicherheit und Funktionalität unserer Dienste.

Ihre IP-Adresse bleibt nicht auf die Protokolle des Hosters beschränkt. Wir verwenden sie zusätzlich in unserer eigenen Anwendungsdatenbank, und zwar an genau vier Stellen:

• In den Sitzungsdaten Ihres Kundenkontos, zusammen mit Ihrer Browserkennung, damit Sie Ihre eigenen Anmeldungen nachvollziehen können und wir fremde Anmeldungen erkennen. IP-Adresse und Browserkennung werden dort nach 7 Tagen auf null gesetzt.
• Im Zustimmungsbeleg beim Kauf, als Nachweis dafür, dass die Bestellung von Ihnen abgegeben wurde. Auch hier werden IP-Adresse und Browserkennung nach 7 Tagen auf null gesetzt.
• In einer Kündigungs- oder Widerrufserklärung, als Nachweis des Zugangs. Auch hier werden IP-Adresse und Browserkennung nach 7 Tagen auf null gesetzt.
• In einer Missbrauchsbremse, die verhindert, dass jemand ein Formular oder eine Schnittstelle im Sekundentakt anruft. Dieser Schlüssel enthält einen ungekürzten IP-Bestandteil und verfällt nach 30 Minuten. Für die Formulare zu Kündigung und Widerruf gibt es eine eigene Bremse; ihr Schlüssel enthält statt der IP-Adresse eine Prüfsumme davon und verfällt nach zwei Stunden.

Rechtsgrundlage für die Sitzungsdaten und die Missbrauchsbremse ist Art. 6 Abs. 1 lit. f DSGVO, für die Zustimmungs- und Erklärungsnachweise zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

3.2 Hosting und Auslieferungsnetz

Für das Hosting unserer Website, für die Auslieferung der Seiteninhalte über ein Netz regional verteilter Server und für den Betrieb unserer Cloud-Dienste nutzen wir das System des folgenden Anbieters: Cloudflare Inc., 101 Townsend St. San Francisco, CA 94107, USA.

Von diesem Anbieter nutzen wir folgende Teildienste: Cloudflare Pages für die Auslieferung der Website, Cloudflare Workers für unsere vier Cloud-Dienste (Abschnitt 3.3), die Datenbank Cloudflare D1 für Konto-, Lizenz-, Overlay- und Ranglistendaten, den Objektspeicher Cloudflare R2 für Overlay-Einstellungen, hochgeladene Dateien, die Kopien der Geschenk-Symbole und das Kalt-Archiv (Abschnitte 7.4, 7.5 und 7.8), Cloudflare Durable Objects für den Live-Hub (Abschnitt 7.3) sowie Cloudflare Turnstile (Abschnitt 3.6) und Cloudflare Web Analytics (Abschnitt 3.5). Welche Daten dort liegen, zu welchem Zweck und auf welcher Rechtsgrundlage, steht jeweils im Abschnitt zur einzelnen Verarbeitung.

Sämtliche auf unserer Website erhobenen Daten werden auf den Servern des Anbieters verarbeitet. Die Verarbeitung erfolgt zur Wahrung unseres berechtigten Interesses an der Stabilität und Funktionalität unserer Website gemäß Art. 6 Abs. 1 lit. f DSGVO.

Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag geschlossen, der den Schutz der Daten unserer Seitenbesucher sicherstellt und eine unberechtigte Weitergabe an Dritte untersagt. Eine Auftragsverarbeitung ist eine Verarbeitung nach unserer Weisung und nur zu unseren Zwecken.

Derselbe Anbieter schützt die Website und die damit verbundene Infrastruktur vor unberechtigten Zugriffen, Angriffen sowie Viren und Schadsoftware. Dafür erfasst er IP-Adressen und gegebenenfalls weitere Angaben zum Verhalten auf der Website, etwa aufgerufene Adressen und Kopfzeilen der Anfrage, vergleicht die IP-Adresse mit einer Liste bekannter Angreifer und kann sie bei einem erkannten Sicherheitsrisiko sperren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3.3 Betriebsprotokolle unserer Cloud-Dienste

StreamTik läuft auf vier Cloud-Diensten desselben Anbieters: der Lizenzverwaltung, der Kontoverwaltung, der Overlay-Verwaltung und dem Live-Hub, der die Ereignisse aus dem Stream verteilt. Bei allen vier ist die Protokollierung eingeschaltet. In diesen Betriebsprotokollen können daher auch IP-Adressen und E-Mail-Adressen erscheinen. Wir nutzen sie nur für Betrieb, Diagnose und Fehlersuche.

Die Speicherdauer dieser Protokolle richtet sich nach der Voreinstellung des Anbieters und ist von uns nicht steuerbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3.4 Eigene Reichweitenmessung ohne Cookies

Zur Reichweitenmessung zählen wir Seitenaufrufe selbst, auf unserem eigenen Server. Dabei wird kein Cookie gesetzt, kein Skript in Ihren Browser geladen und kein fremder Dienst eingeschaltet. Ihre IP-Adresse und Ihre Browserkennung werden allein für die Berechnung eines Kennwerts verwendet und dabei weder gespeichert noch protokolliert. Der Kennwert entsteht als Prüfsumme aus einem täglich wechselnden, nur uns bekannten Zusatzwert, Ihrer IP-Adresse und Ihrer Browserkennung; er lässt sich nicht zurückrechnen und ist am nächsten Tag ein anderer. Gespeichert werden je Aufruf nur sechs Angaben: der Zeitpunkt in einem Raster von fünf Minuten, dieser Kennwert, die aufgerufene Seite ohne die Zeichen hinter dem Fragezeichen, die Domäne der Seite, von der Sie zu uns gekommen sind, der Ländercode Ihrer Verbindung und eine grobe Einstufung, ob der Aufruf von einem Menschen oder von einem automatisierten Programm stammt. Von der verweisenden Seite speichern wir nur die Domäne, also zum Beispiel „beispiel.de", nicht die vollständige Adresse und damit auch keinen Suchbegriff; kommen Sie ohne Verweis oder von einer unserer eigenen Seiten, steht dort „direkt". Vom Land speichern wir nur den zweibuchstabigen Ländercode, den unser Netzbetreiber der Verbindung beilegt, also zum Beispiel „DE"; eine Stadt, eine Region oder Ihre IP-Adresse speichern wir nicht, und ist der Code nicht zu ermitteln, steht dort „unbekannt". Die Daten werden nach 90 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der statistischen Auswertung des Nutzungsverhaltens gemäß Art. 6 Abs. 1 lit. f DSGVO.

Einen Webanalysedienst eines anderen Anbieters binden wir für die Reichweitenmessung nicht ein. Davon unabhängig messen wir mit Ihrer Einwilligung zusätzlich mit dem Dienst unseres Hosters, siehe Abschnitt 3.5.

3.5 Reichweitenmessung mit Cloudflare Web Analytics, nur mit Ihrer Einwilligung

Mit Ihrer Einwilligung messen wir die Nutzung unserer Website zusätzlich mit Cloudflare Web Analytics, einem Dienst unseres Hosters Cloudflare Inc., 101 Townsend St. San Francisco, CA 94107, USA. Ohne Ihre Einwilligung wird das Messskript nicht geladen und diese Messung findet nicht statt.

Wie wir fragen. Beim ersten Besuch erscheint ein Hinweisfenster mit den gleichrangigen Knöpfen „Ablehnen" und „Zustimmen"; nichts ist vorausgewählt. Schließen Sie das Fenster ohne Entscheidung oder nutzen Sie die Seite einfach weiter, gilt die Einwilligung als nicht erteilt. Sendet Ihr Browser das Signal „Global Privacy Control", werten wir das als Ablehnung und fragen nicht nach.

Welche Daten dabei verarbeitet werden. Nach Ihrer Zustimmung lädt Ihr Browser ein Skript des Anbieters. Es liest Angaben aus Ihrem Browser aus und sendet sie an den Anbieter, und zwar wenn die Seite geladen ist und wenn Sie sie verlassen: die Adresse der aufgerufenen Seite ohne die Zeichen hinter dem Fragezeichen, die Seite, von der Sie gekommen sind, die Browser- und Betriebssystemkennung und Messwerte zur Ladezeit der Seite. Dabei wird auch Ihre IP-Adresse übertragen. Nach Angaben des Anbieters setzt das Skript keine Cookies, legt nichts im Browser-Speicher ab und bildet aus IP-Adresse oder Browserkennung keine Kennung, mit der einzelne Besucher wiedererkannt werden. Wir sehen nur zusammengefasste Zahlen, keine Angaben zu einzelnen Besuchern.

Rechtsgrundlage. Das Laden des Skripts und das Auslesen der Angaben aus Ihrem Browser stützen wir auf Ihre Einwilligung nach § 25 Abs. 1 TDDDG, die anschließende Verarbeitung auf Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Speicherung Ihrer Entscheidung. Ihre Entscheidung, also Zustimmung oder Ablehnung mit Datum, legen wir als Eintrag im Browser-Speicher Ihres Geräts ab, damit wir nicht bei jedem Seitenaufruf neu fragen. Der Eintrag wird nicht an uns übermittelt. Nach 12 Monaten fragen wir erneut. Dieser Eintrag ist technisch erforderlich; einer Einwilligung bedarf er nach § 25 Abs. 2 Nr. 2 TDDDG nicht.

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Klicken Sie unten auf jeder Seite auf „Datenschutz-Einstellungen" und wählen Sie „Ablehnen". Ab dann laden wir das Skript nicht mehr. Ist es auf der gerade geöffneten Seite schon geladen, laden wir diese Seite neu, damit die Messung sofort endet. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Empfänger und Übermittlung in die USA. Der Anbieter ist für uns Auftragsverarbeiter; wir haben mit ihm einen Auftragsverarbeitungsvertrag geschlossen. Wie lange er die Messdaten speichert, bestimmt der Anbieter. Zur Übermittlung in die USA siehe Abschnitt 11.1.

3.6 Bot-Schutz auf den Formularen für Kündigung und Widerruf

Auf den beiden Formularen für die Kündigung und den Widerruf verwenden wir den Prüfdienst Cloudflare Turnstile des Anbieters Cloudflare Inc., 101 Townsend St. San Francisco, CA 94107, USA. Der Dienst unterscheidet, ob eine Absendung von einem Menschen oder von einem automatisierten Programm stammt.

Welche Daten dabei verarbeitet werden. Ihr Browser lädt ein Prüfskript des Anbieters. Dabei gehen Ihre IP-Adresse und technische Angaben Ihres Browsers und Ihres Geräts an den Anbieter, etwa die Browser- und Betriebssystemkennung sowie Eigenschaften der Browserumgebung, die der Dienst für diese Unterscheidung auswertet. Ergebnis der Prüfung ist ein kurzlebiger Prüfschlüssel, den Ihr Browser zusammen mit dem Formular an uns schickt. Unser Server lässt diesen Prüfschlüssel beim Anbieter bestätigen und übermittelt dafür auch Ihre IP-Adresse. Bei uns wird davon nichts gespeichert; geprüft wird bei jeder Absendung neu.

Wann der Dienst geladen wird. Das Prüfskript wird auf diesen beiden Formularseiten geladen, und dort erst dann, wenn das Formular angezeigt wird. Auf den übrigen Seiten unserer Website binden wir es nicht ein.

Rechtsgrundlage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: Kündigung und Widerruf sind Erklärungen mit Rechtswirkung, die ohne Anmeldung und für eine beliebige E-Mail-Adresse abgegeben werden können, weil wir diesen Weg gesetzlich offenhalten müssen. Ohne Bot-Schutz könnten automatisierte Programme ihn missbrauchen und massenhaft Erklärungen für fremde Kunden einreichen. Der Schutz dient damit den Kunden selbst und der Verlässlichkeit des gesetzlich vorgeschriebenen Weges. Ein gleich wirksames, milderes Mittel steht uns dafür nicht zur Verfügung: die Begrenzung der Anfragen je Absender auf unserem Server, die wir ohnehin einsetzen (Abschnitt 3.1), unterscheidet Mensch und Programm nicht.

Soweit dabei auf Informationen in Ihrem Endgerät zugegriffen oder dort etwas abgelegt wird, stützen wir das auf § 25 Abs. 2 Nr. 2 TDDDG. Der Zugriff ist unbedingt erforderlich, damit wir Ihnen den von Ihnen ausdrücklich gewünschten Dienst zur Verfügung stellen können, nämlich die Abgabe Ihrer Kündigungs- oder Widerrufserklärung über dieses Formular. Eine Einwilligung holen wir dafür nicht ein; Sie müssen also keinem Dienst eines Drittanbieters zustimmen, um Ihre Erklärung abgeben zu können.

Empfänger und Übermittlung in die USA. Empfänger ist der genannte Anbieter. Er ist für uns Auftragsverarbeiter; wir haben mit ihm einen Auftragsverarbeitungsvertrag geschlossen, der den Schutz der Daten unserer Seitenbesucher sicherstellt und eine unberechtigte Weitergabe an Dritte untersagt. Zur Übermittlung in die USA siehe Abschnitt 11.1.

Wenn die Prüfung nicht zustande kommt. Blockiert Ihr Browser den Prüfdienst oder erreicht er ihn nicht, können Sie Ihre Erklärung über das Formular trotzdem abgeben; wir nehmen sie entgegen. Stuft die Prüfung Ihre Absendung dagegen als automatisiert ein, lehnt das Formular sie ab; Sie können Ihre Erklärung dann per E-Mail an [email protected] abgeben. Daneben können Sie Kündigung und Widerruf auch per E-Mail an [email protected] erklären. Diese Möglichkeit tritt neben das Formular und ersetzt es nicht.

Widerspruch. Gegen diese Verarbeitung können Sie nach Art. 21 DSGVO Widerspruch einlegen; siehe Abschnitt 13.6.

3.7 Browser-Speicher und Cookies

Cookies sind kleine Textdateien, die auf Ihrem Endgerät abgelegt werden. Der Browser-Speicher ist ein ähnlicher Ablageort, der aber nicht bei jeder Anfrage mitgesendet wird. Unsere Website benutzt beides sehr sparsam. Das Zahlungsskript unseres Zahlungsdienstleisters wird nur im Kaufweg geladen, und dort erst nach Ihrem Klick auf einen Tarif, nicht beim Aufruf der Seite. Im Einzelnen:

• Sprachwahl im Browser-Speicher. Ein Eintrag merkt sich, in welcher Sprache Sie die Seite lesen möchten. Er bleibt in Ihrem Browser, bis Sie ihn löschen, und wird nicht an uns übermittelt.
• Ihre Entscheidung zur Reichweitenmessung im Browser-Speicher. Ein Eintrag merkt sich, ob Sie der Messung in Abschnitt 3.5 zugestimmt oder sie abgelehnt haben, und wann. Er bleibt 12 Monate gültig und wird nicht an uns übermittelt.
• Test-Cookie. Beim Anmelden setzen wir kurz ein Cookie, um zu prüfen, ob Ihr Browser Cookies überhaupt annimmt. Es wird unmittelbar danach wieder gelöscht und trägt keinen Personenbezug.
• Sitzungs-Cookie. Nach der Anmeldung hält ein Cookie Ihre Sitzung. Seine Dauer steht in Abschnitt 4.3.

Ein Cookie oder einen Eintrag, mit dem wir Sie über mehrere Seiten hinweg zu Werbezwecken wiedererkennen oder Ihr Verhalten verfolgen, setzen wir nicht. Liegt aus einer früheren Fassung unserer Website noch ein Eintrag zu Einwilligungen in Ihrem Browser, lesen wir ihn nicht mehr aus; löschen können Sie ihn über die Einstellungen Ihres Browsers.

Diese Einträge und Cookies sind für den Betrieb der von Ihnen angeforderten Funktion erforderlich; für den Eintrag zu Ihrer Entscheidung gilt zusätzlich Abschnitt 3.5; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig. Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des Vertrages beziehungsweise gemäß Art. 6 Abs. 1 lit. f DSGVO zur Wahrung unseres berechtigten Interesses an einer funktionierenden Website. Sie können Ihren Browser so einstellen, dass er Cookies nur nach Rückfrage oder gar nicht annimmt; dann kann die Anmeldung nicht funktionieren.

3.8 Verschlüsselung

Diese Website nutzt zum Schutz der Übertragung eine Verschlüsselung nach dem Stand der Technik. Sie erkennen eine verschlüsselte Verbindung an der Zeichenfolge „https://" und dem Schloss-Symbol in Ihrer Browserzeile.

4) Konto, Anmeldung, Sitzungen

4.1 Die E-Mail-Adresse Ihres Kontos

Für ein Kundenkonto brauchen wir genau ein Datum von Ihnen: Ihre E-Mail-Adresse. Wir verwenden sie für die Anmeldung, für die Zustellung Ihrer Lizenz und für alle Nachrichten, die zu Ihrem Vertrag gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ihre Kontozeile selbst bleibt bestehen, solange andere Einträge auf sie verweisen. Bei einer Kontolöschung ersetzen wir die E-Mail-Adresse in dieser Zeile durch einen anonymisierten Wert und setzen eine Löschmarke. Was aus Nachweisgründen darüber hinaus gespeichert bleibt, einschließlich der E-Mail-Adressen in Zustimmungsbelegen und in Kündigungs- und Widerrufserklärungen, steht in Abschnitt 12.5.

Eine Änderung der E-Mail-Adresse ist im Konto selbst nicht möglich. Wenn Sie Ihre Adresse ändern möchten, schreiben Sie an [email protected]. Wir ändern sie dann für Sie.

4.2 Anmeldung ohne Passwort

Sie melden sich ohne Passwort an. Auf Ihre Anfrage hin schicken wir Ihnen einen einmaligen Anmeldelink an Ihre E-Mail-Adresse. Von diesem Link speichern wir nur eine Prüfsumme, nicht den Link selbst, dazu die Adresse, an die er ging.

Der Anmeldelink gilt 15 Minuten. Danach oder nach dem ersten Gebrauch wird er gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.3 Sitzungen

Zu jeder Anmeldung speichern wir eine Sitzungszeile mit Ihrer IP-Adresse und Ihrer Browserkennung. Das dient Ihrem eigenen Überblick über Ihre Anmeldungen und der Abwehr fremder Zugriffe.

• Eine Sitzung gilt höchstens 30 Tage ab Ausstellung.
• Zusätzlich verfällt sie nach 7 Tagen ohne Nutzung.
• Unabhängig davon werden IP-Adresse und Browserkennung in der Sitzungszeile nach 7 Tagen auf null gesetzt.
• Abgelaufene Sitzungszeilen werden gelöscht, bei einer Kontolöschung alle.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Sitzung selbst und Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsabwehr.

4.4 Bestätigung einer Kontolöschung

Wenn Sie im Konto die Löschung beantragen, schicken wir Ihnen einen einmaligen Bestätigungslink. Auch davon speichern wir nur eine Prüfsumme und die Adresse, an die er ging. Der Link gilt 15 Minuten und wird danach oder nach Gebrauch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO.

4.5 Interne Notizen und Protokoll unserer eigenen Eingriffe

Zu einem Konto oder zu einem Partner können wir eine interne Notiz führen, etwa bei einem Missbrauchsverdacht. Diese Notiz ist nur für uns sichtbar und hat keine eigene Frist. Notizen zu einem Konto werden bei einer Kontolöschung vollständig gelöscht. Notizen zu einem Partner bleiben beim Partner-Datensatz, der bei einer Kontolöschung gesperrt und nicht gelöscht wird; siehe Abschnitt 9.

Über jeden Verwaltungseingriff, den wir selbst vornehmen, führen wir ein Protokoll. Es hält fest, wer wann was getan hat, und kann dabei Konto- und Zuschauerkennungen enthalten. Dieses Protokoll wird nach 180 Tagen gelöscht. Rechtsgrundlage für beides ist Art. 6 Abs. 1 lit. f DSGVO, also unser berechtigtes Interesse an einem nachvollziehbaren und missbrauchsfreien Betrieb.

5) Kauf und Abrechnung

5.1 Verkauf und Zahlungsabwicklung

Den Verkauf wickeln wir selbst ab: Verkäufer und Vertragspartner des Kaufvorgangs ist die StreamTik Interactive UG (haftungsbeschränkt). Von uns erhalten Sie auch die Rechnung.

Für die Abwicklung der Zahlung setzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., Irland ein. Zweck ist die Abwicklung der Zahlung und von Erstattungen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, also die Erfüllung unseres Vertrags mit Ihnen. Der Zahlungsdienstleister verarbeitet Daten nach eigener Angabe je nach Tätigkeit als eigener Verantwortlicher oder als Auftragsverarbeiter. Soweit er eigener Verantwortlicher ist, gilt für diese Verarbeitung seine Datenschutzerklärung, nicht diese hier.

Beim Bezahlen werden Sie auf eine vom Zahlungsdienstleister betriebene Oberfläche geführt, auf der Sie Ihre Rechnungsadresse und Ihre Zahlungsdaten eingeben. Vollständige Zahlungsdaten wie eine Kartennummer erreichen uns dabei nicht. Nach Abschluss übermittelt uns der Zahlungsdienstleister die Vorgangsdaten, soweit wir sie zur Vertragserfüllung brauchen, gemäß Art. 6 Abs. 1 lit. b DSGVO.

Bei uns bleiben davon die Kennung des Kunden und die Kennung des Abonnements beim Zahlungsdienstleister sowie der Status; dazu kommen das Land Ihrer Rechnungsadresse, wenn es von dem im Bestellfenster angegebenen Land abweicht, und der Firmenname, den der Zahlungsdienstleister bei einem Kauf als Unternehmer erfasst hat. Diese beiden Angaben halten wir in Ihrem Zustimmungsbeleg fest (Abschnitt 5.2). Die Zeile mit den Kennungen und dem Status bleibt bestehen, weil sie zur Abrechnungshistorie gehört; bei einer Kontolöschung setzen wir den Status auf storniert. Zusätzlich speichern wir zu jeder Ereignismeldung des Zahlungsdienstleisters einen Auszug, der Ihre E-Mail-Adresse, Kennungen, Beträge und den Status enthält, nur so lange, wie wir ihn zur Verarbeitung und zur Nachprüfung einer fehlgeschlagenen oder erneuten Zustellung brauchen; danach anonymisieren wir ihn nach spätestens 7 Tagen. Die für die Buchhaltung nötigen Angaben (Betrag, Datum, Rechnungsnummer) sowie die auf der Rechnung ausgewiesenen Angaben zu Ihrer Person (Name, Firma, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, Käuferrolle) bleiben in der Rechnung und der Abrechnungshistorie erhalten, auch über eine Kontolöschung hinaus, und unterliegen den Fristen aus Abschnitt 12.2.

Wir verkaufen nur an Kunden mit Rechnungsadresse in den freigegebenen Ländern (AGB Abschnitt 3). Übermittelt uns der Zahlungsdienstleister nach der Zahlung eine Rechnungsadresse außerhalb dieser Länder, beenden wir das Abonnement, erstatten die Zahlung vollständig und informieren Sie per E-Mail. Für diese Rückabwicklung legen wir einen eigenen Eintrag in einer Liste gesperrter Käufe an. Er enthält die Kennung des Abonnements, die Kennung des Kunden beim Zahlungsdienstleister, die Kennungen der Zahlungssitzung, der Rechnung und der Erstattung beim Zahlungsdienstleister, die Kennung Ihres Zustimmungsbelegs, das Land der Rechnungsadresse laut Zahlungsdienstleister und das im Bestellfenster angegebene Land, den Betrag und die Währung sowie den Stand und die Zeitpunkte der Beendigung, der Erstattung, einer Entziehung des Zugangs und der E-Mail an Sie; Ihre E-Mail-Adresse, Ihren Namen oder Ihre Anschrift enthält er nicht. Zusätzlich vermerken wir das Land und den Zeitpunkt der Sperre in Ihrem Zustimmungsbeleg (Abschnitt 5.2). Zweck ist die Rückabwicklung des Vorgangs und der Nachweis, dass die Zahlung vollständig erstattet wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Rückabwicklung und Art. 6 Abs. 1 lit. f DSGVO für die Aufbewahrung danach; unser berechtigtes Interesse ist der Nachweis der Erstattung und die Abwehr von Ansprüchen innerhalb der regelmäßigen Verjährungsfrist. Empfänger ist der Zahlungsdienstleister, über den wir das Abonnement beenden und die Erstattung ausführen. Der Eintrag bleibt bestehen, bis wir den Vorgang als erledigt vermerkt haben, und wird drei Jahre nach diesem Vermerk gelöscht.

Meldet die Bank des Karteninhabers über den Zahlungsdienstleister eine frühe Betrugswarnung zu einer Zahlung – etwa weil der Karteninhaber die Zahlung nicht kennt oder die Karte als verloren oder gestohlen gemeldet ist –, legen wir dafür einen eigenen Eintrag in einer Liste der Betrugswarnungen an. Er enthält die Kennung der Warnung beim Zahlungsdienstleister, die Kennungen der Zahlung, des Zahlungsvorgangs, der Rechnung, des Abonnements und des Kunden beim Zahlungsdienstleister, die Zuordnung zu Ihrem Konto, den Betrag und die Währung der Zahlung, die von der Bank angegebene Betrugsart, die Angabe des Zahlungsdienstleisters, ob die Warnung noch bearbeitet werden kann, die Zeitpunkte der Warnung, unseres Eintrags und unserer internen Benachrichtigung sowie den Vermerk, wann wir den Vorgang als erledigt vermerkt haben; Ihre E-Mail-Adresse, Ihren Namen oder Ihre Anschrift enthält er nicht. Zusätzlich erhalten wir eine interne Betriebsnachricht (Abschnitt 8.3), in der Ihre E-Mail-Adresse nur gekürzt erscheint. Zweck ist, dass wir den Vorgang selbst prüfen und entscheiden, ob wir die Zahlung erstatten oder das Abonnement beenden; eine automatische Sperre Ihres Zugangs, eine automatische Kündigung oder eine automatische Erstattung findet aufgrund der Warnung nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verhinderung von Zahlungsbetrug und der Nachweis unserer Prüfung, einschließlich der Abwehr von Ansprüchen innerhalb der regelmäßigen Verjährungsfrist. Die Warnung erhalten wir vom Zahlungsdienstleister; den Eintrag selbst geben wir nicht weiter. Der Eintrag bleibt bestehen, bis wir den Vorgang als erledigt vermerkt haben, und wird drei Jahre nach diesem Vermerk gelöscht.

Im Zahlungsfenster von Stripe können Sie je nach Land und Währung statt einer Karte auch PayPal, Klarna oder Amazon Pay als Zahlart wählen; welche Zahlarten angezeigt werden, entscheidet Stripe im Einzelfall. Entscheiden Sie sich für eine dieser drei Zahlarten, verarbeitet der jeweilige Anbieter als eigener Verantwortlicher die Daten aus dem Zahlungsfenster, insbesondere Ihre Zahlungsdaten, den Betrag, die Währung und, je nach Anbieter und Zahlungsart, zusätzlich Ihren Namen, Ihre E-Mail-Adresse oder Ihre Anschrift; bei einem Abonnement schließt PayPal dafür zusätzlich eine Abrechnungsvereinbarung (Billing Agreement) für die Folgezahlungen ab, und Klarna führt je nach Land eine Bonitäts- und Risikoprüfung durch, für die es zusätzlich Ihr Geburtsdatum und Rechnungsangaben abfragen kann. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. b DSGVO. Name, Sitz, Zweck und eine mögliche Übermittlung in Länder außerhalb der EU stehen zu diesen drei Anbietern in Abschnitt 10 und in den Abschnitten 11.9 bis 11.11.

5.2 Zustimmungsbeleg beim Kauf

Wenn Sie im Bestellfenster die Kästchen zu Widerrufsrecht, Allgemeinen Geschäftsbedingungen und Endnutzer-Lizenzvertrag bestätigen, speichern wir darüber einen Beleg. Er enthält den Zeitpunkt, die bestätigten Erklärungen, die jeweilige Fassung sowie Ihre E-Mail-Adresse, Ihre IP-Adresse und Ihre Browserkennung. Außerdem enthält der Beleg die folgenden Angaben aus dem Bestellfenster und aus dem Bezahlvorgang:

• Ihre Erklärung, ob Sie als Unternehmer oder als Verbraucher kaufen, mit dem Wortlaut und der Fassung dieser Erklärung, ihrer Sprache und dem Zeitpunkt;
• bei einem Kauf als Unternehmer den Firmennamen, den Sie im Bestellfenster angeben;
• das Rechnungsland, das Sie im Bestellfenster angeben, mit dem Zeitpunkt;
• das Land der Rechnungsadresse laut Zahlungsdienstleister, wenn es von dem angegebenen Land abweicht, mit dem Zeitpunkt der Feststellung;
• den Firmennamen, den der Zahlungsdienstleister bei einem Kauf als Unternehmer im Zahlungsfenster erfasst hat;
• bei einem Kauf, den wir wegen einer Rechnungsadresse außerhalb der freigegebenen Länder rückabwickeln, das Land und den Zeitpunkt der Sperre (Abschnitt 5.1).

Ihre Erklärung als Unternehmer oder Verbraucher, den Firmennamen und das angegebene Rechnungsland übermitteln wir beim Start des Bezahlvorgangs auch an den Zahlungsdienstleister, der sie beim Vorgang speichert. Wir brauchen diese Angaben, um den Vertrag nach den für Verbraucher oder Unternehmer geltenden Regeln abzuschließen, die Rechnung richtig auszustellen, nur in die freigegebenen Länder zu verkaufen und nachweisen zu können, welche Erklärung Sie abgegeben haben. Rechtsgrundlage ist dafür Art. 6 Abs. 1 lit. b DSGVO, für die Pflichtangaben der Rechnung Art. 6 Abs. 1 lit. c DSGVO und für den Nachweis Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Nachweis, ob ein Widerrufsrecht besteht und in welches Land wir verkauft haben.

• IP-Adresse und Browserkennung werden nach 7 Tagen auf null gesetzt.
• Kommt kein Kauf zustande, markieren wir den Vorgang als abgebrochen. Die E-Mail-Adresse löschen oder anonymisieren wir, sobald feststeht, dass kein Kauf zustande kommt und wir den Beleg für den Nachweis nicht mehr brauchen. Der Beleg selbst bleibt dann bestehen; ein darin angegebener Firmenname und das angegebene Rechnungsland bleiben Teil des Belegs.
• Kommt der Kauf zustande, bleibt der Beleg einschließlich der oben genannten Angaben als Nachweis der abgegebenen Erklärung erhalten; die Dauer richtet sich nach Abschnitt 12.2.

Rechtsgrundlage für den Beleg im Übrigen ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unseren gesetzlichen Nachweispflichten und Art. 6 Abs. 1 lit. f DSGVO.

5.3 Kündigung und Widerruf

Für Kündigung und Widerruf stellen wir elektronische Formulare bereit; dazu sind wir gesetzlich verpflichtet. Was Sie dort erklären, speichern wir als Nachweis: die Kontoadresse, die Bestätigungsadresse, den Inhalt Ihrer Erklärung, Ihre IP-Adresse und Ihre Browserkennung.

Den Widerruf erklären Sie gegenüber uns als Verkäufer. Wie das geht, steht in der Widerrufsbelehrung. Für die personenbezogenen Daten, die wir im Zusammenhang mit einer Widerrufserklärung verarbeiten, gelten hinsichtlich Speicherung und Löschung dieselben Grundsätze wie für die Daten einer Kündigungserklärung, wie nachfolgend und in Abschnitt 12 beschrieben; die Fristen für den Widerruf und für die Kündigung selbst bleiben davon unberührt und stehen in der Widerrufsbelehrung und in den AGB.

• IP-Adresse und Browserkennung werden nach 7 Tagen auf null gesetzt.
• Der Bestätigungsschlüssel wird nach 30 Tagen auf null gesetzt.
• Die E-Mail-Adresse in einer solchen Erklärung löschen wir drei Jahre nach Ende des Kalenderjahres, in dem die Erklärung abgegeben wurde. Der übrige Beleg, also der Zeitpunkt, die Art der Erklärung und die Kennung des Abonnements, bleibt bestehen und überdauert auch eine Kontolöschung. Er ist der gesetzlich geforderte Nachweis dafür, dass Sie gekündigt oder widerrufen haben, und dafür, wann das geschah.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung und Art. 6 Abs. 1 lit. c DSGVO für den Nachweis, insbesondere nach den Vorschriften über die Kündigungsschaltfläche und das Widerrufsrecht.

5.4 Einmalige kostenlose Testphase

Die kostenlose Testphase kann nur einmal pro Person in Anspruch genommen werden. Damit wir das sicherstellen können, speichern wir zwei Merker: die E-Mail-Adresse des Kontos, mit dem die Testphase genutzt wurde, zusammen mit der Kennung des ersten Abonnements, und eine Prüfsumme der Gerätekennung des Rechners, auf dem sie genutzt wurde (zur Gerätekennung siehe Abschnitt 6.2), zusammen mit der Kennung und der E-Mail-Adresse des ersten Kontos. Bei einer Kontolöschung entfernen wir Kontokennung und E-Mail-Adresse aus dem Gerätemerker; die Prüfsumme der Gerätekennung bleibt. Die E-Mail-Adresse im Testphasen-Merker bleibt auch nach einer Kontolöschung bestehen. Wenn Sie beim Start der kostenlosen Testphase eine Karte als Zahlungsmittel hinterlegen, speichern wir im Testphasen-Merker zusätzlich den Kartenfingerabdruck, den uns der Zahlungsdienstleister Stripe zu dieser Karte liefert (ein Kennzeichen der Karte, keine Kartennummer und keine weiteren Kartendaten), damit die Testphase auch je Karte nur einmal gewährt wird; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, und der Kartenfingerabdruck bleibt wie die E-Mail-Adresse im Testphasen-Merker auch nach einer Kontolöschung bestehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Missbrauch der kostenlosen Testphase und die Sicherstellung, dass sie nur einmal gewährt wird. Wir speichern die Merker so lange, wie das für die Sicherstellung der einmaligen Testphase erforderlich ist.

6) Lizenz, Launcher, Gerätebindung, Spielstart

6.1 Ihre Lizenz

Zu Ihrer Lizenz speichern wir eine Prüfsumme des Lizenzschlüssels und dessen letzte vier Zeichen, damit Sie ihn wiedererkennen. Den Lizenzschlüssel selbst speichern wir nicht im Klartext. Die Lizenzzeile bleibt bestehen, weil sie zur Abrechnungshistorie gehört; bei einer Kontolöschung anonymisieren wir die daran hängende E-Mail-Adresse und schalten die Lizenz ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.2 Gerätebindung

Ihre Lizenz gilt für eine begrenzte Zahl von Geräten. Damit wir das prüfen können, braucht jedes Gerät eine Kennung. Diese Kennung entsteht auf Ihrem Rechner, nicht bei uns:

• Der Launcher liest einmalig eine vom Rechner bereitgestellte Hardware-Kennung aus. Steht sie nicht zur Verfügung, erzeugt er stattdessen einen Zufallswert.
• Noch auf Ihrem Rechner bildet er davon eine Prüfsumme. Nur diese Prüfsumme verlässt Ihr Gerät, nie der Rohwert.
• Unser Server bildet von der empfangenen Prüfsumme nochmals eine Prüfsumme und speichert nur diese.

Gespeichert ist bei uns also eine Prüfsumme einer Prüfsumme. Übertragen und gespeichert wird nur die Prüfsumme beziehungsweise die Prüfsumme der Prüfsumme; der Rohwert der Gerätekennung wird weder übertragen noch bei uns gespeichert. Auf Ihrem Rechner liegt die Kennung in den Einstellungen des Launchers. Bei einer Kontolöschung werden alle Gerätebindungen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an der Durchsetzung der Lizenzbedingungen nach Art. 6 Abs. 1 lit. f DSGVO.

6.3 Spielstart und laufende Spielsitzung

Vor jedem Spielstart stellt unsere Lizenzverwaltung ein kurzlebiges Startticket aus. Es prüft, ob Lizenz und Gerät zusammenpassen, und enthält dazu die Geräte-Prüfsumme.

Während ein Spiel läuft, hält es eine Spielsitzung. Das Spiel meldet sich dabei etwa alle 30 Sekunden; bleibt diese Meldung 180 Sekunden lang aus, verfällt die Sitzung. Gespeichert sind die Geräte-Prüfsumme und eine Prüfsumme des Sitzungsgeheimnisses. Bei einer Kontolöschung werden Start-Tickets und Spielsitzungen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.4 Dateien auf Ihrem eigenen Rechner

Launcher, Overlay-Anwendung und Spiele legen Einstellungen und Protokolle lokal auf Ihrem Rechner ab, etwa die Einstellungsdatei und die Spieleliste des Launchers sowie die gespeicherten Angaben der Overlay-Anwendung. Diese Dateien werden nicht an uns übertragen. Sie bleiben auf Ihrem Gerät, bis Sie sie löschen oder das Programm deinstallieren.

6.5 Programme auf Ihrem Rechner (Launcher, Spiele, Overlay-Anwendung, Begleit-App)

Verbindungen zu unseren eigenen Diensten. Der Launcher prüft bei jedem Start Ihre Lizenz: Er sendet den auf Ihrem Rechner gespeicherten Lizenzschlüssel und die Geräte-Prüfsumme (Abschnitt 6.2) an unsere Lizenzverwaltung. Außerdem lädt er von unserem Download-Server die Spieleliste, Neuigkeiten, Programmaktualisierungen und Spieldateien. Die Spiele und die Overlay-Anwendung melden sich beim Start und während des Spiels bei unserer Lizenzverwaltung (Abschnitt 6.3); die Overlay-Anwendung hält zusätzlich die Verbindung zu unserem Live-Hub (Abschnitt 7) und lädt auf Ihren Klick im Overlay-Editor das Hilfsprogramm für Tastendrücke von unserem Speicher. Die Begleit-App Interactive Mods lädt beim Start unseren Mod-Katalog und auf Ihre Auswahl unsere Mod-Dateien. Bei all diesen Abrufen erhält unser Hoster Ihre IP-Adresse. Er ist für uns Auftragsverarbeiter (Abschnitte 3.2 und 11.1). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil ohne diese Verbindungen Lizenz, Aktualisierung und Programme nicht funktionieren.

Verbindungen zu fremden Diensten.

• Signierdienst für die TikTok-Verbindung. Bevor die Overlay-Anwendung sich mit TikTok verbindet, holt sie eine technische Signatur beim Dienst tiktok.eulerstream.com ab. Dieser erhält dabei Ihre IP-Adresse und die Kennung Ihres laufenden Live-Raumes. Ohne diesen Schritt kommt die Verbindung zu TikTok nicht zustande. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der Betreiber nennt auf seiner Seite weder eine Firma noch eine Anschrift noch einen Sitz; siehe Abschnitt 11.7.
• Modrinth. Die Begleit-App fragt bei jedem Start bei api.modrinth.com die aktuellen Versionen und Symbole der beiden dort angebotenen Minecraft-Erweiterungen ab und lädt eine solche Erweiterung auf Ihre Auswahl von dort herunter. Modrinth erhält dabei Ihre IP-Adresse und den Zeitpunkt. Anbieter: Rinth, Inc., Sitz laut Anbieterangaben USA. Rechtsgrundlage für die Abfrage beim Start ist unser berechtigtes Interesse, Ihnen aktuelle Versionen anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO), für den Download Art. 6 Abs. 1 lit. b DSGVO. Es gilt die Datenschutzerklärung von Modrinth.
• PaperMC und Eclipse Adoptium. Wenn Sie in der Begleit-App die Einrichtung des Minecraft-Servers starten, lädt sie die Server-Software von fill.papermc.io (Anbieter: PaperMC) und die Java-Laufzeit über api.adoptium.net (Anbieter: Eclipse Foundation AISBL), deren Dateien auf Servern von GitHub, Inc. liegen. Die Anbieter erhalten Ihre IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Es gelten die Datenschutzerklärungen der Anbieter.
• Links. Launcher und Programme enthalten Links, etwa zu Discord, zur Minecraft-EULA von Microsoft oder zu unserer Website. Erst wenn Sie einen Link anklicken, öffnet Ihr Browser die Seite; vorher übermitteln wir nichts.

Schnittstellen auf Ihrem eigenen Rechner. Die Spiele nehmen Befehle über einen Server an, der nur auf Ihrem eigenen Rechner (127.0.0.1) erreichbar ist; darüber steuern auch Ihre eigenen Werkzeuge die Spiele. Die Overlay-Anwendung schickt Befehle an Ihren lokal laufenden Minecraft-Server und an OBS auf Ihrem Rechner. Dabei verlassen keine Daten Ihren Rechner. Was Sie selbst an fremde Adressen weiterleiten, regelt Abschnitt 7.6.

7) Overlay, Spiele und TikTok-Live — Daten der Zuschauer

7.1 Ihr TikTok-Benutzername

Damit wir Ihren Kanal Ihrem Konto zuordnen können, speichern wir Ihren TikTok-Benutzernamen im Klartext. Er hat keine eigene Frist und wird bei einer Kontolöschung vollständig gelöscht. Zusätzlich merkt die Overlay-Anwendung ihn sich lokal auf Ihrem Rechner, bis Sie ihn ändern oder die Einstellungen löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7.2 Die Verbindung zu TikTok

Die Verbindung zu TikTok baut nicht unser Server auf, sondern die Overlay-Anwendung auf Ihrem eigenen Rechner. Sie fragt über die Adresse Ihres eigenen Kanals bei www.tiktok.com die Kennung des laufenden Raumes ab und verbindet sich danach mit den Live-Servern von TikTok, um die Ereignisse Ihres Streams zu empfangen. Bei uns wird zu dieser Verbindung nichts gespeichert; sie besteht nur, solange Ihr Stream läuft. Für den Verbindungsaufbau holt sie zuvor eine Signatur beim Dienst tiktok.eulerstream.com ab (Abschnitt 6.5).

Für die Verarbeitung auf Seiten von TikTok ist TikTok selbst verantwortlich. Rechtsgrundlage für die Verbindung auf unserer Seite ist Art. 6 Abs. 1 lit. b DSGVO, da sie die vertraglich geschuldete Kernfunktion ist.

7.3 Was von Ihren Zuschauern verarbeitet wird

Aus jedem Live-Ereignis übernimmt die Overlay-Anwendung eine feste, begrenzte Auswahl an Feldern und reicht sie an unseren Live-Hub weiter. Das sind:

• der öffentlich sichtbare TikTok-Benutzername des Zuschauers, mit dem TikTok ihn im Stream ausweist,
• sein öffentlich sichtbarer Anzeigename,
• die Adresse seines Profilbildes,
• die Angaben zum Ereignis selbst, also Art, Anzahl und Münzwert eines Geschenks, die Zahl der Likes oder der Text eines Kommentars.

Der TikTok-Benutzername ist eine Online-Kennung; die Angaben sind damit personenbezogene Daten, und diese Erklärung gilt auch für sie. Es handelt sich um Angaben, die im Stream öffentlich sichtbar sind. Weitere Angaben zur Person erreichen uns auf diesem Weg nicht: kein bürgerlicher Name, keine Anschrift, keine E-Mail-Adresse, keine Zahlungsdaten. Ein Vertrag zwischen dem Zuschauer und uns entsteht dabei nicht.

Diese Felder werden zur Laufzeit verarbeitet, solange das Ereignis durch die Verarbeitung läuft. Der Text eines Kommentars wird auf 1000 Zeichen gekürzt und für den Abgleich mit den von Ihnen eingestellten Auslösern benutzt; in einer Rangliste wird er nicht gespeichert. Ein vollständiges Rohprotokoll aller Ereignisse führen wir nicht. Im Live-Hub entstehen kurzlebige Arbeitslisten, die die Reihenfolge der Zustellung und die Wiederholung bei einem Fehler steuern; sie überdauern einen Neustart nicht.

Wer wofür verantwortlich ist. Für die Verarbeitung in unserem Live-Hub, in unserer Datenbank und in unserem Objektspeicher sind wir der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir legen fest, welche Felder übernommen werden, wie sie aufgebaut sind, wo sie liegen und wie lange sie bleiben; der Zweck ist der Betrieb unseres Werkzeugs. Sie als Streamer entscheiden, ob ein Modul läuft, mit welchen Gewichten Punkte vergeben werden und ob Sie eine Rangliste in Ihrem Stream einblenden. Für diese Einblendung in Ihrem Stream sind Sie der Verantwortliche, denn Sie bestimmen, was Ihr Publikum zu sehen bekommt; auf Ihre Sendung haben wir keinen Zugriff. Eine Verarbeitung in Ihrem Auftrag nach Art. 28 DSGVO ist das nicht, denn Sie weisen uns Umfang, Speicherort und Speicherdauer nicht an. Ein Vertrag über Auftragsverarbeitung wird dafür deshalb nicht geschlossen.

Rechtsgrundlage für die Verarbeitung der Zuschauerdaten bei uns ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Betrieb unseres Werkzeugs für Creator: die im Stream öffentlich abgegebenen Aktionen der Zuschauer — Geschenke, Kommentare und Likes — sichtbar zu beantworten und dafür Punktestände und Ranglisten zu führen. Dieselbe Rechtsgrundlage gilt, wenn die Aktion eines Zuschauers bezahlt war; ein Vertrag mit dem Zuschauer, der eine andere Grundlage tragen könnte, entsteht dabei nicht.

Zur Abwägung. Verarbeitet werden nur Angaben, die der Zuschauer selbst öffentlich im Stream gezeigt hat: seine öffentlich sichtbaren Accountangaben und die Aktion selbst. Ein bürgerlicher Name, eine Anschrift und Zahlungsdaten erreichen uns auf diesem Weg nicht. Ein Zuschauer kann jederzeit die Löschung seines Punktestandes und seiner Buchungen verlangen, über [email protected]; wie das geht, steht in Abschnitt 13.5. Die Interessen der Zuschauer überwiegen deshalb nach unserer Einschätzung nicht.

Für die Veröffentlichung dieser Angaben in Ihrer Sendung brauchen Sie als Streamer eine eigene Rechtsgrundlage; welche das ist, legen wir nicht für Sie fest.

Abruf der Profilbilder. Das Profilbild eines Zuschauers lädt die Overlay-Seite — in Ihrer OBS-Browserquelle oder in der Vorschau des Overlay-Editors — unmittelbar von der Bildadresse, die TikTok mit dem Ereignis liefert, also von einem Server von TikTok. Dabei erhält TikTok die technischen Angaben dieses Abrufs, insbesondere die IP-Adresse und die Browserkennung des Rechners, auf dem die Overlay-Seite läuft, also Ihres Rechners, nicht die Ihrer Zuschauer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Anzeige der Profilbilder Teil der von Ihnen eingestellten Module ist.

7.4 Punktestände und Ranglisten der Zuschauer

Für Ranglisten im Overlay führen wir je Kanal einen Punktestand. Darin stehen der TikTok-Benutzername des Zuschauers, sein Anzeigename, die Adresse seines Profilbildes und seine Punkte. Dazu kommt ein Buchungsjournal, das einzelne Gutschriften mit Zeitpunkt und Grund festhält, damit eine strittige Buchung nachvollziehbar bleibt.

Wie lange das bleibt:

• Im Live-Hub steht der laufende Punktestand während der Sitzung bereit, damit die Module und die Rangliste darauf zugreifen können.
• Der Punktestand in unserer Datenbank hat keine eigene Frist. Er bleibt, bis er gelöscht wird — einzeln für einen bestimmten Zuschauer oder zusammen mit dem Konto des Streamers.
• Das Buchungsjournal in unserer Datenbank wird laufend gestutzt: Buchungen, die älter als 7 Tage sind, werden gelöscht.
• Punktestände und Buchungen, die aus dem Live-Hub in unser Kalt-Archiv ausgelagert werden, werden dort bis zu 3 Monate gehalten und danach entfernt.

Löscht der Streamer sein Konto, verschwinden die Punktestände und Buchungen seines Kanals aus Datenbank, Live-Hub und Kalt-Archiv. Ein einzelner Punktestand samt seinen Buchungen lässt sich auch für sich löschen, ohne das Konto anzutasten; diesen Weg hat der Streamer für seinen eigenen Kanal.

Wer die Punktestände sieht. Im Overlay-Editor sieht sie der Streamer, dem der Kanal gehört, mit Buchungsjournal und Suche. Öffentlich werden sie, wenn der Streamer eine Rangliste in seinen Stream einblendet; dann sehen die Zuschauer dieses Streams Platzierung, Anzeigename, Profilbild und Punkte der vorderen Plätze. An Dritte geben wir Punktestände nicht weiter; zu Werkzeugen, die Sie selbst eintragen, siehe Abschnitt 7.6.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

7.5 Overlay-Einstellungen, hochgeladene Dateien und Schlüssel

Ihre Overlay-Einstellungen sowie die von Ihnen hochgeladenen Bilder, Sounds und Videos liegen in unserem Cloud-Speicher. Sie haben keine eigene Frist und bleiben, solange Ihr Konto besteht — auch nach dem Ende eines Abonnements. Schließen Sie später erneut ein Abonnement für dasselbe Konto ab, sind die vorhandenen Inhalte weiter verfügbar. Wir behalten uns vor, die Inhalte eines Kontos zu löschen, dessen Abonnement seit mindestens 90 Tagen beendet ist; wir benachrichtigen Sie davor per E-Mail an die Konto-Adresse. Eine feste Löschfrist ist damit nicht zugesagt. Bei einer Kontolöschung räumen wir alle Dateien Ihres Kontos weg; bleibt dabei etwas übrig, weil es sehr viele Dateien sind, holen wir das über einen Nachlauf nach.

Damit Ihre Browserquelle in OBS sich gegenüber unserem Renderer ausweisen kann, gibt es je Overlay einen Verbindungsschlüssel. Er wird gelöscht, wenn Sie das Overlay löschen, und ebenso bei einer Kontolöschung. Die Overlay-Anwendung selbst meldet sich am Live-Hub mit einem Token an, das nur im Arbeitsspeicher besteht und beim Trennen der Verbindung verschwindet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7.6 Weitergabe an Werkzeuge, die Sie selbst eintragen

StreamTik kann bei einem Ereignis eine von Ihnen selbst eingetragene Adresse aufrufen, damit andere Werkzeuge mitspielen können, etwa Streamer.bot, TikFinity oder eigene Skripte. Ebenso kann die Overlay-Anwendung Befehle an den Server des jeweiligen Spiels schicken, der auf Ihrem eigenen Rechner läuft.

In diesen Aufruf können Sie über Platzhalter Angaben aus dem Ereignis einsetzen, unter anderem Nutzerkennung, Anzeigename, Anzahl, Münzwert und Name des Geschenks. Die Adresse darf höchstens 500 Zeichen lang sein, der mitgeschickte Inhalt höchstens 2000 Zeichen. Der Aufruf wird je Ereignis neu zusammengesetzt und nicht gespeichert; die Einstellung selbst bleibt, bis Sie sie ändern.

Wohin diese Angaben gehen, entscheiden allein Sie. Wir kennen das Ziel nicht und haben darauf keinen Zugriff. Soweit Sie Daten Ihrer Zuschauer auf diesem Weg in eigene Werkzeuge leiten, entscheiden Sie über diese Verarbeitung selbst und sind Ihren Zuschauern gegenüber dafür verantwortlich.

7.7 Sound-Suche im Overlay-Editor

Der Overlay-Editor hat eine Suche für Sounds. Wenn Sie dort etwas eingeben, fragt unser Server damit bei www.myinstants.com an. Es ist also unser Server, der dort anfragt, nicht Ihr Browser: Ihre IP-Adresse wird dabei nicht an diesen Anbieter übermittelt. Übermittelt wird nur Ihr Suchtext, höchstens 80 Zeichen lang. Wir speichern ihn nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7.8 Bilder der Geschenke

Die Bilder der Geschenk-Symbole holt unser Server von cdn.tik.tools oder von Servern von TikTok und legt davon eine Kopie in unserem Objektspeicher ab; Overlay und Editor laden die Symbole von dort. Bei diesem Abruf durch unseren Server gehen weder Ihre Daten noch Daten Ihrer Zuschauer an diese Dienste.

Einzelne Vorschaubilder im Overlay-Editor lädt Ihr Browser dagegen unmittelbar von der Bildadresse aus dem Geschenkkatalog, also von cdn.tik.tools oder von einem Server von TikTok. Dabei erhält der jeweilige Dienst die technischen Angaben dieses Abrufs, insbesondere Ihre IP-Adresse und Ihre Browserkennung. Daten Ihrer Zuschauer gehen dabei nicht an diese Dienste. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Anzeige der Geschenk-Symbole Teil des Overlay-Editors ist. Der Betreiber von cdn.tik.tools nennt auf seiner Seite weder eine Firma noch eine Anschrift; siehe Abschnitt 11.6.

8) Support, Kontakt, Discord

8.1 Support-Anfragen

Wenn Sie uns eine Support-Anfrage stellen, speichern wir Betreff, Text und Ihre E-Mail-Adresse, um Ihr Anliegen zu bearbeiten. Einsehen kann diese Anfragen nur der Verantwortliche selbst.

Für Support-Anfragen gibt es keine eigene Löschfrist; sie bestehen, solange Ihr Konto besteht. Bei einer Kontolöschung werden sie vollständig gelöscht, nicht nur anonymisiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei vertragsbezogenen Anliegen zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

8.2 Versand unserer E-Mails

Für den Versand unserer Systemnachrichten, also anlassbezogener Mails wie Anmeldelink, Lizenzzustellung, Kaufbestätigung, Widerrufsbestätigung und Support-Antwort, nutzen wir diesen Anbieter: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland.

Der Anbieter erhält dabei die Empfängeradresse, den Betreff, den Inhalt der Nachricht und gegebenenfalls eine Antwortadresse oder einen Anhang. Wir führen darüber ein Versandprotokoll; die darin enthaltene E-Mail-Adresse wird nach 30 Tagen auf null gesetzt. Wie lange der Anbieter selbst Daten aufbewahrt, können wir nicht steuern.

Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag geschlossen, der die Daten unserer Seitenbesucher schützt und eine Weitergabe an Dritte untersagt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene Nachrichten und Art. 6 Abs. 1 lit. f DSGVO für die übrigen; unser berechtigtes Interesse ist dabei ein sicherer und störungsfreier Betrieb, zu dem gehört, dass wir von Störungen, unvollständigen Löschläufen und einem Missbrauchsverdacht erfahren (Abschnitt 8.3).

8.3 Interne Betriebsnachrichten

Bei Betriebsstörungen, unvollständigen Löschläufen oder einem Missbrauchsverdacht schickt das System eine Nachricht an unsere eigene Support-Adresse. Auch diese Nachrichten gehen über unseren E-Mail-Dienstleister, also über den in Abschnitt 8.2 genannten Anbieter Brevo. Bei uns liegen sie nur in unserem Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und störungsfreier Betrieb, zu dem gehört, dass wir von Störungen, unvollständigen Löschläufen und einem Missbrauchsverdacht rechtzeitig erfahren.

8.4 Discord

Auf unserer Kontakt- und Community-Seite verlinken wir einen Discord-Server. Das ist ein Angebot von Discord, nicht von uns. Wer dort schreibt, dessen Daten verarbeitet Discord in eigener Verantwortung; ein Auftragsverarbeitungsverhältnis mit uns besteht dafür nicht. Wir übermitteln durch das bloße Setzen des Links keine Daten an Discord.

Sie müssen Discord nicht benutzen. Unser Support ist genauso über [email protected] erreichbar.

9) Partnerprogramm

Wer bei unserem Partnerprogramm mitmacht, wirbt mit einem eigenen Rabattcode und erhält dafür eine Provision. Dabei fallen zusätzliche Daten an.

• Stammdaten. Wir speichern den Anzeigenamen des Partners und seinen Status. Löscht ein Partner sein Konto, wird diese Zeile nicht gelöscht, sondern gesperrt, und der Partner-Code wird deaktiviert. Provisionen, Auszahlungen, Rechnungen und die Zustimmung zu den Partnerbedingungen bleiben wegen der Aufbewahrungs- und Nachweispflichten gespeichert; die Fristen dazu stehen in Abschnitt 12. Kunden, die einen Rabattcode einlösen, sehen nur den Code, nicht den Namen des Partners.
• Rabattcode. Ein Code verfällt automatisch nach 30 Tagen ohne Nutzung. Bei einer Kontolöschung wird er deaktiviert, nicht gelöscht. Der Code wird auch an den Zahlungsdienstleister übermittelt, damit der Rabatt beim Kauf greift.
• Zustimmung zu den Partnerbedingungen. Wir halten fest, wann welcher Fassung zugestimmt wurde. Für diesen Nachweis gibt es bewusst keine Löschfrist: Er ist der Zustimmungsbeleg selbst.
• Abrechnung und Auszahlung. Für eine Auszahlung speichern wir Rechnungsname, Rechnungsanschrift und die letzten vier Stellen der Bankverbindung sowie die hochgeladene Rechnungsdatei. Die Rechnungsdatei und die zugehörigen Felder bewahren wir nur so lange auf, wie es für den Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen dies erfordern. Eine solche Rechnung ist ein Buchungsbeleg; dafür schreiben § 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 der Abgabenordnung und § 257 Abs. 1 Nr. 4 in Verbindung mit Abs. 4 des Handelsgesetzbuchs acht Jahre vor. Den danach fälligen Löschzeitpunkt halten wir je Auszahlung fest. Die Buchungszeile selbst, also Rechnungsnummer, Rechnungsdatum, Betrag und Status, bleibt, solange diese Aufbewahrungs- und Nachweisfristen bestehen, weil sie ein Buchungsvorgang ist. Bei einer Kontolöschung des Partners bleiben diese Daten unangetastet, damit verdientes Geld noch ausgezahlt werden kann.
• Einmalige Links. Für Freischaltung und Auszahlung versenden wir einmalige Links. Sie gelten 14 Tage. Die Aktionslinks eines Partners werden bei seiner Kontolöschung gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung der Partnervereinbarung und Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtliche Aufbewahrung der Abrechnungsunterlagen.

10) Empfänger und Dienstleister

Außer den unten genannten Stellen geben wir Ihre Daten nicht weiter. Eine Übersicht:

• Stripe Payments Europe, Ltd., Irland. Abwicklung der Zahlung für unsere Abonnements, dazu der Abgleich von Rabattcodes. Je nach Tätigkeit eigener Verantwortlicher oder Auftragsverarbeiter. Siehe Abschnitt 5.1.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Wenn Sie im Zahlungsfenster von Stripe PayPal als Zahlart wählen: Abwicklung der Zahlung, bei einem Abonnement zusätzlich die Abrechnungsvereinbarung (Billing Agreement) für die Folgezahlungen. Eigener Verantwortlicher. Siehe Abschnitt 5.1.
• Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Wenn Sie im Zahlungsfenster von Stripe Klarna als Zahlart wählen (verfügbar je nach Land und Währung): Abwicklung der Zahlung einschließlich einer Bonitäts- und Risikoprüfung, für die Klarna je nach Land zusätzlich Ihr Geburtsdatum und Rechnungsangaben abfragt. Eigener Verantwortlicher. Siehe Abschnitt 5.1.
• Amazon Payments Europe, S.C.A., 38 avenue J.F. Kennedy, L-1855 Luxemburg. Wenn Sie im Zahlungsfenster von Stripe Amazon Pay als Zahlart wählen: Abwicklung der Zahlung mit den in Ihrem Amazon-Konto hinterlegten Daten. Eigener Verantwortlicher. Siehe Abschnitt 5.1.
• Cloudflare Inc., 101 Townsend St. San Francisco, CA 94107, USA. Hosting (Cloudflare Pages), Auslieferungsnetz, Schutz vor Angriffen, unsere vier Cloud-Dienste (Cloudflare Workers) mit ihren Betriebsprotokollen, Datenbank (Cloudflare D1), Objektspeicher (Cloudflare R2) auch als Download-Server des Launchers, Live-Hub (Cloudflare Durable Objects), Bot-Prüfung der beiden Formulare für Kündigung und Widerruf (Cloudflare Turnstile) und die Reichweitenmessung mit Ihrer Einwilligung (Cloudflare Web Analytics). Auftragsverarbeiter. Siehe die Abschnitte 3.2, 3.3, 3.5, 3.6 und 6.5.
• Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland. Versand unserer E-Mails: Empfänger, Betreff, Inhalt und gegebenenfalls Antwortadresse und Anhang. Auftragsverarbeiter. Siehe Abschnitt 8.2.
• www.myinstants.com. Empfängt den im Overlay-Editor eingegebenen Suchtext, höchstens 80 Zeichen, über unseren Server. Nicht Ihre IP-Adresse. Siehe Abschnitt 7.7.
• cdn.tik.tools. Liefert Bilder der Geschenk-Symbole an unseren Server; bei einzelnen Vorschaubildern im Overlay-Editor erhält der Dienst die IP-Adresse und Browserkennung des Streamers. Keine Zuschauerdaten. Siehe die Abschnitte 7.8 und 11.6.
• TikTok. Empfängt die Verbindung, die die Overlay-Anwendung auf dem Rechner des Streamers zu dessen eigenem Kanal aufbaut, und die Abrufe der Profilbilder und einzelner Geschenk-Symbole von seinen Servern mit IP-Adresse und Browserkennung des Streamers. Eigenständig verantwortlich. Siehe die Abschnitte 7.2, 7.3 und 7.8.
• tiktok.eulerstream.com. Empfängt bei jedem Verbindungsaufbau der Overlay-Anwendung zu TikTok Ihre IP-Adresse und die Kennung Ihres laufenden Live-Raumes. Der Betreiber ist uns nicht bekannt. Siehe die Abschnitte 6.5 und 11.7.
• api.modrinth.com / cdn.modrinth.com (Modrinth, Anbieter: Rinth, Inc.). Empfängt bei jedem Start der Begleit-App Ihre IP-Adresse und den Zeitpunkt, bei einer Auswahl zusätzlich die heruntergeladene Datei. Eigenständig verantwortlich. Siehe die Abschnitte 6.5 und 11.8.
• fill.papermc.io (PaperMC) und api.adoptium.net (Eclipse Foundation AISBL), dessen Dateien auf Servern von GitHub, Inc. liegen. Empfangen bei der Einrichtung des Minecraft-Servers in der Begleit-App Ihre IP-Adresse. Eigenständig verantwortlich. Siehe die Abschnitte 6.5 und 11.8.
• Vom Streamer selbst eingetragene Adressen. Empfangen den Inhalt, den der Streamer selbst zusammenstellt, einschließlich Angaben zu Zuschauern. Siehe Abschnitt 7.6.
• Discord. Wir setzen nur einen Link. Datenübermittlung durch uns findet dabei nicht statt. Siehe Abschnitt 8.4.
• Der Verantwortliche selbst. Support-Anfragen, interne Notizen und Betriebsnachrichten sieht nur der Verantwortliche. Siehe die Abschnitte 4.5 und 8.

Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa gegenüber Behörden und Gerichten. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. c DSGVO.

11) Übermittlung in Länder außerhalb der EU

11.1 Cloudflare Inc. (USA). Für Datenübermittlungen in die USA hat sich der Anbieter dem EU-US-Datenschutzrahmen (EU-US Data Privacy Framework) angeschlossen, der auf Basis eines Angemessenheitsbeschlusses der Europäischen Kommission die Einhaltung des europäischen Datenschutzniveaus sicherstellt. Für Übermittlungen, die nicht unter diesen Rahmen fallen, sieht der Auftragsverarbeitungsvertrag des Anbieters die Standardvertragsklauseln der Europäischen Kommission vor.

11.2 Brevo GmbH (Deutschland) und Stripe Payments Europe, Ltd. (Irland). Beide Anbieter sitzen in der Europäischen Union. Stripe gibt an, personenbezogene Daten in manchen Fällen auch in Länder außerhalb der EU zu übermitteln, darunter die USA und Indien, und stützt dies auf Standardvertragsklauseln der EU-Kommission sowie für die USA auf das EU-U.S. Data Privacy Framework.

11.3 TikTok. Die Verbindung zu den Live-Servern von TikTok baut die Overlay-Anwendung auf dem Rechner des Streamers auf, nicht unser Server. Dasselbe gilt für die Abrufe der Profilbilder und einzelner Geschenk-Symbole von Servern von TikTok (Abschnitte 7.3 und 7.8). Über die Standorte der beteiligten Server von TikTok haben wir keine eigene Kenntnis. Für diese Verarbeitung ist TikTok selbst verantwortlich.

11.4 www.myinstants.com. Der Suchtext aus dem Overlay-Editor wird von unserem Server an diesen Dienst weitergereicht. Übermittelt wird nur der eingegebene Suchtext, keine Kennung und keine IP-Adresse des Kunden. Angaben zum Betreiber und zu seinem Sitz liegen uns nicht vor.

11.5 Von Ihnen selbst eingetragene Adressen. Wohin ein von Ihnen eingetragenes Ziel Daten leitet und in welchem Land dessen Server stehen, bestimmen allein Sie.

11.6 cdn.tik.tools. Der Betreiber nennt auf seiner Seite weder eine Firma noch eine Anschrift noch einen Sitz und macht keine Angaben zu Übermittlungen in Länder außerhalb der EU. Beim Abruf durch unseren Server übermitteln wir keine personenbezogenen Daten an diesen Dienst. Bei den in Abschnitt 7.8 genannten Vorschaubildern erhält er IP-Adresse und Browserkennung des Streamers; ob diese Daten dabei in ein Land außerhalb der EU gelangen, können wir nicht feststellen.

11.7 tiktok.eulerstream.com. Der Betreiber nennt auf seiner Seite weder eine Firma noch eine Anschrift noch einen Sitz und macht keine Angaben zu Übermittlungen in Länder außerhalb der EU. Ob und in welches Land dabei Daten übermittelt werden, können wir nicht feststellen.

11.8 Modrinth, PaperMC und Eclipse Adoptium/GitHub. Modrinth nennt sich Rinth, Inc. mit Sitz laut Anbieterangaben in den USA; über einen Mechanismus für Datenübermittlungen in Drittländer liegen uns keine Angaben vor. Zu PaperMC und zum Betreiber von api.adoptium.net (Eclipse Foundation AISBL) sowie zu GitHub, Inc. als Auslieferer der Java-Laufzeit liegen uns keine geprüften Angaben zu Sitz oder Übermittlungsmechanismus vor.

11.9 PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg). Der Anbieter gehört zum PayPal-Konzern mit Muttergesellschaft in den USA. Nach eigener Angabe übermittelt er personenbezogene Daten nur dann an einen Empfänger außerhalb des EWR oder des Vereinigten Königreichs, wenn entweder ein Angemessenheitsbeschluss der Europäischen Kommission beziehungsweise, bei einer Übermittlung aus dem Vereinigten Königreich, des britischen Außenministeriums für das Empfängerland vorliegt, oder der Empfänger die Standardvertragsklauseln der Europäischen Kommission beziehungsweise die entsprechende britische Vereinbarung unterzeichnet hat, oder ein gesetzlicher Ausnahmefall greift, etwa Ihre ausdrückliche Einwilligung.

11.10 Klarna Bank AB (publ) (Schweden). Der Anbieter gibt an, personenbezogene Daten auch außerhalb der EU und des EWR zu verarbeiten, etwa innerhalb der Klarna-Unternehmensgruppe, bei Lieferanten und Unterauftragnehmern außerhalb des EWR oder wenn Sie bei einem Händler mit Sitz außerhalb des EWR einkaufen. Je nach Fall stützt sich Klarna dabei nach eigener Angabe auf einen Angemessenheitsbeschluss der Europäischen Kommission, auf deren Standardvertragsklauseln, auf konzerninterne Datenschutzvorschriften (Binding Corporate Rules) oder, bei US-Unternehmen, auf das EU-US Data Privacy Framework.

11.11 Amazon Payments Europe, S.C.A. (Luxemburg). Der Anbieter nennt auf der von uns geprüften Seite kein konkretes Empfängerland außerhalb der EU/des EWR und keinen Übermittlungsmechanismus, weist aber allgemein darauf hin, dass Daten auch an die Amazon.com, Inc. und von ihr kontrollierte Tochtergesellschaften weitergegeben werden können.

12) Speicherdauer

12.1 Grundsatz. Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist. Darüber hinaus kann eine Speicherung erfolgen, soweit gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen dies erfordern oder die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Nach Wegfall des jeweiligen Zwecks und Ablauf einschlägiger Fristen werden die Daten gelöscht oder anonymisiert, soweit keine andere Rechtsgrundlage für die weitere Verarbeitung besteht. Bei einer Verarbeitung auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO speichern wir bis zu deren Widerruf; bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bis zu einem wirksamen Widerspruch nach Art. 21 DSGVO.

12.2 Was wir aufbewahren müssen. Für Unterlagen, deren Aufbewahrung das Handels- und Steuerrecht vorschreibt, richtet sich die Dauer nach diesen Vorschriften:

• Buchungsbelege, zu denen die hochgeladene Rechnungsdatei und die Buchungszeile einer Partner-Auszahlung gehören (Abschnitt 9), bewahren wir acht Jahre auf. Das ergibt sich aus § 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 der Abgabenordnung und aus § 257 Abs. 1 Nr. 4 in Verbindung mit Abs. 4 des Handelsgesetzbuchs.
• Rechnungsdaten Ihrer Kundenrechnung — Name, Firma, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer (Art und Wert), Käuferrolle und die Rechnungsbeträge, wie sie auf der Rechnung ausgewiesen sind — bewahren wir als Teil desselben Buchungsbelegs ebenfalls acht Jahre auf, und zwar ab dem Ende des Kalenderjahres der Rechnung; Rechtsgrundlage sind dieselben Vorschriften wie im vorstehenden Punkt (§ 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 AO, § 257 Abs. 1 Nr. 4 in Verbindung mit Abs. 4 HGB). Diese Frist läuft auch dann weiter, wenn Sie Ihr Konto löschen (Art. 17 Abs. 3 lit. b DSGVO); eine Kontolöschung entfernt diese Rechnungsdaten nicht vorzeitig, siehe Abschnitt 12.5.
• Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse, in die ein solcher Vorgang eingeht, sind nach § 147 Abs. 1 Nr. 1 AO und § 257 Abs. 1 Nr. 1 HGB zehn Jahre aufzubewahren. Aus demselben Grund bleiben die Lizenz- und die Abonnementzeile als Teil der Abrechnungshistorie bestehen, und zwar mit anonymisierter Adresse (Abschnitt 12.5).
• Zustimmungs- und Vertragsnachweise — die Zustimmungsbelege aus dem Kauf, die Kündigungs- und Widerrufserklärungen sowie die Zustimmung eines Partners zu den Partnerbedingungen — halten wir so lange, wie wir sie zum Nachweis brauchen, also bis zum Ablauf der einschlägigen Nachweis- und Verjährungsfristen. Eine feste Zahl nennen wir dafür nicht, weil sich diese Fristen nach dem einzelnen Vorgang richten. Für einen Teil davon haben wir dennoch einen festen Lauf eingerichtet: Die E-Mail-Adresse in einer Kündigungs- oder Widerrufserklärung löschen wir drei Jahre nach Ende des Kalenderjahres, in dem die Erklärung abgegeben wurde; der übrige Beleg bleibt.

12.3 Fristen, die wir technisch sicherstellen. Für die folgenden Daten läuft in unseren Systemen ein Lauf, der sie nach spätestens der genannten Zeit löscht, auf null setzt oder verfallen lässt:

• nach spätestens 15 Minuten: Anmeldelink und Bestätigungslink für eine Kontolöschung verfallen (Abschnitte 4.2 und 4.4).
• nach spätestens 30 Minuten: der Bremsschlüssel der Missbrauchsabwehr verfällt (Abschnitt 3.1).
• nach spätestens zwei Stunden: der Bremsschlüssel der Formulare für Kündigung und Widerruf verfällt (Abschnitt 3.1).
• nach spätestens 180 Sekunden ohne Meldung des Spiels verfällt eine Spielsitzung (Abschnitt 6.3); die gespeicherte Sitzungszeile selbst wird mit dem Konto gelöscht.
• nach spätestens 7 Tagen: IP-Adresse und Browserkennung werden in den Sitzungsdaten, in den Zustimmungsbelegen beim Kauf und in den Kündigungs- und Widerrufserklärungen auf null gesetzt.
• nach spätestens 7 Tagen: Buchungen im Journal der Rangliste werden gelöscht (Abschnitt 7.4).
• nach spätestens 7 Tagen: die Rohinhalte der Zahlungs-Ereignismeldungen werden anonymisiert (Abschnitt 5.1).
• nach spätestens 30 Tagen, bei Nichtnutzung nach 7 Tagen: eine Anmeldesitzung im Kundenkonto verfällt (Abschnitt 4.3).
• nach spätestens 14 Tagen: die einmaligen Links im Partnerprogramm verfallen (Abschnitt 9).
• nach spätestens 30 Tagen: die E-Mail-Adresse im Versandprotokoll unserer Mails wird auf null gesetzt (Abschnitt 8.2).
• nach spätestens 30 Tagen: der Bestätigungsschlüssel einer Kündigungs- oder Widerrufserklärung wird auf null gesetzt (Abschnitt 5.3).
• nach spätestens 30 Tagen ohne Nutzung verfällt ein Partner-Rabattcode (Abschnitt 9).
• nach spätestens 30 Tagen: die Aktionslinks in den Benachrichtigungen zu Support-Anfragen verfallen (Abschnitt 8.1).
• nach spätestens 90 Tagen: die Daten unserer eigenen Reichweitenzählung werden gelöscht (Abschnitt 3.4).
• nach spätestens 3 Monaten: die in das Kalt-Archiv ausgelagerten Punktestände und Buchungen werden entfernt (Abschnitt 7.4).
• nach spätestens 180 Tagen: das Protokoll unserer eigenen Verwaltungseingriffe wird gelöscht (Abschnitt 4.5).

12.4 Wonach sich die Dauer bei den einzelnen Datenarten richtet. Wo oben keine Zahl steht, richtet sich die Dauer nach dem Zweck. Im Überblick:

• Ihre Kontodaten, also Ihre E-Mail-Adresse (Abschnitt 4.1): solange Ihr Konto besteht. Bei einer Kontolöschung ersetzen wir die Adresse in der Kontozeile durch einen anonymisierten Wert.
• Anmeldungen und Sitzungen (4.3): bis die Sitzung abläuft, längstens bis zur Kontolöschung; die Zeiten stehen in 12.3.
• Kaufdaten (5.2): solange der Kauf abzuwickeln und nachzuweisen ist und solange die Fristen aus 12.2 laufen. Kommt kein Kauf zustande, löschen oder anonymisieren wir die E-Mail-Adresse in einem solchen Vorgang, sobald feststeht, dass kein Kauf zustande kommt.
• Zahlungsdaten (5.1): bei uns bleiben nur Kennungen und der Status der Zahlung, die Rohinhalte der Ereignismeldungen nach der Zeit in 12.3; die vollständigen Zahlungsdaten liegen beim Zahlungsdienstleister, für den seine eigene Erklärung gilt.
• Einwilligungs- und Zustimmungsnachweise (5.2, 9) und Vertragsnachweise aus Kündigung und Widerruf (5.3): nach 12.2.
• Lizenz (6.1), Gerätebindungen (6.2), Start-Tickets und Spielsitzungen (6.3): solange die Lizenz zu prüfen und die Abrechnungshistorie nachzuweisen ist. Gerätebindungen, Start-Tickets und die gespeicherten Sitzungszeilen löschen wir mit dem Konto.
• Ihr TikTok-Benutzername (7.1): solange Ihr Konto besteht; er wird mit dem Konto gelöscht.
• Punktestände und Buchungen Ihrer Zuschauer (7.4): solange sie für die Rangliste Ihres Kanals gebraucht werden, längstens bis zur Löschung des einzelnen Punktestandes oder Ihres Kontos; für das Buchungsjournal und das Kalt-Archiv gelten die Zeiten aus 12.3.
• Overlay-Einstellungen und hochgeladene Bilder, Sounds und Videos (7.5): solange Ihr Konto besteht. Zusätzlich gilt der Löschvorbehalt aus Abschnitt 7.5, wenn ein Abonnement seit mindestens 90 Tagen beendet ist.
• OBS-Verbindungsschlüssel (7.5): bis Sie das Overlay löschen, längstens bis zur Kontolöschung.
• Support-Anfragen (8.1): solange Ihr Konto besteht; bei einer Kontolöschung werden sie vollständig gelöscht.
• Unsere E-Mail-Kommunikation mit Ihnen (8.2): der Versand selbst ist anlassbezogen; für die E-Mail-Adresse im Versandprotokoll gilt die Zeit aus 12.3. Wie lange der Versanddienstleister selbst Daten hält, können wir nicht steuern.
• Interne Notizen (4.5): solange der Anlass fortbesteht. Notizen zu einem Konto werden mit dem Konto gelöscht; Notizen zu einem Partner bleiben beim gesperrten Partner-Datensatz.
• Betriebsprotokolle (3.1, 3.3): die Protokolle unseres Hosters richten sich nach dessen Voreinstellung (12.6); die Daten in unserer eigenen Datenbank nach 12.3.
• Sicherheits- und Verwaltungsprotokolle (4.5) sowie die Missbrauchsabwehr und Betrugsprävention (3.1): nach den Zeiten in 12.3.
• Reichweitenmessung (3.4): nach der Zeit in 12.3. Für die Messung mit Cloudflare Web Analytics (3.5) bestimmt der Anbieter die Speicherdauer; Ihre Entscheidung dazu bleibt 12 Monate in Ihrem Browser.
• Partnerprogramm mit Rabattcodes, Provisionen und Auszahlungen (9): solange die Partnervereinbarung durchzuführen und abzurechnen ist. Für Buchungsbelege gelten die Fristen aus 12.2, für Codes und einmalige Links die Zeiten aus 12.3.

12.5 Nach einer Kontolöschung bleiben bewusst bestehen:

• Die Kontozeile selbst, allerdings mit anonymisierter E-Mail-Adresse und Löschmarke, weil andere Einträge auf sie verweisen.
• Die Lizenzzeile mit abgeschaltetem Status und anonymisierter Adresse, weil sie zur Abrechnungshistorie gehört.
• Die Abonnementzeile mit storniertem Status, aus demselben Grund.
• Zustimmungsbelege eines abgeschlossenen Kaufs einschließlich der darin genannten E-Mail-Adressen sowie Kündigungs- und Widerrufserklärungen, weil sie der gesetzlich geforderte Nachweis sind. Die E-Mail-Adresse in einer Kündigungs- oder Widerrufserklärung löschen wir drei Jahre nach Ende des Kalenderjahres, in dem die Erklärung abgegeben wurde; Zeitpunkt, Art der Erklärung und Kennung des Abonnements bleiben.
• Ihre Kundenrechnung mit den darauf ausgewiesenen Rechnungsdaten (Name, Firma, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, Käuferrolle, Rechnungsbeträge), weil sie Buchungsbeleg im Sinne von Abschnitt 12.2 ist.
• Die Zustimmung eines Partners zu den Partnerbedingungen und die Buchungszeilen einer Partner-Auszahlung, weil sie Nachweis beziehungsweise Buchungsvorgang sind.
• Die Stammdatenzeile eines Partners, gesperrt statt gelöscht, solange Provisions- und Auszahlungsansprüche nachvollziehbar bleiben müssen.

12.6 Die Betriebsprotokolle unseres Hosters richten sich nach dessen eigener Voreinstellung und sind von uns nicht steuerbar.

13) Ihre Rechte und wie Sie sie im Konto selbst ausüben

13.1 Ihre Rechte

Das geltende Datenschutzrecht gewährt Ihnen gegenüber dem Verantwortlichen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten die nachstehenden Rechte:

• Auskunftsrecht gemäß Art. 15 DSGVO;
• Recht auf Berichtigung gemäß Art. 16 DSGVO;
• Recht auf Löschung gemäß Art. 17 DSGVO;
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO;
• Recht auf Unterrichtung gemäß Art. 19 DSGVO;
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO;
• Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO (für die Reichweitenmessung über „Datenschutz-Einstellungen", Abschnitt 3.5);
• Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO.

13.2 Was Sie im Konto selbst tun können

Für zwei dieser Rechte brauchen Sie uns nicht zu schreiben — sie sind im Kundenkonto eingebaut:

• Datenauskunft als Download. Im Kundenbereich können Sie Ihre Daten jederzeit selbst herunterladen. Der Abzug enthält: Ihr Konto mit E-Mail-Adresse und Zeitstempeln, Ihr Abonnement, Ihre Lizenzen, Ihre Geräte, Ihr Partnerprofil mit Zustimmungen, Codes, Provisionen und Auszahlungen, soweit vorhanden, Ihre Zustimmungsnachweise aus Kauf, Kündigung und Widerruf sowie Ihren Anmeldeverlauf mit IP-Adressen, Browserkennungen und Zeiten. Zu internen Notizen enthält er nur die Anzahl, nicht den Wortlaut.
• Löschung Ihres Kontos. Im Kundenbereich stoßen Sie die Löschung selbst an. Wir schicken Ihnen dann einen Bestätigungslink per E-Mail, der 15 Minuten gilt. Erst wenn Sie ihn anklicken, wird tatsächlich gelöscht. Was dabei gelöscht wird und was bewusst bestehen bleibt, steht in Abschnitt 12.

13.3 Was der Download nicht enthält

Ihre Support-Anfragen sind im Download nicht enthalten, weder Betreff noch Text. Wenn Sie auch darüber Auskunft möchten, schreiben Sie an [email protected]; wir erteilen sie Ihnen dann über den Support. Ebenfalls nicht enthalten sind Ihre Zahlungs- und Rechnungsdaten — die liegen beim Zahlungsdienstleister, siehe Abschnitt 5.1, und sind dort bei ihm zu erfragen.

13.4 Änderung Ihrer E-Mail-Adresse

Ihre E-Mail-Adresse können Sie im Konto nicht selbst ändern, weil an ihr Ihre Lizenz und Ihre Abrechnung hängen. Schreiben Sie dafür an [email protected]. Wir ändern die Adresse nach einer Prüfung für Sie.

13.5 Wenn Sie Zuschauer eines Streams sind

Sind Sie Zuschauer in einem TikTok-Stream, in dem StreamTik benutzt wird, entstehen die in Abschnitt 7 beschriebenen Daten aus Ihren öffentlichen Aktionen in diesem Stream: Ihr TikTok-Benutzername, Ihr Anzeigename, die Adresse Ihres Profilbildes, die Angaben zum Ereignis und ein daraus errechneter Punktestand.

Ein Konto bei uns haben Sie dafür nicht. Ihre Rechte aus Abschnitt 13.1 üben Sie deshalb über [email protected] aus. Nennen Sie uns dabei den TikTok-Benutzernamen, um den es geht, und den Kanal, in dem Sie zugesehen haben; ohne diese beiden Angaben finden wir Ihre Daten nicht. Sie können sich mit Ihrem Anliegen sowohl an den Streamer wenden, dessen Kanal Sie besucht haben, als auch an uns. Wir prüfen jede Anfrage.

Verlangen Sie die Löschung, können wir Ihren Punktestand und Ihre Buchungen für sich löschen, ohne die übrigen Daten des Kanals anzutasten; denselben Weg hat der Streamer für seinen Kanal. Löscht der Streamer sein Konto, verschwinden seine gesamten Ranglistendaten einschließlich Ihrer Punkte und Buchungen. Was in seinem Stream eingeblendet wird, entscheidet der Streamer selbst; dafür ist er der Verantwortliche und der richtige Ansprechpartner.

13.6 WIDERSPRUCHSRECHT

WENN WIR IM RAHMEN EINER INTERESSENABWÄGUNG IHRE PERSONENBEZOGENEN DATEN AUFGRUND UNSERES ÜBERWIEGENDEN BERECHTIGTEN INTERESSES VERARBEITEN, HABEN SIE DAS JEDERZEITIGE RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIESE VERARBEITUNG WIDERSPRUCH MIT WIRKUNG FÜR DIE ZUKUNFT EINZULEGEN.

MACHEN SIE VON IHREM WIDERSPRUCHSRECHT GEBRAUCH, BEENDEN WIR DIE VERARBEITUNG DER BETROFFENEN DATEN. EINE WEITERVERARBEITUNG BLEIBT ABER VORBEHALTEN, WENN WIR ZWINGENDE SCHUTZWÜRDIGE GRÜNDE FÜR DIE VERARBEITUNG NACHWEISEN KÖNNEN, DIE IHRE INTERESSEN, GRUNDRECHTE UND GRUNDFREIHEITEN ÜBERWIEGEN, ODER WENN DIE VERARBEITUNG DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN DIENT.

WERDEN IHRE PERSONENBEZOGENEN DATEN VON UNS VERARBEITET, UM DIREKTWERBUNG ZU BETREIBEN, HABEN SIE DAS RECHT, JEDERZEIT WIDERSPRUCH GEGEN DIE VERARBEITUNG SIE BETREFFENDER PERSONENBEZOGENER DATEN ZUM ZWECKE DERARTIGER WERBUNG EINZULEGEN. SIE KÖNNEN DEN WIDERSPRUCH WIE OBEN BESCHRIEBEN AUSÜBEN.

MACHEN SIE VON IHREM WIDERSPRUCHSRECHT GEBRAUCH, BEENDEN WIR DIE VERARBEITUNG DER BETROFFENEN DATEN ZU DIREKTWERBEZWECKEN.

14) Änderungen dieser Erklärung

14.1 Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert, etwa weil eine Funktion dazukommt oder ein Dienstleister wechselt. Maßgeblich ist die hier veröffentlichte Fassung. Das Datum der jeweiligen Fassung steht am Anfang dieser Seite.

14.2 Bei wesentlichen Änderungen, die Ihren Vertrag mit uns betreffen, informieren wir angemeldete Kunden zusätzlich per E-Mail an die im Konto hinterlegte Adresse.

14.3 Diese Fassung ersetzt alle früheren Fassungen.

Stand: 30.09.2026, 00:00:00