Datenschutzerklärung
Diese Erklärung beschreibt den aktuellen Funktionsumfang von SubWaveBot einschließlich Streamer-Dashboard, Zuschauer-Konto, Chat-/Event-Verarbeitung und optionalen Provider-Integrationen. Welche Daten tatsächlich anfallen, hängt davon ab, welche Funktionen ein Streamer bzw. der Betreiber aktiviert.
1. Verantwortlicher
Verantwortlich für den Betrieb dieser SubWaveBot-Instanz ist Laukart Media SL. Anschrift und weitere Pflichtangaben stehen im Impressum. Datenschutzanfragen können an info@mcdev.tv gerichtet werden.
Bei Community-Funktionen kann zusätzlich der jeweilige Streamer eigene Zwecke und Mittel der Verarbeitung bestimmen, etwa für Gewinnspiele, Moderation oder Community-Aktionen. Soweit personenbezogene Daten ausschließlich im Auftrag eines Streamers verarbeitet werden, sind die datenschutzrechtlichen Rollen und – falls erforderlich – ein Vertrag zur Auftragsverarbeitung gesondert zu klären.
2. Hosting, Aufrufe und Sicherheit
Beim Abruf der Website verarbeitet der Hosting-Server technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitstempel, aufgerufene Ressource, HTTP-Status, übertragene Datenmenge, Referrer sowie Browser-/Geräteangaben. Dies dient Auslieferung, Fehleranalyse, Missbrauchsabwehr und IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Server-Logfiles werden nicht länger aufbewahrt als für diese Zwecke erforderlich.
Sicherheitsfunktionen verarbeiten außerdem kurzfristige Login-Versuche, Sessions, CSRF-/OAuth-Zustände, Rate-Limit- und Deduplizierungskennungen. Geheimnisse und Provider-Tokens werden – soweit sie dauerhaft benötigt werden – nicht im Klartext an Browser ausgegeben und serverseitig geschützt bzw. verschlüsselt gespeichert.
3. Streamer-Konten und Teamzugänge
Für Streamer- und Teamkonten können je nach Anmeldeweg insbesondere E-Mail-Adresse, Passwort-Hash, bestätigter E-Mail-Status, externe Provider-ID, Anzeigename, Rollen/Berechtigungen, Sessiondaten, 2FA-/Recovery-Metadaten sowie Sicherheits- und Auditinformationen verarbeitet werden. Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Kontos sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsabwehr und nachvollziehbare Administration.
4. Zuschauer-Konto und Community-Daten
Beim Zuschauer-Login werden Identitätsdaten aus Twitch, Kick oder YouTube verarbeitet. OAuth-Tokens des Zuschauer-Logins werden nur soweit technisch für den Anmeldevorgang erforderlich genutzt; für die dauerhafte Zuordnung werden insbesondere Plattform, Provider-ID, Benutzer-/Anzeigename und die verknüpften Identitäten gespeichert.
Je nach aktivierten Modulen können dazu Punkte, Watchtime, Chat-Aktivitätszähler, Rang-/Influence-/Saisonfortschritt, Gewinnspiel-Lose und -Historie, Queue-Historie, Ghost-Sammlung, Team, Duelle und Achievements gehören. Das Zuschauer-Konto kann die öffentliche Profilsichtbarkeit pro Community deaktivieren; die zugrunde liegenden eigenen Fortschrittswerte werden dadurch nicht gelöscht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für eine ausdrücklich genutzte Community-Funktion erforderlich ist, und Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsabwehr, Deduplizierung, faire Spiel-/Gewinnspiellogik und den sicheren Betrieb.
5. Chat-, Event- und Streamdaten
SubWaveBot verarbeitet eingehende Streaming-Ereignisse und – wenn aktiviert – Chatnachrichten aus Twitch, Kick und YouTube. Dazu können Provider-Nutzer-ID, Anzeigename, Nachrichtentext, Badges/Rolle, Eventtyp, Zeitpunkt, Betrag/Anzahl bei Subs/Bits/Kicks/Super-Chats/Spenden sowie technische Event-IDs gehören.
Chattexte werden nicht als unbegrenztes Archiv vorgehalten. Für Live-Overlays existiert ein technisch begrenzter Kurzzeitpuffer; andere Module speichern überwiegend abgeleitete Zähler, Zustände oder deduplizierte Eventdaten. Stream-Reports verwenden unter anderem Streamzeiten, Ereignisaggregate und datensparsame Viewer-Anzahlen; es werden dafür keine individuellen Viewer-Listen als Langzeit-Analytics gespeichert.
6. Google- und YouTube-Verbindung (OAuth)
SubWaveBot nutzt die YouTube API Services. Streamer können ihr YouTube-Konto über Google OAuth mit SubWaveBot verbinden. Die Verbindung ist freiwillig; ohne sie stehen lediglich die YouTube-Funktionen nicht zur Verfügung.
Maßgebliche Bedingungen von Google und YouTube:
- Google-Datenschutzerklärung (Google Privacy Policy) – sie gilt für die Verarbeitung durch Google selbst.
- YouTube-Nutzungsbedingungen (YouTube Terms of Service) – durch die Nutzung der YouTube-Funktionen von SubWaveBot stimmen Nutzer diesen Bedingungen zu.
- Google-Sicherheitseinstellungen – hier lässt sich der Zugriff von SubWaveBot jederzeit entziehen.
Angefragte Berechtigungen und wofür sie gebraucht werden:
https://www.googleapis.com/auth/youtube.readonly– den verbundenen Kanal erkennen (Kanal-ID und Kanalname), den gerade laufenden Livestream samt Live-Chat-Kennung finden und, für die Anzeige im Dashboard, die öffentliche Abonnentenzahl abrufen.https://www.googleapis.com/auth/youtube.force-ssl– Nachrichten des laufenden Live-Chats lesen (Chat-Befehle, Super Chats, neue bzw. verschenkte Mitgliedschaften) und Bot-Antworten in denselben Live-Chat senden. Für Live-Chat bietet die YouTube-Schnittstelle keine engere Berechtigung an.
Beim optionalen Zuschauer-Login über YouTube wird ausschließlich youtube.readonly angefragt und nur der eigene Kanal (ID und Anzeigename) zur Identifikation gelesen.
Verarbeitete Google-/YouTube-Daten: Kanal-ID und Kanalname des verbundenen Kontos, Kennung und Status des laufenden Livestreams, Live-Chat-Nachrichten samt Absender-Kanal-ID, Anzeigename, Rolle/Badges und Zeitpunkt sowie Ereignisdaten zu Super Chats, Super Stickern und Mitgliedschaften (Betrag/Stufe, Anzahl, Zeitpunkt). Diese Daten fließen in Chat-Befehle, Alerts, Timer-/Subathon-Logik, Ziele und Auswertungen ein.
Aktionen im Namen des Nutzers: SubWaveBot sendet ausschließlich Bot-Nachrichten in den Live-Chat des verbundenen Kanals. Es werden keine Videos hochgeladen, keine Videos, Titel, Beschreibungen, Wiedergabelisten oder Kommentare geändert oder gelöscht und keine weiteren Google-Dienste (etwa Gmail, Drive oder Kontakte) angefragt.
Umgang mit OAuth-Tokens: Zugangs- und Erneuerungs-Token werden verschlüsselt in der Serverdatenbank gespeichert, ausschließlich serverseitig verwendet und nie an den Browser ausgegeben. Sie erscheinen weder in Adresszeilen noch in Protokollen oder Fehlermeldungen. Sie werden so lange vorgehalten, wie die Verbindung besteht.
Speicherdauer der YouTube-Daten: Aus der YouTube-Schnittstelle stammende personenbezogene Daten (Anzeigename, Kanal-ID, Chat- und Super-Chat-Texte sowie daraus abgeleitete Zuschauerdaten wie Punkte, Sehzeit und Ränge) werden gelöscht, sobald sie 30 Tage lang nicht erneut aus der Schnittstelle bestätigt wurden. Wer im Live-Chat aktiv ist, wird bei jeder Nachricht neu erfasst; wer nicht mehr auftaucht, verschwindet automatisch. Von Ereignissen (etwa einem Super Chat oder einer neuen Mitgliedschaft) bleibt danach nur die Statistik ohne Personenbezug – Art, Anzahl und Zeitpunkt –, weil die zugehörige Zeitgutschrift des Subathon-Timers sonst nachträglich falsch würde.
Verbindung trennen, Widerruf und Löschung: Über „Trennen“ im Streamer-Dashboard widerruft SubWaveBot den Zugang aktiv bei Google (OAuth-Revoke) und löscht anschließend alle aus der YouTube-Schnittstelle stammenden Daten dieses Streamers. Das umfasst:
- Zugangs- und Erneuerungs-Token sowie die gespeicherte Verbindung (Kanal-ID, Kanalname),
- die Kennung des laufenden Live-Chats, den zwischengespeicherten Abrufzustand und die abgerufene Abonnentenzahl,
- den YouTube-Chatpuffer einschließlich Anzeigenamen und Nachrichtentexten,
- aus dem YouTube-Chat abgeleitete Zuschauerdaten: Punkte, Sehzeit, Ränge, Saison- und Spielfortschritte, Warteschlangen, Songwünsche und verknüpfte Kanal-Identitäten,
- Anzeigename, Nachrichtentext und YouTube-Nachrichten-ID in bereits verbuchten Ereignissen – hier bleibt nur die Statistik ohne Personenbezug (Art, Anzahl, Zeitpunkt) erhalten, damit der Verlauf des Subathon-Timers nicht nachträglich verfälscht wird.
Die Löschung erfolgt unmittelbar mit dem Trennen, in jedem Fall innerhalb der von den YouTube API Services Developer Policies vorgesehenen 7 Tage. Daten anderer Plattformen (Twitch, Kick, TikTok) und anderer Streamer bleiben davon unberührt. Wird der Zugriff stattdessen direkt unter myaccount.google.com/permissions entzogen, kann dieselbe Löschung im Dashboard ausgelöst werden; unabhängig davon greifen die oben genannte Speicherdauer und die unten genannten Betroffenenrechte.
Die Nutzung der von Google übermittelten Daten erfolgt ausschließlich für die vom Streamer aktivierten Funktionen. Es findet keine Weitergabe an Dritte zu Werbezwecken und kein Verkauf dieser Daten statt.
7. Verbundene Plattformen und externe APIs
Wenn ein Streamer eine Integration aktiviert, kommuniziert SubWaveBot mit dem jeweiligen Anbieter. Hierzu können OAuth-Tokens, Kanal-/User-IDs, Chat- und Eventdaten sowie die für die gewünschte Aktion erforderlichen Inhalte übertragen werden.
- Twitch, Kick, YouTube: Kanalverbindung, Events, Chat, Moderation, Streamstatus und – je nach aktivierter Funktion – Clips oder andere API-Aktionen.
- Spotify: Now-Playing, Songrequest und bei erteilter Berechtigung Wiedergabesteuerung.
- StreamElements: optionaler Tip-/Spendenabruf; gespeichert werden insbesondere Konfigurations-/Kanalangaben und deduplizierte Spendenereignisse, nicht vollständige Zahlungsdaten.
- Ko-fi, Stripe, PayPal: optionaler Spenden-/Zahlungs- bzw. Abo-/Webhook-Kontext. Vollständige Karten- oder Bankdaten werden grundsätzlich vom Zahlungsanbieter verarbeitet, nicht als solche in SubWaveBot gespeichert.
- Discord oder benutzerdefinierte Webhooks: nur wenn der Streamer die jeweilige Zielintegration aktiviert; übermittelt werden die für die konfigurierte Aktion erforderlichen Inhalte.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vom Nutzer aktivierte Integrationen; je nach Zweck zusätzlich Art. 6 Abs. 1 lit. f oder lit. a DSGVO.
Profilbilder werden nicht direkt von Twitch, Kick oder YouTube geladen. Wird auf einer öffentlichen Seite ein Profilbild angezeigt, holt der Server von SubWaveBot dieses Bild selbst und liefert es aus. Der Browser der Besucherinnen und Besucher baut dadurch keine Verbindung zu den Servern dieser Plattformen auf; es werden dorthin weder IP-Adresse noch Browserkennung noch die aufgerufene Seite übermittelt. Eine Kopie des Bildes wird für längstens sieben Tage auf dem eigenen Server vorgehalten und danach automatisch gelöscht; sie enthält keine weiteren Angaben zur abgebildeten Person.
8. TikTok-Live: Unterstützer-Verlauf
Nutzt ein Streamer die TikTok-Anbindung, läuft auf seinem eigenen Rechner ein Verbindungsprogramm, das Live-Ereignisse an SubWaveBot meldet: Geschenke, Follows, Teilen, Abonnements und die Zahl der Likes. Der TikTok-Chat wird nicht übertragen und nicht gespeichert. Eine Liste aller Zuschauer stellt TikTok nicht bereit; erfasst werden ausschließlich Personen, die eine der genannten Handlungen ausgeführt haben.
Gespeichert werden je Person: der öffentliche @-Name, der angezeigte Name, die von TikTok vergebene Kennung, die Summe der geschenkten Coins, die Zahl der Geschenke, Likes, geteilten Beiträge und Abonnements, ein optionaler Treuepunktestand sowie der Zeitpunkt des ersten und letzten erfassten Ereignisses. Die TikTok-Kennung wird ausdrücklich nicht mit einem SubWaveBot-Konto verknüpft; sie dient allein dazu, dieselbe Person nach einer Namensänderung wiederzuerkennen.
Diese Daten stehen in einer eigenen Tabelle, getrennt von den Zuschauerdaten der übrigen Plattformen, und unterliegen einer Mengenbegrenzung je Streamer. Ein automatisches Verfallsdatum gibt es nicht, weil der Verlauf Grundlage von Bestenlisten und Rückblicken ist. Betroffene können beim jeweiligen Streamer Auskunft und Löschung ihres Eintrags verlangen; der Eintrag lässt sich einzeln entfernen. Nach einer Löschung wird bewusst nichts zurückbehalten – meldet dieselbe Person später erneut ein Ereignis, entsteht ein neuer Eintrag, weil eine Sperrliste genau die Kennung dauerhaft speichern müsste, die gelöscht werden soll.
Verantwortlich für diese Verarbeitung ist der jeweilige Streamer; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Darstellung und Auswertung der eigenen Live-Unterstützung).
9. Herzfrequenz-Anzeige (optional)
Schaltet ein Streamer das Herzfrequenz-Widget ein, überträgt ein Programm auf seinem eigenen Rechner den aktuellen Puls an SubWaveBot. Es handelt sich um Daten des Streamers selbst, die er freiwillig und zum Zweck der Darstellung im eigenen Stream übermittelt; Zuschauerdaten sind davon nicht betroffen. Herzfrequenz ist eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO – deshalb ist die Verarbeitung bewusst so klein wie möglich gehalten.
Gespeichert wird ausschließlich der jeweils letzte Messwert nebst Höchst-, Tiefst- und Durchschnittswert der laufenden Sitzung. Jeder neue Wert überschreibt den vorigen. Es entsteht kein Verlauf, keine eigene Tabelle und kein Eintrag in der Ereignis-Historie; die Werte erscheinen nicht auf öffentlichen Seiten, nicht in Bestenlisten, nicht in Berichten oder Rückblicken und werden nicht in Protokolldateien geschrieben. Sichtbar sind sie allein über die Overlay-Adresse des Streamers, die er selbst in seine Streaming-Software einbindet. Der Streamer kann die Werte jederzeit im Dashboard löschen; mit dem Abschalten des Widgets endet die Übermittlung.
Standort- und Bewegungsdaten (optional, nur beim Streamer). Schaltet ein Streamer die IRL-Anzeige ein, überträgt seine Uhr bzw. sein Telefon zusätzlich Schrittzahl, Tagesstrecke, Geschwindigkeit, Höhe und – sofern er es aktiviert – seinen groben Standort an SubWaveBot. Auch das sind Daten des Streamers selbst, freiwillig und zum Zweck der Darstellung im eigenen Stream übermittelt. Es gilt dieselbe Regel wie beim Puls: Gespeichert wird ausschließlich der jeweils letzte Wert, jeder neue überschreibt den vorigen. Es entsteht kein Bewegungsprofil, keine Route, kein Verlauf und kein Eintrag in der Ereignis-Historie. Rohe Koordinaten werden nicht angenommen; angezeigt wird eine gerundete Ortsangabe. Der Streamer kann die Werte jederzeit im Dashboard löschen; mit dem Abschalten des Widgets endet die Übermittlung.
Es findet keine medizinische Auswertung statt. SubWaveBot stellt eine Zahl dar und trifft keine gesundheitsbezogene Bewertung, Diagnose oder Empfehlung. Rechtsgrundlage ist die ausdrückliche Einwilligung des Streamers durch Aktivierung der Funktion (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO); sie ist durch Abschalten jederzeit für die Zukunft widerrufbar.
10. KI, Moderation und Text-to-Speech
KI-, Moderations- oder TTS-Funktionen sind optional. Bei Aktivierung können eingegebene bzw. für die Funktion ausgewählte Texte an den konfigurierten Anbieter übertragen werden, etwa Gemini/Groq für Assistenzfunktionen oder ElevenLabs/andere TTS-Dienste für Sprachausgabe. Streamer sollten keine unnötigen sensiblen personenbezogenen Daten in Prompts, TTS-Texten oder Automationen übermitteln.
SubWaveBot ist nicht darauf ausgelegt, ausschließlich automatisierte Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO zu treffen. Automatische Moderationsaktionen sind vom Streamer konfigurierbare Kanalwerkzeuge und können von menschlichen Verantwortlichen überprüft bzw. geändert werden.
11. Gewinnspiele
Bei Gewinnspielen verarbeitet SubWaveBot insbesondere verknüpfte Zuschaueridentität, Lose, Zeitpunkt, Gewinnspiel-ID und – nach einer Ziehung – die für Historie und Nachweis erforderlichen Ergebnisdaten. Der jeweilige Veranstalter ist für seine Teilnahmebedingungen, die rechtmäßige Durchführung und die erforderliche Kommunikation mit Gewinnern verantwortlich. SubWaveBot verkauft keine Zahlungsdaten zur Teilnahme und verhindert nicht, dass der Veranstalter zusätzliche rechtlich notwendige Angaben außerhalb des Tools bereitstellt.
12. Website-Statistik
Die eigene Reichweitenmessung ist aktiviert. Nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG) werden unter anderem Seitenaufruf, Referrer-Kategorie, Gerät/Browser, Sprache und eine datensparsame Sitzungskennung verarbeitet. IP-Adressen werden für diese Statistik nicht als dauerhaftes Klartext-Besucherprofil gespeichert. Die technische Aufbewahrungsregel für Pageviews beträgt derzeit 180 Tage.
13. Werbung und Google AdSense
Google AdSense ist aktiviert (Publisher-ID: ca-pub-4222341439086218). Werbe-/Marketing-Skripte werden erst nach der entsprechenden Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG). Dabei können Geräte-/Browserinformationen, IP-Adresse und Nutzungs-/Werbeinformationen an Google Ireland Limited und verbundene Unternehmen übertragen werden. Einzelheiten zu Empfängern, Speicherdauer und internationalen Übermittlungen richten sich zusätzlich nach den aktuellen Datenschutzinformationen und Einwilligungsmechanismen von Google.
14. Cookies, LocalStorage und ähnliche Speicher
| Speicher | Zweck | Einordnung |
|---|---|---|
sw_gv / Login-Session | angemeldeten Zuschauer bzw. Benutzer sicher wiedererkennen | für den ausdrücklich gewünschten Login technisch erforderlich |
| OAuth-/CSRF-Flow-Cookies | Anmelde- und Verknüpfungsvorgänge absichern | kurzlebig, technisch erforderlich |
sw_consent | Einwilligungsentscheidung speichern | Einwilligungsverwaltung |
sw_sid (nur bei Statistik-Einwilligung) | Sitzung für Reichweitenmessung | sessionStorage bis Tab-/Sitzungsende |
sw_public_lang | gewählte Anzeigesprache der öffentlichen Seiten merken | localStorage, für die vom Nutzer selbst getroffene Auswahl technisch erforderlich |
Nach § 25 TDDDG ist eine Einwilligung für Speicherzugriffe nicht erforderlich, wenn sie unbedingt notwendig sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Statistik-/Marketingzugriffe werden getrennt behandelt. Cookie-Einstellungen öffnen.
15. Empfänger, Auftragsverarbeiter und Drittlandbezug
Empfänger können – abhängig von aktivierten Funktionen – Hosting-/Mailanbieter, Twitch, Kick, Google/YouTube, Spotify, StreamElements, Ko-fi, Stripe, PayPal, Discord, Bluesky, Mastodon-Instanzen (Social-Hub, nur wenn der Streamer sie verbindet), KI-/TTS-Anbieter einschließlich Google (Sprachausgabe/Text-to-Speech) sowie vom Streamer selbst konfigurierte Webhook-Ziele sein. Daten werden nur im für die jeweilige Funktion erforderlichen Umfang übermittelt.
Einige Anbieter sitzen außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort. In diesen Fällen richtet sich die Übermittlung nach den jeweils anwendbaren gesetzlichen Voraussetzungen und den vom Anbieter eingesetzten Transfermechanismen. Vor produktiver Aktivierung eines neuen Providers sind dessen Datenschutzbedingungen und – soweit erforderlich – Auftragsverarbeitungs-/Transferverträge zu prüfen.
16. Aufbewahrung und Löschung
Daten werden nicht pauschal unbegrenzt gespeichert. Technische Kurzzeitdaten besitzen feste oder begrenzte Aufbewahrungsregeln; dauerhafte Community-Fortschritte bleiben nur solange erhalten, wie dies für die jeweilige Funktion oder gesetzliche Pflichten erforderlich ist. Die aktuell im Produkt hinterlegten Regeln:
| Bereich | Daten | Aufbewahrung | Zweck |
|---|---|---|---|
| TikTok | Unterstuetzer-Verlauf je Person (Name, TikTok-Kennung, Coins, Likes) | bis zur Loeschung durch den Streamer; hoechstens 50.000 Personen je Streamer | Grundlage fuer Bestenlisten und Rueckblicke. Einzelne Personen sind auf Wunsch loeschbar; automatisch verfaellt nichts. |
| Herzfrequenz | Letzter Puls-Messwert des Streamers (+ Peak/Schnitt der Sitzung) | nur der jeweils letzte Wert; kein Verlauf | Nur fuer die laufende Overlay-Anzeige. Nicht in sw_events, nicht oeffentlich, nicht im Bericht; jederzeit per Knopf loeschbar. |
| Fehlerspeicher | Fehlermeldungen und gemeldete Probleme (Text, Bereich, Version) – ohne Zuschauernamen | 90 Tage, hoechstens 500 Zeilen | Ein Fehler, den niemand sieht, wird nie behoben. Nach der Behebung braucht ihn niemand mehr. |
| Minispiele | Beendete Minispiel-Runden (Duell, Heist, Verlosung …) mit Teilnehmernamen | 14 Tage nach Rundenbeginn; offene Runden bis zum Ende | Nur fuer den Ablauf der laufenden Runde noetig. Punkte und Gewinne stehen im Punktestand, nicht hier. |
| Sicherungen | Datenbank-Sicherungen der gesamten Installation – enthalten auch zwischenzeitlich gelöschte Streamer-Konten und Zuschauer-Einträge | 14 Tage, danach automatisch gelöscht | Wiederherstellung nach Ausfall oder Fehlbedienung. Gelöschte Daten werden nicht aus bestehenden Sicherungen herausgeschnitten, sondern verschwinden mit deren Ablauf. |
| Webhooks | Zustellungs-/Dedup-Quittungen | 7 Tage | Nur Schutz gegen doppelte Provider-Zustellung. |
| Tests | Test-Events | 6 Stunden | Testdaten duerfen Statistiken nicht langfristig aufblasen. |
| Timer | Technischer Timer-Verlauf | letzte 5.000 je Streamer, der LAUFENDE Subathon vollstaendig | Genug Verlauf fuer Diagnose, ohne unbegrenztes Wachstum. Waehrend ein Subathon laeuft, wird nichts aus ihm gekappt (v8.311). |
| Chat-Overlay | Kurzzeit-Chatpuffer | letzte 300 Nachrichten je Streamer | Nur fuer die laufende Overlay-Anzeige, kein Chatarchiv. |
| Gewinnspiele | Gekaufte Lose (Plattform, Name, Anzeigename, Anzahl) | bis zur Loeschung durch den Streamer („Diese Person vergessen") | Nachvollziehbarkeit einer Ziehung. Seit v8.362 von der Loeschung erfasst – vorher blieben die Lose vergangener Gewinnspiele stehen. |
| Twitch-Extension | Bits-Kaeufe (Zeitpunkt, Menge, Effekt) – Name nur bis zur Loeschung | Zahlen bleiben; Name und Kennung werden bei „Diese Person vergessen" geleert | Buchhaltung ueber tatsaechlich gezahlte Bits. Die Zahl bleibt, der Name daneben nicht. |
| Chat-Statistik | Nachrichten- und Chatterzahl je Streamtag und Plattform | Zahlen bleiben (keine Personendaten) | Grundlage des Tagesberichts. Der Chatpuffer haelt nur 300 Zeilen – ohne eigene Zaehlung waeren die Tageszahlen abgeschnitten. |
| Chat-Statistik | Tages-Pseudonym je Chatter (HMAC des Namens, tagesgebunden) | 30 Tage | Nur damit dieselbe Person am selben Tag nicht doppelt gezaehlt wird. Kein Name, kein Text, nicht zurueckrechenbar; die gezaehlte Zahl bleibt auch nach dem Loeschen. |
| Website | Datensparsame Pageviews | 180 Tage | Reichweitenvergleich ohne dauerhaftes Besucherprofil. |
| Jobs | Erfolgreich abgeschlossene Hintergrundjobs | 7 Tage | Erledigte technische Arbeit braucht kein Dauerarchiv. |
| Jobs | Fehlgeschlagene Hintergrundjobs | bis zur Diagnose/Loeschentscheidung | Fehler duerfen nicht verschwinden, bevor sie erklaert sind. |
| Login | Web-Sessions | 30 Tage Inaktivitaet | Abgelaufene Sitzungen haben keinen Nutzen mehr. |
| Login | Login-Versuchsfenster | 1 Tag | Nur kurzfristiger Brute-Force-Schutz. |
| Versandprotokoll | 90 Tage | Betriebsnachweis statt dauerhaftes Kommunikationsarchiv. | |
| Streaming | Exakte verifizierte Stream-Sessions | 180 Tage, danach Tagesaggregat | Aktuelle Reports behalten exakte Sessiongrenzen; aeltere Streamtage werden ohne Zuschaueridentitaeten verdichtet. |
| Streaming | Streamtag-Aggregate | fachliche Streamtag-Historie | !daily, Attendance und Langzeit-Analytics behalten Streamtage/Dauer/Sessionanzahl ohne alte Rohzeilen. |
| Streaming | Live-Viewer-Snapshots (nur Anzahl) | 180 Tage | Nur fuer Avg/Peak-Viewer im Stream-Report; keine Viewer-Identitaeten, IPs oder Rohpayloads. |
| Community | Mitspieler-Queue-Historie | 180 Tage | Aufruf-/Skip-Historie fuer Fairness und Moderation, kein dauerhaftes Zuschauerprofil. |
| Community | Geister-Sammlung (Geist-ID, Fangzahl, Plattformkennung, erster/letzter Fang) | fachlicher Sammlungsstand bis zur Loeschung der zugehoerigen Zuschauer-/Streamer-Daten | Der globale Index ist bewusst dauerhafte Spielprogression; keine Chattexte, Provider-Rohpayloads, Tokens oder Mediendateien. |
| Community | Geister-Duelle (Gegnerkennung, gewählte Geist-IDs, Ergebnis, begrenzte Kampfrunden) | 180 Tage | Duell-Historie fuer Konto/Anti-Farming; keine Chattexte, Provider-Rohpayloads, Tokens oder Medien. |
| Community | Geister-Battle-Aggregate (Siege/Niederlagen/Streaks/Favorit je Identitaet und Geist) | fachlicher Spielstand bis zur Loeschung der zugehoerigen Zuschauer-/Streamer-Daten | Dauerhafte Mini-Battler-Progression ohne Rohchat oder Providerpayloads. |
| Community | Geister-3er-Team (drei Katalog-IDs je eigener Identitaet) | bis zur Aenderung/Account-Loeschung | Reine Spielpraeferenz; keine Fremdidentitaeten oder Chattexte. |
| Community | Geister-Achievements (dauerhafte Achievement-ID je eigener Identitaet + Freischaltzeit) | fachlicher Prestige-Spielstand bis zur Loeschung der zugehoerigen Zuschauer-/Streamer-Daten | Einmal erreichte Erfolge bleiben auch nach Team-/Favoritenwechsel erhalten; keine Kampfstaerke, Chattexte oder Provider-Rohpayloads. |
| Betrieb | Geister-Balance-Telemetrie (PII-freie Matchup-Aggregate) | versioniert nach Battle-Balance | Winrate/Pickrate/Runden/Rest-HP/Faehigkeitsausloesungen fuer manuelle Balance; keine Viewer-Namen/IDs. |
| Community | Saisonpass-Fortschritt (Saison-ID, Plattformkennung, XP, letzter Stand) | bis zur zugehoerigen Konto-/Streamer-Loeschung; Saisonwechsel loescht alte Fortschritte nicht automatisch | Saisonale Progression bleibt getrennt von permanenten Punkten/Watchtime und benoetigt keine Provider-Rohpayloads. |
| Creator | Clip-Inbox (Zeitpunkt/Offsets/Status/Prioritaet/Notiz/Provider-ID) | 365 Tage | Arbeitsmarker fuer die nachgelagerte Clip-/VOD-Auswahl; keine Mediendatei, OAuth-Tokens, Provider-Rohpayloads oder Chat-Historie. |
| API | REST-v2-Idempotency-Quittungen | 24 Stunden | Verhindert doppelte Schreibaktionen bei Retries; enthaelt nur Request-Fingerprint und gespeicherte API-Antwort. |
| Automationen | Ausfuehrungs-Audit (Regel/Trigger/Status, begrenzter Kontext) | 30 Tage | Fehlersuche und Exactly-once-Dedupe fuer Zeitplaene; keine Chattexte, Kanalpunkt-Freitexte, Provider-Rohpayloads, Tokens oder Secrets. |
| Marketplace | Abgelehnte Community-Template-Revisionen + Review-Hinweis | 180 Tage | Genug Zeit fuer Rueckfragen/Neu-Einreichung; abgelehnte Layoutdaten muessen kein Dauerarchiv werden. |
| Marketplace | Freigegebene Community-Templates/Versionen/Bewertungen | bis Rueckzug bzw. fachliche Versionierung | Oeffentlich freigegebener Creator-Inhalt; Rueckzug entfernt die Vorlage sofort aus dem Katalog, bereits importierte Kopien anderer Streamer bleiben eigenstaendig. |
| Giveaway | Gratis-Erstlos-Claim (Plattform/Benutzerkennung) | bis Ziehung oder Abbruch | Nur fuer Exactly-once-Gratislos und korrekte Rueckerstattung; danach sofort entbehrlich. |
| Daily | !daily-Check-in-Tage | derzeit ohne Auto-Loeschung | Minimaldaten fuer konto-weite 10/25/50-Tage-Meilensteine; keine Chattexte oder IPs. |
| Statistik | Echte Events/Punkte | fachliche Historie | Grundlage fuer Statistiken, Bestenlisten und nachvollziehbare Werte. |
| YouTube | Aus der YouTube-API stammende Zuschauerdaten (Name, Kanal-ID, Chattext, Punkte/Sehzeit) | 30 Tage ohne erneute Bestaetigung; sofort beim Trennen der Verbindung | Vorgabe der YouTube API Services Developer Policies (III.E.4.c „delete or refresh", III.D.2.c.i Loeschung binnen 7 Tagen nach Widerruf). Aktive Zuschauer werden bei jeder Chatnachricht neu geschrieben und bleiben. |
| YouTube | Statistik zu YouTube-Ereignissen (Typ, Menge, Zeitpunkt) ohne Namen | fachliche Historie | Nach dem Entfernen von Name, Text und Nachrichten-ID bleibt eine reine Zahl. Timer-Verlauf und Subathon-Auswertung wuerden sonst nachtraeglich falsch. |
| YouTube | OAuth-Zugangs- und Erneuerungstoken (verschluesselt) | bis zum Trennen/Widerruf; danach sofort geloescht | Beim Trennen widerruft SubWaveBot den Zugang zusaetzlich aktiv bei Google. Tokens erscheinen nie in Logs, Diagnosen oder Antworten. |
| Secrets | OAuth/API-Secrets | nie in Logs/Diagnosen | Secrets werden verschluesselt gespeichert und duerfen keine Diagnosehistorie bilden. |
Gesetzliche Aufbewahrungspflichten, offene Zahlungs-/Vertragsvorgänge, Sicherheitsnachweise oder berechtigte Rechtsverteidigung können einer sofortigen Löschung einzelner Datensätze entgegenstehen.
17. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO: Konto, ausdrücklich gewünschte Stream-/Community-/Integrationsfunktionen und Vertragsdurchführung.
- Art. 6 Abs. 1 lit. f DSGVO: sicherer Betrieb, Deduplizierung, Missbrauchs-/Betrugsabwehr, Fehleranalyse und angemessene Betriebsstatistik. Betroffene können aus Gründen ihrer besonderen Situation widersprechen.
- Art. 6 Abs. 1 lit. a DSGVO: einwilligungsabhängige Statistik, Marketing/Werbung oder andere ausdrücklich freiwillige Verarbeitungen. Einwilligungen sind jederzeit für die Zukunft widerrufbar.
- Art. 6 Abs. 1 lit. c DSGVO: soweit gesetzliche Pflichten, etwa steuer-/handelsrechtliche Aufbewahrung, greifen.
18. Deine Rechte
Betroffene haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen können jederzeit für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.
Zur Identitätsprüfung können bei einer Anfrage zusätzliche Angaben erforderlich sein, wenn sonst nicht sicher festgestellt werden kann, dass die anfragende Person tatsächlich berechtigt ist.
Auskunft und Löschung ohne Umweg (Zuschauer)
Wer sich unter Mein Konto mit seinem Twitch-, Kick- oder YouTube-Konto angemeldet hat, kann beides selbst und sofort ausüben – eine Anfrage per E-Mail ist dafür nicht nötig:
- Auskunft (Art. 15): „Daten herunterladen“ liefert alle zum Konto gespeicherten Daten als Datei.
- Löschung (Art. 17): „Meine Daten löschen“ zeigt zunächst je Streamer, was gespeichert ist, und löscht es nach einer getippten Bestätigung.
Zwei Dinge bleiben dabei bewusst bestehen, und die Vorschau weist sie vorher aus: verbuchte Ereignisse werden anonymisiert statt gelöscht – der Name verschwindet, die dadurch gutgeschriebene Zeit bleibt in der Subathon-Uhr, weil sonst der Verlauf des gesamten Laufs verfälscht würde – und bereits erfolgte Gewinnspiel-Gewinne bleiben als Nachweis der durchgeführten Verlosung stehen. Sind zum Zeitpunkt der Anfrage noch Punkte als Einsatz in einem laufenden Gewinnspiel oder Minispiel gebunden, wird die Löschung für diesen Kanal angehalten und der Grund genannt, damit der Einsatz nicht ersatzlos verfällt.
Unabhängig davon bleibt der Weg über den jeweiligen Streamer als Verantwortlichen und über die im Impressum genannten Kontaktdaten selbstverständlich offen.
19. Quellen personenbezogener Daten
Daten stammen entweder unmittelbar von Nutzern/Streamern oder – nach deren Verbindung bzw. Interaktion – von den angebundenen Plattformen und Zahlungs-/Eventprovidern. Hierzu gehören insbesondere Twitch, Kick, YouTube, Spotify, StreamElements, Ko-fi, Stripe und PayPal. Die Verarbeitung beschränkt sich auf den für aktivierte SubWaveBot-Funktionen erforderlichen Umfang.
20. Änderungen
Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Provider oder Rechtsgrundlagen wesentlich ändern. Der jeweils aktuelle Stand ist auf dieser Seite abrufbar.