Datenschutzerklärung

1. Verantwortlicher und Rollen

kessel.one e.K., Inhaber Thomas Kessel, Königsbenden 19, 52249 Eschweiler, Deutschland. E-Mail: info@stintcast.com. Handelsregister: Amtsgericht Aachen, HRA 9409. Umsatzsteuer-Identifikationsnummer: DE435766816.

kessel.one e.K. verantwortet Website, persönliche Konten, Zugang, eigene Sicherheit, Support und Abrechnung. Über Zwecke und Empfänger von Teammedien entscheidet regelmäßig das Team oder der Veranstalter. Bei ausschließlicher Weisungsverarbeitung handeln wir als Auftragsverarbeiter; vor diesem Einsatz ist eine Vereinbarung nach Art. 28 DSGVO erforderlich. Ein Teamvertrag oder Uploadknopfdruck ersetzt keine Rechtsgrundlage für gefilmte oder hörbare Personen.

2. Website und notwendiger Speicher

IP-Adresse, Zeitpunkt, angefragter Pfad und technische Browser-/Verbindungsdaten ermöglichen Auslieferung und Schutz. Es werden keine Werbe-/Analyse-Tracker geladen. Google/PayPal werden erst im ausdrücklich gewählten Ablauf genutzt, sobald eingerichtet. Notwendige Sitzungs-/CSRF-Cookies schützen das Portal; reguläre Sitzungen normalerweise zwölf Stunden, Zuschauerzugänge mit individuellem Ablauf. Lokale Sprach-/Layout-Einstellungen unterstützen Bedienung. Erforderlicher Endgerätezugriff richtet sich nach § 25 Abs. 2 Nr. 2 TDDDG; personenbezogene Verarbeitung zusätzlich nach DSGVO.

3. Konto, Team und freiwillige MFA

E-Mail, Benutzerkennung, Passwort-Hash, Verifizierung, Mitgliedschaft, Rollen, Einladungen, Wiederherstellungs- und Sicherheitsnachweise werden verarbeitet. Kein Klartextpasswort. Teamdaten: Namen, Logos/Sponsoren, Fahrzeuge/Fahrer, Veranstaltungen/Orte, Sessions/Hinweise. Teamleitungen vergeben Zugriff. Betreiber-MFA ist freiwillig und standardmäßig aus; Aktivierung benötigt Zweitfaktorschlüssel und Bestätigungs-/Sicherheitsnachweise. Nur selbst aktivierte MFA wird verlangt. Gleiche E-Mails verbinden Konten nicht automatisch.

4. Google-Anmeldung und interner Play-Test

Die optionale Google-Anmeldung verwendet OpenID mit E-Mail und Profil. Wenn sie gewählt wird, erfolgt die Weiterleitung zu Google; notwendige Kennungen und freigegebene E-Mail-/Profildaten werden verarbeitet. Keine Mailbox-/Drive-Inhalte und keine Tokenaufbewahrung zur späteren Nutzung anderer Google-Dienste. E-Mail-/Passwortanmeldung bleibt Alternative. Google bezeichnet für EWR-Nutzer Google Ireland Limited; eigene Verarbeitung unter https://policies.google.com/privacy?hl=de. Weltweite Verarbeitung/Übermittlung möglich; konkrete Schutzmechanismen sind auf Anfrage erhältlich.

Interne Google-Play-Appverteilung kann eine Google-Konto-E-Mail benötigen. App-Verteilung und optionaler Plattformlogin sind getrennte Abläufe. Play-Datenverarbeitung richtet sich nach Google-Informationen.

5. Kopplung und Medien

Kopplungscode, zufälliger Zugang, Gerätename/Modell/Appversion, Team-/Kamerazuordnung, Kontakt und Widerruf sichern Verbindung. Der Server speichert Gerätetokens als Hash; die App schützt lokale Zugänge mit Android-Keystore und speichert den erlaubten Backendorigin gemeinsam.

Ausdrücklich gestartete Uploads übertragen Kamerabild und gegebenenfalls Kameraton an berechtigte Teammitglieder/Zuschauer. Medien werden flüchtig gepuffert und weitergeleitet, ohne Serveraufnahme-Archiv. GoPro-SD-Aufnahmen bleiben getrennt. Planung und Freigaben starten keine Kameraaktion. Smartphonekamera dient QR-Scan, Bluetooth/WLAN/USB Kameraverbindung. Ältere Android-Gerätesuche kann Standortberechtigung benötigen; keine geografischen Koordinaten/Standortprofile. Streamton stammt aus GoPro, kein Smartphone-Mikrofonzugriff dafür. Lokale Kameraadressen/Einstellungen werden nicht automatisch öffentliche Teamdaten.

6. Verbrauch und Betrieb

Zeiten, tatsächliche Übertragung, Bytes, Endgründe, Wiedergabesitzungen und Tagesverbrauch erzwingen Paket-/Testlimits (Tage Europe/Berlin). Versionen, Freigaben, Änderungen und interne Vermerke dokumentieren Entscheidungen. Ein erforderlicher Aktivierungsnachweis schützt einmalige Tests pro Team/verifiziertem Ersteller. Sicherheits-/Infrastrukturprotokolle können IPs, Zugangsversuche und Fehler enthalten. Private Kamerabilder/Zugänge werden nicht Marketingmaterial; Demo-Team/Sponsoren sind fiktiv.

7. PayPal und Rechnungen

PayPal ist zunächst ausschließlich in der Sandbox für technische Tests eingerichtet; echte Buchungen sind deaktiviert. Bei einer später ausdrücklich gewählten Buchung gehen erforderliche Rechnungsdaten, Paket/Preis, Referenzen und Zeitraum an PayPal. StintCast verarbeitet Name, optionale Firma, E-Mail/deutsche Adresse, Version/Zustimmungen, Abo-, Zahlungs-/Erstattungsreferenzen und Belege. Keine Kameraarchive für PayPal; vollständige Zahlungsinstrument-Zugänge benötigt StintCast nicht. Subscriptions übernimmt genehmigte Monatszahlungen, Invoicing erzeugt die zugeordnete bereits bezahlte Rechnung. Elektronische Rechnungen und vollständige Vertragsbestätigung gehen an Rechnungs-E-Mail mit Zustimmung; keine zweite Zahlungsaufforderung.

PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg, folgt eigenen Regeln: https://www.paypal.com/de/legalhub/paypal/privacy-full. Weltweite Empfänger/Übermittlungen möglich; Schutzmechanismen gegen tatsächliche Business-/API-Konfiguration vor Verkauf prüfen. sevdesk ist nicht verbunden.

8. Rechtsgrundlagen

Art. 6 Abs. 1 Buchst. b DSGVO: Vertrag/Anbahnung mit Ihnen, persönliche Konten, Test-/Paketleistung, notwendiger Support/Abrechnung. Teamnutzer ohne eigenen Vertrag: notwendiger Zugang nach Art. 6 Abs. 1 Buchst. f, Interesse an geschützter Zusammenarbeit. Sicherheit, Missbrauchsabwehr, Kapazität und Fehleranalyse nach Buchst. f; Pflicht-Steuer-/Rechnungs-/Vertragsnachweise nach Buchst. c. Gesondert erforderliche/eingeholte Einwilligung nach Buchst. a. Rechnungszustimmung ist kein Werbeeinverständnis. Team bestimmt Medien-Rechtsgrundlage bei Weisungsverarbeitung nach Art. 28. Werbung/KI-Training mit Auftragsmedien ist nicht Teil der Leistung.

9. Empfänger, Hosting und Schutz

Rollen begrenzen Team-/Zuschauerempfänger. Betreiberzugriff für Administration, vereinbarten Support und Fehler; Behörden nur mit Rechtsgrundlage. Hostinger-VPS-Region Frankfurt ist bestätigt; tatsächliche Vertragsgesellschaft noch aus Kundenvertrag zuzuordnen. Dies garantiert keine ausschließlich deutschen Support-/Unterauftragnehmerzugriffe. DPA/Unterauftragnehmer/Übermittlungsregeln: https://www.hostinger.com/legal/dpa; konkrete Garantien auf Anfrage.

E-Mail: webgo GmbH, Wendenstraße 8–12, 20097 Hamburg; bestätigter AV-Vertrag archiviert. Nachrichten, Absender/Empfänger/Versanddaten, keine Livestreams: https://webgo.de/datenschutz. HTTPS/WSS/WebRTC schützen Verbindungen; Server verarbeiten Medien. Keine den Betreiber technisch ausschließende Ende-zu-Ende-Verschlüsselung. Teamgrenzen beschränken Zugriff; ausschließlich EU-Verarbeitung wird nicht ohne Nachweis behauptet.

10. Aufbewahrung und Löschung

Livepuffer ohne Serveraufnahmen; SD-Aufnahmen löscht Team. Konten/Geräte/Team/Planung solange Zweck/Zugang nötig. Ablauf ist keine automatische Löschung. Rechnungs-/Zahlungsbelege grundsätzlich acht Jahre, Handelskorrespondenz sechs, weitere Pflichtunterlagen gegebenenfalls zehn, ab jeweiligem Kalenderjahresende; Verfahren können verlängern. Sonstige Betriebsdaten erben diese Fristen nicht pauschal. Anspruchs-/Vorfallnachweise getrennt behandeln.

Die Produktion bereinigt nach erfolgreicher Sicherung begrenzt Übertragungsdetails, abgelaufene Einladungen/Kopplungscodes, beendete Sitzungen, Anmeldeversuche und Tagesverbrauch, wenn deren Ende beziehungsweise Ablauf mindestens 30 Tage zurückliegt. Aktive Daten, einmalige Testansprüche, Audit- und Pflichtbelege bleiben getrennt erhalten; technische Sperren können die Bereinigung verzögern. Authentifiziert verschlüsselte Sicherungen werden nach 30 Tagen rotiert; die jüngste gültige Sicherung bleibt erhalten. Geschützte verschlüsselte Sicherungskopien werden zusätzlich außerhalb des VPS abgelegt. Löschprüfung erfolgt manuell nach Identität, Zuständigkeit, Zweck, Rechtsgründen und betroffenen Assets/Sicherungen. Sperrung/Soft-Delete ist keine vollständige Löschung; Wiederherstellung muss frühere Löschungen/Sperren abgleichen.

11. Rechte und Kontakt

Nach gesetzlichen Voraussetzungen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit; Widerspruch bei berechtigten Interessen aus besonderer Situation; Einwilligungswiderruf für Zukunft. Beschwerde bei Aufsicht, insbesondere LDI NRW: https://www.ldi.nrw.de/kontakt. Anfragen info@stintcast.com mit bekanntem StintCast-/Team-/Kontobezug, keine Passwörter/MFA-Geheimnisse/Tokens. Betroffene im Stream dürfen auch ohne Konto anfragen; Teamzuständigkeit klären.

Notwendige Daten ermöglichen zugehörige Funktionen. Zielgruppe ab 16, kein technischer Altersnachweis. Bezahlte Verträge benötigen Geschäftsfähigkeit oder gültige Vertretung. Kein Profiling für automatisierte Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung.