Datenschutzerklärung

Stand: 2026-06-06 — Entwurf, Vorstand-Freigabe ausstehend.

Diese Seite ist ein Code-Entwurf und geht nicht live, bevor die Vereins-Datenschutz-Adresse [email protected] aktiv ist und der Vorstand sie freigegeben hat. Bis dahin gilt sie als unverbindlicher Hinweis.

1. Verantwortlicher

mana e.V. (Schweizer Verein in Gründung)
Postanschrift: bis zur Vereins-Gründung c/o Gründungs-Vorstand (Adresse auf Anfrage)
Kontakt: [email protected] (Übergangs-Adresse, bis [email protected] aktiv ist)

Datenschutzbeauftragte:r: derzeit nicht benannt. Datenschutz-Anfragen bearbeitet bis zur Benennung der Vorstand selbst.

Vertreter in der EU (Art. 27 DSGVO): derzeit nicht benannt; die Benennung ist in Arbeit (siehe COMPLIANCE.md §1). Bis dahin wenden Sie sich direkt an die oben genannten Kontakt-Daten.

Zuständige Aufsichtsbehörden:

Bei Verarbeitung nach Schweizer Datenschutzgesetz (FADP) — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Schweiz — edoeb.admin.ch.
Bei Verarbeitung nach DSGVO (Personen in der EU) — die Aufsichtsbehörde Ihres Wohnsitz- Mitgliedstaates. In Deutschland: die Landes-Aufsichtsbehörde oder die/der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).

2. Welche Daten wir verarbeiten — Zwecke und Rechtsgrundlagen

LumeTour ist ein Player für nicht-lineares „guided" Video: Tour-Ersteller bauen verzweigende Video-Touren (einen Graphen aus Stationen und Verzweigungen), anonyme Zuschauer spielen sie ab und wählen die Verzweigungen selbst. Die App-Datenbank (mana_lumetour) hält keine nutzer-gekeyten personenbezogenen Daten — Touren hängen an einer Mandanten-Organisation, nicht an einzelnen Zuschauern.

Datenkategorie	Zweck	Rechtsgrundlage
Video-Content (kann erkennbare Personen zeigen, daher ggf. personenbeziehbar) — Original in mana-media/MinIO, HLS-Auslieferung self-hosted	Erstellen und öffentliches Bereitstellen verzweigender Video-Touren	Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit Erstellern); Art. 6 Abs. 1 lit. f DSGVO (öffentliche Wiedergabe publizierter Touren); bei erkennbaren Personen zusätzlich Art. 9 Abs. 2 lit. a DSGVO (siehe §3)
Transkripte pro Station (mana-stt / WhisperX, on-prem; ggf. personenbezogen)	Untertitel / durchsuchbarer Inhalt der Tour-Stationen	Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit Erstellern)
Tour-Ersteller-Konto (Identität, Mandanten-Zuordnung) — liegt in mana-auth, nicht in der LumeTour-Datenbank	Authentifizierung, Mandanten-Isolation, Tour-Verwaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
k-anonyme Aggregat-Zähler (Stations-Aufrufe, Verzweigungs-Prozente) — kein Personenbezug: keine Session, kein Pfad, keine IP, kein Fingerprint, kein Cookie	Inhalts-Statistik für Tour-Ersteller (welche Stationen/Verzweigungen genutzt werden)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Inhalts-Auswertung ohne Personenbezug)

Eine vollständige Auflistung pro Verarbeitungstätigkeit findet sich in unserem Verarbeitungsverzeichnis (VVT.md), §24 (LumeTour), nach Art. 30 DSGVO.

3. Videos mit erkennbaren Personen (Art. 9 DSGVO)

Ein hochgeladenes Video kann erkennbare Personen abbilden. Aufnahmen, die eine Person identifizierbar machen, können besondere Datenkategorien im Sinne von Art. 9 DSGVO berühren (z.B. wenn aus dem Bild Gesundheit, Herkunft oder Weltanschauung hervorgeht).

Rechtsgrundlage: Zeigt eine Tour erkennbare Personen, verarbeiten wir diese Daten ausschließlich auf Grundlage ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Der Tour-Ersteller bestätigt beim Upload, dass für abgebildete Personen die nötige Einwilligung vorliegt. Diese Bestätigung ist auf Datenbank-Ebene per CHECK-Constraint erzwungen: ohne dokumentierte Einwilligung erreicht ein Video nicht den Status „veröffentlicht".

Widerruf: Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Bei Widerruf wird die betroffene Tour zurückgezogen, das Original in mana-media/MinIO gelöscht und der Edge-Cache aktiv invalidiert (Purge) — gelöschter Content überlebt den Cache nicht (siehe §5).

4. Anonyme Wiedergabe — kein Viewer-Tracking

Zuschauer einer Tour sind anonym: sie werden weder identifiziert noch wiedererkannt. Wir zeichnen keinen individuellen Wiedergabe-Pfad auf, setzen keine stabile Besucher-ID, betreiben kein Fingerprinting und speichern keine IP-Adressen zu Analyse-Zwecken.

Was wir auswerten, sind ausschließlich inhaltsbezogene Aggregat-Zähler: wie oft eine Station aufgerufen und welche Verzweigung wie häufig gewählt wurde. Diese Zähler sind durch k-Anonymität als hartes Gate geschützt — Aggregate werden erst ab einer Mindest-Schwelle sichtbar, sodass aus ihnen kein Rückschluss auf eine einzelne Person möglich ist. Die Roh-Increments werden nach höchstens 30 Tagen gelöscht; nur die k-anonymen Aggregate bleiben erhalten. Die Aggregation läuft beim Verein, nicht über Cloudflare.

5. Speicherdauer

Original-Video (mana-media/MinIO): solange die zugehörige Tour besteht.
Roh-Analytics-Increments: höchstens 30 Tage, danach gelöscht — nur die k-anonymen Aggregate bleiben.
Transkripte: solange die zugehörige Station besteht (werden mit der Station gelöscht, Cascade-Delete).
Cloudflare-Edge-Cache: kurze Cache-Dauer (TTL); bei Tour-Löschung oder Einwilligungs-Widerruf wird der Cache aktiv invalidiert (Purge) — gelöschter Content überlebt den Cache nicht.

6. Empfänger und Auftragsverarbeiter

mana e.V. — interne Vereins-Dienste (Standort beim Verein, EU/CH): lumetour-api (App-Logik), mana-media auf MinIO (System of Record für Original-Content und HLS-Segmente), mana-transcode (ffmpeg-Transcoding, on-prem), mana-stt (Transkription / WhisperX, on-prem), mana-llm (optionale KI-Tour-Hilfe), mana-auth (Identität / Mandant). Kein Drittland.
Cloudflare, Inc. (USA) — CDN- und Edge-Cache der öffentlichen HLS-Segmente. Cloudflare entschlüsselt und cacht die öffentlichen Video-Segmente flüchtig am Edge; das ist eine eigene Verarbeitungstätigkeit, nicht nur TLS-Tunnel-Termination. Gecacht wird ausschließlich bereits veröffentlichter, öffentlicher Content. Drittland-Status und Schutzmaßnahmen siehe §7.

Cloudflare R2 (Object-Storage, USA): als technische Reserve bereitgestellt, aber derzeit ungenutzt — R2 liegt nicht im Datenpfad. Eine spätere Aktivierung von R2 für die Auslieferung würde eine zusätzliche Zweckerweiterung des Cloudflare-Vertrags auslösen und hier sowie im Verarbeitungsverzeichnis nachgetragen.

Den Status der Auftragsverarbeitungs-Verträge (DPA) pro Anbieter finden Sie in unserer DPA-Tabelle (COMPLIANCE.md §1).

7. Drittland-Übermittlung

Die einzige Übermittlung in ein Drittland betrifft den Cloudflare-Edge-Cache der öffentlichen HLS-Segmente (USA). Sie erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) zuzüglich des Cloudflare-Auftragsverarbeitungs-Vertrags. Es besteht ein Restrisiko, dass gecachte Video-Segmente personenbeziehbaren Inhalt zeigen. Wir mindern dieses Risiko durch:

nur veröffentlichter, öffentlicher Content wird ausgeliefert und gecacht;
die Art.-9-Einwilligungs-Bestätigung beim Upload (DB-CHECK, siehe §3);
eine kurze Cache-Dauer (TTL);
aktiven Cache-Purge bei Tour-Löschung oder Einwilligungs-Widerruf.

Das System of Record (MinIO) bleibt beim Verein (EU/CH) — der Original-Content verlässt die Vereins-Infrastruktur nicht. Die Transkription (mana-stt) läuft on-prem; ein Cloud-Fallback findet derzeit nicht statt.

Wir setzen keine Cloudflare Web Analytics, kein RUM-/ Browser-Insights-Snippet und keine Cloudflare-Tracking-Cookies ein. Der Player nutzt einen eigenen hls.js-Player, keinen proprietären Cloudflare-Player.

8. Cookies und lokale Speicherung

Der Player ist cookielos. Wir setzen keine Tracking-Cookies, kein Drittanbieter-Pixel und keine Werbe-Identifier. Es findet kein Einsatz von Tracking-Technologien statt, der eine Einwilligung nach § 25 TTDSG erfordern würde.

9. Ihre Rechte

Auskunft (Art. 15 DSGVO).
Löschung (Art. 17 DSGVO).
Berichtigung (Art. 16 DSGVO).
Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit (Art. 20 DSGVO).
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.
Beschwerde bei einer der in §1 genannten Aufsichtsbehörden (Art. 77 DSGVO).

Für die maschinelle Bearbeitung stehen DSGVO-Föderations-Endpunkte bereit (/api/v1/dsgvo/export und /api/v1/dsgvo/delete). Da die LumeTour-Datenbank keine nutzer-gekeyten personenbezogenen Daten hält (siehe §2), liefert der Export für anonyme Zuschauer einen leeren Datensatz mit entsprechendem Hinweis. Konto-bezogene Anfragen von Tour-Erstellern werden über admin.mana.how oder per E-Mail an die in §1 genannte Adresse bearbeitet.

10. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO (Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne menschliche Beteiligung) findet nicht statt. Die Verzweigungen einer Tour wählen Sie als Zuschauer selbst; optionale KI-Funktionen liefern dem Tour-Ersteller nur Vorschläge, die er aktiv übernimmt, ändert oder verwirft.

Diese Erklärung ist ein Code-Entwurf. Die finale Fassung wird vom Vorstand des Vereins mana e.V. nach Prüfung durch eine Datenschutz-Beauftragten-Stelle veröffentlicht. Bis dahin gilt sie als unverbindlicher Hinweis. Vorlage V2: DATENSCHUTZ_TEMPLATE.md.