Entwurf — inhaltlich auf die tatsächliche Datenverarbeitung dieser Anwendung zugeschnitten, aber vor Live-Gang durch eine Rechtsberatung prüfen lassen (kein Ersatz für individuelle Rechtsberatung).
Optimello — Marketing & Design
Ronny Thamm
Mooshamer Feld 10
94496 Ortenburg
E-Mail: info@optimello.de
Telefon: +49 1512 1187036
ElternArchiv ist ein nicht-öffentliches, passwortgeschütztes Archiv für Videos einzelner Veranstaltungen (z.B. Karate-Prüfungen, Schulaufführungen, Hochzeiten). Es gibt keine offene Registrierung — der Zugang erfolgt ausschließlich über einen persönlichen, vom Veranstalter vergebenen Zugangscode je Event bzw. Familie.
Pro Event werden Zugangscodes vergeben, um den Zugriff auf die Videos auf eingeladene Familien zu beschränken. Codes werden ausschließlich als kryptographischer Hash gespeichert (Argon2id/bcrypt) — der Klartext-Code ist nach der Erstellung nur einmal im Admin-Bereich sichtbar und wird danach nirgends gespeichert. Optional kann der Veranstalter ein frei gewähltes Label (z.B. einen Familiennamen) hinterlegen, um Codes auseinanderzuhalten.
Nach erfolgreicher Code-Eingabe wird ein technisch notwendiges,
Session-Cookie (ea_session) gesetzt, das den Zugriff für die Dauer
der Sitzung ohne erneute Code-Eingabe ermöglicht. Es dient ausschließlich der
Zugriffssteuerung, nicht dem Tracking, und wird nicht an Dritte weitergegeben.
Um automatisiertes Ausprobieren von Zugangscodes zu erschweren, wird bei fehlgeschlagenen Versuchen ein aus der IP-Adresse gebildeter Hashwert (HMAC, keine Klartext-IP) zusammen mit dem Veranstaltungs-Kürzel und einem Zeitstempel gespeichert. Diese Einträge werden automatisiert nach kurzer Zeit (routinemäßig innerhalb von 24 Stunden) gelöscht.
Die eigentlichen Videos (Titel, Beschreibung, Videodatei bzw. bei YouTube-Videos die Video-ID) werden von Optimello im Auftrag des jeweiligen Veranstalters gefilmt, aufbereitet und hochgeladen bzw. verknüpft. Videos können Aufnahmen von Personen (u.a. Kindern) enthalten. Die rechtliche Grundlage für die Veröffentlichung im geschützten Archiv (u.a. Einwilligung der abgebildeten Personen bzw. ihrer Erziehungsberechtigten) verantwortet der beauftragende Veranstalter — er entscheidet über Durchführung und Rahmenbedingungen der Veranstaltung und ist Vertragspartner der gefilmten Personen, nicht Optimello.
Den Zugangscode fordert man aktuell manuell per WhatsApp an (Meta Platforms Ireland Limited). Der "Auf WhatsApp schreiben"-Button öffnet einen Chat mit einer vorausgefüllten Nachricht; die dabei übermittelten Angaben (z.B. Name des Kindes/der Familie, Telefonnummer) werden direkt bei WhatsApp/Meta gemäß deren Datenschutzerklärung verarbeitet, nicht in dieser Anwendung gespeichert. Der zurückgesendete Zugangscode wird ausschließlich als Hash in der Datenbank abgelegt (siehe Punkt 3.1).
Der Kaffeekassen-Button verlinkt auf einen externen PayPal.me-Link (paypal.me/optimello) für eine freiwillige, mit dem Zugang nicht verknüpfte Spende. Die Zahlungsabwicklung erfolgt vollständig bei PayPal und unterliegt der Datenschutzerklärung von PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A.). Auf diese Verarbeitung haben wir keinen Einfluss und erhalten daraus keine automatisierten Daten.
Videos werden ausschließlich als Links zu nicht gelisteten YouTube-Videos bereitgestellt; ein Klick öffnet YouTube in einem neuen Tab. Es findet keine Einbettung/kein Abspielen auf dieser Seite statt. Dennoch kann beim Abspielen eine Verbindung zu Google-Servern (Google Ireland Limited) aufgebaut werden. Es gelten die Datenschutzhinweise von Google/YouTube.
Diese Anwendung (Website, Datenbank mit Event-/Code-/Video-Metadaten) läuft auf einem Server von All-Inkl (ALL-INKL.COM – Neue Medien Münnich, Deutschland). Die Videos selbst werden nicht auf diesem Server gespeichert oder abgespielt, sondern ausschließlich als Links zu YouTube bereitgestellt (siehe Punkt 7). Es gibt einen Auftragsverarbeitungsvertrag zwischen Optimello und All-Inkl gemäß Art. 28 DSGVO.
Events sind maximal 3 Monate ab Anlage aufrufbar. Nach Ablauf werden Event, zugehörige Zugangscodes und Video-Verknüpfungen automatisiert und vollständig gelöscht. Der Veranstalter kann ein Event auch vorzeitig im Admin-Bereich löschen. Rate-Limiting-Einträge werden automatisiert nach kurzer Zeit gelöscht (siehe 3.3).
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch (Art. 21 DSGVO). Wende dich dazu an die oben genannte Kontaktadresse. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
