Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

XSTNT – MEDIA, Inhaber Lucas Brauer
Chemnitzer Str. 60, 08393 Meerane, Deutschland
E-Mail: hi@xstnt.media · Telefon: 0151 / 56013731

Weitere Angaben finden Sie im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt, da hierzu keine gesetzliche Pflicht besteht (§ 38 Abs. 1 BDSG). Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an hi@xstnt.media.

Diese Datenschutzerklärung gilt für die Anwendung unter xstnt.app (im Folgenden „Anwendung“), mit der XSTNT – MEDIA Aufträge mit seinen Kunden abwickelt. Von außen erreichbar sind der Kundenbereich unserer Kunden, Downloadbereiche, Downloadlinks zu einzelnen Dateien, Videomeetings und die Anmeldung für unser Team. Daneben verwalten wir in der Anwendung Kunden-, Projekt- und Akquisedaten.

Für unsere Website xstnt.media gilt deren eigene Datenschutzerklärung.

Kurzübersicht – Einzelheiten in den folgenden Abschnitten:

Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein, erstellen keine Nutzungsprofile und verkaufen keine Daten.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – zur Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage;
• Art. 6 Abs. 1 lit. c DSGVO – zur Erfüllung rechtlicher Pflichten, insbesondere der handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO);
• Art. 6 Abs. 1 lit. f DSGVO – zur Wahrung unserer berechtigten Interessen, sofern nicht Ihre Interessen oder Grundrechte überwiegen. Welche Interessen das sind, nennen wir bei der jeweiligen Verarbeitung. Dagegen können Sie Widerspruch einlegen (Abschnitt 23);
• Art. 6 Abs. 1 lit. a DSGVO – auf Grundlage einer Einwilligung. In der Anwendung holen wir derzeit keine Einwilligungen ein.

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), siehe Abschnitt 18.

Die Anwendung wird bei der Hostinger International Ltd. (Zypern) auf Servern in Frankfurt am Main betrieben und über deren Netzwerk ausgeliefert. Bei jedem Aufruf verarbeitet der Hoster technisch bedingt die Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge und Statuscode, Browsertyp und -version, Betriebssystem sowie die zuvor besuchte Seite (Referrer).

Zweck und Rechtsgrundlage: Auslieferung der Anwendung, Gewährleistung von Stabilität und Sicherheit, insbesondere die Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Wir selbst werten diese Daten nicht aus, führen sie nicht mit anderen Daten zusammen und speichern die IP-Adressen von Besuchern nicht in unserer Datenbank – mit einer Ausnahme: beim elektronischen Unterschreiben als Teil des Nachweises (Abschnitt 11).

Direkt ausgelieferte Dateien: Videos, Bilder und Dokumente werden über zeitlich begrenzte, signierte Adressen direkt aus unserem Speicher bei der Hetzner Online GmbH (Falkenstein) an Ihren Browser übertragen, hochgeladene Dateien und Logos direkt aus bzw. in unseren Speicher bei Supabase (Server in Frankfurt am Main). Dabei erhalten diese Dienstleister technisch bedingt Ihre IP-Adresse und die Angaben Ihres Browsers; sie verarbeiten sie ausschließlich in unserem Auftrag (Abschnitt 19).

Speicherdauer: Die Protokolle werden beim Hoster nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist, und anschließend gelöscht.

Unsere Kunden erhalten einen persönlichen Kundenbereich (xstnt.app/kunde/…), erreichbar über einen persönlichen Link und eine sechsstellige PIN.

• Zugang: Nach Eingabe der richtigen PIN speichern wir in Ihrem Browser ein Cookie mit einem zufälligen Zugangsschlüssel. Es gilt bis zum Schließen des Browsers; wählen Sie „Auf diesem Gerät angemeldet bleiben“, 30 Tage, damit Sie die PIN nicht bei jedem Besuch eingeben müssen (Abschnitt 18). Fehlversuche zählen wir je Kundenbereich, nicht je Person oder IP-Adresse; nach fünf Fehlversuchen wird der Zugang vorübergehend gesperrt.
• Inhalte: Projektstand, Termine, Aufgaben, Vermerke, Dateien sowie Videos und Bilder zur Abstimmung, die wir für Sie bereitstellen.
• Ihre Eingaben: Hinterlassen Sie Anmerkungen oder Wünsche, kommentieren Sie Videos und Bilder, haken Sie Aufgaben ab, laden Sie Dateien hoch, hinterlegen Sie Links, geben Sie Fassungen frei oder nehmen Sie Projekte ab, speichern wir den Inhalt, den dabei angegebenen Namen und den Zeitpunkt. Ihr Name bleibt nur dann in Ihrem Browser gespeichert, wenn Sie „Namen auf diesem Gerät merken“ wählen.
• Besuche: Wir speichern, wann und wie oft der Kundenbereich geöffnet wurde – je Kundenbereich, nicht je Person –, um anzeigen zu können, was seit dem letzten Besuch neu ist.

Zweck und Rechtsgrundlage: Durchführung des Auftrags und Abstimmung mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO gegenüber unserem Vertragspartner). Soweit Sie als Ansprechpartner oder Mitarbeitende eines Unternehmens handeln, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Zusammenarbeit mit Ihrem Unternehmen. Den Namen bei Freigaben und Abnahmen benötigen wir, damit nachvollziehbar bleibt, wer entschieden hat.

Speicherdauer: Abschnitt 21.

Ein Downloadbereich (xstnt.app/download/…) stellt freigegebene Dateien zum Herunterladen bereit, etwa für das Social-Media-Team eines Kunden. Er ist über seinen Link erreichbar, manche Bereiche zusätzlich nur mit PIN; dann gilt für Cookie und Sperre dasselbe wie beim Kundenbereich. Wir zählen, wie oft und wann ein Bereich geöffnet wurde (je Bereich). Markiert jemand eine Datei als „gepostet“, speichern wir den dabei angegebenen Namen und den Zeitpunkt; in Ihrem Browser bleibt der Name nur, wenn Sie das wählen.

Zweck und Rechtsgrundlage: Bereitstellung der vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO); gegenüber Mitarbeitenden unserer Kunden Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse ist die Auslieferung an die vom Kunden bestimmten Personen.

Über einen Downloadlink (xstnt.app/dl/…) lassen sich die dafür freigegebenen Dateien ohne Anmeldung herunterladen. Der Link enthält einen zufälligen Schlüssel und gilt bis zum gewählten Ablauf oder bis wir ihn widerrufen. Wir zählen die Downloads je Link – Anzahl und Zeitpunkt des letzten Downloads –, ohne zu speichern, wer heruntergeladen hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO.

Für Besprechungen bieten wir Videomeetings unter xstnt.app/m/… an. Sie treten ohne Konto direkt im Browser bei: Sie geben einen Namen an und klopfen an, wir lassen Sie herein. Gibt es zu einem Meeting einen Termin, steht er mit einem Link zum Beitreten auch in Ihrem Kundenbereich.

• Was verarbeitet wird: der Name, den Sie angeben, die Zeitpunkte von Anklopfen, Einlass und Ihrer letzten Meldung aus dem Meeting sowie während des Meetings Bild, Ton und – wenn Sie ihn teilen – Ihr Bildschirm.
• Übertragung: Bild, Ton und Bildschirm leitet die LiveKit, Inc. (USA) mit Datenregion in der EU weiter, und zwar Ende-zu-Ende-verschlüsselt: LiveKit kann die Inhalte nicht einsehen. Technisch bedingt verarbeitet LiveKit Verbindungsdaten wie Ihre IP-Adresse und Angaben zu Ihrem Browser. Ihren Namen erhält LiveKit nicht; dort erscheinen Sie unter einer zufälligen Kennung. Zur Übermittlung in die USA siehe Abschnitt 20.
• Aufnahme nur mit Ihrer Einwilligung: Bild und Bildschirm zeichnen wir nie auf. Den Ton nehmen wir nur auf, wenn alle Anwesenden zugestimmt haben; wir fragen Sie vorher im Meeting. Ohne Ihre Zustimmung nehmen Sie an einer laufenden Aufnahme nicht teil, und von Ihnen wird nichts aufgenommen. Ihre Zustimmung können Sie jederzeit im Meeting widerrufen: Dann endet die Aufnahme, und Ihre Tonspur wird gelöscht. Wir speichern, wer wann zugestimmt oder abgelehnt hat.
• Was mit der Aufnahme geschieht: Der Ton liegt in unserem Speicher bei der Hetzner Online GmbH in der EU und wird nach 30 Tagen gelöscht. Speechmatics (Cambridge, Vereinigtes Königreich) wandelt ihn in seinem Rechenzentrum in der EU in Text um – dafür erhält es nur die Stellen, an denen gesprochen wird, und die Namen der Teilnehmenden, damit sie richtig geschrieben werden – und löscht Ton und Text, sobald wir das Ergebnis abgeholt haben; für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Aus dem Text erstellt das KI-Modell Claude der Anthropic, PBC (USA) ein Protokoll mit Kurzfassung, Themen, Entscheidungen, offenen Fragen und Aufgaben, das auch wörtliche Zitate mit Namen enthalten kann. Dafür erhält Anthropic das Transkript, unsere Notizen zum Meeting und die Namen der Teilnehmenden; es verarbeitet sie als Auftragsverarbeiter und verwendet sie nach seinen Vertragsbedingungen nicht zum Training seiner Modelle (Abschnitt 20). Transkript und Protokoll bewahren wir mit den Unterlagen zum Auftrag auf.
• Verbrauch: Solange Sie im Meeting sind, meldet Ihr Browser uns alle 20 Sekunden, dass er verbunden ist, und wie viele Daten er empfangen hat. Daraus speichern wir nur eine Monatssumme ohne Bezug zu Ihrer Person, um das Kontingent unseres Videodienstes im Blick zu behalten (Art. 6 Abs. 1 lit. f DSGVO).
• Notizen und Arbeitsplan führt nur XSTNT – MEDIA. Geben wir sie im Meeting frei, sehen Sie sie mit; Aufgaben daraus übernehmen wir in unsere Projektunterlagen bzw. als Aufgabe in Ihren Kundenbereich.
• Cookie: Nach dem Anklopfen speichern wir ein Cookie mit einem zufälligen Zugangsschlüssel, nur bis zum Schließen des Browsers; mit dem Ende des Meetings wird es ungültig (Abschnitt 18).

Zweck und Rechtsgrundlage: Durchführung bzw. Anbahnung des Auftrags (Art. 6 Abs. 1 lit. b DSGVO); bei Ansprechpartnern und Mitarbeitenden von Unternehmen Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Zusammenarbeit mit Ihrem Unternehmen. Für eine Aufnahme samt Transkript und Protokoll ist Ihre Einwilligung die Grundlage (Art. 6 Abs. 1 lit. a DSGVO); ein Widerruf wirkt für die Zukunft.

Speicherdauer: Ihr Name bleibt als Teilnahme am jeweiligen Meeting gespeichert, solange wir die Unterlagen zu diesem Auftrag aufbewahren (Abschnitt 21). Wer angeklopft hat und nicht hereingelassen wurde, wird nach 30 Tagen gelöscht. Tonaufnahmen löschen wir nach 30 Tagen.

Wir informieren Kunden per E-Mail über Neues in ihrem Kundenbereich, etwa eine neue Fassung zur Freigabe. Außerdem erhalten wir selbst gesammelte Benachrichtigungen über Aktivitäten im Kundenbereich, die Namen und Inhalte von Eingaben enthalten können, sowie über Geschäftskontakte, die unser Vertriebsteam anlegt oder bearbeitet (Firma, Status, gegebenenfalls der Grund für eine Absage). Für den Versand nutzen wir Resend, Inc. (USA). Verarbeitet werden Name, E-Mail-Adresse und Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO; unser berechtigtes Interesse ist die zeitnahe Bearbeitung. Zur Übermittlung in die USA siehe Abschnitt 20.

Zur Anbahnung und Durchführung von Aufträgen verarbeiten wir die Daten unserer Kunden und ihrer Ansprechpartner: Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Projektinhalte und Zeitpläne, Termine, Angebote und Kalkulationen, Zahlungseingänge sowie Notizen zur Zusammenarbeit.

Herkunft: Die Daten stammen von Ihnen selbst oder – bei Ansprechpartnern und Mitarbeitenden unserer Kunden – von Ihrem Unternehmen (Art. 14 Abs. 2 lit. f DSGVO).

Zweck und Rechtsgrundlage: Vertragsanbahnung und -durchführung (Art. 6 Abs. 1 lit. b DSGVO); bei Ansprechpartnern von Unternehmen Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Zusammenarbeit; für Zahlungs- und Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB.

Empfänger: unsere Auftragsverarbeiter (Abschnitt 19) sowie für Buchhaltung und Steuern unser Steuerberater als eigener Verantwortlicher.

Verträge mit unseren Kunden (Projektfreigaben, Projektabnahmen, Retainer-Verträge) und Vereinbarungen mit Personen, die bei Aufnahmen mitwirken oder uns einen Drehort zur Verfügung stellen (Model- und Location-Releases), erstellen wir in der Anwendung aus Vorlagen. Verarbeitet werden Name, Anschrift und E-Mail-Adresse, bei Releases zusätzlich das Geburtsdatum und bei Minderjährigen die Erziehungsberechtigten, außerdem der Inhalt des Dokuments: Projekt, Termine, Vergütung und Umfang der eingeräumten Rechte.

Herkunft: Die Daten stammen von Ihnen selbst oder – wenn Aufnahmen für einen unserer Kunden entstehen – von diesem Kunden (Art. 14 Abs. 2 lit. f DSGVO).

Zweck und Rechtsgrundlage: Abschluss und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO); Aufbewahrung nach Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB und § 147 AO; bei Releases zusätzlich Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse ist, die Rechte an veröffentlichten Aufnahmen belegen zu können.

Elektronisch unterschreiben: Sie erhalten einen Link per E-Mail. Bevor Sie das Dokument sehen, schicken wir einen sechsstelligen Code an Ihre E-Mail-Adresse; mit ihm wird das Gerät für höchstens zwei Stunden an den Link gebunden (Cookie „xstnt_unterschrift“, Abschnitt 18). Sie lesen das Dokument, tippen Ihren Namen, bestätigen eine Erklärung und unterschreiben mit dem Finger. Als Nachweis speichern wir zu jedem Schritt Zeitpunkt, IP-Adresse und Browser, dazu Ihren Namen, das Bild Ihrer Unterschrift (nur das fertige Bild, ohne Druck oder Schreibtempo – also kein biometrisches Merkmal) und den Fingerabdruck des Textes, den Sie gesehen haben. Code und Gerätebindung speichern wir nur als Prüfsumme. Lehnen Sie ab, speichern wir den Grund, wenn Sie einen nennen. Nach der Gegenzeichnung erhalten alle Beteiligten das Dokument mit einem Prüfprotokoll als PDF; darin sind IP-Adressen gekürzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Prüfprotokoll lit. f – unser berechtigtes Interesse ist der Nachweis, wer wann was unterschrieben hat.

Am Set und im Kundenbereich: Bei Dreharbeiten tragen Sie sich über einen QR-Code selbst ein – mit Namen, E-Mail-Adresse und den Angaben, die das Dokument braucht (etwa Geburtsdatum und Anschrift); bei Minderjährigen mit Name und E-Mail-Adresse der Erziehungsberechtigten, die sich dann mit dem Code bestätigen. Ab 14 Jahren unterschreibt die minderjährige Person zusätzlich selbst. Bestätigt niemand eine Anmeldung mit dem Code, löschen wir sie nach 48 Stunden. Kunden können Verträge auch im Kundenbereich unterschreiben und herunterladen; das Herunterladen vermerken wir im Prüfprotokoll.

Echtheit prüfen: Unter xstnt.app/u/pruefen lässt sich prüfen, ob ein PDF genau das unterschriebene Dokument ist. Ihr Browser berechnet dafür einen Fingerabdruck (SHA-256) der Datei; nur dieser wird übertragen, die Datei selbst nicht. Wir speichern dabei nichts.

Empfänger: unsere Auftragsverarbeiter (Abschnitt 19), für die E-Mails mit Link, Code und PDF der Versanddienst Resend (USA, Abschnitt 20); jede Vertragspartei erhält das Dokument. Releases erscheinen nicht im Kundenbereich.

Speicherdauer: Abgeschlossene Dokumente bewahren wir bis zum Ende der Aufbewahrungsfrist auf, auch wenn Sie die Löschung verlangen (Art. 17 Abs. 3 lit. b DSGVO); bis dahin schränken wir die Verarbeitung ein. Einzelheiten unter Abschnitt 21.

Rechnungen und Belege unserer Lieferanten und Dienstleister erfassen und buchen wir mit Unterstützung der Anwendung. Verarbeitet werden die Angaben auf dem Beleg – Aussteller, Rechnungsnummer, Datum, Beträge und Leistung –, bei Belegen, die uns per E-Mail erreichen, zusätzlich Absender und Betreff der E-Mail, und bei Bewirtungen Anlass, Teilnehmende und Ort.

Herkunft: Die Angaben stammen aus den Rechnungen, die Sie uns als Aussteller schicken; bei Bewirtungen tragen wir Anlass und Teilnehmende selbst ein.

Zweck und Rechtsgrundlage: Erfüllung unserer Verträge (Art. 6 Abs. 1 lit. b DSGVO) und unserer gesetzlichen Buchführungs- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB; für Bewirtungen zusätzlich § 4 Abs. 5 Satz 1 Nr. 2 EStG).

Ablauf: Rechnungen, die per E-Mail kommen, leitet ein Skript in unserem eigenen Google-Konto an die Anwendung weiter. Enthält eine E-Mail statt einer Rechnung nur einen Link zu einer Rechnung beim Zahlungsdienst Stripe oder Paddle, ruft die Anwendung diese Rechnung dort ab. Das KI-Modell Claude der Anthropic, PBC (USA) liest den Beleg aus, schlägt die Buchung vor und prüft ihn steuerlich vor; bei elektronischen Rechnungen gelten die Angaben aus der Rechnung selbst (Abschnitt 14). Gebucht wird in Lexware Office der Haufe-Lexware GmbH & Co. KG – erst, nachdem wir den Vorschlag geprüft und freigegeben haben. Für Belege in fremder Währung fragen wir den Referenzkurs der Europäischen Zentralbank ab; dabei werden nur Währung und Zeitraum übermittelt.

Empfänger: unsere Auftragsverarbeiter (Abschnitt 19), unsere Steuerberatung als eigener Verantwortlicher sowie die Finanzverwaltung.

Speicherdauer: Die Kopie eines Belegs in der Anwendung löschen wir 30 Tage nach der Buchung, die Angaben dazu nach 24 Monaten. In unserer Buchhaltung bewahren wir Buchungsbelege nach den gesetzlichen Fristen auf (derzeit 8 Jahre, Bücher 10 Jahre, § 147 AO).

Um neue Kunden zu gewinnen, verarbeiten wir Kontaktdaten von Unternehmen und ihren Ansprechpartnern: Firma, Name, berufliche E-Mail-Adresse und Telefonnummer, Website, die Herkunft des Kontakts, Gesprächsnotizen und nächste Schritte sowie gegebenenfalls einen Widerspruch.

Herkunft: Die Daten stammen von Ihnen selbst – aus Ihrer Anfrage, einem Gespräch oder Ihrer Visitenkarte –, aus einer Empfehlung, aus unserem beruflichen Netzwerk oder aus öffentlich zugänglichen Quellen wie Ihrer Website oder Ihrem öffentlichen Profil bei LinkedIn oder Instagram. Woher genau, teilen wir Ihnen spätestens bei der ersten Kontaktaufnahme mit.

Zweck und Rechtsgrundlage: Ansprache von Unternehmen, um ihnen unsere Leistungen vorzustellen (Art. 6 Abs. 1 lit. f DSGVO; die Verarbeitung zum Zweck der Direktwerbung kann nach Erwägungsgrund 47 ein berechtigtes Interesse darstellen); fragen Sie selbst bei uns an, die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Empfänger: unsere Auftragsverarbeiter sowie die Mitglieder unseres Vertriebsteams, die ausschließlich auf diese Daten Zugriff haben.

Speicherdauer: Wird aus dem Kontakt nichts, löschen wir die Daten 12 Monate danach; als beendet gilt ein Kontakt auch, wenn sich 12 Monate lang nichts getan hat. Wird daraus ein Auftrag, übernehmen wir die Daten in unsere Kundendaten (Abschnitt 10). Nach einem Widerspruch behalten wir nur einen Sperrvermerk mit Firma, Name und Kontaktdaten, damit wir Sie nicht erneut ansprechen; alles Übrige löschen wir 30 Tage danach.

Der Verwendung Ihrer Daten für unsere Ansprache können Sie jederzeit widersprechen (Abschnitt 23).

Analysen von Unternehmensauftritten: Für Kurzanalysen des öffentlichen Auftritts von Unternehmen, etwa als Grundlage für ein Angebot, nutzen wir das KI-Modell Claude der Anthropic, PBC (USA). Übermittelt werden die Adresse der Website, öffentlich zugängliche Inhalte und Bildschirmaufnahmen davon. Für die Analyse ruft Anthropic öffentliche Seiten des Unternehmens selbst ab und führt Websuchen durch; die Suchanfragen enthalten den Namen des Unternehmens und können Namen von Personen enthalten, die das Unternehmen selbst veröffentlicht hat, etwa im Impressum. Die Inhalte können Namen oder Abbildungen solcher Personen enthalten. Anthropic verarbeitet die Daten als Auftragsverarbeiter und verwendet sie nach seinen Vertragsbedingungen nicht zum Training seiner Modelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO; unser berechtigtes Interesse liegt in der Vorbereitung passender Angebote.

Protokolle von Videomeetings: Aus dem Transkript einer Aufnahme, der Sie zugestimmt haben, erstellt Claude ein Protokoll; Einzelheiten unter Abschnitt 8.

Belege: Rechnungen und Belege liest Claude aus, schlägt die Buchung vor und prüft sie steuerlich vor; gebucht wird erst nach unserer Prüfung. Einzelheiten unter Abschnitt 12.

Bildgestaltung: Für Storyboards und Vorschaubilder nutzen wir die KI-Bilderzeugung Magnific der Freepik Company S.L. (Spanien). Freepik setzt dafür Bildmodelle der Google LLC und der OpenAI, L.L.C. (beide USA) als Unterauftragsverarbeiter ein, an die die Bildbeschreibung und gegebenenfalls Vorlagen übermittelt werden. Als Vorlage können Bilder dienen, auf denen Personen zu sehen sind, etwa Standbilder aus Videos des jeweiligen Projekts oder Fotos, die uns unser Kunde dafür überlässt; Fotos von Personen verwenden wir nur mit deren Einverständnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für abgebildete Personen, die nicht selbst unsere Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Gestaltung der beauftragten Inhalte. Zur Übermittlung in die USA siehe Abschnitt 20.

Die Ergebnisse prüfen und verwenden wir selbst; Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Sie trifft keiner dieser Dienste.

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b bzw. f DSGVO). E-Mails an uns werden über Google Workspace der Google Ireland Limited verarbeitet; dabei ist eine Übermittlung an die Google LLC in den USA möglich, die nach dem EU-US Data Privacy Framework zertifiziert ist. Geschäftliche Korrespondenz bewahren wir nach den gesetzlichen Fristen auf (§ 257 HGB, § 147 AO), im Übrigen löschen wir sie, sobald sie nicht mehr benötigt wird.

Für Mitglieder unseres Teams verarbeiten wir E-Mail-Adresse, Name, Rolle und Passwort; das Passwort wird nur als Hash gespeichert. Zur Sitzung speichert unser Dienstleister für die Anmeldung (Supabase) die IP-Adresse und die Kennung des Browsers. Eine Sitzung endet nach 30 Minuten ohne Aktivität und spätestens 12 Stunden nach der Anmeldung. Die Sitzungsdaten löschen wir automatisch, spätestens 12 Stunden nach der Anmeldung bzw. 3 Stunden nach der letzten Nutzung. Scheidet ein Mitglied aus, löschen wir mit dem Zugang auch sein Anmeldekonto.

Zweck und Rechtsgrundlage: Bereitstellung des Zugangs (Art. 6 Abs. 1 lit. b DSGVO) und Schutz der Anwendung vor unbefugtem Zugriff (Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO).

Wir sichern die Datenbank täglich. Die Sicherung wird vor dem Speichern verschlüsselt (AES-256-GCM, der Schlüssel ist mit RSA-4096 geschützt; den privaten Schlüssel besitzt nur XSTNT – MEDIA) und bei der Hetzner Online GmbH (Falkenstein) sowie als zweite Kopie bei der GitHub, Inc. (USA) für 90 Tage aufbewahrt. GitHub erhält ausschließlich die verschlüsselte Datei.

Gelöschte Daten können deshalb bis zu 90 Tage in Sicherungen enthalten sein, bevor sie mit diesen automatisch gelöscht werden. Wir nutzen Sicherungen nur, um nach einem Fehler oder Angriff Daten wiederherzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 Abs. 1 lit. c DSGVO (Verfügbarkeit und Wiederherstellbarkeit).

Wir speichern auf Ihrem Endgerät ausschließlich Informationen, die technisch erforderlich sind, um die von Ihnen ausdrücklich gewünschte Funktion bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich. Die damit verbundene Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b bzw. f DSGVO. Analyse-, Werbe- oder Tracking-Cookies setzen wir nicht ein, und es werden keine Inhalte Dritter eingebunden.

Über das Schließen des Browsers hinaus bleibt im Kundenbereich und in Downloadbereichen nur gespeichert, was Sie ausdrücklich wählen: „Auf diesem Gerät angemeldet bleiben“, „Namen auf diesem Gerät merken“ oder eine andere Reihenfolge der Kommentare. Den Speicher können Sie jederzeit in den Einstellungen Ihres Browsers löschen.

Wir setzen folgende Dienstleister ein, die personenbezogene Daten ausschließlich in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeiter, Art. 28 DSGVO):

Weitere Empfänger: unser Steuerberater für Buchhaltung und Steuern (eigener Verantwortlicher) sowie Behörden und Gerichte, soweit wir gesetzlich zur Herausgabe verpflichtet sind. Innerhalb von XSTNT – MEDIA erhalten nur die Personen Zugriff, die ihn für ihre Aufgabe benötigen; Mitglieder unseres Vertriebsteams sehen ausschließlich Akquisedaten.

Einige unserer Dienstleister oder deren Unterauftragsverarbeiter haben ihren Sitz in den USA. Eine Übermittlung dorthin – auch ein Zugriff aus den USA auf Daten, die in der EU gespeichert sind – erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind:

• Supabase, Inc.: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag
• Resend, Inc.: Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO)
• Freepik Company S.L.: Freepik setzt für die Bilderzeugung Bildmodelle der Google LLC und der OpenAI, L.L.C. (beide USA) als Unterauftragsverarbeiter ein. Grundlage ist für Google die Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO), für OpenAI Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO)
• Anthropic, PBC: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag
• LiveKit, Inc.: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag
• GitHub, Inc.: Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO); GitHub erhält ausschließlich verschlüsselte Sicherungen

Die Zertifizierungen haben wir zuletzt am 7. Oktober 2026 in der offiziellen Liste des US-Handelsministeriums (dataprivacyframework.gov) geprüft. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage an hi@xstnt.media zur Verfügung.

Wir verarbeiten personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Bestehen gesetzliche Aufbewahrungspflichten, schränken wir die Verarbeitung bis zu deren Ablauf ein und löschen die Daten danach. Die automatischen Fristen setzt die Anwendung jede Nacht selbst um; gelöschte Dateien entfernen wir spätestens in der folgenden Nacht auch aus unserem Speicher.

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten, die Zwecke, die Empfänger und die Speicherdauer, einschließlich einer Kopie der Daten;
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
• Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa während wir die Richtigkeit Ihrer Daten prüfen;
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten;
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen und gegen Direktwerbung (Art. 21 DSGVO, Abschnitt 23);
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), soweit Sie eine erteilt haben.

Eine formlose Nachricht an hi@xstnt.media genügt. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Um Ihre Daten nicht an Unbefugte herauszugeben, können wir in begründeten Zweifeln Angaben zur Bestätigung Ihrer Identität erbitten. Die Bearbeitung ist für Sie kostenfrei.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Sächsische Datenschutz- und Transparenzbeauftragte
Postfach 11 01 32, 01330 Dresden
www.datenschutz.sachsen.de

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die Angaben, die für eine Funktion erforderlich sind – etwa die PIN für den Kundenbereich oder einen Namen bei einer Freigabe –, können Sie diese Funktion jedoch nicht nutzen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten zu schützen. Dazu gehören insbesondere: verschlüsselte Verbindungen (TLS) auf allen Seiten; Zugriffsrechte, die in der Datenbank für jede einzelne Zeile gelten; Kundenbereiche mit persönlichem Link, PIN und Sperre nach Fehlversuchen; Dateien in privaten Speichern, die nur über zeitlich begrenzte Adressen erreichbar sind; ein Sitzungsablauf für unser Team; Ende-zu-Ende-verschlüsselte Videomeetings; verschlüsselte Datensicherungen sowie Server in Deutschland bzw. der EU.

Wir passen diese Datenschutzerklärung an, wenn sich die Anwendung, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 13. Oktober 2026.