Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf zwik.app ist:

Zwik, ein Handelsname der Vermetis Consulting, einem Einzelunternehmen, Inhaber Robbert Hummelink
Perzikbloesem 38, 7006 MS Doetinchem, Niederlande
E-Mail für Datenschutzfragen: [email protected] · allgemein: [email protected]

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine gesetzliche Pflicht besteht.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

• Als Verantwortlicher verarbeiten wir die Daten, die wir selbst für Zwik brauchen: Besuche auf zwik.app, Konten von Teammitgliedern, Anmeldung, Abo, Zahlung, Rechnungen, Support und Sicherheit. Dafür gilt diese Datenschutzerklärung.
• Als Auftragsverarbeiter verarbeiten wir die Inhalte, die ein Podcast-Team in Zwik einträgt, etwa Gäste, Werbekunden, Kontakte, Ablaufpläne, E-Mails an Gäste und die Inhalte der öffentlichen Podcast-Website. Verantwortlich dafür ist das jeweilige Podcast-Team. Wir handeln nach dessen Weisung auf Grundlage des AV-Vertrags. Fragen zu diesen Daten richten Sie bitte zuerst an das Podcast-Team; wir leiten Anfragen, die bei uns eingehen, weiter.

3. Welche Daten wir wofür verarbeiten

3.1 Aufruf von zwik.app und der Podcast-Adressen

Beim Aufruf jeder Seite verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent). Der Datenverkehr läuft über Cloudflare (Abschnitt 5), das die Verbindung verschlüsselt und Angriffe abwehrt.

• Zweck: Auslieferung der Website, Stabilität, Erkennung und Abwehr von Angriffen und Missbrauch
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Dienst
• Speicherdauer: Server-Logs höchstens 14 Tage, länger nur, wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss

3.2 Registrierung und Konto

Bei der Registrierung und in Ihrem Konto verarbeiten wir: Name, optional Benutzername, E-Mail-Adresse, Passwort (nur als Hash), Rolle, zugehöriger Podcast, Kundentyp (privat oder geschäftlich), Land, bei Geschäftskunden Firmenname und USt-IdNr., Sprache.

• Zweck: Anlegen und Führen des Kontos, Testzeitraum, Erbringung von Zwik
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen)
• Speicherdauer: bis zur Löschung des Kontos bzw. des Podcasts; Einzelheiten in Abschnitt 7

3.3 Anmeldung, Sitzung und Zwei-Faktor-Anmeldung

Wir verarbeiten Anmeldedaten, Sitzungskennungen und – wenn Sie die Zwei-Faktor-Anmeldung einschalten – das verschlüsselt gespeicherte Geheimnis Ihrer Authenticator-App und gehashte Ersatzcodes. Einen Link zum Setzen eines neuen Passworts senden wir per E-Mail; er gilt eine Stunde.

• Zweck: sichere Anmeldung, Schutz vor unbefugtem Zugriff
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO
• Speicherdauer: Sitzungen höchstens 14 Tage; Ersatzcodes, bis Sie sie verwenden oder die Zwei-Faktor-Anmeldung ausschalten

3.4 Abo, Zahlung und Rechnungen

Für ein kostenpflichtiges Abo verarbeiten wir Paket, Extras, Abrechnungsperiode, Beträge, Rechnungen, Zahlungsstatus, eine Kennung des Mandats bei Mollie sowie die Art des Zahlungsmittels mit gekürzter Angabe (z. B. letzte vier Ziffern der Karte). Vollständige Kartennummern speichern wir nicht. Bei Verbrauchern speichern wir außerdem, ob und wann Sie verlangt haben, dass wir vor Ablauf der Widerrufsfrist beginnen, sowie Widerrufe und Kündigungen mit Datum und Uhrzeit.

Die Zahlung wickelt Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Mollie verarbeitet Ihre Zahlungsdaten als eigener Verantwortlicher, soweit Mollie gesetzliche Pflichten als Zahlungsinstitut erfüllt (z. B. Geldwäscheprävention, Betrugsabwehr); es gilt zusätzlich die Datenschutzerklärung von Mollie: https://www.mollie.com/legal/privacy.

• Zweck: Vertragsabwicklung, Abrechnung, Nachweis von Bestellung, Widerruf und Kündigung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Buchhaltung und Steuern Art. 6 Abs. 1 lit. c DSGVO; für Nachweise Art. 6 Abs. 1 lit. f DSGVO (Verteidigung von Rechtsansprüchen)
• Speicherdauer: Abschnitt 7

3.5 Umsatzsteuer und Prüfung der USt-IdNr.

Für die richtige Umsatzsteuer speichern wir Ihr Land, bei Geschäftskunden die USt-IdNr. und das Ergebnis der Prüfung im EU-System VIES einschließlich der Abfragenummer.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Pflichten)

3.6 E-Mails zum Konto

Wir senden Ihnen E-Mails, die zum Vertrag gehören: Willkommen, Einladung, Ende des Testzeitraums, Bestell-, Zahlungs-, Kündigungs- und Widerrufsbestätigung, Rechnungen, fehlgeschlagene Zahlung, Ende des Early-Bird-Preises, Passwort und technische Hinweise. Versand über Mailgun (Abschnitt 5). Werbe-Newsletter senden wir nicht.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; gesetzlich vorgeschriebene Bestätigungen Art. 6 Abs. 1 lit. c DSGVO

3.7 Kontakt und Support

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben und den Verlauf, um die Anfrage zu beantworten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f DSGVO (Beantwortung von Anfragen)
• Speicherdauer: in der Regel 24 Monate nach Abschluss der Anfrage, sofern keine längere Pflicht besteht

3.8 Plattformverwaltung

Plattformadministratoren von Zwik können die Inhalte eines Podcasts öffnen, ausschließlich für Support, Störungsbehebung, Missbrauchsabwehr und technische Wartung. Ein solcher Zugriff wird mit einem Cookie auf der Verwaltungsadresse für höchstens acht Stunden freigeschaltet. Inhalte werden dabei nicht für eigene Zwecke genutzt.

• Rechtsgrundlage: für Ihre Kontodaten Art. 6 Abs. 1 lit. f DSGVO; für Podcast-Inhalte im Rahmen des AV-Vertrags

3.9 Backups

Wir sichern die Daten jedes Podcasts täglich und bewahren die Sicherungen 12 Monate auf, damit ein Podcast nach einem Fehler wiederhergestellt werden kann. Zusätzlich legen wir jede Nacht eine verschlüsselte Kopie auf Google Drive ab (rclone crypt, 30 Kopien). Wir verschlüsseln vor dem Hochladen; der Schlüssel bleibt bei Zwik. Google Ireland Ltd. speichert nur diese verschlüsselte Kopie und kann die Inhalte nicht lesen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; für Podcast-Inhalte im Rahmen des AV-Vertrags

3.10 Meldungen rechtswidriger Inhalte

Wenn Sie uns einen Inhalt auf einer Podcast-Website melden, verarbeiten wir Ihre Meldung, Ihren Namen und Ihre E-Mail-Adresse, um sie zu prüfen, Ihnen den Eingang zu bestätigen und Sie über unsere Entscheidung zu informieren.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 Verordnung (EU) 2022/2065 (Digital Services Act)
• Speicherdauer: 12 Monate nach Abschluss

3.11 Öffentliche Podcast-Websites

Die Websites unter name.zwik.app oder einer eigenen Domain betreibt das jeweilige Podcast-Team; es ist dafür Verantwortlicher. Wir hosten sie als Auftragsverarbeiter (Server-Logs wie in 3.1). Hört ein Besucher eine Folge an, lädt sein Browser die Audiodatei direkt beim Podcast-Hoster des Teams; dieser erhält dabei die IP-Adresse.

4. Cookies und Speicherung auf Ihrem Gerät

Wir verwenden nur Cookies, die technisch unbedingt erforderlich sind, damit wir den von Ihnen ausdrücklich gewünschten Dienst bereitstellen können. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 11.7a Abs. 3 der niederländischen Telecommunicatiewet). Werbe-, Analyse- oder Tracking-Cookies setzen wir nicht, und wir binden keine Tracking-Dienste ein.

Rechtsgrundlage für die anschließende Verarbeitung: Art. 6 Abs. 1 lit. b und f DSGVO.

5. Empfänger und Dienstleister

Wir verkaufen keine Daten. Wir setzen folgende Dienstleister als Auftragsverarbeiter ein; sie sind vertraglich nach Art. 28 DSGVO an unsere Weisungen gebunden:

Außerdem: Mollie B.V. (Abschnitt 3.4) für Zahlungen und die niederländische Steuerverwaltung, soweit gesetzlich erforderlich (Art. 6 Abs. 1 lit. c DSGVO).

Innerhalb eines Podcasts sehen die Benutzer dieses Podcasts die Daten entsprechend ihrer Rolle. Podcasts sehen die Daten anderer Podcasts nicht.

6. Übermittlung in Drittländer

Die verschlüsselte nächtliche Sicherung liegt bei Google Ireland Ltd. in der EU. Google kann die Inhalte nicht lesen. Bei Cloudflare und bei Mailgun kann es zu Übermittlungen in die USA kommen. Diese Unternehmen sind nach dem EU-U.S. Data Privacy Framework zertifiziert; für die USA besteht insoweit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend haben wir mit ihnen Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie über [email protected].

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder eine gesetzliche Pflicht besteht.

• Konto und Podcast-Inhalte: für die Dauer des Vertrags. Nach Vertragsende bleiben sie mindestens 30 Tage lesbar und exportierbar; danach löschen wir sie 90 Tage nach Vertragsende. Nicht genutzte Testzugänge löschen wir 90 Tage nach Ende des Testzeitraums.
• Backups: 12 Monate im rollierenden Zyklus; gelöschte Daten verschwinden daher spätestens 12 Monate nach der Löschung auch aus den Backups. Die verschlüsselte Kopie auf Google Drive umfasst 30 Generationen. Backups werden nur zur Wiederherstellung genutzt.
• Rechnungen, Buchungsbelege und steuerlich relevante Daten: 7 Jahre nach der niederländischen Aufbewahrungspflicht (Art. 52 Algemene wet inzake rijksbelastingen). Aufzeichnungen zu Umsätzen, die wir über das EU-One-Stop-Shop-Verfahren (OSS) melden, also auch Umsätze mit Verbrauchern in Deutschland, bewahren wir 10 Jahre auf. Diese Daten sind in dieser Zeit für andere Zwecke gesperrt.
• Nachweise zu Bestellung, Zustimmung zum vorzeitigen Beginn, Widerruf und Kündigung: bis zum Ablauf der Verjährungsfristen, in der Regel drei Jahre ab Ende des Jahres, in dem der Vertrag endet.
• Sitzungen, Logs, Support, Meldungen: siehe Abschnitte 3.1 bis 3.10.
• Nachrichten an Gäste: bleiben beim Gast in Zwik, bis das Podcast-Team den Gast löscht.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung holen wir derzeit nicht ein; würden wir es tun, könnten Sie sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie an [email protected]. Wir können Sie bitten, Ihre Identität zu bestätigen.

Beschwerderecht. Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Aus Deutschland können Sie sich also an die Datenschutzbehörde Ihres Bundeslandes wenden (Übersicht: https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html). Weil wir nur in den Niederlanden niedergelassen sind, ist federführende Aufsichtsbehörde die Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, Niederlande, https://autoriteitpersoonsgegevens.nl; die Behörde, bei der Sie sich beschweren, arbeitet mit ihr zusammen.

9. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Für Registrierung und Abo brauchen wir die als Pflichtfeld markierten Angaben; ohne sie können wir keinen Vertrag schließen. Steuerliche Angaben sind gesetzlich vorgeschrieben. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

10. Sicherheit

Die Verbindung ist durchgehend verschlüsselt (TLS, HSTS). Passwörter und Ersatzcodes speichern wir nur als Hash, das Zwei-Faktor-Geheimnis verschlüsselt. Die Podcasts sind technisch voneinander getrennt. Der Serverzugang ist auf die Plattformverwaltung beschränkt. Weitere Maßnahmen stehen in Anlage 1 zum AV-Vertrag.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; wesentliche Änderungen teilen wir Kunden per E-Mail oder in Zwik mit.