Datenschutzerklärung

Verantwortliche Stelle im Sinne der Datenschutz-Grundverordnung (DSGVO): Estellantica GmbH, Koberstr. 28, 88048 Friedrichshafen, Deutschland, vertreten durch den Geschäftsführer Nikolai Bader. E-Mail: konto@showsandstories.com, Kontaktformular: https://api.showsandstories.com/kontakt

Diese Erklärung gilt für die App (Windows, Web und installierbare Web-App), für den Synchronisierungs-Server und alle Seiten unter api.showsandstories.com, etwa zum Bestellen, Bezahlen, Kündigen, Widerrufen und Melden und für das Kontaktformular, sowie für die Websites showsandstories.com und showsandstories.de.

1. Welche Daten wir verarbeiten und wozu

a) Konto-Daten

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse und ein Passwort (als Hash gespeichert, im Klartext nie einsehbar). Zweck: Erstellung und Verwaltung deines Kontos, Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahme). Die Angabe ist für den Vertragsschluss erforderlich: Ohne E-Mail-Adresse und Passwort können wir kein Konto anlegen und die Synchronisierung zwischen Geräten nicht bereitstellen.

Zu jeder Anmeldung speichern wir außerdem den Namen des Geräts, wie die App ihn mitgibt (zum Beispiel "Desktop (Windows)"), den Zeitpunkt der Anmeldung und – stundengenau – der letzten Nutzung, damit du in den Kontoeinstellungen siehst, welche Geräte angemeldet sind, und einzelne abmelden kannst. Gespeichert wird auch, ob du deine E-Mail-Adresse bestätigt hast. Eine Anmeldung endet mit der Abmeldung, spätestens nach 60 Tagen; dann werden diese Angaben gelöscht.

Zum Konto selbst speichern wir, stundengenau, wann du dich zuletzt angemeldet oder die App zuletzt genutzt hast, damit wir ungenutzte Konten erkennen (Ziffer 4). Aus dem Zeitpunkt deiner Registrierung und dem Starttag unserer Tarife ergibt sich das Ende deines Tests (7 Tage ab Fassung 7 der Nutzungsbedingungen, zuvor 14 Tage). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

b) Synchronisierte Nutzungsdaten

Die App nutzt du mit deinem Konto. Sie gleicht deine Daten dabei automatisch zwischen deinen Geräten ab; das gehört zur Leistung. Dafür speichern wir: abonnierte Feeds samt deinen Notizen, Bewertungen, Benachrichtigungs- und Spracheinstellungen dazu, Ordner, Tags, intelligente Ordner, Kollektionen, gespeicherte Suchen und Feed-Regeln, Wiedergabeposition, Wiedergabeverlauf und Gehört-Status, Notizen, Bewertungen, Sprachkorrekturen und Ausblendungen zu einzelnen Folgen, Playlists, gespeicherte Folgen, die Merkliste sowie deine Einstellungen zur Wiedergabe, zu Bewertungen und zum Entdecken. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

c) Technische Fehlerberichte

Tritt ein Fehler in der App auf, kann automatisch ein technischer Bericht an uns übermittelt werden: Fehlermeldung, Stacktrace, verwendete App-/Browser-Version, aufgerufene Adresse sowie – falls du angemeldet bist – eine interne Konto-Kennung. Diese Berichte dienen ausschließlich der Fehlerbehebung und enthalten keine bewusst eingegebenen Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen Dienst). Speicherdauer: automatisch nach spätestens 30 Tagen gelöscht.

d) Server-Zugriffsdaten

Beim Aufruf unserer Server verarbeiten die Server-Logs sowie ein kurzzeitiger Missbrauchsschutz (Rate-Limiting) technisch notwendig deine IP-Adresse. Für das Rate-Limiting zählen wir Anfragen je IP-Adresse nur im Arbeitsspeicher des Servers, für wenige Minuten (beim Kontaktformular für 10 Minuten), ohne sie in einer Datenbank abzulegen. Das gilt gleichermaßen für den Synchronisierungs-Server, für die Seiten unter api.showsandstories.com und für die Auslieferung der Websites. Die Server-Logs hält unser Hosting-Anbieter 7 Tage vor, danach werden sie gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität des Dienstes).

Abweichend davon zählen wir auf den Seiten zum Kündigen, Widerrufen und Melden, wie oft von einer IP-Adresse aus Erklärungen oder Meldungen abgeschickt werden, damit Massenanfragen diese Seiten und den Versand der Bestätigungen nicht blockieren. Dafür speichern wir in unserer Datenbank nicht die IP-Adresse, sondern nur einen daraus berechneten Prüfwert, der sich ohne einen geheimen Schlüssel unseres Servers nicht zurückrechnen lässt, und löschen ihn nach spätestens drei Stunden. Abgewiesen wird dabei niemand. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität des Dienstes).

e) Abruf von Feeds und Suche im Katalog

In der Web- und der installierbaren Web-App rufen wir die von dir abonnierten Feeds nicht direkt von deinem Gerät, sondern über unseren eigenen Server ab, ebenso Kapitel und Transkripte von Folgen. Das gilt auch ohne Konto (dauerhafte Gastnutzung oder über einen Show-Link), wobei deine Daten lokal im Browser gespeichert werden. Für dich hat das den Vorteil, dass die Betreiber der Feeds deine IP-Adresse nicht sehen, sondern nur die unseres Servers; uns gegenüber entsteht dabei die Information, welche Feeds ein angemeldetes Konto abruft. In der Windows-App ruft dein Gerät Feeds, Kapitel und Transkripte direkt ab. Die Folgen selbst (Audio und Video) und Titelbilder lädt dein Gerät in allen Fassungen der App direkt beim jeweiligen Anbieter; dieser sieht dabei deine IP-Adresse.

Suchst du im Katalog für Podcasts, Videos und Blogs oder rufst du Charts und Empfehlungen ab, übermitteln wir deinen Suchbegriff beziehungsweise die Kennung eines Podcasts, Video-Kanals oder Blogs an die unter Ziffer 3 genannten Anbieter – ohne deine IP-Adresse und ohne deine Konto-Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

f) Bestellung und Vertrag

Bestellst du ein Monatsabo oder ein Jahrespaket, verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Land und deine Postleitzahl, das gewählte Paket und Zahlungsmittel, die Sprache, die Fassungen der Vertragstexte, deine Bestätigungen auf der Bestellseite mit Zeitpunkt, den Zahlungsstatus, die Zeiträume, für die du Zugang hast, und die Belege. Beim Monatsabo kommt die Kennung des Zahlungsmandats bei unserem Zahlungsdienstleister hinzu. Zweck: Abschluss und Durchführung des Vertrags, also Freischaltung, Abbuchung der Folgemonate, Belege und die Mails zum Vertrag (Buchstabe j). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Angaben sind für den Vertragsschluss erforderlich; ohne sie können wir keine Bestellung annehmen.

Angaben, die du auf der Bestellseite einträgst, ohne die Bestellung abzuschicken, löschen wir nach dem Ablauf deiner Sitzung (2 Stunden). Kommt kein Vertrag zustande und ist keine Zahlung eingegangen, etwa weil du die Zahlung abbrichst oder sie scheitert, bewahren wir die Bestelldaten noch 6 Monate nach der Bestellung auf, damit wir eine verspätet eingehende Zahlung zuordnen und erstatten können (Art. 6 Abs. 1 lit. f DSGVO), und löschen sie dann; hast du nie etwas bezahlt, veranlassen wir dann auch die Löschung deines Kundendatensatzes bei unserem Zahlungsdienstleister. Die Kopie unserer Eingangsbestätigung bewahren wir als Geschäftsbrief 6 Jahre auf (Buchstabe j). Die Bestelldaten eines geschlossenen Vertrags bewahren wir so lange auf wie die Buchungsunterlagen (Buchstabe m).

g) Zahlung

Die Zahlung wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Mollie ist dabei eigenständig Verantwortlicher, nicht unser Auftragsverarbeiter. Wir übermitteln Mollie deinen Namen, deine E-Mail-Adresse, die Sprache, den Betrag und interne Kennungen (Bestellnummer und Kundenkennung). Deine Karten-, Konto- oder PayPal-Daten gibst du direkt bei Mollie bzw. beim gewählten Zahlungsmittel ein; das gilt auch für die Eingabefelder der Karte auf unserer Zahlungsseite, die Mollie bereitstellt. Diese Daten erreichen unseren Server nicht. Für diese Eingabefelder lädt dein Browser ein Programm von Mollie; Mollie sieht dabei deine IP-Adresse.

Von Mollie erhalten wir zu jeder Zahlung den Zahlungsstatus, die Art des Zahlungsmittels und je nach Zahlungsmittel das Ausgabeland deiner Karte, das Land deines Kontos und das Land, das Mollie erkennt, beim Monatsabo die Kennung des Mandats. Davon speichern wir den Zahlungsstatus, die Art des Zahlungsmittels, die Ländercodes (Buchstabe h) und die Kennung des Mandats. Die letzten Ziffern deiner Karte, ihr Ablaufdatum oder eine gekürzte IBAN lesen wir bei Mollie nach, wenn wir sie brauchen, etwa um dich vor dem Ablauf deiner Karte zu erinnern, und nennen sie nur in Mails an dich (Buchstabe j). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mollie verarbeitet deine Daten auch für eigene Zwecke, etwa um gesetzliche Pflichten zu erfüllen und Betrug zu verhindern; nach eigener Angabe prüft Mollie Zahlungen dafür auch automatisiert, und eine Zahlung kann dabei abgelehnt werden. Das verantwortet Mollie selbst; Auskunft und die Prüfung durch einen Menschen kannst du bei Mollie verlangen (privacy@mollie.com). Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums sichert Mollie nach eigener Angabe unter anderem mit Standardvertragsklauseln ab. Einzelheiten: https://www.mollie.com/legal/privacy

Zahlst du mit PayPal, verarbeitet zusätzlich die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, deine Daten als eigenständig Verantwortlicher (https://www.paypal.com/de/legalhub/paypal/privacy-full). Zahlst du mit Apple Pay oder Google Pay, nutzt du einen Dienst der Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, bzw. der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die deine Daten nach ihren eigenen Datenschutzhinweisen verarbeiten. Von Apple oder Google selbst erhalten wir keine Daten; die Zahlung erreicht uns über Mollie wie eine Kartenzahlung.

h) Prüfung deines Wohnsitzlands

Wir verkaufen nur an Personen mit Wohnsitz oder Sitz in der EU, in Norwegen, Island, Liechtenstein, der Schweiz, den Vereinigten Staaten, Kanada, Australien oder Neuseeland, ohne die in den AGB ausgenommenen Gebiete, und welche Umsatzsteuer gilt, hängt davon ab, wo du wohnst. Deshalb prüfen wir bei jeder Bestellung dein Land und speichern zu jeder Zahlung das Land und die Postleitzahl, die du angibst, das Land, das sich aus deiner IP-Adresse ergibt, das Ausgabeland deiner Karte bzw. das Land deines Kontos und das Land, das unser Zahlungsdienstleister erkennt, jeweils mit Zeitpunkt und Zahlungskennung. Deine IP-Adresse selbst speichern wir dafür nicht: Wir ermitteln aus ihr beim Absenden deiner Angaben einmalig das Land, mit einer Datei auf unserem eigenen Server, ohne sie an Dritte weiterzugeben. Von Karte und Konto speichern wir nur den Ländercode.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Prüfung, ob wir an dich verkaufen) und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 24b und 24f der Durchführungsverordnung (EU) Nr. 282/2011 (Nachweis des Wohnsitzlands für die Umsatzsteuer). Speicherdauer: 10 Jahre (Ziffer 4). Die Länderzuordnung der IP-Adressen stammt aus "IP Geolocation by DB-IP" (https://db-ip.com), lizenziert unter CC BY 4.0.

i) Automatisierte Entscheidungen

Liegt das Land, das du auf der Bestellseite angibst, außerhalb dieses Gebiets oder gehört deine Postleitzahl zu einem ausgenommenen Gebiet, nimmt die Bestellseite die Bestellung nicht entgegen. Ergibt sich nach der Zahlung aus dem Land deiner Karte, deines Kontos oder aus der Erkennung unseres Zahlungsdienstleisters, dass du außerhalb dieses Gebiets wohnst, nimmt ein Programm die Bestellung ohne Beteiligung eines Menschen nicht an und erstattet die Zahlung vollständig; ein Vertrag kommt dann nicht zustande, und wir teilen dir das per Mail mit. Weichen nur Länder innerhalb des Gebiets voneinander ab, wird eine Bestellung deshalb nie abgelehnt. Bei PayPal, das uns kein Land einer Karte oder eines Kontos nennt, vergleichen wir das angegebene Land mit dem Land deiner IP-Adresse; passen sie nicht zusammen, bitten wir dich, dein Land zu bestätigen oder ein anderes Zahlungsmittel zu wählen.

Diese Entscheidungen sind für den Abschluss des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO), weil wir nur in dieses Gebiet verkaufen und die Umsatzsteuer des richtigen Landes anwenden müssen. Du kannst verlangen, dass ein Mensch die Entscheidung prüft, deinen Standpunkt darlegen und die Entscheidung anfechten: Antworte dazu auf die Mail, die dir die Entscheidung mitteilt, oder schreib an konto@showsandstories.com. Wir selbst bewerten weder deine Kreditwürdigkeit noch ein Betrugsrisiko.

j) E-Mails

Wir senden dir die Mails, die zu deinem Konto oder Vertrag gehören: Bestätigung deiner E-Mail-Adresse, Zurücksetzen des Passworts, Hinweise nach einer Änderung von Adresse oder Passwort, Eingangs- und Vertragsbestätigung, Belege, Hinweise vor einem Lastschrifteinzug, zu gescheiterten Zahlungen, zu Rückbuchungen und zum Ablauf deiner Karte, die Mitteilung, dass wir eine Bestellung nicht annehmen (Buchstabe i), Bestätigungen von Kündigung und Widerruf, den Hinweis vor dem Ende deines Testzeitraums, bei einem Monatsabo aus den USA einmal im Jahr eine Erinnerung an seine Bedingungen sowie die Ankündigung, dass wir ein ungenutztes Konto löschen (Ziffer 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit das Gesetz uns eine Bestätigung vorschreibt, Art. 6 Abs. 1 lit. c DSGVO.

Von jeder Mail zum Vertrag legen wir eine Kopie in einem eigenen Postfach ab; von Kontomails wie dem Zurücksetzen des Passworts, von der Ankündigung einer Kontolöschung und von Mails zu Kontaktnachrichten und Meldungen nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abs. 1 Nr. 3 AO und § 257 Abs. 1 Nr. 3 HGB (Wiedergaben abgesandter Geschäftsbriefe); soweit eine Mail kein Geschäftsbrief ist, Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Nachweis, welche Mitteilung wir dir wann geschickt haben. Den Versandauftrag einer Mail löschen wir auf unserem Server 30 Tage nach dem Versand.

Kündigt oder widerruft jemand deinen Vertrag mit einer anderen E-Mail-Adresse als der deines Kontos bzw. deiner Bestellung, schicken wir die Bestätigung mit den Angaben zu deinem Vertrag an deine Adresse. An die andere Adresse geht nur, was dort eingegeben wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist der Schutz vor einer ungewollten Beendigung deines Vertrags.

Schreibst du uns an konto@showsandstories.com, verarbeiten wir deine Mail, um dein Anliegen zu bearbeiten. Mails zu einem Vertrag oder mit einer Erklärung wie einer Kündigung bewahren wir als empfangene Geschäftsbriefe 6 Jahre auf (Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit § 147 Abs. 1 Nr. 2 AO und § 257 Abs. 1 Nr. 2 HGB), andere Mails, bis dein Anliegen erledigt ist.

k) Kündigung, Widerruf und weitere Erklärungen

Kündigst oder widerrufst du über unsere Seiten oder per Mail, speichern wir deine Angaben (Name, E-Mail-Adresse, Angaben zum Vertrag, Art der Erklärung, Zeitpunkt des Eingangs) und unsere Bestätigung. Ebenso speichern wir, wenn du dich von den Erinnerungen abmeldest (Buchstabe l). Zweck: Ausführung deiner Erklärung und Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO; für den Nachweis Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, belegen zu können, welche Erklärung wann eingegangen ist. Speicherdauer: 6 Jahre; löst eine Erklärung eine Erstattung aus, 8 Jahre (Ziffer 4).

l) Erinnerungen an eine Verlängerung

Hast du ein Jahrespaket gekauft, erinnern wir dich 30 und 7 Tage vor seinem Ablauf und am letzten Tag per Mail an eine Verlängerung, solange danach kein bezahlter Zeitraum folgt. Diese Mails werben für eine neue Bestellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG; unser berechtigtes Interesse ist, dich vor dem Ende deines Zugangs auf eine Verlängerung hinzuweisen. Du kannst jederzeit widersprechen (Ziffer 5, "Widerspruch gegen Direktwerbung").

m) Buchhaltung und gesetzliche Aufbewahrung

Zahlungen, Erstattungen, Rückbuchungen und Belege buchen wir in unserer Buchhaltung. Dorthin gelangen eine Kundenkennung, Beträge und Zeitpunkte, auf den Belegen dein Name und bei einer Erstattung per Überweisung deine Kontoverbindung. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB, § 147 AO und § 14b UStG.

Diese Daten bewahren wir auch nach dem Löschen deines Kontos auf, solange das Gesetz es verlangt: Belege, Korrekturbelege und Zahlungsnachweise 8 Jahre, Bücher und Aufzeichnungen 10 Jahre, Nachweise zum Wohnsitzland 10 Jahre. Sobald wir das besondere Besteuerungsverfahren der einzigen Anlaufstelle (One-Stop-Shop) nutzen, bewahren wir Belege und Aufzeichnungen zu diesen Umsätzen 10 Jahre auf (Art. 63c der Durchführungsverordnung (EU) Nr. 282/2011). Jede Frist beginnt mit dem Ende des Kalenderjahrs, in dem die Unterlage entstanden ist, und läuft nicht ab, solange die Unterlage für eine Steuer von Bedeutung ist, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 AO). Bis dahin sperren wir die Daten: Wir nutzen sie nur noch, um gesetzliche Pflichten zu erfüllen, etwa für Prüfungen der Finanzbehörden und für Erstattungen, die wir dir noch schulden, und um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen. Ein Löschwunsch ändert daran nichts (Art. 17 Abs. 3 lit. b und e DSGVO). Nach Fristende löschen wir sie.

n) Kontaktformular

Schreibst du uns über das Kontaktformular (https://api.showsandstories.com/kontakt), schicken wir deine Nachricht, deine E-Mail-Adresse und, wenn du ihn angibst, deinen Namen per Mail an unser Postfach, damit wir dir antworten können. Auf unserem Server stehen diese Angaben nur verschlüsselt bis zum Versand der Mail; danach sind sie dort gelöscht. In unserem Postfach behandeln wir die Nachricht wie eine Mail an uns (Buchstabe j). Eine Bestätigung an die angegebene Adresse schicken wir nicht. Wie oft von einer IP-Adresse aus Nachrichten abgeschickt werden, zählen wir nur im Arbeitsspeicher, für 10 Minuten (Buchstabe d); das Formular setzt kein Cookie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit deine Nachricht dein Konto oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, deine Anfrage zu beantworten.

o) Meldungen rechtswidriger Inhalte

Über https://api.showsandstories.com/melden oder per Mail kann jede Person bei uns gespeicherte Inhalte melden, die sie für rechtswidrig hält. Eine Meldung über die Seite speichern wir in unserer Datenbank mit Name und E-Mail-Adresse der meldenden Person, der Begründung, der Angabe, wo sich der Inhalt befindet, der Erklärung guten Glaubens, Zeitpunkt und Sprache; später kommen unsere Entscheidung und ihre Begründung hinzu. Die Meldung schicken wir außerdem per Mail an unser Postfach, und der meldenden Person bestätigen wir den Eingang per Mail. Freiwillig sind Name und E-Mail-Adresse nur bei Meldungen zu Straftaten nach Art. 3 bis 7 der Richtlinie 2011/93/EU (sexueller Missbrauch und sexuelle Ausbeutung von Kindern, Darstellungen davon, Kontaktanbahnung zu Kindern für sexuelle Zwecke). Wie oft von einer IP-Adresse aus Meldungen abgeschickt werden, zählen wir wie in Buchstabe d beschrieben; die Seite setzt kein Cookie.

Betrifft eine Meldung Inhalte in deinem Konto, verarbeiten wir dazu auch diese Inhalte und deine Kontoangaben und teilen dir eine Entscheidung mit Begründung mit. Den Namen der meldenden Person nennen wir dir nur, wenn das für die Begründung unbedingt notwendig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste). Ergibt sich der Verdacht einer Straftat, die eine Gefahr für das Leben oder die Sicherheit von Personen darstellt, müssen wir ihn mit den vorliegenden Informationen den Strafverfolgungsbehörden mitteilen (Art. 18 der Verordnung), in Deutschland dem Bundeskriminalamt.

Speicherdauer: Nach Abschluss der Bearbeitung bewahren wir die Unterlagen 6 Monate auf, um Rückfragen und Einwände gegen die Entscheidung bearbeiten zu können. Haben wir einen Inhalt oder ein Konto beschränkt, bewahren wir sie bis 6 Monate nach Ablauf der Verjährungsfrist für Ansprüche aus der Entscheidung auf, also bis zum 30. Juni des vierten Kalenderjahrs nach der Entscheidung, um uns gegen Ansprüche verteidigen zu können. Rechtsgrundlage dafür ist jeweils Art. 6 Abs. 1 lit. f DSGVO. Haben wir einen Verdacht nach Art. 18 gemeldet, löschen wir die Unterlagen nicht, solange die Strafverfolgungsbehörde sie nach ihrer Mitteilung noch benötigt (Art. 6 Abs. 1 lit. c DSGVO).

p) Optionale Spracheingabe und lokales Diagnose-Protokoll

Wenn du die Spracheingabe aktiv über das Mikrofon-Symbol oder das Tastenkürzel startest, erfolgt die Umwandlung von Sprache in Text über die Spracherkennungsfunktion deines Browsers (Web Speech API) oder deines Betriebssystems (z. B. Windows-Diktat, macOS-Diktat, Android-Spracherkennung). Je nach verwendetem Browser oder System kann dein gesprochenes Audio dabei an den jeweiligen Plattform-Anbieter (z. B. Google, Apple oder Microsoft) übertragen werden. Die Auswertung des erkannten Textes in Befehle findet anschließend vollständig lokal auf deinem Gerät statt; wir selbst erhalten oder speichern zu keinem Zeitpunkt Sprachaufnahmen.

Zur stetigen Verbesserung der Befehlserkennung führt die App auf deinem Gerät ein lokales Protokoll von Äußerungen, die nicht oder nur mit geringer Konfidenz verstanden wurden. Dieses Protokoll wird ausschließlich lokal auf deinem Gerät gespeichert, zu keinem Zeitpunkt an unsere Server übertragen und ist in keinem geräteübergreifenden Abgleich (Sync) enthalten. In den Einstellungen (Einstellungen → Sprachbefehle) kannst du das Protokoll jederzeit einsehen, als Trainingskorpus für eigene Zwecke exportieren, vollständig löschen oder die Protokollierung gänzlich deaktivieren.

q) Show-Links, Einstiegsseiten und anonyme Zähler

Über Show-Links (showsandstories.com/s/<Kennung>) können Podcasts geteilt und in einer Vorschau ohne Konto geöffnet werden; über unsere Einstiegsseite (showsandstories.com mit der Kennung lp) kann die App direkt als Gast aufgerufen werden. Zur statistischen Auswertung zählen wir auf unserem Server ausschließlich die Ereignisse Seitenaufruf, App-Öffnung, Registrierung und Abonnement je Kennung und Tag. Die Zähler werden als reine Summen in unserer Datenbank gespeichert, ohne Personenbezug, ohne IP-Adresse, ohne Cookie und ohne Geräte-Kennung. Ein Profil über Personen oder deren Hörverhalten entsteht nicht. Das Abrufen der Vorschauseite, der Einstiegsseite und das Auffrischen von Linkdaten werden durch ein kurzzeitiges IP-Rate-Limit im Arbeitsspeicher geschützt (Buchstabe d). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aggregierten Reichweiteninformationen für geteilte Shows und Einstiege).

2. Kein Tracking, ein Cookie nur beim Bestellen

Diese App und der zugehörige Server setzen keine Analyse- oder Tracking-Cookies und keine Werbe-Tracker ein. Es findet aktuell keine Reichweitenmessung statt. Speicherplatz auf deinem Gerät (localStorage, IndexedDB, heruntergeladene Folgen, zwischengespeicherte Titelbilder) nutzen wir ausschließlich für Funktionen, die du selbst aufgerufen hast (§ 25 Abs. 2 Nr. 2 TDDDG).

Nur auf den Seiten zum Bestellen, Bezahlen und Nachzahlen unter api.showsandstories.com setzen wir ein Cookie ("_sst_bestellung"). Es hält deine Bestellung bzw. Zahlung über die Seiten hinweg zusammen und schützt die Formulare vor untergeschobenen Anfragen. Es ist verschlüsselt und enthält höchstens die Kennungen deines Kontos und deiner Bestellung, das gewählte Paket, die Sprache der Seite, seinen Ablaufzeitpunkt und ein Sicherheitsmerkmal gegen solche Anfragen, keine Namen oder Adressen. Es läuft nach 2 Stunden ab. Alle anderen Seiten, auch die zum Kündigen, Widerrufen und Melden und das Kontaktformular, setzen kein Cookie. Rechtsgrundlage für das Speichern auf deinem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (Bestellung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Schutz der Formulare vor Missbrauch).

3. Empfänger deiner Daten

Hosting: Der Synchronisierungs-Server und die Websites laufen bei Fly.io (Fly.io, Inc., 2261 Market St #4990, San Francisco, CA 94114, USA), Server-Region Frankfurt (EU). Da Fly.io ein US-Unternehmen ist, ist eine Datenübermittlung in ein Drittland technisch nicht auszuschließen. Fly.io ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO). Mit Fly.io haben wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen, der die Standardvertragsklauseln der EU-Kommission einschließt.

E-Mail: Unsere Mails (Ziffer 1 j, n und o) versenden wir über Postfächer bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, und empfangen dort Mails an konto@showsandstories.com und an unser Betreiberpostfach, an das Nachrichten aus dem Kontaktformular, Meldungen rechtswidriger Inhalte und Hinweise aus der App gehen (Ziffer 1 n und o). IONOS verarbeitet dabei als Auftragsverarbeiter nach Art. 28 DSGVO die E-Mail-Adressen und den Inhalt der Nachrichten auf Servern in der Europäischen Union; der Auftragsverarbeitungsvertrag mit IONOS ist Bestandteil unseres Vertrags.

Sicherungen und Archiv: Die täglichen Sicherungen unserer Datenbank (Ziffer 4) und das Archiv unserer Buchhaltungs- und Vertragsunterlagen (Ziffer 1 m und 4) speichern wir bei Tigris Data, Inc. (1250 Borregas Ave #87, Sunnyvale, CA 94089, USA) als Auftragsverarbeiter nach Art. 28 DSGVO; Tigris verarbeitet sie nur zur Aufbewahrung, nicht für eigene Zwecke. Die Daten liegen in Rechenzentren in der Europäischen Union (Frankfurt und Amsterdam). Da Tigris ein US-Unternehmen ist, ist eine Datenübermittlung in ein Drittland technisch nicht auszuschließen; dafür gelten die Standardvertragsklauseln der EU-Kommission, die Teil des Auftragsverarbeitungsvertrags mit Tigris sind (Art. 46 Abs. 2 lit. c DSGVO). Tigris ist nicht nach dem EU-US Data Privacy Framework zertifiziert.

Zahlungen: Mollie, bei PayPal zusätzlich PayPal und bei Apple Pay oder Google Pay Apple bzw. Google, jeweils als eigenständig Verantwortliche, siehe Ziffer 1 g.

Podcast-Katalog: Für die Suche nach Podcasts und für Charts übermitteln wir deinen Suchbegriff beziehungsweise die Kennung eines Podcasts an Apple Inc. (One Apple Park Way, Cupertino, CA 95014, USA) über itunes.apple.com und rss.marketingtools.apple.com.

Video-Kanalsuche: Für die Suche nach Video-Kanälen übermitteln wir deinen Suchbegriff an Framasoft (Framasoft, 8 rue de la Gare, 69009 Lyon, Frankreich) für SepiaSearch.

Blogsuche: Für die Suche nach Blogs übermitteln wir deinen Suchbegriff an Automattic Inc. (Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA) für WordPress.com.

Empfehlungen: Für ähnliche Podcasts übermitteln wir die Kennung eines Podcasts an fyyd (fyyd.de, Deutschland).

Podcast Index: Der Video-Katalog aus dem Podcast Index ist kein Empfänger deiner Daten; der öffentliche Datenbank-Abzug wird in einem wöchentlichen CI-Lauf auf unserem Server verarbeitet, und es werden zu keinem Zeitpunkt Nutzeranfragen, Suchbegriffe oder IP-Adressen an den Podcast Index übermittelt.

Bei Katalog, Video-Kanalsuche, Blogsuche und Empfehlungen fragt unser Server an, nicht dein Gerät: Deine IP-Adresse und deine Konto-Kennung werden dabei nicht übermittelt.

Behörden: Soweit wir gesetzlich dazu verpflichtet sind, übermitteln wir Daten an Behörden (Art. 6 Abs. 1 lit. c DSGVO): an das Finanzamt, auch bei einer Außenprüfung mit Zugriff auf unsere Buchhaltungsdaten (§ 147 Abs. 6 AO); an das Bundeszentralamt für Steuern, etwa wenn wir eine Umsatzsteuer-Identifikationsnummer bestätigen lassen, die du uns nennst; sobald wir das One-Stop-Shop-Verfahren nutzen, über das Bundeszentralamt für Steuern an die Steuerbehörden des Mitgliedstaats, in dem du wohnst; an Strafverfolgungsbehörden in den Fällen der Ziffer 1 o; an Gerichte und Behörden, wenn sie eine Auskunft rechtmäßig anordnen.

An andere als die in dieser Erklärung genannten Empfänger geben wir deine Daten nicht weiter. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

4. Speicherdauer

Konto- und Sync-Daten speichern wir, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst in der App löschen (Profil & Konto → Konto löschen; bei gesperrtem Zugang auf dem Sperrbildschirm). Dabei löschen wir sofort dein Konto, deine synchronisierten Daten und deine Anmeldungen; ein laufendes Monatsabo endet, nach der Löschung buchen wir nichts mehr ab, und ein Zahlungsmandat widerrufen wir anschließend automatisch bei unserem Zahlungsdienstleister. Daten, die wir nach Steuer- oder Handelsrecht aufbewahren müssen oder zum Nachweis von Erklärungen brauchen, sperren wir bis zum Fristende und löschen sie dann (Ziffer 1 m).

Ungenutzte Konten: Hat ein Konto weder ein laufendes Monatsabo noch einen bezahlten Zeitraum, der noch läuft, und hast du dich sechs Monate lang weder angemeldet noch die App genutzt, löschen wir es wie oben beschrieben. Das kündigen wir dir mindestens 30 Tage vorher per Mail an; meldest du dich bis dahin an oder nutzt du die App, löschen wir nicht, und die sechs Monate beginnen neu.

Aufbewahrungsfristen: Belege, Korrekturbelege und Zahlungsnachweise 8 Jahre; Bücher und Aufzeichnungen der Buchhaltung 10 Jahre; Nachweise zum Wohnsitzland 10 Jahre; sobald wir das One-Stop-Shop-Verfahren nutzen, Belege und Aufzeichnungen zu diesen Umsätzen 10 Jahre; Kopien unserer Mails zum Vertrag, deine Mails zum Vertrag sowie Erklärungen wie Kündigung, Widerruf und Abmeldungen 6 Jahre, lösen sie eine Erstattung aus, 8 Jahre. Diese Fristen beginnen mit dem Ende des Kalenderjahrs, in dem die Unterlage entstanden ist. Bestellungen, aus denen kein Vertrag wurde und zu denen keine Zahlung einging, löschen wir 6 Monate nach der Bestellung (Ziffer 1 f). Meldungen rechtswidriger Inhalte löschen wir nach den Fristen in Ziffer 1 o.

Tägliche Datenbank-Backups werden nach 30 Tagen automatisch gelöscht; gelöschte Daten sind deshalb spätestens 30 Tage nach dem Löschen auch aus den Backups verschwunden.

5. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) sowie Datenübertragbarkeit (Art. 20). Eine Kopie deiner Konto- und Sync-Daten kannst du jederzeit selbst in der App exportieren (Profil & Konto → Kontodaten exportieren), dein Konto ebenso selbst löschen. Über alle übrigen Daten, etwa zu Bestellungen und Zahlungen, Kopien von Mails, Nachweise zum Wohnsitzland oder Fehlerberichte, geben wir dir auf Anfrage Auskunft. Für alle Anliegen wende dich an die oben genannte E-Mail-Adresse oder das Kontaktformular.

Wir beantworten deinen Antrag unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Verlangst du die Löschung, bleiben die Daten, die wir aufbewahren müssen (Ziffer 4), bis zum Fristende gesperrt; das teilen wir dir mit Begründung mit.

Widerspruchsrecht

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner Daten Widerspruch einzulegen, soweit wir sie auf Art. 6 Abs. 1 lit. f DSGVO stützen (Art. 21 Abs. 1 DSGVO). Das betrifft hier: die technischen Fehlerberichte (Ziffer 1 c); die Server-Zugriffsdaten und die Zählung auf den Seiten zum Kündigen, Widerrufen und Melden (Ziffer 1 d) sowie das Cookie zum Schutz der Formulare (Ziffer 2); die Aufbewahrung der Daten einer Bestellung ohne Vertrag (Ziffer 1 f); die Kopien unserer Mails, soweit sie keine Geschäftsbriefe sind, die Bestätigung an deine Adresse bei einer Kündigung oder einem Widerruf über eine andere Adresse und die Speicherung deiner Erklärungen zum Nachweis (Ziffer 1 j und k); Kontaktnachrichten, die weder dein Konto noch einen Vertrag betreffen (Ziffer 1 n); die Aufbewahrung von Unterlagen zu Meldungen (Ziffer 1 o). Wir verarbeiten deine Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ein Widerspruch genügt formlos an die oben genannte E-Mail-Adresse.

Widerspruch gegen Direktwerbung

Du kannst der Nutzung deiner E-Mail-Adresse für Erinnerungen an eine Verlängerung (Ziffer 1 l) jederzeit ohne Begründung widersprechen, per Abmelde-Link in jeder Erinnerung oder per Mail an konto@showsandstories.com. Danach verarbeiten wir deine Daten nicht mehr zu diesem Zweck (Art. 21 Abs. 2 und 3 DSGVO). Mails, die zu deinem Konto oder Vertrag gehören (Ziffer 1 j), bekommst du weiterhin.

6. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, E-Mail: poststelle@lfdi.bwl.de. Du kannst dich auch an die Aufsichtsbehörde des Staats wenden, in dem du deinen gewöhnlichen Aufenthalt hast.

7. Hinweise für Personen in der Schweiz

Wohnst du in der Schweiz, gilt für die Bearbeitung deiner Daten zusätzlich das schweizerische Bundesgesetz über den Datenschutz (DSG). Was diese Erklärung nach der DSGVO beschreibt, gilt dann entsprechend; die Rechte aus Ziffer 5 hast du auch nach dem DSG.

Bekanntgabe ins Ausland (Art. 16, 17 und 19 Abs. 4 DSG): Wir bearbeiten deine Daten in Deutschland und in anderen Staaten der EU; sie bieten nach Anhang 1 der Datenschutzverordnung einen angemessenen Schutz. In die USA gelangen Daten an Fly.io (Hosting, Ziffer 3), das sich nach dem Swiss-U.S. Data Privacy Framework zertifiziert hat, an Tigris Data, Inc. für Sicherungen und Archiv (Ziffer 3) auf Grundlage von Standardvertragsklauseln (Art. 16 Abs. 2 Bst. d DSG), an Apple Inc. für die Suche im Podcast-Katalog (Ziffer 1 e und 3) und an Automattic Inc. für die Blogsuche (Ziffer 1 e und 3); diese Übermittlungen löst du mit deiner Suche jeweils selbst aus, sie dienen der Abwicklung des Vertrags mit dir (Art. 17 Abs. 1 Bst. b DSG).

Beschweren kannst du dich in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern.

8. Hinweise für Personen in den USA

Diese Erklärung gilt auch, wenn du in den USA wohnst. Welche Daten wir verarbeiten, steht in Ziffer 1; bei einer Bestellung sind das unter anderem dein Name, deine E-Mail-Adresse, dein Land und dein ZIP-Code, aus dem wir deinen Bundesstaat ableiten. An wen wir Daten weitergeben, steht in Ziffer 3, etwa an Dienstleister für Hosting, Zahlung und Mailversand und an Behörden, soweit ein Gesetz es verlangt. Wir verkaufen deine Daten nicht und geben sie nicht für Werbung weiter.

Deine Konto- und Sync-Daten kannst du in der App einsehen, ändern, exportieren und löschen. Auskunft, Berichtigung und Löschung aller übrigen Daten kannst du per Mail an konto@showsandstories.com verlangen; das ist auch unsere Adresse für Anfragen nach NRS 603A.345 (Nevada). Lehnen wir eine Anfrage ganz oder teilweise ab, kannst du dagegen per Antwort auf unsere Entscheidung Widerspruch einlegen; wir antworten innerhalb von 60 Tagen schriftlich.

Wir erfassen keine Daten über deine Aktivitäten über die Zeit und über fremde Websites oder Dienste hinweg (Ziffer 2). Auf „Do Not Track“- und Global-Privacy-Control-Signale reagieren wir deshalb nicht gesondert. Spielst du eine Folge ab oder lädst du sie herunter, ruft die App sie direkt beim Anbieter des Podcasts ab (Ziffer 1 e); er und von ihm eingesetzte Messdienste können dabei deine IP-Adresse erfassen, auch über mehrere Podcasts hinweg. Darauf haben wir keinen Einfluss.

Ändern wir diese Erklärung, steht die neue Fassung mit neuem Stand auf dieser Seite; über wesentliche Änderungen informieren wir dich vorher per Mail. Diese Fassung gilt ab dem unten genannten Stand.

9. Hinweise für Personen in Kanada, Australien und Neuseeland

Diese Erklärung gilt auch, wenn du in Kanada, Australien oder Neuseeland wohnst. Welche Daten wir zu welchem Zweck verarbeiten, steht in Ziffer 1, an wen wir sie weitergeben, in Ziffer 3. Bei einer Bestellung sind das unter anderem dein Name, deine E-Mail-Adresse, dein Land und deine Postleitzahl, aus der wir in Kanada deine Provinz ableiten. Diese Angaben sind freiwillig; ohne sie können wir aber keinen Vertrag mit dir schließen.

Wir verarbeiten deine Daten außerhalb deines Landes: auf Servern in Frankfurt (EU), die Fly.io, Inc. (USA) für uns betreibt, und bei den übrigen Dienstleistern aus Ziffer 3, die in unserem Auftrag arbeiten. Gerichte und Behörden dieser Staaten können nach deren Recht Zugang zu den Daten verlangen.

Verantwortlich für den Datenschutz und deine Ansprechstelle (in Kanada „designated individual“, in Neuseeland „privacy officer“) ist unsere Geschäftsführung, erreichbar per Mail an konto@showsandstories.com oder unter der Anschrift oben. Dort kannst du jederzeit Auskunft über deine Daten und ihre Berichtigung verlangen; deine Konto- und Sync-Daten kannst du außerdem in der App einsehen, ändern, exportieren und löschen.

Kommt es zu einer Verletzung des Schutzes deiner Daten, die dir erheblich schaden kann, benachrichtigen wir dich und die zuständige Behörde so bald wie möglich. Beschweren kannst du dich in Kanada beim Office of the Privacy Commissioner of Canada (priv.gc.ca), in Neuseeland beim Privacy Commissioner (privacy.org.nz) und in Australien beim Office of the Australian Information Commissioner (oaic.gov.au).

Diese Erklärung gibt es auch auf Englisch (showsandstories.com/en/privacy); maßgeblich ist die deutsche Fassung. Beide Fassungen werden gleich gehalten und tragen dasselbe Datum; fällt dir eine Abweichung auf, schreib an konto@showsandstories.com, wir berichtigen sie.

Stand: 7. November 2026