Privacy
EPTEC
Betreiberin der Marke ETOBS
Datenschutzerklärung
Stand: 12.11.2026 · Version 2.14 · gilt ab Veröffentlichung · Gemäß Art. 13, 14 DSGVO
§ 1 Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
EPTEC
Betreiberin der Marke ETOBS
Luisenstraße 4, 32052 Herford
E-Mail: info@etobsprofessional.com
info@etobscreative.com
info@etobsafrican.com
Für Datenschutzanfragen ist ausschließlich die oben genannte Adresse maßgeblich. EPTEC ist nicht verpflichtet, eine/n Datenschutzbeauftragte/n zu benennen (§ 38 BDSG); eine entsprechende Person ist nicht bestellt.
§ 2 Grundsätze der Datenverarbeitung
EPTEC verarbeitet personenbezogene Daten ausschließlich auf Grundlage einer der folgenden Rechtsgrundlagen der DSGVO:
– Art. 6 Abs. 1 lit. a — Einwilligung der betroffenen Person
– Art. 6 Abs. 1 lit. b — Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen
– Art. 6 Abs. 1 lit. c — Erfüllung einer rechtlichen Verpflichtung
– Art. 6 Abs. 1 lit. f — Wahrung berechtigter Interessen, sofern nicht Interessen oder Grundrechte der betroffenen Person überwiegen
Jede Verarbeitungstätigkeit in dieser Erklärung ist der jeweils zutreffenden Rechtsgrundlage zugeordnet. Soweit Verarbeitung auf berechtigten Interessen beruht, wurden diese gegen die Interessen der betroffenen Personen abgewogen.
§ 3 Server-Logdaten
Beim Aufruf der Plattform werden automatisch technische Verbindungsdaten erfasst: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge sowie Browser- und Geräteinformationen.
Diese Daten werden ausschließlich zur Gewährleistung der Systemsicherheit, zur Fehleranalyse und zur Abwehr missbräuchlicher Zugriffe verwendet. Für die allgemeinen, kurzfristig gespeicherten Verbindungsdaten (Löschung nach spätestens 30 Tagen) findet keine Zuordnung zu Nutzerkonten statt. Abweichend davon werden sicherheitsrelevante Ereignisdaten (z. B. verdächtige Zugriffsmuster, Login-Versuche, Moderationsauslöser) für bis zu drei Jahre gespeichert und — soweit zum Zeitpunkt des Ereignisses ein Nutzerkonto zugeordnet werden kann — mit Nutzer-ID und Benutzername verknüpft, soweit dies zur Erkennung, Nachverfolgung und Abwehr sicherheitsrelevanter Vorfälle erforderlich ist; diese Ereignisse erscheinen in diesem Fall auch in der Akte des betroffenen Nutzers (§ 8j). Technische Fehlerprotokolle der Plattform (Zeitpunkt, aufgerufene Funktion, Fehlercode und — sofern Sie angemeldet sind — Ihr Benutzername) werden nach 30 Tagen automatisch gelöscht; für das Fehlerprotokoll zur Prüfung von Störungsmeldungen gilt § 22t.
Sicherheitskennzeichen beim Anmeldezustand: Kann eine Änderung Ihres Anmeldezustands (z. B. Passwortwechsel, Abmeldung, Sperre) technisch nicht sofort an alle Teile der Plattform weitergegeben werden, speichert EPTEC für Ihr Konto vorübergehend ein Sicherheitskennzeichen (Benutzerkennung, Zeitpunkt seit, technischer Grund), damit Ihr Anmeldezustand bis zur erfolgreichen Weitergabe direkt aus der Datenbank geprüft wird. Das Kennzeichen wird über die tägliche Löschfrist entfernt, sobald die Weitergabe gelungen oder das Konto gelöscht ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit und Stabilität der Plattform.
§ 3a Reichweitenmessung (Traffic-Analyse)
(1) Zusätzlich zu den technischen Verbindungsdaten nach § 3 erfasst die Plattform bei jedem Seitenaufruf statistische Nutzungsdaten zur Reichweitenmessung: aufgerufene Seite, Herkunftsseite (Referrer, sofern vom Browser übermittelt), Land/Region/Kontinent (IP-basiert ermittelt, vgl. § 3), im Browser eingestellte Sprache (Accept-Language-Header), Gerätetyp und Browserfamilie, Verweildauer auf der Seite sowie eine pseudonyme Sitzungskennung.
(2) Die Sitzungskennung wird ausschließlich im sitzungsgebundenen Speicher des Browsers (sessionStorage) abgelegt, nicht in einem Cookie. Sie wird beim Schließen des Browser-Tabs automatisch gelöscht und ermöglicht keine Wiedererkennung des Nutzers in einer späteren Sitzung oder auf anderen Websites. Es werden keine Cookies zu Analyse-, Werbe- oder Trackingzwecken gesetzt (vgl. § 6).
(3) Diese Daten dienen der statistischen Auswertung der Plattformnutzung (z. B. Besucherzahlen, beliebte Inhalte, Herkunft der Besucher) zur Weiterentwicklung und wirtschaftlichen Steuerung der Plattform. Master- und Administratorkonten haben Zugriff auf eine aggregierte Auswertung dieser Daten, exportierbar als CSV-Datei.
(4) Auf der Startseite wird zusätzlich die ungefähre Anzahl aktuell eingeloggter, aktiver Nutzer angezeigt, aufgeschlüsselt nach Land, Region (IP-basiert ermittelt, vgl. § 3) und Browsersprache — jeweils als aggregierte Sitzungs-Zählung je Kategorie (z. B. "Deutschland: 5, davon Bayern: 3"). Es werden zu keinem Zeitpunkt Benutzername, Kontoname, Profil oder sonstige individualisierende Merkmale einzelner Nutzer auf der Startseite angezeigt — die Darstellung bleibt auch mit dieser feineren Aufschlüsselung eine Aggregatstatistik, keine Einzelpersonen-Anzeige.
(5) Eine Zuordnung zu einzelnen Nutzerkonten erfolgt nur, sofern der Besucher zum Zeitpunkt des Seitenaufrufs eingeloggt ist; für nicht eingeloggte Besucher bleiben die Daten pseudonym.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der statistischen Auswertung und Weiterentwicklung des Angebots. Da keine Cookies oder vergleichbaren Technologien im Sinne von § 25 TDDDG eingesetzt werden, ist keine Einwilligung erforderlich.
§ 4 Registrierung und Nutzerkonto
(1) Erhobene Daten
Die Registrierung erfolgt entweder über OAuth-Authentifizierung (derzeit Google, Microsoft, Apple, Facebook, TikTok, Snapchat, Discord, LinkedIn, X/Twitter, GitHub, LINE, Telegram und Bluesky) oder direkt mit selbst gewähltem Benutzernamen, E-Mail-Adresse und Passwort. EPTEC erhebt und speichert dabei:
– Öffentliche Profilkennung und Anzeigename des OAuth-Anbieters (bei OAuth-Registrierung)
– Benutzername (bei Registrierung mit Benutzername und Passwort)
– E-Mail-Adresse (sofern vom OAuth-Anbieter übermittelt, bzw. bei direkter Registrierung als Pflichtfeld)
– Profilbild (manuell hochgeladene Datei oder URL)
– Profiltyp (Nutzer / Business Owner)
– Bis zu acht selbst eingetragene Profil-Links (gemäß AGB § 9 Abs. 3)
– Freiwillig eingetragene Profilbeschreibung (Bio) sowie sonstige selbst eingetragene Freitextangaben (z. B. Profilinformationen, Interessenangaben)
– Orbit-Nummer (technisch generierte Kontokennung, vgl. § 4a)
– Kennzeichen, ob ein Altersnachweis vorliegt (ja/nein); bei älteren Konten ggf. das Ergebnis einer früher angebotenen Ausweisprüfung. Bei der Registrierung findet keine Ausweisprüfung mehr statt; neue Konten erhalten das Kennzeichen „nein“.
– Bestätigung der Volljährigkeit per Pflicht-Checkbox und, auf ETOBS African, der Wohnsitz-Schwur per Pflicht-Checkbox (jeweils mit Zeitpunkt und Wortlaut)
Bei Registrierung mit Benutzername und Passwort wird das Passwort ausschließlich in Form eines nicht umkehrbaren, kryptographischen Hash-Wertes mit individuellem Zufalls-Salt gespeichert (vgl. § 11). EPTEC selbst hat zu keinem Zeitpunkt Kenntnis vom Klartext-Passwort. Das Nutzerkonto wird unmittelbar nach der Registrierung freigeschaltet. Die angegebene E-Mail-Adresse wird dabei nicht auf tatsächliche Inhaberschaft überprüft; sie wird jedoch gemeinsam mit Benutzername, IP-Adresse und Zeitstempel gespeichert (vgl. § 4 Abs. 1, Registrierungsnachweise), um im Streit- oder Missbrauchsfall eine Zuordnung zu ermöglichen. Der Nutzer ist verantwortlich für die Richtigkeit und dauerhafte Erreichbarkeit der angegebenen E-Mail-Adresse; EPTEC übernimmt keine Haftung für Folgen einer fehlerhaften, fremden oder nicht mehr zugänglichen E-Mail-Adresse, insbesondere für eine dadurch erschwerte oder unmögliche Kontowiederherstellung (vgl. § 4h).
(2) Zweck
Die Daten werden zur Erstellung und Verwaltung des Nutzerkontos, zur Bereitstellung der vertraglich vereinbarten Plattformfunktionen sowie zur Kommunikation mit dem Nutzer verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages. Für die Bestätigung der Volljährigkeit zusätzlich Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Altersschutzpflichten.
§ 4a Zugangscodes und raumbasierte Zugangsdaten
Für den Zugang zu Räumen der Plattform werden Sharing-, Client-Collab-, Second-Life- und Session-Sharing-Codes sowie Admin-Registrierungscodes vergeben (AGB § 16a). Gespeichert werden Code, ausstellendes Konto, einlösendes Konto, Zeitpunkt und Anzahl der Einlösungen; Admin-Registrierungscodes werden nur als Prüfwert gespeichert und nach der Einlösung als verwendet markiert. Löst ein Client einen Session-Sharing-Code ein, wird sein Konto mit dem Konto des ausstellenden Clients verknüpft. Die Orbit-Nummer ist eine plattformintern generierte, technische Kontokennung, die ausschließlich zur Verwaltung von Zugriffsberechtigungen und raumspezifischen Zuordnungen verwendet wird. Sie wird nicht an Dritte weitergegeben und enthält keine personenbezogenen Informationen der betroffenen Person.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Zugangsverwaltung zu gebuchten Leistungen).
§ 4b Administratorkonto
Für Konten mit Administratorrechten werden neben den unter § 4 genannten Daten die jeweils zugewiesenen Verwaltungsrollen und Berechtigungsstufen gespeichert. Dazu gehören die freigeschalteten Zuständigkeitsbereiche (Geschäftsführung, Personal, Buchhaltung, Betriebsrat, Datenschutz, Jugendschutz, Hinweisgeber, Arbeitssicherheit, Beirat, Kundendienst, Ingenieurwesen, PR & Social Media, Sicherheit, Märkte & Marken, Produkt, Mobile, Recht & Compliance, Interne Revision), die Marken, für die eine Freischaltung gilt, sowie wer einen Bereich wann freigeschaltet oder entzogen hat. Ein Administratorkonto hat zunächst keinen Bereich. Administratoren mit dem Bereich Geschäftsführung haben Zugriff auf alle übrigen Bereiche mit Ausnahme der Bereiche Hinweisgeber (§ 22ac) und Interne Revision und können anderen Administratoren die Bereiche Personal, Buchhaltung, Datenschutz, Jugendschutz, Arbeitssicherheit, Kundendienst, Ingenieurwesen, PR & Social Media, Sicherheit, Märkte & Marken, Produkt, Mobile sowie Recht & Compliance zuordnen oder entziehen; die Bereiche Geschäftsführung, Beirat, Betriebsrat, Hinweisgeber und Interne Revision vergibt ausschließlich der Master. Diese Daten sind ausschließlich für den technischen Betrieb und die Sicherheit der Plattform erforderlich.
Zugriffsprotokoll: Jeder Zugriff eines Administrators über einen Zuständigkeitsbereich wird mit Zeitpunkt, Bereich, aufgerufener Funktion und Art des Zugriffs (lesen oder schreiben) in der Akte des Administrators und in der Akte des Master-Kontos vermerkt — bei Zugriff über die Geschäftsführung mit diesem Hinweis —, ebenso jede Freischaltung und jeder Entzug (bei Zuordnung durch die Geschäftsführung auch in deren Akte); ein verweigerter Zugriff wird in der Akte des Administrators vermerkt. Über jede Freischaltung wird eine Urkunde erzeugt, deren Prüfsumme (SHA-256) in beiden Akten gespeichert wird. Die Einträge werden wie die Akte gespeichert (§ 8j, § 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Plattformbetrieb); ergänzend Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Integrität und Sicherheit der Plattform und an der Nachweisbarkeit von Datenzugriffen; Art. 6 Abs. 1 lit. c i. V. m. Art. 32 DSGVO (Zugriffskontrolle).
§ 4c Orbit-gebundene Aktivierungskennungen
Für kostenpflichtige Orbit-Aktivierungen (Professional Orbit, Creative Orbit, African Orbit) wird je Buchung eine technische Zugangskennung erzeugt. Diese Kennung verknüpft die Buchung mit dem Nutzerkonto und dem jeweiligen Orbit-Zugang. Gespeichert werden: Kennung, Buchungsdatum, gebuchter Orbit, Zahlungsstatus sowie die zugehörige Konto-ID.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Freischaltung gebuchter Leistungen, Nachweispflicht gegenüber dem Nutzer).
§ 4d Direktnachrichten und automatische Übersetzung
Die Plattform bietet eine Direktnachrichtenfunktion. Gemäß AGB § 19a Abs. 2 wird der originale Nachrichtentext gespeichert. Sofern die automatische Übersetzungsfunktion aktiviert ist, wird der Originaltext an einen integrierten Übersetzungsdienst übermittelt; das übersetzte Ergebnis wird ebenfalls gespeichert.
Inhalt und Metadaten (Absender, Empfänger, Zeitstempel) von Direktnachrichten werden drei Jahre ab Versand gespeichert und danach automatisch gelöscht; Mitteilungen zu Beschwerden, Reklamationen und Widerrufen (§ 22s) werden zehn Jahre ab Versand gespeichert (§ 13); mit der Löschung des Kontos werden die Direktnachrichten gelöscht. Dies gilt, sofern der Nutzer die Nachrichten nicht zuvor löscht oder bearbeitet. Bearbeitete Nachrichten werden mit einem Bearbeitungsvermerk versehen; eine Bearbeitungshistorie wird nicht gespeichert. Nachrichten sind ausschließlich den beteiligten Nutzern zugänglich.
Die Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. EPTEC hat im Rahmen der Plattformverwaltung technischen Zugriff auf gespeicherte Nachrichten, soweit dies zur Moderation, Streitbeilegung oder Erfüllung gesetzlicher Pflichten erforderlich ist.
Sofern die automatische Übersetzungsfunktion aktiviert ist, wird der Nachrichtentext zur KI-gestützten Übersetzung an Cloudflare Workers AI (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) übermittelt, das bereits gemäß § 10 dieser Erklärung als Auftragsverarbeiter für den technischen Betrieb der Plattform eingesetzt wird. Der Text wird ausschließlich zur Erstellung der Übersetzung verarbeitet und nicht dauerhaft über den Verarbeitungsvorgang hinaus gespeichert.
Das plattforminterne Nachrichtensystem (Postfach/Inbox) dient dem allgemeinen Austausch zwischen Nutzern, Business Ownern und EPTEC. Unter anderem nutzt EPTEC es auch als Kanal für rechtlich relevante Mitteilungen (z. B. Bestellbestätigungen, Rechnungen, Verwarnungen, Preis- und Bedingungsänderungen sowie Zahlungserinnerungen); Für diese Mitteilungen gilt insoweit dieselbe Verarbeitung wie für sonstige Direktnachrichten gemäß diesem § 4d.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Kommunikationsfunktion).
§ 4e Business Owner-Verzeichnis und Interessengebiet
Business Owners können im Rahmen ihres Profils ein Interessengebiet (Fachbereich) angeben. Diese Angabe wird in der Plattformdatenbank gespeichert und ist im öffentlichen Business Owner-Verzeichnis der Plattform (Türklingel / Doorbell) für alle Besucher der Plattform sichtbar — auch ohne Anmeldung.
Das Business Owner-Verzeichnis zeigt: Anzeigename, Orbit-Nummer, Profiltyp sowie das angegebene Interessengebiet. Die Aufnahme in das Verzeichnis erfolgt mit Aktivierung des Business Owner-Kontos. Business Owners können ihr Interessengebiet jederzeit über die Profileinstellungen ändern oder entfernen.
Für statistische Auswertungen (z. B. Verteilung der Interessengebiete plattformweit) werden ausschließlich aggregierte, nicht personenbezogene Kennzahlen verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Business Owner-Vertrages (Auffindbarkeit auf der Plattform als Vertragsbestandteil des Business Owner-Accounts).
§ 4f Verfügbarkeitsstatus
Die Plattform speichert für Nutzer und Business Owners einen persistenten Verfügbarkeitsstatus (z. B. aktiv / eingeschränkt / nicht verfügbar). Dieser Status wird in der Plattformdatenbank gespeichert und kann für andere Nutzer sichtbar sein, sofern der jeweilige Nutzer ihn gesetzt hat.
Der Verfügbarkeitsstatus enthält keine weiteren personenbezogenen Angaben. Er kann vom Nutzer jederzeit in den Profileinstellungen geändert oder deaktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Verfügbarkeits- und Kommunikationsfunktionen).
§ 4g E-Mail-Weiterleitung von Inbox-Nachrichten
Business Owner können optional eine persönliche E-Mail-Adresse in den Profileinstellungen hinterlegen und die automatische Weiterleitung von Inbox-Nachrichten aktivieren. Diese E-Mail-Adresse wird ausschließlich für den Versand von Weiterleitungsnachrichten aus der plattforminternen Inbox verwendet. Je Konto werden höchstens 5 Nachrichten am Tag weitergeleitet; alle weiteren bleiben im Posteingang.
Clients erhalten von EPTEC keine E-Mails, auch keine Weiterleitungen, Anmelde- oder Sicherheits-Mails (AGB § 3a Abs. 4). Ausgenommen sind Antworten von EPTEC auf Anfragen über Support oder Kontaktformular und auf Fragen an den Vermieter; nur dafür verwenden wir die E-Mail-Adresse eines Clients. Alle anderen Mitteilungen erhalten Clients im internen Nachrichtensystem.
Die E-Mail-Adresse wird in der Plattformdatenbank gespeichert und ist ausschließlich dem jeweiligen Nutzer zugänglich. Eine Weitergabe an Dritte findet nicht statt. Der Versand — wie auch jeder sonstige E-Mail-Versand der Plattform, insbesondere Passwort-Zurücksetzungs-Links, Vault-PIN-Codes, Zwei-Faktor-Codes und Rechnungs-PDF-Anhänge (vgl. §§ 4h, 4i, 8g) — erfolgt über den E-Mail-Versanddienst Resend, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Übermittlung an diesen in den USA ansässigen Anbieter stützt sich auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bzw., soweit anwendbar, auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Versandprotokolle (Empfängeradresse, Betreff, Volltext) werden für die Dauer der Nachvollziehbarkeit im Streitfall, längstens jedoch gemäß § 13 dieser Erklärung, gespeichert.
Eingehende E-Mails sind nicht Teil dieses Versands; ihre Empfänger nennt § 9 Abs. 2, 5 und 6.
Die Hinterlegung der E-Mail-Adresse und die Aktivierung der Weiterleitung sind vollständig freiwillig. Nutzer können die E-Mail-Adresse jederzeit in den Profileinstellungen ändern oder löschen und die Weiterleitung deaktivieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Nutzers (freiwillige Aktivierung der Weiterleitungsfunktion).
§ 4h Passwort-Zurücksetzung
Einmalcode für Clients: Clients erhalten keine Zurücksetzungs-Mail. Ihren Zugang stellt ihr Business Owner mit einem Einmalcode für Passwort, Zwei-Faktor-Anmeldung oder Tresor-PIN wieder her; das können auch Master und Administratoren. Wir speichern den Code nur als Hash, er ist 15 Minuten gültig und einmal verwendbar. Der Business Owner sieht weder Passwort noch Zweitfaktor oder PIN, kennt aber den Code, bis der Client ihn einlöst. Wir begrenzen dieses Risiko: Für einen gerade angemeldeten Client wird kein Passwort- oder Zwei-Faktor-Code ausgestellt, je Client gibt es innerhalb von 24 Stunden nur eine Art, und Ausstellung und Einlösung werden in den Akten von Client und Aussteller vermerkt; der Client und seine übrigen Business Owner erhalten eine Nachricht im Nachrichtensystem.
Für alle anderen Konten stellt EPTEC ein automatisiertes Zurücksetzen des Passworts per E-Mail-Link zur Verfügung: Auf Anfrage wird ein zeitlich begrenzt gültiger, einmalig verwendbarer Zurücksetzungs-Token generiert, gespeichert und an die im Konto hinterlegte E-Mail-Adresse versendet (vgl. § 4g). Der Token verfällt nach Ablauf der Gültigkeitsfrist automatisch. Zusätzlich können sich Nutzer bei Problemen über die im Impressum genannten Kontaktdaten an den Support wenden. Aus Sicherheitsgründen kann EPTEC vor oder nach einer Zurücksetzung geeignete weitere Maßnahmen zur Identitätsbestätigung verlangen. EPTEC ist nicht verpflichtet, den Zugang wiederherzustellen, wenn die Identität nicht hinreichend nachgewiesen werden kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Kontowiederherstellung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Kontosicherheit.
§ 4i Zwei-Faktor-Authentifizierung (2FA)
Nutzer können freiwillig eine oder mehrere Zwei-Faktor-Authentifizierungsmethoden einrichten. Kostenlos sind Authenticator-App (verschlüsselt gespeicherter Secret-Key), Einmal-Recovery-Codes, Passkey (WebAuthn/FIDO2-Public-Key-Credential) und Telegram-Code (Versand an den verknüpften Telegram-Account). Der E-Mail-Code (Versand an die hinterlegte E-Mail-Adresse) setzt für die Einrichtung und für jeden Login-Code eine aktive Betriebskostenlizenz voraus; Clients steht er nicht zur Verfügung (§ 4g). Die hierfür gespeicherten Daten (Secret-Key, Public-Key-Credential, Recovery-Codes ausschließlich als Hash) werden ausschließlich zur Authentifizierung des jeweiligen Nutzers verwendet und nicht an Dritte weitergegeben.
Einrichtung, Nutzung und Deaktivierung jeder Methode erfolgen eigenverantwortlich durch den Nutzer in seinem Profil; eine Deaktivierung erfordert keine gesonderte Bestätigung durch einen zweiten Faktor. EPTEC übernimmt keine Haftung für die Folgen einer nicht wahrgenommenen oder wieder deaktivierten Absicherung (vgl. AGB § 19 Abs. 5).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Nutzers (freiwillige Aktivierung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Kontosicherheit.
§ 4j Sichtbarkeit von Business-Owner-Profilen in Suchmaschinen
Business Owner können freiwillig einwilligen, dass ihr öffentliches Profil (Profilname, Profilbild, Beschreibung, Fachbereich und selbst veröffentlichte Beiträge) von Suchmaschinen und KI-gestützten Suchdiensten erfasst und angezeigt wird. Die Einwilligung wird bei der Registrierung oder im Profil erteilt, mit Zeitpunkt dokumentiert und kann jederzeit im Profil widerrufen werden. Nach dem Widerruf wird das Profil als nicht indexierbar gekennzeichnet und aus der Sitemap entfernt; die Suchmaschinen entfernen es bei ihrem nächsten Besuch, in der Regel innerhalb weniger Tage. Ohne Einwilligung bleibt das Profil über seine eigene Adresse erreichbar, wird Suchmaschinen aber nicht zur Aufnahme angeboten. Rechnungsdaten, Kundenakten und Kontaktdaten von Clients werden nie veröffentlicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Business Owners (freiwillig, jederzeit widerrufbar).
§ 5 Nutzerinhalte
Von Nutzern hochgeladene oder veröffentlichte Inhalte (Bilder, Videos, Texte, Dateien) werden auf den Servern der Plattform gespeichert. Nutzer räumen EPTEC die zur Bereitstellung der Plattformfunktionen erforderlichen technischen Nutzungsrechte ein (vgl. AGB § 9). Inhalte werden nicht für Werbezwecke oder das Training externer KI-Modelle verwendet.
Öffentlich eingestellte Inhalte sind für alle Nutzer der Plattform sichtbar. Inhalte in zugangsbeschränkten Bereichen sind nur berechtigten Nutzern zugänglich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Plattformfunktionen).
§ 5a Einwilligungsverwaltung
Bestandteile des Vertrages mit EPTEC sind gemäß AGB § 1 Abs. 4 die Allgemeinen Geschäftsbedingungen, die Hausordnung und die Plattformwerte. Diese Dokumente begründen die vertraglichen Rechte und Pflichten.
Die vorliegende Datenschutzerklärung ist kein Vertragsbestandteil, sondern dient der Erfüllung der Informationspflicht nach Art. 13 DSGVO. Die Kenntnisnahme dieser Erklärung ist Voraussetzung für den Vertragsabschluss, um sicherzustellen, dass die betroffene Person über die Verarbeitung ihrer Daten informiert ist.
Die Einwilligung in die AGB sowie die Kenntnisnahme der Datenschutzerklärung werden als Nachweis nach Art. 7 Abs. 1 DSGVO protokolliert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der Dokumentationspflicht nach DSGVO Art. 7 Abs. 1.
§ 5b Nachweise zur Rechtsänderungsbestätigung
Die Plattform kann Nutzern die erneute Bestätigung geänderter Rechtsgrundlagen (z. B. aktualisierte AGB, Preise, oder — bei einer BYOP-Mitgliedschaft — die eigenen Rechtstexte oder Preise des Business Owners) abverlangen. Datum und Uhrzeit der Ankündigung sowie der Bestätigung, die IP-Adresse zum Zeitpunkt der Bestätigung sowie eine Referenz auf das bestätigte Dokument bzw. den bestätigten Preis werden in der Datenbank gespeichert. Bei Änderungen eigener Rechtstexte oder Preise eines Business Owners wird zusätzlich ein kryptographischer Prüfwert (SHA-256-Hash) des zum Zeitpunkt der Ankündigung geltenden Inhalts gebildet und gespeichert, damit im Streitfall nachweisbar ist, welcher genaue Inhalt bestätigt wurde. Bereits überholte (durch eine neuere Änderung ersetzte) Ankündigungen und die dazu abgegebenen Bestätigungen werden dabei nicht gelöscht, sondern als historischer Nachweis aufbewahrt: Ankündigungen 10 Jahre ab Erstellung, Bestätigungen bis zur Löschung des Kontos, längstens 10 Jahre ab Erteilung (§ 13).
Ab der Ankündigung stehen mindestens drei volle Kalendermonate zur Bestätigung zur Verfügung; eine Einschränkung des Zugangs erfolgt in keinem Fall innerhalb eines bereits bezahlten, laufenden Abrechnungszeitraums. Ohne Bestätigung nach Ablauf dieser Frist kann der Zugang zur Plattform eingeschränkt werden, bis die Bestätigung erfolgt ist.
Bei einer BYOP-Mitgliedschaft sieht der jeweilige Business Owner, welche seiner eigenen, mit ihm verlinkten Clients eine ausstehende Bestätigung noch nicht abgegeben haben, einschließlich der verbleibenden Frist. Diese eingeschränkte Sichtbarkeit dient ausschließlich dazu, dem Business Owner die rechtzeitige Erinnerung seiner Clients zu ermöglichen, und umfasst keine weiteren personenbezogenen Daten des Clients.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der datenschutzrechtlichen Dokumentationspflicht; Art. 6 Abs. 1 lit. b DSGVO — Vertragsfortsetzung auf aktualisierter Grundlage; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an der Aufrechterhaltung seiner eigenen Vertragsbeziehungen.
§ 5c Pseudonymisierte Interaktionsdaten (Reactions und Sentiments)
(1) Auf Profilseiten von Business Owneren koennen Besucher Reaktionen und Sentiment-Aussagen abgeben. Diese Funktion steht allen Besuchern offen, unabhaengig davon, ob sie ueber ein Nutzerkonto verfuegen oder eingeloggt sind.
(2) Zur Verhinderung von Mehrfach-Abstimmungen wird ein pseudonymer Fingerabdruck aus einem SHA-256-Hash der IP-Adresse und des User-Agent-Strings gebildet. Name, E-Mail-Adresse oder Nutzer-ID werden dabei nicht erfasst.
(3) Eine vollstaendige technische Anonymitaet besteht nicht. Es handelt sich um eine Pseudonymisierung im Sinne des Art. 4 Nr. 5 DSGVO. Eine personenbezogene Auswertung oder Weitergabe an Dritte findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
(4) Speicherdauer: Die Interaktionsdaten werden fuer die Dauer der Verfuegbarkeit des jeweiligen Beitrags gespeichert und mit diesem geloescht.
§ 6 Cookies und lokale Speicherung
Die Plattform verwendet technisch notwendige Cookies ausschließlich zu diesen Zwecken: Aufrechterhaltung der Anmeldesitzung (bis zur Abmeldung) einschließlich des zweiten Anmeldeschritts (höchstens zehn Minuten); Speicherung von Nutzereinstellungen (z. B. Sprachauswahl bzw. -voreinstellung); Sprachvoreinstellung anhand des Ländercodes (eine Stunde); Entsperrung der Mediathek nach Eingabe der PIN (bis zu 30 Tage); Freischaltung einer noch nicht öffentlichen Plattform-Instanz mit dem Zugangspasswort (30 Tage); beim Verbinden eines TikTok-Kontos für höchstens zehn Minuten Zuordnung der Antwort von TikTok zum startenden Browser (§ 22ae Abs. 2). Diese können nicht deaktiviert werden, ohne die Grundfunktionen der Plattform zu beeinträchtigen.
Die lokale Browserspeicherung (LocalStorage und SessionStorage) wird ausschließlich genutzt für die Anmeldesitzung und ihre Sicherung, für Nutzereinstellungen und Bedienzustand (z. B. Sprache, zuletzt geöffneter Raum, Fensterpositionen, Bestätigung des Altersgates für die Dauer des Tabs), für Zwischenstände laufender Vorgänge (z. B. Bezahlvorgang), für Zwischenspeicher von Plattformkonfiguration, Preisen, Inhalten und Kontingenten, für die Sicherheitsnummern verschlüsselter Gespräche, für die pseudonyme Sitzungskennung der Reichweitenmessung (§ 3a), für den Geräte-Fingerprint zur Betrugsprävention (§ 8e) sowie für kurzlebige Diagnoseeinträge der laufenden Sitzung. Diese Zwecke sind abschließend; die Einträge dienen weder der Werbung noch einem Tracking über Websites Dritter hinweg.
Cookies zu Analyse-, Werbe- oder Trackingzwecken werden nicht eingesetzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technisch notwendige Funktionen); ergänzend Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionsfähigen Plattform.
§ 7 KI-basierte Analyse
Die Plattform kann KI-basierte Dienste zur Klassifizierung von Inhalten einsetzen (Einzelheiten § 22i). Dabei wird ausschließlich das Ergebnis der Analyse (z. B. Inhaltskategorie) gespeichert. Ein KI-gestützter Abgleich von Ausweisdokumenten findet bei der Registrierung nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und Einhaltung gesetzlicher Schutzpflichten.
§ 7a Verifikation der geographischen Herkunft (African Orbit)
Für den Zugang zum African Orbit (ETOBS African) prüft EPTEC bei der Registrierung das Land der IP-Adresse sowie, ob ein VPN-, Proxy-, Anonymisierungs- oder Rechenzentrumsnetz genutzt wird; zusätzlich versichert der Nutzer per Pflicht-Checkbox seinen Wohnsitz bzw. Sitz in Afrika (Schwur nach § 34d Abs. 3 AGB). Gespeichert werden der Schwur mit Zeitpunkt, Wortlaut und dem Land der IP-Adresse. Ein Ausweisdokument wird bei der Registrierung nicht hochgeladen und nicht ausgewertet. Die laufende Herkunftsprüfung vor Zahlungen und im täglichen Prüflauf ist in § 22y beschrieben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Zugangsvoraussetzung African Orbit nach § 34d AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Durchsetzung der regional gestaffelten Preise.
Identitätsprüfung mit Lebenderkennung (Shufti Pro; Business Owner auf allen ETOBS-Instanzen bei jedem Kauf der Betriebskostenlizenz nach AGB § 42 Abs. 5, Clients auf allen ETOBS-Instanzen, auf denen die KYC-Lizenz einen Preis hat, nach AGB § 34d Abs. 6). Bei der Registrierung selbst findet keine Ausweisprüfung statt. Es gilt:
(a) Prüfung der Clients über den Zugang des Business Owners (alle ETOBS-Instanzen, auf denen die KYC-Lizenz einen Preis hat; AGB § 34d Abs. 6). Ein Business Owner mit KYC-Lizenz hinterlegt seinen eigenen Zugang beim Identitätsprüfdienst Shufti Pro (Shufti Pro Limited, London, Vereinigtes Königreich). EPTEC speichert diesen Zugang verschlüsselt und nur zu dem Zweck, für die Clients dieses Business Owners Prüfungen anzulegen und deren Ergebnis abzurufen, sowie die vom Business Owner eingestellte Zahl der Prüfversuche je Client. Gibt ein Client in der Paywall die ETOBS-Nummer des Business Owners ein, wird seine Anfrage gespeichert; der Business Owner entscheidet, ob er die Prüfung dieses Clients freigibt. EPTEC speichert die Freigabe (Business Owner, Client, Zeitpunkt) und vermerkt sie in den Akten beider; der Client erhält eine Systemnachricht. Erst danach kann der Client die Prüfung starten. Dabei übermittelt EPTEC an Shufti Pro nur eine zufällige Prüfreferenz, die Rückruf- und Rücksprungadresse sowie die Prüfvorgaben (Ausweisdokument, Lebenderkennung, Mindestalter 18 Jahre), keine Personendaten des Clients. Ausweisdokument, Live-Aufnahme und biometrischer Abgleich werden ausschließlich beim Anbieter erhoben und verarbeitet; verantwortlich für diese Prüfung ist der Business Owner, der den Anbieter über seinen eigenen Zugang beauftragt und bezahlt. EPTEC erhält vom Anbieter die signierte Rückmeldung, fragt das Ergebnis beim Anbieter ab und speichert in der Tabelle der Client-Prüfungen nur Prüfreferenz, Status, Zeitpunkte, das letzte Ereignis des Anbieters sowie die Zuordnung Client – Business Owner; auf ETOBS African wird zusätzlich geprüft, ob das Dokument aus einem afrikanischen Land stammt (ist das nicht der Fall, wird nur dieses Ergebnis als Status gespeichert, das Land selbst nicht). Ausweisbild, Dokument, weitere Ausweisdaten und biometrische Daten speichert EPTEC nicht. Freigabe, Beginn und Ergebnis werden in der Akte vermerkt. Bereits aufgenommene Clients ohne bestandene Prüfung (AGB § 34d Abs. 6): EPTEC ermittelt sie automatisch, informiert Business Owner und Client über das Nachrichtensystem, legt in der Anfrageliste des Business Owners eine Freigabe-Anfrage an und vermerkt dies in der Akte; ruht der Zugang nach Ablauf der Frist, speichert EPTEC dazu einen Ruhe-Vermerk für genau dieses Paar Client – Business Owner, der mit der bestandenen Prüfung entfernt wird. Gelöscht wird dabei nichts.
(b) Prüfung des Business Owners bei jedem Kauf der Betriebskostenlizenz (alle ETOBS-Instanzen, AGB § 42 Abs. 5). Bei jedem Kauf der Betriebskostenlizenz (beim ersten Kauf vor der Zahlung, bei jedem weiteren vor dem Einlösen des Codes) durchläuft der Business Owner selbst eine Identitätsprüfung mit Ausweisdokument und Lebenderkennung über den Zugang von EPTEC bei Shufti Pro. Verantwortlicher ist EPTEC; Shufti Pro wird hierfür als Auftragsverarbeiter von EPTEC nach Art. 28 DSGVO tätig. Ausweisdokument, Live-Aufnahme und der biometrische Abgleich von Gesicht und Ausweisfoto (biometrische Daten im Sinne von Art. 9 Abs. 1 DSGVO) werden ausschließlich beim Anbieter verarbeitet; EPTEC selbst speichert nur Prüfreferenz, Status, Zeitpunkte und das Land der Prüfung, keine biometrischen Daten und kein Ausweisbild. Vor der Prüfung holt EPTEC eine gesonderte, ausdrückliche Einwilligung in die biometrische Verarbeitung ein; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Prüfung berührt wird. Ohne Einwilligung und bestandene Prüfung ist der erste Kauf der Betriebskostenlizenz nicht möglich und wird bei jedem weiteren Kauf der bezahlte Code nicht eingelöst; er bleibt bis zum Bestehen gesperrt (AGB § 42 Abs. 5). Auf ETOBS African bestimmt das Land der bestandenen Prüfung die Kaufkraftstufe des Business Owners (statt des Landes seiner IP-Adresse). Je Kauf stehen dem Business Owner drei Prüfversuche zur Verfügung, vor dem ersten Kauf der Betriebskostenlizenz der zweite und dritte jedoch erst, wenn die Willkommenszahlung fest ist (vom Zahlungsdienst belegter Abschluss, derzeit nur bei PayPal, und kein offener oder verlorener Rückbuchungsfall; je Gutschein ebenso: ein Versuch sofort, zwei nach fester Zahlung); dafür wertet EPTEC den gespeicherten Zahlungsstatus und die Rückbuchungsfälle des Kontos aus; weitere Versuche gibt es nur über den Gutschein „+3 Versuche“, der ausschließlich unter „Lizenzen kaufen“ erworben und im Profil in einem eigenen Bereich eingelöst wird; dort zeigt ein Zähler die verbleibenden Versuche (AGB § 42 Abs. 5). Dazu speichert EPTEC den Gutschein-Code, seine Einlösung und jeden daraus verbrauchten Versuch (Konto, Zeitpunkt, Beginn des zugehörigen Kaufs); die Kosten der Prüfung laufen über den Kostenwächter (§ 22u). Früher vom Master freigegebene weitere Versuche bleiben als Vermerk in der Akte erhalten; neue Freigaben durch den Master gibt es nicht mehr.
(c) Übermittlung in das Vereinigte Königreich auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Aufnahmevoraussetzung nach AGB § 34d Abs. 6) für Prüfreferenz, Status, Zeitpunkte, Freigabe und Ruhe-Vermerk sowie, nur bei der Prüfung des Business Owners, das Land der Prüfung bei EPTEC (Aufnahmevoraussetzung nach AGB § 34d Abs. 6 bzw. Kauf- und Einlösevoraussetzung nach AGB § 42 Abs. 5); das gilt nach AGB § 34d Abs. 6 auch für bereits aufgenommene Clients (Information, Freigabe-Anfrage, Frist und Ruhe-Vermerk); Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung der geprüften Person in die biometrische Prüfung beim Anbieter (bei der Prüfung des Business Owners nach Buchstabe b gegenüber EPTEC als Verantwortlichem).
§ 7b KI-Chatbot-Assistent ("ETOBS-Boy")
(1) Die Plattform stellt einen KI-gestützten Chatbot-Assistenten zur unverbindlichen Nutzerunterstützung und Information bereit (vgl. AGB § 13 Abs. 1 c, § 19a). Der Assistent steht nur angemeldeten Nutzern nach dem Willkommen-Schritt zur Verfügung: Business Ownern nach Eingang der Willkommenszahlung (§ 8o), Clients, deren Business Owner eine aktive Betriebskostenlizenz hat, sowie Master und Administratoren; ohne Anmeldung und für Demo-Konten ist er nicht nutzbar. Vom Nutzer eingegebene Freitext-Fragen (bis zu 4.000 Zeichen) sowie die letzten Nachrichten des laufenden Gesprächsverlaufs (bis zu 8 Einträge à 1.000 Zeichen) werden zur Beantwortung an das KI-Modell Llama 3.3 auf Cloudflare Workers AI (vgl. § 10) übermittelt.
(2) Die Eingaben werden zur Erzeugung der Antwort verarbeitet. Zusätzlich wird die jeweils aktuelle Frage — ohne IP-Adresse und ohne Zuordnung zu einem Nutzerkonto, auf höchstens 500 Zeichen gekürzt und mit unkenntlich gemachten E-Mail-Adressen, IBAN, Links und längeren Ziffernfolgen (z. B. Telefon-, Konto- oder Kartennummern) — zusammen mit Sprache, Zeitpunkt und dem Status der Antwort (beantwortet, leer oder Fehler) bis zu 30 Tage gespeichert und danach automatisch gelöscht. Der bisherige Gesprächsverlauf und die Antwort des Assistenten werden nicht gespeichert. Zwecke dieser Speicherung sind die Systemwartung, die Sicherheit der Plattform (Erkennung von Missbrauch) und die Weiterentwicklung des Assistenten, insbesondere die Auswertung im Rahmen der Wartung zur Verbesserung seiner Antworten und seiner Wissensbasis. Die gespeicherten Fragen werden nicht verkauft und nicht an Dritte weitergegeben; eingesetzt werden ausschließlich die in § 10 genannten Auftragsverarbeiter. Zum Schutz vor Missbrauch gilt zudem ein IP-basiertes Rate-Limit. Auskünfte des Assistenten stellen keine rechtsverbindlichen Zusagen dar.
(3) Gegen die Speicherung nach Abs. 2 kann jederzeit aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, Widerspruch eingelegt werden (Art. 21 Abs. 1 DSGVO). Da die Fragen ohne Kontozuordnung gespeichert werden, sollten in die Frage keine Angaben zur eigenen Person eingegeben werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer automatisierten Nutzerunterstützung sowie, für die Speicherung nach Abs. 2, an Systemwartung, Sicherheit und Weiterentwicklung des Assistenten.
§ 8 Zahlungsabwicklung
Für die Abwicklung kostenpflichtiger Leistungen werden Zahlungsdaten (z. B. Transaktions-ID, Betrag, Währung, Zahlungsstatus) verarbeitet. Die Eingabe von Zahlungsmitteldaten erfolgt ausschließlich direkt beim jeweiligen Zahlungsdienstleister; EPTEC erhält und speichert Zahlungsmitteldetails (z. B. Kartennummer, Kontodaten) nicht.
EPTEC setzt zur Zahlungsabwicklung zertifizierte, spezialisierte Zahlungsdienstleister ein, aktuell insbesondere PayPal (Europe) S.à r.l. et Cie, S.C.A. (paypal.com, 22-24 Boulevard Royal, L-2449 Luxemburg, EU) sowie SumUp Payments Limited (sumup.com, Verbindungsweg 5, 10245 Berlin, Deutschland/EU) und, soweit Paxum auf der Bezahlseite angeboten wird, Paxum Bank Limited (paxum.com, Centre Cross Lane, Roseau, Dominica). Welcher konkrete Anbieter für eine Zahlung genutzt wird, hängt von der jeweiligen Plattform-Instanz und der vom Nutzer gewählten Zahlungsmethode ab; die eingesetzten Anbieter können sich im Zuge der Weiterentwicklung der Plattform ändern. Die Verarbeitung erfolgt jeweils im Rahmen der Nutzungsbedingungen des betreffenden Anbieters sowie, ausgenommen Paxum (siehe unten), soweit zum jeweiligen Zeitpunkt bereits abgeschlossen, eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Ist ein anderer Anbieter als Paxum außerhalb der Europäischen Union ansässig, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Paxum Bank Limited hat ihren Sitz in Dominica und damit außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums; für Dominica besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Daten werden an Paxum nur übermittelt, wenn der Nutzer auf der Bezahlseite Paxum wählt; EPTEC übermittelt dabei nur die Angaben zum Kauf (Artikel, Betrag, Währung und eine Kaufkennung), die Zahlungsdaten gibt der Nutzer direkt bei Paxum ein. Die Übermittlung an Paxum erfolgt, weil der Nutzer Paxum für den jeweiligen Kauf selbst als Zahlungsweg wählt und sie zur Erfüllung des Kaufvertrags erforderlich ist (Art. 49 Abs. 1 Satz 1 lit. b DSGVO). Paxum verarbeitet die Daten, die der Nutzer dort eingibt, als eigener Verantwortlicher nach seinen eigenen Datenschutzhinweisen (www.paxum.com/legal/privacy-policy). Von Paxum erhält EPTEC die Zahlungsmeldung (insbesondere Transaktionsnummer, Betrag, Währung und Kaufkennung) und speichert sie als Zahlungsnachweis vollständig, also mit allen Angaben, die Paxum darin mitsendet (etwa die E-Mail-Adresse des Paxum-Kontos, sofern Paxum sie übermittelt). Auf Anfrage über die in § 1 genannte Adresse teilt EPTEC mit, welcher Anbieter für eine konkrete Zahlung genutzt wurde.
Zusätzlich und unabhängig von den vorgenannten, von EPTEC selbst betriebenen Zahlungswegen kann ein Business Owner im Rahmen der Globalen Zahlungslink-Lizenz (inkl. beschränkter Paywall-API, § 12 Abs. 7 AGB) eigene Zugangsdaten zu einem selbst gewählten externen Zahlungsanbieter hinterlegen. EPTECs Backend ruft in diesem Fall mit diesen eingeschränkten Zugangsdaten die öffentlich dokumentierte Schnittstelle des jeweiligen Anbieters auf (vgl. § 8h Abs. 2). Aktuell technisch unterstützt werden: Stripe, PayPal, Paddle, FastSpring, Paystack, Conekta, Airwallex, 2Checkout/Verifone, Chargebee und Invoiced.com — jeweils mit Sitz oder Niederlassungen auch außerhalb der EU (u. a. USA, Vereinigtes Königreich, Nigeria, Mexiko, Hongkong/Singapur). Die Übermittlung an diese vom Business Owner selbst gewählten Anbieter erfolgt auf Grundlage der jeweils einschlägigen Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln oder Data Privacy Framework, je nach Sitzstaat). Verantwortlich für die Auswahl dieses Anbieters ist der Business Owner selbst; EPTEC agiert insoweit als dessen technischer Dienstleister.
Rechnungsrelevante Transaktionsdaten werden gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Zahlungsabwicklung); Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Aufbewahrungspflichten (Steuer- und Handelsrecht).
§ 8a Business Owner-Vergütung und Auszahlungsdaten
(1) Umsatzdaten
Hinweis (B2B-Modell): Zahlungen der Clients fließen direkt an den Business Owner über dessen eigenen Zahlungsweg; EPTEC verarbeitet hierzu keine Umsatzdaten und ist an der Zahlung nicht beteiligt. Provisionen und Auszahlungen über EPTEC wurden ersatzlos abgeschafft. Die folgenden Absätze betreffen ausschließlich historische Bestandsdaten aus der Zeit davor, die EPTEC nur zur Erfüllung gesetzlicher Aufbewahrungspflichten speichert.
Für frühere kostenpflichtige Nutzertransaktionen, die einem Business Owner zuzuordnen sind, sind folgende Daten gespeichert: Business Owner-Username, anonymisierte Nutzer-ID, Orbit-Kennung, Transaktions-ID, Bruttobetrag in Euro, frühere EPTEC-Provision (Prozentsatz und Betrag), Business Owner-Anteil, Zahlungsstatus sowie Zeitstempel.
(2) Auszahlungsdaten aus früheren Vorgängen
Auszahlungsdaten aus früheren Vorgängen (Name, Betrag, IBAN bzw. Kennung des Zahlungsdienstleisters, Status, Zeitstempel) werden nur zur Erfüllung gesetzlicher Aufbewahrungspflichten gespeichert (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre, jeweils ab Ende des Kalenderjahres); neue Auszahlungsanfragen gibt es nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 8b Checkout-Einwilligungsprotokolle und Beweissicherung im Streitfall
Bei jedem kostenpflichtigen Kauf auf der Plattform werden folgende Daten als revisionssichere Einwilligungsdokumentation gespeichert: Checkout-ID, Zahlungs-ID (Payment-Intent), Username, IP-Adresse und Browser-Kennung (User-Agent) zum Zeitpunkt des Kaufabschlusses, Zeitstempel, Ergebnis jeder einzelnen Pflicht-Checkbox — je nach gekaufter Leistung u. a. AGB-Zustimmung, Volljährigkeit, Widerrufsverzicht, Wahrheitsbestätigung, Unternehmereigenschaft, Kenntnisnahme der Gebührengrundlage, Zahlungsmandat-Einwilligung, Kenntnisnahme der manuellen Lizenzverlängerung, Kenntnisnahme der Nutzungsfolgen bei Lizenzablauf, Kenntnisnahme der Sicherheits-Infrastruktur (§ 12 Abs. 6 AGB), Chargeback-Dispute-Bevollmächtigung gemäß § 30 AGB und Bestätigung der Prüfung der Code-Ausstellung samt Meldeweg bei einem bezahlten Kauf ohne Code (§ 30 Abs. 11 AGB, § 8n dieser Erklärung) — sowie, seit dem 23.09.2026, die Bestätigung, dass die Abhängigkeit von der externen Zahlungsanbieter-Infrastruktur (deren API und/oder deren Zahlungslink) als eigenes Risiko akzeptiert wird (§ 12 Abs. 7 AGB); bei der Willkommenszahlung zusätzlich die Unternehmer-Bestätigung mit Wortlaut, Version und Betrag (§ 8o). Die zuletzt genannte Risiko-Bestätigung wird an vier Stellen eingeholt und gespeichert: beim Kauf einer kostenpflichtigen Lizenz, beim Speichern eigener PSP-Zugangsdaten oder eines eigenen globalen Zahlungslinks, beim Anlegen eines der vier statischen Tarif-Zahlungslinks im Profil sowie im Checkout eines Clients bei einem Business Owner mit aktivierter Lizenz — in den ersten drei Fällen in einem eigenen Nachweisregister für Risiko-Bestätigungen zu Zahlungsanbieter-Zugängen, im letzten Fall als zusätzliches Feld der Vertragsdaten nach § 8l.
Diese Daten werden ausschließlich zu folgenden Zwecken verarbeitet: (a) Nachweis der Vertragserfüllung gegenüber dem Nutzer, (b) Abwehr unberechtigter Rückbuchungen (Chargebacks) gegenüber dem Zahlungsdienstleister, dem Kartenaussteller und dem Kartennetz, (c) Beweisführung im Rahmen eines automatisierten oder gerichtlichen Dispute-Verfahrens gemäß § 30 AGB, (d) Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre).
Zu jeder Zahlung an EPTEC speichert EPTEC zusätzlich einen Leistungsnachweis: den Zeitpunkt der Freischaltung der bezahlten Leistung mit dem Stand davor und danach, die erste Nutzung und die erste Anzeige der Leistung (etwa des neuen Stands im Profil) sowie die IP-Adresse der Anfrage, die die Freischaltung ausgelöst hat. Die Einträge werden zusätzlich in der Akte des Kontos vermerkt. Der Leistungsnachweis dient denselben Zwecken (a) bis (d) und wird wie die Transaktionsdaten zehn Jahre ab Ende des Kalenderjahres aufbewahrt (§ 147 AO) und danach automatisch gelöscht. Wird das Nutzerkonto vorher gelöscht, entfernt EPTEC den Bezug zum Konto (Kontokennung und Benutzername); der Nachweis selbst einschließlich der IP-Adresse bleibt bis zum Ende der Aufbewahrungsfrist bestehen.
Im Falle eines Chargeback-Verfahrens übermittelt EPTEC die gespeicherten Einwilligungsprotokolle an den Zahlungsdienstleister, die kartenausgebende Bank und das Kartennetz. Der Nutzer hat dieser Übermittlung bei Kaufabschluss gemäß § 30 Abs. 4 AGB ausdrücklich zugestimmt. Im Falle einer gerichtlichen Auseinandersetzung können diese Protokolldaten als Beweismittel vorgelegt werden.
Zusätzlich übermittelt EPTEC im Chargeback-Verfahren dem betroffenen Zahlungsdienstleister aus der Akte des betroffenen Kontos folgende Nachweise: Lizenz- und Liefernachweis (Gültigkeit der Lizenz, Abonnements sowie Liefer- und Freischaltungsereignisse; eingelöste Lizenzcodes unkenntlich gemacht), Nutzungsprotokoll (Sitzungen mit Zeitraum, IP-Adresse, Land und Anmeldeweg), Sicherheitsereignisse, Betreffe von Systemnachrichten an das Konto sowie Ereignisse zu eigenen Beschwerden und deren Beantwortung. Sitzungen und Sicherheitsereignisse werden nur aus dem Zeitraum von 30 Tagen vor bis 90 Tagen nach dem streitigen Kauf übermittelt, jeweils höchstens 100 Einträge. Diese zusätzliche Übermittlung beruht nicht auf der Zustimmung nach § 30 Abs. 4 AGB, sondern auf den nachfolgend genannten Rechtsgrundlagen (Nachweis der Leistungserbringung; berechtigtes Interesse an der Abwehr unberechtigter Rückbuchungen und Sicherung von Beweismitteln).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Kaufvertrags und Nachweis der Leistungserbringung; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr unberechtigter Rückbuchungen und Sicherung von Beweismitteln.
§ 8c Produktivbetrieb der Zahlungsabwicklung
Die Zahlungsabwicklung der Plattform läuft im Produktivbetrieb (Live-Modus) der eingesetzten Zahlungsdienstleister; es werden echte Zahlungen verarbeitet und abgebucht. Ein Sandbox-/Testmodus kommt für Kundenzahlungen nicht zum Einsatz. Es gelten die Regelungen der §§ 8 bis 8b dieser Erklärung.
§ 8d Standortdaten bei Zahlungen außerhalb der EU
(1) Für Kaufabschlüsse aus Ländern außerhalb der Europäischen Union ist die Freigabe des Gerätestandorts (GPS-Koordinaten über die Browser-Standortfreigabe) Voraussetzung für den Zahlungsabschluss. Ohne diese Freigabe kann der Kauf nicht abgeschlossen werden. Für Käufer innerhalb der EU ist keine Standortfreigabe erforderlich; hier genügt die ohnehin serverseitig ermittelte Länderkennung (IP-basiert, vgl. § 3) im Rahmen der EU-weiten One-Stop-Shop-Regelung.
(2) Bei jedem kostenpflichtigen Kauf werden zusätzlich zu den in § 8b genannten Einwilligungsprotokollen folgende Geodaten gespeichert: Länderkennung, Region/Bundesland und Kontinent (serverseitig anhand der IP-Adresse ermittelt) sowie — bei Käufen außerhalb der EU zwingend, innerhalb der EU nicht erhoben — die vom Nutzer über die Browser-Geolokalisierung freigegebenen GPS-Koordinaten (Breiten- und Längengrad) samt Genauigkeitsangabe und Zeitstempel.
(3) Diese Daten dienen der Dokumentation des Käuferstandorts zum Zeitpunkt der Zahlung für Zwecke der steuerlichen Zuordnung (Bestimmung des maßgeblichen Steuerorts bzw. relevanter Umsatzschwellen je Land) sowie als Nachweis gegenüber Zahlungsdienstleistern, Banken und Finanzbehörden. Master- und Administratorkonten haben Zugriff auf eine detaillierte, nach Transaktion aufgeschlüsselte Übersicht dieser Daten und können diese als CSV- oder PDF-Report exportieren.
(4) Die Geodaten werden gemeinsam mit den übrigen Zahlungs- und Einwilligungsprotokollen gemäß den in § 8, § 8a und § 8b genannten gesetzlichen Aufbewahrungsfristen (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Kaufvertrags (Zahlungsabschluss); Art. 6 Abs. 1 lit. c DSGVO — Erfüllung steuerrechtlicher Nachweis- und Aufbewahrungspflichten; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zuverlässigen Dokumentation der steuerlichen Zuordnung von Zahlungen.
§ 8e Betrugsprävention, Geräte-Fingerprint und Sperrlisten
(1) Zum Schutz der Plattform, ihrer Nutzer und Business Owner vor Zahlungsbetrug (insbesondere automatisiertem Durchtesten gestohlener Kartendaten) bildet die Plattform bei kostenpflichtigen Vorgängen client-seitig im Browser einen pseudonymen Geräte-Fingerprint. Dieser wird aus technischen Browser- und Gerätemerkmalen errechnet (u. a. User-Agent, Bildschirmauflösung, Zeitzone, Anzahl Prozessorkerne, eine nicht sichtbare Canvas- und WebGL-Signatur) und mittels SHA-256 zu einem nicht umkehrbaren Hash-Wert verdichtet. Aus dem Fingerprint lassen sich weder Identität noch Klarname der betroffenen Person ableiten; es handelt sich um eine Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO.
(2) Bei wiederholten fehlgeschlagenen Zahlungsversuchen innerhalb kurzer Zeit (IP-Adresse, Nutzerkonto oder Geräte-Fingerprint) wird die Erstellung weiterer Zahlungsvorgänge vorübergehend automatisiert blockiert.
(3) IP-Adressen, die im Zusammenhang mit einem missbräuchlichen Vorgang stehen (u. a. nach einem zu Ungunsten von EPTEC entschiedenen Chargeback-Verfahren), werden für 2 Jahre ab ihrer Eintragung in einer Sperrliste gespeichert und danach automatisch gelöscht (§ 13); eine abgelaufene Eintragung sperrt nicht mehr. Geräte-Fingerprints werden nicht mehr neu in die Sperrliste eingetragen; früher eingetragene Geräte-Fingerprints gelten ebenfalls 2 Jahre ab ihrer Eintragung und werden danach automatisch gelöscht. Die Sperrliste betrifft nur Registrierungen und Zahlungsvorgänge, nicht die Nutzung der übrigen Plattform: Registrierungen und Zahlungsvorgänge von gesperrten IP-Adressen bzw. Geräten werden automatisiert zurückgewiesen. Einträge mit dem Grund einer früheren Selbstbedienungs-Erstattung sperren hier nicht; dafür gelten allein die Wiederkaufsperren nach § 8f Abs. 2. Eine vollständige technische Umgehungssicherheit besteht nicht (z. B. bei Nutzung eines anderen Geräts über ein anderes Netzwerk).
(4) Zusätzlich wird bei Kartenzahlungen das vom Zahlungsdienstleister ermittelte Land der verwendeten Karte mit dem IP-basiert ermittelten Land (vgl. § 3) abgeglichen. Bei Abweichung wird dies intern zur Kenntnis von Master- und Administratorkonten vermerkt; eine automatisierte Sperrung erfolgt hierdurch allein nicht, da Abweichungen auch bei legitimer Nutzung (Reisen, VPN) auftreten können.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform, der Verhinderung von Zahlungsbetrug und dem Schutz anderer Nutzer und Business Owner vor missbräuchlichen Vorgängen.
§ 8f (aufgehoben) Frühere Selbstbedienungs-Erstattungen
(1) Eine Selbstbedienungs-Erstattung wird nicht mehr angeboten; EPTEC erstattet keine Zahlungen in Geld und verlängert auch keine Lizenzlaufzeit als Ersatz für eine Kündigung (AGB § 30 Abs. 5 und 12). An Zahlungen eines Clients an seinen Business Owner über dessen eigenen Zahlungslink ist EPTEC nicht beteiligt; Fragen zu einer Rückerstattung richten Clients direkt an ihren Business Owner.
(2) Bereits gespeicherte Daten früherer Selbstbedienungs-Erstattungen (Checkout-ID, Nutzerkonto, betroffene Leistung, Betrag, Zeitpunkt, Bearbeitungsstatus und gegebenenfalls ein früher hinterlegtes Auszahlungskonto) werden nicht mehr erweitert und nach Ablauf der gesetzlichen Aufbewahrungsfrist von zehn Jahren ab Ende des Kalenderjahres automatisch gelöscht (§ 13). Sperren gegen den erneuten Kauf derselben Leistung, die nach einer früheren Selbstbedienungs-Erstattung für das Konto, die IP-Adresse oder das Gerät eingetragen wurden (Wiederkaufsperren), gelten für 2 Jahre ab ihrer Eintragung und werden danach automatisch gelöscht (§ 13); neue solche Sperren entstehen nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Durchsetzung der früher vereinbarten Kaufsperren.
§ 8g Geschäftsangaben vor Abo-Lizenzkauf (Name/Firmenname, USt-IdNr./Gewerbe-ID, Rechnungsanschrift)
(1) Vor dem Einlösen des kostenlosen Freimonatscodes und vor dem erstmaligen Kauf einer Abo-Lizenz muss ein Business Owner seine Umsatzsteuer-Identifikationsnummer (USt-IdNr.) bzw. seinen Firmennamen hinterlegen. Zusätzlich sind in jedem Fall der Name bzw. Firmenname des Rechnungsempfängers sowie eine vollständige Rechnungsanschrift (Straße, Postleitzahl, Ort, Land) anzugeben. Statt der USt-IdNr. bzw. des Firmennamens kann auch eine Handelsregister-/Registernummer hinterlegt werden; der Firmenname allein genügt für einen Lizenzkauf nicht (Abs. 2). Alle genannten Felder werden AES-256-verschlüsselt gespeichert (eigener, separater Schlüssel, der mit keiner anderen Datenkategorie der Plattform geteilt wird); ausgenommen sind das Land (§ 8m) sowie eine Handelsregister-/Registernummer und eine DUNS-Nummer, die als öffentliche Registerkennungen unverschlüsselt gespeichert werden. Die Angabe erfolgt einmalig; nach erfolgreicher Speicherung wird der Business Owner bei künftigen Lizenzkäufen nicht erneut danach gefragt, kann sie jedoch jederzeit im Profil aktualisieren. Zweck des Namens/Firmennamens und der Rechnungsanschrift ist (a) die Erstellung einer ordnungsgemäßen Rechnung gemäß § 14 UStG sowie (b) — ausschließlich für den Namen/Firmennamen — die Zuordnung des betroffenen Kontos im Fall einer Zahlungsanfechtung (Chargeback/Dispute), wenn der Zahlungsdienstleister dabei nicht den plattforminternen Benutzernamen, sondern den Namen des Zahlenden nennt (Rechtsgrundlage jeweils: Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 14 UStG bzw. Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Abwehr unberechtigter Zahlungsanfechtungen); Name/Firmenname und Rechnungsanschrift werden nicht inhaltlich geprüft – die amtliche Prüfung der Nummern regeln Abs. 2 und 3.
(2) Zweck dieser Angabe ist der Nachweis der gewerblichen/unternehmerischen Tätigkeit des Business Owners als Grundlage des B2B-Geschäftsmodells der Plattform (vgl. § 1 Abs. 2 AGB) sowie die entsprechende Dokumentation gegenüber Zahlungsdienstleistern. Jeder Lizenzkauf (auch der kostenlose Freimonat) setzt voraus, dass mindestens ein Unternehmensmerkmal in einem amtlichen Register bestätigt ist (§ 28b Abs. 2 AGB); ohne bestätigtes Merkmal wird der Kauf abgelehnt. Dasselbe gilt, wenn ein Client einem Business Owner als Unternehmen beitritt (§ 28i Abs. 1 AGB).
(3) Registerabfrage: Die angegebene Nummer (USt-IdNr., Schweizer UID, norwegische Organisationsnummer oder LEI) wird beim Speichern der Rechnungsdaten und vor einem Kauf bzw. Beitritt als Unternehmen, sofern keine höchstens 30 Tage alte Bestätigung vorliegt, automatisiert an das jeweils zuständige amtliche Register übermittelt: EU-USt-IdNrn. an das System VIES der Europäischen Kommission (Verarbeitung innerhalb der Europäischen Union), Schweizer UID-Nummern an das UID-Register des Schweizer Bundesamts für Statistik (BFS) und LEI an die Global Legal Entity Identifier Foundation (GLEIF), Basel (Übermittlung in die Schweiz auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission, Art. 45 DSGVO), norwegische Organisationsnummern an das Enhetsregisteret des Brønnøysund-Registerzentrums (Norwegen, Europäischer Wirtschaftsraum). Übermittelt wird ausschließlich die Nummer selbst (bei VIES zusätzlich der Ländercode); die Register liefern das Ergebnis und gegebenenfalls den eingetragenen Firmennamen zurück. Im Prüfprotokoll gespeichert werden je Abfrage die Nummer (verschlüsselt sowie als nicht rückrechenbarer Prüfwert), Merkmalsart, Register, Ergebnis (bestätigt / nicht bestätigt / Register nicht erreichbar), ein zurückgelieferter Firmenname, Zeitpunkt, IP-Adresse und Anlass; je Kauf bzw. Beitritt zusätzlich ein Prüfnachweis mit denselben Angaben zum verwendeten Merkmal (Nummer nur verschlüsselt, ohne Prüfwert), dem Stand der Pflicht-Checkboxen und der Vorgangsnummer (checkout_id). Im Rechnungsprofil selbst wird eine Handelsregister-/Registernummer dagegen nach Abs. 1 unverschlüsselt gespeichert. Eine Bestätigung wird 30 Tage lang wiederverwendet, danach wird erneut abgefragt. Ist das Register nicht erreichbar, wird der Kauf bzw. Beitritt vor jeder Zahlung abgelehnt und kann später erneut versucht werden. Die Entscheidung, einen Kauf oder Beitritt mangels bestätigten Merkmals abzulehnen, ergeht automatisiert; sie ist für den Abschluss des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Sie können über die in § 1 genannte Kontaktadresse eine Überprüfung durch einen Menschen verlangen, Ihren Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO, § 17). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung mit Unternehmern), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Sorgfalts- und Aufbewahrungspflichten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer überprüfbaren B2B-Exklusivität und am Nachweis im Streitfall). Aufbewahrung: Der Nachweis je Kauf bzw. Beitritt (Vorgangsnummer, Merkmal verschlüsselt, Register, Ergebnis, Prüfzeitpunkt, IP-Adresse) wird wie die übrigen Kaufnachweise aufbewahrt (§ 147 AO, § 257 HGB); das Protokoll der einzelnen Registerabfragen wird mit dem Konto gelöscht.
(4) Master-Konten können einzelne Business Owner im Einzelfall (Härtefälle) per gesondert generiertem Freistellungscode von dieser Pflicht befreien. Master- und Administratorkonten können den Vollständigkeits-/Verifizierungsstatus (nicht die Klartextangaben) eines einzelnen Business Owners einsehen. Jede Einreichung sowie jede Einlösung eines Freistellungscodes wird mit Zeitstempel, IP-Adresse und (ohne Klartextwerte) Art des Nachweises sowie Verifizierungsergebnis dokumentiert, um im Streitfall sowie in der internen Statistik nachvollziehbar zu bleiben.
(5) Die verschlüsselten Angaben werden für die Dauer der Geschäftsbeziehung sowie anschließend gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert, da sie die gewerbliche Grundlage der abgerechneten Lizenzgebühren dokumentieren.
(6) Auf Grundlage der Angaben gemäß Abs. 1 erstellt EPTEC nach jedem abgeschlossenen Lizenzkauf automatisiert eine Rechnung im PDF-Format und stellt sie dem Business Owner über das plattforminterne Nachrichtensystem zu. Die erzeugte Rechnung wird zur Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) gespeichert. Zugriff auf die gespeicherte Rechnung hat ausschließlich der jeweilige Business Owner selbst sowie Master-/ Administratorkonten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung bzw. Vorbereitung des Lizenzvertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Nachweis der unternehmerischen Tätigkeit gegenüber Zahlungsdienstleistern; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 8h Eigener Werbepreis des Business Owners
(1) Hinterlegt ein Business Owner in seinem Profil einen eigenen Werbepreis je Mitgliedschaftsstufe, wird dieser Preis auf der Paywall angezeigt, sobald ein Nutzer die ETOBS-Nummer des Business Owners eingibt. Der eigene Werbepreis ist eine rein informative Angabe des Business Owners und hat keinen Einfluss auf die Höhe der Lizenzgebühr — diese richtet sich ausschließlich nach der Anzahl der tatsächlichen Endkunden des Business Owners gemäß dem auf der Preisseite ausgewiesenen Paket-Modell. Auf der African-Instanz kann der Business Owner bis zu drei Werbepreise je Mitgliedschaftsstufe hinterlegen (nach Kaufkraft-Stufe des Ziellandes gestaffelt); welcher der drei Werte einem Nutzer angezeigt wird, richtet sich nach dessen anhand der IP-Adresse ermittelten Land.
(2) Diese Preisangaben verarbeitet EPTEC zur Anzeige auf der Paywall sowie zur Berechnung der Lizenzgebühr des Business Owners. Verfügt der Business Owner über eine aktive Globale Zahlungslink-Lizenz (inkl. beschränkter Paywall-API, § 12 Abs. 7 AGB), ruft EPTECs Backend mit dem vom Business Owner selbst hinterlegten, eingeschränkten Zugangsschlüssel zusätzlich aktiv Daten im Konto des jeweiligen externen Zahlungsanbieters ab — insbesondere Kundendatensätze samt deren E-Mail-Adresse, Abonnement-/Zahlungsstatus und Periodenende —, um Aufnahme-/ Tarifwechsel-Bestätigungen, Kündigungen und die Übertragung eigener Preise zu automatisieren (vgl. § 8k, § 12b dieser Erklärung). Ohne eine solche aktive Lizenz verarbeitet, sieht oder prüft EPTEC den tatsächlich über den externen Zahlungslink eingezogenen Betrag nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Lizenzvertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zutreffenden Lizenzgebühr-Berechnung.
§ 8i Lizenzlaufzeit und Zahlungen (keine automatische Abbuchung)
(1) Lizenzen und Abonnements eines Business Owners gelten jeweils 30 Tage ab Einlösung (§ 29 AGB). Jede Verlängerung erfolgt durch eine vom Business Owner selbst ausgelöste Zahlung (§ 30 Abs. 8 AGB); ein automatisches Zahlungsmandat oder eine automatische, wiederkehrende Abbuchung findet nicht statt. EPTEC speichert daher keine Mandats- oder Subscription-Kennungen. Zahlungsmitteldaten (z. B. Kontonummer, Kartendaten) verbleiben ausschließlich beim jeweiligen Zahlungsdienstleister.
(2) Jede Zahlung wird mit Betrag, Zeitpunkt und betroffenem Lizenztyp protokolliert (vgl. § 8b). Unterbleibt ein erneuter Kauf, endet die Lizenz mit Ablauf des bereits bezahlten Zeitraums; EPTEC legt hierfür keinen Forderungs-Datensatz an.
(3) Für vor dem 01.09.2026 abgeschlossene, bereits vollständig im Voraus bezahlte Lizenzperioden (früheres Vorkasse-Modell) gilt ergänzend: Bestand für eine damals fällige Nacherhebung kein gültiges Mandat oder schlug der Einzug fehl, wurde ein dauerhafter Forderungs-Datensatz gespeichert (geschuldeter Betrag, betroffene Mitgliedschaftsstufe/-anzahl, kryptografischer Prüfwert (HMAC) der USt-IdNr./Gewerbe-ID statt Klartext). Ein solcher Datensatz bleibt von einer Kontolöschung unberührt und wird gelöscht, sobald die Forderung beglichen ist oder EPTEC auf ihre Durchsetzung verzichtet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Abo-Vertrages; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionierenden Zahlungsabwicklung.
§ 8j Chargeback-Nachweis-Dokumentation (Akte)
(1) EPTEC dokumentiert zu jedem Nutzer fortlaufend sicherheits-, einwilligungs- und zahlungsrelevante Ereignisse in einem internen chronologischen Protokoll ("Akte"): erteilte Einwilligungen inklusive Zeitstempel, IP-Adresse, Browser-Kennung und akzeptierter AGB-Version (§ 8b, § 8l), Registrierungsnachweise (§ 4), Kontostammdaten (u. a. E-Mail-Adresse), sicherheitsrelevante Ereignisse gemäß § 3, aktive Sitzungen (Gerät, Land), Status der Zwei-Faktor-Authentifizierung, das verschlüsselte Rechnungsprofil gemäß § 8g/§ 8m, Moderationsmaßnahmen gemäß § 12a sowie Start/Änderung/Kündigung eines Abonnements, Käufe, Zahlungen und versandte Verlängerungserinnerungen. Die Akte ist intern durchsuchbar, u. a. nach E-Mail-Adresse sowie Vor-/Nachname.
(1a) Master- und Administrator-Konten haben zu internen Zwecken gemäß Abs. 2 uneingeschränkten Zugriff auf die Akte jedes Nutzers. Verfügt ein Business Owner über eine aktive Client-Akte-Lizenz, erhält er zusätzlich Zugriff auf die Akte seiner eigenen, mit ihm verlinkten Clients (§ 8k) — beschränkt auf diese Clients und nicht auf andere Nutzer der Plattform. Er sieht die Akte des Clients selbst und alles aus seinem eigenen Geschäft mit diesem Client, nicht aber Vorgänge aus Geschäften des Clients mit anderen Business Ownern (insbesondere Verträge, Rechnungen, Zustimmungen, Zahlungen und Nachrichten aus diesen Geschäften). Ist der Client selbst Business Owner, sieht er auch nichts aus dessen Geschäft mit seinen eigenen Clients (insbesondere dessen Steuerangaben, Zahlungslinks und Preise, Rechtstexte, Vereinbarungen, Zahlungsprotokoll, Moderationsmaßnahmen und ausgestellte Zustimmungen). Rechtsgrundlage dieses eingeschränkten Zugriffs ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Business Owners an der Abwehr von Zahlungsanfechtungen aus seiner eigenen Kundenbeziehung).
(2) Diese Dokumentation dient der Absicherung gegenüber Zahlungsdienstleistern und Kartenausstellern im Fall einer Zahlungsanfechtung sowie — im Rahmen von Abs. 1a — der Beweisführung des Business Owners gegenüber seinen eigenen Clients, und wird zu diesen Zwecken vorgehalten sowie im Streitfall an den betroffenen Zahlungsdienstleister weitergegeben. Zur Speicherdauer siehe § 13.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr unberechtigter Zahlungsanfechtungen; ergänzend Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten, soweit einschlägig.
§ 8k Client-Akte-Lizenz (API-gemeldete Fremdzahlungen)
(1) Business Owner mit aktiver Client-Akte-Lizenz können über einen eigenen API-Schlüssel Zahlungen, die ihre Endkunden außerhalb der Plattform direkt an sie geleistet haben, an EPTEC melden. Verarbeitet werden dabei ausschließlich vom Business Owner selbst übermittelte Angaben: ein vom Business Owner gewählter Client-Bezeichner, Betrag, Zahlungsmethode, ein optionaler Referenztext sowie der Zeitpunkt des Zahlungseingangs. EPTEC nimmt an der gemeldeten Zahlung selbst nicht teil und prüft die inhaltliche Richtigkeit der Meldung nicht. Seit dem 06.09.2026 ist zusätzlich die Angabe eines Landes (ISO-Code) fuer jede gemeldete Zahlung verpflichtend; bei Land „US" sind zusätzlich Bundesstaat und County/Landkreis verpflichtend anzugeben. Diese Geo-Angaben werden als eigene, unverschlüsselte, strukturierte Felder gespeichert (nicht Teil eines Freitextfelds) und dienen — wie die identisch strukturierten Angaben gemäß § 8m — der Ermittlung, ob den meldenden Business Owner aufgrund dieser Zahlung eine steuerliche Registrierungs- oder Meldepflicht in einzelnen US-Bundesstaaten treffen könnte (US Sales Tax Nexus), sowie der geografischen Dokumentation im Streitfall.
(2) Die gemeldeten Daten erscheinen ausschließlich in der Akte (Chargeback-Nachweise, § 8j) des meldenden Business Owners und werden zu keinem anderen Zweck verwendet. Meldet ein Business Owner Daten zu einer Person, die selbst kein Nutzerkonto auf der Plattform besitzt, ist der Business Owner als Meldender dafür verantwortlich, dass eine Rechtsgrundlage für diese Übermittlung an EPTEC besteht (insbesondere eigene vertragliche Beziehung zu seinem Endkunden); EPTEC verarbeitet die Daten in diesem Fall als Auftragsverarbeiter im Interesse des Business Owners.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners und EPTECs an der Chargeback-/Zahlungsnachweis-Dokumentation; bei personenbezogenen Daten des Endkunden ggf. Art. 28 DSGVO (Auftragsverarbeitung im Auftrag des Business Owners).
§ 8l Vertragsdokumentation bei Direktabschluss mit dem Business Owner (BYOP)
(1) Schließt ein Client ein Abonnement oder einen Event-Deal direkt beim Business Owner ab (BYOP, § 34a AGB), speichert EPTEC hierzu folgende Daten als Nachweis der abgegebenen Erklärungen: die Angabe, ob der Vertrag als Verbraucher oder als Unternehmer/für berufliche Zwecke geschlossen wurde, optional angegebener Firmenname und USt-ID, Zustimmung und Version der Plattform-AGB, sowie — sofern der Business Owner eigene Bedingungen hinterlegt hat (§ 1 Abs. 4 AGB) — Zustimmung, Versionsnummer, vollständiger Text und ein SHA-256-Prüfwert dieser eigenen Bedingungen zum Zeitpunkt der Zustimmung, jeweils samt Checkout-ID, IP-Adresse, Länderkennung, US-Bundesstaaten-Kennung (sofern aus der Cloudflare-Standortbestimmung ableitbar) und Zeitstempel. Tritt der Client dabei als Unternehmer auf, werden zusätzlich Name bzw. Firmenname sowie eine vollständige Rechnungsanschrift erhoben (Rechnungsanschrift AES-256-verschlüsselt gespeichert) — bei einer Angabe als Verbraucher entfällt diese Erhebung.
(2) Der vollständige Text und Prüfwert der eigenen Bedingungen werden serverseitig erfasst (nicht anhand einer Angabe des Clients), damit eine spätere Änderung des Textes durch den Business Owner den ursprünglich akzeptierten Wortlaut nicht nachträglich verändert. Diese Daten dienen der Beweissicherung, dass dem Client vor Vertragsschluss die Möglichkeit zur Kenntnisnahme der eigenen Bedingungen des Business Owners eingeräumt wurde, sowie der Dokumentation im Streitfall zwischen Client und Business Owner. Sie erscheinen in der Akte (§ 8j) beider Vertragsparteien.
(3) Verfügt der Business Owner über eine aktive Client-Rechnungs-Lizenz, kann er eine tatsächlich außerhalb der Plattform erhaltene Zahlung manuell bestätigen. In diesem Fall erstellt EPTEC automatisiert eine PDF-Rechnung im Namen des Business Owners (unter Verwendung von dessen eigenen Geschäftsangaben gemäß § 8g als Verkäufer sowie der Name-/Anschriftsangaben des Clients gemäß Abs. 1 als Käufer) und stellt sie dem Client über das plattforminterne Nachrichtensystem zu. EPTEC prüft die inhaltliche Richtigkeit der Zahlungsbestätigung nicht und wird durch die Rechnungserstellung nicht Partei des zugrunde liegenden Zahlungsvorgangs (§ 34a Abs. 1 AGB). Die erzeugte Rechnung wird zur Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) gespeichert; Zugriff haben ausschließlich Business Owner, Client sowie Master-/Administratorkonten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Dokumentationspflicht gegenüber beiden Vertragsparteien, Rechnungsstellung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Beweissicherung im Streitfall zwischen Client und Business Owner sowie an der Kontenzuordnung im Zahlungsanfechtungsfall; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten (Abs. 3).
§ 8m Persistentes Rechnungsdaten-Profil und strukturierte Land-/Bundesland-/Kreis-Angaben
(1) Ergänzend zu der in § 8l Abs. 1 beschriebenen einmaligen Erfassung beim Vertragsschluss kann ein Client sein eigenes Rechnungsdaten-Profil (Name bzw. Firmenname, optional Firma und USt-IdNr., Rechnungsanschrift, sowie Land, Bundesland/Provinz und Kreis/Landkreis) jederzeit selbstständig in seinem Konto hinterlegen und aktualisieren. Name/Firmenname, USt-IdNr. und Rechnungsanschrift werden dabei AES-256-verschlüsselt gespeichert (eigener Schlüssel); Land, Bundesland/Provinz und Kreis/Landkreis werden als eigene, unverschlüsselte, strukturierte Angaben gespeichert, da diese für eine aggregierte Auswertung nach Bundesstaat erforderlich sind, ohne dass hierfür jede einzelne Zeile entschlüsselt werden müsste. Bei Land „US" sind Bundesland/Provinz und Kreis/Landkreis abweichend von Satz 1 zusätzlich verpflichtend (nicht optional) — sowohl für den Client (dieser Absatz) als auch für den Business Owner selbst (§ 8g Abs. 1), da US Sales Tax Nexus ohne diese Ebene nicht sinnvoll auswertbar ist.
(2) Dieselben strukturierten Land-/Bundesland-/Kreis-Angaben werden ergänzend zu der bereits nach § 8g Abs. 1 erfassten Rechnungsanschrift auch für den Business Owner selbst erhoben.
(3) Zweck dieser strukturierten Geo-Angaben ist neben der Rechnungserstellung (§ 8g, § 8l Abs. 3) die Ermittlung, ob ein Business Owner aufgrund von Zahlungen seiner eigenen Clients in einzelnen US-Bundesstaaten einer steuerlichen Registrierungs- oder Meldepflicht (US Sales Tax Nexus) unterliegen könnte. Die entsprechende Auswertung ist ausschließlich für den jeweils betroffenen Business Owner selbst sowie für Master-/Administratorkonten einsehbar und stellt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO dar, sondern eine reine Orientierungshilfe ohne rechtliche Wirkung gegenüber dem Client. Master-/Administratorkonten können diese Auswertung zusätzlich plattformweit aggregiert über alle Business Owner hinweg einsehen (ohne Einzeltransaktionsdetails einzelner Clients, nur Summen je Bundesstaat und beteiligter Business Owner), zum Zweck der internen Aufsicht über die kollektive US-Steuerrisiko-Lage der Plattform.
(4) Die Angaben nach Abs. 1 und 2 werden für die Dauer der Geschäftsbeziehung sowie anschließend gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO: zehn Jahre; § 257 HGB: sechs Jahre) gespeichert, sofern sie im Zusammenhang mit einer abgeschlossenen Zahlung stehen; andernfalls können sie vom jeweiligen Nutzer jederzeit gelöscht oder geändert werden.
(5) Rechtsform und kostenloser Registerabgleich: Zusätzlich wird die Rechtsform erfasst (für Business Owner verpflichtend, für Clients freiwillig), um zu dokumentieren, welche Registernummern bei dem jeweiligen Unternehmen typischerweise bestehen. Wird eine USt-IdNr. angegeben (im USt-IdNr.-Feld oder im Handelsregisterfeld: EU-USt-IdNr., Schweizer UID, norwegische Organisationsnummer oder LEI), gleicht EPTEC sie beim Speichern automatisiert mit dem amtlichen Register ab; Empfänger, übermittelte Daten, gespeicherte Ergebnisse und Rechtsgrundlagen regelt § 8g Abs. 3. Speichern bleibt auch ohne bestätigtes Merkmal möglich; ein Lizenzkauf bzw. ein Beitritt als Unternehmen setzt dagegen ein bestätigtes Merkmal voraus (§ 8g Abs. 2). Nummern anderer Arten werden nicht abgefragt. Das Ergebnis erscheint je Feld im Profil und in der Akte.
(6) Verlauf der Rechnungsdaten: Jede gespeicherte Fassung der Angaben nach Abs. 1 bis 5 (einschließlich Rechtsform, Registernummern, Ergebnis des Registerabgleichs, Zeitpunkt und IP-Adresse) wird zusätzlich als eigene, AES-256-verschlüsselte Fassung abgelegt. Spätere Änderungen überschreiben frühere Fassungen nicht; die Akte zeigt den vollständigen Verlauf. Zweck ist der Nachweis, welche Angaben zum Zeitpunkt eines Kaufs oder Vertragsschlusses galten (Abwehr unberechtigter Zahlungsanfechtungen, steuerliche Nachweispflichten). Die Fassungen werden wie die Angaben nach Abs. 4 gemäß den gesetzlichen Aufbewahrungspflichten gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Rechnungsstellung, Kontenzuordnung); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners und EPTECs an einer zuverlässigen steuerlichen Einordnung; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten, soweit einschlägig.
§ 8n Bezahlter Kauf ohne Code-Ausstellung (Nachlieferung bzw. Fristverlängerung nach § 30 Abs. 11 AGB)
(1) Meldet ein Nutzer über den Button „Beschwerde / Anregung“ oben im Profil oder – als Business Owner – über „Ein technisches Feature- oder Datenschutzproblem melden“, dass ein bezahlter Lizenzkauf keinen Code ergeben hat (bei „Beschwerde / Anregung“ in der Kategorie Technik oder Geldangelegenheiten), verarbeitet EPTEC: den Text der Meldung, den Nutzernamen, Zeitpunkt und gewählten Meldeweg, die zum Kauf gespeicherten Kauf- und Zahlungsdaten (Checkout-ID, Zahlungs-ID, Betrag, Zeitpunkt, Lizenztyp, Zahlungsstatus beim Zahlungsdienstleister, Lieferquittung, § 8 und § 8b) sowie die in der Systemakte vermerkten Code-Ausstellungen zu diesem Kauf.
(2) Zweck ist allein die automatische Prüfung, ob der Kauf tatsächlich bezahlt und kein Code ausgestellt wurde, und bei Bestätigung zuerst die automatische Nachlieferung des Gekauften (Code bzw. Abo-Paket); nur wenn diese scheitert, die Fristverlängerung der betroffenen Lizenz um 30 Tage, je Zahlung genau einmal (§ 30 Abs. 11 AGB). Derselbe Zahlungsvorfall wird insgesamt nur einmal ausgeglichen; für denselben Vorfall bereits gewährte Tage des Störungsausgleichs (§ 22t) werden angerechnet. Geld wird dabei nicht erstattet; das persönliche Kontingent und das Plattformkontingent werden nicht erhöht (§ 22u). Für die Bearbeitung der Nachricht im jeweiligen Meldeweg gelten im Übrigen § 22s (Beschwerde / Anregung) bzw. § 22t (technisches Problem).
(3) Die Entscheidung über Nachlieferung bzw. Fristverlängerung ergeht ausschließlich automatisiert (§ 17), weil sie für die Erfüllung des Vertrags erforderlich ist (Art. 22 Abs. 2 lit. a DSGVO). Logik: Abgleich mit den Zahlungsdaten des Zahlungsdienstleisters, dem Kaufprotokoll und der Systemakte; berücksichtigt werden nur eigene Käufe des meldenden Kontos aus den letzten 90 Tagen, frühestens 15 Minuten nach der Zahlung; bestätigt wird nur eine Zahlung, die beim Zahlungsdienstleister als bezahlt gilt, nicht zurückgebucht ist, zu der in der Systemakte kein Code vermerkt ist und für die noch keine Fristverlängerung gewährt wurde. Folge: Nachlieferung, sonst Fristverlängerung um 30 Tage (abzüglich bereits angerechneter Tage), oder keine Bestätigung. Nachlieferung bzw. Fristverlängerung werden Ihnen über das Nachrichtensystem mitgeteilt; wird kein solcher Kauf bestätigt, wird Ihre Meldung auf dem gewählten Meldeweg regulär bearbeitet und beantwortet. Sie haben das Recht, eine Überprüfung durch einen Menschen zu verlangen, Ihren Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO) – über „Beschwerde / Anregung“ oder die in § 1 genannte Adresse.
(4) Meldung, Prüfergebnis, Nachlieferung und Fristverlängerung werden in der Akte des Nutzers dokumentiert und wie die Akte gespeichert (§ 8j, § 13); das Master-Konto und Administratorkonten mit dem Bereich Kundendienst können sie einsehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Nachlieferung bzw. Fristverlängerung nach § 30 Abs. 11 AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Missbrauchsabwehr (Fristverlängerung genau einmal je Zahlung) und an der Nachweisbarkeit im Streitfall; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten für Zahlungsbelege.
§ 8o Willkommenszahlung (einmaliges Einstiegsgeld) der Business Owner
(1) Für die Willkommenszahlung eines neuen Business Owners (§ 4 Abs. 5a AGB) verarbeitet EPTEC neben den Checkout-Daten nach § 8 und § 8b: Benutzerkennung und Benutzername, die Kennung des Bezahlvorgangs, den gezahlten Betrag, den Status (bezahlt, zurückgebucht oder doppelt gezahlt) mit Zeitpunkt der Zahlung und ggf. der Rückbuchung sowie die Unternehmer-Bestätigung per Pflicht-Checkbox mit Wortlaut, Version und Betrag. Diese Angaben werden in der Akte des Business Owners dokumentiert. Eine doppelt geleistete Zahlung wird zusätzlich als Sicherheitsereignis (§ 3) festgehalten.
(1a) Begonnene Zahlungen: Damit ein Business Owner eine begonnene, noch nicht abgeschlossene Willkommenszahlung fortsetzen kann, statt ein zweites Mal zu zahlen, speichert EPTEC je Bezahlvorgang die Kennung des Bezahlvorgangs, die Benutzerkennung, den Zahlungsanbieter, die Zahl-URL (Adresse der Bezahlseite beim Anbieter), den Status (offen, ersetzt oder bezahlt) sowie die Zeitpunkte der Anlage und ggf. der Ersetzung. Ein Vorgang gilt als ersetzt, wenn er beim Anbieter nicht mehr offen ist oder älter als 48 Stunden ist; dann kann eine neue Zahlung begonnen werden.
(1b) Gutschrift bei doppelter Zahlung: Meldet ein Business Owner eine doppelt geleistete Willkommenszahlung über den Meldeweg (§ 8n), wird sie automatisch geprüft und mit einer Verlängerung der Betriebskostenlizenz im Gegenwert der Zahlung ausgeglichen (§ 4 Abs. 5a AGB; Tage aus Betrag und Monatspreis der Stufe, 1 bis 30). Besteht noch keine Betriebskostenlizenz, speichert EPTEC eine Gutschrift (Benutzername, zugrunde liegende Zahlung und Betrag, Zeitpunkt), deren Tage beim ersten Kauf aus der gekauften Stufe berechnet und angerechnet werden; wird eine der Zahlungen zurückgebucht, werden Tage bzw. Gutschrift zurückgenommen; Quittung und Anrechnung werden in der Akte vermerkt.
(2) Eine Ausnahme für Konten, die schon vor Einführung der Willkommenszahlung Business Owner waren, gibt es nicht mehr; jeder Business Owner leistet die Willkommenszahlung. Eine früher dafür einmalig erstellte Liste (Benutzerkennung und Zeitpunkt der Erfassung) wird weder ergänzt noch verwendet; ihre Einträge werden mit dem jeweiligen Konto gelöscht und sind bis dahin Teil der Auskunft nach Art. 15 DSGVO.
(3) Zweck ist die Freischaltung des Business-Owner-Kontos nach Zahlungseingang, die Sperre kostenverursachender Funktionen bis dahin und erneut nach einer Rückbuchung (§ 4 Abs. 5a AGB), die Vermeidung doppelter Zahlungen sowie der Nachweis der Zahlung im Streitfall (§ 8j). Die Angaben werden für die Dauer der Geschäftsbeziehung gespeichert; zahlungsbezogene Angaben unterliegen den gesetzlichen Aufbewahrungsfristen (§ 13). Sie sind Teil der Auskunft nach Art. 15 DSGVO (§ 15).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Willkommenszahlung nach § 4 Abs. 5a AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr unberechtigter Rückbuchungen und an wirtschaftlicher Tragfähigkeit; Art. 6 Abs. 1 lit. c DSGVO — handels- und steuerrechtliche Aufbewahrungspflichten.
§ 9 Kontaktformular
(1) Nimmt ein Nutzer oder ein externer Absender (z. B. Banken, Zahlungsanbieter, Rechtsanwälte oder Behörden) über das Kontaktformular oder per E-Mail Kontakt auf, werden die übermittelten Angaben (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung der Anfrage gespeichert. Diese Daten werden nicht ohne Einwilligung an Dritte weitergegeben; die Empfänger nach Abs. 2, 5 und 6 bleiben davon unberührt.
(2) E-Mails an die info@-Adressen der Plattform laufen über Cloudflare Email Routing und werden unverändert an das Postfach des Plattformbetreibers bei Google (Gmail) weitergeleitet; Cloudflare und Google sind insoweit Empfänger dieser E-Mails. E-Mails an info@etobsprofessional.com gehen zusätzlich vollständig (Absender, Betreff, Text und Anhänge) in ein Postfach des Plattformbetreibers bei Microsoft 365; Microsoft ist insoweit Empfänger dieser E-Mails.
(3) Für E-Mails zu Krankmeldungen und Arbeitsunfähigkeit, die Gesundheitsdaten enthalten können (z. B. Arbeitsunfähigkeitsbescheinigungen), gilt Abs. 2 ebenso.
(4) Die Speicherdauer ergibt sich aus § 13. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
(5) Eingehende E-Mails im Postfach des Plattformbetreibers, auch solche an die info@-Adressen, werden automatisiert mit dem KI-Dienst Claude der Anthropic, PBC gesichtet, um dringende Eingänge und Fristen zu erkennen, die Eingänge einzuordnen, die Zustellung an die info@-Adressen zu prüfen und Antwortvorschläge für den Plattformbetreiber vorzubereiten. Dabei werden Absender, Betreff und, soweit dafür nötig, der Inhalt an diesen Dienst übermittelt (§ 19). Antworten aus dieser Sichtung gehen nur nach Freigabe durch den Plattformbetreiber hinaus; die automatische Antwort nach Abs. 6 ist davon getrennt. In den regelmäßigen automatischen Läufen werden E-Mails mit erkennbarem Gesundheitsbezug (Abs. 3) oder Bezug zu Hinweisgebermeldungen anhand von Stichworten ausgesondert; von ihnen gehen nur technische Kennungen an diesen Dienst, nicht Absender, Betreff und Inhalt. Stichworte können eine solche E-Mail übersehen, und bei Verläufen mit mehreren Nachrichten können Betreff und Textvorschau dennoch an den Dienst gelangen. Sichtungen, die der Plattformbetreiber im Einzelfall selbst anstößt, unterliegen dieser technischen Aussonderung nicht.
(6) Automatische Antwort. Ist die Funktion auf der jeweiligen Plattform eingeschaltet, kann auf Anfragen über das Kontaktformular und E-Mails an die info@-Adressen automatisch eine Antwort per E-Mail ergehen. Dafür wird der Nachrichtentext an Cloudflare Workers AI (§ 10, Modell Llama 3.3 70B) übermittelt, nicht an Anthropic. Kontodaten und Akte werden dafür nicht verwendet. Die Antwort ist als KI-Antwort gekennzeichnet. Die Zustellung an den Plattformbetreiber läuft davon unabhängig und zuerst; jede Anfrage erreicht also einen Menschen. Nachrichten mit Bezug zu Gesundheit, Hinweisgebermeldungen oder anwaltlicher Post sowie Rechts-, Datenschutz-, Jugendschutz- und Sicherheitsthemen werden anhand von Stichworten ausgesondert und gehen nicht an die KI; heikle Nachrichten erhalten eine feste Antwort mit Hilfehinweis. Stichworte können eine solche Nachricht übersehen; erkennt die KI das Thema, antwortet sie nicht, und ein Mensch übernimmt. Zur Nachvollziehbarkeit speichern wir eine Spur, in der der Absender nur als Hash steht, für 180 Tage; eine Auswertung ohne Text und ohne Personenbezug für 400 Tage. Die Antwort entscheidet nicht über Rechte oder Ansprüche.
(6a) Direktnachrichten an Abteilungskonten. Für Abteilungen von EPTEC kann der Plattformbetreiber jeweils ein eigenes Administratorkonto anlegen (Benutzername Test_Admin_ und Abteilung, z. B. Test_Admin_Kundendienst). Ist die Funktion auf der jeweiligen Plattform eingeschaltet, beantwortet eine KI Direktnachrichten und Chatnachrichten an diese Konten automatisch; die Antwort steht in Ihrem Posteingang und ist als KI-Antwort gekennzeichnet. Dafür werden Betreff und Text Ihrer Nachricht an Cloudflare Workers AI (§ 10, Modell Llama 3.3 70B) übermittelt, nicht an Anthropic; Ihre Akte geht nicht an die KI. Bei den Abteilungen Kundendienst und Buchhaltung wird der Antwort ein fester Auszug aus Ihrer eigenen Akte angehängt (Ihre Käufe und Zahlungen, beim Kundendienst auch Ihre Bestätigungen bei der Registrierung), wenn Ihre Frage danach geht. Nachrichten an die Abteilungen Datenschutz, Jugendschutz, Sicherheit, Recht und Compliance, Geschäftsführung und Hinweisgeber, heikle Nachrichten und die in Absatz 6 genannten Themen gehen nicht an die KI; Sie erhalten eine feste Eingangsbestätigung. Jede Nachricht, die die KI nicht beantwortet, wird einem Menschen vorgelegt: dem Menschen, der das Abteilungskonto führt, oder, solange dort niemand eingesetzt ist, dem Plattformbetreiber, bis zu einer Tagesgrenze je Abteilungskonto mit Text, darüber mit Absender in der Akte des Abteilungskontos. Ist ein Mensch eingesetzt, erhält der Plattformbetreiber zusätzlich eine Kopie mit Text, wenn eine Nachricht, die an die KI gehen darf und weder dringend noch heikel ist, keine KI-Antwort erhalten hat; das gilt, wenn die KI gar nicht befragt wurde (Nachricht kürzer als zehn Zeichen oder plattformweite Tagesgrenze für KI-Anfragen an die Abteilungskonten erreicht), wenn sie nicht geantwortet hat (Ausfall oder Kostengrenze) und wenn ihre Antwort verworfen wurde. Davon getrennt gilt eine Grenze je Absender: Hat ein Absender an einem Kalendertag (UTC) bereits drei automatische Antworten von Abteilungskonten erhalten, ergeht auf weitere Nachrichten an diesem Tag keine automatische Antwort; ist ein Mensch eingesetzt, liegt die Nachricht dann nur bei ihm, ohne Kopie an den Plattformbetreiber, sonst wird sie dem Plattformbetreiber wie oben vorgelegt. Diese Absendergrenze gilt nicht für heikle Nachrichten und nicht für Nachrichten, die nicht an die KI gehen. Dringende und heikle Nachrichten, alle Nachrichten, die nach den vorstehenden Sätzen nicht an die KI gehen, und Nachrichten, in denen die KI ein solches Thema erkennt (sie antwortet dann nicht), gehen zusätzlich als Alarm an den Plattformbetreiber; bei Nachrichten an die Abteilungen ohne KI, zu den in Absatz 6 genannten Themen und bei einem von der KI erkannten Thema enthält der Alarm keinen Text; ist ein Mensch eingesetzt, geht in diesen Fällen auch keine Kopie mit Text an den Plattformbetreiber. In der Akte des Abteilungskontos wird jede automatische Antwort als Handlung der KI und jede Handlung eines Menschen als solche vermerkt. Speicherdauer: Ihre Nachricht, die Antwort und die Kopien an den Plattformbetreiber sind Direktnachrichten und werden wie diese gespeichert (§ 4d, § 13); Einträge in der Akte werden zehn Jahre nach ihrer Entstehung automatisch gelöscht. Die Antwort entscheidet nicht über Rechte oder Ansprüche. Für vertrauliche Meldungen nutzen Sie bitte den Meldekanal (/hinweisgeber).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Bearbeitung eingehender Anfragen und am raschen Erkennen dringender Eingänge; soweit die Anfrage auf eine vertragliche Beziehung bezogen ist, Art. 6 Abs. 1 lit. b DSGVO; für Gesundheitsdaten (Abs. 3) Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG.
§ 10 Hosting und technische Infrastruktur
Die Plattform wird auf der Infrastruktur von Cloudflare, Inc. (USA) betrieben. Dabei kommen folgende Dienste zum Einsatz: Cloudflare Workers (Serverless-Computing), D1 (Datenbankdienst), R2 (Objektspeicher), KV (verteilter Schlüssel-Wert-Speicher) und Durable Objects (Echtzeit-Kommunikation). Eingehende E-Mails an die info@-Adressen laufen über Cloudflare Email Routing (§ 9 Abs. 2).
Cloudflare, Inc. ist als Auftragsverarbeiter im Sinne von Art. 28 DSGVO tätig. Es besteht ein Auftragsverarbeitungsvertrag (AVV). Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert, das von der Europäischen Kommission als angemessenes Schutzniveau im Sinne von Art. 45 DSGVO anerkannt ist (Angemessenheitsbeschluss vom 10. Juli 2023). Für den Fall, dass das DPF nicht anwendbar ist, stützt sich die Übermittlung auf Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technischer Betrieb); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer zuverlässigen und skalierbaren Infrastruktur.
§ 10a Echtzeit-Videokommunikation
Live-Video- und Audiokommunikation läuft über den spezialisierten Echtzeit-Kommunikationsdienst LiveKit (vgl. auch § 22d, § 22e): in Räumen eines Business Owners über dessen eigenes LiveKit-Projekt, in Räumen von Master und EPTEC über das Projekt von EPTEC. Bei Teilnahme an einer Video- oder Audiositzung werden folgende Daten an diesen Dienst übermittelt:
– Technische Nutzerkennung (Sitzungs-ID / Identity)
– Raumkennung (Orbit-Raumzuordnung)
– Audio- und Videodaten für die Dauer der Sitzung
– Verbindungsmetadaten (Zeitstempel, Verbindungsstatus)
Eigenes Projekt des Business Owners: Der Business Owner schließt den Vertrag mit dem Anbieter selbst und ist für die Verarbeitung in seinem Projekt selbst verantwortlich; wir stellen dafür nur die Plattform und den Einlass bereit. Seinen Zugang (Projektadresse, API-Key, API-Secret) speichern wir verschlüsselt, angezeigt werden nur die Adresse und die letzten 4 Zeichen des API-Keys. Mit diesem Zugang geben wir die Zugangstoken für die Sitzung aus, beenden Räume, die wir nach AGB § 12 Abs. 5a schließen, und prüfen regelmäßig, ob die Anbindung funktioniert; bei dieser Prüfung lesen wir nur den technischen Status, keine Inhalte, Raumnamen oder Teilnehmer.
Soweit EPTEC den Dienst selbst einsetzt, agiert er als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag. Der Dienstleister ist in den USA ansässig; die Datenübermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. — soweit dieses nicht anwendbar ist — auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.
Audio- und Videodaten werden ausschließlich für die Dauer der jeweiligen Sitzung verarbeitet und nicht dauerhaft gespeichert. Sitzungsmetadaten (wer war in welchem Raum aktiv) werden in der Plattform-KV-Speicherung für die Dauer der Sitzung vorgehalten und danach automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Bereitstellung der Live-Kommunikationsfunktion); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer technisch zuverlässigen Echtzeitkommunikation.
§ 10b Datenbankfallback (Neon Postgres)
Für den Fall erhöhter Lastanforderungen oder zur Sicherstellung der Hochverfügbarkeit kann EPTEC einen zusätzlichen relationalen Datenbankdienst (Neon, Inc., USA) als Fallback-Datenbank einsetzen. In diesem Fall werden dieselben Nutzerdaten, die regulär in der primären Plattformdatenbank gespeichert werden (vgl. §§ 4–8a), spiegelnd auch in diesem Dienst vorgehalten.
Neon, Inc. agiert in diesem Fall als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag. Neon, Inc. ist in den USA ansässig; die Datenübermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie — sofern anwendbar — auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO).
Dieser Dienst ist zum Zeitpunkt der Veröffentlichung dieser Erklärung inaktiv. Bei Aktivierung wird diese Erklärung entsprechend aktualisiert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (technischer Betrieb); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Verfügbarkeit und Ausfallsicherheit der Plattform.
§ 11 Technische und organisatorische Maßnahmen
EPTEC trifft gemäß Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, insbesondere:
– Verschlüsselte Datenübertragung (TLS/HTTPS)
– Zugriffskontrollen und rollenbasierte Berechtigungssysteme
– Regelmäßige Sicherheitsüberprüfungen der eingesetzten Systeme
– Minimierung der erhobenen Daten auf das notwendige Maß (Datensparsamkeit)
– Protokollierung sicherheitsrelevanter Ereignisse
– Passwörter werden ausschließlich als gesalzener, nicht umkehrbarer Hash-Wert gespeichert (PBKDF2, 100.000 Iterationen, individuelles Zufalls-Salt je Konto); eine Wiederherstellung des Klartexts ist technisch ausgeschlossen
– Schutz gegen automatisierte Massenzugriffe durch IP-basierte Rate-Limits bei Login, Registrierung und Passwort-Zurücksetzung
– Bot-Schutz auf Registrierungs-, Login- und Kontaktformularen (Cloudflare Turnstile, siehe § 22j)
– Nutzer können ihre aktiven Sitzungen (Geräte, Anmeldezeitpunkt, Land) jederzeit einsehen und einzelne Sitzungen aus der Ferne abmelden
§ 12 Weitergabe an Dritte
Personenbezogene Daten werden nicht an Dritte verkauft. Eine Weitergabe erfolgt ausschließlich in folgenden Fällen:
– Auftragsverarbeiter: Technische Dienstleister (insbesondere Hosting, Zahlungsabwicklung, Übersetzungsdienste, der Identitätsprüfdienst Shufti Pro für die Prüfung der Business Owner nach § 7a) erhalten Daten ausschließlich im Rahmen von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO und nur soweit für die jeweilige Leistungserbringung erforderlich.
– Eingehende E-Mails: Empfänger nach § 9 Abs. 2, 5 und 6.
– Gesetzliche Verpflichtung: Bei Vorliegen einer gesetzlichen Verpflichtung oder behördlicher Anordnung können Daten an zuständige Behörden übermittelt werden (Art. 6 Abs. 1 lit. c DSGVO).
– Einwilligung: Sofern die betroffene Person ausdrücklich eingewilligt hat (Art. 6 Abs. 1 lit. a DSGVO).
§ 12a Moderationsmaßnahmen und Sperrvermerke
Zum Schutz der Plattform und ihrer Nutzer werden Moderationsmaßnahmen gespeichert. Dies umfasst:
– Orbit-Sperren: Wenn ein Business Owner einen Nutzer von seinem Orbit ausschließt, werden Business Owner-Username, gesperrter Nutzer-Username, Zeitpunkt der Sperre, Sperrdauer (sofern befristet) sowie der angegebene Sperrgrund gespeichert.
– Moderationsmaßnahmen: Plattformseitige Moderationseingriffe (z. B. Verwarnungen, Kontosperrungen) werden mit betroffener Nutzer-ID, handelnder Administrator-ID, Maßnahmentyp, Begründung und Zeitstempel protokolliert.
– Meldevorgänge: Meldungen von Nutzern über andere Nutzer werden mit Melder-ID, gemeldeter Person, Meldegrund, Schweregrad und Zeitstempel gespeichert.
Diese Daten werden ausschließlich zur Plattformsicherheit und Durchsetzung der AGB verwendet und nicht an Dritte weitergegeben. Speicherdauer: Plattformseitige Moderationsmaßnahmen werden zehn Jahre ab der Maßnahme gespeichert; Verstoßvermerke zu einem Konto werden mit der Löschung dieses Kontos gelöscht. Befristete Orbit-Sperren werden mit Ablauf der Sperre gelöscht, alle Orbit-Sperren außerdem mit der Löschung des Kontos des Business Owners oder des gesperrten Nutzers. Meldungen werden nach Abschluss der Prüfung drei Jahre aufbewahrt und danach automatisch gelöscht; offene Meldungen bis zu ihrem Abschluss. Wird das Konto der meldenden Person gelöscht, werden ihre Meldungen mitgelöscht; wird das gemeldete Konto gelöscht, wird dessen Benutzername in der Meldung durch einen Platzhalter ersetzt. Während eines offenen Jugendschutz-Falls (§ 22z) wird nichts gelöscht. Konten, die wegen eines Verstoßes gesperrt wurden, werden zehn Jahre nach der Sperre gelöscht (§ 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und dem Schutz der Nutzer vor Missbrauch.
§ 12b Offenlegung der Client-E-Mail-Adresse gegenüber dem Business Owner bei Aufnahme- und Tarifwechselanfragen
Stellt ein Client eine Aufnahme- oder Tarifwechselanfrage bei einem Business Owner (BYOP, § 34a AGB), zeigt die Plattform dem betroffenen Business Owner in seiner Anfragenübersicht neben Username und gewähltem Tarif auch die E-Mail-Adresse des Clients an. Da die eigentliche Zahlung außerhalb der Plattform direkt zwischen Client und Business Owner erfolgt und EPTEC diese Zahlung selbst nicht sieht, dient die E-Mail-Adresse dem Business Owner als Zuordnungsmerkmal, um den tatsächlichen Zahlungseingang eindeutig dem richtigen Client zuordnen zu können, bevor er die Anfrage bestätigt.
Diese Offenlegung beschränkt sich auf den Umfang und die Dauer der jeweiligen Anfrage und betrifft ausschließlich den Business Owner, bei dem die Anfrage gestellt wurde — nicht andere Business Owner oder Dritte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (BYOP-Zahlungsabgleich zwischen Client und Business Owner); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an einer zuverlässigen Zuordnung tatsächlich erhaltener Zahlungen.
§ 13 Speicherdauer
|
Datenkategorie |
Speicherdauer |
Grundlage |
|
Server-Logdaten |
Max. 30 Tage (sicherheitsrelevante Ereignisdaten bis zu 3 Jahre) |
Art. 6 Abs. 1 lit. f |
|
Nutzerkontodaten |
Dauer des Vertragsverhältnisses + 30 Tage Löschfrist; ausgenommen die für steuerliche Nachweise erforderlichen Rechnungs- und Prüfangaben (siehe Zeile „Steuer-Nachweise aus den Rechnungsdaten“) |
Art. 6 Abs. 1 lit. b |
|
Steuer-Nachweise aus den Rechnungsdaten |
Bei der Kontolöschung sichert EPTEC die für steuerliche Nachweise erforderlichen Rechnungs- und Prüfangaben gesondert (Name bzw. Firmenname des Rechnungsempfängers, Rechnungsanschrift mit Land und Region, USt-IdNr., Handelsregister- bzw. Registernummer und D-U-N-S-Nummer, Rechtsform sowie der Nachweis der Prüfung der USt-IdNr. bzw. der Registerabfrage; verschlüsselt gespeicherte Angaben bleiben verschlüsselt). Aufbewahrung 10 Jahre ab Ende des Kalenderjahres (§ 147 AO, § 14b UStG, Art. 18 MwSt-Durchführungsverordnung); danach automatisch gelöscht |
Art. 6 Abs. 1 lit. c |
|
Direktnachrichten |
3 Jahre ab Versand; Mitteilungen zu Beschwerden, Reklamationen und Widerrufen 10 Jahre ab Versand — jeweils längstens bis zur Löschung des Kontos (sofern nicht zuvor gelöscht) |
Art. 6 Abs. 1 lit. b; für Beschwerde-Mitteilungen Art. 6 Abs. 1 lit. f |
|
Raum-Chat-Nachrichten |
3 Jahre ab Versand (automatisch gelöscht) |
Art. 6 Abs. 1 lit. b |
|
Nutzerinhalte |
Dauer des Vertragsverhältnisses (sofern nicht zuvor gelöscht) |
Art. 6 Abs. 1 lit. b |
|
Transaktionsdaten (einschließlich Leistungsnachweise je Zahlung, § 8b) |
10 Jahre (§ 147 AO) / 6 Jahre (§ 257 HGB), jeweils ab Ende des Kalenderjahres; danach automatisch gelöscht |
Art. 6 Abs. 1 lit. c |
|
Business Owner-Umsatz- und Auszahlungsdaten (nur Altvorgänge, § 8a) |
10 Jahre ab Ende des Kalenderjahres (§ 147 AO); danach automatisch gelöscht |
Art. 6 Abs. 1 lit. c |
|
Kontaktanfragen und eingehende E-Mails (§ 9) |
Nach Abschluss der Bearbeitung, max. 3 Jahre |
Art. 6 Abs. 1 lit. f; Gesundheitsdaten: Art. 9 Abs. 2 lit. b |
|
Fragen an den KI-Assistenten (§ 7b) |
30 Tage, danach automatisch gelöscht |
Art. 6 Abs. 1 lit. f |
|
KI-Analyseergebnisse |
Dauer des Vertragsverhältnisses |
Art. 6 Abs. 1 lit. b |
|
Zugangscodes/Orbit-Kennungen (§ 4a) |
Dauer des Vertragsverhältnisses |
Art. 6 Abs. 1 lit. b |
|
Video-/Audiositzungsdaten |
Nur Sitzungsdauer, keine Persistenz |
Art. 6 Abs. 1 lit. b |
|
Moderationsdaten und Sperrvermerke |
Moderationsmaßnahmen 10 Jahre ab der Maßnahme; Verstoßvermerke bis zur Löschung des betroffenen Kontos; Meldungen: offene bis zum Abschluss der Prüfung, abgeschlossene 3 Jahre nach Abschluss (automatisch gelöscht), Meldungen eines gelöschten Kontos mit dessen Löschung; wird das gemeldete Konto gelöscht, wird sein Benutzername in der Meldung durch einen Platzhalter ersetzt; während eines offenen Jugendschutz-Falls keine Löschung; befristete Orbit-Sperren bis zu ihrem Ablauf; gesperrte Konten 10 Jahre nach der Sperre (§ 12a) |
Art. 6 Abs. 1 lit. f |
|
Push-Subscription-Daten |
180 Tage (oder bis Deaktivierung) |
Art. 6 Abs. 1 lit. a |
|
Business Owner-Stories (Mediendateien und Reaktionen) |
Für die vom Business Owner gewählte Anzeigedauer (24, 48 oder 72 Stunden oder 7 Tage); danach werden Mediendatei, Datensatz und Reaktionen automatisch gelöscht. Ausnahme: Beweissicherung während eines offenen Jugendschutz-Falls |
Art. 6 Abs. 1 lit. b; für die Ausnahme Art. 6 Abs. 1 lit. c bzw. f |
|
Protokoll der automatischen Social-Media-Beiträge und -Antworten (§ 22ad) |
1 Jahr nach dem Lauf (automatisch gelöscht) |
Art. 6 Abs. 1 lit. f |
|
Einwilligungsnachweise |
Registrierungs-, Kauf- und Vertragseinwilligungen (§ 4, § 8b, § 8l, § 22aa) einschließlich Vereinbarungen zur Datenverarbeitung: überdauern die Kontolöschung und werden ohne Löschfrist aufbewahrt, weil EPTEC die Erteilung jederzeit nachweisen muss (Art. 7 Abs. 1 DSGVO) und sie zur Abwehr von Zahlungsanfechtungen und Rechtsansprüchen benötigt. Bestätigungen geänderter Rechtstexte (§ 5b): bis zur Löschung des Kontos, längstens 10 Jahre ab Erteilung. Der Vermerk in der Akte (§ 8j) wird wie die Akte gespeichert |
Art. 6 Abs. 1 lit. c |
|
IP-/Geräte-Sperrlisten (Betrugsprävention) |
2 Jahre ab der Eintragung der Sperre (insbesondere nach einer zu Ungunsten von EPTEC entschiedenen Rückbuchung; gilt für IP-Adressen und Geräte-Fingerprints); danach wird der Eintrag automatisch gelöscht. Eine frühere manuelle Aufhebung für IP-Adressen durch Master-/Administratorkonten ist jederzeit möglich; eine erneute Sperre derselben Adresse beginnt die Frist neu |
Art. 6 Abs. 1 lit. f |
|
Selbstbedienungs-Erstattungsdaten (nur Altbestand früherer Erstattungen, § 8f) |
10 Jahre ab Ende des Kalenderjahres (§ 147 AO); danach automatisch gelöscht |
Art. 6 Abs. 1 lit. c |
|
Wiederkaufsperren (Altbestand früherer Selbstbedienungs-Erstattungen und Rückbuchungen, § 8f) |
2 Jahre ab der Eintragung; danach wird die Sperre automatisch gelöscht. Neue Wiederkaufsperren entstehen nicht |
Art. 6 Abs. 1 lit. f |
|
Akte (Chargeback-/Sicherheitsnachweise, § 8j) |
10 Jahre ab dem jeweiligen Eintrag (automatisch gelöscht) — überdauert die Kontolöschung, da die Dokumentation auch nach Vertragsende zur Abwehr von Zahlungsanfechtungen und zur Verteidigung von Rechtsansprüchen erforderlich bleibt |
Art. 6 Abs. 1 lit. f |
|
Beschwerden, Reklamationen, Widerrufe, Anregungen und Störungsmeldungen samt Einstufung und Antwort (§ 22s, § 22t) |
10 Jahre ab Eingang (wie die Akte) |
Art. 6 Abs. 1 lit. b und f |
|
Hinweisgeber-Meldungen (§ 22ac) |
Abgeschlossene Meldungen 3 Jahre nach Abschluss des Verfahrens (automatisch gelöscht); nicht abgeschlossene Meldungen bis zum Abschluss |
Art. 6 Abs. 1 lit. c bzw. f |
|
Reichweitenmessungsdaten (§ 3a) |
Unbefristet zu statistischen Zwecken, ohne IP-Adresse gespeichert |
Art. 6 Abs. 1 lit. f |
|
PSP-Risiko-Einwilligung (§ 8b, § 12 Abs. 7 AGB) |
Derzeit ohne automatische Löschfrist gespeichert; der Vermerk in der Akte (§ 8j) wird wie die Akte gespeichert |
Art. 6 Abs. 1 lit. c |
|
E-Mail-Versandprotokolle (§ 4g) |
3 Jahre nach Versand, längstens bis Vertragsende + 3 Jahre |
Art. 6 Abs. 1 lit. f |
|
Mediathek/Avatar/Raum-Inhalte bei nicht verlängerter Betriebskostenlizenz |
30 Tage nach Ablauf der Betriebskostenlizenz (automatischer Löschlauf); Zahlungs-/Rechnungshistorie bleibt gemäß gesetzlicher Aufbewahrungspflichten unberührt |
Art. 6 Abs. 1 lit. b |
(1) Nach Ablauf der jeweiligen Speicherfrist werden Daten automatisch gelöscht oder unwiderruflich anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(2) Bei Beendigung des Vertrages durch den Nutzer werden Kontodaten und nutzergenerierte Inhalte innerhalb von 30 Tagen nach Wirksamkeit der Kündigung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Hiervon ausgenommen ist die Akte (§ 8j), die aufgrund des berechtigten Interesses an der fortdauernden Abwehr von Zahlungsanfechtungen und der Verteidigung von Rechtsansprüchen für 10 Jahre ab dem jeweiligen Eintrag über die Kontolöschung hinaus aufbewahrt wird (siehe Tabelle oben); dasselbe gilt für Beschwerden, Reklamationen, Widerrufe, Anregungen und Störungsmeldungen samt Einstufung und Antwort (§ 22s, § 22t). Direktnachrichten des Kontos (einschließlich der Mitteilungen zu Beschwerden im Postfach) werden mit der Kontolöschung gelöscht.
§ 14 Minderjährige
Die Plattform richtet sich ausschließlich an Personen, die das gesetzliche Mindestalter in ihrem jeweiligen Land erreicht haben (mindestens 18 Jahre). Minderjährigen ist die Nutzung der Plattform untersagt. Jeder Nutzer bestätigt seine Volljährigkeit bei der Registrierung per Pflicht-Checkbox; ein angegebenes Geburtsdatum unter 18 Jahren führt zur Ablehnung der Registrierung. Wird bekannt, dass eine minderjährige Person die Plattform nutzt, wird das Konto sofort gesperrt; die Daten werden nach § 22z gesichert und nach Abschluss des Falls gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Jugendschutzpflichten; Art. 8 DSGVO.
§ 15 Betroffenenrechte
Betroffene Personen haben gegenüber EPTEC folgende Rechte:
– Auskunft (Art. 15 DSGVO): Auskunft über die verarbeiteten Daten
– Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger Daten
– Löschung (Art. 17 DSGVO): Löschung der Daten, soweit keine Aufbewahrungspflichten entgegenstehen
– Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
– Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der Daten in einem maschinenlesbaren Format
– Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f beruhen
– Widerruf (Art. 7 Abs. 3 DSGVO): Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
Anfragen sind zu richten an die unter § 1 genannte Adresse.
§ 16 Beschwerderecht bei der Aufsichtsbehörde
Betroffene Personen haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständige Behörde für EPTEC:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4, 40213 Düsseldorf
poststelle@ldi.nrw.de
www.ldi.nrw.de
§ 16a Datenpannenmeldung (Art. 33 / 34 DSGVO)
(1) Im Fall einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) wird EPTEC die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
(2) Sofern die Datenpanne voraussichtlich ein hohes Risiko für die betroffenen Personen darstellt, werden diese gemäß Art. 34 DSGVO unverzüglich und in klarer, verständlicher Sprache informiert. Die Information erfolgt über das interne Nachrichtensystem in das Postfach des jeweiligen Kontos und wird in der Akte vermerkt.
(3) EPTEC dokumentiert alle Datenpannen gemäß Art. 33 Abs. 5 DSGVO intern, unabhängig davon, ob eine Meldepflicht besteht.
§ 17 Profiling und automatisierte Entscheidungsfindung
Die Plattform trifft in den nachfolgend genannten Fällen Entscheidungen ausschließlich automatisiert, ohne dass zuvor ein Mensch prüft. Soweit solche Entscheidungen für Nutzer rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 Abs. 1 DSGVO), erfolgen sie, weil sie für den Abschluss oder die Erfüllung des Vertrags erforderlich sind (Art. 22 Abs. 2 lit. a DSGVO) bzw. — bei der Herkunftsprüfung nach § 22y — zusätzlich aufgrund ausdrücklicher Einwilligung (Art. 22 Abs. 2 lit. c DSGVO).
Technische Auswertungen (z. B. Zugriffsstatistiken, Inhaltsklassifizierungen) dienen ausschließlich dem Betrieb und der Weiterentwicklung der Plattform und werden nicht zur automatisierten Bewertung einzelner Personen genutzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Optimierung der Plattform.
Die folgenden Systeme treffen Entscheidungen mit Auswirkung auf den Nutzer automatisiert (Angaben zur involvierten Logik nach Art. 13 Abs. 2 lit. f DSGVO jeweils im genannten Abschnitt):
– KI-Medienmoderation: Hochgeladene Medieninhalte werden automatisch geprüft und können ohne vorherige menschliche Prüfung abgelehnt oder entfernt werden (§ 22i). Nutzer haben das Recht auf menschliche Überprüfung (Art. 22 Abs. 3 DSGVO).
– Störungsausgleich: Störungsmeldungen nach § 12 Abs. 8 AGB werden vollautomatisch geprüft und beschieden; bei Bestätigung wird jede betroffene Lizenz um 15 Tage verlängert, höchstens einmal je Lizenz innerhalb von 30 Tagen; gemeldet werden kann ein Zeitraum von höchstens 30 Tagen, spätestens 60 Tage nach Beginn der Störung. Logik: Abgleich der angekreuzten Lizenzen und Funktionen und des angegebenen Zeitraums mit dem Plattform-Fehlerprotokoll (§ 22t); bestätigt werden nur Lizenzen, für deren angekreuzte Funktionen im Zeitraum ein Fehler auf Plattformseite protokolliert ist; ein KI-System bewertet die Meldung zusätzlich und kann eine durch das Protokoll belegte Lizenz unbestätigt lassen, aber keine unbelegte bestätigen; Einschränkungen wegen der Kostendeckungsgrenze (§ 12 Abs. 5 AGB) gelten nicht als Störung. Folge: Verlängerung der Lizenzlaufzeit oder keine Verlängerung; ein Ausgleich in Geld findet nicht statt.
– Nachlieferung bzw. Fristverlängerung bei bezahltem Kauf ohne Code: Meldungen nach § 30 Abs. 11 AGB werden vollautomatisch geprüft; bei Bestätigung wird das Gekaufte zuerst nachgeliefert, nur wenn das scheitert, wird die betroffene Lizenz um 30 Tage verlängert (je Zahlung genau einmal, bereits gewährte Tage des Störungsausgleichs desselben Vorfalls werden angerechnet). Logik: Abgleich mit den Zahlungsdaten des Zahlungsdienstleisters, dem Kaufprotokoll und der Systemakte, nur eigene Käufe der letzten 90 Tage, frühestens 15 Minuten nach der Zahlung, ohne Rückbuchung (§ 8n). Folge: Nachlieferung, Fristverlängerung oder reguläre Bearbeitung der Meldung; ein Ausgleich in Geld findet nicht statt. Nutzer haben das Recht auf menschliche Überprüfung (Art. 22 Abs. 3 DSGVO).
– Nicht darunter fällt die automatische Antwort nach § 9 Abs. 6: Sie informiert, entscheidet aber nicht über Rechte oder Ansprüche; jede Anfrage erreicht auch einen Menschen.
– Unternehmer-Merkmal (ab 01.11.2026): Ohne ein von einem amtlichen Register bestätigtes Unternehmensmerkmal werden Lizenzkauf bzw. Beitritt als Unternehmen automatisch abgelehnt (§ 8g Abs. 2 und 3). Nutzer können über die in § 1 genannte Adresse eine menschliche Überprüfung beantragen (Art. 22 Abs. 3 DSGVO).
– Kostenwächter: Ist ein Kontingent aufgebraucht, werden die betroffenen Funktionen automatisch eingestellt (§ 22u).
– Sanktions- und Sperrlistenprüfung: Ein Treffer führt automatisch zur Sperre des Zugangs (§ 22v).
– Herkunftsprüfung auf ETOBS African: automatische Entscheidung über Zahlung und Kontofortbestand (§ 22y).
– Löschung von Konten ohne Kaufabschluss: automatische Löschung nach 30 Tagen (§ 22ab).
– No-Go-Wortfilter: Nachrichten und Kommentare werden automatisch gegen Wortlisten geprüft. Ein Treffer führt zur Ablehnung der Nachricht, ohne dauerhafte Konsequenzen für das Konto.
– Empfehlungsalgorithmus / Follow-Overlay und Feed-Sortierung: Diese stellen keine Entscheidungen im Sinne von Art. 22 DSGVO dar. Näheres in § 22l.
Bei Ablehnung von Medieninhalten durch die KI-Moderation können Nutzer über die in § 1 genannte Adresse eine menschliche Überprüfung beantragen.
§ 22p Events und Standortdaten
(1) Business Owners können öffentliche Events erstellen und auf ihrer Profilseite veröffentlichen. Dabei werden Titel, Datum, Uhrzeit sowie ein optionaler Standort (Freitextfeld, keine automatische Geolokalisierung) in der Plattformdatenbank gespeichert und öffentlich angezeigt.
(2) Die Eingabe eines Standorts ist freiwillig. Wird ein Standort angegeben, handelt es sich um einen vom Business Owner manuell eingetragenen Text ohne automatische Koordinatenermittlung. Nutzer, die sich über die Plattform für ein Event anmelden, werden namentlich in der Event-Teilnehmerliste des Business Owners erfasst.
(3) Events können vom Business Owner jederzeit bearbeitet oder gelöscht werden. Mit Löschung eines Events werden auch die zugehörigen Anmeldedaten gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertragsverhältnisses); Art. 6 Abs. 1 lit. a DSGVO für die optionale Standortangabe (Einwilligung durch aktive Eingabe).
§ 22q Gewinnspiel – Zufälligen Gewinner ziehen
(1) Business Owners (und Clients mit eigenem Newsletter-Kasten) können mithilfe der Plattformfunktion „Zufälligen Gewinner ziehen“ einen zufälligen Gewinner aus den Abonnenten ihres Newsletters (§ 22a) ermitteln, die ihre Einwilligung erteilt haben. Verarbeitet werden E-Mail-Adresse, Fantasiename und Abonnementzeitpunkt; die Auswahl erfolgt per Zufallsalgorithmus.
(2) Fantasiename und E-Mail-Adresse des Gewinners werden ausschließlich dem Business Owner angezeigt. Eine Veröffentlichung des Gewinnerergebnisses durch die Plattform findet nicht statt. Der Business Owner ist für die Einhaltung etwaiger Gewinnspielvorschriften selbst verantwortlich.
(3) Die Verlosung stellt keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO dar, da sie lediglich eine Zufallsauswahl aus der Abonnentenliste darstellt und keine Profile oder Scoring-Mechanismen berücksichtigt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Business Owners an der Durchführung transparenter Gewinnspiele im Rahmen der Community-Interaktion.
Datenlöschung auf Anfrage
Nutzer können die Löschung ihres Kontos und aller damit verbundenen Daten jederzeit beantragen. Der Antrag ist per E-Mail an die unter § 1 genannte Adresse zu richten. Die Löschung erfolgt innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche) entgegenstehen.
Daten, die aufgrund gesetzlicher Aufbewahrungspflichten nicht sofort gelöscht werden können, werden bis zum Ablauf der Frist gesperrt und danach automatisch gelöscht.
Rechtsgrundlage: Art. 17 DSGVO.
§ 19 Internationale Datenübermittlung
Die Nutzung der unter §§ 10–10b beschriebenen Infrastruktur, der E-Mail-Versand (§ 4g), der Eingang von E-Mails (§ 9 Abs. 2), der KI-Dienst der Anthropic, PBC (USA) sowie die Zahlungsabwicklung können eine Übermittlung personenbezogener Daten in Drittländer umfassen.
Empfänger KI-Dienst: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. An diesen Dienst werden Texte übermittelt, um sie von einem KI-Modell bewerten oder beantworten zu lassen: bei Störungsmeldungen die Angaben nach § 22t, bei automatischen Antworten auf öffentliche Beiträge in sozialen Netzwerken der Text des fremden Beitrags (§ 22ad) und bei der automatisierten Sichtung eingehender E-Mails die Angaben nach § 9 Abs. 5. Die Übermittlung erfolgt zu diesen Zwecken sowie zu dem im folgenden Absatz genannten Zweck.
Bereichspakete (Monatspakete) der Admin-Bereiche zur Auswertung mit Claude (Anthropic): Administratoren können für ihren Zuständigkeitsbereich (§ 4b) ein Monatspaket — die Berichte des Bereichs für einen Monat als JSON-Datei — herunterladen und mit dem KI-Dienst Claude der Anthropic, PBC auswerten. Das Paket enthält nur Berichte, die der Administrator für seinen Bereich ohnehin abrufen darf; personenbezogene Daten nur, soweit diese Berichte sie enthalten. Zahlungen enthält es ohne Personendaten der Käufer (keine E-Mail-Adresse, keine IP-Adresse, kein Standort, kein Nutzername), je Zahlung nur Datum, Tarif, Betrag, Land, Region bzw. Kontinent, Zahlungsstatus und die Vorgangsnummer (für den Abgleich mit den Abrechnungen der Zahlungsanbieter). Für den Bereich Hinweisgeber enthält das Paket nur Zähler, für die Bereiche Betriebsrat und Arbeitssicherheit nur Summen ab einer Mindestgruppengröße. Für die Übermittlung an Anthropic gelten die Angaben dieses Paragraphen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer effizienten Auswertung der Bereichsberichte.
Für Datenübermittlungen in die USA gilt:
(1) Soweit der jeweilige Empfänger unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO), stützt sich die Übermittlung auf diesen Angemessenheitsbeschluss.
(2) Soweit kein Angemessenheitsbeschluss greift, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission).
(3) Für Übermittlungen in sonstige Drittländer werden geeignete Garantien nach Art. 46 DSGVO vereinbart oder die Übermittlung erfolgt auf Grundlage einer der in Art. 49 DSGVO genannten Ausnahmen.
Auf Anfrage stellt EPTEC eine Kopie der jeweils gültigen Standardvertragsklauseln zur Verfügung.
§ 20 Änderungen dieser Datenschutzerklärung
EPTEC behält sich vor, diese Datenschutzerklärung jederzeit mit Wirkung für die Zukunft anzupassen. Die jeweils aktuelle Version ist auf der Plattform abrufbar. Bei wesentlichen Änderungen werden Nutzer per E-Mail oder durch einen Hinweis auf der Plattform informiert.
§ 21 OAuth-Anbieter
Die Plattform ermöglicht die Anmeldung über externe OAuth-Anbieter (derzeit Google, Microsoft, Apple, Facebook, TikTok, Snapchat, Discord, LinkedIn, X/Twitter, GitHub, LINE, Telegram und Bluesky). Bei der Anmeldung über einen OAuth-Anbieter werden ausschließlich die Daten verarbeitet, die der Nutzer dem jeweiligen Anbieter zur Weitergabe freigegeben hat (i. d. R. öffentliche Profilkennung, Anzeigename, E-Mail-Adresse).
EPTEC hat keinen Einfluss auf die Datenschutzpraktiken der OAuth-Anbieter. Nutzer werden auf die Datenschutzerklärungen der jeweiligen Anbieter hingewiesen:
– Google: https://policies.google.com/privacy
– Bluesky: https://bsky.social/about/support/privacy-policy
Weitere OAuth-Anbieter können jederzeit ergänzt werden; diese Erklärung wird entsprechend aktualisiert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrages (Authentifizierung); Art. 6 Abs. 1 lit. a DSGVO — Einwilligung in die Nutzung des jeweiligen OAuth-Anbieters.
§ 22 Newsletter
Sofern ein Nutzer den Newsletter abonniert, wird die E-Mail-Adresse zum Versand von Informationen über Plattformupdates, neue Funktionen und Angebote von EPTEC verwendet. Die Einwilligung kann jederzeit widerrufen werden, entweder über den Abmeldelink im Newsletter oder per E-Mail an die unter § 1 genannte Adresse. Nach Widerruf wird die E-Mail-Adresse unverzüglich aus dem Verteiler entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung.
§ 22a Business Owner-Newsletter-Abonnements
Besucher der öffentlichen Business Owner-Profilseite (/c/[username]) können den persönlichen Newsletter eines Business Owners abonnieren. Für Inhalt und Versand dieses Newsletters ist der jeweilige Business Owner als datenschutzrechtlich Verantwortlicher eigenständig zuständig (entsprechend § 22b für Posts); EPTEC stellt hierfür ausschließlich die technische Infrastruktur bereit. Dabei werden folgende Daten erhoben: E-Mail-Adresse (Pflichtfeld), optionaler Fantasiename, IP-Adresse zum Zeitpunkt der Einwilligung, Zeitstempel der Einwilligung sowie ein technisches Abmelde-Token. Die Daten werden ausschließlich für den Versand von Newsletter-Beiträgen des jeweiligen Business Owners und für dessen Gewinnspiel-Funktion (§ 22q) verwendet. Die Abmeldung ist jederzeit über den im Newsletter enthaltenen Abmeldelink möglich. Die Daten werden nach Abmeldung unverzüglich gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — ausdrückliche Einwilligung über Consent-Checkbox.
§ 22b Business Owner-Beiträge (Posts)
Business Owners können Fotos, Videos und Reels auf ihrer öffentlichen Profilseite veröffentlichen. Die hochgeladenen Mediendateien werden auf Cloudflare R2 gespeichert und sind öffentlich abrufbar. Mit dem Hochladen erklärt der Business Owner, über alle erforderlichen Rechte an den Inhalten zu verfügen. Für personenbezogene Daten Dritter, die in hochgeladenen Inhalten enthalten sind (z. B. abgebildete Personen), ist der Business Owner als datenschutzrechtlich Verantwortlicher eigenständig zuständig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Business Owner-Vertrages.
§ 22b-1 Tageszähler für Schreibvorgänge (Only Social)
(1) Damit die Schreibvorgänge eines Kontos die Obergrenze seiner bezahlten Stufe nicht überschreiten (AGB § 3a Abs. 1), speichert EPTEC je Konto und Kalendertag (UTC) den Benutzernamen, das Datum, die Zahl der Schreibvorgänge und deren Datenmenge in Bytes (Tageszähler, mit aktiver Betriebskostenlizenz); solange keine Betriebskostenlizenz aktiv ist, speichert EPTEC stattdessen je Konto und Willkommenszahlung den Benutzernamen, die Kennung dieser Zahlung, die Zahl der Schreibvorgänge und deren Datenmenge in Bytes (Zähler des einmaligen Schreibbudgets), ausgenommen Demo-Konten und Wartungszugänge, die auch ohne Betriebskostenlizenz über den Tageszähler laufen; Inhalte werden dabei nicht gespeichert. Gezählt werden alle Schreibwege des Bereichs Only Social und der Raum-Chat: Beiträge und Hashtags, Kommentare und deren Likes, Reaktionen und Stimmungen (auch auf Stories und Mitteilungen), Umfragen und Stimmen, Termine und Zusagen, Direkt- und Gruppennachrichten (auch Sammelnachrichten, Bearbeiten, Gruppen anlegen, umbenennen und Mitglieder verwalten), Folgen, Lesezeichen und Reposts, Gästebucheinträge, Newsletter, Ankündigungen, das Merken von Medien sowie das Senden, Teilen und Beantworten von Mitteilungen.
(2) Gezählt wird vor dem Speichern: Jeder Schreibvorgang zählt einmal, als Datenmenge zählt die Größe der Anfrage. Eine Sammelnachricht an mehrere Empfänger zählt zusätzlich je Empfänger einmal, mit der Länge von Text und Betreff je Empfänger. Ein Schreibvorgang, der danach aus einem anderen Grund nicht gespeichert wird, bleibt gezählt. Für Master- und Administratorkonten wird kein Zähler geführt.
(3) Speicherdauer: Der Tageszähler eines Tages wird spätestens am siebten Tag danach mit dem täglichen Aufräumlauf (4:00 Uhr UTC) gelöscht, bei Löschung des Kontos sofort. Der Zähler des einmaligen Schreibbudgets wird bis zur Löschung des Kontos gespeichert, weil er sich nicht zurücksetzen darf. Die Zähler sind Teil der Auskunft nach Art. 15 DSGVO (§ 15).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages (Leistungsumfang der bezahlten Stufe, AGB § 3a Abs. 1); bei Demo-Konten und Wartungszugängen, mit denen kein Vertrag mit EPTEC besteht, Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Betriebssicherheit und Kostenkontrolle.
§ 22c Anonyme Post-Reaktionen
Besucher der Business Owner-Profilseite können auf Beiträge mit einer von fünf positiven Reaktionen (👍 ❤️ 🔥 🤩 👏) reagieren. Zur Verhinderung von Mehrfachstimmabgaben wird ein pseudonymisierter technischer Fingerabdruck gespeichert: ein SHA-256-Hash aus IP-Adresse und User-Agent-String. Dieser Hash ist ein personenbezogenes Datum im Sinne von Art. 4 Nr. 5 DSGVO (Pseudonymisierung), da ein Rückschluss auf die zugrundeliegende IP-Adresse bei entsprechendem Zusatzwissen nicht vollständig ausgeschlossen werden kann. Er wird ausschließlich zur Deduplizierung verwendet und nicht mit dem Nutzerkonto verknüpft.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Missbrauchsschutz und Integrität der Reaktionsfunktion).
§ 22d Öffentliche Live-Videokonferenz
Business Owners können über die Plattform eine öffentlich sichtbare Live-Videokonferenz starten. Der Live-Stream ist für angemeldete Besucher der Business Owner-Profilseite zugänglich; Zuschauer brauchen ein kostenloses Konto. Zuschauer verbinden sich über das LiveKit-Projekt des Business Owners (§ 10a); dabei werden technisch bedingt IP-Adresse und Verbindungsdaten temporär auf den LiveKit-Servern verarbeitet. Mit dem Start der Live-Session erklärt der Business Owner, alle abgebildeten oder hörbaren Personen über die Öffentlichkeit der Übertragung informiert zu haben, sofern zutreffend. Die Plattform selbst zeichnet Live-Sessions nicht auf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Business Owners durch aktive Auslösung der Live-Session; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner.
§ 22e Breakout-Räume
Business Owners können bis zu fünf separate Breakout-Räume innerhalb einer Session aktivieren. Jeder Breakout-Raum wird als eigenständige LiveKit-Session geführt und ist technisch von der Hauptsession isoliert. Die in § 22d genannten Grundsätze zur LiveKit-Infrastruktur gelten entsprechend. Der Business Owner kann Teilnehmer gezielt einem Breakout-Raum zuweisen; die Zuweisung sowie der Zeitpunkt werden als Sitzungsprotokoll temporär in Cloudflare KV gespeichert und nach Beendigung der Session automatisch gelöscht. Für Teilnehmer, die in einen Breakout-Raum wechseln, gelten dieselben Datenschutzbedingungen wie im Hauptraum.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an geordnetem Sitzungsbetrieb.
§ 22f Kollaboratives Whiteboard
Die Plattform stellt in Live-Räumen und Breakout-Räumen ein kollaboratives Echtzeit-Whiteboard bereit. Zeichnungen, Annotationen und Texte werden als Sitzungsdaten in Cloudflare KV gespeichert und sind für alle berechtigten Teilnehmer des jeweiligen Raums sichtbar. Whiteboard-Inhalte werden nicht dauerhaft gespeichert und nach Beendigung der Session automatisch gelöscht, es sei denn, der Business Owner exportiert das Whiteboard als PDF-Datei. Im Fall eines PDF-Exports liegt ein nutzergesteuerter Download vor; EPTEC speichert keine Kopie des exportierten PDFs. Teilnehmer, denen der Business Owner die Schreibberechtigung erteilt hat, können aktiv zum Whiteboard beitragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Funktion.
§ 22g Bildschirm- und Webcam-Aufnahme
(1) Die Plattform stellt Business Owners eine Funktion zur Aufnahme des eigenen Bildschirms oder der eigenen Webcam direkt aus dem Live-Raum zur Verfügung. Die Aufnahme erfolgt lokal im Browser des Aufzeichnenden (MediaRecorder API); die Aufnahmedatei wird nicht automatisch an EPTEC oder Dritte übermittelt.
(2) Soweit während einer Aufnahme andere Personen abgebildet oder hörbar sind (z. B. andere Sitzungsteilnehmer über den Bildschirminhalt), ist der Aufzeichnende selbst für die Einhaltung der gesetzlichen Anforderungen verantwortlich — insbesondere des § 201 StGB (Verletzung der Vertraulichkeit des Wortes), des allgemeinen Persönlichkeitsrechts sowie ggf. des BDSG und der DSGVO. EPTEC empfiehlt, alle Teilnehmer vor Beginn der Aufnahme ausdrücklich über diese zu informieren und deren Einwilligung einzuholen.
(3) Lädt der Business Owner die Aufnahmedatei nachträglich als Medienbeitrag auf die Plattform hoch, gelten die allgemeinen Datenschutzbestimmungen für hochgeladene Medien sowie § 22i (KI-gestützte Medienmoderation).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Bereitstellung professioneller Aufzeichnungstools.
§ 22h Sprachnachrichten in Direktnachrichten
Nutzer können in Direktnachrichten (DM) Sprachnachrichten aufnehmen und versenden. Die Sprachaufnahme erfolgt im Browser (MediaRecorder API) und wird nach Bestätigung durch den Nutzer als Audiodatei an den Empfänger übermittelt. Die Audiodatei wird in Cloudflare R2 gespeichert und ist ausschließlich für Sender und Empfänger der jeweiligen Nachricht zugänglich. Sprachnachrichten unterliegen denselben Datenschutzbedingungen wie andere Medieninhalte auf der Plattform. Sprachdaten werden nicht zur Spracherkennung, Transkription oder Analyse verwendet, es sei denn, die KI-Moderation gemäß § 22i greift (ausschließlich zur Inhaltsprüfung, nicht zur Identifizierung von Personen). Das Diktat nach § 22h-1 ist davon getrennt: Es wandelt nur die laufende Mikrofoneingabe im Browser um und verarbeitet keine gespeicherten Sprachnachrichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Aufnahmefunktion.
§ 22h-1 Diktat in Eingabefeldern
Neben Chat- und Nachrichtenfeldern gibt es einen Mikrofon-Knopf, mit dem Nutzer Text diktieren können. Die Aufnahme beginnt nur nach einem Klick und endet mit einem zweiten Klick, spätestens nach 60 Sekunden. Der erkannte Text erscheint nur im Eingabefeld; gesendet wird er erst, wenn der Nutzer selbst sendet.
(1) Die Umwandlung erfolgt ausschließlich durch die eigene Spracherkennung des Browsers (z. B. Chrome, Edge, Safari). Dabei verarbeitet je nach Browser der Spracherkennungsdienst des Browserherstellers (z. B. Google, Microsoft) den Ton nach dessen Datenschutzbestimmungen, gegebenenfalls auch außerhalb der Europäischen Union. EPTEC erhält keine Audiodaten und speichert keine.
(2) Bietet der Browser keine eigene Spracherkennung an oder verweigert er seinen Spracherkennungsdienst, ist das Diktat in diesem Browser nicht verfügbar; der Mikrofon-Knopf zeigt dann einen Hinweis. Eine Übertragung des Tons an EPTEC findet nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Bereitstellung der angeforderten Funktion. Der Zugriff auf das Mikrofon des Endgeräts erfolgt nur auf ausdrücklichen Wunsch des Nutzers und ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); der Browser fragt seine eigene Freigabe ab.
§ 22i KI-gestützte automatisierte Medienmoderation
(1) Alle auf der Plattform hochgeladenen Mediendateien (Bilder, Videos, Audiodateien, Dokumente) werden einer automatisierten Inhaltsprüfung unterzogen. Hochgeladen werden können nur Dateitypen, die automatisch geprüft werden können (Bilder, Videos, Audio, PDF, Word, Excel, OpenDocument, Text, CSV und Markdown); andere Dateitypen werden beim Hochladen anhand des tatsächlichen Dateiinhalts erkannt und abgelehnt. Fotos im HEIC-Format (z. B. vom iPhone) werden beim Hochladen in JPEG umgewandelt, sofern die Umwandlung (Cloudflare Images) verfügbar ist; nur das umgewandelte Bild wird gespeichert und geprüft. Ist die Umwandlung nicht verfügbar oder schlägt sie fehl, wird die Datei abgelehnt und nichts gespeichert (Hinweis: als JPG oder PNG hochladen). Die Prüfung läuft unmittelbar nach dem Hochladen im Hintergrund. Videos, Audiodateien und Dokumente sowie alle Dateien der Mediathek (ausgenommen Anhänge von Direktnachrichten und Vertragsunterlagen in Raum 2) werden für andere Nutzer erst nach bestandener Prüfung sichtbar; ist eine automatische Prüfung nicht möglich, entscheidet ein Master oder Administrator. Andere Bilder können bereits sichtbar sein, bevor die Prüfung abgeschlossen ist. Ziel dieser Analyse ist die Erkennung von Inhalten, die gegen die Plattformregeln, gesetzliche Bestimmungen oder die No-Go-Liste verstoßen.
(2) Die eingesetzten KI-Modelle und Verfahren im Einzelnen:
– Bildanalyse (Llama 3.2 11B Vision): Bilddateien werden durch das KI-Modell Llama 3.2 11B Vision auf unzulässige Bildinhalte geprüft. Das Modell läuft auf Cloudflare Workers AI und verarbeitet die Bilddaten ausschließlich im Rahmen der Inhaltsprüfung; eine Speicherung durch Cloudflare über den Prüfvorgang hinaus erfolgt nicht.
– Audiotranskription und -prüfung (Whisper): Audiodateien und, soweit transkribierbar, die Tonspur von Videos werden mittels Whisper (Cloudflare Workers AI) transkribiert. Die Transkription wird ausschließlich zur Inhaltsprüfung verwendet (No-Go-Liste und Einstufung durch das KI-Modell Llama 3.3, siehe Dokumentenprüfung) und nach Abschluss der Prüfung nicht dauerhaft gespeichert.
– Video-Frame-Analyse: Bei Videodateien werden repräsentative Frames (Standbilder zu mehreren Zeitpunkten, beim Hochladen im Browser erzeugt) wie unter Bildanalyse beschrieben geprüft. Ohne prüfbares Standbild wird ein Video nicht automatisch freigegeben.
– Dokumentenprüfung und Prüfwarteschlange: Bei PDF-, Word-, Excel- und OpenDocument-Dateien wird der Text extrahiert (Cloudflare Workers AI), Text-, CSV- und Markdown-Dateien werden direkt gelesen; der Text wird gegen die No-Go-Liste und durch das KI-Modell Llama 3.3 (Cloudflare Workers AI) auf verbotene Inhalte (u. a. explizit sexuelle Inhalte, Darstellungen Minderjähriger, Terror, Gewaltdrohungen, Hassrede, Doxxing) geprüft. Was beim Hochladen nicht abschließend geprüft werden kann (z. B. bei vorübergehendem Ausfall der Prüfung) sowie Videos ohne prüfbares Standbild kommen in eine Prüfwarteschlange, die ein automatischer Prüflauf abarbeitet. Dokumente ohne extrahierbaren Text (z. B. eingescannte PDFs) werden nicht automatisch freigegeben. Bei einem Verstoß wird die Datei ohne vorherige menschliche Prüfung gelöscht und das Master-Konto benachrichtigt. Master und Administratoren können die Warteschlange einsehen und Einträge manuell entscheiden.
(3) Das Moderationsergebnis (z. B. „freigegeben", „entfernt", „manuelle Prüfung") wird in der Datenbank gespeichert. Erkennt die Prüfung einen Verstoß, wird die betroffene Datei gelöscht und der Inhalt entfernt bzw. nicht veröffentlicht; wird ein Beitrag (Post) entfernt, erhält das Master-Konto eine Benachrichtigung. Der betroffene Nutzer erhält bei jeder automatischen Entfernung oder Ablehnung (Beitrag, Kommentarbild, Mediathek-Datei, Profilbild, Story, Event-Bild/-Video, Raumdesign-Bild/-Video/-Ton, Intro-Bild/-Video, Link-PDF) über das plattforminterne Postfach eine Begründung nach Art. 17 DSA mit Maßnahme, Sachverhalt, Grundlage, dem Hinweis auf den Einsatz automatisierter Mittel und den Rechtsbehelfen; der Versand wird in seiner Akte vermerkt. Automatisch oder aufgrund einer Moderationsentscheidung entfernte bzw. zurückgehaltene Beiträge bleiben als Moderationsbeleg gespeichert (bei KI-Entfernung ohne die gelöschte Datei): Sie erscheinen nicht im Papierkorb des Business Owners, werden vom 30-Tage-Papierkorb nicht gelöscht und bleiben bei einer Kontolöschung erhalten, wobei der Nutzername anonymisiert wird. Eine automatische Löschfrist für Moderationsbelege besteht derzeit nicht.
(4) Die KI-Moderation stellt eine automatisierte Verarbeitung dar. Nutzer haben das Recht, eine Überprüfung durch einen menschlichen Moderator zu beantragen (Art. 22 Abs. 3 DSGVO), indem sie den Support unter der in § 1 genannten Adresse kontaktieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Plattform und dem Schutz der Nutzer; Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Pflichten zur Inhaltsmoderation (DSA).
§ 22j Cloudflare Turnstile (Bot-Schutz)
Auf Registrierungs- und Login-Formularen wird Cloudflare Turnstile als CAPTCHA-Alternative eingesetzt, sofern der Master-Toggle aktiviert ist; am Kontaktformular ebenfalls bei aktiviertem Master-Toggle oder sobald die automatische Antwort nach § 9 Abs. 6 eingeschaltet ist. Cloudflare Turnstile analysiert das Nutzerverhalten (Mausbewegungen, Tastatureingaben, Browser-Fingerprint) um Bot-Aktivitäten zu erkennen, ohne sichtbare Rätsel zu stellen. Die dabei an Cloudflare übermittelten Daten werden von Cloudflare gemäß dessen Datenschutzrichtlinie verarbeitet. Cloudflare ist als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig. Eine Weitergabe der Turnstile-Daten durch Cloudflare an Dritte für Werbezwecke findet nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz der Plattform vor automatisierten Angriffen und Spam-Registrierungen.
§ 22k KI-gestützte Inhaltsübersetzung
Die Plattform bietet eine optionale KI-Übersetzungsfunktion für Kommentare, Umfragen, Newsletter und weitere Textinhalte an. Diese Funktion wird auf Anfrage des Nutzers (Klick auf den Übersetzen-Button) ausgelöst. Der zu übersetzende Text wird in diesem Fall an Cloudflare Workers AI (Modell: Llama 3.3) übermittelt und dort übersetzt — denselben bereits gemäß § 10 dieser Erklärung eingesetzten Auftragsverarbeiter, der auch die technische Infrastruktur der Plattform betreibt. Eine Nutzung des übermittelten Textes für das Training von KI-Modellen erfolgt nicht. Die Übersetzungsfunktion ist optional; Inhalte werden nicht automatisch ohne Nutzerinteraktion übersetzt. Die Übersetzung wird im Browser des anfragenden Nutzers angezeigt und nicht dauerhaft auf der Plattform gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch aktive Nutzung der Übersetzungsfunktion; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
§ 22l Empfehlungsalgorithmus und Follow-Overlay
(1) Die Plattform setzt einen interessenbasierten Empfehlungsalgorithmus ein. Besuchern der Plattform wird ein kurzzeitiges Overlay (ca. 20 Sekunden) mit Business Owner-Empfehlungen angezeigt, die dem bei der Registrierung angegebenen Interessengebiet entsprechen. Dieser Algorithmus verwendet ausschließlich das bei der Registrierung angegebene Interessengebiet sowie den Orbit-Typ des Business Owners als Matching-Kriterien; weitere personenbezogene Daten oder Verhaltensprofile werden nicht berücksichtigt.
(2) Der Feed auf /explore und /etobs kann in zwei Modi angezeigt werden: „Für Sie" (Entdeckungs-Feed, sortiert nach Interessengebiet und Engagement) und „Folge ich" (chronologischer Feed der gefolgten Business Owners). Die Sortierung basiert auf dem Interessengebiet des Nutzers und Engagement-Signalen (nicht auf verhaltensbasiertem Tracking).
(3) Es werden keine Nutzerprofile für Werbe- oder Marketingzwecke erstellt. Die Empfehlungslogik stellt keine vollautomatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO dar.
(4) Die Plattform speichert Follow-Beziehungen zwischen Nutzern und Business Owners in einer gesonderten Tabelle. Gespeichert werden Follower-Username, gefolgter Business Owner-Username und Zeitstempel der Verlinkung. Diese Daten bilden die technische Grundlage des „Folge ich“-Feeds (§ 22l Abs. 2).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Verbesserung der Plattformerfahrung und der Vernetzung von Business Owners und Nutzern.
§ 22m Live-Umfragen in Räumen
(1) Business Owner können während einer Live-Session in ihrem Raum eine Umfrage starten: eine Frage mit bis zu sechs vorgegebenen Antwortoptionen oder eine Freitext-Umfrage. Frage und Antwortoptionen werden automatisiert gegen die No-Go-Wortliste geprüft (§ 22n).
(2) Für jede Stimmabgabe werden gespeichert: der Nutzername des Abstimmenden, die gewählte Antwortoption bzw. bei Freitext-Umfragen der eingegebene Text, sowie der Zeitpunkt der Abstimmung. Die Verknüpfung der Stimme mit dem Nutzerkonto dient ausschließlich der Verhinderung von Mehrfachabstimmungen; öffentlich angezeigt werden ausschließlich aggregierte Ergebnisse (Stimmenanzahl je Option), nicht die individuelle Zuordnung.
(3) Umfragen und die zugehörigen Stimmen werden nicht automatisch zeitbasiert gelöscht; der Business Owner kann eine Umfrage jederzeit eigenständig löschen, wodurch auch die zugehörigen Stimmen entfernt werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionierenden, missbrauchsgeschützten Umfragefunktion; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung gegenüber dem Business Owner.
§ 22n No-Go-Wortliste und automatische Inhaltsfilterung
(1) Die Plattform unterhält eine plattformweite No-Go-Wortliste, die in allen 114 unterstützten Sprachen nach unzulässigen Begriffen filtert. Zusätzlich kann jeder Business Owner eine eigene No-Go-Wortliste führen, die auf dem Profil des Business Owners gilt. Kommentare, Chat-Nachrichten, Biografien und andere nutzererzeugte Texte werden automatisiert gegen diese Listen geprüft.
(2) Bei einem Treffer wird die Nachricht abgelehnt oder der Inhalt nicht veröffentlicht; der Nutzer erhält eine entsprechende Rückmeldung. Die Ablehnung selbst wird nicht als personenbezogener Datensatz gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit und dem Schutz vor Hassrede und illegalen Inhalten; Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Moderationspflichten (DSA).
§ 22o @Erwähnungen und Business Owner-Verlinkungen
Nutzer können in Post-Texten und Kommentaren andere Business Owner-Profile mittels @Nutzername verlinken. Die Erwähnung wird als Bestandteil des Post- oder Kommentartextes gespeichert und auf der Plattform als anklickbarer Link zu dem verlinkten Business Owner-Profil dargestellt. Die erwähnte Person wird durch die Verlinkung nicht über die bestehenden Benachrichtigungsfunktionen informiert. Ein Anspruch auf Löschung der Erwähnung im Text eines anderen Nutzers besteht nicht, soweit der Text selbst rechtmäßig ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an sozialer Interaktion auf der Plattform.
§ 22r Wahrheitserklärung bei eigenen Rechnungsdaten
Beim Speichern der eigenen Rechnungsdaten (Name/Firma, Anschrift, Steuerangaben etc., § 8g/§ 8m dieser Erklärung) muss aktiv per Checkbox bestätigt werden, dass die gemachten Angaben wahrheitsgemäß und für den vorgesehenen Zweck vollständig sind. Zeitpunkt und IP-Adresse dieser Bestätigung werden zusammen mit den Rechnungsdaten gespeichert, um im Streit- oder Missbrauchsfall nachweisen zu können, dass und wann diese Erklärung abgegeben wurde (vgl. § 5b, Nachweise zur Rechtsänderungsbestätigung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Erfüllung der Dokumentationspflicht; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall.
§ 22s KI-gestützte Beschwerdebearbeitung mit vollständigem Akte-Zugriff
(1) Reicht ein Nutzer (Business Owner oder Client) eine Beschwerde, Reklamation oder einen Widerruf ein — gegenüber seinem Vertragspartner (Business Owner bzw. Client) oder gegenüber EPTEC selbst —, kann eine KI-gestützte Funktion zur automatisierten, faktenbasierten Erstbeantwortung eingesetzt werden. Hierfür greift diese Funktion vollständig auf die in der jeweiligen Akte (§ 8j) dokumentierten Daten des betroffenen Accounts zurück, insbesondere: Name, E-Mail-Adresse, IP-Adressen; sämtliche jemals angekreuzten und bestätigten Checkboxen/Einwilligungen samt Zeitpunkt und IP-Adresse; Profildaten einschließlich der im Marktplatz-Profil und bei Only Social hinterlegten Angaben sowie deren spätere Änderungen; Sicherheitsmaßnahmen (Zwei-Faktor-Methoden, Vault-PIN) und deren Aktivierungsstatus; dokumentierte Funktionsnutzung; Zahlungs- und Rechnungsdaten sowie vom Vertragspartner gemeldete Zahlungsnachweise; Moderationsmaßnahmen. Änderungen an den vorgenannten Daten werden ebenfalls in der Akte dokumentiert und stehen dieser Funktion zur Verfügung. Die KI-Antwort stützt sich ausschließlich auf diese dokumentierten Fakten sowie auf die einschlägigen Regelungen dieser Erklärung, der AGB und der Hausordnung — sie erfindet keine Tatsachen. Jeder Fall erhält eine automatische Antwort; steht die KI-Funktion nicht zur Verfügung, wird eine feste automatische Antwort aus vorbereiteten Textbausteinen versandt. Fälle, die nicht von der KI beantwortet werden, sowie heikle oder als dringend bestätigte Fälle (Abs. 2) werden zusätzlich einem Menschen vorgelegt: bei Beschwerden an EPTEC einem zugewiesenen Administrator (ersatzweise dem Master), bei Beschwerden an einen Business Owner diesem selbst; heikle Fälle erhalten Administrator und Master zusätzlich zur Kenntnis. Die KI-Antwort sowie die zugrunde gelegten Fakten werden im Master-/Admin-Profil protokolliert. Die automatische Antwort ist eine Erstantwort anhand der dokumentierten Fakten; sie ist keine abschließende Entscheidung über gesetzliche Rechte (insbesondere ein Widerrufsrecht nach §§ 355 ff. BGB), die davon unberührt bleiben.
(1a) Nachrichten eines Clients an seinen Business Owner. Abweichend von Abs. 1 beantwortet hier keine KI von EPTEC. Die Nachricht wird gespeichert, der Client erhält eine feste Eingangsbestätigung, und der Business Owner liest und beantwortet sie persönlich. Hat der Business Owner die Beschwerde-KI-Lizenz und einen eigenen KI-Dienst hinterlegt, leiten wir die Nachricht nur an diesen Dienst weiter, wenn der Client für genau diese Nachricht zwei gesonderte Einwilligungen erteilt hat: in die Weiterleitung und, soweit die Nachricht besondere Kategorien personenbezogener Daten enthält, in deren Weiterleitung (Art. 9 DSGVO). Beide Haken sind nicht vorausgewählt; ihr Nachweis wird gespeichert. Als heikel eingestufte Nachrichten gehen nie an den Dienst. Übermittelt werden Fallreferenz, Kategorie, Nachrichtentext, der vom Client eingetragene Kaufbezug, Sprache, Zeitpunkt und ein Pseudonym des Clients; nicht übermittelt werden Benutzername, E-Mail-Adresse, IP-Adresse, ETOBS-Nummer und Akte. Für den Dienst und seine Antworten ist der Business Owner verantwortlich. Die Antwort wird als KI-Antwort gekennzeichnet. Unsere Funktionsprüfung des Dienstes sendet keine Daten von Clients. Rechtsgrundlage der Weiterleitung: Art. 6 Abs. 1 lit. a DSGVO und Art. 9 Abs. 2 lit. a DSGVO — Einwilligung des Clients, jederzeit für künftige Nachrichten widerrufbar, indem er die Haken nicht setzt.
(2) Automatische Einstufung. Jede Beschwerde, Reklamation, jeder Widerruf und jede Anregung wird automatisiert eingestuft. Zweck ist ausschließlich (a) die Priorisierung der Bearbeitung, (b) die sofortige Alarmierung eines Menschen in heiklen oder dringenden Fällen und (c) die Anzeige eines festen Hilfe- und Notrufhinweises in der Sprache der einreichenden Person. Hierzu wird der Text mit festen Begriffslisten in allen 114 unterstützten Sprachen abgeglichen (Themenbereiche: Suizid/Selbstverletzung, Gewalt/Drohung, Missbrauch/Kindeswohl, akute Lebensgefahr/Notfall) und — soweit die KI-Funktion verfügbar ist — durch das KI-Modell Llama 3.3 auf Cloudflare Workers AI (vgl. § 10) als „heikel“, „dringend“ oder „normal“ eingestuft; die KI gibt dazu eine kurze Begründung aus. Bei Beschwerden und Anregungen an EPTEC wählt die einreichende Person zusätzlich selbst eine Dringlichkeit („dringend“, „normal“ oder „leicht“); diese Wahl allein löst keine Alarmierung aus. Ein Treffer der Begriffsliste, eine KI-Einstufung „heikel“ oder eine nicht auswertbare KI-Einstufung führen vorsorglich zur Einstufung „heikel“. Die Einstufung hat keine rechtliche Wirkung gegenüber der einreichenden Person und ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO; sie bestimmt nur, ob und wie schnell ein Mensch eingebunden wird.
(3) Wer Einstufung und Begründung sieht. Einstufung, Begründung und Quelle (Begriffsliste oder KI) werden in einem internen Bearbeitungsprotokoll in der Akte des Master-Kontos gespeichert. Bei heiklen oder als dringend bestätigten Fällen erhalten der zugewiesene Administrator und das Master-Konto eine Mitteilung im plattforminternen Nachrichtensystem sowie eine Push-Benachrichtigung, das Master-Konto zusätzlich eine E-Mail (Versand über Resend, vgl. § 4g); diese Mitteilungen enthalten den Beschwerdetext, die Einstufung und die Begründung. Im Beschwerde-Eingang für Beschwerden und Anregungen an EPTEC werden Beschwerdetext, Einstufung und Begründung angezeigt: dem Master-Konto (alle Fälle), Administratoren mit dem Bereich Kundendienst oder Geschäftsführung (alle Fälle, lesen und beantworten) und im Übrigen dem jeweils zugewiesenen Administrator (nur die ihm zugewiesenen Fälle); jeder Zugriff über einen Bereich wird protokolliert (§ 4b). Bei einer Beschwerde an einen Business Owner erhält dieser den Beschwerdetext zur Bearbeitung, nicht aber die Einstufung. In der Akte der einreichenden Person werden nur neutrale Angaben vermerkt (Fallnummer, Empfänger, gewählte Dringlichkeit, Art der Antwort, Erteilung oder Widerruf der Einwilligung nach Abs. 4) — weder der Beschwerdetext noch die Einstufung, damit diese über Einsichtsrechte Dritter in Ihre Akte (z. B. eines Business Owners nach § 8j Abs. 1a) nicht bekannt werden.
(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Beschwerdetexte können Angaben enthalten, aus denen Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO hervorgehen (z. B. Hinweise auf eine Erkrankung oder eine persönliche Krise); auch die Einstufung und ihre Begründung (Abs. 2) können solche Angaben enthalten. Bitte teilen Sie solche Angaben nur mit, soweit sie für Ihr Anliegen erforderlich sind. Im Beschwerdeformular können Sie freiwillig und ausdrücklich einwilligen, dass EPTEC solche Angaben zur Bearbeitung Ihres Anliegens verarbeitet (Art. 9 Abs. 2 lit. a DSGVO). Der Wortlaut der Einwilligung (Textversion art9-beschwerde-v1) lautet: „Freiwillig: Ich willige ausdrücklich ein, dass EPTEC Angaben zu meiner Gesundheit oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), die ich in dieser Nachricht mache, zur Bearbeitung meines Anliegens verarbeitet – einschließlich automatischer Einstufung, KI-gestützter Antwort und Benachrichtigung der zuständigen Bearbeiter (Datenschutzerklärung § 22s). Ohne Haken wird meine Nachricht trotzdem bearbeitet. Ich kann die Einwilligung jederzeit widerrufen.“ Das Kästchen ist nicht vorausgewählt; die Einwilligung ist keine Voraussetzung für das Absenden, ohne sie wird Ihr Anliegen ebenfalls bearbeitet und beantwortet. Erteilung oder Nichterteilung werden mit Zeitpunkt und Textversion in Ihrer Akte (§ 8j) und am jeweiligen Fall gespeichert. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — direkt im Beschwerdeformular über „Einwilligung (Art. 9 DSGVO) widerrufen“ oder über die in § 1 genannte Adresse (Art. 7 Abs. 3 DSGVO); der Widerruf wird ebenfalls in Ihrer Akte vermerkt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
(5) Ohne Einwilligung. Auch ohne Einwilligung nach Abs. 4 wird Ihr Anliegen vollständig bearbeitet, einschließlich automatischer Einstufung (Abs. 2), Benachrichtigung der zuständigen Bearbeiter (Abs. 3) und automatischer Antwort (Abs. 1); dabei können Angaben im Sinne von Art. 9 Abs. 1 DSGVO, die Sie in Ihrer Nachricht machen, mitverarbeitet werden. Rechtsgrundlage hierfür ist bei Hinweisen auf eine akute Gefahr für Leben oder Gesundheit Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen) und im Übrigen Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen).
(6) Speicherdauer. Beschwerdetext, Einstufung, Begründung, die Mitteilungen nach Abs. 3 sowie der Nachweis zur Einwilligung und zu ihrem Widerruf (Abs. 4) werden wie die Akte gespeichert (§ 8j, § 13).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bearbeitung von Beschwerden im Rahmen des Nutzungsverhältnisses); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer schnellen, faktenbasierten und nachvollziehbaren Streitbeilegung sowie an der sofortigen Einbindung eines Menschen in heiklen Fällen; Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung für besondere Kategorien personenbezogener Daten (Abs. 4); ohne Einwilligung Art. 9 Abs. 2 lit. c bzw. lit. f DSGVO (Abs. 5); Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO — Nachweis der Einwilligung und ihres Widerrufs.
§ 22t Plattform-Fehlerprotokoll und Störungsausgleich
Zur Prüfung von Störungsmeldungen nach § 12 Abs. 8 AGB protokolliert EPTEC technische Fehler auf Plattformseite (Zeitpunkt, Nutzername, betroffene Lizenz und Funktion, Fehlercode). Erfasst werden ausschließlich Fehler im Verantwortungsbereich der Plattform (z. B. Serverfehler oder ein fehlgeschlagener Verbindungsaufbau zur Video- und Anruf-Infrastruktur), nicht jedoch Ursachen im Bereich der Nutzer (Endgerät, Internetverbindung, verweigerte Berechtigungen). Vorübergehende Einschränkungen wegen der Kostendeckungsgrenze nach § 12 Abs. 5 AGB werden gesondert vermerkt und gelten nicht als Störung. Die Prüfung einer Störungsmeldung erfolgt vollautomatisch durch Abgleich mit diesem Protokoll unter Einsatz eines KI-Systems (Logik und Folgen: § 17); das Ergebnis wird dem Business Owner mit Begründung über das interne Nachrichtensystem mitgeteilt. Für die KI-Bewertung werden die angekreuzten Lizenzen und Funktionen, der angegebene Zeitraum, Ihr freier Text sowie eine zusammengefasste Auswertung des Fehlerprotokolls ohne Nutzernamen an den KI-Dienst der Anthropic, PBC (USA) übermittelt (§ 19); steht dieser Dienst nicht zur Verfügung, entscheidet allein der Abgleich mit dem Protokoll. Master- und Administratorkonten können alle Störungsmeldungen samt Ergebnis einsehen.
Protokolleinträge werden nach 90 Tagen gelöscht. Einträge, die als Beleg zu einer Störungsmeldung dienen, werden zusammen mit der Meldung, dem Prüfergebnis und einem etwaigen Ausgleich in der Akte des Business Owners gespeichert (vgl. § 22s).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Störungsausgleich nach § 12 Abs. 8 AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall.
§ 22u Kostenwächter und Kontingente (Plattform- und persönliches Kontingent)
Damit die Plattform nie mehr ausgibt, als sie einnimmt (§ 12 Abs. 5 AGB), erfasst EPTEC die Nutzung kostenverursachender Funktionen (z. B. Video-/Live-Minuten, KI-Aufrufe) und ordnet sie dem jeweiligen Business Owner zu; die Nutzung seiner verknüpften Clients wird ihm zugerechnet. Gespeichert werden je Business Owner die verbrauchten Mengen, die daraus berechneten Kosten, eigene Zahlungen an EPTEC, anteilige Fixkosten, Zahlungsgebühren sowie zurückgebuchte Beträge und Rückbuchungsgebühren. Daraus wird der im Profil angezeigte Prozentstand berechnet. Hat ein Business Owner die Willkommenszahlung (§ 8o) geleistet, aber noch keine aktive Betriebskostenlizenz, deckt die Willkommenszahlung seine Identitätsprüfung; jede weitere kostenpflichtige Nutzung ist erst mit der Betriebskostenlizenz möglich (§ 12 Abs. 5 AGB). Dafür wird zusätzlich geprüft, ob die Willkommenszahlung eingegangen und eine Betriebskostenlizenz aktiv ist; die bisherigen Kosten seiner Identitätsprüfung werden gezählt und auf ETOBS African der Betrag der Willkommenszahlung herangezogen. Ist ein Kontingent aufgebraucht, werden die betroffenen Funktionen automatisiert eingestellt; jede Einstellung wird mit Zeitpunkt protokolliert und in der Akte vermerkt.
Für die Erkennung von Rückbuchungen und Erstattungen fragt EPTEC den Status bereits erfolgter Zahlungen beim jeweiligen Zahlungsanbieter ab (Transaktionskennung, Betrag, Status). Die Kontingentdaten werden für die Dauer der Geschäftsbeziehung gespeichert; Zahlungsbezogene Angaben unterliegen den gesetzlichen Aufbewahrungsfristen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (vereinbarte Kapazitätsgrenzen nach § 12 Abs. 5 AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an wirtschaftlicher Tragfähigkeit und Missbrauchsvermeidung; Art. 6 Abs. 1 lit. c DSGVO — handels- und steuerrechtliche Aufbewahrungspflichten.
§ 22v Sanktions- und Sperrlistenprüfung
Bei Registrierung und Bezahlung wird das aus der IP-Adresse abgeleitete Land (Cloudflare-Geolokalisierung) mit staatlichen Sanktionslisten und der eigenen Sperrliste von EPTEC abgeglichen. Bestehende Konten werden regelmäßig anhand des bei der Registrierung erfassten Landes sowie der eigenen Sperrliste (Länder, Unternehmen, Personen) geprüft. Bei einem Treffer wird der Zugang gesperrt, der Nutzer über das interne Nachrichtensystem informiert und die Sperre mit Grund und Löschdatum in der Akte vermerkt. Nach Ablauf der Exportfrist von 30 Tagen wird das Profil gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (§ 34b AGB). Wird der Eintrag vor Fristablauf entfernt, wird die Sperre automatisch aufgehoben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — Einhaltung von Sanktionsvorschriften; Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (§ 34b AGB); Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz der Plattform und ihrer Reputation.
§ 22w Dokumentation von Zustimmungen und Monatsauszug
Jede bei Registrierung oder Bezahlung erteilte Pflicht-Zustimmung wird mit Zeitstempel, IP-Adresse und vollständigem Wortlaut in der Akte gespeichert, insbesondere: Kapazitätsgrenzen und Kostendeckel, Support zuerst, Eigenverantwortung für Steuern und Gesetze einschließlich Reverse Charge, Rolle von EPTEC als Infrastrukturgeber, Sanktions- und Sperrlisten, sowie die Vorab-Zustimmung zu künftigen Preisänderungen. Auf Grundlage dieser Vorab-Zustimmung werden angekündigte Preisänderungen automatisch als angenommen vermerkt und dem Nutzer mitgeteilt. Ebenso gespeichert wird die Bestätigung „reine Infrastruktur und Fremddienste“ (§ 12 Abs. 5b AGB) beim Kauf der Betriebskostenlizenz und bei der Aktivierung einer Link-Lizenz (eigener Videodienst, Identitätsprüfdienst, KI-Dienst, Zahlungsanbieter): Zeitstempel, IP-Adresse, Browserkennung (User-Agent), Wortlaut und Version.
Alle Nutzer erhalten monatlich ein Wartungsprotokoll der Plattform in ihren Posteingang; Zustellung und Öffnen werden in der Akte vermerkt, das Öffnen speichern wir zusätzlich als Lesemarke (Zeitpunkt des Öffnens) zu Ihrem Konto. Business Owner erhalten monatlich einen Auszug ihrer Zustimmungen und der im Vormonat erfolgten Funktionseinstellungen in ihren Posteingang; Zustellung und Öffnen des Auszugs werden in der Akte vermerkt. EPTEC kann diese Nachweise im Streitfall (insbesondere bei einer Rückbuchung) der Bank oder dem Zahlungsdienstleister vorlegen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Nachweisbarkeit im Streitfall; Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
§ 22x Kostenregister
EPTEC führt ein internes Kostenregister aller kostenverursachenden Dienste (z. B. Cloudflare, LiveKit, Resend, Anthropic, Zahlungsdienstleister). Es enthält ausschließlich Betriebs- und Kostendaten der Plattform und keine personenbezogenen Daten der Nutzer; es dient der Berechnung des Plattformkontingents und der anteiligen Fixkosten nach § 22u.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an wirtschaftlicher Tragfähigkeit.
§ 22y Herkunftsprüfung auf ETOBS African (Afrika-Exklusivität)
Ist die Afrika-Exklusivität eingeschaltet (§ 34d AGB), verarbeitet EPTEC vor jeder Zahlung auf ETOBS African folgende Daten, um festzustellen, ob die Zahlung aus Afrika erfolgt: das Land Ihrer IP-Adresse und den Netzbetreiber Ihrer Verbindung (zur Erkennung von VPN-, Proxy-, Anonymisierungs- und Rechenzentrumsnetzen, bereitgestellt von Cloudflare), den Standort Ihres Endgeräts (Browser-Standortfreigabe; es wird nur geprüft, ob er in Afrika liegt), die Länder Ihrer Anmeldungen der letzten 90 Tage, das Land in Ihren Rechnungsdaten sowie bei PayPal-Zahlungen das Land Ihres PayPal-Kontos, das PayPal an EPTEC übermittelt. Zusätzlich wertet ein automatischer Prüflauf täglich die Länder Ihrer Anmeldungen und Seitenaufrufe der letzten 30 Tage aus. Das Ergebnis der Prüfung, die Ihre Zustimmung nach § 34d Abs. 3 AGB und – bei widersprüchlichen Angaben – eine automatische Meldung an die Moderation werden in Ihrer Akte gespeichert. Die Entscheidung erfolgt automatisiert (Art. 22 Abs. 2 lit. a und c DSGVO: zur Vertragserfüllung erforderlich und ausdrücklich eingewilligt). Bei einem festgestellten Verstoß erhalten Sie eine Löschankündigung über das Nachrichtensystem; Ihr Konto wird eingefroren (Business Owner zum Ende der laufenden Betriebskostenlizenz, Clients zum Ende ihrer bezahlten Laufzeit) und 30 Tage danach gelöscht. Bis zur Löschung können Sie über die Beschwerdewege der Plattform widersprechen, eine Überprüfung durch einen Menschen verlangen und Ihre Daten über den Datenexport sichern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: ETOBS African ist Menschen und Unternehmen in Afrika vorbehalten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch der regionalen Preise). Speicherdauer wie Akte (§ 8j, § 13).
§ 22z Jugendschutz und Beweissicherung
Besteht der Verdacht, dass eine minderjährige Person die Plattform nutzt oder dass Inhalte Minderjährige zeigen, sperren wir das Konto sofort, machen alle Inhalte unsichtbar und sichern die Beweise (Akte, Inhalte, Anmeldedaten) gesperrt. Während eines solchen Falls löschen wir das Konto nicht, auch nicht auf Ihren Antrag, soweit die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zur Verfolgung von Straftaten erforderlich sind (Art. 17 Abs. 3 lit. b und e DSGVO). Bei Verdacht einer Straftat übermitteln wir die gesicherten Daten auf Anforderung an die zuständigen Strafverfolgungsbehörden (Art. 18 Digital Services Act). Nach Abschluss des Falls werden die Daten gelöscht; bei einer lediglich angemeldeten minderjährigen Person ohne Straftat nach einer Sicherungsfrist von 7 Tagen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, u. a. Jugendschutz, Art. 18 DSA) und Art. 6 Abs. 1 lit. f DSGVO (Schutz Minderjähriger, Beweissicherung).
Meldungen (DSA): Für Meldungen speichern wir Kategorie, Beschreibung, gemeldeten Inhalt, Ihre Kontaktangaben bzw. Ihr Konto sowie Entscheidung und Begründung, um Ihnen Eingangsbestätigung und Entscheidung mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA). Abgeschlossene Meldungen werden drei Jahre nach der Entscheidung automatisch gelöscht (näher § 12a, § 13).
§ 22aa B2B-Erklärung und Erklärung als Privatperson (Geschäftsmodell-Lizenz (B2B oder B2C))
Hat ein Business Owner die Geschäftsmodell-Lizenz (B2B oder B2C) eingeschaltet (AGB § 34f), speichern wir bei der ersten Aufnahme und bei jedem Tarifwechsel die B2B-Erklärung eines Unternehmens-Clients bzw. die Erklärung eines Clients als Privatperson (Schwur, sofortiger Leistungsbeginn mit Erlöschen des Widerrufsrechts, Wohnsitzland und weitere Punkte nach AGB § 34f Abs. 3 und 4): Zeitpunkt, IP-Adresse, Name des Business Owners, gewählte Vertragsart (Privatperson/Unternehmen) und den vollständigen Wortlaut. Der Nachweis wird in der Akte des Clients und in der Akte des Business Owners abgelegt; außerdem halten wir jede Änderung der Schalter in der Akte des Business Owners fest.
Rechtsgrundlage ist die Durchführung des Vertrags zwischen Client und Business Owner (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse an einem lückenlosen Nachweis der übernommenen Pflichten, etwa bei Rückbuchungen, Streitfällen oder Behördenanfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer richtet sich nach der Akte; gesetzliche Aufbewahrungsfristen bleiben unberührt.
§ 22ab Löschung von Konten ohne Kaufabschluss
Konten, bei denen innerhalb von 30 Tagen nach der Registrierung kein Kauf abgeschlossen wird (Business Owner: Freimonatscode oder Abo-Lizenz eingelöst; Client: vom Business Owner bestätigte Mitgliedschaft, solange der Client mit mindestens einem Business Owner verbunden ist), löschen wir automatisch (AGB § 6a). Verliert ein Client die Verbindung zu seinem letzten Business Owner, gilt eine frühere Mitgliedschaft nicht mehr als Kaufabschluss: Wir löschen sein Konto frühestens 30 Tage nach dem Zeitpunkt, zu dem wir erkennen, dass er mit keinem Business Owner mehr verbunden ist (diesen Zeitpunkt speichern wir ebenso wie den Zeitpunkt, zu dem wir zuletzt eine Verbindung zu einem Business Owner festgestellt haben), frühestens jedoch nach Ablauf der 30 Tage nach der Registrierung; verbindet er sich bis dahin mit einem Business Owner, endet die Frist. Dazu prüfen wir regelmäßig Registrierungszeitpunkt, eingelöste Lizenzen, bestätigte Mitgliedschaften und die Verbindung des Clients zu einem Business Owner. Sieben Tage und einen Tag vor der Löschung erinnern wir über das Nachrichtensystem, in beiden Fällen. Vor der Löschung sichern wir die Akte; gesetzlich aufzubewahrende Nachweise bleiben für die gesetzlichen Fristen erhalten.
Rechtsgrundlage ist der Grundsatz der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e DSGVO) sowie die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Aufbewahrung der Nachweise beruht auf gesetzlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO).
§ 22ac Hinweisgeber-Meldekanal
(1) Über die Seite /hinweisgeber können Hinweise auf Verstöße (Hinweisgeberschutzgesetz, HinSchG) gemeldet werden – ohne Anmeldung oder angemeldet. Ohne Anmeldung ist die Meldung immer anonym; angemeldete Nutzer melden standardmäßig anonym und werden nur dann mit ihrem Benutzernamen gespeichert, wenn sie „anonym melden“ ausdrücklich abwählen. Verarbeitet werden: Kategorie, Meldetext, Zeitpunkte (Eingang, Eingangsbestätigung, Frist für die Rückmeldung, Abschluss), Status, die Nachrichten zwischen meldender Person und Meldestelle sowie gegebenenfalls der Benutzername. Zur Missbrauchsabwehr wird die IP-Adresse kurzzeitig für die Begrenzung der Anfragen (Rate-Limit) verwendet, aber nicht mit der Meldung gespeichert. Ist der Bot-Schutz eingeschaltet, wird zusätzlich Cloudflare Turnstile eingesetzt (§ 22j).
(2) Mit der Meldung erhalten Sie eine Fall-Kennung und einen Geheimcode. Der Geheimcode wird nur als Prüfwert (SHA-256) gespeichert und kann nicht wiederhergestellt werden; mit Kennung und Code können Sie den Status abrufen, Rückfragen lesen und antworten, ohne Ihre Identität preiszugeben.
(3) Zugriff auf Meldungen haben ausschließlich das Master-Konto und die für den Bereich Hinweisgeber freigeschalteten Administratoren (interne Meldestelle); auch Administratoren mit dem Bereich Geschäftsführung haben ohne diese gesonderte Freischaltung keinen Zugriff. Die Meldestelle wird über neue Meldungen im plattforminternen Postfach benachrichtigt. In Benachrichtigungen und Akte-Einträgen werden nur Fall-Kennung, Kategorie und Bearbeitungsschritte (einschließlich der bearbeitenden Person der Meldestelle) vermerkt – weder der Meldetext noch die Identität der meldenden Person.
(4) Speicherdauer: Abgeschlossene Meldungen und ihre Akte-Einträge werden drei Jahre nach Abschluss des Verfahrens automatisch gelöscht. Nicht abgeschlossene Meldungen bleiben bis zu ihrem Abschluss gespeichert.
(5) Personen, die in einer Meldung genannt werden, werden über die Verarbeitung nicht gesondert informiert, solange und soweit dies die Vertraulichkeit der meldenden Person (§ 8 HinSchG) oder die Aufklärung des gemeldeten Sachverhalts gefährden würde (Art. 14 Abs. 5 lit. b DSGVO, § 29 Abs. 1 BDSG).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 10, 12, 16, 17 HinSchG, soweit eine Pflicht zum Betrieb einer internen Meldestelle besteht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Aufdeckung und Abstellung von Verstößen.
§ 22ad Unternehmensauftritte in sozialen Netzwerken und automatische Antworten
(1) EPTEC betreibt für die Marke ETOBS eigene Auftritte (Profile, Seiten, Kanäle) in sozialen Netzwerken und Diensten; technisch unterstützt werden X (Twitter), Bluesky, Telegram, Discord, Mastodon, LinkedIn, Pinterest, Facebook, Instagram, Threads, YouTube und TikTok, genutzt werden die jeweils eingerichteten Zugänge. Auf diesen Auftritten veröffentlicht ein automatisiertes System täglich Beiträge, die als Werbung gekennzeichnet sind („[Werbung]“). Wenn Sie diese Auftritte besuchen, mit ihnen interagieren oder ihnen folgen, verarbeitet der jeweilige Betreiber des Netzwerks Ihre Daten nach seinen eigenen Datenschutzbestimmungen; EPTEC hat darauf keinen Einfluss.
(2) Automatische Antworten auf öffentliche Beiträge: Auf X, Bluesky und Threads sucht das System nach öffentlichen Beiträgen zu bestimmten Themen und kann darauf im Namen der Marke antworten. Dazu wird der Text des gefundenen öffentlichen Beitrags an den KI-Dienst der Anthropic, PBC (USA) übermittelt, der die Antwort formuliert (§ 19). Auf YouTube werden Videos zu bestimmten Suchbegriffen kommentiert, ohne dass deren Inhalt an den KI-Dienst übermittelt wird. Jede Antwort ist als Werbung gekennzeichnet („[Werbung]“). Ein Protokoll der Bot-Läufe (Ergebnis je Lauf, einschließlich der Kennungen der beantworteten Beiträge und des Antworttextes) wird ein Jahr gespeichert und danach automatisch gelöscht.
(3) Gemeinsame Verantwortlichkeit: Soweit EPTEC eine Facebook-Seite oder ein Instagram-Konto betreibt, ist EPTEC für die Verarbeitung von Daten zur Erstellung von Seiten-Statistiken („Insights“) gemeinsam mit der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland, verantwortlich (Art. 26 DSGVO). Meta übernimmt nach der Vereinbarung über die gemeinsame Verantwortlichkeit („Page Insights Controller Addendum“, abrufbar unter https://www.facebook.com/legal/terms/page_controller_addendum) die primäre Verantwortung für diese Verarbeitung und für die Erfüllung der Betroffenenrechte; Sie können Ihre Rechte auch gegenüber EPTEC geltend machen, EPTEC leitet Anfragen an Meta weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Darstellung und Bewerbung der Marke und an der Kommunikation mit Interessenten. Sie können der Verarbeitung nach Art. 21 DSGVO über die in § 1 genannte Adresse widersprechen.
§ 22ae Teilen eigener Videos auf TikTok (Business Owner und Creator)
(1) Business Owner und Creator können freiwillig ihr eigenes TikTok-Konto verbinden und eigene Videos aus ihrer Raum-Mediathek auf ihrem TikTok-Profil veröffentlichen („Auf TikTok teilen“). Ohne Verbindung werden keine Daten an TikTok übermittelt. Veröffentlicht wird nur, nachdem die Kontoinhaberin bzw. der Kontoinhaber Video, Sichtbarkeit und Interaktionen selbst gewählt, der Erklärung zugestimmt und auf „Veröffentlichen“ geklickt hat; es gibt kein automatisches Posten.
(2) Beim Verbinden erhält EPTEC von TikTok ein Zugriffs- und ein Erneuerungstoken, die TikTok-Nutzerkennung und die erteilten Berechtigungen (user.info.basic, video.publish). Diese Daten werden verschlüsselt (AES-256-GCM) gespeichert und nur für die Veröffentlichungen der jeweiligen Person verwendet; Token und Nutzerkennung werden nie im Browser angezeigt. Für die Dauer der Anmeldung bei TikTok wird für höchstens zehn Minuten ein technisch notwendiges Cookie gesetzt, das die Antwort von TikTok dem Browser zuordnet, der die Verbindung gestartet hat. Vor jeder Veröffentlichung ruft EPTEC bei TikTok Anzeigename, Benutzername, Profilbild und Kontoeinstellungen (erlaubte Sichtbarkeiten, Interaktionen, maximale Videolänge) ab und zeigt sie an. Bei der Veröffentlichung werden die gewählte Videodatei, Titel bzw. Beschreibung, Sichtbarkeit, Interaktionseinstellungen und die Angabe zu kommerziellen Inhalten an TikTok übermittelt; die Veröffentlichungskennung wird zur Statusanzeige bis zu sieben Tage gespeichert.
(3) Empfänger ist die TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland, die die übermittelten Inhalte als eigene Verantwortliche nach ihren Bedingungen verarbeitet (https://www.tiktok.com/legal/privacy-policy-eea). Mit „TikTok trennen“ löscht EPTEC die gespeicherten Token sofort; mit der Löschung des Kontos werden sie ebenfalls gelöscht. Den Zugriff der App können Sie zusätzlich in Ihren TikTok-Einstellungen entfernen. Bereits auf TikTok veröffentlichte Videos verwalten Sie dort.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Durchführung der von Ihnen gewählten Funktion.
Sprachversionen
Diese Datenschutzerklärung wird in deutscher Sprache bereitgestellt; in anderen Sprachen wird sie auf Wunsch beim Aufruf maschinell (KI-gestützt) übersetzt. Bei Widersprüchen zwischen Sprachversionen ist die deutsche Fassung maßgeblich.
EPTEC · Betreiberin der Marke ETOBS · Datenschutzerklärung Version 2.14 · gilt ab Veröffentlichung · Stand 12.11.2026 · Gemäß Art. 13, 14 DSGVO