Datenschutzerklärung

für die Website von StreamMeet, das Kundencenter und den Host-Bereich

Diese Datenschutzerklärung informiert nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir als Betreiber von StreamMeet verarbeiten, wozu, auf welcher Rechtsgrundlage und wie lange, und welche Rechte Sie haben.

1. Verantwortlicher und Kontakt

Verantwortlich ist:

Webvines
Hofgartenstraße 28a
86551 Aichach
Deutschland
Vertreten durch: Christian Schmid (Inhaber)

• E-Mail: support@streammeet.de
• Telefon: +49 8251 9048076
• Kontakt für den Datenschutz: support@streammeet.de

2. Wofür diese Erklärung gilt und wofür nicht

StreamMeet ist eine Videoplattform für Online-Termine von Unternehmen und Privatpersonen. Wir unterscheiden:

• Daten, für die wir selbst verantwortlich sind (Art. 4 Nr. 7 DSGVO): Daten beim Aufruf dieser Website und ihrer Rechtstexte, Daten unserer Kunden und ihrer Ansprechpersonen im Kundencenter, also Konto, Bestellung, Vertrag, Zahlung, Anbindung des Buchungssystems und die Kommunikation mit uns, sowie die Host-Konten (Abschnitte 5a und 5c). Dafür gilt diese Erklärung.
• Daten der Teilnehmenden an Online-Terminen von Geschäftskunden: Diese verarbeiten wir nur im Auftrag des Unternehmens, das den Termin anbietet (Auftragsverarbeitung nach Art. 28 DSGVO). Verantwortlich ist dieses Unternehmen; es informiert Sie in seiner eigenen Datenschutzerklärung. Einzelheiten stehen in Abschnitt 12.
• Meetings von Geschäftskunden: Plant ein Geschäftskunde Meetings im Kundencenter oder legen seine Hosts Meetings an, verarbeiten wir die Daten dieser Meetings in seinem Auftrag; verantwortlich ist der Geschäftskunde (Abschnitt 5b). Die Host-Konten selbst sind davon ausgenommen: Für sie sind wir verantwortlich (Abschnitt 5a).
• Daten der Teilnehmenden von Privatkunden: Lädt eine Privatperson zu einem privaten Termin ein, fällt ihre eigene Nutzung unter die Ausnahme für persönliche und familiäre Tätigkeiten (Art. 2 Abs. 2 Buchst. c DSGVO, Erwägungsgrund 18). Wir verarbeiten die Daten dieser Teilnehmenden dann als Verantwortlicher, allein um die Termine technisch durchzuführen; Einzelheiten stehen in Abschnitt 12.

3. Aufruf der Website

Welche Daten. Wenn Sie diese Website aufrufen, verarbeitet unser Server technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Anfragemethode, Statuscode, übertragene Datenmenge und Dauer der Anfrage sowie Angaben, die Ihr Browser mitsendet (z. B. Browserkennung, bevorzugte Sprache, verweisende Seite). In den Server-Protokollen speichern wir die IP-Adresse nur gekürzt (IPv4 auf die ersten drei Blöcke, IPv6 auf die ersten 48 Bit); Cookies und Zugangsdaten werden nicht protokolliert. Fehlerprotokolle der Anwendung enthalten keine Namen, keine E-Mail-Adressen und keine Zugangsdaten.

Zweck und Rechtsgrundlage. Auslieferung der Website, Sicherheit und Stabilität des Betriebs, Erkennen und Abwehren von Angriffen und Fehlern. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot (Art. 6 Abs. 1 lit. f DSGVO). Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse; dafür speichern wir nur einen Hashwert für wenige Minuten.

Wie lange. Server- und Fehlerprotokolle 7 Tage.

Die Website, das Kundencenter, der Host-Bereich sowie Lobby und Termin laden keine Inhalte von fremden Servern (keine externen Schriften, Skripte oder Content-Delivery-Netzwerke) und setzen keine Analyse-, Tracking- oder Werbedienste ein. Einzige Ausnahme sind die Seiten des Outlook-Add-ins (Abschnitt 5c).

Desktop-App und Updates. Die Desktop-App für macOS laden Sie über unsere Download-Seite herunter; diese Seite setzt keine Cookies. Die installierte App fragt etwa eine Minute nach dem Start und danach alle vier Stunden bei unserem Server, ob es eine neue Version gibt, aber nicht, solange Sie in einem Termin sind. Eine neue Version lädt sie herunter und installiert sie erst, wenn Sie das bestätigen oder die App beenden. Dabei sendet die App kein Konto, keine Geräte- oder Nutzerkennung und keine Angaben über Ihre Nutzung. Unser Server verarbeitet nur, was jeder Abruf mit sich bringt: Ihre IP-Adresse, Datum und Uhrzeit, die abgerufene Datei (daraus ergeben sich der Update-Kanal und, wenn ein Update geladen wird, dessen Version) und die Kennung des Update-Programms. Diese Abrufe protokollieren wir wie jeden anderen Aufruf (IP-Adresse gekürzt, 7 Tage). Zweck ist, Ihnen Sicherheits- und Fehlerkorrekturen bereitzustellen; Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und aktuellen App (Art. 6 Abs. 1 lit. f DSGVO).

Auf Macs mit Apple-Chip lädt die App beim Öffnen eines Termins, in der Regel höchstens alle sechs Stunden, das Modell für den Hintergrund-Effekt von unserem Server und speichert es auf Ihrem Gerät. Dabei sendet sie die Zugangsberechtigung des Termins und eine für jeden Abruf neu erzeugte Zufallszahl, die wir nicht speichern. Kein Konto, keine dauerhafte Geräte- oder Nutzerkennung. Der Abruf wird protokolliert wie jeder andere Aufruf (IP-Adresse gekürzt, 7 Tage). Bild und Ton verlassen dabei Ihr Gerät nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden und aktuellen Effekt (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies und Speicher im Browser

Wir setzen nur Cookies, die technisch notwendig sind, um die von Ihnen gewünschten Funktionen bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich:

Die Startseite, die Download-Seite der Desktop-App und die Rechtstexte (Datenschutzerklärung, Impressum, AGB, Widerrufsbelehrung) setzen keine Cookies. Die Kündigungsseite („Verträge hier kündigen“) und die Seite „Ohne Link beitreten“ setzen ein technisch notwendiges Sitzungs-Cookie und den XSRF-TOKEN, weil ihre Formulare gegen gefälschte Anfragen geschützt sein müssen; beide sind nach dem Schließen des Browsers bzw. nach 120 Minuten hinfällig. Tracking-Cookies, Cookies von Dritten und Fingerprinting verwenden wir nicht.

Speicher im Browser. Lobby, Termin und Host-Bereich speichern im Browser (localStorage) nur Einstellungen, die Sie selbst wählen, ohne Namen oder andere Angaben zu Ihrer Person: Sprache, helles oder dunkles Design, Tastenkürzel, Videoqualität, Ansicht der Bühne, Einstellungen von Mikrofon und Lautsprecher, Hintergrundeffekt und Spiegelung der eigenen Ansicht, Größe des Laserpointers, aufgeklappte Einstellungen und zuletzt gewählte Reiter, die Knöpfe zum schnellen Stummschalten für Moderierende, ob Einladungslinks in der Desktop-App oder im Browser geöffnet werden sollen, sowie technische Merker (z. B. dass die Videokodierung Ihres Geräts zurückgeschaltet wurde). Ein eigenes Hintergrundbild liegt nur in Ihrem Browser (IndexedDB). Gibt ein Host E-Mail-Adressen von Gästen ein, liegen sie bis zum Versand nur in diesem Browserfenster (sessionStorage); eine verschickte Adresse vergisst das Fenster sofort, der Rest ist weg, sobald er das Fenster schließt oder „Adressen vergessen“ wählt. Erst mit „Einladung verschicken“ gehen Adressen an uns, und nur für diesen Versand (Abschnitt 5b). Nichts anderes aus diesem Absatz wird an uns übertragen.

5. Kundenkonto

Welche Daten. Für ein Konto im Kundencenter verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hashwert), Sprache, Zeitpunkt der Bestätigung der E-Mail-Adresse und der letzten Anmeldung sowie, wenn Sie sie einrichten, die Daten der Zwei-Faktor-Authentisierung (Geheimnis und Wiederherstellungscodes, verschlüsselt). In der Sitzung speichern wir die IP-Adresse nur gekürzt und die Browserkennung. Fehlgeschlagene Anmeldeversuche zählen wir je E-Mail-Adresse und IP-Adresse als Hashwert, um Angriffe zu begrenzen; ein bekanntes Gerät erkennen wir am Geräte-Cookie (Abschnitt 4). Laden wir einen bestehenden Kunden ins Kundencenter ein, verarbeiten wir dafür die E-Mail-Adresse der eingeladenen Person und die Sprache.

Zweck und Rechtsgrundlage. Bereitstellung des Kundencenters, Anbahnung und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Handeln Sie für ein Unternehmen, ist Rechtsgrundlage unser berechtigtes Interesse, mit den Ansprechpersonen unserer Kunden zusammenzuarbeiten (Art. 6 Abs. 1 lit. f DSGVO). Bestellen Sie als Privatperson, sind Sie selbst unser Vertragspartner; Rechtsgrundlage ist dann durchgehend Art. 6 Abs. 1 lit. b DSGVO. Die Sicherheit der Konten stützen wir auf Art. 6 Abs. 1 lit. f und Art. 32 DSGVO.

Wie lange. Nicht bestätigte Registrierungen löschen wir nach 14 Tagen, Konten ohne Bestellung, Annahme und Einladung 365 Tage nach der letzten Anmeldung, Anmeldedaten 90 Tage nach Vertragsende, Links zum Zurücksetzen des Passworts nach 60 Minuten und Einladungen 30 Tage nach Ablauf oder Annahme.

5a. Host-Konten

Ein Kunde kann im Kundencenter Host-Konten für Personen anlegen, die für ihn Meetings anlegen und leiten. Host melden sich im Host-Bereich, in der Desktop-App oder über das Outlook-Add-in an, nie im Kundencenter.

Wer verantwortlich ist. Für die Host-Konten sind wir selbst verantwortlich (Art. 4 Nr. 7 DSGVO), auch wenn ein Kunde (etwa Ihr Arbeitgeber oder Auftraggeber) das Konto für Sie anlegt: Anmeldung, Einladung, Aktivierungscode, angemeldete Geräte und Sitzungen, der Zugang des Outlook-Add-ins (Abschnitt 5c) und die E-Mails an Sie einschließlich des Kalendereintrags. Der Kunde bestimmt, wer ein Konto bekommt; er legt Konten an, sperrt und entfernt sie. Die Meetings, die Sie als Host für einen Geschäftskunden anlegen, verarbeiten wir dagegen in dessen Auftrag (Abschnitt 5b). Anfragen zu Ihrem Konto richten Sie an uns (Abschnitt 1).

Zweck und Rechtsgrundlage. Bereitstellung der Host-Konten, die ein Kunde bei uns bestellt hat. Sind Sie selbst unser Kunde (etwa als Privatkunde oder als Inhaber eines Kundenkontos, der sich selbst ein Host-Konto anlegt), ist Rechtsgrundlage die Durchführung des Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Legt ein Kunde das Konto für Sie an, ist Rechtsgrundlage unser berechtigtes Interesse, den vom Kunden bestellten Dienst seinen Hosts bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO). Die Sicherheit der Konten stützen wir auf Art. 6 Abs. 1 lit. f und Art. 32 DSGVO. Wir nutzen die Daten zu keinem anderen Zweck, insbesondere nicht für Werbung.

Welche Daten. Vor- und Nachname, E-Mail-Adresse und Sprache, die der Kunde eingibt; Passwort nur als Hashwert, Daten der Zwei-Faktor-Authentisierung verschlüsselt, Einladung und Aktivierungscode nur als Hashwert, die Zeitpunkte von Einladung, Aktivierung, Sperre und letzter Anmeldung, Ihre Einstellung „Kalendereintrag per Mail an mich“ und Ihre Meetings (Abschnitt 5b). Zu Ihren angemeldeten Geräten speichern wir Browserkennung, gekürzte IP-Adresse und letzte Aktivität; angezeigt werden Ihnen davon nur Gerät und Zeit. Fehlgeschlagene Anmeldeversuche zählen wir je E-Mail-Adresse und IP-Adresse als Hashwert; ein bekanntes Gerät erkennen wir am Geräte-Cookie (Abschnitt 4).

E-Mails an Hosts. Wir senden Ihnen die Einladung, auf Wunsch Links zum Zurücksetzen des Passworts und, solange Sie es nicht abschalten, zu jedem Meeting, das Sie im Host-Bereich planen, ändern oder absagen, eine E-Mail mit dem Kalendereintrag an die Adresse Ihres Kontos. Der Kalendereintrag enthält Ihren Start-Link und die Einladung für Ihre Gäste, also auch Meeting-ID, Kenncode und ein gesetztes Raumpasswort. E-Mails gehen über unseren E-Mail-Dienst (Abschnitt 8) und liegen bis zum Versand nur verschlüsselt bei uns.

Wie lange. Bis der Kunde das Konto entfernt, spätestens mit der Löschung der Daten nach dem Ende seines Vertrags (höchstens 30 Tage danach). Einladungen gelten 7 Tage, Aktivierungscodes 24 Stunden, Links zum Zurücksetzen des Passworts 60 Minuten. „Angemeldet bleiben“ hält ein Gerät höchstens 90 Tage angemeldet; der Zugang des Outlook-Add-ins endet 90 Tage nach der letzten Nutzung. Entfernt oder sperrt der Kunde Ihr Konto, enden alle Anmeldungen sofort.

5b. Meetings ohne Buchungssystem, Einladungen und Beitritt ohne Link

Kunden können Meetings im Kundencenter anlegen, Hosts im Host-Bereich, in der Desktop-App oder über das Outlook-Add-in. Für Meetings von Geschäftskunden verarbeiten wir diese Daten in deren Auftrag; für Meetings von Privatkunden sind wir selbst verantwortlich (Abschnitt 12).

Welche Daten. Titel, Beginn, Ende, Zeitzone, Sprache und Einstellungen des Meetings, der Name des Hosts im Meeting und der organisierende Host; bei persönlichen Links die Anzeigenamen der Gäste und Co-Organisatoren, die der Host einträgt; die Links (als Hashwert und verschlüsselt); bei einem gemeinsamen Gäste-Link Meeting-ID und Kenncode (verschlüsselt). Ein Raumpasswort speichern wir als Hashwert und für diese Meetings zusätzlich verschlüsselt, damit es in der Einladung stehen und dem Host wieder angezeigt werden kann.

Einladungen per E-Mail. Lädt ein Host Gäste per E-Mail-Adresse ein (auf der Seite des Meetings, in der Lobby oder im Meeting), schicken wir jeder Adresse sofort eine eigene E-Mail mit der Einladung (Beitrittslink, Meeting-ID, Kenncode, gegebenenfalls Raumpasswort); Antworten gehen an den Host. Die Adresse nutzen wir nur für diesen einen Versand und vergessen sie danach sofort: Wir speichern sie nicht, sie steht in keinem Protokoll und in keiner Warteschlange. Gegen Missbrauch zählen wir Einladungen je Adresse höchstens 24 Stunden lang, und zwar nur als Hashwert. Bei persönlichen Links speichern wir nur den Namen des Gastes, den der Host angibt oder den wir aus der Adresse ableiten. Für den Versand nutzen wir unseren E-Mail-Dienst (Abschnitt 8). Wählt der Host stattdessen „Per E-Mail“, verschickt er die Einladung über sein eigenes E-Mail-Programm; dann erhalten wir die Adressen nicht.

Beitritt ohne Link. Auf der Seite „Ohne Link beitreten“ geben Gäste Meeting-ID und Kenncode ein; wir prüfen beides und leiten zum Gäste-Link weiter. Gegen das Erraten zählen wir Fehlversuche je Meeting-ID und je IP-Adresse (als Hashwert, höchstens eine Stunde); den Kenncode protokollieren wir nicht.

Wie lange. Wie Termindaten nach dem Tarif des Kunden ab dem Ende des Meetings; vorher, wenn der Kunde oder der Host das Meeting löscht.

5c. Outlook-Add-in

Hosts können ein Add-in für Microsoft Outlook nutzen. Es legt im Outlook-Termin ein Meeting an und schreibt Link, Meeting-ID, Kenncode und gegebenenfalls das Raumpasswort in den Termin.

• Seiten des Add-ins: Outlook lädt die Seiten des Add-ins von unserem Server. Microsoft schreibt vor, dass diese Seiten Microsofts Programmbibliothek (Office JavaScript API) von Microsofts Servern (appsforoffice.microsoft.com) laden; dabei erhält Microsoft Ihre IP-Adresse und technische Angaben zu Ihrem Gerät. Weitere Verbindungen dieser Bibliothek zu Microsoft (Telemetrie) blockieren wir. Für die Verarbeitung in Outlook selbst ist Microsoft im Rahmen des Vertrags zuständig, den Ihre Organisation mit Microsoft geschlossen hat; Informationen von Microsoft: https://privacy.microsoft.com. Microsoft kann Daten auch in die USA übermitteln; die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).
• Anmeldung: Sie melden sich in einem Fenster auf unserer Seite mit Ihrem Host-Konto an. Das Add-in erhält einen Zugangsschlüssel, den Outlook in den Einstellungen des Add-ins in Ihrem Postfach speichert; bei uns liegt davon nur ein Hashwert. Er endet 90 Tage nach der letzten Nutzung, beim Abmelden, bei einem neuen Passwort und wenn Ihr Konto gesperrt oder entfernt wird.
• Termin in Outlook: Was das Add-in in den Termin schreibt, steht danach in Ihrem Postfach; wer den Termin erhält, bestimmen Sie in Outlook.
• Fehlerdiagnose: Die Seiten des Add-ins melden uns technische Stufen (z. B. „gestartet“, „angemeldet“), die Outlook-Plattform und Meldungen der Sicherheitsrichtlinie des Browsers. Wir speichern je Meldung eine Zeile im Fehlerprotokoll, ohne IP-Adresse, ohne Zugangsschlüssel und ohne E-Mail-Adressen (7 Tage).
• Rolle und Rechtsgrundlage: wie beim Host-Konto (Abschnitt 5a).

6. Bestellung, Vertrag und Annahme der Vertragsunterlagen

Welche Daten. Vertragsdaten des Kunden: bei Geschäftskunden Firma mit Rechtsform, Anschrift, Land, vertretungsberechtigte Person, Kontakt für den Datenschutz und Umsatzsteuer-Identifikationsnummer, bei Privatkunden Vor- und Nachname, Anschrift und Land; dazu Sprache und Mandanten-Kennung; zur Bestellung Tarif, gebuchte Zusatzoptionen, Preis, Abrechnungszeitraum, Status und Zeitpunkte (Eingang, Freigabe, Zahlung, Kündigung, Vertragsende); bei einem Tarifwechsel bisheriger und neuer Tarif, Betrag und Zeitpunkte. Wenn Sie die AGB, den Vertrag über die Auftragsverarbeitung oder die Widerrufsbelehrung online annehmen oder zur Kenntnis nehmen, speichern wir als Nachweis Zeitpunkt, Konto, Name und E-Mail-Adresse der annehmenden Person, die gekürzte IP-Adresse, das Dokument mit Sprache, Version und Prüfsumme (SHA-256) der deutschen und der englischen Fassung sowie die eingesetzten Vertragsdaten. Bei Privatkunden gehört dazu auch Ihre ausdrückliche Erklärung, dass wir vor Ablauf der Widerrufsfrist mit der Leistung beginnen sollen, im Wortlaut; Sie geben sie bei der Bestellung, beim Tarifwechsel und beim Buchen oder Erhöhen einer Zusatzoption ab. Bei Einzelunternehmen kann die Firma selbst ein personenbezogenes Datum sein.

Zweck und Rechtsgrundlage. Prüfung und Annahme der Bestellung, Durchführung des Vertrags, Freischaltung und Sperre des Zugangs (Art. 6 Abs. 1 lit. b DSGVO); Nachweis des Vertragsschlusses und der Zustimmung (Art. 6 Abs. 1 lit. f DSGVO); Aufbewahrung nach Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO).

Wie lange. Vertragsdaten, Bestellungen und Annahmen bis sechs Jahre nach dem Ende des Kalenderjahres, in dem der Vertrag geendet hat. Bestellungen, die wir abgelehnt haben, ohne dass ein Vertrag zustande kam, 180 Tage nach der letzten Ablehnung.

6a. Widerruf (nur Privatkunden)

Welche Daten. Widerrufen Sie Ihren Vertrag, speichern wir Ihre Erklärung mit Zeitpunkt des Eingangs, dem Weg, auf dem sie uns erreicht hat (Kundencenter, E-Mail, Brief, Telefon), der Zuordnung zu Vertrag und Bestellung, der Zahl der genutzten Tage, dem anteiligen Betrag, der Erstattung und der Kennung der Erstattung bei Stripe. Eine interne Notiz speichern wir nur, wenn sie für die Bearbeitung nötig ist.

Zweck und Rechtsgrundlage. Abwicklung des Widerrufs und Nachweis gegenüber Aufsichtsbehörden und Gerichten (Art. 6 Abs. 1 lit. b und c DSGVO; §§ 355, 357, 357a BGB), Aufbewahrung nach Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO).

Wie lange. Wie die übrigen Vertragsdaten (Abschnitt 6).

6b. Kündigung über die Kündigungsseite

Auf der Seite „Verträge hier kündigen“ können Sie einen Vertrag ohne Anmeldung kündigen (§ 312k BGB).

Welche Daten. Name, E-Mail-Adresse, Ihre Angaben zum Vertrag (Vertragsnummer oder eine andere Angabe wie Mandanten-Kennung oder Bestellnummer), Art der Kündigung mit Grund bei einer außerordentlichen Kündigung, gewünschtes Vertragsende, Sprache, Zeitpunkt des Eingangs, eine Eingangsnummer, Ihre auf /24 bzw. /48 gekürzte IP-Adresse und, ob und wann die Kündigung über den Link in unserer E-Mail bestätigt wurde. Wir zählen außerdem die Versuche je IP-Adresse, je Netz (/24 bzw. /48) und je E-Mail-Adresse als Hashwert, damit die Seite nicht missbraucht wird.

Bestätigung durch den Kunden. Gehören E-Mail-Adresse und Vertragsnummer zu demselben Kundenkonto, führen wir die Kündigung sofort aus. Fehlt die Vertragsnummer oder passt sie nicht, führen wir sie nicht sofort aus, sondern fragen per E-Mail an die im Kundenkonto hinterlegte Adresse nach, ob die Kündigung vom Kunden stammt. Bestätigt der Kunde sie über den Link in dieser E-Mail (30 Tage gültig), gilt sie ab ihrem Eingang. So schützen wir Kunden davor, dass Dritte ihren Vertrag kündigen. Die Eingangsbestätigung an die angegebene Adresse geht in jedem Fall hinaus, im Regelfall sofort; nur wenn in kurzer Zeit ungewöhnlich viele Erklärungen eingehen, spätestens nach einer Stunde.

Zweck und Rechtsgrundlage. Entgegennahme und Bearbeitung der Kündigung sowie die gesetzlich vorgeschriebene Bestätigung (Art. 6 Abs. 1 lit. b und c DSGVO, § 312k BGB); Schutz vor Missbrauch der Seite und vor Kündigungen durch Dritte (Art. 6 Abs. 1 lit. f DSGVO).

Wie lange. Können wir die Kündigung einem Vertrag zuordnen, bewahren wir sie wie die übrigen Vertragsdaten auf (Abschnitt 6). Kündigungen, die zu keinem Vertrag bei uns gehören oder nie als vom Kunden stammend nachgewiesen und nicht von uns bearbeitet wurden, löschen wir nach 180 Tagen.

7. Zahlung über Stripe

Die Zahlung wickeln wir über Stripe ab (Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, beide Dublin, Irland). Sie geben Ihre Zahlungsdaten (z. B. die Kartennummer) direkt auf den Seiten von Stripe ein; wir erhalten sie nicht. Stripe übermitteln wir Firma bzw. Name, E-Mail-Adresse, Anschrift, Sprache, Umsatzsteuer-Identifikationsnummer und steuerliche Einordnung, Tarif, Zusatzoptionen und Preis sowie eine Kennung der Bestellung. Von Stripe erhalten wir den Status von Zahlungen und Abonnements, die Rechnungen sowie Art und die letzten vier Ziffern des Zahlungsmittels.

• Zweck und Rechtsgrundlage: Abwicklung der Zahlung, Rechnungsstellung, Erstattungen und Mahnlauf (Art. 6 Abs. 1 lit. b DSGVO); Aufbewahrung der Rechnungen (Art. 6 Abs. 1 lit. c DSGVO).
• Rolle von Stripe: Stripe verarbeitet die Daten teils in unserem Auftrag, teils als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung finanzaufsichtsrechtlicher Pflichten. Dafür gilt die Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.
• Drittland: Stripe gehört zu einem Konzern mit Sitz in den USA; Daten können dorthin übermittelt werden. Die Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); daneben setzt Stripe Standardvertragsklauseln der EU-Kommission ein (Art. 46 Abs. 2 lit. c DSGVO).
• Wie lange: Stripe speichert nach eigenen Fristen. Eine Kopie jeder Rechnung, Gutschrift und Erstattung bewahren wir in unserem Rechnungsarchiv auf (Abschnitt 11): zehn Jahre, denn Rechnungen sind Buchungsbelege (acht Jahre nach § 147 AO, § 14b UStG und § 257 HGB, länger, solange die steuerliche Festsetzungsfrist läuft). Nach Ablauf der Frist erinnert uns das System monatlich an diese Rechnungen, und wir löschen sie.

Stripe erhält nie Daten von Teilnehmenden oder Hosts.

8. E-Mails

Wir senden Ihnen E-Mails, die zum Konto und zum Vertrag gehören, etwa zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts, zu Eingang, Freigabe und Zahlung einer Bestellung, zur Buchung oder Erhöhung einer Zusatzoption durch Privatkunden, zum Vertragsende und zu Mitteilungen nach den AGB. Hosts senden wir Einladung, Passwort-Links und Kalendereinträge (Abschnitt 5a). An Teilnehmende senden wir nur die Einladung, die ein Host für sie anstößt (Abschnitt 5b). Werbe-E-Mails oder Newsletter senden wir nicht.

• Zweck und Rechtsgrundlage: Durchführung des Vertrags und Sicherheit des Kontos (Art. 6 Abs. 1 lit. b und f DSGVO); für E-Mails an Hosts siehe Abschnitt 5a.
• Dienstleister: Für den Versand nutzen wir einen E-Mail-Dienst als Auftragsverarbeiter (Art. 28 DSGVO): SiteGround Spain S.L., Calle de Prim 19, 28004 Madrid, Spanien / Spain. Er erhält Empfängeradresse, Betreff, Inhalt und die technischen Versanddaten.
• Wie lange: Bis zum Versand liegen E-Mails nur verschlüsselt bei uns. Ein Protokoll, welche E-Mail an wen ging, führen wir nicht; Fehler beim Versand protokollieren wir ohne Adresse (7 Tage). E-Mails mit Handelsbriefcharakter bewahren wir wie Vertragsdaten auf (Abschnitt 6).

9. Anbindung des Buchungssystems

Verbinden Sie Ihr Buchungssystem mit StreamMeet, verarbeiten wir die Adresse (Origin) Ihrer Buchungswebsite, einen einmaligen Verbindungscode (nur als Hashwert, 15 Minuten gültig) und die Schlüssel für die Schnittstelle (API-Keys nur als Hashwert, öffentliche Signaturschlüssel). Zweck ist die sichere Anbindung (Art. 6 Abs. 1 lit. b DSGVO). Diese Daten speichern wir, solange der Vertrag besteht; Verbindungscodes löschen wir nach Ablauf.

10. Kontakt und Support

Schreiben Sie uns per E-Mail, verarbeiten wir Ihre Angaben und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO bei Fragen zum Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Nachrichten, wenn das Anliegen erledigt ist, es sei denn, sie müssen als Handels- oder Geschäftsbrief aufbewahrt werden (Abschnitt 6).

11. Lizenzverwaltung, Hosting, Datensicherung und Rechnungsarchiv

• Hosting: Die Website, das Kundencenter, der Host-Bereich und die Videoplattform laufen auf einem dedizierten Server der Hetzner Online GmbH (Gunzenhausen, Deutschland) im Rechenzentrum Helsinki (Finnland). Aufzeichnungen (nur bei aufgezeichneten Terminen) verarbeitet ein virtueller Server der Hetzner Online GmbH in Falkenstein (Deutschland), der über einen verschlüsselten Tunnel mit dem Hauptserver verbunden ist. Hetzner ist unser Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet die Daten in der EU.
• Datensicherung: Die Datenbank sichern wir täglich. Die Sicherungen sind verschlüsselt (der Schlüssel liegt nicht auf dem Server), werden zusätzlich im Object Storage der Hetzner Online GmbH in Helsinki (Finnland) abgelegt und nach 7 Tagen gelöscht.
• Rechnungsarchiv: Kopien unserer Rechnungen, Gutschriften und Erstattungen (mit Firma bzw. Name und Anschrift des Kunden) legen wir auf unserem Server (die letzten 24 Monate) und im Object Storage der Hetzner Online GmbH in Helsinki (Finnland) ab. Wir bewahren sie zehn Jahre auf und löschen sie danach selbst; das System erinnert uns monatlich an Rechnungen, deren Frist abgelaufen ist (Art. 6 Abs. 1 lit. c DSGVO, Abschnitt 7).
• Lizenzverwaltung: Für Freischaltung, Tarif und Überwachung übermittelt das Kundencenter die Mandanten-Kennung, die Firma bzw. bei Privatkunden den Namen, den Tarif, den Status und das Datum, bis zu dem bezahlt ist, an unser eigenes Lizenz- und Überwachungssystem. Es ist ein eigenes System desselben Verantwortlichen und wird bei der Hetzner Online GmbH in Deutschland gehostet (Art. 6 Abs. 1 lit. b DSGVO). Bei Geschäftskunden speichert das Lizenzsystem zusätzlich die Firmendaten (Firma, Anschrift, Land, Umsatzsteuer-Identifikationsnummer und das Ergebnis ihrer Prüfung), damit wir Verträge und Rechnungen einem Kunden zuordnen können (Art. 6 Abs. 1 lit. b und c DSGVO); dort erhält der Kunde auch eine Kundennummer. Von Privatkunden speichert es darüber hinaus nichts. Wird ein Kundenkonto gelöscht (auf Ihr Verlangen, durch uns oder nach Ablauf der Speicherfrist), löscht auch das Lizenzsystem seine Kopie; es behält nur, was wir dort selbst gesetzlich aufbewahren müssen. Daten von Teilnehmenden und Hosts erhält das Lizenzsystem nicht.
• Kundenbetreuung: Wenn es für die Betreuung eines Kunden nötig ist, zeigen Mitarbeitende des Betreibers im Lizenzsystem die vollständige Kundenakte an (Vertragsdaten, Konten, Bestellungen, Annahmen der Vertragsunterlagen, Rechnungen). Diese Daten werden dafür bei jedem Aufruf aus dem Kundencenter gelesen und im Lizenzsystem nicht gespeichert; Änderungen an den Vertragsdaten werden im Kundencenter gespeichert (Art. 6 Abs. 1 lit. b und f DSGVO, unser berechtigtes Interesse ist eine vollständige und richtige Kundenbetreuung aus einer Hand). Jeder dieser Zugriffe wird mit Zeitpunkt, Person des Betreibers, Art des Zugriffs und gekürzter IP-Adresse protokolliert und das Protokoll nach 180 Tagen gelöscht. Zur Unterstützung können unsere Administratoren das Kundencenter eines Kunden auch so ansehen, wie der Kunde es sieht („Als Kunde anmelden“): nur mit Zwei-Faktor-Anmeldung und erneuter Passworteingabe, ohne Bestellung, Zahlung, Vertragsannahme, Passwort- oder Kontoänderung; protokolliert werden die beteiligten Konten, Zeiten und die gekürzte IP-Adresse (180 Tage).
• Die Überwachung der Server erfasst nur technische Messwerte ohne Personenbezug.

12. Teilnehmende an Online-Terminen

Wenn Sie an einem Online-Termin teilnehmen, über einen persönlichen Link, einen gemeinsamen Gäste-Link oder mit Meeting-ID und Kenncode, verarbeiten wir Anzeigename, pseudonyme Kennung, Rolle, Verbindungsdaten, Bild und Ton in Echtzeit und Anwesenheitszeiten ohne Namen; nutzt der Termin sie, außerdem den Warteraum (Ihr Name nur, solange Sie warten), das Whiteboard (ohne Angabe, wer was gezeichnet hat), Umfragen (Ihre Stimme ohne Ihre Kennung), Gruppenräume und eine Aufzeichnung (nur nach Ankündigung und mit sichtbarer Anzeige).

• Termine von Geschäftskunden: Wir verarbeiten diese Daten nur im Auftrag und nach Weisung des Unternehmens, das den Termin anbietet. Dieses Unternehmen ist Verantwortlicher; es informiert Sie in seiner Datenschutzerklärung über Zwecke, Rechtsgrundlagen und Speicherdauer. Das gilt auch, wenn die Plattform unter dem Namen und Logo des Unternehmens erscheint. Bitte richten Sie Anfragen zu diesen Daten an das Unternehmen; erreichen sie uns, leiten wir sie unverzüglich dorthin weiter.
• Termine von Privatkunden: Lädt eine Privatperson zu einem privaten Termin ein, sind wir für dieselben Daten selbst verantwortlich. Wir verarbeiten sie allein, um den Termin technisch durchzuführen (Art. 6 Abs. 1 lit. b und f DSGVO), löschen sie nach den Fristen des Tarifs und nutzen sie zu keinem anderen Zweck. Anfragen richten Sie an uns (Abschnitt 1).

StreamMeet speichert keine E-Mail-Adressen von Teilnehmenden (eine Adresse, an die ein Host eine Einladung schicken lässt, nutzen wir nur für diesen Versand, Abschnitt 5b), speichert Chat, Handzeichen und Reaktionen nicht und setzt in Lobby und Termin keine Analyse- oder Tracking-Dienste ein.

13. Empfänger und Übermittlung in Drittländer

Ihre Daten erhalten nur die in dieser Erklärung genannten Stellen: unsere Dienstleister als Auftragsverarbeiter (Hosting und Datensicherung, E-Mail-Versand), Stripe für die Zahlung, Microsoft, wenn Sie das Outlook-Add-in nutzen (Abschnitt 5c), sowie, soweit gesetzlich vorgeschrieben, Behörden (z. B. Finanzbehörden) und unsere steuerliche Beratung. Eine Übermittlung in Drittländer kann nur bei Stripe (Abschnitt 7) und bei Microsoft (Abschnitt 5c) stattfinden. Wir verkaufen keine personenbezogenen Daten.

14. Speicherdauer im Überblick

15. Pflicht zur Bereitstellung

Die Angaben für Konto, Bestellung und Zahlung sind für den Vertragsschluss erforderlich. Ohne sie können wir keinen Vertrag schließen. Gesetzlich verpflichtet sind Sie zur Angabe nicht.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Viele Angaben können Sie im Kundencenter bzw. im Host-Bereich selbst einsehen und ändern. Für alle Anliegen genügt eine Nachricht an support@streammeet.de. Wir können einen Nachweis Ihrer Identität verlangen, wenn wir begründete Zweifel haben. Für Daten, die wir im Auftrag eines Geschäftskunden verarbeiten (Abschnitte 5b und 12), wenden Sie sich bitte an ihn; wir unterstützen ihn dabei. Für Ihr Host-Konto sind wir selbst Ihr Ansprechpartner (Abschnitt 5a).

Konto und Daten selbst löschen: Als Inhaberin oder Inhaber des Kundenkontos können Sie die Löschung im Kundencenter unter „Konto und Sicherheit“ selbst auslösen, sobald kein Vertrag, keine Testphase und keine Lizenz mehr läuft. Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten aufbewahren müssen (insbesondere § 147 AO, § 257 HGB: Vertragsunterlagen, Handels- und Geschäftsbriefe sechs Jahre, Rechnungen und Buchungsbelege acht Jahre, die wir zehn Jahre aufbewahren), löschen wir dann nicht sofort, sondern sperren sie bis zum Ende der Frist (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO). Danach löschen wir die Vertragsunterlagen automatisch und die Rechnungen nach der monatlichen Erinnerung (Abschnitt 7). Alle übrigen Daten löschen wir sofort.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

17. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Datenschutz-Aufsichtsbehörde des Landes, in dem wir unseren Sitz haben.

18. Automatische Freigabe, keine Werbung, kein KI-Training

Bestellungen und Anfragen einer kostenlosen Testphase gibt unsere Software automatisch frei, wenn die technischen Prüfungen bestehen: Die Mandanten-Kennung ist frei, das Konto ist nicht gesperrt, und das Lizenzsystem nimmt die Lizenz an. Damit entsprechen wir nur Ihrem Antrag. Abgelehnt wird nie automatisch: Besteht eine Prüfung nicht, entscheidet ein Mensch. Andere ausschließlich automatisierte Entscheidungen im Sinne des Art. 22 DSGVO treffen wir nicht, und wir bilden keine Profile. Wir nutzen Ihre Daten nicht für Werbung und verwenden weder Ihre Daten noch Inhalte aus Online-Terminen zum Training von Modellen künstlicher Intelligenz.

19. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Passwörter für das Kundencenter und die Host-Konten speichern wir nur als Hashwert, Schlüssel für die Schnittstelle nur als Hashwert, Datensicherungen nur verschlüsselt. Raumpasswörter speichern wir als Hashwert; für Meetings aus dem Kundencenter und dem Host-Bereich zusätzlich verschlüsselt, damit sie in der Einladung stehen und wieder angezeigt werden können. Die E-Mail mit dem Kalendereintrag an den Host kann ein solches Raumpasswort enthalten. Ein Raumpasswort, das ein Buchungssystem setzt, liegt bei uns nur als Hashwert vor. Den Zugriff auf die Systeme haben nur wir selbst. Die Maßnahmen im Einzelnen beschreibt Anlage 2 unseres Vertrags über die Auftragsverarbeitung.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung; über wesentliche Änderungen informieren wir unsere Kunden per E-Mail. Diese Erklärung gibt es auf Deutsch und Englisch; maßgeblich ist die deutsche Fassung, die englische Fassung dient der Information.

Fassung 1.7.5 vom 2026-11-06