Eto aṣiri
EPTEC
Betreiberin der Marke ETOBS
Datenschutzerklärung
Stand: 14.10.2026 · Version 1.9 · Gemäß Art. 13, 14 DSGVO
§ 1 Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
EPTEC
Betreiberin der Marke ETOBS
Luisenstraße 4, 32052 Herford
E-Mail: info@etobsprofessional.com
info@etobscreative.com
info@etobsafrican.com
Für Datenschutzanfragen ist ausschließlich die oben genannte Adresse maßgeblich. EPTEC ist nicht verpflichtet, eine/n Datenschutzbeauftragte/n zu benennen (§ 38 BDSG); eine entsprechende Person ist nicht bestellt.
§ 2 Grundsätze der Datenverarbeitung
EPTEC verarbeitet personenbezogene Daten ausschließlich auf Grundlage einer der folgenden Rechtsgrundlagen der DSGVO:
– Art. 6 Abs. 1 lit. a — Einwilligung der betroffenen Person
– Art. 6 Abs. 1 lit. b — Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen
– Art. 6 Abs. 1 lit. c — Erfüllung einer rechtlichen Verpflichtung
– Art. 6 Abs. 1 lit. f — Wahrung berechtigter Interessen, sofern nicht Interessen oder Grundrechte der betroffenen Person überwiegen
Jede Verarbeitungstätigkeit in dieser Erklärung ist der jeweils zutreffenden Rechtsgrundlage zugeordnet. Soweit Verarbeitung auf berechtigten Interessen beruht, wurden diese gegen die Interessen der betroffenen Personen abgewogen.
§ 3 Server-Logdaten
Beim Aufruf der Plattform werden automatisch technische Verbindungsdaten erfasst: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge sowie Browser- und Geräteinformationen.
Diese Daten werden ausschließlich zur Gewährleistung der Systemsicherheit, zur Fehleranalyse und zur Abwehr missbräuchlicher Zugriffe verwendet. Für die allgemeinen, kurzfristig gespeicherten Verbindungsdaten (Löschung nach spätestens 30 Tagen) findet keine Zuordnung zu Nutzerkonten statt. Abweichend davon werden sicherheitsrelevante Ereignisdaten (z. B. verdächtige Zugriffsmuster, Login-Versuche, Moderationsauslöser) für bis zu drei Jahre gespeichert und — soweit zum Zeitpunkt des Ereignisses ein Nutzerkonto zugeordnet werden kann — mit Nutzer-ID und Benutzername verknüpft, soweit dies zur Erkennung, Nachverfolgung und Abwehr sicherheitsrelevanter Vorfälle erforderlich ist; diese Ereignisse erscheinen in diesem Fall auch in der Akte des betroffenen Nutzers (§ 8j).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit und Stabilität der Plattform.
§ 3a Reichweitenmessung (Traffic-Analyse)
(1) Zusätzlich zu den technischen Verbindungsdaten nach § 3 erfasst die Plattform bei jedem Seitenaufruf statistische Nutzungsdaten zur Reichweitenmessung: aufgerufene Seite, Herkunftsseite (Referrer, sofern vom Browser übermittelt), Land/Region/Kontinent (IP-basiert ermittelt, vgl. § 3), im Browser eingestellte Sprache (Accept-Language-Header), Gerätetyp und Browserfamilie, Verweildauer auf der Seite sowie eine pseudonyme Sitzungskennung.
(2) Die Sitzungskennung wird ausschließlich im sitzungsgebundenen Speicher des Browsers (sessionStorage) abgelegt, nicht in einem Cookie. Sie wird beim Schließen des Browser-Tabs automatisch gelöscht und ermöglicht keine Wiedererkennung des Nutzers in einer späteren Sitzung oder auf anderen Websites. Es werden keine Cookies zu Analyse-, Werbe- oder Trackingzwecken gesetzt (vgl. § 6).
(3) Diese Daten dienen der statistischen Auswertung der Plattformnutzung (z. B. Besucherzahlen, beliebte Inhalte, Herkunft der Besucher) zur Weiterentwicklung und wirtschaftlichen Steuerung der Plattform. Master- und Administratorkonten haben Zugriff auf eine aggregierte Auswertung dieser Daten, exportierbar als CSV-Datei.
(4) Auf der Startseite wird zusätzlich die ungefähre Anzahl aktuell eingeloggter, aktiver Nutzer angezeigt, aufgeschlüsselt nach Land, Region (IP-basiert ermittelt, vgl. § 3) und Browsersprache — jeweils als aggregierte Sitzungs-Zählung je Kategorie (z. B. "Deutschland: 5, davon Bayern: 3"). Es werden zu keinem Zeitpunkt Benutzername, Kontoname, Profil oder sonstige individualisierende Merkmale einzelner Nutzer auf der Startseite angezeigt — die Darstellung bleibt auch mit dieser feineren Aufschlüsselung eine Aggregatstatistik, keine Einzelpersonen-Anzeige.
(5) Eine Zuordnung zu einzelnen Nutzerkonten erfolgt nur, sofern der Besucher zum Zeitpunkt des Seitenaufrufs eingeloggt ist; für nicht eingeloggte Besucher bleiben die Daten pseudonym.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der statistischen Auswertung und Weiterentwicklung des Angebots. Da keine Cookies oder vergleichbaren Technologien im Sinne von § 25 TDDDG eingesetzt werden, ist keine Einwilligung erforderlich.
§ 4 Registrierung und Nutzerkonto
(1) Erhobene Daten
Die Registrierung erfolgt entweder über OAuth-Authentifizierung (u. a. Google, Microsoft, Apple, Facebook, TikTok, Snapchat, Discord, LinkedIn, X/Twitter, GitHub, Line, Telegram) oder direkt mit selbst gewähltem Benutzernamen, E-Mail-Adresse und Passwort. EPTEC erhebt und speichert dabei:
– Öffentliche Profilkennung und Anzeigename des OAuth-Anbieters (bei OAuth-Registrierung)
– Benutzername (bei Registrierung mit Benutzername und Passwort)
– E-Mail-Adresse (sofern vom OAuth-Anbieter übermittelt, bzw. bei direkter Registrierung als Pflichtfeld)
– Profilbild (manuell hochgeladene Datei oder URL)
– Profiltyp (Nutzer / Business Owner)
– Bis zu acht selbst eingetragene Profil-Links (gemäß AGB § 9 Abs. 3)
– Freiwillig eingetragene Profilbeschreibung (Bio) sowie sonstige selbst eingetragene Freitextangaben (z. B. Profilinformationen, Interessenangaben)
– Orbit-Nummer (technisch generierte Kontokennung, vgl. § 4a)
– Ergebnis der Altersverifikation (verifiziert/nicht verifiziert), soweit durchgeführt
– Ergebnis der regionalen Verifikation für den African Orbit (verifiziert/nicht verifiziert), soweit durchgeführt
Bei Registrierung mit Benutzername und Passwort wird das Passwort ausschließlich in Form eines nicht umkehrbaren, kryptographischen Hash-Wertes mit individuellem Zufalls-Salt gespeichert (vgl. § 11). EPTEC selbst hat zu keinem Zeitpunkt Kenntnis vom Klartext-Passwort. Das Nutzerkonto wird unmittelbar nach der Registrierung freigeschaltet. Die angegebene E-Mail-Adresse wird dabei nicht auf tatsächliche Inhaberschaft überprüft; sie wird jedoch gemeinsam mit Benutzername, IP-Adresse und Zeitstempel gespeichert (vgl. § 4 Abs. 1, Registrierungsnachweise), um im Streit- oder Missbrauchsfall eine Zuordnung zu ermöglichen. Der Nutzer ist verantwortlich für die Richtigkeit und dauerhafte Erreichbarkeit der angegebenen E-Mail-Adresse; EPTEC übernimmt keine Haftung für Folgen einer fehlerhaften, fremden oder nicht mehr zugänglichen E-Mail-Adresse, insbesondere für eine dadurch erschwerte oder unmögliche Kontowiederherstellung (vgl. § 4h).
(2) Zweck
Die Daten werden zur Erstellung und Verwaltung des Nutzerkontos, zur Bereitstellung der vertraglich vereinbarten Plattformfunktionen sowie zur Kommunikation mit dem Nutzer verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages. Für die regionale Verifikation im African Orbit zusätzlich Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Altersschutzpflichten.
§ 4a VIP-Codes und raumbasierte Zugangsdaten
Für den Zugang zu geschlossenen Bereichen der Plattform können VIP-Codes oder raumbasierte Zugangskennungen vergeben werden. Die Orbit-Nummer ist eine plattformintern generierte, technische Kontokennung, die ausschließlich zur Verwaltung von Zugriffsberechtigungen und raumspezifischen Zuordnungen verwendet wird. Sie wird nicht an Dritte weitergegeben und enthält keine personenbezogenen Informationen der betroffenen Person.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Zugangsverwaltung zu gebuchten Leistungen).
§ 4b Administratorkonto
Für Konten mit Administratorrechten werden neben den unter § 4 genannten Daten die jeweils zugewiesenen Verwaltungsrollen und Berechtigungsstufen gespeichert. Dazu gehören die freigeschalteten Zuständigkeitsbereiche (Geschäftsführung, Personal, Buchhaltung, Betriebsrat, Datenschutz, Jugendschutz, Hinweisgeber, Arbeitssicherheit, Beirat, Kundendienst, Ingenieurwesen, PR & Social Media), die Marken, für die eine Freischaltung gilt, sowie wer einen Bereich wann freigeschaltet oder entzogen hat. Ein Administratorkonto hat zunächst keinen Bereich. Administratoren mit dem Bereich Geschäftsführung haben Zugriff auf alle übrigen Bereiche mit Ausnahme des Bereichs Hinweisgeber (§ 22ac) und können anderen Administratoren die Bereiche Personal, Buchhaltung, Datenschutz, Jugendschutz, Arbeitssicherheit, Kundendienst, Ingenieurwesen sowie PR & Social Media zuordnen oder entziehen; die Bereiche Geschäftsführung, Beirat, Betriebsrat und Hinweisgeber vergibt ausschließlich der Master. Diese Daten sind ausschließlich für den technischen Betrieb und die Sicherheit der Plattform erforderlich.
Zugriffsprotokoll: Jeder Zugriff eines Administrators über einen Zuständigkeitsbereich wird mit Zeitpunkt, Bereich, aufgerufener Funktion und Art des Zugriffs (lesen oder schreiben) in der Akte des Administrators und in der Akte des Master-Kontos vermerkt — bei Zugriff über die Geschäftsführung mit diesem Hinweis —, ebenso jede Freischaltung und jeder Entzug (bei Zuordnung durch die Geschäftsführung auch in deren Akte); ein verweigerter Zugriff wird in der Akte des Administrators vermerkt. Über jede Freischaltung wird eine Urkunde erzeugt, deren Prüfsumme (SHA-256) in beiden Akten gespeichert wird. Die Einträge werden wie die Akte gespeichert (§ 8j, § 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Plattformbetrieb); ergänzend Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Integrität und Sicherheit der Plattform und an der Nachweisbarkeit von Datenzugriffen; Art. 6 Abs. 1 lit. c i. V. m. Art. 32 DSGVO (Zugriffskontrolle).
§ 4c Orbit-gebundene Aktivierungskennungen
Für kostenpflichtige Orbit-Aktivierungen (Professional Orbit, Creative Orbit, African Orbit) wird je Buchung eine technische Zugangskennung erzeugt. Diese Kennung verknüpft die Buchung mit dem Nutzerkonto und dem jeweiligen Orbit-Zugang. Gespeichert werden: Kennung, Buchungsdatum, gebuchter Orbit, Zahlungsstatus sowie die zugehörige Konto-ID.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Freischaltung gebuchter Leistungen, Nachweispflicht gegenüber dem Nutzer).
§ 4d Direktnachrichten und automatische Übersetzung
Die Plattform bietet eine Direktnachrichtenfunktion. Gemäß AGB § 19a Abs. 2 wird der originale Nachrichtentext gespeichert. Sofern die automatische Übersetzungsfunktion aktiviert ist, wird der Originaltext an einen integrierten Übersetzungsdienst übermittelt; das übersetzte Ergebnis wird ebenfalls gespeichert.
Inhalt und Metadaten (Absender, Empfänger, Zeitstempel) von Direktnachrichten werden drei Jahre ab Versand gespeichert und danach automatisch gelöscht; Mitteilungen zu Beschwerden, Reklamationen und Widerrufen (§ 22s) werden zehn Jahre ab Versand gespeichert (§ 13); mit der Löschung des Kontos werden die Direktnachrichten gelöscht. Dies gilt, sofern der Nutzer die Nachrichten nicht zuvor löscht oder bearbeitet. Bearbeitete Nachrichten werden mit einem Bearbeitungsvermerk versehen; eine Bearbeitungshistorie wird nicht gespeichert. Nachrichten sind ausschließlich den beteiligten Nutzern zugänglich.
Die Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. EPTEC hat im Rahmen der Plattformverwaltung technischen Zugriff auf gespeicherte Nachrichten, soweit dies zur Moderation, Streitbeilegung oder Erfüllung gesetzlicher Pflichten erforderlich ist.
Sofern die automatische Übersetzungsfunktion aktiviert ist, wird der Nachrichtentext zur KI-gestützten Übersetzung an Cloudflare Workers AI (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) übermittelt, das bereits gemäß § 10 dieser Erklärung als Auftragsverarbeiter für den technischen Betrieb der Plattform eingesetzt wird. Der Text wird ausschließlich zur Erstellung der Übersetzung verarbeitet und nicht dauerhaft über den Verarbeitungsvorgang hinaus gespeichert.
Das plattforminterne Nachrichtensystem (Postfach/Inbox) dient dem allgemeinen Austausch zwischen Nutzern, Business Ownern und EPTEC. Unter anderem nutzt EPTEC es auch als Kanal für rechtlich relevante Mitteilungen (z. B. Bestellbestätigungen, Rechnungen, Verwarnungen, Preis- und Bedingungsänderungen sowie Zahlungserinnerungen); Für diese Mitteilungen gilt insoweit dieselbe Verarbeitung wie für sonstige Direktnachrichten gemäß diesem § 4d.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Kommunikationsfunktion).
§ 4e Business Owner-Verzeichnis und Interessengebiet
Business Owners können im Rahmen ihres Profils ein Interessengebiet (Fachbereich) angeben. Diese Angabe wird in der Plattformdatenbank gespeichert und ist im öffentlichen Business Owner-Verzeichnis der Plattform (Türklingel / Doorbell) für alle Besucher der Plattform sichtbar — auch ohne Anmeldung.
Das Business Owner-Verzeichnis zeigt: Anzeigename, Orbit-Nummer, Profiltyp sowie das angegebene Interessengebiet. Die Aufnahme in das Verzeichnis erfolgt mit Aktivierung des Business Owner-Kontos. Business Owners können ihr Interessengebiet jederzeit über die Profileinstellungen ändern oder entfernen.
Für statistische Auswertungen (z. B. Verteilung der Interessengebiete plattformweit) werden ausschließlich aggregierte, nicht personenbezogene Kennzahlen verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Business Owner-Vertrages (Auffindbarkeit auf der Plattform als Vertragsbestandteil des Business Owner-Accounts).
§ 4f Verfügbarkeitsstatus
Die Plattform speichert für Nutzer und Business Owners einen persistenten Verfügbarkeitsstatus (z. B. aktiv / eingeschränkt / nicht verfügbar). Dieser Status wird in der Plattformdatenbank gespeichert und kann für andere Nutzer sichtbar sein, sofern der jeweilige Nutzer ihn gesetzt hat.
Der Verfügbarkeitsstatus enthält keine weiteren personenbezogenen Angaben. Er kann vom Nutzer jederzeit in den Profileinstellungen geändert oder deaktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Verfügbarkeits- und Kommunikationsfunktionen).
§ 4g E-Mail-Weiterleitung von Inbox-Nachrichten
Nutzer können optional eine persönliche E-Mail-Adresse in den Profileinstellungen hinterlegen und die automatische Weiterleitung von Inbox-Nachrichten aktivieren. Diese E-Mail-Adresse wird ausschließlich für den Versand von Weiterleitungsnachrichten aus der plattforminternen Inbox verwendet.
Die E-Mail-Adresse wird in der Plattformdatenbank gespeichert und ist ausschließlich dem jeweiligen Nutzer zugänglich. Eine Weitergabe an Dritte findet nicht statt. Der Versand — wie auch jeder sonstige E-Mail-Versand der Plattform, insbesondere Passwort-Zurücksetzungs-Links, Vault-PIN-Codes, Zwei-Faktor-Codes und Rechnungs-PDF-Anhänge (vgl. §§ 4h, 4i, 8g) — erfolgt über den E-Mail-Versanddienst Resend, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Übermittlung an diesen in den USA ansässigen Anbieter stützt sich auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bzw., soweit anwendbar, auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Versandprotokolle (Empfängeradresse, Betreff, Volltext) werden für die Dauer der Nachvollziehbarkeit im Streitfall, längstens jedoch gemäß § 13 dieser Erklärung, gespeichert.
Die Hinterlegung der E-Mail-Adresse und die Aktivierung der Weiterleitung sind vollständig freiwillig. Nutzer können die E-Mail-Adresse jederzeit in den Profileinstellungen ändern oder löschen und die Weiterleitung deaktivieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Nutzers (freiwillige Aktivierung der Weiterleitungsfunktion).
§ 4h Passwort-Zurücksetzung
EPTEC stellt ein automatisiertes Zurücksetzen des Passworts per E-Mail-Link zur Verfügung: Auf Anfrage wird ein zeitlich begrenzt gültiger, einmalig verwendbarer Zurücksetzungs-Token generiert, gespeichert und an die im Konto hinterlegte E-Mail-Adresse versendet (vgl. § 4g). Der Token verfällt nach Ablauf der Gültigkeitsfrist automatisch. Zusätzlich können sich Nutzer bei Problemen über die im Impressum genannten Kontaktdaten an den Support wenden. Aus Sicherheitsgründen kann EPTEC vor oder nach einer Zurücksetzung geeignete weitere Maßnahmen zur Identitätsbestätigung verlangen. EPTEC ist nicht verpflichtet, den Zugang wiederherzustellen, wenn die Identität nicht hinreichend nachgewiesen werden kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Kontowiederherstellung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Kontosicherheit.
§ 4i Zwei-Faktor-Authentifizierung (2FA)
Nutzer können freiwillig eine oder mehrere kostenlose Zwei-Faktor-Authentifizierungsmethoden einrichten: Authenticator-App (verschlüsselt gespeicherter Secret-Key), Passkey (WebAuthn/FIDO2-Public-Key-Credential), E-Mail-Code (Versand an die hinterlegte E-Mail-Adresse) oder Telegram-Code (Versand an den verknüpften Telegram-Account). Die hierfür gespeicherten Daten (Secret-Key, Public-Key-Credential, Recovery-Codes ausschließlich als Hash) werden ausschließlich zur Authentifizierung des jeweiligen Nutzers verwendet und nicht an Dritte weitergegeben.
Einrichtung, Nutzung und Deaktivierung jeder Methode erfolgen eigenverantwortlich durch den Nutzer in seinem Profil; eine Deaktivierung erfordert keine gesonderte Bestätigung durch einen zweiten Faktor. EPTEC übernimmt keine Haftung für die Folgen einer nicht wahrgenommenen oder wieder deaktivierten Absicherung (vgl. AGB § 19 Abs. 5).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Nutzers (freiwillige Aktivierung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Kontosicherheit.
§ 4j Sichtbarkeit von Business-Owner-Profilen in Suchmaschinen
Business Owner können freiwillig einwilligen, dass ihr öffentliches Profil (Profilname, Profilbild, Beschreibung, Fachbereich und selbst veröffentlichte Beiträge) von Suchmaschinen und KI-gestützten Suchdiensten erfasst und angezeigt wird. Die Einwilligung wird bei der Registrierung oder im Profil erteilt, mit Zeitpunkt dokumentiert und kann jederzeit im Profil widerrufen werden. Nach dem Widerruf wird das Profil als nicht indexierbar gekennzeichnet und aus der Sitemap entfernt; die Suchmaschinen entfernen es bei ihrem nächsten Besuch, in der Regel innerhalb weniger Tage. Ohne Einwilligung bleibt das Profil über seine eigene Adresse erreichbar, wird Suchmaschinen aber nicht zur Aufnahme angeboten. Rechnungsdaten, Kundenakten und Kontaktdaten von Clients werden nie veröffentlicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Business Owners (freiwillig, jederzeit widerrufbar).
§ 5 Nutzerinhalte
Von Nutzern hochgeladene oder veröffentlichte Inhalte (Bilder, Videos, Texte, Dateien) werden auf den Servern der Plattform gespeichert. Nutzer räumen EPTEC die zur Bereitstellung der Plattformfunktionen erforderlichen technischen Nutzungsrechte ein (vgl. AGB § 9). Inhalte werden nicht für Werbezwecke oder das Training externer KI-Modelle verwendet.
Öffentlich eingestellte Inhalte sind für alle Nutzer der Plattform sichtbar. Inhalte in zugangsbeschränkten Bereichen sind nur berechtigten Nutzern zugänglich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Plattformfunktionen).
§ 5a Einwilligungsverwaltung
Bestandteile des Vertrages mit EPTEC sind gemäß AGB § 1 Abs. 4: die Allgemeinen Geschäftsbedingungen, die jeweils geltende Preisliste sowie die Orbit-spezifischen Sonderbedingungen. Diese Dokumente begründen die vertraglichen Rechte und Pflichten.
Die vorliegende Datenschutzerklärung ist kein Vertragsbestandteil, sondern dient der Erfüllung der Informationspflicht nach Art. 13 DSGVO. Die Kenntnisnahme dieser Erklärung ist Voraussetzung für den Vertragsabschluss, um sicherzustellen, dass die betroffene Person über die Verarbeitung ihrer Daten informiert ist.
Die Einwilligung in die AGB sowie die Kenntnisnahme der Datenschutzerklärung werden als Nachweis nach Art. 7 Abs. 1 DSGVO protokolliert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der Dokumentationspflicht nach DSGVO Art. 7 Abs. 1.
§ 5b Nachweise zur Rechtsänderungsbestätigung
Die Plattform kann Nutzern die erneute Bestätigung geänderter Rechtsgrundlagen (z. B. aktualisierte AGB, Preise, oder — bei einer BYOP-Mitgliedschaft — die eigenen Rechtstexte oder Preise des Business Owners) abverlangen. Datum und Uhrzeit der Ankündigung sowie der Bestätigung, die IP-Adresse zum Zeitpunkt der Bestätigung sowie eine Referenz auf das bestätigte Dokument bzw. den bestätigten Preis werden in der Datenbank gespeichert. Bei Änderungen eigener Rechtstexte oder Preise eines Business Owners wird zusätzlich ein kryptographischer Prüfwert (SHA-256-Hash) des zum Zeitpunkt der Ankündigung geltenden Inhalts gebildet und gespeichert, damit im Streitfall nachweisbar ist, welcher genaue Inhalt bestätigt wurde. Bereits überholte (durch eine neuere Änderung ersetzte) Ankündigungen und die dazu abgegebenen Bestätigungen werden dabei nicht gelöscht, sondern als historischer Nachweis aufbewahrt: Ankündigungen 10 Jahre ab Erstellung, Bestätigungen bis zur Löschung des Kontos, längstens 10 Jahre ab Erteilung (§ 13).
Ab der Ankündigung stehen mindestens drei volle Kalendermonate zur Bestätigung zur Verfügung; eine Einschränkung des Zugangs erfolgt in keinem Fall innerhalb eines bereits bezahlten, laufenden Abrechnungszeitraums. Ohne Bestätigung nach Ablauf dieser Frist kann der Zugang zur Plattform eingeschränkt werden, bis die Bestätigung erfolgt ist.
Bei einer BYOP-Mitgliedschaft sieht der jeweilige Business Owner, welche seiner eigenen, mit ihm verlinkten Clients eine ausstehende Bestätigung noch nicht abgegeben haben, einschließlich der verbleibenden Frist. Diese eingeschränkte Sichtbarkeit dient ausschließlich dazu, dem Business Owner die rechtzeitige Erinnerung seiner Clients zu ermöglichen, und umfasst keine weiteren personenbezogenen Daten des Clients.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der datenschutzrechtlichen Dokumentationspflicht; Art. 6 Abs. 1 lit. b DSGVO — Vertragsfortsetzung auf aktualisierter Grundlage; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an der Aufrechterhaltung seiner eigenen Vertragsbeziehungen.
§ 5c Pseudonymisierte Interaktionsdaten (Reactions und Sentiments)
(1) Auf Profilseiten von Business Owneren koennen Besucher Reaktionen und Sentiment-Aussagen abgeben. Diese Funktion steht allen Besuchern offen, unabhaengig davon, ob sie ueber ein Nutzerkonto verfuegen oder eingeloggt sind.
(2) Zur Verhinderung von Mehrfach-Abstimmungen wird ein pseudonymer Fingerabdruck aus einem SHA-256-Hash der IP-Adresse und des User-Agent-Strings gebildet. Name, E-Mail-Adresse oder Nutzer-ID werden dabei nicht erfasst.
(3) Eine vollstaendige technische Anonymitaet besteht nicht. Es handelt sich um eine Pseudonymisierung im Sinne des Art. 4 Nr. 5 DSGVO. Eine personenbezogene Auswertung oder Weitergabe an Dritte findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
(4) Speicherdauer: Die Interaktionsdaten werden fuer die Dauer der Verfuegbarkeit des jeweiligen Beitrags gespeichert und mit diesem geloescht.
§ 6 Cookies und lokale Speicherung
Die Plattform verwendet technisch notwendige Session-Cookies und Mechanismen der lokalen Browserspeicherung (LocalStorage) ausschließlich zur Aufrechterhaltung der Anmeldesitzung und zur Speicherung von Nutzereinstellungen (z. B. Sprachauswahl). Diese können nicht deaktiviert werden, ohne die Grundfunktionen der Plattform zu beeinträchtigen.
Cookies zu Analyse-, Werbe- oder Trackingzwecken werden nicht eingesetzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technisch notwendige Funktionen); ergänzend Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionsfähigen Plattform.
§ 7 KI-basierte Analyse
Die Plattform kann KI-basierte Dienste zur Altersverifikation und zur Klassifizierung von Inhalten einsetzen. Dabei wird ausschließlich das Ergebnis der Analyse (z. B. Altersklasse: verifiziert / nicht verifiziert; Inhaltskategorie) gespeichert. Ursprüngliche Bild- oder Mediendaten werden nach Abschluss der Analyse nicht dauerhaft gespeichert und nicht an Dritte weitergegeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Altersverifikation als Voraussetzung für Vertragserfüllung (Zugang zu altersbeschränkten Bereichen); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und Einhaltung gesetzlicher Altersschutzpflichten.
§ 7a Verifikation der geographischen Herkunft (African Orbit)
Für den Zugang zum African Orbit ist der Nachweis einer afrikanischen Staatsangehörigkeit, eines afrikanischen Wohnsitzes oder eines entsprechenden Ausstellungslandes erforderlich. Hierzu wird ein Ausweisdokument (Personalausweis, Reisepass oder vergleichbares Dokument) hochgeladen und durch ein KI-gestütztes Analyseverfahren ausgewertet.
Das KI-Modell liest aus dem Dokument: Land des Wohnsitzes, Staatsangehörigkeit, ausstellendes Land sowie ggf. Geburtsort. Diese Daten werden ausschließlich für die Dauer der Analyse im Arbeitsspeicher verarbeitet und danach nicht gespeichert. Weder das Ausweisbild noch die gelesenen Angaben werden in der Datenbank abgelegt. Gespeichert wird ausschließlich das Ergebnis der Verifikation (African Orbit: verifiziert / nicht verifiziert) gemäß § 4 dieser Erklärung.
Da die Auswertung Angaben zur nationalen Herkunft umfasst, erfolgt die Verarbeitung ausschließlich auf ausdrücklichem Wunsch des Nutzers im Rahmen des Zugangsantrags zum African Orbit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Zugangsvoraussetzung African Orbit); Art. 6 Abs. 1 lit. a DSGVO — ausdrückliche Einwilligung in die Dokumentenprüfung durch Einreichung des Ausweises.
§ 7b KI-Chatbot-Assistent ("ETOBS-Boy")
(1) Die Plattform stellt einen KI-gestützten Chatbot-Assistenten zur unverbindlichen Nutzerunterstützung und Information bereit (vgl. AGB § 13 Abs. 1 c, § 19a). Der Assistent ist ohne Anmeldung nutzbar. Vom Nutzer eingegebene Freitext-Fragen (bis zu 4.000 Zeichen) sowie die letzten Nachrichten des laufenden Gesprächsverlaufs (bis zu 8 Einträge à 1.000 Zeichen) werden zur Beantwortung an das KI-Modell Llama 3.3 auf Cloudflare Workers AI (vgl. § 10) übermittelt.
(2) Die Eingaben werden ausschließlich zur Erzeugung der Antwort verarbeitet und nicht dauerhaft über den einzelnen Verarbeitungsvorgang hinaus gespeichert. Zum Schutz vor Missbrauch gilt ein IP-basiertes Rate-Limit. Auskünfte des Assistenten stellen keine rechtsverbindlichen Zusagen dar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer automatisierten Nutzerunterstützung.
§ 8 Zahlungsabwicklung
Für die Abwicklung kostenpflichtiger Leistungen werden Zahlungsdaten (z. B. Transaktions-ID, Betrag, Währung, Zahlungsstatus) verarbeitet. Die Eingabe von Zahlungsmitteldaten erfolgt ausschließlich direkt beim jeweiligen Zahlungsdienstleister; EPTEC erhält und speichert Zahlungsmitteldetails (z. B. Kartennummer, Kontodaten) nicht.
EPTEC setzt zur Zahlungsabwicklung zertifizierte, spezialisierte Zahlungsdienstleister ein, aktuell insbesondere PayPal (Europe) S.à r.l. et Cie, S.C.A. (paypal.com, 22-24 Boulevard Royal, L-2449 Luxemburg, EU) sowie SumUp Payments Limited (sumup.com, Verbindungsweg 5, 10245 Berlin, Deutschland/EU). Welcher konkrete Anbieter für eine Zahlung genutzt wird, hängt von der jeweiligen Plattform-Instanz und der vom Nutzer gewählten Zahlungsmethode ab; die eingesetzten Anbieter können sich im Zuge der Weiterentwicklung der Plattform ändern. Die Verarbeitung erfolgt jeweils im Rahmen der Nutzungsbedingungen des betreffenden Anbieters sowie, soweit zum jeweiligen Zeitpunkt bereits abgeschlossen, eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Ist ein Anbieter außerhalb der Europäischen Union ansässig, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Auf Anfrage über die in § 1 genannte Adresse teilt EPTEC mit, welcher Anbieter für eine konkrete Zahlung genutzt wurde.
Zusätzlich und unabhängig von den vorgenannten, von EPTEC selbst betriebenen Zahlungswegen kann ein Business Owner im Rahmen der Globalen Zahlungslink-Lizenz (inkl. beschränkter Paywall-API, § 12 Abs. 7 AGB) eigene Zugangsdaten zu einem selbst gewählten externen Zahlungsanbieter hinterlegen. EPTECs Backend ruft in diesem Fall mit diesen eingeschränkten Zugangsdaten die öffentlich dokumentierte Schnittstelle des jeweiligen Anbieters auf (vgl. § 8h Abs. 2). Aktuell technisch unterstützt werden: Stripe, PayPal, Paddle, FastSpring, Paystack, Conekta, Airwallex, 2Checkout/Verifone, Chargebee und Invoiced.com — jeweils mit Sitz oder Niederlassungen auch außerhalb der EU (u. a. USA, Vereinigtes Königreich, Nigeria, Mexiko, Hongkong/Singapur). Die Übermittlung an diese vom Business Owner selbst gewählten Anbieter erfolgt auf Grundlage der jeweils einschlägigen Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln oder Data Privacy Framework, je nach Sitzstaat). Verantwortlich für die Auswahl dieses Anbieters ist der Business Owner selbst; EPTEC agiert insoweit als dessen technischer Dienstleister.
Rechnungsrelevante Transaktionsdaten werden gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Zahlungsabwicklung); Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Aufbewahrungspflichten (Steuer- und Handelsrecht).
§ 8a Business Owner-Vergütung und Auszahlungsdaten
(1) Umsatzdaten
Hinweis (B2B-Modell): Wird ein Business Owner-Abonnement über einen vom Business Owner selbst hinterlegten externen Zahlungslink bezahlt, fließt diese Zahlung direkt an den Business Owner; EPTEC verarbeitet hierzu keine Umsatzdaten und ist an der Zahlung nicht beteiligt. Die nachfolgenden Absätze betreffen ausschließlich Vergütungsvorgänge, die noch direkt über EPTEC abgewickelt werden bzw. historische Bestandsdaten.
Für jede kostenpflichtige Nutzertransaktion, die einem Business Owner zuzuordnen ist, werden folgende Daten gespeichert: Business Owner-Username, anonymisierte Nutzer-ID, Orbit-Kennung, Transaktions-ID, Bruttobetrag in Euro, EPTEC-Provision (Prozentsatz und Betrag), Business Owner-Anteil, Zahlungsstatus sowie Zeitstempel. Diese Aufzeichnungen dienen der Transparenz der Vergütungsberechnung gegenüber dem Business Owner und der internen Abrechnung.
(2) Auszahlungsanfragen und Kontodaten
Diese Verarbeitung betrifft, wie in Abs. 1 erläutert, ausschließlich etwaige noch direkt über EPTEC abgewickelte Vergütungsvorgänge bzw. historische Bestandsdaten. Business Owners können in diesem Fall Auszahlungen beantragen. Hierfür werden folgende Daten erhoben und gespeichert: Name des Business Owners, angeforderter Betrag, IBAN (sofern Banküberweisung gewählt), externe Zahlungsdienstleister-Kennung, Status der Auszahlung sowie Zeitstempel der Anfrage und Bearbeitung. Die IBAN wird ausschließlich für die Abwicklung der jeweiligen Auszahlung verwendet und nicht an Dritte außerhalb des Zahlungsweges weitergegeben. Auszahlungsdaten unterliegen den steuer- und handelsrechtlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Business Owner-Vertrages (Vergütungsabrechnung und Auszahlung); Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 8b Checkout-Einwilligungsprotokolle und Beweissicherung im Streitfall
Bei jedem kostenpflichtigen Kauf auf der Plattform werden folgende Daten als revisionssichere Einwilligungsdokumentation gespeichert: Checkout-ID, Zahlungs-ID (Payment-Intent), Username, IP-Adresse und Browser-Kennung (User-Agent) zum Zeitpunkt des Kaufabschlusses, Zeitstempel, Ergebnis jeder einzelnen Pflicht-Checkbox — je nach gekaufter Leistung u. a. AGB-Zustimmung, Volljährigkeit, Widerrufsverzicht, Wahrheitsbestätigung, Unternehmereigenschaft, Kenntnisnahme der Gebührengrundlage, Zahlungsmandat-Einwilligung, Kenntnisnahme der manuellen Lizenzverlängerung, Kenntnisnahme der Nutzungsfolgen bei Lizenzablauf, Kenntnisnahme der Sicherheits-Infrastruktur (§ 12 Abs. 6 AGB) und Chargeback-Dispute-Bevollmächtigung gemäß § 30 AGB — sowie, seit dem 23.09.2026, die Bestätigung, dass die Abhängigkeit von der externen Zahlungsanbieter-Infrastruktur (deren API und/oder deren Zahlungslink) als eigenes Risiko akzeptiert wird (§ 12 Abs. 7 AGB); ferner ggf. das Ergebnis einer etwaigen Ausweisprüfung. Die zuletzt genannte Risiko-Bestätigung wird an vier Stellen eingeholt und gespeichert: beim Kauf einer kostenpflichtigen Lizenz, beim Speichern eigener PSP-Zugangsdaten oder eines eigenen globalen Zahlungslinks, beim Anlegen eines der vier statischen Tarif-Zahlungslinks im Profil sowie im Checkout eines Clients bei einem Business Owner mit aktivierter Lizenz — in den ersten drei Fällen in der Tabelle "psp_api_risk_agreements", im letzten Fall als zusätzliches Feld der Vertragsdaten nach § 8l.
Diese Daten werden ausschließlich zu folgenden Zwecken verarbeitet: (a) Nachweis der Vertragserfüllung gegenüber dem Nutzer, (b) Abwehr unberechtigter Rückbuchungen (Chargebacks) gegenüber dem Zahlungsdienstleister, dem Kartenaussteller und dem Kartennetz, (c) Beweisführung im Rahmen eines automatisierten oder gerichtlichen Dispute-Verfahrens gemäß § 30 AGB, (d) Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre).
Im Falle eines Chargeback-Verfahrens übermittelt EPTEC die gespeicherten Einwilligungsprotokolle an den Zahlungsdienstleister, die kartenausgebende Bank und das Kartennetz. Der Nutzer hat dieser Übermittlung bei Kaufabschluss gemäß § 30 Abs. 4 AGB ausdrücklich zugestimmt. Im Falle einer gerichtlichen Auseinandersetzung können diese Protokolldaten als Beweismittel vorgelegt werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Kaufvertrags und Nachweis der Leistungserbringung; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr unberechtigter Rückbuchungen und Sicherung von Beweismitteln.
§ 8c Produktivbetrieb der Zahlungsabwicklung
Die Zahlungsabwicklung der Plattform läuft im Produktivbetrieb (Live-Modus) der eingesetzten Zahlungsdienstleister; es werden echte Zahlungen verarbeitet und abgebucht. Ein Sandbox-/Testmodus kommt für Kundenzahlungen nicht zum Einsatz. Es gelten die Regelungen der §§ 8 bis 8b dieser Erklärung.
§ 8d Standortdaten bei Zahlungen außerhalb der EU
(1) Für Kaufabschlüsse aus Ländern außerhalb der Europäischen Union ist die Freigabe des Gerätestandorts (GPS-Koordinaten über die Browser-Standortfreigabe) Voraussetzung für den Zahlungsabschluss. Ohne diese Freigabe kann der Kauf nicht abgeschlossen werden. Für Käufer innerhalb der EU ist keine Standortfreigabe erforderlich; hier genügt die ohnehin serverseitig ermittelte Länderkennung (IP-basiert, vgl. § 3) im Rahmen der EU-weiten One-Stop-Shop-Regelung.
(2) Bei jedem kostenpflichtigen Kauf werden zusätzlich zu den in § 8b genannten Einwilligungsprotokollen folgende Geodaten gespeichert: Länderkennung, Region/Bundesland und Kontinent (serverseitig anhand der IP-Adresse ermittelt) sowie — bei Käufen außerhalb der EU zwingend, innerhalb der EU nicht erhoben — die vom Nutzer über die Browser-Geolokalisierung freigegebenen GPS-Koordinaten (Breiten- und Längengrad) samt Genauigkeitsangabe und Zeitstempel.
(3) Diese Daten dienen der Dokumentation des Käuferstandorts zum Zeitpunkt der Zahlung für Zwecke der steuerlichen Zuordnung (Bestimmung des maßgeblichen Steuerorts bzw. relevanter Umsatzschwellen je Land) sowie als Nachweis gegenüber Zahlungsdienstleistern, Banken und Finanzbehörden. Master- und Administratorkonten haben Zugriff auf eine detaillierte, nach Transaktion aufgeschlüsselte Übersicht dieser Daten und können diese als CSV- oder PDF-Report exportieren.
(4) Die Geodaten werden gemeinsam mit den übrigen Zahlungs- und Einwilligungsprotokollen gemäß den in § 8, § 8a und § 8b genannten gesetzlichen Aufbewahrungsfristen (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Kaufvertrags (Zahlungsabschluss); Art. 6 Abs. 1 lit. c DSGVO — Erfüllung steuerrechtlicher Nachweis- und Aufbewahrungspflichten; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zuverlässigen Dokumentation der steuerlichen Zuordnung von Zahlungen.
§ 8e Betrugsprävention, Geräte-Fingerprint und Sperrlisten
(1) Zum Schutz der Plattform, ihrer Nutzer und Business Owner vor Zahlungsbetrug (insbesondere automatisiertem Durchtesten gestohlener Kartendaten) bildet die Plattform bei kostenpflichtigen Vorgängen client-seitig im Browser einen pseudonymen Geräte-Fingerprint. Dieser wird aus technischen Browser- und Gerätemerkmalen errechnet (u. a. User-Agent, Bildschirmauflösung, Zeitzone, Anzahl Prozessorkerne, eine nicht sichtbare Canvas- und WebGL-Signatur) und mittels SHA-256 zu einem nicht umkehrbaren Hash-Wert verdichtet. Aus dem Fingerprint lassen sich weder Identität noch Klarname der betroffenen Person ableiten; es handelt sich um eine Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO.
(2) Bei wiederholten fehlgeschlagenen Zahlungsversuchen innerhalb kurzer Zeit (IP-Adresse, Nutzerkonto oder Geräte-Fingerprint) wird die Erstellung weiterer Zahlungsvorgänge vorübergehend automatisiert blockiert.
(3) IP-Adressen und Geräte-Fingerprints, die im Zusammenhang mit einem missbräuchlichen Vorgang stehen (u. a. nach einer Selbstbedienungs-Erstattung gemäß § 8f oder nach einem zu Ungunsten von EPTEC entschiedenen Chargeback-Verfahren), werden in einer Sperrliste gespeichert. Diese Sperrliste verhindert gezielt weitere Käufe der betroffenen Leistung bzw. bei Abonnements weitere Käufe beim betroffenen Business Owner — nicht die Nutzung der übrigen Plattform. Registrierungen und Zahlungsvorgänge von gesperrten IP-Adressen bzw. Geräten werden automatisiert zurückgewiesen. Eine vollständige technische Umgehungssicherheit besteht nicht (z. B. bei Nutzung eines anderen Geräts über ein anderes Netzwerk).
(4) Zusätzlich wird bei Kartenzahlungen das vom Zahlungsdienstleister ermittelte Land der verwendeten Karte mit dem IP-basiert ermittelten Land (vgl. § 3) abgeglichen. Bei Abweichung wird dies intern zur Kenntnis von Master- und Administratorkonten vermerkt; eine automatisierte Sperrung erfolgt hierdurch allein nicht, da Abweichungen auch bei legitimer Nutzung (Reisen, VPN) auftreten können.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform, der Verhinderung von Zahlungsbetrug und dem Schutz anderer Nutzer und Business Owner vor missbräuchlichen Vorgängen.
§ 8f Selbstbedienungs-Erstattung (Alternative zum Chargeback)
(1) Anstelle eines Rückbuchungsverfahrens bei der eigenen Bank oder dem Zahlungsdienstleister kann der Nutzer für eigene, bei EPTEC erworbene Leistungen (insbesondere Business Owner-Zugang / Infrastrukturgebühr, Room 2, Collab-Slot, Dashboard-Freischaltung, Admin-Gebühr, First-Dashboard; vgl. § 30 Abs. 5 AGB) selbstständig eine sofortige Kündigung mit Erstattungsanfrage auslösen. Der Nutzer wird vor Bestätigung ausdrücklich über die Folgen informiert: der Zugang zur betroffenen Leistung endet unmittelbar, die Erstattung erfolgt innerhalb von 30 Tagen, und ein erneuter Kauf derselben Leistung ist danach dauerhaft ausgeschlossen (vgl. § 8e Abs. 3). Für die Eintritts-Lizenz besteht keine Selbstbedienungs-Erstattung (§ 4 Abs. 5 AGB). Alle Lizenzen gelten jeweils 30 Tage ab Einlösung und enden ohne erneuten Kauf mit Ablauf des bezahlten Zeitraums (§ 29 AGB).
(2) Zur Durchführung werden Checkout-ID, Nutzerkonto, betroffene Leistungskategorie, Erstattungsbetrag, gewählter Zahlungsdienstleister, Bearbeitungsstatus sowie — sofern vom Zahlungsdienstleister keine automatisierte Erstattungsschnittstelle angeboten wird — ein interner Vermerk zur manuellen Bearbeitung durch Master-/Administratorkonten gespeichert.
(3) Eine Selbstbedienungs-Erstattung nach diesem Paragraphen ist für Business Owner-Abonnements nicht anwendbar, da die Zahlung direkt zwischen Nutzer und Business Owner über dessen externen Zahlungslink erfolgt und EPTEC hieran nicht beteiligt ist. Für eine Rückerstattung eines Business Owner-Abonnements wenden sich Nutzer direkt an den betroffenen Business Owner.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung bzw. einvernehmliche Beendigung des Kaufvertrags auf Wunsch des Nutzers; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Vermeidung kostenintensiver Rückbuchungsverfahren.
§ 8g Geschäftsangaben vor Abo-Lizenzkauf (Name/Firmenname, USt-IdNr./Gewerbe-ID, Rechnungsanschrift)
(1) Vor dem erstmaligen Kauf einer Abo-Lizenz — einschließlich des kostenlosen Freimonats — muss ein Business Owner mindestens eine der folgenden Angaben hinterlegen: Umsatzsteuer-Identifikationsnummer (USt-IdNr.) oder Gewerbe-ID/Firmenname. Zusätzlich sind in jedem Fall der Name bzw. Firmenname des Rechnungsempfängers sowie eine vollständige Rechnungsanschrift (Straße, Postleitzahl, Ort, Land) anzugeben. Alle genannten Felder werden AES-256-verschlüsselt gespeichert (eigener, separater Schlüssel, der mit keiner anderen Datenkategorie der Plattform geteilt wird). Die Angabe erfolgt einmalig; nach erfolgreicher Speicherung wird der Business Owner bei künftigen Lizenzkäufen nicht erneut danach gefragt, kann sie jedoch jederzeit im Profil aktualisieren. Zweck des Namens/Firmennamens und der Rechnungsanschrift ist (a) die Erstellung einer ordnungsgemäßen Rechnung gemäß § 14 UStG sowie (b) — ausschließlich für den Namen/Firmennamen — die Zuordnung des betroffenen Kontos im Fall einer Zahlungsanfechtung (Chargeback/Dispute), wenn der Zahlungsdienstleister dabei nicht den plattforminternen Benutzernamen, sondern den Namen des Zahlenden nennt (Rechtsgrundlage jeweils: Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 14 UStG bzw. Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Abwehr unberechtigter Zahlungsanfechtungen); eine inhaltliche Prüfung der Angabe erfolgt nicht.
(2) Zweck dieser Angabe ist der Nachweis der gewerblichen/unternehmerischen Tätigkeit des Business Owners als Grundlage des B2B-Geschäftsmodells der Plattform (vgl. § 1 Abs. 2 AGB) sowie die entsprechende Dokumentation gegenüber Zahlungsdienstleistern. Ob eine Angabe verifiziert werden konnte, ist für die Freischaltung des Lizenzkaufs ohne Bedeutung — der Kauf wird unabhängig vom Verifizierungsergebnis freigegeben, sobald mindestens eine der beiden Angaben vorliegt (reines Vollständigkeitskriterium).
(3) Wird eine USt-IdNr. angegeben, wird sie automatisiert gegen die offizielle Datenbank der Europäischen Kommission (MIAS/VIES, "VAT Information Exchange System") abgeglichen. Hierzu wird die eingegebene USt-IdNr. an die Europäische Kommission übermittelt; eine Übermittlung personenbezogener Klartextdaten (Name, Adresse) an EPTEC erfolgt hierbei nur, soweit die Europäische Kommission diese im Rahmen der Prüfantwort zurückliefert. Diese Übermittlung verbleibt innerhalb der Europäischen Union. Liefert die Prüfung einen Firmennamen zurück, wird dieser intern mit dem angegebenen Gewerbe-ID/Firmenname-Feld abgeglichen; das Ergebnis (verifiziert/ nicht verifiziert) wird pro Feld gespeichert. Eine Verifizierung ist nur für USt-IdNrn. aus EU-Mitgliedstaaten technisch möglich; Angaben aus Drittstaaten sowie Gewerbe-ID/Firmenname-Angaben ohne zugehörige verifizierbare USt-IdNr. bleiben unverifiziert, gelten aber unverändert als vollständig.
(4) Master-Konten können einzelne Business Owner im Einzelfall (Härtefälle) per gesondert generiertem Freistellungscode von dieser Pflicht befreien. Master- und Administratorkonten können den Vollständigkeits-/Verifizierungsstatus (nicht die Klartextangaben) eines einzelnen Business Owners einsehen. Jede Einreichung sowie jede Einlösung eines Freistellungscodes wird mit Zeitstempel, IP-Adresse und (ohne Klartextwerte) Art des Nachweises sowie Verifizierungsergebnis dokumentiert, um im Streitfall sowie in der internen Statistik nachvollziehbar zu bleiben.
(5) Die verschlüsselten Angaben werden für die Dauer der Geschäftsbeziehung sowie anschließend gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert, da sie die gewerbliche Grundlage der abgerechneten Lizenzgebühren dokumentieren.
(6) Auf Grundlage der Angaben gemäß Abs. 1 erstellt EPTEC nach jedem abgeschlossenen Lizenzkauf automatisiert eine Rechnung im PDF-Format und stellt sie dem Business Owner über das plattforminterne Nachrichtensystem zu. Die erzeugte Rechnung wird zur Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) gespeichert. Zugriff auf die gespeicherte Rechnung hat ausschließlich der jeweilige Business Owner selbst sowie Master-/ Administratorkonten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung bzw. Vorbereitung des Lizenzvertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Nachweis der unternehmerischen Tätigkeit gegenüber Zahlungsdienstleistern; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 8h Eigener Werbepreis des Business Owners
(1) Hinterlegt ein Business Owner in seinem Profil einen eigenen Werbepreis je Mitgliedschaftsstufe, wird dieser Preis auf der Paywall angezeigt, sobald ein Nutzer die ETOBS-Nummer des Business Owners eingibt. Der eigene Werbepreis ist eine rein informative Angabe des Business Owners und hat keinen Einfluss auf die Höhe der Lizenzgebühr — diese richtet sich ausschließlich nach der Anzahl der tatsächlichen Endkunden des Business Owners gemäß dem auf der Preisseite ausgewiesenen Paket-Modell. Auf der African-Instanz kann der Business Owner bis zu drei Werbepreise je Mitgliedschaftsstufe hinterlegen (nach Kaufkraft-Stufe des Ziellandes gestaffelt); welcher der drei Werte einem Nutzer angezeigt wird, richtet sich nach dessen anhand der IP-Adresse ermittelten Land.
(2) Diese Preisangaben verarbeitet EPTEC zur Anzeige auf der Paywall sowie zur Berechnung der Lizenzgebühr des Business Owners. Verfügt der Business Owner über eine aktive Globale Zahlungslink-Lizenz (inkl. beschränkter Paywall-API, § 12 Abs. 7 AGB), ruft EPTECs Backend mit dem vom Business Owner selbst hinterlegten, eingeschränkten Zugangsschlüssel zusätzlich aktiv Daten im Konto des jeweiligen externen Zahlungsanbieters ab — insbesondere Kundendatensätze samt deren E-Mail-Adresse, Abonnement-/Zahlungsstatus und Periodenende —, um Aufnahme-/ Tarifwechsel-Bestätigungen, Kündigungen und die Übertragung eigener Preise zu automatisieren (vgl. § 8k, § 12b dieser Erklärung). Ohne eine solche aktive Lizenz verarbeitet, sieht oder prüft EPTEC den tatsächlich über den externen Zahlungslink eingezogenen Betrag nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Lizenzvertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zutreffenden Lizenzgebühr-Berechnung.
§ 8i Lizenzlaufzeit und Zahlungen (keine automatische Abbuchung)
(1) Lizenzen und Abonnements eines Business Owners gelten jeweils 30 Tage ab Einlösung (§ 29 AGB). Jede Verlängerung erfolgt durch eine vom Business Owner selbst ausgelöste Zahlung (§ 30 Abs. 8 AGB); ein automatisches Zahlungsmandat oder eine automatische, wiederkehrende Abbuchung findet nicht statt. EPTEC speichert daher keine Mandats- oder Subscription-Kennungen. Zahlungsmitteldaten (z. B. Kontonummer, Kartendaten) verbleiben ausschließlich beim jeweiligen Zahlungsdienstleister.
(2) Jede Zahlung wird mit Betrag, Zeitpunkt und betroffenem Lizenztyp protokolliert (vgl. § 8b). Unterbleibt ein erneuter Kauf, endet die Lizenz mit Ablauf des bereits bezahlten Zeitraums; EPTEC legt hierfür keinen Forderungs-Datensatz an.
(3) Für vor dem 01.09.2026 abgeschlossene, bereits vollständig im Voraus bezahlte Lizenzperioden (früheres Vorkasse-Modell) gilt ergänzend: Bestand für eine damals fällige Nacherhebung kein gültiges Mandat oder schlug der Einzug fehl, wurde ein dauerhafter Forderungs-Datensatz gespeichert (geschuldeter Betrag, betroffene Mitgliedschaftsstufe/-anzahl, kryptografischer Prüfwert (HMAC) der USt-IdNr./Gewerbe-ID statt Klartext). Ein solcher Datensatz bleibt von einer Kontolöschung unberührt und wird gelöscht, sobald die Forderung beglichen ist oder EPTEC auf ihre Durchsetzung verzichtet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Abo-Vertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionierenden Zahlungsabwicklung.
§ 8j Chargeback-Nachweis-Dokumentation (Akte)
(1) EPTEC dokumentiert zu jedem Nutzer fortlaufend sicherheits-, einwilligungs- und zahlungsrelevante Ereignisse in einem internen chronologischen Protokoll ("Akte"): erteilte Einwilligungen inklusive Zeitstempel, IP-Adresse, Browser-Kennung und akzeptierter AGB-Version (§ 8b, § 8l), Registrierungsnachweise (§ 4), Kontostammdaten (u. a. E-Mail-Adresse), sicherheitsrelevante Ereignisse gemäß § 3, aktive Sitzungen (Gerät, Land), Status der Zwei-Faktor-Authentifizierung, das verschlüsselte Rechnungsprofil gemäß § 8g/§ 8m, Moderationsmaßnahmen gemäß § 12a sowie Start/Änderung/Kündigung eines Abonnements, jede erfolgreiche Abbuchung und jede vor einer Abbuchung versandte Erinnerung. Die Akte ist intern durchsuchbar, u. a. nach E-Mail-Adresse sowie Vor-/Nachname.
(1a) Master- und Administrator-Konten haben zu internen Zwecken gemäß Abs. 2 uneingeschränkten Zugriff auf die Akte jedes Nutzers. Verfügt ein Business Owner über eine aktive Client-Akte-Lizenz, erhält er zusätzlich Zugriff auf die Akte seiner eigenen, mit ihm verlinkten Clients (§ 8k) — beschränkt auf diese Clients und nicht auf andere Nutzer der Plattform. Rechtsgrundlage dieses eingeschränkten Zugriffs ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Business Owners an der Abwehr von Zahlungsanfechtungen aus seiner eigenen Kundenbeziehung).
(2) Diese Dokumentation dient der Absicherung gegenüber Zahlungsdienstleistern und Kartenausstellern im Fall einer Zahlungsanfechtung sowie — im Rahmen von Abs. 1a — der Beweisführung des Business Owners gegenüber seinen eigenen Clients, und wird zu diesen Zwecken vorgehalten sowie im Streitfall an den betroffenen Zahlungsdienstleister weitergegeben. Zur Speicherdauer siehe § 13.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr unberechtigter Zahlungsanfechtungen; ergänzend Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten, soweit einschlägig.
§ 8k Client-Akte-Lizenz (API-gemeldete Fremdzahlungen)
(1) Business Owner mit aktiver Client-Akte-Lizenz können über einen eigenen API-Schlüssel Zahlungen, die ihre Endkunden außerhalb der Plattform direkt an sie geleistet haben, an EPTEC melden. Verarbeitet werden dabei ausschließlich vom Business Owner selbst übermittelte Angaben: ein vom Business Owner gewählter Client-Bezeichner, Betrag, Zahlungsmethode, ein optionaler Referenztext sowie der Zeitpunkt des Zahlungseingangs. EPTEC nimmt an der gemeldeten Zahlung selbst nicht teil und prüft die inhaltliche Richtigkeit der Meldung nicht. Seit dem 06.09.2026 ist zusätzlich die Angabe eines Landes (ISO-Code) fuer jede gemeldete Zahlung verpflichtend; bei Land „US" sind zusätzlich Bundesstaat und County/Landkreis verpflichtend anzugeben. Diese Geo-Angaben werden als eigene, unverschlüsselte, strukturierte Felder gespeichert (nicht Teil eines Freitextfelds) und dienen — wie die identisch strukturierten Angaben gemäß § 8m — der Ermittlung, ob den meldenden Business Owner aufgrund dieser Zahlung eine steuerliche Registrierungs- oder Meldepflicht in einzelnen US-Bundesstaaten treffen könnte (US Sales Tax Nexus), sowie der geografischen Dokumentation im Streitfall.
(2) Die gemeldeten Daten erscheinen ausschließlich in der Akte (Chargeback-Nachweise, § 8j) des meldenden Business Owners und werden zu keinem anderen Zweck verwendet. Meldet ein Business Owner Daten zu einer Person, die selbst kein Nutzerkonto auf der Plattform besitzt, ist der Business Owner als Meldender dafür verantwortlich, dass eine Rechtsgrundlage für diese Übermittlung an EPTEC besteht (insbesondere eigene vertragliche Beziehung zu seinem Endkunden); EPTEC verarbeitet die Daten in diesem Fall als Auftragsverarbeiter im Interesse des Business Owners.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners und EPTECs an der Chargeback-/Zahlungsnachweis-Dokumentation; bei personenbezogenen Daten des Endkunden ggf. Art. 28 DSGVO (Auftragsverarbeitung im Auftrag des Business Owners).
§ 8l Vertragsdokumentation bei Direktabschluss mit dem Business Owner (BYOP)
(1) Schließt ein Client ein Abonnement oder einen Event-Deal direkt beim Business Owner ab (BYOP, § 34a AGB), speichert EPTEC hierzu folgende Daten als Nachweis der abgegebenen Erklärungen: die Angabe, ob der Vertrag als Verbraucher oder als Unternehmer/für berufliche Zwecke geschlossen wurde, optional angegebener Firmenname und USt-ID, Zustimmung und Version der Plattform-AGB, sowie — sofern der Business Owner eigene Bedingungen hinterlegt hat (§ 1 Abs. 4 AGB) — Zustimmung, Versionsnummer, vollständiger Text und ein SHA-256-Prüfwert dieser eigenen Bedingungen zum Zeitpunkt der Zustimmung, jeweils samt Checkout-ID, IP-Adresse, Länderkennung, US-Bundesstaaten-Kennung (sofern aus der Cloudflare-Standortbestimmung ableitbar) und Zeitstempel. Tritt der Client dabei als Unternehmer auf, werden zusätzlich Name bzw. Firmenname sowie eine vollständige Rechnungsanschrift erhoben (Rechnungsanschrift AES-256-verschlüsselt gespeichert) — bei einer Angabe als Verbraucher entfällt diese Erhebung.
(2) Der vollständige Text und Prüfwert der eigenen Bedingungen werden serverseitig erfasst (nicht anhand einer Angabe des Clients), damit eine spätere Änderung des Textes durch den Business Owner den ursprünglich akzeptierten Wortlaut nicht nachträglich verändert. Diese Daten dienen der Beweissicherung, dass dem Client vor Vertragsschluss die Möglichkeit zur Kenntnisnahme der eigenen Bedingungen des Business Owners eingeräumt wurde, sowie der Dokumentation im Streitfall zwischen Client und Business Owner. Sie erscheinen in der Akte (§ 8j) beider Vertragsparteien.
(3) Verfügt der Business Owner über eine aktive Client-Rechnungs-Lizenz, kann er eine tatsächlich außerhalb der Plattform erhaltene Zahlung manuell bestätigen. In diesem Fall erstellt EPTEC automatisiert eine PDF-Rechnung im Namen des Business Owners (unter Verwendung von dessen eigenen Geschäftsangaben gemäß § 8g als Verkäufer sowie der Name-/Anschriftsangaben des Clients gemäß Abs. 1 als Käufer) und stellt sie dem Client über das plattforminterne Nachrichtensystem zu. EPTEC prüft die inhaltliche Richtigkeit der Zahlungsbestätigung nicht und wird durch die Rechnungserstellung nicht Partei des zugrunde liegenden Zahlungsvorgangs (§ 34a Abs. 1 AGB). Die erzeugte Rechnung wird zur Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) gespeichert; Zugriff haben ausschließlich Business Owner, Client sowie Master-/Administratorkonten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Dokumentationspflicht gegenüber beiden Vertragsparteien, Rechnungsstellung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Beweissicherung im Streitfall zwischen Client und Business Owner sowie an der Kontenzuordnung im Zahlungsanfechtungsfall; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten (Abs. 3).
§ 8m Persistentes Rechnungsdaten-Profil und strukturierte Land-/Bundesland-/Kreis-Angaben
(1) Ergänzend zu der in § 8l Abs. 1 beschriebenen einmaligen Erfassung beim Vertragsschluss kann ein Client sein eigenes Rechnungsdaten-Profil (Name bzw. Firmenname, optional Firma und USt-IdNr., Rechnungsanschrift, sowie Land, Bundesland/Provinz und Kreis/Landkreis) jederzeit selbstständig in seinem Konto hinterlegen und aktualisieren. Name/Firmenname, USt-IdNr. und Rechnungsanschrift werden dabei AES-256-verschlüsselt gespeichert (eigener Schlüssel); Land, Bundesland/Provinz und Kreis/Landkreis werden als eigene, unverschlüsselte, strukturierte Angaben gespeichert, da diese für eine aggregierte Auswertung nach Bundesstaat erforderlich sind, ohne dass hierfür jede einzelne Zeile entschlüsselt werden müsste. Bei Land „US" sind Bundesland/Provinz und Kreis/Landkreis abweichend von Satz 1 zusätzlich verpflichtend (nicht optional) — sowohl für den Client (dieser Absatz) als auch für den Business Owner selbst (§ 8g Abs. 1), da US Sales Tax Nexus ohne diese Ebene nicht sinnvoll auswertbar ist.
(2) Dieselben strukturierten Land-/Bundesland-/Kreis-Angaben werden ergänzend zu der bereits nach § 8g Abs. 1 erfassten Rechnungsanschrift auch für den Business Owner selbst erhoben.
(3) Zweck dieser strukturierten Geo-Angaben ist neben der Rechnungserstellung (§ 8g, § 8l Abs. 3) die Ermittlung, ob ein Business Owner aufgrund von Zahlungen seiner eigenen Clients in einzelnen US-Bundesstaaten einer steuerlichen Registrierungs- oder Meldepflicht (US Sales Tax Nexus) unterliegen könnte. Die entsprechende Auswertung ist ausschließlich für den jeweils betroffenen Business Owner selbst sowie für Master-/Administratorkonten einsehbar und stellt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO dar, sondern eine reine Orientierungshilfe ohne rechtliche Wirkung gegenüber dem Client. Master-/Administratorkonten können diese Auswertung zusätzlich plattformweit aggregiert über alle Business Owner hinweg einsehen (ohne Einzeltransaktionsdetails einzelner Clients, nur Summen je Bundesstaat und beteiligter Business Owner), zum Zweck der internen Aufsicht über die kollektive US-Steuerrisiko-Lage der Plattform.
(4) Die Angaben nach Abs. 1 und 2 werden für die Dauer der Geschäftsbeziehung sowie anschließend gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert, sofern sie im Zusammenhang mit einer abgeschlossenen Zahlung stehen; andernfalls können sie vom jeweiligen Nutzer jederzeit gelöscht oder geändert werden.
(5) Rechtsform und kostenloser Registerabgleich: Zusätzlich wird die Rechtsform erfasst (für Business Owner verpflichtend, für Clients freiwillig), um zu dokumentieren, welche Registernummern bei dem jeweiligen Unternehmen typischerweise bestehen. Wird eine USt-IdNr. angegeben, gleicht EPTEC sie beim Speichern automatisiert mit dem amtlichen Register ab: EU-USt-IdNrn. über das System VIES der Europäischen Kommission (Verarbeitung innerhalb der Europäischen Union), Schweizer UID-Nummern über das öffentliche UID-Register des Schweizer Bundesamts für Statistik (Übermittlung in die Schweiz auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission, Art. 45 DSGVO). Übermittelt wird dabei ausschließlich die Nummer selbst (bei VIES zusätzlich der Ländercode). Gespeichert werden das Ergebnis (bestätigt / nicht bestätigt / Prüfdienst nicht erreichbar / nicht automatisch prüfbar), Prüfquelle und Zeitpunkt sowie ein ggf. vom Register zurückgelieferter Firmenname; das Ergebnis erscheint in der Akte. Der Abgleich ist rein bestätigend und hat keinerlei Einfluss darauf, ob die Angaben gespeichert oder ein Kauf freigegeben wird; Nummern anderer Länder werden nicht abgefragt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Dokumentation einer zumutbaren Prüfung der Unternehmensangaben im B2B-Geschäftsverkehr; Art. 6 Abs. 1 lit. c DSGVO, soweit steuerliche Sorgfaltspflichten betroffen sind.
(6) Verlauf der Rechnungsdaten: Jede gespeicherte Fassung der Angaben nach Abs. 1 bis 5 (einschließlich Rechtsform, Registernummern, Ergebnis des Registerabgleichs, Zeitpunkt und IP-Adresse) wird zusätzlich als eigene, AES-256-verschlüsselte Fassung abgelegt. Spätere Änderungen überschreiben frühere Fassungen nicht; die Akte zeigt den vollständigen Verlauf. Zweck ist der Nachweis, welche Angaben zum Zeitpunkt eines Kaufs oder Vertragsschlusses galten (Abwehr unberechtigter Zahlungsanfechtungen, steuerliche Nachweispflichten). Die Fassungen werden wie die Angaben nach Abs. 4 gemäß den gesetzlichen Aufbewahrungspflichten gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Rechnungsstellung, Kontenzuordnung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners und EPTECs an einer zuverlässigen steuerlichen Einordnung; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten, soweit einschlägig.
§ 9 Kontaktformular
Nimmt ein Nutzer über das Kontaktformular oder per E-Mail Kontakt auf, werden die übermittelten Angaben (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung der Anfrage gespeichert. Diese Daten werden nicht ohne Einwilligung an Dritte weitergegeben und nach abgeschlossener Bearbeitung gelöscht, sofern keine Aufbewahrungspflichten entgegenstehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Bearbeitung eingehender Anfragen; soweit die Anfrage auf eine vertragliche Beziehung bezogen ist, Art. 6 Abs. 1 lit. b DSGVO.
§ 10 Hosting und technische Infrastruktur
Die Plattform wird auf der Infrastruktur von Cloudflare, Inc. (USA) betrieben. Dabei kommen folgende Dienste zum Einsatz: Cloudflare Workers (Serverless-Computing), D1 (Datenbankdienst), R2 (Objektspeicher), KV (verteilter Schlüssel-Wert-Speicher) und Durable Objects (Echtzeit-Kommunikation).
Cloudflare, Inc. ist als Auftragsverarbeiter im Sinne von Art. 28 DSGVO tätig. Es besteht ein Auftragsverarbeitungsvertrag (AVV). Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert, das von der Europäischen Kommission als angemessenes Schutzniveau im Sinne von Art. 45 DSGVO anerkannt ist (Angemessenheitsbeschluss vom 10. Juli 2023). Für den Fall, dass das DPF nicht anwendbar ist, stützt sich die Übermittlung auf Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technischer Betrieb); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zuverlässigen und skalierbaren Infrastruktur.
§ 10a Echtzeit-Videokommunikation
Für die Bereitstellung von Live-Video- und Audiokommunikation setzt EPTEC den spezialisierten Echtzeit-Kommunikationsdienst LiveKit ein (vgl. auch § 22d, § 22e). Bei Teilnahme an einer Video- oder Audiositzung werden folgende Daten an diesen Dienst übermittelt:
– Technische Nutzerkennung (Sitzungs-ID / Identity)
– Raumkennung (Orbit-Raumzuordnung)
– Audio- und Videodaten für die Dauer der Sitzung
– Verbindungsmetadaten (Zeitstempel, Verbindungsstatus)
Der Dienst agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag. Der Dienstleister ist in den USA ansässig; die Datenübermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. — soweit dieses nicht anwendbar ist — auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.
Audio- und Videodaten werden ausschließlich für die Dauer der jeweiligen Sitzung verarbeitet und nicht dauerhaft gespeichert. Sitzungsmetadaten (wer war in welchem Raum aktiv) werden in der Plattform-KV-Speicherung für die Dauer der Sitzung vorgehalten und danach automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Live-Kommunikationsfunktion); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer technisch zuverlässigen Echtzeitkommunikation.
§ 10b Datenbankfallback (Neon Postgres)
Für den Fall erhöhter Lastanforderungen oder zur Sicherstellung der Hochverfügbarkeit kann EPTEC einen zusätzlichen relationalen Datenbankdienst (Neon, Inc., USA) als Fallback-Datenbank einsetzen. In diesem Fall werden dieselben Nutzerdaten, die regulär in der primären Plattformdatenbank gespeichert werden (vgl. §§ 4–8a), spiegelnd auch in diesem Dienst vorgehalten.
Neon, Inc. agiert in diesem Fall als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag. Neon, Inc. ist in den USA ansässig; die Datenübermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie — sofern anwendbar — auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO).
Dieser Dienst ist zum Zeitpunkt der Veröffentlichung dieser Erklärung inaktiv. Bei Aktivierung wird diese Erklärung entsprechend aktualisiert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technischer Betrieb); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Verfügbarkeit und Ausfallsicherheit der Plattform.
§ 11 Technische und organisatorische Maßnahmen
EPTEC trifft gemäß Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, insbesondere:
– Verschlüsselte Datenübertragung (TLS/HTTPS)
– Zugriffskontrollen und rollenbasierte Berechtigungssysteme
– Regelmäßige Sicherheitsüberprüfungen der eingesetzten Systeme
– Minimierung der erhobenen Daten auf das notwendige Maß (Datensparsamkeit)
– Protokollierung sicherheitsrelevanter Ereignisse
– Passwörter werden ausschließlich als gesalzener, nicht umkehrbarer Hash-Wert gespeichert (PBKDF2, 100.000 Iterationen, individuelles Zufalls-Salt je Konto); eine Wiederherstellung des Klartexts ist technisch ausgeschlossen
– Schutz gegen automatisierte Massenzugriffe durch IP-basierte Rate-Limits bei Login, Registrierung und Passwort-Zurücksetzung
– Bot-Schutz auf Registrierungs- und Login-Formularen (Cloudflare Turnstile, siehe § 22j)
– Nutzer können ihre aktiven Sitzungen (Geräte, Anmeldezeitpunkt, Land) jederzeit einsehen und einzelne Sitzungen aus der Ferne abmelden
§ 12 Weitergabe an Dritte
Personenbezogene Daten werden nicht an Dritte verkauft. Eine Weitergabe erfolgt ausschließlich in folgenden Fällen:
– Auftragsverarbeiter: Technische Dienstleister (insbesondere Hosting, Zahlungsabwicklung, Übersetzungsdienste) erhalten Daten ausschließlich im Rahmen von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO und nur soweit für die jeweilige Leistungserbringung erforderlich.
– Gesetzliche Verpflichtung: Bei Vorliegen einer gesetzlichen Verpflichtung oder behördlicher Anordnung können Daten an zuständige Behörden übermittelt werden (Art. 6 Abs. 1 lit. c DSGVO).
– Einwilligung: Sofern die betroffene Person ausdrücklich eingewilligt hat (Art. 6 Abs. 1 lit. a DSGVO).
§ 12a Moderationsmaßnahmen und Sperrvermerke
Zum Schutz der Plattform und ihrer Nutzer werden Moderationsmaßnahmen gespeichert. Dies umfasst:
– Orbit-Sperren: Wenn ein Business Owner einen Nutzer von seinem Orbit ausschließt, werden Business Owner-Username, gesperrter Nutzer-Username, Zeitpunkt der Sperre, Sperrdauer (sofern befristet) sowie der angegebene Sperrgrund gespeichert.
– Moderationsmaßnahmen: Plattformseitige Moderationseingriffe (z. B. Verwarnungen, Kontosperrungen) werden mit betroffener Nutzer-ID, handelnder Administrator-ID, Maßnahmentyp, Begründung und Zeitstempel protokolliert.
– Meldevorgänge: Meldungen von Nutzern über andere Nutzer werden mit Melder-ID, gemeldeter Person, Meldegrund, Schweregrad und Zeitstempel gespeichert.
Diese Daten werden ausschließlich zur Plattformsicherheit und Durchsetzung der AGB verwendet und nicht an Dritte weitergegeben. Speicherdauer: Plattformseitige Moderationsmaßnahmen werden zehn Jahre ab der Maßnahme gespeichert; Verstoßvermerke zu einem Konto werden mit der Löschung dieses Kontos gelöscht. Befristete Orbit-Sperren werden mit Ablauf der Sperre gelöscht, alle Orbit-Sperren außerdem mit der Löschung des Kontos des Business Owners oder des gesperrten Nutzers. Meldungen werden mit der Löschung des Kontos der meldenden Person gelöscht. Konten, die wegen eines Verstoßes gesperrt wurden, werden zehn Jahre nach der Sperre gelöscht (§ 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und dem Schutz der Nutzer vor Missbrauch.
§ 12b Offenlegung der Client-E-Mail-Adresse gegenüber dem Business Owner bei Aufnahme- und Tarifwechselanfragen
Stellt ein Client eine Aufnahme- oder Tarifwechselanfrage bei einem Business Owner (BYOP, § 34a AGB), zeigt die Plattform dem betroffenen Business Owner in seiner Anfragenübersicht neben Username und gewähltem Tarif auch die E-Mail-Adresse des Clients an. Da die eigentliche Zahlung außerhalb der Plattform direkt zwischen Client und Business Owner erfolgt und EPTEC diese Zahlung selbst nicht sieht, dient die E-Mail-Adresse dem Business Owner als Zuordnungsmerkmal, um den tatsächlichen Zahlungseingang eindeutig dem richtigen Client zuordnen zu können, bevor er die Anfrage bestätigt.
Diese Offenlegung beschränkt sich auf den Umfang und die Dauer der jeweiligen Anfrage und betrifft ausschließlich den Business Owner, bei dem die Anfrage gestellt wurde — nicht andere Business Owner oder Dritte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (BYOP-Zahlungsabgleich zwischen Client und Business Owner); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an einer zuverlässigen Zuordnung tatsächlich erhaltener Zahlungen.
§ 13 Speicherdauer
|
Datenkategorie |
Speicherdauer |
Grundlage |
|
Server-Logdaten |
Max. 30 Tage (sicherheitsrelevante Ereignisdaten bis zu 3 Jahre) |
Art. 6 Abs. 1 lit. f |
|
Nutzerkontodaten |
Dauer des Vertragsverhältnisses + 30 Tage Löschfrist |
Art. 6 Abs. 1 lit. b |
|
Direktnachrichten |
3 Jahre ab Versand; Mitteilungen zu Beschwerden, Reklamationen und Widerrufen 10 Jahre ab Versand — jeweils längstens bis zur Löschung des Kontos (sofern nicht zuvor gelöscht) |
Art. 6 Abs. 1 lit. b; für Beschwerde-Mitteilungen Art. 6 Abs. 1 lit. f |
|
Raum-Chat-Nachrichten |
3 Jahre ab Versand (automatisch gelöscht) |
Art. 6 Abs. 1 lit. b |
|
Nutzerinhalte |
Dauer des Vertragsverhältnisses (sofern nicht zuvor gelöscht) |
Art. 6 Abs. 1 lit. b |
|
Transaktionsdaten |
10 Jahre (§ 147 AO) / 6 Jahre (§ 257 HGB) |
Art. 6 Abs. 1 lit. c |
|
Business Owner-Umsatz- und Auszahlungsdaten |
10 Jahre (§ 147 AO) |
Art. 6 Abs. 1 lit. c |
|
Kontaktanfragen |
Nach Abschluss der Bearbeitung, max. 3 Jahre |
Art. 6 Abs. 1 lit. f |
|
KI-Analyseergebnisse |
Dauer des Vertragsverhältnisses |
Art. 6 Abs. 1 lit. b |
|
VIP-/Orbit-Kennungen |
Dauer des Vertragsverhältnisses |
Art. 6 Abs. 1 lit. b |
|
Video-/Audiositzungsdaten |
Nur Sitzungsdauer, keine Persistenz |
Art. 6 Abs. 1 lit. b |
|
Moderationsdaten und Sperrvermerke |
Moderationsmaßnahmen 10 Jahre ab der Maßnahme; Verstoßvermerke und Meldungen bis zur Löschung des betroffenen bzw. meldenden Kontos; befristete Orbit-Sperren bis zu ihrem Ablauf; gesperrte Konten 10 Jahre nach der Sperre (§ 12a) |
Art. 6 Abs. 1 lit. f |
|
Push-Subscription-Daten |
180 Tage (oder bis Deaktivierung) |
Art. 6 Abs. 1 lit. a |
|
Business Owner-Stories (R2-Medien) |
24 Stunden (automatisch gelöscht) |
Art. 6 Abs. 1 lit. b |
|
Einwilligungsnachweise |
Registrierungs-, Kauf- und Vertragseinwilligungen (§ 4, § 8b, § 8l, § 22aa) einschließlich Vereinbarungen zur Datenverarbeitung: überdauern die Kontolöschung, derzeit ohne automatische Löschfrist (Nachweis nach Art. 7 Abs. 1 DSGVO und zur Abwehr von Zahlungsanfechtungen). Bestätigungen geänderter Rechtstexte (§ 5b): bis zur Löschung des Kontos, längstens 10 Jahre ab Erteilung. Der Vermerk in der Akte (§ 8j) wird wie die Akte gespeichert |
Art. 6 Abs. 1 lit. c |
|
IP-/Geräte-Sperrlisten (Betrugsprävention) |
Unbefristet, bis zur manuellen Aufhebung durch Master-/Administratorkonten; EPTEC überprüft aktive Sperrungen in angemessenen Abständen auf Erforderlichkeit |
Art. 6 Abs. 1 lit. f |
|
Selbstbedienungs-Erstattungsdaten |
10 Jahre (§ 147 AO) |
Art. 6 Abs. 1 lit. c |
|
Akte (Chargeback-/Sicherheitsnachweise, § 8j) |
10 Jahre ab dem jeweiligen Eintrag (automatisch gelöscht) — überdauert die Kontolöschung, da die Dokumentation auch nach Vertragsende zur Abwehr von Zahlungsanfechtungen und zur Verteidigung von Rechtsansprüchen erforderlich bleibt |
Art. 6 Abs. 1 lit. f |
|
Beschwerden, Reklamationen, Widerrufe, Anregungen und Störungsmeldungen samt Einstufung und Antwort (§ 22s, § 22t) |
10 Jahre ab Eingang (wie die Akte) |
Art. 6 Abs. 1 lit. b und f |
|
Hinweisgeber-Meldungen (§ 22ac) |
Abgeschlossene Meldungen 3 Jahre nach Abschluss des Verfahrens (automatisch gelöscht); nicht abgeschlossene Meldungen bis zum Abschluss |
Art. 6 Abs. 1 lit. c bzw. f |
|
Reichweitenmessungsdaten (§ 3a) |
Unbefristet zu statistischen Zwecken, ohne IP-Adresse gespeichert |
Art. 6 Abs. 1 lit. f |
|
PSP-Risiko-Einwilligung (§ 8b, § 12 Abs. 7 AGB) |
Derzeit ohne automatische Löschfrist gespeichert; der Vermerk in der Akte (§ 8j) wird wie die Akte gespeichert |
Art. 6 Abs. 1 lit. c |
|
E-Mail-Versandprotokolle (§ 4g) |
3 Jahre nach Versand, längstens bis Vertragsende + 3 Jahre |
Art. 6 Abs. 1 lit. f |
|
Mediathek/Avatar/Raum-Inhalte bei nicht verlängerter Betriebskostenlizenz |
30 Tage nach Ablauf der Betriebskostenlizenz (automatischer Löschlauf); Zahlungs-/Rechnungshistorie bleibt gemäß gesetzlicher Aufbewahrungspflichten unberührt |
Art. 6 Abs. 1 lit. b |
(1) Nach Ablauf der jeweiligen Speicherfrist werden Daten automatisch gelöscht oder unwiderruflich anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(2) Bei Beendigung des Vertrages durch den Nutzer werden Kontodaten und nutzergenerierte Inhalte innerhalb von 30 Tagen nach Wirksamkeit der Kündigung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Hiervon ausgenommen ist die Akte (§ 8j), die aufgrund des berechtigten Interesses an der fortdauernden Abwehr von Zahlungsanfechtungen und der Verteidigung von Rechtsansprüchen für 10 Jahre ab dem jeweiligen Eintrag über die Kontolöschung hinaus aufbewahrt wird (siehe Tabelle oben); dasselbe gilt für Beschwerden, Reklamationen, Widerrufe, Anregungen und Störungsmeldungen samt Einstufung und Antwort (§ 22s, § 22t). Direktnachrichten des Kontos (einschließlich der Mitteilungen zu Beschwerden im Postfach) werden mit der Kontolöschung gelöscht.
§ 14 Minderjährige
Die Plattform richtet sich ausschließlich an Personen, die das gesetzliche Mindestalter in ihrem jeweiligen Land erreicht haben (mindestens 18 Jahre). Minderjährigen ist die Nutzung der Plattform untersagt. EPTEC ergreift technische Maßnahmen zur Altersverifikation. Werden Daten einer minderjährigen Person bekannt, werden diese unverzüglich gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Jugendschutzpflichten; Art. 8 DSGVO.
§ 15 Betroffenenrechte
Betroffene Personen haben gegenüber EPTEC folgende Rechte:
– Auskunft (Art. 15 DSGVO): Auskunft über die verarbeiteten Daten
– Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger Daten
– Löschung (Art. 17 DSGVO): Löschung der Daten, soweit keine Aufbewahrungspflichten entgegenstehen
– Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
– Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der Daten in einem maschinenlesbaren Format
– Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f beruhen
– Widerruf (Art. 7 Abs. 3 DSGVO): Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
Anfragen sind zu richten an die unter § 1 genannte Adresse.
§ 16 Beschwerderecht bei der Aufsichtsbehörde
Betroffene Personen haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständige Behörde für EPTEC:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4, 40213 Düsseldorf
poststelle@ldi.nrw.de
www.ldi.nrw.de
§ 16a Datenpannenmeldung (Art. 33 / 34 DSGVO)
(1) Im Fall einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) wird EPTEC die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
(2) Sofern die Datenpanne voraussichtlich ein hohes Risiko für die betroffenen Personen darstellt, werden diese gemäß Art. 34 DSGVO unverzüglich und in klarer, verständlicher Sprache informiert.
(3) EPTEC dokumentiert alle Datenpannen gemäß Art. 33 Abs. 5 DSGVO intern, unabhängig davon, ob eine Meldepflicht besteht.
§ 17 Profiling und automatisierte Entscheidungsfindung
Die Plattform trifft in den nachfolgend genannten Fällen Entscheidungen ausschließlich automatisiert, ohne dass zuvor ein Mensch prüft. Soweit solche Entscheidungen für Nutzer rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 Abs. 1 DSGVO), erfolgen sie, weil sie für den Abschluss oder die Erfüllung des Vertrags erforderlich sind (Art. 22 Abs. 2 lit. a DSGVO) bzw. — bei der Herkunftsprüfung nach § 22y — zusätzlich aufgrund ausdrücklicher Einwilligung (Art. 22 Abs. 2 lit. c DSGVO).
Technische Auswertungen (z. B. Zugriffsstatistiken, Inhaltsklassifizierungen) dienen ausschließlich dem Betrieb und der Weiterentwicklung der Plattform und werden nicht zur automatisierten Bewertung einzelner Personen genutzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Optimierung der Plattform.
Die folgenden Systeme treffen Entscheidungen mit Auswirkung auf den Nutzer automatisiert (Angaben zur involvierten Logik nach Art. 13 Abs. 2 lit. f DSGVO jeweils im genannten Abschnitt):
– KI-Medienmoderation: Hochgeladene Medieninhalte werden automatisch geprüft und können ohne vorherige menschliche Prüfung abgelehnt oder entfernt werden (§ 22i). Nutzer haben das Recht auf menschliche Überprüfung (Art. 22 Abs. 3 DSGVO).
– Störungsausgleich: Störungsmeldungen nach § 12 Abs. 8 AGB werden vollautomatisch geprüft und beschieden; bei Bestätigung wird jede betroffene Lizenz um 15 Tage verlängert, höchstens einmal je Lizenz innerhalb von 30 Tagen. Logik: Abgleich der angekreuzten Lizenzen und Funktionen und des angegebenen Zeitraums mit dem Plattform-Fehlerprotokoll (§ 22t); bestätigt werden nur Lizenzen, für deren angekreuzte Funktionen im Zeitraum ein Fehler auf Plattformseite protokolliert ist; ein KI-System bewertet die Meldung zusätzlich und kann eine durch das Protokoll belegte Lizenz unbestätigt lassen, aber keine unbelegte bestätigen; Einschränkungen wegen der Kostendeckungsgrenze (§ 12 Abs. 5 AGB) gelten nicht als Störung. Folge: Verlängerung der Lizenzlaufzeit oder keine Verlängerung; ein Ausgleich in Geld findet nicht statt.
– Kostenwächter: Ist ein Kontingent aufgebraucht, werden die betroffenen Funktionen automatisch eingestellt (§ 22u).
– Sanktions- und Sperrlistenprüfung: Ein Treffer führt automatisch zur Sperre des Zugangs (§ 22v).
– Herkunftsprüfung auf ETOBS African: automatische Entscheidung über Zahlung und Kontofortbestand (§ 22y).
– Löschung von Konten ohne Kaufabschluss: automatische Löschung nach 30 Tagen (§ 22ab).
– No-Go-Wortfilter: Nachrichten und Kommentare werden automatisch gegen Wortlisten geprüft. Ein Treffer führt zur Ablehnung der Nachricht, ohne dauerhafte Konsequenzen für das Konto.
– Empfehlungsalgorithmus / Follow-Overlay und Feed-Sortierung: Diese stellen keine Entscheidungen im Sinne von Art. 22 DSGVO dar. Näheres in § 22l.
Bei Ablehnung von Medieninhalten durch die KI-Moderation können Nutzer über die in § 1 genannte Adresse eine menschliche Überprüfung beantragen.
§ 22p Events und Standortdaten
(1) Business Owners können öffentliche Events erstellen und auf ihrer Profilseite veröffentlichen. Dabei werden Titel, Datum, Uhrzeit sowie ein optionaler Standort (Freitextfeld, keine automatische Geolokalisierung) in der Plattformdatenbank gespeichert und öffentlich angezeigt.
(2) Die Eingabe eines Standorts ist freiwillig. Wird ein Standort angegeben, handelt es sich um einen vom Business Owner manuell eingetragenen Text ohne automatische Koordinatenermittlung. Nutzer, die sich über die Plattform für ein Event anmelden, werden namentlich in der Event-Teilnehmerliste des Business Owners erfasst.
(3) Events können vom Business Owner jederzeit bearbeitet oder gelöscht werden. Mit Löschung eines Events werden auch die zugehörigen Anmeldedaten gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertragsverhältnisses); Art. 6 Abs. 1 lit. a DSGVO für die optionale Standortangabe (Einwilligung durch aktive Eingabe).
§ 22q Gewinnspiel – Zufälligen Gewinner ziehen
(1) Business Owners können mithilfe der Plattformfunktion „Zufälligen Gewinner ziehen“ einen zufälligen Gewinner aus ihrer Follower-Liste ermitteln. Die Funktion greift auf die gespeicherten Follow-Beziehungen (§ 22l Abs. 4) zurück und wählt per Zufallsalgorithmus einen Follower aus.
(2) Der ausgewählte Nutzer wird ausschließlich dem Business Owner angezeigt. Eine Veröffentlichung des Gewinnerergebnisses durch die Plattform findet nicht statt. Der Business Owner ist für die Einhaltung etwaiger Gewinnspielvorschriften selbst verantwortlich.
(3) Die Verlosung stellt keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO dar, da sie lediglich eine Zufallsauswahl aus einer öffentlichen Liste darstellt und keine Profile oder Scoring-Mechanismen berücksichtigt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an der Durchführung transparenter Gewinnspiele im Rahmen der Community-Interaktion.
Datenlöschung auf Anfrage
Nutzer können die Löschung ihres Kontos und aller damit verbundenen Daten jederzeit beantragen. Der Antrag ist per E-Mail an die unter § 1 genannte Adresse zu richten. Die Löschung erfolgt innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche) entgegenstehen.
Daten, die aufgrund gesetzlicher Aufbewahrungspflichten nicht sofort gelöscht werden können, werden bis zum Ablauf der Frist gesperrt und danach automatisch gelöscht.
Rechtsgrundlage: Art. 17 DSGVO.
§ 19 Internationale Datenübermittlung
Die Nutzung der unter §§ 10–10b beschriebenen Infrastruktur, der E-Mail-Versand (§ 4g), der KI-Dienst der Anthropic, PBC (USA) sowie die Zahlungsabwicklung können eine Übermittlung personenbezogener Daten in Drittländer umfassen.
Empfänger KI-Dienst: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. An diesen Dienst werden Texte übermittelt, um sie von einem KI-Modell bewerten oder beantworten zu lassen: bei Störungsmeldungen die Angaben nach § 22t und bei automatischen Antworten auf öffentliche Beiträge in sozialen Netzwerken der Text des fremden Beitrags (§ 22ad). Die Übermittlung erfolgt ausschließlich zu diesem Zweck.
Für Datenübermittlungen in die USA gilt:
(1) Soweit der jeweilige Empfänger unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO), stützt sich die Übermittlung auf diesen Angemessenheitsbeschluss.
(2) Soweit kein Angemessenheitsbeschluss greift, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission).
(3) Für Übermittlungen in sonstige Drittländer werden geeignete Garantien nach Art. 46 DSGVO vereinbart oder die Übermittlung erfolgt auf Grundlage einer der in Art. 49 DSGVO genannten Ausnahmen.
Auf Anfrage stellt EPTEC eine Kopie der jeweils gültigen Standardvertragsklauseln zur Verfügung.
§ 20 Änderungen dieser Datenschutzerklärung
EPTEC behält sich vor, diese Datenschutzerklärung jederzeit mit Wirkung für die Zukunft anzupassen. Die jeweils aktuelle Version ist auf der Plattform abrufbar. Bei wesentlichen Änderungen werden Nutzer per E-Mail oder durch einen Hinweis auf der Plattform informiert.
§ 21 OAuth-Anbieter
Die Plattform ermöglicht die Anmeldung über externe OAuth-Anbieter (derzeit u. a. Google, Microsoft, Apple, Facebook, TikTok, Snapchat, Discord, LinkedIn, X/Twitter, GitHub, Line und Telegram). Bei der Anmeldung über einen OAuth-Anbieter werden ausschließlich die Daten verarbeitet, die der Nutzer dem jeweiligen Anbieter zur Weitergabe freigegeben hat (i. d. R. öffentliche Profilkennung, Anzeigename, E-Mail-Adresse).
EPTEC hat keinen Einfluss auf die Datenschutzpraktiken der OAuth-Anbieter. Nutzer werden auf die Datenschutzerklärungen der jeweiligen Anbieter hingewiesen:
– Google: https://policies.google.com/privacy
– Bluesky: https://bsky.social/about/support/privacy-policy
Weitere OAuth-Anbieter können jederzeit ergänzt werden; diese Erklärung wird entsprechend aktualisiert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Authentifizierung); Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in die Nutzung des jeweiligen OAuth-Anbieters.
§ 22 Newsletter
Sofern ein Nutzer den Newsletter abonniert, wird die E-Mail-Adresse zum Versand von Informationen über Plattformupdates, neue Funktionen und Angebote von EPTEC verwendet. Die Einwilligung kann jederzeit widerrufen werden, entweder über den Abmeldelink im Newsletter oder per E-Mail an die unter § 1 genannte Adresse. Nach Widerruf wird die E-Mail-Adresse unverzüglich aus dem Verteiler entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung.
§ 22a Business Owner-Newsletter-Abonnements
Besucher der öffentlichen Business Owner-Profilseite (/c/[username]) können den persönlichen Newsletter eines Business Owners abonnieren. Für Inhalt und Versand dieses Newsletters ist der jeweilige Business Owner als datenschutzrechtlich Verantwortlicher eigenständig zuständig (entsprechend § 22b für Posts); EPTEC stellt hierfür ausschließlich die technische Infrastruktur bereit. Dabei werden folgende Daten erhoben: E-Mail-Adresse (Pflichtfeld), optionaler Fantasiename, IP-Adresse zum Zeitpunkt der Einwilligung, Zeitstempel der Einwilligung sowie ein technisches Abmelde-Token. Die Daten werden ausschließlich für den Versand von Newsletter-Beiträgen des jeweiligen Business Owners verwendet. Die Abmeldung ist jederzeit über den im Newsletter enthaltenen Abmeldelink möglich. Die Daten werden nach Abmeldung unverzüglich gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — ausdrückliche Einwilligung über Consent-Checkbox.
§ 22b Business Owner-Beiträge (Posts)
Business Owners können Fotos, Videos und Reels auf ihrer öffentlichen Profilseite veröffentlichen. Die hochgeladenen Mediendateien werden auf Cloudflare R2 gespeichert und sind öffentlich abrufbar. Mit dem Hochladen erklärt der Business Owner, über alle erforderlichen Rechte an den Inhalten zu verfügen. Für personenbezogene Daten Dritter, die in hochgeladenen Inhalten enthalten sind (z. B. abgebildete Personen), ist der Business Owner als datenschutzrechtlich Verantwortlicher eigenständig zuständig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Business Owner-Vertrages.
§ 22c Anonyme Post-Reaktionen
Besucher der Business Owner-Profilseite können auf Beiträge mit einer von fünf positiven Reaktionen (👍 ❤️ 🔥 🤩 👏) reagieren. Zur Verhinderung von Mehrfachstimmabgaben wird ein pseudonymisierter technischer Fingerabdruck gespeichert: ein SHA-256-Hash aus IP-Adresse und User-Agent-String. Dieser Hash ist ein personenbezogenes Datum im Sinne von Art. 4 Nr. 5 DSGVO (Pseudonymisierung), da ein Rückschluss auf die zugrundeliegende IP-Adresse bei entsprechendem Zusatzwissen nicht vollständig ausgeschlossen werden kann. Er wird ausschließlich zur Deduplizierung verwendet und nicht mit dem Nutzerkonto verknüpft.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Missbrauchsschutz und Integrität der Reaktionsfunktion).
§ 22d Öffentliche Live-Videokonferenz
Business Owners können über die Plattform eine öffentlich sichtbare Live-Videokonferenz starten. Der Live-Stream ist für alle Besucher der Business Owner-Profilseite zugänglich, ohne dass ein Login erforderlich ist. Besucher verbinden sich als anonyme Zuschauer über die LiveKit-Infrastruktur; dabei werden technisch bedingt IP-Adresse und Verbindungsdaten temporär auf den LiveKit-Servern verarbeitet. Mit dem Start der Live-Session erklärt der Business Owner, alle abgebildeten oder hörbaren Personen über die Öffentlichkeit der Übertragung informiert zu haben, sofern zutreffend. Die Plattform selbst zeichnet Live-Sessions nicht auf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Business Owners durch aktive Auslösung der Live-Session; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner.
§ 22e Breakout-Räume
Business Owners können bis zu fünf separate Breakout-Räume innerhalb einer Session aktivieren. Jeder Breakout-Raum wird als eigenständige LiveKit-Session geführt und ist technisch von der Hauptsession isoliert. Die in § 22d genannten Grundsätze zur LiveKit-Infrastruktur gelten entsprechend. Der Business Owner kann Teilnehmer gezielt einem Breakout-Raum zuweisen; die Zuweisung sowie der Zeitpunkt werden als Sitzungsprotokoll temporär in Cloudflare KV gespeichert und nach Beendigung der Session automatisch gelöscht. Für Teilnehmer, die in einen Breakout-Raum wechseln, gelten dieselben Datenschutzbedingungen wie im Hauptraum.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an geordnetem Sitzungsbetrieb.
§ 22f Kollaboratives Whiteboard
Die Plattform stellt in Live-Räumen und Breakout-Räumen ein kollaboratives Echtzeit-Whiteboard bereit. Zeichnungen, Annotationen und Texte werden als Sitzungsdaten in Cloudflare KV gespeichert und sind für alle berechtigten Teilnehmer des jeweiligen Raums sichtbar. Whiteboard-Inhalte werden nicht dauerhaft gespeichert und nach Beendigung der Session automatisch gelöscht, es sei denn, der Business Owner exportiert das Whiteboard als PDF-Datei. Im Fall eines PDF-Exports liegt ein nutzergesteuerter Download vor; EPTEC speichert keine Kopie des exportierten PDFs. Teilnehmer, denen der Business Owner die Schreibberechtigung erteilt hat, können aktiv zum Whiteboard beitragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Funktion.
§ 22g Bildschirm- und Webcam-Aufnahme
(1) Die Plattform stellt Business Owners eine Funktion zur Aufnahme des eigenen Bildschirms oder der eigenen Webcam direkt aus dem Live-Raum zur Verfügung. Die Aufnahme erfolgt lokal im Browser des Aufzeichnenden (MediaRecorder API); die Aufnahmedatei wird nicht automatisch an EPTEC oder Dritte übermittelt.
(2) Soweit während einer Aufnahme andere Personen abgebildet oder hörbar sind (z. B. andere Sitzungsteilnehmer über den Bildschirminhalt), ist der Aufzeichnende selbst für die Einhaltung der gesetzlichen Anforderungen verantwortlich — insbesondere des § 201 StGB (Verletzung der Vertraulichkeit des Wortes), des allgemeinen Persönlichkeitsrechts sowie ggf. des BDSG und der DSGVO. EPTEC empfiehlt, alle Teilnehmer vor Beginn der Aufnahme ausdrücklich über diese zu informieren und deren Einwilligung einzuholen.
(3) Lädt der Business Owner die Aufnahmedatei nachträglich als Medienbeitrag auf die Plattform hoch, gelten die allgemeinen Datenschutzbestimmungen für hochgeladene Medien sowie § 22i (KI-gestützte Medienmoderation).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Bereitstellung professioneller Aufzeichnungstools.
§ 22h Sprachnachrichten in Direktnachrichten
Nutzer können in Direktnachrichten (DM) Sprachnachrichten aufnehmen und versenden. Die Sprachaufnahme erfolgt im Browser (MediaRecorder API) und wird nach Bestätigung durch den Nutzer als Audiodatei an den Empfänger übermittelt. Die Audiodatei wird in Cloudflare R2 gespeichert und ist ausschließlich für Sender und Empfänger der jeweiligen Nachricht zugänglich. Sprachnachrichten unterliegen denselben Datenschutzbedingungen wie andere Medieninhalte auf der Plattform. Sprachdaten werden nicht zur Spracherkennung, Transkription oder Analyse verwendet, es sei denn, die KI-Moderation gemäß § 22i greift (ausschließlich zur Inhaltsprüfung, nicht zur Identifizierung von Personen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Aufnahmefunktion.
§ 22i KI-gestützte automatisierte Medienmoderation
(1) Alle auf der Plattform hochgeladenen Mediendateien (Bilder, Videos, Audiodateien, Dokumente) werden einer automatisierten Inhaltsprüfung unterzogen. Die Prüfung läuft unmittelbar nach dem Hochladen im Hintergrund; ein Inhalt kann daher bereits sichtbar sein, bevor die Prüfung abgeschlossen ist. Ziel dieser Analyse ist die Erkennung von Inhalten, die gegen die Plattformregeln, gesetzliche Bestimmungen oder die No-Go-Liste verstoßen.
(2) Die eingesetzten KI-Modelle und Verfahren im Einzelnen:
– Bildanalyse (Llama 3.2 11B Vision): Bilddateien werden durch das KI-Modell Llama 3.2 11B Vision auf unzulässige Bildinhalte geprüft. Das Modell läuft auf Cloudflare Workers AI und verarbeitet die Bilddaten ausschließlich im Rahmen der Inhaltsprüfung; eine Speicherung durch Cloudflare über den Prüfvorgang hinaus erfolgt nicht.
– Audiotranskription und -prüfung (Whisper): Audiodateien werden mittels Whisper (Cloudflare Workers AI) transkribiert. Die Transkription wird ausschließlich zur No-Go-Wort-Prüfung verwendet und nach Abschluss der Prüfung nicht dauerhaft gespeichert.
– Video-Frame-Analyse: Bei Videodateien werden repräsentative Frames extrahiert und wie unter Bildanalyse beschrieben geprüft.
– Dokumentenprüfung und Prüfwarteschlange: Textdateien (TXT, CSV) werden beim Hochladen auf No-Go-Wörter im Klartext geprüft und bei einem Treffer entfernt. Videos ohne prüfbares Standbild, PDF- und Office-Dokumente sowie Dateien sonstigen Typs kommen in eine Prüfwarteschlange, die ein automatischer Prüflauf abarbeitet: Ton wird per Whisper transkribiert, Dokumenttext extrahiert; beides wird gegen die No-Go-Liste und durch das KI-Modell Llama 3.3 (Cloudflare Workers AI) auf verbotene Inhalte (u. a. explizit sexuelle Inhalte, Darstellungen Minderjähriger, Terror, Gewaltdrohungen, Hassrede, Doxxing) geprüft. Bei einem Verstoß sowie bei Dateien, deren Typ nicht automatisch prüfbar ist, wird die Datei ohne vorherige menschliche Prüfung gelöscht und das Master-Konto benachrichtigt. Master und Administratoren können die Warteschlange einsehen und Einträge manuell entscheiden.
(3) Das Moderationsergebnis (z. B. „freigegeben", „entfernt", „manuelle Prüfung") wird in der Datenbank gespeichert. Erkennt die Prüfung einen Verstoß, wird die betroffene Datei gelöscht und der Inhalt entfernt bzw. nicht veröffentlicht; wird ein Beitrag (Post) entfernt, erhält das Master-Konto eine Benachrichtigung. Der betroffene Nutzer erhält bei jeder automatischen Entfernung oder Ablehnung (Beitrag, Kommentarbild, Mediathek-Datei, Profilbild, Story, Event-Bild, Raumdesign-Bild, Intro-Bild/-Video) über das plattforminterne Postfach eine Begründung nach Art. 17 DSA mit Maßnahme, Sachverhalt, Grundlage, dem Hinweis auf den Einsatz automatisierter Mittel und den Rechtsbehelfen; der Versand wird in seiner Akte vermerkt. Automatisch oder aufgrund einer Moderationsentscheidung entfernte bzw. zurückgehaltene Beiträge bleiben als Moderationsbeleg gespeichert (bei KI-Entfernung ohne die gelöschte Datei): Sie erscheinen nicht im Papierkorb des Business Owners, werden vom 30-Tage-Papierkorb nicht gelöscht und bleiben bei einer Kontolöschung erhalten, wobei der Nutzername anonymisiert wird. Eine automatische Löschfrist für Moderationsbelege besteht derzeit nicht.
(4) Die KI-Moderation stellt eine automatisierte Verarbeitung dar. Nutzer haben das Recht, eine Überprüfung durch einen menschlichen Moderator zu beantragen (Art. 22 Abs. 3 DSGVO), indem sie den Support unter der in § 1 genannten Adresse kontaktieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und dem Schutz der Nutzer; Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Pflichten zur Inhaltsmoderation (DSA).
§ 22j Cloudflare Turnstile (Bot-Schutz)
Auf Registrierungs- und Login-Formularen wird Cloudflare Turnstile als CAPTCHA-Alternative eingesetzt, sofern der Master-Toggle aktiviert ist. Cloudflare Turnstile analysiert das Nutzerverhalten (Mausbewegungen, Tastatureingaben, Browser-Fingerprint) um Bot-Aktivitäten zu erkennen, ohne sichtbare Rätsel zu stellen. Die dabei an Cloudflare übermittelten Daten werden von Cloudflare gemäß dessen Datenschutzrichtlinie verarbeitet. Cloudflare ist als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig. Eine Weitergabe der Turnstile-Daten durch Cloudflare an Dritte für Werbezwecke findet nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz der Plattform vor automatisierten Angriffen und Spam-Registrierungen.
§ 22k KI-gestützte Inhaltsübersetzung
Die Plattform bietet eine optionale KI-Übersetzungsfunktion für Kommentare, Umfragen, Newsletter und weitere Textinhalte an. Diese Funktion wird auf Anfrage des Nutzers (Klick auf den Übersetzen-Button) ausgelöst. Der zu übersetzende Text wird in diesem Fall an Cloudflare Workers AI (Modell: Llama 3.3) übermittelt und dort übersetzt — denselben bereits gemäß § 10 dieser Erklärung eingesetzten Auftragsverarbeiter, der auch die technische Infrastruktur der Plattform betreibt. Eine Nutzung des übermittelten Textes für das Training von KI-Modellen erfolgt nicht. Die Übersetzungsfunktion ist optional; Inhalte werden nicht automatisch ohne Nutzerinteraktion übersetzt. Die Übersetzung wird im Browser des anfragenden Nutzers angezeigt und nicht dauerhaft auf der Plattform gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Übersetzungsfunktion; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
§ 22l Empfehlungsalgorithmus und Follow-Overlay
(1) Die Plattform setzt einen interessenbasierten Empfehlungsalgorithmus ein. Besuchern der Plattform wird ein kurzzeitiges Overlay (ca. 20 Sekunden) mit Business Owner-Empfehlungen angezeigt, die dem bei der Registrierung angegebenen Interessengebiet entsprechen. Dieser Algorithmus verwendet ausschließlich das bei der Registrierung angegebene Interessengebiet sowie den Orbit-Typ des Business Owners als Matching-Kriterien; weitere personenbezogene Daten oder Verhaltensprofile werden nicht berücksichtigt.
(2) Der Feed auf /explore und /etobs kann in zwei Modi angezeigt werden: „Für dich" (Entdeckungs-Feed, sortiert nach Interessengebiet und Engagement) und „Folge ich" (chronologischer Feed der gefolgten Business Owners). Die Sortierung basiert auf dem Interessengebiet des Nutzers und Engagement-Signalen (nicht auf verhaltensbasiertem Tracking).
(3) Es werden keine Nutzerprofile für Werbe- oder Marketingzwecke erstellt. Die Empfehlungslogik stellt keine vollautomatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO dar.
(4) Die Plattform speichert Follow-Beziehungen zwischen Nutzern und Business Owners in einer gesonderten Tabelle. Gespeichert werden Follower-Username, gefolgter Business Owner-Username und Zeitstempel der Verlinkung. Diese Daten bilden die technische Grundlage des „Folge ich“-Feeds (§ 22l Abs. 2) sowie der Gewinnspiel-Funktion (§ 22q).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Verbesserung der Plattformerfahrung und der Vernetzung von Business Owners und Nutzern.
§ 22m Live-Umfragen in Räumen
(1) Business Owner können während einer Live-Session in ihrem Raum eine Umfrage starten: eine Frage mit bis zu sechs vorgegebenen Antwortoptionen oder eine Freitext-Umfrage. Frage und Antwortoptionen werden automatisiert gegen die No-Go-Wortliste geprüft (§ 22n).
(2) Für jede Stimmabgabe werden gespeichert: der Nutzername des Abstimmenden, die gewählte Antwortoption bzw. bei Freitext-Umfragen der eingegebene Text, sowie der Zeitpunkt der Abstimmung. Die Verknüpfung der Stimme mit dem Nutzerkonto dient ausschließlich der Verhinderung von Mehrfachabstimmungen; öffentlich angezeigt werden ausschließlich aggregierte Ergebnisse (Stimmenanzahl je Option), nicht die individuelle Zuordnung.
(3) Umfragen und die zugehörigen Stimmen werden nicht automatisch zeitbasiert gelöscht; der Business Owner kann eine Umfrage jederzeit eigenständig löschen, wodurch auch die zugehörigen Stimmen entfernt werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionierenden, missbrauchsgeschützten Umfragefunktion; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner.
§ 22n No-Go-Wortliste und automatische Inhaltsfilterung
(1) Die Plattform unterhält eine plattformweite No-Go-Wortliste, die in allen 114 unterstützten Sprachen nach unzulässigen Begriffen filtert. Zusätzlich kann jeder Business Owner eine eigene No-Go-Wortliste führen, die auf dem Profil des Business Owners gilt. Kommentare, Chat-Nachrichten, Biografien und andere nutzererzeugte Texte werden automatisiert gegen diese Listen geprüft.
(2) Bei einem Treffer wird die Nachricht abgelehnt oder der Inhalt nicht veröffentlicht; der Nutzer erhält eine entsprechende Rückmeldung. Die Ablehnung selbst wird nicht als personenbezogener Datensatz gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit und dem Schutz vor Hassrede und illegalen Inhalten; Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Moderationspflichten (DSA).
§ 22o @Erwähnungen und Business Owner-Verlinkungen
Nutzer können in Post-Texten und Kommentaren andere Business Owner-Profile mittels @Nutzername verlinken. Die Erwähnung wird als Bestandteil des Post- oder Kommentartextes gespeichert und auf der Plattform als anklickbarer Link zu dem verlinkten Business Owner-Profil dargestellt. Die erwähnte Person wird durch die Verlinkung nicht über die bestehenden Benachrichtigungsfunktionen informiert. Ein Anspruch auf Löschung der Erwähnung im Text eines anderen Nutzers besteht nicht, soweit der Text selbst rechtmäßig ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an sozialer Interaktion auf der Plattform.
§ 22r Wahrheitserklärung bei eigenen Rechnungsdaten
Beim Speichern der eigenen Rechnungsdaten (Name/Firma, Anschrift, Steuerangaben etc., § 8g/§ 8m dieser Erklärung) muss aktiv per Checkbox bestätigt werden, dass die gemachten Angaben wahrheitsgemäß und für den vorgesehenen Zweck vollständig sind. Zeitpunkt und IP-Adresse dieser Bestätigung werden zusammen mit den Rechnungsdaten gespeichert, um im Streit- oder Missbrauchsfall nachweisen zu können, dass und wann diese Erklärung abgegeben wurde (vgl. § 5b, Nachweise zur Rechtsänderungsbestätigung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der Dokumentationspflicht; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall.
§ 22s KI-gestützte Beschwerdebearbeitung mit vollständigem Akte-Zugriff
(1) Reicht ein Nutzer (Business Owner oder Client) eine Beschwerde, Reklamation oder einen Widerruf ein — gegenüber seinem Vertragspartner (Business Owner bzw. Client) oder gegenüber EPTEC selbst —, kann eine KI-gestützte Funktion zur automatisierten, faktenbasierten Erstbeantwortung eingesetzt werden. Hierfür greift diese Funktion vollständig auf die in der jeweiligen Akte (§ 8j) dokumentierten Daten des betroffenen Accounts zurück, insbesondere: Name, E-Mail-Adresse, IP-Adressen; sämtliche jemals angekreuzten und bestätigten Checkboxen/Einwilligungen samt Zeitpunkt und IP-Adresse; Profildaten einschließlich der im Marktplatz-Profil und bei Only Social hinterlegten Angaben sowie deren spätere Änderungen; Sicherheitsmaßnahmen (Zwei-Faktor-Methoden, Vault-PIN) und deren Aktivierungsstatus; dokumentierte Funktionsnutzung; Zahlungs- und Rechnungsdaten sowie vom Vertragspartner gemeldete Zahlungsnachweise; Moderationsmaßnahmen. Änderungen an den vorgenannten Daten werden ebenfalls in der Akte dokumentiert und stehen dieser Funktion zur Verfügung. Die KI-Antwort stützt sich ausschließlich auf diese dokumentierten Fakten sowie auf die einschlägigen Regelungen dieser Erklärung, der AGB und der Hausordnung — sie erfindet keine Tatsachen. Jeder Fall erhält eine automatische Antwort; steht die KI-Funktion nicht zur Verfügung, wird eine feste automatische Antwort aus vorbereiteten Textbausteinen versandt. Fälle, die nicht von der KI beantwortet werden, sowie heikle oder als dringend bestätigte Fälle (Abs. 2) werden zusätzlich einem Menschen vorgelegt: bei Beschwerden an EPTEC einem zugewiesenen Administrator (ersatzweise dem Master), bei Beschwerden an einen Business Owner diesem selbst; heikle Fälle erhalten Administrator und Master zusätzlich zur Kenntnis. Die KI-Antwort sowie die zugrunde gelegten Fakten werden im Master-/Admin-Profil protokolliert. Die automatische Antwort ist eine Erstantwort anhand der dokumentierten Fakten; sie ist keine abschließende Entscheidung über gesetzliche Rechte (insbesondere ein Widerrufsrecht nach §§ 355 ff. BGB), die davon unberührt bleiben.
(2) Automatische Einstufung. Jede Beschwerde, Reklamation, jeder Widerruf und jede Anregung wird automatisiert eingestuft. Zweck ist ausschließlich (a) die Priorisierung der Bearbeitung, (b) die sofortige Alarmierung eines Menschen in heiklen oder dringenden Fällen und (c) die Anzeige eines festen Hilfe- und Notrufhinweises in der Sprache der einreichenden Person. Hierzu wird der Text mit festen Begriffslisten in allen 114 unterstützten Sprachen abgeglichen (Themenbereiche: Suizid/Selbstverletzung, Gewalt/Drohung, Missbrauch/Kindeswohl, akute Lebensgefahr/Notfall) und — soweit die KI-Funktion verfügbar ist — durch das KI-Modell Llama 3.3 auf Cloudflare Workers AI (vgl. § 10) als „heikel“, „dringend“ oder „normal“ eingestuft; die KI gibt dazu eine kurze Begründung aus. Bei Beschwerden und Anregungen an EPTEC wählt die einreichende Person zusätzlich selbst eine Dringlichkeit („dringend“, „normal“ oder „leicht“); diese Wahl allein löst keine Alarmierung aus. Ein Treffer der Begriffsliste, eine KI-Einstufung „heikel“ oder eine nicht auswertbare KI-Einstufung führen vorsorglich zur Einstufung „heikel“. Die Einstufung hat keine rechtliche Wirkung gegenüber der einreichenden Person und ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO; sie bestimmt nur, ob und wie schnell ein Mensch eingebunden wird.
(3) Wer Einstufung und Begründung sieht. Einstufung, Begründung und Quelle (Begriffsliste oder KI) werden in einem internen Bearbeitungsprotokoll in der Akte des Master-Kontos gespeichert. Bei heiklen oder als dringend bestätigten Fällen erhalten der zugewiesene Administrator und das Master-Konto eine Mitteilung im plattforminternen Nachrichtensystem sowie eine Push-Benachrichtigung, das Master-Konto zusätzlich eine E-Mail (Versand über Resend, vgl. § 4g); diese Mitteilungen enthalten den Beschwerdetext, die Einstufung und die Begründung. Im Beschwerde-Eingang für Beschwerden und Anregungen an EPTEC werden Beschwerdetext, Einstufung und Begründung angezeigt: dem Master-Konto (alle Fälle), Administratoren mit dem Bereich Kundendienst oder Geschäftsführung (alle Fälle, lesen und beantworten) und im Übrigen dem jeweils zugewiesenen Administrator (nur die ihm zugewiesenen Fälle); jeder Zugriff über einen Bereich wird protokolliert (§ 4b). Bei einer Beschwerde an einen Business Owner erhält dieser den Beschwerdetext zur Bearbeitung, nicht aber die Einstufung. In der Akte der einreichenden Person werden nur neutrale Angaben vermerkt (Fallnummer, Empfänger, gewählte Dringlichkeit, Art der Antwort, Erteilung oder Widerruf der Einwilligung nach Abs. 4) — weder der Beschwerdetext noch die Einstufung, damit diese über Einsichtsrechte Dritter in Ihre Akte (z. B. eines Business Owners nach § 8j Abs. 1a) nicht bekannt werden.
(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Beschwerdetexte können Angaben enthalten, aus denen Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO hervorgehen (z. B. Hinweise auf eine Erkrankung oder eine persönliche Krise); auch die Einstufung und ihre Begründung (Abs. 2) können solche Angaben enthalten. Bitte teilen Sie solche Angaben nur mit, soweit sie für Ihr Anliegen erforderlich sind. Im Beschwerdeformular können Sie freiwillig und ausdrücklich einwilligen, dass EPTEC solche Angaben zur Bearbeitung Ihres Anliegens verarbeitet (Art. 9 Abs. 2 lit. a DSGVO). Der Wortlaut der Einwilligung (Textversion art9-beschwerde-v1) lautet: „Freiwillig: Ich willige ausdrücklich ein, dass EPTEC Angaben zu meiner Gesundheit oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), die ich in dieser Nachricht mache, zur Bearbeitung meines Anliegens verarbeitet – einschließlich automatischer Einstufung, KI-gestützter Antwort und Benachrichtigung der zuständigen Bearbeiter (Datenschutzerklärung § 22s). Ohne Haken wird meine Nachricht trotzdem bearbeitet. Ich kann die Einwilligung jederzeit widerrufen.“ Das Kästchen ist nicht vorausgewählt; die Einwilligung ist keine Voraussetzung für das Absenden, ohne sie wird Ihr Anliegen ebenfalls bearbeitet und beantwortet. Erteilung oder Nichterteilung werden mit Zeitpunkt und Textversion in Ihrer Akte (§ 8j) und am jeweiligen Fall gespeichert. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — direkt im Beschwerdeformular über „Einwilligung (Art. 9 DSGVO) widerrufen“ oder über die in § 1 genannte Adresse (Art. 7 Abs. 3 DSGVO); der Widerruf wird ebenfalls in Ihrer Akte vermerkt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
(5) Ohne Einwilligung. Auch ohne Einwilligung nach Abs. 4 wird Ihr Anliegen vollständig bearbeitet, einschließlich automatischer Einstufung (Abs. 2), Benachrichtigung der zuständigen Bearbeiter (Abs. 3) und automatischer Antwort (Abs. 1); dabei können Angaben im Sinne von Art. 9 Abs. 1 DSGVO, die Sie in Ihrer Nachricht machen, mitverarbeitet werden. Rechtsgrundlage hierfür ist bei Hinweisen auf eine akute Gefahr für Leben oder Gesundheit Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen) und im Übrigen Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen).
(6) Speicherdauer. Beschwerdetext, Einstufung, Begründung, die Mitteilungen nach Abs. 3 sowie der Nachweis zur Einwilligung und zu ihrem Widerruf (Abs. 4) werden wie die Akte gespeichert (§ 8j, § 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bearbeitung von Beschwerden im Rahmen des Nutzungsverhältnisses); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer schnellen, faktenbasierten und nachvollziehbaren Streitbeilegung sowie an der sofortigen Einbindung eines Menschen in heiklen Fällen; Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung für besondere Kategorien personenbezogener Daten (Abs. 4); ohne Einwilligung Art. 9 Abs. 2 lit. c bzw. lit. f DSGVO (Abs. 5); Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO — Nachweis der Einwilligung und ihres Widerrufs.
§ 22t Plattform-Fehlerprotokoll und Störungsausgleich
Zur Prüfung von Störungsmeldungen nach § 12 Abs. 8 AGB protokolliert EPTEC technische Fehler auf Plattformseite (Zeitpunkt, Nutzername, betroffene Lizenz und Funktion, Fehlercode). Erfasst werden ausschließlich Fehler im Verantwortungsbereich der Plattform (z. B. Serverfehler oder ein fehlgeschlagener Verbindungsaufbau zur Video- und Anruf-Infrastruktur), nicht jedoch Ursachen im Bereich der Nutzer (Endgerät, Internetverbindung, verweigerte Berechtigungen). Vorübergehende Einschränkungen wegen der Kostendeckungsgrenze nach § 12 Abs. 5 AGB werden gesondert vermerkt und gelten nicht als Störung. Die Prüfung einer Störungsmeldung erfolgt vollautomatisch durch Abgleich mit diesem Protokoll unter Einsatz eines KI-Systems (Logik und Folgen: § 17); das Ergebnis wird dem Business Owner mit Begründung über das interne Nachrichtensystem mitgeteilt. Für die KI-Bewertung werden die angekreuzten Lizenzen und Funktionen, der angegebene Zeitraum, Ihr freier Text sowie eine zusammengefasste Auswertung des Fehlerprotokolls ohne Nutzernamen an den KI-Dienst der Anthropic, PBC (USA) übermittelt (§ 19); steht dieser Dienst nicht zur Verfügung, entscheidet allein der Abgleich mit dem Protokoll. Master- und Administratorkonten können alle Störungsmeldungen samt Ergebnis einsehen.
Protokolleinträge werden nach 90 Tagen gelöscht. Einträge, die als Beleg zu einer Störungsmeldung dienen, werden zusammen mit der Meldung, dem Prüfergebnis und einem etwaigen Ausgleich in der Akte des Business Owners gespeichert (vgl. § 22s).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Störungsausgleich nach § 12 Abs. 8 AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall.
§ 22u Kostenwächter und Kontingente (Plattform- und persönliches Kontingent)
Damit die Plattform nie mehr ausgibt, als sie einnimmt (§ 12 Abs. 5 AGB), erfasst EPTEC die Nutzung kostenverursachender Funktionen (z. B. Video-/Live-Minuten, KI-Aufrufe) und ordnet sie dem jeweiligen Business Owner zu; die Nutzung seiner verknüpften Clients wird ihm zugerechnet. Gespeichert werden je Business Owner die verbrauchten Mengen, die daraus berechneten Kosten, eigene Zahlungen an EPTEC, anteilige Fixkosten, Zahlungsgebühren sowie zurückgebuchte Beträge und Rückbuchungsgebühren. Daraus wird der im Profil angezeigte Prozentstand berechnet. Ist ein Kontingent aufgebraucht, werden die betroffenen Funktionen automatisiert eingestellt; jede Einstellung wird mit Zeitpunkt protokolliert und in der Akte vermerkt.
Für die Erkennung von Rückbuchungen und Erstattungen fragt EPTEC den Status bereits erfolgter Zahlungen beim jeweiligen Zahlungsanbieter ab (Transaktionskennung, Betrag, Status). Die Kontingentdaten werden für die Dauer der Geschäftsbeziehung gespeichert; Zahlungsbezogene Angaben unterliegen den gesetzlichen Aufbewahrungsfristen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (vereinbarte Kapazitätsgrenzen nach § 12 Abs. 5 AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an wirtschaftlicher Tragfähigkeit und Missbrauchsvermeidung; Art. 6 Abs. 1 lit. c DSGVO — handels- und steuerrechtliche Aufbewahrungspflichten.
§ 22v Sanktions- und Sperrlistenprüfung
Bei Registrierung und Bezahlung wird das aus der IP-Adresse abgeleitete Land (Cloudflare-Geolokalisierung) mit staatlichen Sanktionslisten und der eigenen Sperrliste von EPTEC abgeglichen. Bestehende Konten werden regelmäßig anhand des bei der Registrierung erfassten Landes sowie der eigenen Sperrliste (Länder, Unternehmen, Personen) geprüft. Bei einem Treffer wird der Zugang gesperrt, der Nutzer über das interne Nachrichtensystem informiert und die Sperre mit Grund und Löschdatum in der Akte vermerkt. Nach Ablauf der Exportfrist von 30 Tagen wird das Profil gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (§ 34b AGB). Wird der Eintrag vor Fristablauf entfernt, wird die Sperre automatisch aufgehoben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Einhaltung von Sanktionsvorschriften; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (§ 34b AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz der Plattform und ihrer Reputation.
§ 22w Dokumentation von Zustimmungen und Monatsauszug
Jede bei Registrierung oder Bezahlung erteilte Pflicht-Zustimmung wird mit Zeitstempel, IP-Adresse und vollständigem Wortlaut in der Akte gespeichert, insbesondere: Kapazitätsgrenzen und Kostendeckel, Abgang statt Rückbuchung, Eigenverantwortung für Steuern und Gesetze einschließlich Reverse Charge, Rolle von EPTEC als Infrastrukturgeber, Sanktions- und Sperrlisten, sowie die Vorab-Zustimmung zu künftigen Preisänderungen. Auf Grundlage dieser Vorab-Zustimmung werden angekündigte Preisänderungen automatisch als angenommen vermerkt und dem Nutzer mitgeteilt.
Alle Nutzer erhalten monatlich ein Wartungsprotokoll der Plattform in ihren Posteingang; Zustellung und Öffnen werden in der Akte vermerkt. Business Owner erhalten monatlich einen Auszug ihrer Zustimmungen und der im Vormonat erfolgten Funktionseinstellungen in ihren Posteingang; Zustellung und Öffnen des Auszugs werden in der Akte vermerkt. EPTEC kann diese Nachweise im Streitfall (insbesondere bei einer Rückbuchung) der Bank oder dem Zahlungsdienstleister vorlegen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 22x Kostenregister
EPTEC führt ein internes Kostenregister aller kostenverursachenden Dienste (z. B. Cloudflare, LiveKit, Resend, Anthropic, Zahlungsdienstleister). Es enthält ausschließlich Betriebs- und Kostendaten der Plattform und keine personenbezogenen Daten der Nutzer; es dient der Berechnung des Plattformkontingents und der anteiligen Fixkosten nach § 22u.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an wirtschaftlicher Tragfähigkeit.
§ 22y Herkunftsprüfung auf ETOBS African (Afrika-Exklusivität)
Ist die Afrika-Exklusivität eingeschaltet (§ 34d AGB), verarbeitet EPTEC vor jeder Zahlung auf ETOBS African folgende Daten, um festzustellen, ob die Zahlung aus Afrika erfolgt: das Land Ihrer IP-Adresse und den Netzbetreiber Ihrer Verbindung (zur Erkennung von VPN-, Proxy-, Anonymisierungs- und Rechenzentrumsnetzen, bereitgestellt von Cloudflare), den Standort Ihres Endgeräts (Browser-Standortfreigabe; es wird nur geprüft, ob er in Afrika liegt), die Länder Ihrer Anmeldungen der letzten 90 Tage, das Land in Ihren Rechnungsdaten sowie bei PayPal-Zahlungen das Land Ihres PayPal-Kontos, das PayPal an EPTEC übermittelt. Zusätzlich wertet ein automatischer Prüflauf täglich die Länder Ihrer Anmeldungen und Seitenaufrufe der letzten 30 Tage aus. Das Ergebnis der Prüfung, die Ihre Zustimmung nach § 34d Abs. 3 AGB und – bei widersprüchlichen Angaben – eine automatische Meldung an die Moderation werden in Ihrer Akte gespeichert. Die Entscheidung erfolgt automatisiert (Art. 22 Abs. 2 lit. a und c DSGVO: zur Vertragserfüllung erforderlich und ausdrücklich eingewilligt). Bei einem festgestellten Verstoß erhalten Sie eine Löschankündigung über das Nachrichtensystem; Ihr Konto wird eingefroren (Business Owner zum Ende der laufenden Betriebskostenlizenz, Clients zum Ende ihrer bezahlten Laufzeit) und 30 Tage danach gelöscht. Bis zur Löschung können Sie über die Beschwerdewege der Plattform widersprechen, eine Überprüfung durch einen Menschen verlangen und Ihre Daten über den Datenexport sichern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: ETOBS African ist Menschen und Unternehmen in Afrika vorbehalten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch der regionalen Preise). Speicherdauer wie Akte (§ 22w).
§ 22z Jugendschutz und Beweissicherung
Besteht der Verdacht, dass eine minderjährige Person die Plattform nutzt oder dass Inhalte Minderjährige zeigen, sperren wir das Konto sofort, machen alle Inhalte unsichtbar und sichern die Beweise (Akte, Inhalte, Anmeldedaten) gesperrt. Während eines solchen Falls löschen wir das Konto nicht, auch nicht auf Ihren Antrag, soweit die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zur Verfolgung von Straftaten erforderlich sind (Art. 17 Abs. 3 lit. b und e DSGVO). Bei Verdacht einer Straftat übermitteln wir die gesicherten Daten auf Anforderung an die zuständigen Strafverfolgungsbehörden (Art. 18 Digital Services Act). Nach Abschluss des Falls werden die Daten gelöscht; bei einer lediglich angemeldeten minderjährigen Person ohne Straftat nach einer Sicherungsfrist von 7 Tagen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, u. a. Jugendschutz, Art. 18 DSA) und Art. 6 Abs. 1 lit. f DSGVO (Schutz Minderjähriger, Beweissicherung).
Meldungen (DSA): Für Meldungen speichern wir Kategorie, Beschreibung, gemeldeten Inhalt, Ihre Kontaktangaben bzw. Ihr Konto sowie Entscheidung und Begründung, um Ihnen Eingangsbestätigung und Entscheidung mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA).
§ 22aa B2B-Erklärung und Erklärung als Privatperson (Geschäftsmodell-Lizenz (B2B oder B2C))
Hat ein Business Owner die Geschäftsmodell-Lizenz (B2B oder B2C) eingeschaltet (AGB § 34f), speichern wir bei der ersten Aufnahme und bei jedem Tarifwechsel die B2B-Erklärung eines Unternehmens-Clients bzw. die Erklärung eines Clients als Privatperson (Schwur, sofortiger Leistungsbeginn mit Erlöschen des Widerrufsrechts, Wohnsitzland und weitere Punkte nach AGB § 34f Abs. 5): Zeitpunkt, IP-Adresse, Name des Business Owners, gewählte Vertragsart (Privatperson/Unternehmen) und den vollständigen Wortlaut. Der Nachweis wird in der Akte des Clients und in der Akte des Business Owners abgelegt; außerdem halten wir jede Änderung der Schalter in der Akte des Business Owners fest.
Rechtsgrundlage ist die Durchführung des Vertrags zwischen Client und Business Owner (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse an einem lückenlosen Nachweis der übernommenen Pflichten, etwa bei Rückbuchungen, Streitfällen oder Behördenanfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer richtet sich nach der Akte; gesetzliche Aufbewahrungsfristen bleiben unberührt.
§ 22ab Löschung von Konten ohne Kaufabschluss
Konten, bei denen innerhalb von 30 Tagen nach der Registrierung kein Kauf abgeschlossen wird (Business Owner: Freimonat eingelöst; Client: vom Business Owner bestätigte Mitgliedschaft), löschen wir automatisch (AGB § 6a). Dazu prüfen wir regelmäßig Registrierungszeitpunkt, eingelöste Lizenzen und bestätigte Mitgliedschaften. Sieben Tage und einen Tag vorher erinnern wir über das Nachrichtensystem. Vor der Löschung sichern wir die Akte; gesetzlich aufzubewahrende Nachweise bleiben für die gesetzlichen Fristen erhalten.
Rechtsgrundlage ist der Grundsatz der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO) sowie die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Aufbewahrung der Nachweise beruht auf gesetzlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO).
§ 22ac Hinweisgeber-Meldekanal
(1) Über die Seite /hinweisgeber können Hinweise auf Verstöße (Hinweisgeberschutzgesetz, HinSchG) gemeldet werden – ohne Anmeldung oder angemeldet. Ohne Anmeldung ist die Meldung immer anonym; angemeldete Nutzer melden standardmäßig anonym und werden nur dann mit ihrem Benutzernamen gespeichert, wenn sie „anonym melden“ ausdrücklich abwählen. Verarbeitet werden: Kategorie, Meldetext, Zeitpunkte (Eingang, Eingangsbestätigung, Frist für die Rückmeldung, Abschluss), Status, die Nachrichten zwischen meldender Person und Meldestelle sowie gegebenenfalls der Benutzername. Zur Missbrauchsabwehr wird die IP-Adresse kurzzeitig für die Begrenzung der Anfragen (Rate-Limit) verwendet, aber nicht mit der Meldung gespeichert. Ist der Bot-Schutz eingeschaltet, wird zusätzlich Cloudflare Turnstile eingesetzt (§ 22j).
(2) Mit der Meldung erhalten Sie eine Fall-Kennung und einen Geheimcode. Der Geheimcode wird nur als Prüfwert (SHA-256) gespeichert und kann nicht wiederhergestellt werden; mit Kennung und Code können Sie den Status abrufen, Rückfragen lesen und antworten, ohne Ihre Identität preiszugeben.
(3) Zugriff auf Meldungen haben ausschließlich das Master-Konto und die für den Bereich Hinweisgeber freigeschalteten Administratoren (interne Meldestelle); auch Administratoren mit dem Bereich Geschäftsführung haben ohne diese gesonderte Freischaltung keinen Zugriff. Die Meldestelle wird über neue Meldungen im plattforminternen Postfach benachrichtigt. In Benachrichtigungen und Akte-Einträgen werden nur Fall-Kennung, Kategorie und Bearbeitungsschritte (einschließlich der bearbeitenden Person der Meldestelle) vermerkt – weder der Meldetext noch die Identität der meldenden Person.
(4) Speicherdauer: Abgeschlossene Meldungen und ihre Akte-Einträge werden drei Jahre nach Abschluss des Verfahrens automatisch gelöscht. Nicht abgeschlossene Meldungen bleiben bis zu ihrem Abschluss gespeichert.
(5) Personen, die in einer Meldung genannt werden, werden über die Verarbeitung nicht gesondert informiert, solange und soweit dies die Vertraulichkeit der meldenden Person (§ 8 HinSchG) oder die Aufklärung des gemeldeten Sachverhalts gefährden würde (Art. 14 Abs. 5 lit. b DSGVO, § 29 Abs. 1 BDSG).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 10, 12, 16, 17 HinSchG, soweit eine Pflicht zum Betrieb einer internen Meldestelle besteht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Aufdeckung und Abstellung von Verstößen.
§ 22ad Unternehmensauftritte in sozialen Netzwerken und automatische Antworten
(1) EPTEC betreibt für die Marke ETOBS eigene Auftritte (Profile, Seiten, Kanäle) in sozialen Netzwerken und Diensten; technisch unterstützt werden X (Twitter), Bluesky, Telegram, Discord, Mastodon, LinkedIn, Pinterest, Facebook, Instagram, Threads, YouTube und TikTok, genutzt werden die jeweils eingerichteten Zugänge. Auf diesen Auftritten veröffentlicht ein automatisiertes System täglich Beiträge, die als Werbung gekennzeichnet sind („[Werbung]“). Wenn Sie diese Auftritte besuchen, mit ihnen interagieren oder ihnen folgen, verarbeitet der jeweilige Betreiber des Netzwerks Ihre Daten nach seinen eigenen Datenschutzbestimmungen; EPTEC hat darauf keinen Einfluss.
(2) Automatische Antworten auf öffentliche Beiträge: Auf X, Bluesky und Threads sucht das System nach öffentlichen Beiträgen zu bestimmten Themen und kann darauf im Namen der Marke antworten. Dazu wird der Text des gefundenen öffentlichen Beitrags an den KI-Dienst der Anthropic, PBC (USA) übermittelt, der die Antwort formuliert (§ 19). Auf YouTube werden Videos zu bestimmten Suchbegriffen kommentiert, ohne dass deren Inhalt an den KI-Dienst übermittelt wird. Jede Antwort ist als Werbung gekennzeichnet („[Werbung]“). Ein Protokoll der Bot-Läufe wird derzeit ohne automatische Löschfrist gespeichert.
(3) Gemeinsame Verantwortlichkeit: Soweit EPTEC eine Facebook-Seite oder ein Instagram-Konto betreibt, ist EPTEC für die Verarbeitung von Daten zur Erstellung von Seiten-Statistiken („Insights“) gemeinsam mit der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland, verantwortlich (Art. 26 DSGVO). Meta übernimmt nach der Vereinbarung über die gemeinsame Verantwortlichkeit („Page Insights Controller Addendum“, abrufbar unter https://www.facebook.com/legal/terms/page_controller_addendum) die primäre Verantwortung für diese Verarbeitung und für die Erfüllung der Betroffenenrechte; Sie können Ihre Rechte auch gegenüber EPTEC geltend machen, EPTEC leitet Anfragen an Meta weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Darstellung und Bewerbung der Marke und an der Kommunikation mit Interessenten. Sie können der Verarbeitung nach Art. 21 DSGVO über die in § 1 genannte Adresse widersprechen.
Sprachversionen
Diese Datenschutzerklärung wird in deutscher Sprache bereitgestellt; in anderen Sprachen wird sie auf Wunsch beim Aufruf maschinell (KI-gestützt) übersetzt. Bei Widersprüchen zwischen Sprachversionen ist die deutsche Fassung maßgeblich.
EPTEC · Betreiberin der Marke ETOBS · Datenschutzerklärung Version 1.9 · Stand 14.10.2026 · Gemäß Art. 13, 14 DSGVO