Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Kevin Wendel
c/o NORDINITY #63330
Norderkamp 1
24803 Erfde
Deutschland
[email protected]

Fragen und Anliegen zu deinen Daten: [email protected]

2. Kurz gesagt

EpyxChat verarbeitet nur die Daten, die für den Betrieb des Dienstes nötig sind. Es gibt keine Werbung, kein Tracking, keine Analyse-Werkzeuge und kein Profiling, und wir verkaufen keine Daten. Chat-Nachrichten, die durch ein Overlay laufen, werden nicht in einer Datenbank gespeichert.

3. Besuch der Website und der Overlays

Wenn du eine Seite oder ein Overlay öffnest, sendet dein Browser oder OBS technische Daten an den Server: IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, Browser- und Geräteinformationen (User-Agent) und die Herkunftsseite. Das ist nötig, um die Seite auszuliefern und sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden und sicheren Dienst).

Die Anwendung selbst schreibt keine Zugriffsprotokolle. Der vorgeschaltete Webserver oder Reverse Proxy kann diese Daten für begrenzte Zeit in Protokolldateien speichern, zur Sicherheit und Fehleranalyse. IP-Adressen werden außerdem kurz im Arbeitsspeicher der Anwendung gehalten, um Anmelde-, Registrierungs- und Passwort-Zurücksetzen-Versuche zu begrenzen; sie werden nicht in der Datenbank gespeichert.

Schriften: Alle Schriften der Seiten, des Editors und der Overlays liegen auf diesem Server und werden von ihm ausgeliefert. Weder die Seiten noch die Overlays laden Schriften von Google oder von anderen Dritten.

Bilder: Overlays und die Editor-Vorschau laden Emotes, Badges und Avatare direkt von den Servern der Plattformen und Emote-Dienste (zum Beispiel Twitch, Kick, YouTube, TikTok, 7TV, BetterTTV und FrankerFaceZ). Diese Server erhalten die IP-Adresse des Geräts, auf dem das Overlay angezeigt wird. Läuft ein Overlay in OBS, ist das der Rechner des Streamers; Zuschauer eines Streams laden nichts von uns oder von diesen Diensten.

4. Kontodaten

Bei der Registrierung speichern wir deinen Benutzernamen, deinen Anzeigenamen, einen Passwort-Hash (das Passwort selbst wird nie gespeichert; es wird mit dem gesalzenen scrypt-Verfahren gehasht), deine gewählte Sprache, den Zeitpunkt der Registrierung und der letzten Anmeldung, deine E-Mail-Adresse und ob du sie bestätigt hast. Wir verwenden diese Daten, um dein Konto bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).

Die E-Mail-Adresse ist bei der Registrierung erforderlich und muss mit einem Link bestätigt werden. Eine Adresse, die Twitch bei der Anmeldung mit Twitch weitergibt, gilt als bestätigt, weil Twitch nur Adressen weitergibt, die es geprüft hat. Wir nutzen die Adresse, um den Bestätigungslink, Links zum Zurücksetzen des Passworts und ähnliche Nachrichten zu deinem Konto zu senden, und um ein Konto zu erkennen, das du schon hast, damit du nicht zwei hast (siehe „Verknüpfte Plattform-Konten“). Wir nutzen sie nie für Werbung. Die Nachrichten werden über den für diesen Dienst eingerichteten Mailserver verschickt.

Für jede Anmeldung führen wir eine Sitzung: eine zufällige Kennung (nur als Hash gespeichert), den Zeitpunkt der Erstellung und der letzten Nutzung, den Ablaufzeitpunkt und die ersten 200 Zeichen des User-Agents deines Browsers. Sie sorgt dafür, dass du angemeldet bleibst, und wird beim Abmelden, nach Ablauf oder beim Löschen deines Kontos gelöscht.

5. Cookies und lokaler Speicher

Wir verwenden nur Cookies, die für den Dienst technisch notwendig sind. Es gibt keine Tracking- oder Werbe-Cookies, deshalb gibt es auch kein Einwilligungsbanner.

Der Editor merkt sich den für die Vorschau gewählten Hintergrund im lokalen Speicher deines Browsers (epx-preview-bg). Er bleibt auf deinem Gerät.

6. Verknüpfte Plattform-Konten

Wenn du ein Plattform-Konto verknüpfst oder dich mit einem Twitch- oder Kick-Konto anmeldest oder registrierst, wirst du zur Plattform weitergeleitet und meldest dich dort an; dein Passwort für die Plattform sehen wir nie. Die Plattform teilt uns dann die unten aufgeführten Daten mit. Wir verwenden sie, um nachzuweisen, dass dir der Kanal gehört, um dich anzumelden, um deine verknüpften Konten anzuzeigen und sie im Editor auswählbar zu machen (Art. 6 Abs. 1 lit. b DSGVO). Jede Verknüpfung und jede Anmeldung startest du selbst.

• Twitch: Benutzer-ID, Login-Name, Anzeigename und Profilbild. Zum Verknüpfen des Kontos fragen wir die Berechtigungen „channel:read:redemptions“ und „moderator:read:followers“ an, damit das Overlay Kanalpunkte-Einlösungen und neue Follower deines Kanals anzeigen kann. Dafür werden Access- und Refresh-Token verschlüsselt (AES-256-GCM) in unserer Datenbank gespeichert, bis du das Konto trennst. Beim Trennen widerrufen wir das Token bei Twitch. Zum Anmelden oder Registrieren mit Twitch fragen wir nur die Berechtigung „user:read:email“ an und erhalten zusätzlich deine bestätigte E-Mail-Adresse; dieses Token wird einmal verwendet und nicht gespeichert.
• Kick: Benutzer-ID, Benutzername und Profilbild sowie die E-Mail-Adresse des Kontos, wenn Kick sie weitergibt (Berechtigungen „user:read“ und „channel:read“). Das Access-Token wird einmal verwendet und nicht gespeichert. Ein neues Konto aus deinem Kick-Konto behält diese Adresse, du musst sie aber wie jede andere bestätigen, und wir nutzen sie nie, um dein Kick-Konto einem schon vorhandenen Konto zuzuordnen, weil wir nicht wissen, ob Kick sie geprüft hat.
• YouTube / Google: Berechtigung „youtube.readonly“ (nur lesen) zusammen mit „openid“ und „profile“. Wir lesen den YouTube-Kanal des Google-Kontos: Kanal-ID, Handle, Titel und Vorschaubild. Wir greifen nicht auf Videos, Playlists, Abonnements, Kommentare, deine E-Mail-Adresse oder andere Google-Daten zu und speichern das Access-Token nicht.
• TikTok (Login Kit): Berechtigungen „user.info.basic“ und „user.info.profile“. Wir lesen deine TikTok-Open-ID, deinen Anzeigenamen, dein Profilbild und deinen Benutzernamen. Das Access-Token wird einmal verwendet und nicht gespeichert.

Die Verwendung und Weitergabe von Informationen, die EpyxChat von Google-APIs erhält, an andere Apps erfolgt in Übereinstimmung mit der Google API Services User Data Policy, einschließlich der „Limited Use“-Anforderungen. Daten aus Google-APIs werden nur verwendet, um deinen verknüpften YouTube-Kanal zu prüfen und anzuzeigen. Sie werden nicht für Werbung genutzt, nicht verkauft, nicht an Dritte weitergegeben, nicht zur Entwicklung oder zum Training von KI- oder Machine-Learning-Modellen verwendet und nur dann von Menschen gelesen, wenn das für die Sicherheit nötig oder gesetzlich vorgeschrieben ist.

Ein Plattform-Konto gehört zu genau einem Konto. Meldest du dich mit einem Twitch-Konto an, dessen bestätigte E-Mail-Adresse die bestätigte Adresse eines vorhandenen Kontos ist, wird das Twitch-Konto diesem Konto hinzugefügt, statt ein zweites anzulegen. Gibt es trotzdem zwei Konten von dir, kannst du sie zusammenführen: Nachdem du das Plattform-Konto des anderen Kontos durch Anmelden bei der Plattform nachgewiesen und auf der Konto-Seite bestätigt hast, wandern die Chats und Plattform-Konten des anderen Kontos in das Konto, bei dem du angemeldet bist, und das andere Konto wird mit seinen Sitzungen gelöscht. Solange du dich entscheidest, wird der Nachweis höchstens 10 Minuten verschlüsselt aufbewahrt. Der letzte Weg zur Anmeldung bei einem Konto kann nicht entfernt werden.

Du kannst jedes Plattform-Konto auf der Konto-Seite trennen und die Berechtigung bei der Plattform widerrufen, zum Beispiel in deinen Twitch-Verbindungen oder den Berechtigungen deines Google-Kontos sowie in den Einstellungen deiner Kick- und TikTok-Konten. Siehe auch die Datenschutzerklärung von Google.

Wo für eine Plattform keine Verknüpfung angeboten wird, gibst du den Kanalnamen selbst ein, und es werden keine Daten aus deinem Plattform-Konto gelesen.

7. Chats und Einstellungen

Wir speichern, was du im Chat-Editor eingibst: Titel, Kanalnamen je Plattform, Design-Optionen, Event-Einstellungen und den zufälligen Code im Overlay-Link. Das bleibt, bis du den Chat oder dein Konto löschst (Art. 6 Abs. 1 lit. b DSGVO). Kanalnamen sind in der Regel öffentlich.

8. Chat-Nachrichten und Events in Overlays

Solange ein Overlay geöffnet ist, verbindet sich unser Server mit den Chats der in seinen Einstellungen genannten Kanäle und leitet Nachrichten und Events (Nachrichtentext, Benutzernamen und Farben, Badges, Emotes, Profilbilder sowie Beträge wie Bits oder Geschenke) in Echtzeit an das Overlay weiter. Diese Inhalte sind auf den Plattformen bereits öffentlich.

Nachrichten werden nicht in der Datenbank gespeichert. Für die Funktion, die beim Start eines Overlays die letzten Nachrichten zeigt, hält der Server bis zu 200 Nachrichten ausschließlich im Arbeitsspeicher. Nachrichten, die älter als 15 Minuten sind, werden nicht erneut angezeigt, und alles wird verworfen, wenn das Overlay kurze Zeit geschlossen war oder der Server neu startet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Streamer, der den Dienst nutzt, und Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das Interesse des Streamers, den öffentlichen Chat im Stream zu zeigen) gegenüber den Personen, deren öffentliche Nachrichten weitergeleitet werden. Der Streamer zeigt das Overlay in seinem Stream und ist dafür verantwortlich.

9. Empfänger und Dienste von Dritten

Je nach den Plattformen, die du nutzt, kommuniziert unser Server mit den folgenden Diensten. Sie erhalten technische Verbindungsdaten, etwa die IP-Adresse unseres Servers, sowie den Namen oder die ID des angefragten Kanals:

• Twitch: Chat, Events und Profildaten.
• Kick, einschließlich des Echtzeit-Dienstes Pusher: Chat und Events. Wird Kicks offizielle API genutzt, sendet Kick Events an unsere Adresse /webhooks/kick.
• YouTube (Google): der öffentliche Live-Chat des Kanals.
• TikTok sowie Euler Stream (eulerstream.com), ein Signatur-Dienst, den die Verbindung zu TikTok LIVE benötigt. Er erhält den TikTok-Benutzernamen des Kanals und technische Anfragedaten.
• 7TV, BetterTTV und FrankerFaceZ: Wir fragen die eigenen Emotes eines Kanals über seinen Namen oder seine ID ab.
• Hosting und E-Mail: der Server und das Mailsystem, auf denen der Dienst läuft.

Einige dieser Anbieter sitzen außerhalb der EU/des EWR, insbesondere in den USA. Sie verarbeiten Daten nach ihren eigenen Datenschutzerklärungen; Übermittlungen stützen sich auf die von ihnen genutzten Mechanismen, zum Beispiel Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Darüber hinaus geben wir deine Daten nicht an Dritte weiter, außer das Gesetz verlangt es.

10. Speicherdauer

• Konto, verknüpfte Plattform-Konten und Chats: bis du sie oder dein Konto löschst.
• Sitzungen: bis du dich abmeldest, bis sie ablaufen (30 Tage nach der letzten Nutzung) oder bis du dein Konto löschst.
• Bestätigungs- und Passwort-Zurücksetzen-Links: gültig 24 Stunden bzw. 1 Stunde. Der verbrauchte oder abgelaufene Eintrag wird einen Tag nach Ablauf entfernt.
• Einträge einer laufenden Anmeldung, Verknüpfung oder Zusammenführung: höchstens 10 Minuten.
• Öffentliche Plattformdaten, die zwischengespeichert werden, um Anfragen zu sparen, zum Beispiel die Kick-Chatroom-ID eines Kanals: bis zu 30 Tage.
• Chat-Nachrichten: nur im Arbeitsspeicher, wie oben beschrieben.
• Die letzten Zeilen des Server-Logs: nur im Arbeitsspeicher, höchstens 2000 Zeilen, bis die Anwendung neu startet.

11. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, einer Verarbeitung zu widersprechen, die auf berechtigten Interessen beruht (Art. 15 bis 21 DSGVO). Beruht eine Verarbeitung auf deiner Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen.

Vieles davon kannst du selbst erledigen: Profil und Passwort ändern, Plattform-Konten trennen und dein Konto löschen auf der Konto-Seite. Für alles andere schreib uns: [email protected]

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem EU-Mitgliedstaat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat.

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.

12. Sicherheit

Der Dienst ist für die Nutzung über HTTPS gedacht. Passwörter werden nur als gesalzene Hashes gespeichert, Sitzungskennungen und Tokens von E-Mail-Links nur als Hashes, und Twitch-Tokens werden verschlüsselt. Kein System ist vollkommen sicher, nutze deshalb bitte ein Passwort, das du sonst nirgends verwendest.

Nur der Betreiber kann einen internen Admin-Bereich öffnen. Er dient nur zum Lesen und zeigt Konten (Benutzername, Anzeigename, E-Mail-Adresse und ob sie bestätigt ist, verknüpfte Plattform-Konten, Registrierung und letzte Anmeldung, offene Sitzungen mit ihrer Browser-Beschreibung), Chats (Titel, Kanäle, Einstellungen) und das Server-Log. Er zeigt nie Passwörter, Tokens oder die vollständigen Overlay-Links. Wir nutzen ihn, um den Dienst zu betreiben, Fehler zu finden und zu beheben, Support-Anfragen zu beantworten und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Die letzten Zeilen des Server-Logs, in denen Kanäle genannt und Fehlermeldungen stehen können, werden dafür nur im Arbeitsspeicher der Anwendung gehalten (höchstens 2000 Zeilen, weg beim Neustart der Anwendung).

13. Kinder

Der Dienst richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich keine Daten von ihnen. Wenn du glaubst, dass sich ein Kind registriert hat, melde dich bitte bei uns, dann löschen wir das Konto.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung findest du immer unter https://chat.epyx.cc/privacy; das Datum der letzten Änderung steht oben.