Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und für die Kontodaten der Nutzerinnen und Nutzer von MediaDesk ist:

TechCup — Lukas Taraba
Eicher Ringweg 1, 87435 Kempten (Allgäu)
E-Mail: info@techcup.net

2. Zwei getrennte Rollen — bitte genau lesen

MediaDesk verarbeitet zwei Arten von Daten in zwei verschiedenen Rollen. Diese Unterscheidung bestimmt, wer für welche Daten verantwortlich ist:

Für Gemeinden, die kirchlichem Datenschutzrecht unterliegen — Katholische Kirche: KDG, Evangelische Kirche: DSG-EKD — treten die dortigen Regelungen an die Stelle bzw. neben die DSGVO. Die Vereinbarung zur Auftragsverarbeitung ist dann nach dem jeweiligen kirchlichen Recht zu schließen.

3. Welche Daten wir verarbeiten

3.1 Konto- und Zugangsdaten

• Name und E-Mail-Adresse der angemeldeten Person
• Passwort ausschließlich als Hash (Argon2), das Klartextpasswort wird nie gespeichert
• Rolle (Administrator oder Mitglied) und Zugehörigkeit zur Gemeinde
• Einladungen: E-Mail-Adresse, Ablaufzeitpunkt und ein Hash des Einladungstokens — der Einladungslink selbst wird nicht gespeichert und ist nach der Erstellung nicht mehr abrufbar

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses).

3.2 Zugangsdaten zu verbundenen Systemen

• Adresse der ChurchTools-Instanz und ein ChurchTools-Login-Token
• Ein Google-Refresh-Token für den verbundenen YouTube-Kanal
• Kanalname, Kanal-ID und Kanalbild des verbundenen YouTube-Kanals

Beide Token liegen mit AES-256-GCM verschlüsselt in der Datenbank. Kurzlebige Google-Zugriffstoken werden ausschließlich im Arbeitsspeicher gehalten und nicht gespeichert.

3.3 Termin- und Personendaten aus ChurchTools

Für jeden übernommenen Termin speichern wir Titel, Beginn und Ende sowie — sofern in ChurchTools eingetragen — Namen der eingeteilten Personen samt der Bezeichnung ihres Dienstes, zum Beispiel „Predigt: Vorname Nachname“. Diese Angaben sind personenbezogene Daten von Gemeindemitgliedern.

Wichtig: Wenn eine Gemeinde in ihren Titel- oder Beschreibungsvorlagen Variablen wie {{dienst.predigt}} verwendet, werden diese Namen Teil des öffentlich sichtbaren Titels oder der Beschreibung des Livestreams auf YouTube. Ob das zulässig ist, entscheidet die Gemeinde als Verantwortliche — sie benötigt dafür eine Rechtsgrundlage, in der Regel eine Einwilligung der betroffenen Person.

3.4 Betriebs- und Reichweitendaten

• Status der angelegten Livestreams, Fehlermeldungen und Wiederholungszähler zur Fehlerdiagnose
• Abonnentenzahlen und Aufrufe je Kanal sowie durchschnittliche und höchste Zahl gleichzeitiger Zuschauer je Übertragung. Das sind aggregierte Zahlen von YouTube ohne Bezug zu einzelnen Zuschauern.

3.5 Hochgeladene Bilder

Thumbnails werden auf dem Server im Dateisystem gespeichert und über eine zugriffsgeschützte Adresse ausgeliefert, die nur der jeweiligen Gemeinde zugänglich ist.

4. Empfänger und Übermittlung an Dritte

4.1 Google / YouTube

Um Livestreams anzulegen, zu aktualisieren und Reichweitenzahlen abzurufen, übermitteln wir Daten an Google. Betroffen sind Titel, Beschreibung, geplante Zeiten, Sichtbarkeit und das Thumbnail des Livestreams — je nach Vorlage der Gemeinde einschließlich der unter 3.3 genannten Namen. Verwendet werden die YouTube Data API v3 und die YouTube Analytics API.

Anbieter ist die Google Ireland Limited beziehungsweise die Google LLC, USA. Damit kann eine Übermittlung in ein Drittland verbunden sein. Die Rechtsgrundlage dieser Übermittlung ist im Vertrag mit der Gemeinde zu dokumentieren.

Die von den YouTube-APIs erhaltenen Daten verwenden wir ausschließlich für die oben beschriebenen Funktionen. Wir geben sie nicht an Dritte weiter, verwenden sie nicht für Werbung und werten sie nicht zu anderen Zwecken aus. Menschen lesen diese Daten nur, wenn Sie ausdrücklich einwilligen, es zur Behebung einer Störung nötig ist oder Recht uns dazu verpflichtet.

Verbindlich gilt die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen:

MediaDesk's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Der Zugriff lässt sich jederzeit beenden: in MediaDesk unter „YouTube-Kanäle“ durch Trennen der Verbindung, zusätzlich im Google-Konto unter Drittanbieter-Apps mit Kontozugriff. Wir löschen den gespeicherten Refresh-Token beim Trennen sofort.

4.2 Kanalbild von Google-Servern

Im angemeldeten Bereich zeigen wir das Profilbild des verbundenen YouTube-Kanals an. Dieses Bild wird direkt von einem Google-Server (yt3.ggpht.com) geladen. Dabei erfährt Google die IP-Adresse des Browsers der angemeldeten Person. Öffentliche Seiten wie diese laden keine externen Inhalte.

4.3 E-Mail-Versand

Einladungen und Betriebsmeldungen werden über einen SMTP-Server versendet. Ist kein SMTP-Server konfiguriert, versendet MediaDesk keine E-Mails. Als Auftragsverarbeiter sind dabei eingesetzt:

• Mailgun (Sinch Email (Mailgun Technologies, Inc.), EU-Niederlassung), Verarbeitung in Europäische Union (Rechenzentrumsregion Frankfurt am Main) — Versand der Betriebsbenachrichtigungen an die Verwaltenden des Auftraggebers. Übermittelte Daten: E-Mail-Adressen der Verwaltenden, Betreff und Inhalt der Störungsmeldungen (Terminbezeichnung, Fehlerursache).

4.4 Hosting

Der Betrieb erfolgt auf eigener Infrastruktur des Anbieters in Deutschland. Betrieb auf eigener Infrastruktur des Auftragnehmers. Es ist kein externer Rechenzentrumsdienstleister als Unterauftragsverarbeiter eingebunden. Auch die Datensicherungen erstellt und verwahrt der Anbieter selbst.

Nutzt Ihre Gemeinde MediaDesk, schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Vorlage ist öffentlich einsehbar.

4.5 ChurchTools

Wir greifen lesend auf die ChurchTools-Instanz der Gemeinde zu und hängen die Adresse des Livestreams an den jeweiligen Termin an. Diese Instanz wird von der Gemeinde selbst betrieben oder beauftragt; eine Übermittlung an einen zusätzlichen Dritten findet dadurch nicht statt.

4a. Kontaktanfragen

Über das Formular auf /kontakt können Sie uns eine Anfrage schicken. Verarbeitet werden dabei Ihr Name, Ihre E-Mail-Adresse, die freiwillige Angabe Ihrer Gemeinde sowie der Text Ihrer Nachricht.

Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage und Anbahnung eines Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; betrifft Ihre Anfrage keinen Vertrag, stützen wir die Verarbeitung auf unser berechtigtes Interesse an der Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Anfragen werden nach 183 Tagen (rund sechs Monate) automatisch gelöscht, sofern sie nicht in ein Vertragsverhältnis münden. Eine Kopie geht als E-Mail an uns; für deren Versand gilt Abschnitt 4.3.

Die IP-Adresse des absendenden Geräts wird ausschließlich flüchtig im Arbeitsspeicher verarbeitet, um massenhafte automatisierte Einsendungen zu begrenzen. Sie wird nicht gespeichert.

5. Cookies und lokale Speicherung

MediaDesk verwendet keine Analyse-, Tracking- oder Werbedienste. Es gibt daher keinen Cookie-Banner. Gesetzt werden ausschließlich:

Diese Einträge sind für den Betrieb der von Ihnen angeforderten Funktionen unbedingt erforderlich; die Speicherung erfolgt nach §25 Abs. 2 TDDDG ohne Einwilligung.

6. Schriftarten

Die verwendeten Schriften werden bei der Erstellung der Anwendung heruntergeladen und von unserem eigenen Server ausgeliefert. Ihr Browser baut dafür keine Verbindung zu Google Fonts auf.

7. Speicherdauer

• Kontodaten: bis zum Entzug des Zugriffs oder zur Beendigung des Vertrags
• Einladungen: der Einladungslink verfällt nach 48 Stunden
• Termindaten: geplante Einträge werden entfernt, sobald der Termin in ChurchTools verschwindet; bereits angelegte Livestreams bleiben zur Nachvollziehbarkeit erhalten
• Zugangstoken: bis zum Trennen der Verbindung oder bis zum Widerruf durch die Gemeinde
• Reichweitenmesswerte: solange die Verbindung zum Kanal besteht

Zu prüfen: gesetzliche Aufbewahrungsfristen für Rechnungs- und Vertragsunterlagen (§147 AO, §257 HGB).

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit widerrufen.

Zur Ausübung dieser Rechte gegenüber uns genügt eine Nachricht an info@techcup.net. Wir antworten innerhalb der Frist des Art. 12 Abs. 3 DSGVO von einem Monat.

Betrifft Ihre Anfrage Daten aus ChurchTools, richten Sie sie bitte an Ihre Gemeinde — sie ist dafür die verantwortliche Stelle. Wir unterstützen die Gemeinde bei der Beantwortung.

Ihnen steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.
Zu ergänzen: zuständige Aufsichtsbehörde nach dem Sitz des Anbieters.

9. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Die Anwendung erzeugt Livestreams nach den von der Gemeinde gesetzten Regeln; eine Bewertung von Personen findet nicht statt.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.