Datenschutzerklärung — aaf-Prep Closed Beta

(Anmeldung und Software-Nutzung)

§ 1 Verantwortlicher

(Art. 13 Abs. 1 lit. a DSGVO)

Verantwortlich für die Verarbeitung personenbezogener Daten durch die Software aaf-Prep im Sinne von Art. 4 Nr. 7 DSGVO ist:

aa-Schmiede Inhaber:
Tobias Kraaz
Luxemburger Straße 281
50939 Köln
Deutschland
E-Mail: kraaz@aa-schmiede.com

§ 2 Datenschutzbeauftragter

Es besteht keine Verpflichtung zur Bestellung eines Datenschutzbeauftragten nach § 38 BDSG, da aa-Schmiede als Einzelunternehmen die Schwelle von 20 ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigten Personen (§ 38 Abs. 1 Satz 1 BDSG) nicht erreicht, keine Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (§ 38 Abs. 1 Satz 2 Alt. 1 BDSG), und keine geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder zu Zwecken der Markt- oder Meinungsforschung erfolgt (§ 38 Abs. 1 Satz 2 Alt. 2 BDSG). Für Fragen zum Datenschutz wenden Sie sich bitte direkt an kraaz@aa-schmiede.com.

§ 3 Verarbeitete Daten und Zwecke sowie Rechtsgrundlagen

(1) Bei der Beta-Anmeldung verarbeitet der Verantwortliche folgende Daten:

(2) Zwecke der Verarbeitung sind die Identifizierung des Vertragspartners sowie die Ermöglichung der Korrespondenz mit diesem. Die Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a und lit. b DSGVO.

(3) Im Rahmen der Software-Nutzung werden personenbezogene Daten verarbeitet; die einzelnen Datenkategorien, deren technische Verarbeitung sowie die jeweiligen Rechtsgrundlagen sind in § 4 und § 6 beschrieben.

Nr. Verarbeitung Daten Empfänger Rechtsgrundlage
1 Lizenz-Validierung beim Programmstart und bei Lizenz-Aktionen Pseudonymisierter Geräte-Fingerprint, Lizenz-Schlüssel, License-ID, Machine-ID, IP-Adresse Keygen LLC (USA) — siehe § 5 Art. 6 Abs. 1 lit. b DSGVO
2 Lokale Speicherung des Lizenzstatus Lizenz-Schlüssel, pseudonymisierter Fingerprint, Validierungs-Zeitpunkt, Lizenzstatus nur lokales Dateisystem — siehe § 6 Art. 6 Abs. 1 lit. b DSGVO
3 Lokale Protokollierung (Logs) maskierte Dateipfade, maskierte UUIDs, Programmereignisse nur lokales Dateisystem — siehe § 6 Art. 6 Abs. 1 lit. f DSGVO
4 Verarbeitung von AAF-Audiodateien technische AAF-Inhalte rein lokal, keine Empfänger Art. 6 Abs. 1 lit. b DSGVO

(4) Ausdrücklich findet nicht statt: Telemetrie, Crash-Reporting, Analytics, periodische Heimrufung an den Verantwortlichen, Auto-Update-Mechanismus, automatische Übermittlung von AAF-Inhalten.

(5) Eine Nutzung der erhobenen Daten für Werbung außerhalb der Closed-Beta-Kommunikation oder für Markt-/Meinungsforschung findet nicht statt. Eine Weitergabe an Dritte zu deren eigenen Zwecken erfolgt ebenfalls nicht.

§ 4 Beschreibung der einzelnen Daten

4.1 Pseudonymisierter Geräte-Fingerprint

Beim Programmstart und bei Lizenz-Aktionen erzeugt die Software einen pseudonymisierten Geräte-Fingerprint im Sinne von Art. 4 Nr. 5 DSGVO:

Der Hash ist eine 64-stellige Hexadezimal-Zeichenfolge ohne Salt. Die Roh-Hardware-Identifikatoren verlassen das Endgerät zu keinem Zeitpunkt — der Empfänger erhält ausschließlich den Hash. Eine Re-Identifikation des Endgeräts ist nur möglich entweder durch physischen Zugriff auf die Hardware oder durch Verknüpfung des Hashes mit der Lizenz-Datenbank des Verantwortlichen oder von Keygen.

4.2 Lizenz-Schlüssel

Der vom Verantwortlichen zugewiesene Lizenz-Schlüssel wird beim Programmstart und bei Lizenz-Aktionen an Keygen LLC im Klartext übermittelt (für die API-Authentifizierung erforderlich). Der Schlüssel ist beim Verantwortlichen einem konkreten Tester zugeordnet; bei Keygen ist der Schlüssel zusätzlich mit dem Klartext-Namen des Testers verknüpft (siehe § 6.3).

4.3 IP-Adresse

Bei jeder Verbindung zu api.keygen.sh (HTTPS/TLS) wird die IP-Adresse des Endgeräts technisch übertragen und vom Empfänger in Server-Logs verarbeitet. Die IP-Adresse gilt nach Rechtsprechung des EuGH grundsätzlich als personenbezogenes Datum.

4.4 Lokal gespeicherte Lizenzdaten

Die Software speichert den Lizenzstatus in einer lokalen Datei ~/.aaf-prep/license.json auf dem Endgerät des Testers:

4.5 Lokale Logs

Die Software schreibt Diagnose-Logs nach ~/Library/Logs/aaf-Prep/aaf-prep.log (macOS) bzw. dem entsprechenden Standard-Pfad anderer Betriebssysteme. Es greifen zwei Maskierungs-Mechanismen vor dem Schreiben in die Log-Datei:

Logs werden automatisch rotierend gehalten (maximal 5 × 1 MB Backup-Dateien). Eine Übertragung an den Verantwortlichen oder Dritte erfolgt nicht.

4.6 AAF-Dateien und andere Medien

AAF-Dateien sowie weitere im Rahmen der Software-Nutzung lokal eingebundene Medien (insbesondere Audio- und Videodateien, die dem AAF-Projekt zugeordnet sind) werden ausschließlich lokal auf dem Endgerät des Testers verarbeitet. Eine Übertragung der Datei-Inhalte, von Metadaten oder Auszügen an den Verantwortlichen, an Keygen oder an Dritte findet nicht statt.

§ 5 Empfänger und Speicherorte von Anmeldedaten (Art. 13 Abs. 1 lit. e + f DSGVO)

5.1 Lokale Tester-Liste beim Verantwortlichen

Die erhobenen Daten werden in einer lokalen Datei (Tabellen-Format, Microsoft Excel) auf dem Endgerät des Verantwortlichen (macOS) gespeichert. Auf diesem Endgerät ist die automatische Synchronisation der Standard-System-Verzeichnisse „Schreibtisch" und „Dokumente" mit iCloud Drive deaktiviert; die Tester-Liste liegt zudem nicht in einem standardmäßig cloud-synchronisierten Verzeichnis (kein Dropbox, OneDrive, Google Drive). Die Tester-Liste verlässt das lokale Dateisystem daher nicht über automatisierte Cloud-Backups.

5.2 Mail-Versand-Provider — All-Inkl.com (Auftragsverarbeiter)

Für den Versand von E-Mails an Tester und für den Empfang von Tester-Mails an beta@aaf-prep.com nutzt der Verantwortliche den deutschen Mail- und Hosting-Provider:

ALL-INKL.COM — Neue Medien Münnich
Inhaber: René Münnich
Hauptstraße 68
02742 Friedersdorf
Deutschland
USt-IdNr.: DE 212657916
Telefon: +49 35872 353-10
Website: https://all-inkl.com

5.3 Mail-Archiv des Verantwortlichen

Eingehende Anmelde-E-Mails an beta@aaf-prep.com sowie nachfolgender Schriftverkehr mit den Testern werden im Mail-Konto des Verantwortlichen archiviert. Das Mail-Archiv dient:

§ 6 Drittanbieter und Empfänger im Rahmen der Software-Nutzung

(Art. 13 Abs. 1 lit. e + f DSGVO)

6.1 Keygen LLC

Für die Lizenz-Validierung nutzt der Verantwortliche den Dienst Keygen LLC:

Übermittelte Daten:

Auslöser der Übermittlung sind nach der Einrichtung ausschließlich vom Tester ausgelöste Aktionen (Registrierung, Aktivierung, Refresh, Deaktivierung) sowie ein einmaliger Validierungs-Check beim Programmstart. Eine periodische Heimrufung oder ein dauerhafter Heartbeat erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Übermittlung ist zur Erfüllung des Lizenzvertrags (EULA) zwischen dem Verantwortlichen und dem Tester erforderlich.

Auftragsverarbeitungs-Verhältnis: Keygen LLC ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Auftragsverarbeitungsvertrag (DPA) ist in den Keygen-Standard-Terms-of-Service (Section 12) integriert; dies ist nach Art. 28 Abs. 9 DSGVO in elektronischem Format zulässig.

6.2 Drittlandtransfer in die USA

(Art. 13 Abs. 1 lit. f, Art. 46 DSGVO)

Die Übermittlung an Keygen LLC umfasst einen Drittlandtransfer in die USA. Als Schutzmaßnahme im Sinne von Art. 46 Abs. 2 lit. c DSGVO sind in den Keygen-Terms (Section 12.1.9) Standardvertragsklauseln (SCCs) der Europäischen Kommission inkorporiert.

Über die App-Übertragungen hinaus legt der Verantwortliche im Keygen-Dashboard für jeden Tester manuell ein Benutzer-Objekt an, das den Klartext-Namen des Testers enthält. Diese Anlage erfolgt nicht durch die Software, sondern administrativ durch den Verantwortlichen außerhalb des App-Datenflusses. Der Klartext-Name ist bei Keygen mit dem Lizenz-Schlüssel verknüpft.

6.4 Sub-Auftragsverarbeiter von Keygen LLC

Es bestehen eigene Auftragsverarbeitungs-Vereinbarungen zwischen Keygen LLC und folgenden Unternehmen: Cloudflare (DNS / WAF / DDoS-Schutz), Stripe (Zahlungsabwicklung), Fathom (datenschutzfreundliche Analytik), BetterStack (Alerting / Logs), SendGrid (transaktionale E-Mails), Heroku (Hosting-Infrastruktur), Amazon Web Services (Hosting-Infrastruktur), WorkOS (SAML/SSO).

§ 7 Speicherdauer

(Art. 13 Abs. 2 lit. a DSGVO)

7.1 Anmeldedaten

(1) Die in der lokalen Tester-Liste (§ 5.1) und im Mail-Archiv (§ 5.3) gespeicherten Anmeldedaten werden für die Dauer der Closed-Beta-Phase gespeichert. Nach deren Ende werden sie unverzüglich gelöscht, soweit nicht gesetzliche Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten nach §§ 147 AO, 257 HGB) entgegenstehen.* *

(2) Eine Löschung erfolgt unabhängig davon auf Tester-Anforderung (siehe § 8), soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

7.2 Daten bei Keygen LLC

§ 8 Widerruf der Einwilligung (Art. 13 Abs. 2 lit. c, Art. 7 Abs. 3 DSGVO)

(1) Soweit die Verarbeitung auf einer Einwilligung des Testers beruht (vgl. § 3 Abs. 2, Art. 6 Abs. 1 lit. a DSGVO), kann diese jederzeit ohne Begründung mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(2) Für den Widerruf genügt eine formlose E-Mail an beta@aaf-prep.com. Mit Eingang des Widerrufs werden:

§ 9 Betroffenenrechte (Art. 13 Abs. 2 lit. b DSGVO)

Sie haben gegenüber dem Verantwortlichen folgende Rechte:

Für die Geltendmachung wenden Sie sich an beta@aaf-prep.com.

9.1 Zuständige Aufsichtsbehörde

Aufgrund des Sitzes des Verantwortlichen in Köln (Nordrhein-Westfalen) ist die zuständige Datenschutz-Aufsichtsbehörde:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

Postanschrift: Postfach 20 04 44, 40102 Düsseldorf
Hausanschrift / Besucher: Kavalleriestraße 2-4, 40213 Düsseldorf
Telefon: +49 (0)211 / 38424-0
Fax: +49 (0)211 / 38424-999
E-Mail: poststelle@ldi.nrw.de
Web: https://www.ldi.nrw.de

§ 10 Erforderlichkeit der Datenbereitstellung (Art. 13 Abs. 2 lit. e DSGVO)

Ohne die Verarbeitung der Daten ist die Identifizierung des Vertragspartners und die Durchführung des Vertrages nicht möglich.

§ 11 Keine automatisierten Entscheidungen (Art. 13 Abs. 2 lit. f DSGVO)

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

§ 12 Datensicherheit (Art. 32 DSGVO)

12.2 Sicherheitsmaßnahmen am Software-Daten-Pfad

Der Verantwortliche und sein Auftragsverarbeiter Keygen LLC ergreifen technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

§ 13 Änderungen dieser Datenschutzerklärung

Mit fortlaufender Weiterentwicklung der Software oder Änderungen der Rechtslage kann eine Aktualisierung dieser Datenschutzerklärung erforderlich werden. Die jeweils gültige Fassung wird unter https://aaf-prep.com/de/datenschutz/software veröffentlicht und im Falle wesentlicher Änderungen den Testern per E-Mail mitgeteilt.

← zurück zur Startseite