Datenschutzerklärung – mut.events Streaming Service

Diese Erklärung gilt für

• die Webseite mut-stream.de,
• den Dienst unter live.mut-stream.de (Anmeldung, Kundenbereich, Abrechnung),
• die Zuschauerseiten, Einbettungen und den Player des Dienstes sowie die Auslieferung der Videodaten (auch über cdn.mut-stream.de).

1. Verantwortlicher

machen&tun Medienproduktion und -dienstleistungen GmbH (Marke „mut.events“)
Louis-Bleriot-Straße 5, 12487 Berlin
Geschäftsführer: Nils Jahnke
Telefon: +49 (0) 30 48622323 · E-Mail: wir@mut.events

2. Was wir nicht tun

• Auf mut-stream.de setzen wir keine Cookies und kein Tracking ein, binden keine Inhalte fremder Server ein und laden Schriften von unserem eigenen Server.
• Zuschauerseiten und Player setzen keine Cookies.
• Wir verkaufen keine Daten und nutzen sie nicht für Werbung.
• Zahlungsdaten (z. B. Kartennummern) erhalten wir nicht; sie gibt man nur bei unserem Zahlungsdienstleister Paddle ein.

3. Inhalte unserer Kunden – wer ist verantwortlich?

Unsere Kunden sind Unternehmen, die mit dem Dienst eigene Veranstaltungen übertragen. Für die Inhalte der Streams, Aufzeichnungen, Clips und Playlist-Dateien und für die Entscheidung, wem sie gezeigt werden, ist der jeweilige Kunde (Veranstalter) verantwortlich. Wir verarbeiten diese Inhalte nur in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Das gilt auch für die Zuschauerstatistik, die wir dem Kunden anzeigen (Abschnitt 8.3).

Wenn Sie als Zuschauer oder als in einem Stream gezeigte Person Fragen haben oder Rechte geltend machen möchten, wenden Sie sich bitte an den Veranstalter. Anfragen, die uns erreichen, leiten wir an ihn weiter.

Soweit wir Daten für eigene Zwecke verarbeiten – Betrieb und Sicherheit der Webseite und des Dienstes, Abrechnung gegenüber unseren Kunden –, sind wir verantwortlich. Darum geht es in den folgenden Abschnitten.

4. Webseite mut-stream.de

Die Webseite ist eine statische Seite bei einem Webhoster in Deutschland, der sie in unserem Auftrag betreibt.

Bei jedem Abruf verarbeitet der Webserver technisch notwendig: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite (Referrer), Browser und Betriebssystem (User-Agent). Diese Angaben stehen in Server-Protokollen. Wir bewahren sie nur so lange auf, wie es für die unten genannten Zwecke nötig ist, und löschen sie danach.

• Zweck: Auslieferung der Seite, Schutz vor Angriffen, Fehlersuche.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot).

Der Preisrechner auf der Preisseite rechnet ausschließlich in Ihrem Browser; Ihre Eingaben werden nicht übertragen.

5. Kontakt per E-Mail oder Telefon

Schreiben Sie uns oder rufen Sie uns an, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Firma, Inhalt der Anfrage), um die Anfrage zu beantworten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).
• Speicherdauer: bis die Anfrage erledigt ist; geschäftliche Korrespondenz bewahren wir nach den handels- und steuerrechtlichen Fristen auf (bis zu 6 bzw. 10 Jahre).

6. Anmeldung und Kundenkonto (live.mut-stream.de)

6.1 Anmeldung

Bei der Anmeldung verarbeiten wir: Firmenname, Name des Ansprechpartners, E-Mail-Adresse, Land, Postleitzahl, optional USt-IdNr. und Aktionscode, Benutzername, Passwort (nur als kryptografischer Hashwert gespeichert), die Bestätigung der Unternehmereigenschaft und den Zeitpunkt der Anmeldung. Zur Bestätigung schicken wir einen Link per E-Mail, der 24 Stunden gilt. Nicht bestätigte Anmeldungen löschen wir nach 7 Tagen.

Zum Schutz vor Missbrauch zählen wir Anmeldeversuche je IP-Adresse und je E-Mail-Adresse (höchstens 5 je Stunde und 20 je Tag je IP-Adresse).

6.2 Kundenkonto und Nutzung des Dienstes

Für das Konto und die Erbringung des Dienstes verarbeiten wir Konto- und Vertragsdaten (siehe 6.1), Einstellungen und Inhalte Ihrer Streams, Zeitpunkt der letzten Anmeldung, ein Ereignisprotokoll (z. B. „Stream gestartet“, „Aufzeichnung fertig“, Fehler einer Weiterleitung) sowie die Messdaten für die Abrechnung (Sendeminuten je Qualität, Zuschauerstunden je Qualität und Region, Speicherbelegung), Verbrauchsnachweise, Guthabenbuchungen und den Zahlungsstand, den Paddle uns meldet.

• Zweck: Vertragserfüllung, Abrechnung, Support, Sicherheit.
• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrungspflichten), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsabwehr).
• Handeln Sie für ein Unternehmen, verarbeiten wir Ihre Daten als Ansprechpartner auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Durchführung des Vertrags mit Ihrem Arbeitgeber oder Auftraggeber).

6.3 Cookie und lokaler Speicher im Kundenbereich

• Sitzungscookie scdn_session: Nach der Anmeldung setzen wir ein Cookie mit einer zufälligen Kennung, damit Sie angemeldet bleiben. Es ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG), gilt höchstens 7 Tage und wird beim Abmelden gelöscht. Auf dem Server speichern wir nur einen Hashwert der Kennung.
• Anzeigeschema: Wählen Sie im Kundenbereich hell oder dunkel, merkt sich Ihr Browser diese Wahl im lokalen Speicher (scdn_theme). Der Wert wird nicht an uns übertragen.
• Gegen das Erraten von Passwörtern zählen wir Fehlversuche je IP-Adresse (höchstens 10 in 5 Minuten). Die Adresse wird dafür nur im Arbeitsspeicher und nur für diese 5 Minuten gehalten.

6.4 E-Mails des Dienstes

Für Bestätigungslinks, Hinweise zum Konto (z. B. eine Sperre wegen offener Zahlung) und Abrechnungshinweise versenden wir E-Mails über einen E-Mail-Versanddienstleister, der in unserem Auftrag handelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.5 Verbindungen zu Plattformen auf Ihre Veranlassung

Verbinden Sie im Kundenbereich ein YouTube- oder Vimeo-Konto, tragen Sie Restream-Ziele ein oder richten Sie Webhooks ein, übermitteln wir in Ihrem Auftrag Streams, Clips, Titel, Beschreibungen bzw. Ereignisdaten an diese Ziele. Für die Verarbeitung dort sind die Betreiber der Plattformen bzw. Sie selbst verantwortlich; es gelten deren Datenschutzbestimmungen (z. B. Google/YouTube, Vimeo). Zugangsdaten (Schlüssel, Tokens) speichern wir verschlüsselt und löschen sie, wenn Sie die Verbindung entfernen, spätestens mit Vertragsende.

6.6 Speicherdauer im Kundenkonto

• Konto- und Vertragsdaten: für die Vertragsdauer.
• Aufzeichnungen, Clips, Playlist-Dateien: bis Sie sie löschen; nach Vertragsende 90 Tage im Archiv, danach endgültig gelöscht (auf Wunsch früher).
• Verbrauchsnachweise, Guthabenbuchungen, Vertrags- und Abrechnungsunterlagen: nach den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO; bis zu 10 Jahre).
• Meldungen von Paddle über Zahlungsvorgänge: 400 Tage.
• Ereignisprotokoll: Ältere Einträge löschen wir laufend automatisch.

7. Zahlung über Paddle

Bestellung und Zahlung laufen über Paddle (für Kunden außerhalb der USA und Kanadas: Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich). Paddle ist unser Wiederverkäufer („Merchant of Record“): Paddle verkauft Ihnen die Leistungen, stellt die Rechnungen aus, zieht Zahlungen ein, prüft auf Betrug und wickelt Erstattungen ab. Paddle verarbeitet Ihre Daten dabei in eigener Verantwortung; es gilt die Datenschutzerklärung von Paddle (www.paddle.com/legal/privacy).

• An Paddle übermitteln wir: Firmenname, E-Mail-Adresse, Land, Postleitzahl, USt-IdNr., die gebuchten Posten und die Beträge für Ihren Verbrauch (mit der Nummer des Verbrauchsnachweises).
• Von Paddle erhalten wir: Kunden-, Abo- und Transaktionsnummern, Zahlungsstatus, Rechnungen, Erstattungen und Rückbuchungen – keine Kartendaten.
• Den Bezahlvorgang und das Kundenportal stellt Paddle in einem eingebetteten Fenster bzw. auf eigenen Seiten bereit. Dafür lädt Ihr Browser im Kundenbereich ein Skript von Servern von Paddle; dabei erhält Paddle Ihre IP-Adresse und Browserdaten und kann zur Betrugsabwehr Cookies oder ähnliche Techniken einsetzen (siehe Datenschutzerklärung von Paddle). Das geschieht nur auf Seiten mit Zahlungsfunktion, nicht auf der Webseite und nicht auf Zuschauerseiten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Drittland: Paddle sitzt im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

8. Zuschauerseiten, Einbettung und Player

Diese Abschnitte betreffen Sie, wenn Sie eine Übertragung ansehen, die ein Kunde über unseren Dienst anbietet – auf einer Zuschauerseite unter live.mut-stream.de oder eingebettet in die Webseite des Veranstalters.

8.1 Abruf von Seite und Video

Beim Aufruf der Zuschauerseite und beim Laden der Videodaten verarbeiten die Server technisch notwendig Ihre IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserangaben, um Ihnen die Daten zu übertragen. Zuschauerseite und Player setzen keine Cookies und speichern nichts in Ihrem Browser.

Die Videodaten liefern wir über ein Auslieferungsnetz (CDN) mit Standorten weltweit aus, das in unserem Auftrag handelt. Ihr Browser lädt sie von einem Standort in Ihrer Nähe; dieser verarbeitet dafür Ihre IP-Adresse. Sehen Sie außerhalb der EU zu, kann das ein Standort in einem Drittland sein (Abschnitt 11).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auslieferung der gewünschten Übertragung).

8.2 Passwortgeschützte Übertragungen und signierte Links

Ist eine Übertragung mit Passwort geschützt, prüfen wir das eingegebene Passwort gegen einen gespeicherten Hashwert; das eingegebene Passwort speichern wir nicht. Gegen das Erraten zählen wir Fehlversuche je IP-Adresse und Übertragung (höchstens 10 in 5 Minuten); die Adresse wird dafür nur im Arbeitsspeicher und nur für diese 5 Minuten gehalten. Nach richtiger Eingabe erhält Ihr Browser einen Link mit einem Zugangsschlüssel, der höchstens 12 Stunden gilt.

8.3 Zuschauerzählung

Damit der Veranstalter sieht, wie viele Menschen zusehen, und damit wir die Auslieferung abrechnen können, sendet der Player während der Wiedergabe etwa alle 10 Sekunden eine kurze Meldung an unseren Server. Sie enthält:

• eine zufällige Sitzungskennung, die der Player bei jedem Seitenaufruf neu bildet und nirgends in Ihrem Browser speichert (beim nächsten Aufruf entsteht eine neue; sie lässt sich keiner Person zuordnen),
• die Übertragung, die Art der Meldung (Start, laufend, Stocken, Fehler, Ende) und technische Wiedergabewerte (Startzeit, Unterbrechungen, Auflösung, Bitrate, Wiedergabeposition).

Beim Empfang einer Meldung bestimmen wir aus Ihrer IP-Adresse mit einer Länderdatenbank auf unserem eigenen Server das Land und daraus die Region für die Abrechnung (Europa/Nordamerika oder übrige Welt); aus der Browserkennung (User-Agent) ermitteln wir Geräteklasse (z. B. Computer, Smartphone) und Browserfamilie. Aus den Meldungen einer Wiedergabe ergibt sich ihre Sehdauer. Gespeichert werden nur diese abgeleiteten Angaben zusammen mit der Sitzungskennung und den Zeiten – die IP-Adresse und die Browserkennung selbst speichern wir nicht. Es findet keine Übermittlung an Dritte statt.

Zwecke und Rechtsgrundlagen:

• Zuschauerzahlen und Statistik für den Veranstalter – im Auftrag des Veranstalters (Abschnitt 3).
• Abrechnung unserer Auslieferungskosten nach Zuschauerstunden und Region gegenüber dem Veranstalter sowie Erkennen von Störungen – eigener Zweck, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verbrauchsgenauen Abrechnung und einem stabilen Betrieb).

Speicherdauer: Gleichzeitige Zuschauerzahlen je Übertragung bewahren wir 48 Stunden auf; daraus gebildete Monatssummen (Zuschauerstunden je Qualität und Region, ohne Sitzungskennungen) als Abrechnungsgrundlage nach den Aufbewahrungsfristen in Abschnitt 6.6. Sitzungsbezogene Statistikdaten (Sehdauer, Land, Geräteklasse, Browserfamilie) gehören zu den Daten des Veranstalters und werden mit ihnen gelöscht, spätestens wie in Abschnitt 6.6 für Vertragsende beschrieben.

Namensnennung: Die Länderzuordnung nutzt die Datenbank „IP to Country Lite“ von DB-IP, lizenziert unter CC BY 4.0: IP Geolocation by DB-IP.

9. Server-Protokolle des Dienstes

Die Server des Dienstes stehen in Rechenzentren in Deutschland. Der Dienst schreibt Betriebsprotokolle (Start und Ende von Streams, Fehler der Umwandlung oder Weiterleitung, fehlgeschlagene Zugriffe auf interne Schnittstellen mit IP-Adresse). Zugriffe von Zuschauern werden nicht mit IP-Adresse protokolliert. Wir bewahren die Protokolle nur so lange auf, wie es für Sicherheit und Fehlersuche nötig ist, und löschen sie danach. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Fehlersuche).

10. Empfänger

Wir geben Daten nur weiter, soweit es für die genannten Zwecke nötig ist:

Auf Anfrage nennen wir Ihnen die konkreten Empfänger (Art. 15 Abs. 1 lit. c DSGVO).

11. Übermittlung in Drittländer

• Paddle: Vereinigtes Königreich, siehe Abschnitt 7.
• Auslieferungsnetz: Der Anbieter des Auslieferungsnetzes hat seinen Sitz in der EU. Ruft ein Zuschauer außerhalb der EU eine Übertragung ab, verarbeitet ein Standort in seiner Region seine IP-Adresse, um ihm die Videodaten auszuliefern.
• Plattformen auf Veranlassung des Kunden (z. B. YouTube, Vimeo) können Daten außerhalb der EU verarbeiten; dafür ist der Kunde bzw. die Plattform verantwortlich.

12. Sicherheit

Verbindungen zur Webseite, zum Kundenbereich, zu den Zuschauerseiten und zur Auslieferung der Videodaten sind per TLS verschlüsselt. Passwörter speichern wir nur als Hashwert, Zugangsdaten zu Plattformen verschlüsselt. Kunden sehen nur ihre eigenen Daten.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Wenden Sie sich dafür an die Adresse in Abschnitt 1.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, www.datenschutz-berlin.de.

14. Pflicht zur Angabe, automatisierte Entscheidungen

Für Anmeldung und Vertrag brauchen wir die als Pflicht markierten Angaben; ohne sie können wir keinen Vertrag schließen. Zuschauer müssen keine Angaben machen. Automatisierte Entscheidungen im Einzelfall nach Art. 22 DSGVO treffen wir nicht.

15. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.