Datenschutzerklärung

Informationen nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) · Stand: 3. August 2026

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten durch diese Website, den Discord-Bot „MXO Discord Bot“ samt Web-Dashboard, den Vertrieb von „MXO Live Studio“ und dessen Warteliste ist:

Die vollständigen Anbieterangaben stehen im Impressum.

Datenschutzbeauftragter

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt, und es findet keine Verarbeitung statt, die eine Datenschutz-Folgenabschätzung erfordert.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für vier voneinander getrennte Bereiche:

1. Diese Website. Sie besteht ausschließlich aus statischen Dateien, setzt keine Cookies, bindet keine externen Inhalte ein und hat kein Kontaktformular; die einzige Verarbeitung sind die Server-Logfiles beim Aufruf (Abschnitt 3).
2. MXO Discord Bot samt Web-Dashboard: der Bot verarbeitet auf den Discord-Servern, auf denen er eingeladen wurde, die für die dort aktivierten Module nötigen Daten (Abschnitte 6 bis 8).
3. MXO Live Studio: eine Anwendung, die auf Servern des Anbieters in einer eigenen Instanz je Kundin und Kunde läuft. Für die dabei verarbeiteten Zuschauerdaten ist der Anbieter Auftragsverarbeiter, nicht Verantwortlicher (Abschnitt 9).
4. Spiele-Arcade: Bestandteil von MXO Live Studio; sie läuft in derselben Instanz und ist von Abschnitt 9 mit abgedeckt. Für die Warteliste werden nur die E-Mail-Adressen verarbeitet, die freiwillig geschickt werden (Abschnitt 10).

3. Aufruf dieser Website

Beim Aufruf dieser Website werden durch den Server technisch notwendige Zugriffsdaten in Logdateien verarbeitet. Das lässt sich beim Betrieb einer Website nicht vermeiden. Erfasst werden insbesondere:

• die IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• Name und Adresse (URL) der abgerufenen Datei,
• die übertragene Datenmenge und die Meldung, ob der Abruf erfolgreich war,
• die zuvor besuchte Seite (Referrer), sofern der Browser sie übermittelt,
• Browsertyp und -version sowie das Betriebssystem des Geräts.

Zweck und Rechtsgrundlage: Die Verarbeitung dient der technisch fehlerfreien Auslieferung der Website, der Stabilität und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Werbezwecken findet nicht statt.

Speicherdauer: Die Logdateien werden nach sieben Tagen automatisch gelöscht. Eine längere Aufbewahrung einzelner Einträge kommt nur in Betracht, wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss; die betroffenen Daten werden dann bis zur endgültigen Klärung gespeichert.

Keine Cookies, keine Tracker, keine externen Ressourcen

Diese Website ist bewusst so gebaut, dass sie ohne Zutaten von Dritten auskommt. Konkret heißt das:

• Es werden keine Cookies gesetzt.
• Es sind keine Analyse-, Statistik- oder Trackingdienste eingebunden.
• Es werden keine externen Schriftarten, Skripte, Bilder oder Videos von fremden Servern nachgeladen. Alle Dateien liegen auf demselben Server wie die Website.
• Es sind keine Social-Media-Schaltflächen, Kartendienste oder Einbettungen vorhanden.
• Es gibt kein Kontaktformular und keine Anmeldung.

Weil dabei weder Informationen auf dem Endgerät gespeichert noch von dort ausgelesen werden, die nicht unbedingt erforderlich sind, ist nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) kein Einwilligungsbanner erforderlich. Sollten später Einbettungen, Schriftarten von Dritten oder Analysewerkzeuge ergänzt werden, muss dieser Abschnitt geändert und in aller Regel eine Einwilligung eingeholt werden.

Sprachwahl im Browserspeicher

Die Website gibt es auf Deutsch und Englisch. Wer den Sprachumschalter oben rechts aktiv anklickt, dessen Auswahl wird im lokalen Speicher des Browsers (localStorage) hinterlegt – gespeichert wird ausschließlich der Wert de oder en. Beim nächsten Aufruf der Einstiegsseite wird die zuletzt gewählte Sprache geöffnet. Ohne einen solchen Klick wird nichts gespeichert; die Einstiegsseite wertet dann lediglich die Spracheinstellung des Browsers aus, ohne sie zu speichern.

Dieser Eintrag enthält keine Kennung, mit der sich ein Gerät oder eine Person wiedererkennen ließe, und wird nicht an den Server oder an Dritte übertragen. Er dient allein dem ausdrücklich gewünschten Zweck, die gewählte Sprache zu merken, und ist damit nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Löschen lässt sich der Eintrag jederzeit über die Browsereinstellungen („Websitedaten löschen“).

Kontaktaufnahme per E-Mail

Wer per E-Mail schreibt, dessen Adresse und Nachricht werden zur Bearbeitung der Anfrage verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft oder auf dessen Abschluss zielt, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Die Nachrichten werden gelöscht, sobald sie nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Abschnitt 13). Bitte beachten Sie, dass unverschlüsselte E-Mails auf dem Transportweg mitgelesen werden können.

4. Hosting

Diese Website wird nicht auf eigener Hardware betrieben, sondern auf einem gemieteten Server. Anbieter und Standort: Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Zypern; Serverstandort Frankfurt am Main, Deutschland.

Der Hosting-Anbieter verarbeitet die in Abschnitt 3 genannten Zugriffsdaten in unserem Auftrag. Dafür ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO erforderlich: Ein Auftragsverarbeitungsvertrag besteht auf Grundlage des Data Processing Addendum in den Nutzungsbedingungen des Anbieters.

Der Discord-Bot und das Web-Dashboard laufen ebenfalls auf einem gemieteten Server: Frankfurt am Main, Deutschland (Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Zypern) – ebenso die Kundeninstanzen von MXO Live Studio.

5. Kundenkonto und Zugang zu den Anwendungen

Für ein Abonnement wird ein Konto benötigt. Die Anmeldung erfolgt über Discord; der Anbieter erhält dabei die Discord-Kennung, den Anzeigenamen und – sofern bei Discord hinterlegt und freigegeben – die E-Mail-Adresse. Ein eigenes Passwort wird nicht vergeben und nicht gespeichert.

Verarbeitet werden ferner der Abo-Status, die Kennungen des Zahlungsvorgangs bei Stripe und der Zeitpunkt, zu dem dem sofortigen Beginn der Leistung zugestimmt wurde. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie für die Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung).

Der Zugang zu einer Instanz erfolgt über persönliche Adressen, die einen geheimen Bestandteil enthalten. Sie werden erzeugt, wenn die Instanz angelegt wird, und auf Anfrage erneuert. Zugriffe auf eine Instanz werden protokolliert (Zeitpunkt, gekürzte IP-Adresse, aufgerufener Pfad) und nach spätestens 14 Tagen gelöscht; Zweck ist die Erkennung von Störungen und unbefugten Zugriffen, Grundlage Art. 6 Abs. 1 lit. f DSGVO.

Für einen Download ist all das nicht nötig, weil keine Programmdateien mehr angeboten werden: Die Anwendungen laufen auf Servern des Anbieters (Abschnitt 9).

6. MXO Discord Bot – welche Daten verarbeitet werden

Der Bot verarbeitet ausschließlich Daten, die für die auf dem jeweiligen Discord-Server aktivierten Module erforderlich sind. Discord-Kennungen (IDs) sind pseudonyme Kennungen; sie gelten dennoch als personenbezogene Daten im Sinne der DSGVO, weil sich über sie ein Bezug zu einer Person herstellen lässt.

Herkunft der Daten

Die Daten stammen nicht aus einer direkten Eingabe beim Anbieter, sondern aus der Nutzung des jeweiligen Discord-Servers: Der Bot erhält sie über die Schnittstelle von Discord, wenn Personen Nachrichten schreiben, Befehle ausführen, auf Schaltflächen klicken oder einem Server beitreten (Angabe zur Herkunft nach Art. 14 Abs. 2 lit. f DSGVO). Bei Live-Benachrichtigungen kommen zusätzlich öffentlich abrufbare Statusinformationen der eingetragenen Kanäle von Twitch, YouTube, Kick und TikTok hinzu.

Datenkategorien im Überblick

Nachrichteninhalte

Nachrichten werden nur so weit ausgewertet, wie es die aktivierten Funktionen erfordern – etwa für den Wortfilter, die Erkennung von Einladungslinks, den Spam-Schutz oder die Vergabe von XP. Vollständige Chatverläufe werden nicht gespeichert. Davon gibt es genau zwei Ausnahmen:

• Ticket-Transkripte: Wenn ein Server die Premium-Funktion aktiviert, wird der Verlauf eines Ticket-Kanals beim Schließen als Transkript gesichert. Diese Entscheidung trifft der jeweilige Serverbetreiber, nicht der Anbieter – siehe den folgenden Absatz zur Verantwortlichkeit.
• Auto-Mod-Treffer: Löst eine Nachricht einen Filter aus, wird ein kurzer Auszug davon zusammen mit dem Moderationsfall im Mod-Log festgehalten, damit Moderatoren die Maßnahme nachvollziehen können.

Zwecke und Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Bereitstellung der vom jeweiligen Server gewünschten Bot-Funktionen, Betrieb des Web-Dashboards und Abwicklung eines Premium-Abonnements.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen): Betriebs- und Ausfallsicherheit, Missbrauchs- und Spam-Abwehr, Schutz vor automatisierten Beitritten (Verifizierung), Fehleranalyse und Durchsetzung der Nutzungsbedingungen. Das berechtigte Interesse liegt im sicheren, störungsfreien Betrieb des Dienstes und im Schutz der Server-Gemeinschaften.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): für freiwillige Angaben, insbesondere das selbst eingetragene Geburtsdatum. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, zum Beispiel durch Löschen des Eintrags über den entsprechenden Befehl.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten bei Zahlungsvorgängen.

Rolle der Serverbetreiber

Welche Module auf einem Discord-Server laufen, entscheiden dessen Administratorinnen und Administratoren. Sie legen damit fest, welche Daten überhaupt anfallen – etwa ob Ticket-Transkripte gespeichert werden, welche Wörter der Auto-Mod filtert oder wie lange Moderationsfälle sichtbar bleiben. Der Serverbetreiber ist insoweit für seinen Server mitverantwortlich; der Anbieter stellt lediglich die technische Funktion bereit.

Pflicht zur Bereitstellung und Mindestalter

Niemand ist verpflichtet, Daten bereitzustellen. Wer den Bot nicht nutzt, wird auch nicht erfasst – abgesehen von Daten, die zwangsläufig anfallen, wenn eine Nachricht in einem Kanal geschrieben wird, in dem ein Modul aktiv ist. Ohne bestimmte Angaben funktionieren einzelne Funktionen allerdings nicht, etwa das Geburtstags-Modul ohne Geburtsdatum.

Der Zugang zu Discord setzt ein Mindestalter voraus; maßgeblich sind insoweit die Nutzungsbedingungen von Discord. Der Bot ist nicht darauf ausgelegt, gezielt Daten von Kindern zu verarbeiten. Wird bekannt, dass Daten einer Person verarbeitet werden, für die eine wirksame Einwilligung nach Art. 8 DSGVO fehlt, werden diese Daten gelöscht.

7. Web-Dashboard und Discord-Login (OAuth2)

Die Konfiguration des Bots erfolgt in einem Web-Dashboard. Die Anmeldung dort läuft ausschließlich über die OAuth2-Schnittstelle von Discord – es wird kein eigenes Passwort vergeben und keines gespeichert.

Bei der Anmeldung übermittelt Discord an das Dashboard insbesondere die Discord-Nutzer-ID, den Benutzer- beziehungsweise Anzeigenamen, die Adresse des Profilbilds sowie die Liste der Discord-Server, auf denen die anmeldende Person Verwaltungsrechte besitzt. Diese Angaben sind nötig, um zu prüfen, welche Server jemand konfigurieren darf. identify und guilds

Für die Anmeldung wird ein technisch notwendiges Sitzungs-Cookie gesetzt. Es dient allein dazu, die Anmeldung während der Sitzung aufrechtzuerhalten, und wird weder für Analyse noch für Werbung genutzt. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; das Speichern des Cookies auf dem Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil es für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die Sitzung endet mit dem Abmelden oder nach sieben Tagen ohne Aktivität.

Für die Verarbeitung durch Discord selbst ist Discord verantwortlich. Deren Datenschutzerklärung: discord.com/privacy

8. Zahlungsabwicklung

Premium-Abonnement des Discord-Bots

Das Premium-Abonnement (2,99 € pro Monat und Server) wird über den Zahlungsdienstleister Stripe abgewickelt. Zahlungsdaten wie Kreditkartennummern werden ausschließlich bei Stripe eingegeben und dort verarbeitet; der Anbieter erhält keinen Zugriff auf vollständige Zahlungsdaten. Beim Anbieter gespeichert werden lediglich die Kennung des Abonnements, der Premium-Status samt Laufzeit und die Zuordnung zum jeweiligen Discord-Server.

Anbieter ist Stripe (für Kundinnen und Kunden im Europäischen Wirtschaftsraum in der Regel Stripe Payments Europe, Ltd.; Konzernmutter ist Stripe, Inc. in den Vereinigten Staaten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und für die Aufbewahrung von Rechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO. Datenschutzerklärung von Stripe: stripe.com/de/privacy

Abonnement für MXO Live Studio

Auch dieses Abonnement wird über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland abgewickelt. Zahlungsdaten werden unmittelbar beim Zahlungsdienstleister eingegeben und verarbeitet. Beim Anbieter fallen die für Vertragsabwicklung und Buchhaltung nötigen Angaben an – Name, Rechnungsanschrift, Beginn und Laufzeit des Abonnements, die monatlichen Beträge und die Kennungen der Zahlungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

9. MXO Live Studio

Die Anwendung läuft auf Servern des Anbieters. Jede Kundin und jeder Kunde erhält eine eigene Instanz mit eigenem Datenbestand; die Instanzen sind technisch voneinander getrennt und können einander nicht erreichen. Die Bedienung erfolgt im Browser über persönliche Adressen, die wie ein Passwort wirken.

9.1 Zwei Rollen, sauber getrennt

Bei diesen Produkten treffen zwei unterschiedliche Verarbeitungen aufeinander. Wer wofür verantwortlich ist, richtet sich danach, wessen Daten verarbeitet werden:

9.2 Auftragsverarbeitung nach Art. 28 DSGVO

Für die Zuschauerdaten verarbeitet der Anbieter ausschließlich nach Weisung der Kundin oder des Kunden. Der Vertrag über die Auftragsverarbeitung kommt mit dem Abonnement zustande; sein Inhalt steht in der Vereinbarung zur Auftragsverarbeitung und umfasst insbesondere:

• Verarbeitung nur zu dem Zweck, die Anwendung bereitzustellen – keine eigenen Zwecke, keine Auswertung, keine Weitergabe, kein Training von KI-Modellen.
• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – im Einzelnen in Abschnitt 14.
• Unterstützung bei Auskunft, Berichtigung und Löschung: Der Anbieter kann auf Weisung Daten aus der Instanz herausgeben oder löschen.
• Löschung nach Vertragsende: Die Daten bleiben 30 Tage abrufbar, damit eine Ausleitung möglich ist, und werden danach gelöscht – auch aus den Sicherungen spätestens nach weiteren 30 Tagen.
• Unterauftragsverarbeiter nur mit vorheriger Information und Widerspruchsmöglichkeit; die aktuelle Liste steht in Abschnitt 11.

9.3 Welche Daten die Anwendung entgegennimmt

Die Instanz verbindet sich im Auftrag der Kundin oder des Kunden mit TikTok LIVE und Twitch und empfängt von dort in Echtzeit Chatnachrichten, Geschenke, Follows, Likes, Shares, Abos, Bits und die Zuschauerzahl. Für die Verarbeitung durch TikTok und Twitch gelten deren eigene Datenschutzerklärungen.

9.4 Dienste, die dabei angesprochen werden

Je nachdem, welche Funktionen die Kundin oder der Kunde einschaltet, ruft die Instanz weitere Dienste auf. Ohne die jeweilige Funktion findet der Aufruf nicht statt:

• Signaturdienst für TikTok (tiktok.eulerstream.com): notwendig, um die Verbindung zu einem TikTok-Livestream aufzubauen. Übermittelt wird der TikTok-Name des eigenen Kanals – keine Zuschauerdaten.
• Vorlesestimme: Ist die Vorlesefunktion eingeschaltet, wird der vorzulesende Text an den gewählten Dienst übermittelt – je nach Einstellung an Google (translate.google.com) oder an ElevenLabs. Dieser Text kann Anzeigenamen und Chatnachrichten von Zuschauern enthalten. Wer das nicht möchte, schaltet die Vorlesefunktion aus oder wählt die Browserstimme, die ohne Übermittlung auskommt.
• Profilbilder und Emotes: Overlays laden Twitch-Profilbilder über unavatar.io und Twitch-Emotes von static-cdn.jtvnw.net. Diese Aufrufe stellt der anzeigende Browser her, nicht der Server; übermittelt werden der Benutzername beziehungsweise die Emote-Kennung.

10. MXO Live Studio – Warteliste

MXO Live Studio ist noch nicht käuflich. Es gibt weder ein Anmeldeformular noch eine Datenbank für Interessenten. Wer benachrichtigt werden möchte, schreibt eine E-Mail an die auf der Produktseite genannte Adresse (kontakt@mxomedia.online).

• Verarbeitete Daten: die Absenderadresse und der Inhalt der E-Mail.
• Zweck: eine einmalige Benachrichtigung, sobald die Software erscheint. Es gibt keinen Newsletter, keine weiteren Werbe-E-Mails und keine Weitergabe der Adresse an Dritte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – die Einwilligung wird durch das Absenden der E-Mail mit dem entsprechenden Betreff erteilt; soweit die Anfrage auf einen späteren Vertragsschluss zielt, zusätzlich Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).
• Löschung: Die Adresse wird gelöscht, sobald die Benachrichtigung versendet wurde – spätestens jedoch, wenn das Vorhaben aufgegeben wird.
• Widerruf: Die Einwilligung kann jederzeit formlos widerrufen werden, etwa mit einer kurzen E-Mail an kontakt@mxomedia.online. Die Adresse wird dann umgehend gelöscht. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Die E-Mail wird technisch über den E-Mail-Anbieter des Anbieters empfangen und dort gespeichert (siehe Abschnitt 11).

11. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur weitergegeben, soweit das für den Betrieb erforderlich ist. Ein Verkauf von Daten oder eine Weitergabe zu Werbezwecken findet nicht statt. Ebenso wenig werden Daten zum Training von KI-Modellen verwendet.

Die mit Unterauftragsverarbeiter gekennzeichneten Empfänger sind zugleich Unterauftragsverarbeiter im Sinne der Vereinbarung zur Auftragsverarbeitung. Darüber hinaus können Daten an Behörden weitergegeben werden, soweit dazu eine gesetzliche Verpflichtung besteht.

12. Übermittlung in Drittländer

Einige der eingesetzten Dienste – insbesondere Discord und die Zahlungsdienstleister – haben ihren Sitz oder Konzernverbindungen in den Vereinigten Staaten. Dabei kann es zu einer Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums kommen.

Zulässig ist das nur unter den Voraussetzungen der Art. 44 ff. DSGVO. In Betracht kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO (für zertifizierte US-Unternehmen das EU-US Data Privacy Framework) sowie Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen.

Welche Grundlage bei welchem Empfänger greift, steht in der Tabelle in Abschnitt 11 – Empfänger für Empfänger. Discord Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; für Stripe, EulerStream sowie Google beziehungsweise ElevenLabs stützt sich die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Ehrlicherweise gehört dazu der Hinweis, dass in Drittländern ein Schutzniveau bestehen kann, das dem der DSGVO nicht in jeder Hinsicht entspricht – etwa hinsichtlich der Zugriffsmöglichkeiten staatlicher Stellen und der Rechtsschutzmöglichkeiten dagegen.

13. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Einzelnen:

• Server-Logfiles der Website und der Downloads: Sie werden nach sieben Tagen automatisch gelöscht.
• Sprachwahl im Browserspeicher: verbleibt auf dem eigenen Gerät, bis sie dort gelöscht wird; der Anbieter hat darauf keinen Zugriff.
• Konfigurationsdaten eines Discord-Servers: so lange, wie der Bot Mitglied dieses Servers ist. Nach dem Entfernen des Bots: Die Daten werden nach 30 Tagen automatisch und vollständig gelöscht. Wird der Bot innerhalb dieser Frist wieder hinzugefügt, bleiben sie erhalten; die Frist ist im Dashboard zwischen 0 und 365 Tagen einstellbar.
• XP-Stände, Wirtschaftsdaten und Ranglisten: bis sie von den Serveradministratoren zurückgesetzt, auf Anfrage gelöscht werden oder der Bot den Server verlässt.
• Moderationsfälle und Auto-Mod-Auszüge: so lange, wie sie für die Moderationshistorie des Servers benötigt werden – eine automatische Löschfrist besteht nicht. Die Serveradministration kann einzelne Einträge entfernen; betroffene Personen können die Löschung verlangen. Von der Selbstbedienungs-Löschung sind sie ausgenommen, weil der Server sie nach Art. 17 Abs. 3 DSGVO aufbewahren darf.
• Ticket-Metadaten und Transkripte: so lange, wie der Server sie benötigt; die Löschung erfolgt durch die Serveradministration oder auf Anfrage. Über die Aktivierung der Transkripte entscheidet der jeweilige Server.
• Freiwillig eingetragenes Geburtsdatum: bis die betroffene Person es selbst wieder entfernt oder die Einwilligung widerruft.
• Sitzungsdaten des Dashboards: bis zum Abmelden beziehungsweise spätestens sieben Tage nach der Anmeldung.
• Betriebs- und Fehlerprotokolle: Sie werden nach sieben Tagen automatisch gelöscht.
• E-Mails der Warteliste: bis zur einmaligen Benachrichtigung oder bis zum Widerruf.
• Sonstige E-Mail-Korrespondenz: bis die Anfrage abschließend bearbeitet ist, sofern keine Aufbewahrungspflicht besteht.
• Zahlungs- und Rechnungsunterlagen: entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen – nach § 257 HGB und § 147 AO in der Regel sechs beziehungsweise zehn Jahre. Diese Daten werden für die Dauer der Frist in der Verarbeitung eingeschränkt und danach gelöscht.

Daten in den Instanzen von MXO Live Studio werden nach Weisung der Kundin oder des Kunden verarbeitet und nach dem Ende des Abonnements gelöscht: nach 30 Tagen aus der Instanz, spätestens nach weiteren 30 Tagen auch aus den Sicherungen (Abschnitt 9.2).

14. Rechte der betroffenen Person

Gegenüber dem Verantwortlichen bestehen die folgenden Rechte. Die Ausübung ist grundsätzlich kostenlos und formlos möglich; eine Begründung ist – außer beim Widerspruchsrecht – nicht nötig.

• Auskunft (Art. 15 DSGVO): Sie können erfahren, ob und welche Daten zu Ihrer Person verarbeitet werden, zu welchem Zweck, wie lange und an wen sie weitergegeben werden – und eine Kopie dieser Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen korrigiert, unvollständige ergänzt werden.
• Löschung (Art. 17 DSGVO): Daten müssen gelöscht werden, wenn sie nicht mehr benötigt werden, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war – soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Statt zu löschen, können Daten „eingefroren“ werden, etwa während geprüft wird, ob sie richtig sind.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie selbst bereitgestellt haben und die auf Einwilligung oder Vertrag beruhen, können Sie in einem gängigen, maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übertragen lassen.
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Danach wird die Verarbeitung beendet, sofern keine zwingenden schutzwürdigen Gründe überwiegen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung – etwa für das Geburtsdatum oder die Warteliste – kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Unabhängig von allem anderen können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Zuständige Aufsichtsbehörde: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden, www.datenschutz.sachsen.de. Sie können sich unabhängig davon an jede Aufsichtsbehörde wenden, insbesondere an die Ihres gewöhnlichen Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes.

15. Kontakt für Auskunfts- und Löschanfragen

Anfragen zu gespeicherten Daten, zur Löschung, zum Widerspruch oder zum Widerruf einer Einwilligung richten Sie bitte an:

Damit die Daten zugeordnet werden können, geben Sie bitte an, worum es geht:

• beim Discord-Bot: die eigene Discord-Nutzer-ID und die Server-ID beziehungsweise den Servernamen,
• beim Premium-Abonnement: die Server-ID und – falls vorhanden – die Rechnungsnummer,
• bei der Warteliste: die E-Mail-Adresse, mit der geschrieben wurde.

Die Antwort erfolgt unverzüglich, spätestens innerhalb eines Monats nach Eingang der Anfrage (Art. 12 Abs. 3 DSGVO). Ist eine Anfrage besonders aufwendig, kann diese Frist um bis zu zwei weitere Monate verlängert werden; darüber wird dann innerhalb des ersten Monats informiert. Da es sich um ein privat betriebenes Projekt handelt, kann keine Reaktion innerhalb weniger Stunden zugesichert werden – die gesetzlichen Fristen werden aber eingehalten.

Für die Zuschauerdaten in einer Instanz von MXO Live Studio ist die Streamerin oder der Streamer Verantwortlicher, nicht der Anbieter (Abschnitt 9.1). Solche Anfragen richten sich an diese Person. Der Anbieter darf sie als Auftragsverarbeiter nicht selbst beantworten, unterstützt die verantwortliche Person aber unverzüglich dabei.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne des Art. 22 Abs. 1 und 4 DSGVO – also eine ausschließlich automatisiert getroffene Entscheidung, die rechtliche Wirkung entfaltet oder eine Person in ähnlicher Weise erheblich beeinträchtigt – findet nicht statt. Es werden keine Werbe- oder Persönlichkeitsprofile gebildet, keine Bonität bewertet und keine Daten für Marketingzwecke ausgewertet.

Zur Einordnung zweier Funktionen, die automatisch arbeiten:

• Level- und XP-Stände werden zwar automatisch berechnet, führen aber nur zu einer Zahl und gegebenenfalls zu einer Rolle innerhalb des jeweiligen Discord-Servers. Damit ist keine Bewertung persönlicher Merkmale und keine Entscheidung mit rechtlicher Wirkung verbunden; Art. 22 DSGVO greift nach hiesiger Einschätzung nicht.
• Auto-Mod reagiert automatisch auf konfigurierte Auslöser, etwa durch das Löschen einer Nachricht oder einen zeitlich begrenzten Timeout. Diese Reaktionen wirken ausschließlich innerhalb des jeweiligen Discord-Servers, werden von dessen Administratoren festgelegt und können von den Moderatoren jederzeit aufgehoben werden. Eine rechtliche Wirkung gegenüber der betroffenen Person entfalten sie nicht.

17. Datensicherheit

Diese Website und das Web-Dashboard werden über eine verschlüsselte Verbindung (TLS/HTTPS) ausgeliefert; erkennbar am Schloss-Symbol in der Adresszeile des Browsers. Der Zugang zum Server, zur Datenbank des Bots und zum Dashboard ist auf berechtigte Personen beschränkt; die Konfiguration eines Servers kann im Dashboard nur ändern, wer auf diesem Discord-Server Verwaltungsrechte besitzt.

Der Server ist ausschließlich per SSH-Schlüssel zugänglich; die Passwort-Anmeldung ist abgeschaltet. Eine Firewall lässt eingehend nur die Ports 22, 80 und 443 zu; die Verwaltungsoberflächen der Werkzeuge sind von außen nicht erreichbar. Der übertragene Datenverkehr ist durchgängig per TLS verschlüsselt (HTTPS mit automatischer Zertifikatserneuerung). Die Dienste laufen unter einem eigenen Systembenutzer ohne Anmeldeschale und mit eingeschränkten Schreibrechten. Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt. Von der Bot-Datenbank wird täglich eine Sicherung angelegt und 14 Tage aufbewahrt; Systemprotokolle werden nach sieben Tagen gelöscht.

Vollständige Sicherheit kann bei der Übertragung von Daten über das Internet niemand zusichern. Auch eine ununterbrochene Verfügbarkeit wird nicht garantiert. Die Maßnahmen werden entsprechend der technischen Entwicklung angepasst.

18. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich der Funktionsumfang der Produkte, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Änderung steht oben unter der Überschrift.

Bei wesentlichen Änderungen, die bestehende Verarbeitungen betreffen, wird zusätzlich dort informiert, wo die Betroffenen erreichbar sind – etwa über einen Hinweis im Dashboard oder im Support-Server.

Weitere Rechtstexte

• Impressum
• Allgemeine Geschäftsbedingungen
• Widerrufsbelehrung und Muster-Widerrufsformular
• Vereinbarung zur Auftragsverarbeitung (AVV)