Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf https://moddrop.live ist:

E-Mail: datenschutz-moddrop@heerlab.com

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Überblick

Diese Erklärung informiert darüber, welche personenbezogenen Daten bei der Nutzung von Moddrop verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange. Moddrop ist ein privates, nicht-kommerzielles Projekt. Moddrop stellt Streamern und Moderatoren eine gemeinsame Zeichenfläche für Live-Overlays in OBS bereit.

Personenbezogene Daten werden nicht verkauft und nicht für Werbung verwendet. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Eingebettete Plattformen können Daten nach ihren eigenen Richtlinien auch für Werbung verarbeiten.

3. Hosting und Bereitstellung

Moddrop läuft auf eigener Server-Infrastruktur des Verantwortlichen in Deutschland. Aufrufe aus dem Internet erreichen die Anwendung über einen Reverse-Proxy auf einem virtuellen Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland (Rechenzentrum in Nürnberg). netcup verarbeitet die Daten dabei als Auftragsverarbeiter; mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verbindung ist bis zum Reverse-Proxy TLS-verschlüsselt und wird von dort durch einen verschlüsselten Tunnel an die eigene Infrastruktur weitergeleitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einer sicheren und zuverlässigen Bereitstellung der Website.

Zur Datensicherung werden regelmäßig Sicherungskopien innerhalb der eigenen Infrastruktur erstellt; sie werden nach Ablauf ihrer Aufbewahrungszeit überschrieben.

4. Server-Logfiles

Bei jedem Aufruf speichert der Reverse-Proxy automatisch folgende Daten:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse (Pfad einschließlich Parameter), HTTP-Methode und Protokoll
• HTTP-Statuscode, übertragene Datenmenge und Antwortzeit
• Browser-Kennung (User-Agent)
• verwendete TLS-Version und Verschlüsselung
• angesprochener Dienst

Die Header Cookie und Authorization werden geschwärzt. URL-Pfade und Abfrageparameter werden protokolliert.

Die Daten dienen dem Betrieb, der Fehleranalyse und der Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in Stabilität und Sicherheit des Angebots. Die Logfiles werden nach 14 Tagen automatisch gelöscht.

Pangolin verarbeitet zusätzlich HTTP-Anfrageprotokolle, die nach 14 Tagen gelöscht werden, und Netzwerkprotokolle, die nach 30 Tagen gelöscht werden. Moddrop verwendet kein Pangolin-/Pocket-ID-SSO.

Für Betrieb, Fehleranalyse und Missbrauchsschutz verarbeitet die Anwendung technische Ereignis- und Fehlerdaten in kurzlebigen Containerprotokollen. Eine zentrale Logsammlung gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb.

5. Schutz vor Angriffen (CrowdSec)

Zum Schutz vor Angriffen wertet die Sicherheitssoftware CrowdSec die Server-Logfiles automatisch aus und sperrt IP-Adressen, von denen erkennbar Angriffe ausgehen (zum Beispiel massenhafte Anmeldeversuche oder das Ausspähen von Schwachstellen). Erkennt CrowdSec einen Angriff, werden die IP-Adresse, der Zeitpunkt und die Art des Angriffs an die CrowdSec SAS, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich, übermittelt. CrowdSec nutzt diese Meldungen für eine gemeinsame Sperrliste, die Angriffe auf viele Server abwehrt. Bei normalem Surfen werden keine Daten an CrowdSec übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz der Website und ihrer Nutzer vor Angriffen.

Für diese Verarbeitung sind der Verantwortliche und CrowdSec nach Angaben von CrowdSec gemeinsam verantwortlich (Art. 26 DSGVO): CrowdSec ist für den Betrieb seiner zentralen Dienste und Sperrlisten verantwortlich, der Verantwortliche für den Einsatz auf diesem Server. Sie können Ihre Rechte gegenüber beiden geltend machen, bei CrowdSec unter dpo@crowdsec.net. CrowdSec kann die gemeldeten Daten an Mitglieder und Partner seines Netzwerks weitergeben. Übermittlungen in Länder außerhalb der EU erfolgen nach Angaben von CrowdSec auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Vollständige IP-Adressen werden grundsätzlich höchstens drei Monate gespeichert und anschließend schrittweise verallgemeinert. Für bestimmte Angriffsanalysen und Trainingszwecke nennt CrowdSec Ausnahmen von bis zu einem Jahr vor der Anonymisierung. Details: crowdsec.net/privacy-policy.

6. Nutzerkonto und Inhalte

Moddrop speichert Konten- und Profildaten, Räume und Mitgliedschaften, Canvas-Inhalte, Einstellungen sowie hochgeladene Medien und zugehörige Dateiinformationen auf eigener Infrastruktur in Deutschland. Dies ermöglicht die gemeinsame Bearbeitung, die Medienbereitstellung und die Zugangskontrolle. Raumteilnehmer und berechtigte OBS-Quellen erhalten die dafür erforderlichen Inhalte. Inhalte im sichtbaren Streambereich können öffentlich ausgestrahlt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Bereitstellung der angeforderten Funktionen für berechtigte Nutzer. Die Daten werden gespeichert, solange Sie das Konto nutzen, längstens bis zu 10 Jahre.

Auf Anfrage werden Konten- und Profildaten, Räume, Canvas-Inhalte und Uploads gelöscht. Löschanfragen richten Sie bitte an datenschutz-moddrop@heerlab.com. Das Löschen des Clerk-Kontos allein entfernt diese Daten nicht.

7. Anmeldung mit Clerk

Für die Anmeldung verwenden wir Clerk, Inc., 660 King Street, Unit 345, San Francisco, CA 94107, USA. Clerk verarbeitet Verbindungsdaten, Kontodaten und Anmeldeinformationen, etwa Nutzerkennung, E-Mail-Adresse, Benutzername und Profilbild. Der Browser kontaktiert Clerk auch auf öffentlichen Seiten für die Anmeldekonfiguration. Optional können Sie sich über Discord oder Twitch anmelden; dabei werden die von Ihnen freigegebenen Identitätsdaten mit Clerk ausgetauscht.

Clerk ist für die Anmeldung und Sitzungsverwaltung technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die Beschränkung der Bearbeitung auf berechtigte Nutzer. Clerk ist unter dem EU-US Data Privacy Framework zertifiziert; der Auftragsverarbeitungsvertrag sieht ergänzend Standardvertragsklauseln vor. Die Anbieter speichern Daten, solange dies für die in ihren Datenschutzerklärungen beschriebenen Zwecke erforderlich ist.

Weitere Informationen: Clerk-Datenschutzerklärung und Auftragsverarbeitungsvertrag.

Discord nennt für Personen im EWR die Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande, und für andere Regionen Discord Inc., 444 De Haro Street #200, San Francisco, CA 94107, USA. Discord beschreibt Standardvertragsklauseln und das Data Privacy Framework für internationale Übermittlungen. Details: Discord-Datenschutzerklärung. Für Twitch gelten die Angaben im folgenden Abschnitt.

8. Twitch- und YouTube-Einbettungen

Twitch- und YouTube-Inhalte werden geladen, wenn ein Raum vom Raumeigentümer konfigurierte Medien anzeigt. Die Plattformen erhalten dabei insbesondere IP-Adresse, Browser- und Verbindungsdaten sowie Angaben zur aufgerufenen Seite und zum ausgewählten Kanal oder Video. Sie können eigene Cookies setzen und Daten nach ihren eigenen Richtlinien verarbeiten.

Das Laden ist zur Bereitstellung dieser Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die angeforderte Medienanzeige und Streamausgabe.

Twitch wird von Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA, angeboten. Daten können in die USA übermittelt werden; Einzelheiten in der Datenschutzerklärung von Twitch.

Für YouTube ist bei Nutzern im EWR Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verantwortlich. Daten können an Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, übermittelt werden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; Google beschreibt ergänzend Standardvertragsklauseln in seinen Übermittlungsregeln. Weitere Verarbeitung und Aufbewahrung richten sich nach der Google-Datenschutzerklärung.

9. tldraw-Editor

Der Canvas verwendet tldraw. Der Editor lädt Symbole, Schriften und Übersetzungen von cdn.tldraw.com und stellt eine Anfrage zur Lizenzprüfung. Dabei werden Verbindungsdaten sowie bei der Lizenzanfrage Lizenz- und SDK-Angaben und die Seitenadresse übermittelt. Die Canvas-Inhalte werden mit dem eigenen Backend synchronisiert.

Diese Anfragen sind zur Bereitstellung des Editors erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Bereitstellung der Zeichenfunktion. Für technisch notwendige lokale Editor-Einstellungen gilt § 25 Abs. 2 Nr. 2 TDDDG.

Anbieter ist tldraw Inc., Kontaktanschrift Floor 3, The Arts Building, Morris Pl, Finsbury Park, London N4 3JG, Vereinigtes Königreich. Daten können unter anderem in den USA verarbeitet werden. Einzelheiten zur Verarbeitung und Aufbewahrung finden Sie in der Datenschutzerklärung von tldraw und den Lizenzinformationen.

10. Kontakt per E-Mail

Wenn Sie per E-Mail Kontakt aufnehmen, werden Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht und die technischen Angaben der E-Mail verarbeitet, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, Anfragen beantworten zu können.

Die E-Mail-Postfächer werden bei der Fastmail Pty Ltd, PO Box 234, Collins Street West, VIC 8007, Australien, als Auftragsverarbeiter betrieben. Dabei können Daten in Länder außerhalb der EU übermittelt werden, insbesondere nach Australien, in die USA und nach Indien. Für diese Übermittlungen verwendet Fastmail Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Details: Datenschutzerklärung von Fastmail, Auftragsverarbeitungsvertrag und Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage an datenschutz-moddrop@heerlab.com.

Der Verantwortliche löscht Nachrichten nach Erledigung der Anfrage, soweit keine Aufbewahrung erforderlich ist. Bei Fastmail können anschließend noch Sicherungs- und Protokolldaten nach dessen veröffentlichten Löschregeln verbleiben.

11. Cookies und lokale Speicherung

Die Speicherung dient der Anmeldung und den von Ihnen genutzten Funktionen. Technisch notwendige Zugriffe erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG. Funktionale Einstellungen bleiben lokal, bis Sie sie löschen; Sitzungsdaten enden mit der jeweiligen Sitzung. Für Cookies eingebetteter Plattformen gelten deren eigene Richtlinien. Sie können lokale Daten in den Browsereinstellungen löschen. Dies löscht keine Daten auf den Servern.

12. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz-moddrop@heerlab.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

13. Pflicht zur Bereitstellung

Sie sind nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne die technisch notwendigen Verbindungsdaten kann die Website jedoch nicht ausgeliefert werden, und ohne Anmeldung sind die geschützten Bereiche nicht nutzbar.

14. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.