Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Brombacher, Kretzschmar GbR
c/o COCENTER
Koppoldstr. 1
86551 Aichach
Vertreten durch: Phillip Kretzschmar und David Brombacher
E-Mail: business@cryptotuts.de

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Wir verarbeiten Ihre Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

2. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21) gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77). Wenden Sie sich für die Ausübung Ihrer Rechte an die oben genannte Adresse.

3. Hosting und Server-Logfiles

Diese Website wird bei Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet; die Auslieferung erfolgt vorrangig aus einem Rechenzentrum in der EU (Frankfurt). Beim Abruf werden automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browsertyp und Betriebssystem) in Server-Logfiles verarbeitet. Dies ist zur sicheren und stabilen Bereitstellung der Website technisch erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA siehe Abschnitt 14.

4. Cookies und Einwilligungsverwaltung

Wir setzen nur technisch notwendige Cookies ohne Einwilligung ein (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG). Dazu gehört die Speicherung Ihrer Cookie-Auswahl selbst sowie funktionale Personalisierungs-Merkmale (z. B. der zuletzt betrachtete Coin), die keine personenbezogenen Daten enthalten und ausschließlich der Darstellung dienen.

Alle nicht notwendigen Dienste (Statistik, Marketing) laden wir erst nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ihre Auswahl können Sie jederzeit ändern oder widerrufen:

5. Cookielose Reichweitenmessung (ohne Einwilligung)

Wir setzen Vercel Web Analytics und Vercel Speed Insights (Vercel Inc., USA) ein, um Seitenaufrufe und Ladezeiten (Core Web Vitals) zu messen. Diese Dienste speichern keine Informationen auf Ihrem Endgerät und lesen keine aus; es werden keine Cookies gesetzt und kein geräteübergreifendes Profil gebildet. § 25 TDDDG ist damit nicht einschlägig. Die Verarbeitung stützen wir auf unser berechtigtes Interesse an einem stabilen, schnellen und bedarfsgerechten Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; nutzen Sie dafür die Kontaktdaten in Abschnitt 1.

6. Erweiterte Reichweitenanalyse (nur mit Einwilligung „Statistik“)

Erteilen Sie die Einwilligung „Statistik“, verarbeiten wir zusätzlich pseudonyme Nutzungsdaten, um die Website zu verbessern (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG):

• PostHog (PostHog Inc., USA), betrieben über die EU-Infrastruktur (eu.posthog.com, Server in Frankfurt). Erfasst werden Seitenaufrufe und Interaktionen. Die Speicherung erfolgt sitzungsbezogen im Arbeitsspeicher des Browsers (keine dauerhaften Cookies), es findet keine Sitzungsaufzeichnung statt. Ein Zugriff des Anbieters aus den USA ist nur im Rahmen von Support und Betrieb möglich (siehe Abschnitt 14).
• Google Analytics 4 (Google Ireland Ltd.), Messung des Nutzerverhaltens. Es kann eine Übermittlung an Google LLC in den USA erfolgen (siehe Abschnitt 14).

7. Affiliate- und Klick-Tracking (nur mit Einwilligung „Marketing“)

Erteilen Sie die Einwilligung „Marketing“, erfassen wir, welche Partner-Links (Affiliate-Links) angeklickt werden, um die Reichweite unserer Empfehlungen zu messen (Art. 6 Abs. 1 lit. a DSGVO). Klicken Sie auf einen Affiliate-Link, werden Sie zum jeweiligen Anbieter weitergeleitet; ab diesem Zeitpunkt gilt dessen Datenschutzerklärung.

8. Newsletter „XRP-Brief“ (Double-Opt-in)

Für den Newsletter verarbeiten wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten zunächst eine Bestätigungs-E-Mail; erst nach Ihrem Klick auf den Bestätigungslink werden Sie in den Verteiler aufgenommen. Zur Dokumentation der Einwilligung speichern wir E-Mail-Adresse, Zeitpunkt und IP-Adresse der An- und Bestätigung sowie technische Tokens für Bestätigung und Abmeldung.

• Speicherung der Verteilerdaten: Supabase (Supabase Inc., USA), Postgres-Datenbank, gehostet in der EU-Region Irland (AWS eu-west-1). Ein Zugriff des Anbieters aus den USA ist nur im Rahmen von Support und Betrieb möglich (siehe Abschnitt 14).
• Versand der E-Mails: Resend (Resend Inc., USA); ersatzweise ein eigener SMTP-Zugang. Es werden keine Fremd-Branding oder Tracking-Pixel Dritter eingebunden.

Sie können den Newsletter jederzeit über den Abmeldelink am Ende jeder E-Mail abbestellen. Damit widerrufen Sie Ihre Einwilligung mit Wirkung für die Zukunft.

9. Kontaktaufnahme und Kontaktformular

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben (E-Mail-Adresse, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. lit. f (berechtigtes Interesse an der Beantwortung).

Über das Kontaktformular unter cryptotuts.de/kontakt verarbeiten wir Name, E-Mail-Adresse, das gewählte Anfragethema, optional den Namen Ihres Unternehmens oder Mediums sowie Ihre Nachricht. Die Angaben werden über unseren E-Mail-Dienstleister (Abschnitt 8) an unser Postfach zugestellt und dort so lange aufbewahrt, wie die Bearbeitung der Anfrage es erfordert, darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen. Eine Speicherung in einer Datenbank findet nicht statt. Zur Abwehr automatisierter Eingaben enthält das Formular ein für Menschen unsichtbares Prüffeld und unterliegt der Ratenbegrenzung aus Abschnitt 13; beides speichert keine Inhalte Ihrer Anfrage. Eine zusätzliche Newsletter-Anmeldung erfolgt nur über das separate Kästchen und anschließend im Double-Opt-in-Verfahren.

10. XRP-Tools (Wallet-Check, Rechner) und Website-Suche

Unsere XRP-Tools werten öffentliche Blockchain-Daten aus. Geben Sie eine öffentliche XRP-Adresse ein (z. B. für den Steuerfrei-Check), wird diese über unseren Server an öffentliche XRP-Ledger-Knoten (u. a. Ripple, xrplcluster) übermittelt, um die frei einsehbaren Ledger-Daten dieser Adresse abzufragen. Es handelt sich um eine reine Lese-Abfrage; das Ergebnis wird serverseitig höchstens 60 Sekunden zwischengespeichert. Nur wenn Sie „Adresse auf diesem Gerät speichern“ aktivieren, wird die Adresse zusätzlich lokal in Ihrem Browser gespeichert und kann dort jederzeit wieder gelöscht werden. Für Kurs- und Marktdaten rufen wir serverseitig Quellen wie Kraken, SoSoValue und CoinGecko ab; dabei werden keine personenbezogenen Daten von Ihnen übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b/f DSGVO (Bereitstellung des von Ihnen aufgerufenen Tools).

Aktivieren Sie den Steuerfrei-Radar, speichern wir E-Mail-Adresse, XRP-Adresse, Erinnerungsdatum und die angegebene XRP-Menge, um die einmalige Erinnerungs-E-Mail zu versenden. Erfolgreich versandte Erinnerungen werden nach 30 Tagen gelöscht. Ein Newsletter-Abonnement erfolgt nur über die separate, optionale Auswahl und anschließend im Double-Opt-in-Verfahren.

Nutzen Sie die Website-Suche, wird Ihr Suchbegriff serverseitig an Cloudflare (Cloudflare Inc., USA) übermittelt, um ihn für die inhaltliche Suche in eine maschinelle Vektordarstellung zu übersetzen (Workers AI). Übermittelt wird ausschließlich der Suchbegriff, keine Kennung Ihres Geräts oder Ihrer Sitzung; wir speichern Suchbegriffe nicht dauerhaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b/f DSGVO (Bereitstellung der von Ihnen aufgerufenen Suchfunktion). Zur Übermittlung in die USA siehe Abschnitt 14.

11. Eingebettete Videos (YouTube)

Videos binden wir im erweiterten Datenschutzmodus über youtube-nocookie.com ein und laden sie erst nach Ihrem Klick. Erst beim Abspielen wird eine Verbindung zu Google Ireland Ltd. bzw. YouTube hergestellt und es können Daten (u. a. IP-Adresse) an Google in die USA übermittelt werden. Rechtsgrundlage ist Ihre durch den Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

12. Mitgliederbereich (/mitglieder)

Der CryptoTuts Mitgliederbereich unter /mitglieder stellt zusätzliche Inhalte für Mitglieder unseres YouTube-Kanals bereit. Zweck der Verarbeitung ist die Anmeldung, der Nachweis, dass ein angegebener YouTube-Kanal Ihnen gehört, die Prüfung einer laufenden Mitgliedschaft auf diesem Kanal und die Freigabe der passenden Inhalte. Die Mitgliedschaft selbst buchen und bezahlen Sie ausschließlich bei YouTube. Wir wickeln keine Zahlung ab, speichern keine Zahlungsdaten und beenden keine YouTube-Mitgliedschaft. Der Bereich ist von der Indexierung ausgenommen und wird nicht zwischengespeichert.

Rechtsgrundlage für Anmeldung, Prüfung und Auslieferung der Inhalte ist Art. 6 Abs. 1 lit. b DSGVO, weil die Verarbeitung zur Bereitstellung des von Ihnen aufgerufenen Bereichs erforderlich ist. Die Verknüpfung Ihres YouTube-Kanals und die Namensnennung im Wochenrückblick sind freiwillig und beruhen auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Protokolleinträge und der Löschvermerk beruhen auf unserem berechtigten Interesse an Nachvollziehbarkeit und Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO).

Wir verarbeiten in diesem Bereich:

• E-Mail-Adresse und Konto-Kennung aus Ihrem Google-Konto, für die Anmeldung. Der Anmeldedienst erhält außerdem Ihren Google-Anzeigenamen und die Adresse Ihres Google-Profilbilds. Diese Angaben stehen Ihnen zur freiwilligen Übernahme in Ihr Mitgliederprofil zur Verfügung; wir übernehmen sie nicht automatisch in das für andere Mitglieder sichtbare Profil.
• YouTube-Kanal-ID und Kanalname, sobald Sie Ihren Kanal verknüpfen.
• Mitgliedschaftsstufe, Prüfzustand und Zeitpunkt der letzten Prüfung.
• Zugriffs- und Erneuerungstokens für die freiwillige YouTube-Kanalverknüpfung. Diese Zugangsdaten speichern wir serverseitig verschlüsselt; die Schutzmaßnahmen sind unten beschrieben.
• Die vom Kanalinhaber bestätigte Mitgliedschaft (Attestierung) mit Stufe, Zeitpunkt und Ablaufdatum. Diesen Weg nutzen wir, solange YouTube die Mitgliederliste nicht maschinell freigibt.
• Die Redaktion kann Ihre Stufe auch direkt an Ihrem Konto bestätigen, ohne verknüpften YouTube-Kanal. Dann speichern wir in der Tabelle member_account_memberships Ihre Konto-Kennung, die bestätigte Stufe und das Ablaufdatum; dieselbe Frist von 35 Tagen gilt auch hier.
• Steht Ihre Stufe fest, senden wir die Bestätigung einmalig an die E-Mail-Adresse, mit der Sie sich angemeldet haben; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, Werbung enthält diese Nachricht nicht.
• Prüfbelege einzelner Abgleiche sowie Protokolleinträge über Aktionen im Bereich (Audit-Ereignisse) ohne Tokens und ohne Mitgliederlisten.
• Lesezeichen, Lesemarken und den Zeitpunkt Ihres letzten Besuchs.
• Auf ausdrücklichen Wunsch einen frei gewählten Anzeigenamen für die Nennung im Wochenrückblick. Ihr Google-Name und Ihr Kanalname werden dafür nie übernommen.
• Freiwillige Profilangaben, die Sie unter /mitglieder/konto/profil selbst eintragen: Anzeigename, ein eindeutiges Kürzel, eine Kurzbeschreibung von höchstens 280 Zeichen und ein Profilbild. Alle vier Felder sind leer, solange Sie sie nicht ausfüllen; wir übernehmen weder Ihren Google-Namen noch Ihr Google-Profilbild automatisch in Ihr Profil.
• Ihren Namen bei YouTube: den Namen des Kanals, den Sie verknüpfen, oder einen Namen, den Sie früher unter /mitglieder/konto/profil selbst eingetragen haben (höchstens 60 Zeichen, mit dem Zeitpunkt der letzten Änderung). Ihre Stufe ordnen wir ausschließlich über die Kanal-ID des verknüpften Kanals zu, nie über diesen Namen. Er wird anderen Mitgliedern auch dann nicht gezeigt, wenn Sie Ihr Profil sichtbar schalten.
• Fragen, die Sie unter einem Beitrag oder einer These stellen, samt Zeitpunkt und Ihrer Konto-Kennung (Tabelle member_questions). Eine Frage ist für alle Mitglieder sichtbar, deren Stufe denselben Beitrag lesen darf. Angezeigt wird dabei Ihr selbst gewählter Anzeigename nur, wenn Sie Ihr Profil sichtbar geschaltet haben; sonst steht dort allein der erste Buchstabe. Zweck ist die redaktionelle Beantwortung Ihrer Frage (Art. 6 Abs. 1 lit. b DSGVO).
• Antworten der Redaktion auf diese Fragen (Tabelle member_answers). Sie erscheinen unter der Frage mit dem Kürzel „Phil“.
• Ihre Zustimmung oder Ablehnung zu einer These (Tabelle member_thesis_votes): Konto-Kennung, These und der Wert „zugestimmt“ oder „abgelehnt“. Anderen Mitgliedern zeigen wir daraus ausschließlich die zusammengefasste Verteilung in Prozent, und zwar erst ab drei Stimmen. Wer wie gestimmt hat, ist für andere Mitglieder zu keinem Zeitpunkt sichtbar.
• Ihre privaten Notizen zu einzelnen Beiträgen und Thesen sowie Ihre freien Notizen ohne Bezug zu einem Beitrag (Tabelle member_notes), höchstens 4.000 Zeichen je Notiz und 120 Zeichen je Titel. Diese Notizen sind allein für Sie bestimmt; es gibt in unserer Redaktionsoberfläche keine Ansicht, die fremde Notizen anzeigt. Sie können jede Notiz einzeln oder alle zusammen als Markdown-Datei herunterladen.
• Meldungen, mit denen Sie eine Frage beanstanden (Tabelle member_reports): Konto-Kennung, die gemeldete Frage, ein freiwilliger Grund und der Zeitpunkt. Rechtsgrundlage ist unser berechtigtes Interesse an einem moderierten Bereich (Art. 6 Abs. 1 lit. f DSGVO).
• Ein hochgeladenes Profilbild rechnen wir auf 256 × 256 Bildpunkte herunter und speichern es neu im Format WebP. Die hochgeladene Datei selbst speichern wir nicht, und alle Zusatzdaten der Vorlage (etwa Aufnahmeort, Aufnahmezeit und Kameramodell) fallen dabei weg. Das Bild liegt in einem nicht öffentlichen Dateispeicher bei Supabase in der EU-Region Irland und ist nur über eine Adresse unseres Servers abrufbar, die vorher prüft, wer fragt. Einen öffentlichen Link auf das Bild gibt es nicht.

Ihre Profilangaben und Ihr Profilbild sehen ausschließlich Sie selbst und die Redaktion. Erst wenn Sie den Schalter „Profil für andere Mitglieder sichtbar“ einschalten, werden Anzeigename, Kürzel, Kurzbeschreibung und Bild anderen angemeldeten Mitgliedern gezeigt. Der Schalter ist ab Werk ausgeschaltet, Rechtsgrundlage der Sichtbarkeit ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), und Sie können ihn jederzeit mit Wirkung für die Zukunft wieder ausschalten.

Für den Zugriff auf Google fragen wir getrennte Berechtigungen ab:

• Anmeldung: openid, email, profile. Kein Zugriff auf YouTube-Daten.
• Kanalverknüpfung (freiwillig, eigener Schritt): youtube.readonly. Damit rufen wir die Liste Ihrer eigenen YouTube-Kanäle ab und lassen Sie einen zur Verknüpfung auswählen.
• Kanalinhaber (nur unser eigenes Konto, nicht Ihres): youtube.channel-memberships.creator und youtube.readonly, um Mitgliedschaften und Videos des eigenen Kanals abzurufen.

12.1 Welche Google-Nutzerdaten wir abrufen und wofür wir sie verwenden

• Google-Anmeldung: Mit openid, email und profile erhalten wir Ihre Google-Konto-Kennung, E-Mail-Adresse, Ihren Anzeigenamen und die Adresse Ihres Profilbilds. Konto-Kennung und E-Mail-Adresse verwenden wir, um Sie anzumelden, Ihr Mitgliederkonto zuzuordnen und Ihnen gegebenenfalls die einmalige Bestätigung Ihrer Mitgliedschaftsstufe zu senden. Anzeigename und Bildadresse bieten wir Ihnen nur zur freiwilligen Übernahme in Ihr Profil an.
• Freiwillige YouTube-Kanalverknüpfung: Mit youtube.readonly rufen wir über die YouTube Data API die IDs, Namen und Vorschaubilder der YouTube-Kanäle ab, die zum von Ihnen freigegebenen Google-Konto gehören. Wir zeigen Ihnen diese Kanäle zur Auswahl und prüfen damit, dass der ausgewählte Kanal Ihnen gehört. Aus dieser Kanalliste speichern wir dauerhaft nur die ID und den Namen des ausgewählten Kanals. Die für die Verbindung erforderlichen OAuth-Tokens speichern wir verschlüsselt. Die Kanal-ID verwenden wir zur Zuordnung und Prüfung Ihrer Mitgliedschaft; die anderen Kanäle übernehmen wir nicht in Ihr Mitgliederkonto.
• Mitgliedschaftsdaten unseres eigenen Kanals: Das getrennt autorisierte Kanalinhaberkonto erlaubt uns mit youtube.channel-memberships.creator, die IDs der aktuellen Mitgliederkanäle und ihre YouTube-Mitgliedschaftsstufen abzurufen. Diese Angaben gleichen wir mit freiwillig verknüpften Mitgliederkonten ab, um die passende Inhaltsstufe freizugeben. Solange Google diese API-Abfrage für unser Projekt nicht freigibt, erhalten wir die Mitgliederliste auf dem unten beschriebenen Weg über IFTTT.
• Mitgliederliste über IFTTT: YouTube bietet für Kanalmitgliedschaften den Dienst IFTTT (IFTTT Inc., USA) als Integration an. Wir haben IFTTT mit unserem Kanalinhaberkonto verbunden. Stündlich sowie unmittelbar nachdem Sie Ihren Kanal verknüpfen, ruft IFTTT die Liste der aktuellen Mitglieder unseres Kanals bei YouTube ab und übermittelt sie an unseren Server: je Mitglied Kanal-ID, Kanalname, Mitgliedschaftsstufe und Dauer der Mitgliedschaft. Wir speichern jeweils nur die zuletzt erhaltene Liste und gleichen sie ausschließlich mit Kanälen ab, die Mitglieder selbst mit ihrem Konto verknüpft haben. Steht ein verknüpfter Kanal drei Tage lang nicht mehr in der Liste, endet die Freigabe. An IFTTT übermitteln wir keine Daten aus Ihrem Mitgliederkonto, insbesondere keine Google-Nutzerdaten Ihrer Kanalverknüpfung; unser Server sendet IFTTT allein das Signal, die Liste jetzt abzurufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Inhalte, für die Sie bei YouTube bezahlen). Zur Übermittlung in die USA siehe Abschnitt 14.
• Videos unseres eigenen Kanals: Über die gesonderte Kanalinhaber-Verbindung mit youtube.readonly rufen wir Video-ID, Titel, Beschreibung, Veröffentlichungszeit, Laufzeit, Sichtbarkeitsstatus und Vorschaubild unserer neuesten Kanal-Uploads ab. Wir verwenden diese Angaben in der Redaktionsoberfläche, um eigene Videos den Inhalten des Mitgliederbereichs zuzuordnen.

12.2 Empfänger und Weitergabe von Google-Nutzerdaten

Die von Google erhaltenen Anmeldedaten und die Daten Ihres verknüpften YouTube-Kanals verarbeiten wir ausschließlich für die Anmeldung, den Nachweis der Kanalinhaberschaft, die Zuordnung Ihrer Mitgliedschaft und die Bereitstellung des Mitgliederbereichs. Dabei erhalten folgende Empfänger die jeweils für ihre Aufgabe erforderlichen Daten:

• Google Ireland Ltd. bzw. Google LLC: Google führt die Anmeldung und Ihre Zustimmung zur Kanalverknüpfung durch. Zur Abfrage der eigenen Kanäle und zum Erneuern oder Widerrufen der Verbindung übermittelt unser Server die erforderlichen OAuth-Zugangsdaten an Google. Die Kanalabfrage erfolgt über die YouTube Data API v3.
• Supabase Inc.: Unser Anmeldedienst und unsere Datenbank verarbeiten Ihre Google-Konto-Kennung, E-Mail-Adresse, Ihren Google-Anzeigenamen und die Adresse Ihres Google-Profilbilds sowie, nach Ihrer freiwilligen Verknüpfung, die ausgewählte YouTube-Kanal-ID, den Kanalnamen und die verschlüsselten YouTube-OAuth-Tokens. Datenbank und privater Dateispeicher liegen in der EU-Region Irland (AWS eu-west-1).
• Vercel Inc.: Unser Hosting-Anbieter verarbeitet die Anmelde- und Kanaldaten bei der serverseitigen Ausführung des Mitgliederbereichs, einschließlich der Kommunikation mit Google und unserer Datenbank. Die serverseitige Verarbeitung erfolgt vorrangig in Frankfurt.
• Resend Inc., ersatzweise Google LLC über Gmail-SMTP: Für die einmalige Bestätigung Ihrer Mitgliedschaftsstufe übermitteln wir Ihre Anmelde-E-Mail-Adresse und den Inhalt dieser Bestätigung an unseren E-Mail-Versanddienst. YouTube-OAuth-Tokens werden dabei nicht übermittelt.
• Berechtigte Mitglieder unserer Redaktion: Sie können die für die Zuordnung und Betreuung Ihrer Mitgliedschaft erforderlichen Konto- und Kanaldaten einsehen. Andere Mitglieder erhalten weder Ihre Google-E-Mail-Adresse noch Ihre Google-Konto-Kennung oder YouTube-OAuth-Tokens. Für die Anzeige Ihres freiwilligen Profils gelten die oben beschriebenen Sichtbarkeitseinstellungen.

Wir verkaufen Google-Nutzerdaten nicht und geben sie nicht für Werbung, Datenhandel oder das Training allgemeiner KI-Modelle weiter. Die Verwendung von Informationen aus Google APIs richtet sich nach der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Zu möglichen Datenübermittlungen in die USA und den dafür vorgesehenen Garantien siehe Abschnitt 14.

12.3 Schutz von Google-Nutzerdaten und sensiblen Zugangsdaten

Wir schützen die Google-Anmeldedaten, die Daten Ihres verknüpften YouTube-Kanals und die sensiblen OAuth-Zugangsdaten durch folgende technische Maßnahmen:

• Verschlüsselte Übertragung: Die öffentliche Website sowie die Verbindungen unseres Servers zu Google, Supabase und dem Resend-Versanddienst verwenden HTTPS/TLS.
• Verschlüsselte YouTube-Tokens: Zugriffs- und Erneuerungstokens der YouTube-Kanalverknüpfung werden vor der Speicherung serverseitig mit AES-256-GCM verschlüsselt. Der Verschlüsselungsschlüssel liegt getrennt von den gespeicherten Tokens in der Server-Umgebung.
• Beschränkter Zugriff: Die Mitgliedertabellen sind nicht direkt aus dem Browser zugänglich. Unser Server prüft die Anmeldung und die Berechtigung für den jeweiligen Zugriff; Verwaltungsfunktionen sind auf berechtigte Redaktionskonten beschränkt. Die YouTube-OAuth-Tokens werden nicht an Ihren Browser oder an andere Mitglieder ausgeliefert.
• Geschützte Verknüpfung: Beim Verbinden Ihres YouTube-Kanals prüfen wir einen zufälligen Zustandswert und verwenden PKCE mit SHA-256, damit die Google-Antwort dem gestarteten Verknüpfungsvorgang zugeordnet wird.
• Schutz in Protokollen: Filter entfernen OAuth-Tokens und andere Zugangsdaten aus unseren Anwendungs- und Audit-Protokollen. Rohe Mitgliederlisten werden nicht in Audit-Protokolle übernommen.
• Widerruf und Löschung: Sie können die YouTube-Verbindung und Ihr Konto im Mitgliederbereich beenden. Dabei werden die unten beschriebenen Widerrufs- und Löschschritte ausgeführt; die nachfolgenden Speicherfristen begrenzen die Aufbewahrung der übrigen Daten.

Für die Speicherdauer gelten folgende Fristen:

• Antworten der YouTube-Schnittstelle speichern wir nicht. Sie bleiben nur während eines Abgleichs im Arbeitsspeicher.
• Prüfbelege: 7 Tage, danach automatische Löschung.
• Angefangene Kanalverknüpfungen: 10 Minuten bis zur Verwendung, danach 60 Minuten für Rückfragen im Support.
• Eine bestätigte Mitgliedschaft gilt 35 Tage und muss danach erneut bestätigt werden.
• Manuelle Ausnahmen im Support: höchstens 24 Stunden.
• Konto, Kanalverknüpfung, Lesezeichen, Nennungswunsch und Tokens: solange Ihr Konto besteht.
• Profilangaben und Profilbild: solange Ihr Konto besteht. Ein ersetztes Profilbild löschen wir sofort, ein entferntes ebenso.
• Notizen und Stimmen: solange Ihr Konto besteht. Beide löschen wir bei der Kontolöschung vollständig mit.
• Fragen, Antworten und Meldungen: unbefristet, solange der zugehörige Beitrag besteht. Bei der Kontolöschung entfernen wir Ihre Konto-Kennung aus Ihren Fragen und Meldungen; der Text der Frage bleibt zusammen mit der Antwort stehen, bis die Redaktion ihn löscht. Wenn Sie die Löschung einer bestimmten Frage wünschen, genügt eine Nachricht über die Kontaktseite mit Ihrer Referenz-ID.
• Löschvermerk: unbefristet, ausschließlich als Hashwert (SHA-256) der Kanal-ID ohne Klartext.
• Protokolleinträge: unbefristet.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Im Bereich unter /mitglieder/konto beenden Sie die Google-Verbindung. Das Token wird zuerst bei Google widerrufen, danach bei uns gelöscht und die Kanalverknüpfung aufgehoben. Ebenfalls dort löschen Sie Ihr Konto samt Profil, Profilbild, Kanalverknüpfung, Mitgliedschaftszustand, Prüfbelegen, Lesezeichen, Notizen, Stimmen und Nennungswunsch. Vom gelöschten Konto bleibt allein der Löschvermerk als Hashwert der Kanal-ID, damit eine zurückgespielte Sicherung das Konto nicht erneut anlegt. Unabhängig davon können Sie den Zugriff jederzeit in Ihrem Google-Konto unter myaccount.google.com/permissions entfernen. Ihre YouTube-Mitgliedschaft und Ihre Zahlung bleiben in allen drei Fällen bestehen. Gekündigt wird ausschließlich bei YouTube.

Ihre Rechte aus Abschnitt 2 gelten unverändert. Für eine Anfrage genügt die Referenz-ID, die der Mitgliederbereich anzeigt. Sie müssen dafür weder Ihre E-Mail-Adresse noch Ihre Kanal-ID nennen.

13. Schutz vor Missbrauch

Zur Abwehr von Missbrauch und Überlastung (z. B. bei Formularen und Tool-Abfragen) setzen wir eine Ratenbegrenzung ein, die kurzzeitig einen technischen Zähler pro IP-Adresse führt (Dienstleister: Upstash, Inc.). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit).

14. Datenübermittlung in Drittländer

Einige der genannten Dienste haben ihren Sitz in den USA oder können Daten dort verarbeiten: Vercel, Resend, Google, Upstash, Cloudflare und IFTTT sowie Supabase und PostHog. Bei Supabase und PostHog liegen die Daten auf Servern in der EU; ein Zugriff aus den USA ist nur im Rahmen von Support und Betrieb des jeweiligen Anbieters möglich. Soweit in den USA verarbeitet wird, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss im Rahmen des EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) und/oder auf Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben. Newsletter-Daten speichern wir bis zu Ihrer Abmeldung; Server-Logfiles werden regelmäßig gelöscht.

16. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird bei Bedarf aktualisiert, um sie an geänderte Rechtslagen oder Änderungen unseres Angebots anzupassen. Die jeweils aktuelle Version ist stets auf dieser Seite abrufbar.