Datenschutz­erklärung

01Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Weitere Angaben finden Sie in unserem Impressum.

02Überblick

MACH! ist eine App für die Organisation von Produktionen – etwa TV-Produktionen, Tourneen und Veranstaltungen. Produktionsfirmen legen Projekte an, laden ihre Crew ein und teilen mit ihr Dateien, Nachrichten und Abläufe. Diese Erklärung gilt für

• die Website mach.app,
• die App MACH! für iOS und Android,
• die Web-App unter web.mach.app sowie
• unsere Profile in sozialen Netzwerken.

Wir verarbeiten personenbezogene Daten auf diesen Rechtsgrundlagen der DSGVO:

• Vertrag (Art. 6 Abs. 1 lit. b): um MACH! bereitzustellen und Buchungen abzuwickeln,
• rechtliche Pflicht (Art. 6 Abs. 1 lit. c): etwa die Aufbewahrung von Rechnungen,
• berechtigtes Interesse (Art. 6 Abs. 1 lit. f): etwa für einen sicheren, stabilen Betrieb,
• Einwilligung (Art. 6 Abs. 1 lit. a): etwa für Push-Benachrichtigungen und den Zugriff auf die Kamera, die Sie jederzeit in den Einstellungen Ihres Geräts widerrufen können.

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile zu Werbezwecken.

03Besuch der Website

Beim Aufruf von mach.app übermittelt Ihr Browser automatisch technische Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browsertyp und Betriebssystem. Diese Daten werden in Server-Logfiles gespeichert, um die Website auszuliefern, ihre Stabilität sicherzustellen und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und anschließend gelöscht.

Die Website wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Rechenzentren in Deutschland betrieben; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Keine Cookies, kein Tracking

Die Website setzt keine Cookies und verwendet keine Analyse- oder Marketingdienste. Schriftarten werden von unserem eigenen Server geladen, nicht von Drittanbietern.

Links zu App Stores und sozialen Netzwerken

Links zum App Store, zu Google Play, zu Instagram und YouTube sind einfache Verweise. Daten werden an diese Anbieter erst übertragen, wenn Sie einen Link anklicken; dort gelten deren Datenschutzbestimmungen.

04Nutzerkonto & Anmeldung

Für die Nutzung der App und der Web-App benötigen Sie ein Nutzerkonto. Dabei verarbeiten wir:

• Name, E-Mail-Adresse und Benutzername,
• Ihr Passwort – ausschließlich als verschlüsselter Hash, niemals im Klartext,
• freiwillige Profilangaben wie Telefonnummer oder Geburtsdatum, falls Sie sie eintragen.

Die Anmeldung läuft über einen eigenen Anmeldedienst (Keycloak), den wir selbst auf unseren Servern in Deutschland betreiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben ist eine Nutzung nicht möglich.

Anmeldung mit Google oder Microsoft

Soweit wir die Anmeldung über ein Google- oder Microsoft-Konto anbieten und Sie diese nutzen, erhalten wir vom jeweiligen Anbieter Ihren Namen, Ihre E-Mail-Adresse und eine Kennung. Ihr Passwort bei diesem Anbieter sehen wir nicht. Die Nutzung ist freiwillig; Sie können sich stattdessen jederzeit mit E-Mail-Adresse und Passwort registrieren.

Web-App

Die Web-App speichert Ihre Sitzung in technisch notwendigen Cookies bzw. im lokalen Speicher Ihres Browsers, damit Sie angemeldet bleiben. Diese Speicherung ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und erfolgt ohne Einwilligung.

05Nutzung von App & Web-App

Wenn Sie MACH! nutzen, verarbeiten wir die Inhalte und Daten, die für die jeweilige Funktion nötig sind (Art. 6 Abs. 1 lit. b DSGVO):

Projekte

Projektname, Firma, Titelbild, Gruppen/Gewerke, Mitglieder und deren Rollen

Dateien

hochgeladene Dokumente, Bilder, Audio und Video – verschlüsselt gespeichert und nur für die freigegebenen Gruppen sichtbar

Lesebestätigung

wer eine Datei wann bestätigt hat – sichtbar für Projektverantwortliche

Nachrichten

Nachrichten an das Projekt oder an Gruppen, Absender und Zeitpunkt

Umfragen

Fragen und Ihre Antworten

Check-in

Ihr persönlicher QR-Code; beim Scannen wird gespeichert, wer wen wann eingecheckt hat

Vorbesichtigung

Angaben zu Location, Terminen, Ansprechpartnern und Hotels sowie Fotos und der daraus erzeugte PDF-Bericht

Einladungen

E-Mail-Adressen eingeladener Personen, Status der Einladung, Beitrittsanfragen

Daten nur auf Ihrem Gerät

Die Arbeitszeiterfassung wird ausschließlich lokal auf Ihrem Gerät gespeichert und nicht an uns übertragen. Auf dem iPhone wird die laufende Zeit als Live-Aktivität auf dem Sperrbildschirm angezeigt; auch das passiert nur auf Ihrem Gerät.

Berechtigungen

• Kamera: nur zum Scannen von QR-Codes (Check-in, Projekt beitreten) und – wenn Sie es wünschen – zum Aufnehmen von Fotos. Kamerabilder beim Scannen werden nicht gespeichert.
• Fotos & Dateien: nur für Dateien, die Sie selbst zum Hochladen auswählen.
• Mitteilungen: für Push-Benachrichtigungen (siehe Abschnitt 07).

Alle Berechtigungen können Sie jederzeit in den Einstellungen Ihres Geräts widerrufen.

06Produktionsfirmen & Crew

Projekte werden von Produktionsfirmen angelegt und verwaltet. Was in einem Projekt geteilt wird – etwa Dispos, Ablaufpläne, Kontaktlisten oder Nachrichten – bestimmt die jeweilige Produktionsfirma. Für diese Projektinhalte ist die Produktionsfirma datenschutzrechtlich verantwortlich; wir verarbeiten sie in ihrem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO). Einen Vertrag zur Auftragsverarbeitung stellen wir Produktionsfirmen auf Anfrage zur Verfügung.

Wenn Sie als Crew-Mitglied Fragen zu Inhalten eines Projekts haben, wenden Sie sich bitte zuerst an die Produktionsfirma. Wir unterstützen sie bei der Beantwortung Ihrer Anfrage. Für Ihr Nutzerkonto selbst bleiben wir verantwortlich.

Lädt Sie eine Produktionsfirma per E-Mail ein, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen die Einladung und Hinweise auf neue Dateien zu senden. Rechtsgrundlage ist das berechtigte Interesse der Produktionsfirma und unser Interesse an einer funktionierenden Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen; nicht angenommene Einladungen können Sie ignorieren.

07Push-Benachrichtigungen & E-Mails

Push-Benachrichtigungen

Wenn Sie Mitteilungen erlauben, erhalten Sie Hinweise auf neue Nachrichten, Dateien und Einladungen. Dafür speichern wir eine Gerätekennung (Push-Token) und übergeben den Text der Benachrichtigung an den Push-Dienst des Betriebssystems:

• Android: Firebase Cloud Messaging der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland,
• iOS: Apple Push Notification Service der Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland.

Eine Übermittlung in die USA ist dabei nicht auszuschließen (siehe Abschnitt 11). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit in den Einstellungen Ihres Geräts widerrufen können.

E-Mails

Wir senden E-Mails, die zur Nutzung gehören – etwa Einladungen, Hinweise auf neue Dateien, Zahlungsbestätigungen und Hinweise vor der Löschung eines Projekts. Für den Versand nutzen wir SMTP2GO (SMTP2GO Ltd., Christchurch, Neuseeland). SMTP2GO verarbeitet Empfängeradresse, Betreff, Inhalt und Zustellstatus in unserem Auftrag. Für Neuseeland besteht ein Angemessenheitsbeschluss der EU-Kommission. Newsletter oder Werbe-E-Mails versenden wir nicht.

08Buchung & Zahlung

Produktionsfirmen buchen Projekte für einen Zeitraum. Die Zahlung wird über Stripe abgewickelt (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Ihre Zahlungsdaten wie Kartennummer geben Sie direkt bei Stripe ein – wir erhalten sie nicht. Von Stripe erhalten wir die Information, ob die Zahlung erfolgreich war, sowie Betrag und Zeitraum.

Für die Rechnung verarbeiten wir Firmenname, Rechnungsanschrift, gebuchten Zeitraum und Betrag. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO. Stripe kann Daten auch in die USA übermitteln (siehe Abschnitt 11) und verarbeitet sie zur Betrugsprävention teils in eigener Verantwortung: Datenschutzerklärung von Stripe.

09Fehlerprotokolle & Betrieb

Damit wir Fehler finden und beheben können, protokollieren Server und App technische Ereignisse: Zeitpunkt, Fehlermeldung, App-Version, Gerätetyp und Betriebssystem, gegebenenfalls Ihre Nutzer-ID und IP-Adresse. Die Protokolle liegen auf unserem eigenen Server in Deutschland, werden nicht an Dritte weitergegeben und nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Dienst (Art. 6 Abs. 1 lit. f DSGVO).

10Social Media

Wir unterhalten Profile bei Instagram (Meta Platforms Ireland Ltd.) und YouTube (Google Ireland Ltd.). Wenn Sie diese Profile besuchen, verarbeiten die Anbieter Ihre Daten nach ihren eigenen Bestimmungen, auch in den USA. Für die Statistiken zu unserem Instagram-Profil sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO); Ihre Rechte können Sie am wirksamsten direkt bei Meta geltend machen. Wir nutzen diese Profile, um über MACH! zu informieren (Art. 6 Abs. 1 lit. f DSGVO).

11Dienstleister & Drittländer

Wir geben personenbezogene Daten nur weiter, soweit es für die genannten Zwecke nötig ist. Diese Dienstleister setzen wir ein:

Mit diesen Dienstleistern bestehen, soweit sie in unserem Auftrag tätig sind, Verträge zur Auftragsverarbeitung. Werden Daten in ein Land außerhalb der EU übermittelt, geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) – für die USA bei Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind – oder auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).

Daneben übermitteln wir Daten an Behörden nur, wenn wir gesetzlich dazu verpflichtet sind.

12Speicherdauer & Löschung

• Nutzerkonto: bis Sie die Löschung verlangen. Danach werden Ihre Kontodaten innerhalb von 30 Tagen gelöscht.
• Projekte: Projekte, für die seit über einem Jahr keine bezahlte Buchung mehr besteht, löschen wir mit allen Dateien, Nachrichten und Umfragen. Die Produktionsfirma wird 14 Tage vorher per E-Mail informiert. Produktionsfirmen können Projekte auch jederzeit selbst löschen.
• Rechnungen und Buchungsdaten: 10 Jahre, wie es das Handels- und Steuerrecht vorschreibt (§ 257 HGB, § 147 AO).
• Fehlerprotokolle: 30 Tage.
• Daten auf Ihrem Gerät (z. B. Arbeitszeiten): bis Sie die App löschen oder die Einträge entfernen.

Konto löschen

Die Löschung Ihres Kontos können Sie jederzeit über unser Formular zur Löschanfrage oder per E-Mail an jonas@mach.app beantragen. Inhalte, die Sie in Projekten geteilt haben (z. B. Nachrichten), können der Produktionsfirma zugeordnet bleiben, soweit sie für das Projekt erforderlich sind; Ihr Name wird dabei entfernt oder anonymisiert, soweit dies technisch möglich ist.

13Sicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen nach dem Stand der Technik (Art. 32 DSGVO), unter anderem:

• verschlüsselte Übertragung (TLS/HTTPS) bei Website, App und Web-App,
• verschlüsselte Speicherung hochgeladener Dateien (OpenPGP),
• Passwörter ausschließlich als Hash,
• Rechte- und Rollenkonzept, sodass Inhalte nur für berechtigte Projektmitglieder sichtbar sind,
• Server ausschließlich in Rechenzentren in Deutschland.

14Ihre Rechte

Sie haben jederzeit das Recht auf

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Für alle Anliegen genügt eine E-Mail an jonas@mach.app. Wir antworten innerhalb eines Monats.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

15Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich MACH! oder die rechtlichen Anforderungen ändern. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir registrierte Nutzer zusätzlich per E-Mail oder in der App.