Datenschutzhinweise

Diese Hinweise beschreiben die derzeitige Verarbeitung bei NextGen Social Media und kennzeichnen Funktionen, die noch nicht freigeschaltet sind. NextGen Social Media wird für einen internationalen Betrieb entwickelt; daraus folgt keine pauschale Freigabe für jedes Land. Altersbeschränkte Funktionen werden je Land oder Region erst nach rechtlicher, technischer und datenschutzrechtlicher Freigabe aktiviert. Eine englische Übersetzung ist unter /privacy verfügbar.

1. Verantwortlicher und Datenschutzkontakt

Vertreten durch den Geschäftsführer Julian Wehe.
Telefon: 0174 269 89 85
E-Mail: mail@bestitgmbh.de

Über diese Kontaktdaten können Datenschutzanfragen und Widersprüche eingereicht werden. Weil das vorgesehene Verfahren einer Datenschutz-Folgenabschätzung unterliegt, wird vor seiner Aktivierung nach § 38 Abs. 1 Satz 2 BDSG ein fachkundiger, unabhängiger Datenschutzbeauftragter benannt und dessen Kontakt hier veröffentlicht. Die Benennung und Erreichbarkeit sind ein technisches Freigabekriterium.

2. Geltungsbereich und aktueller Funktionsstatus

Der produktive Stand erlaubt ausschließlich freigegebene, nicht altersbeschränkte Inhalte. Externe Alters-, Identitäts-, Creator-KYC- und Zahlungsanbieter sowie das Veröffentlichen und Ausliefern von 18+-Inhalten sind derzeit deaktiviert. Die Hybrid-Live-Funktion ist technisch vorbereitet, bleibt aber so lange gesperrt, bis die in Abschnitt 5 und 12 genannten Provider-, Datenschutz-, SFW-, Moderations-, Betriebs- und Transferprüfungen dokumentiert freigegeben sind. Vor der Aktivierung weiterer Funktionen werden Anbieter, Produktversion, Länder, Datenregionen, Unterauftragsverarbeiter, Rechtsgrundlagen, Aufbewahrungsfristen und Übermittlungsmechanismen geprüft und diese Hinweise bei Bedarf erneut versioniert. Unbekannte oder nicht freigegebene Länder werden für altersbeschränkte Inhalte technisch abgewiesen.

3. Bereitstellung, Protokolle und lokale Einstellungen

Beim Abruf verarbeiten wir technisch erforderliche Verbindungs- und Sicherheitsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Statuscode, Browser- und Geräteangaben sowie daraus abgeleitete, regelmäßig wechselnde Sicherheitskennungen. Dies dient der Bereitstellung, Fehleranalyse, Ratenbegrenzung sowie Angriffs- und Missbrauchserkennung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an einem sicheren und stabilen Dienst nach Art. 6 Abs. 1 lit. f DSGVO. Die Designpräferenz kann lokal im Browser gespeichert werden. Die Anzeigewährung wird aus einem vom Auslieferungsnetz übermittelten Ländercode abgeleitet; sie ist kein Aufenthalts-, Steuer- oder Altersnachweis.

4. Registrierung, Anmeldung und notwendige Speichertechniken

Wir verarbeiten Kontoname, öffentlichen Anzeigenamen, den nicht automatisch öffentlichen echten Namen, E-Mail-Adresse, Rollen, Passwort-Prüfwerte, Passkey Public Keys und Zähler, Recovery-Code-Prüfwerte, Session- und CSRF-Prüfwerte, Sicherheitsereignisse sowie die bestätigten Versionen der Rechtsdokumente. Bei Google-Anmeldung erhalten wir die freigegebenen OpenID-Angaben, insbesondere eine stabile Konto-ID, bestätigte E-Mail-Adresse und Profilbasisdaten; eine übereinstimmende E-Mail-Adresse führt nicht automatisch zur Verknüpfung mit einem bestehenden Konto. Notwendige Session-, CSRF- und Anmelde-Cookies sichern Anmeldung und Anfragebindung; sie dienen nicht der Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitsnachweise ergänzend Art. 6 Abs. 1 lit. f DSGVO. Ohne erforderliche Konto- und Sicherheitsdaten kann kein Konto bereitgestellt werden. Ein optionaler E-Mail-Dienst wird erst nach vertraglicher Freigabe aktiviert.

5. Profile, soziale Funktionen und Kommunikation

Je nach Nutzung verarbeiten wir Profilangaben, Sichtbarkeitseinstellungen, Beiträge, Medien, Kategorien, Zielgruppen, Follows, Freundschaften, Communities, Listen, Reaktionen, Kommentare, private Speicherungen, Nachrichten, Einladungen, Live-Raum- und Matching-Metadaten sowie Benachrichtigungen. Öffentliche Profile dürfen unter einem Pseudonym auftreten. Öffentliche Angaben und ausdrücklich öffentlich veröffentlichte Inhalte sind auch ohne Konto sichtbar. Nicht öffentliche Inhalte werden nur nach serverseitiger Berechtigungsprüfung ausgeliefert. Die Verarbeitung erfolgt zur Bereitstellung der gewählten Funktionen nach Art. 6 Abs. 1 lit. b DSGVO sowie für Rechtekontrolle und Missbrauchsabwehr nach Art. 6 Abs. 1 lit. f DSGVO.

NextGen Social Media betreibt mindestens ein besonders berechtigtes Administratorkonto. Aktive, ausdrücklich als Administrator autorisierte Personen können in einem gekennzeichneten, nur lesenden Prüfmodus auch nicht öffentliche Profile, Beiträge, freigegebene Medien, Kommentare, Stories und Communities einsehen, selbst wenn eine Zielgruppen-, Sichtbarkeits-, Blockierungs-, Community- oder Bezahlzugangsregel die gewöhnliche Anzeige verhindern würde. Dies dient ausschließlich der Moderation, der Prüfung auf Rechts- und Regelverstöße, dem Schutz von Nutzenden und Rechteinhabern sowie der Bearbeitung rechtlicher Anforderungen. Der Prüfmodus verleiht keine Mitgliedschaft, Freundschaft, Kaufberechtigung oder sonstige Interaktionsbefugnis und zählt nicht als Profilaufruf.

Private Direktnachrichten sind von diesem allgemeinen Administratorzugriff ausdrücklich ausgeschlossen. Administratoren können Unterhaltungen nicht allein aufgrund ihrer Rolle öffnen oder durchsuchen. Nur wenn eine beteiligte Person eine konkrete Nachricht meldet, darf der genau gemeldete Nachrichteninhalt im abgesicherten Moderationsfall als Beweismittel angezeigt werden. Administrative Prüfzugriffe werden mit Administratorkennung, Zeitpunkt, Ressourcenart und Ressourcenkennung, jedoch ohne Kopie des Inhalts im Auditprotokoll festgehalten. Der Zugriff ist auf angemeldete, aktive Administratorkonten beschränkt, vertraulich, zweckgebunden und wird überprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO nur, soweit eine konkrete gesetzliche Pflicht besteht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unserer berechtigten Interessen an einem rechtmäßigen und sicheren Plattformbetrieb.

Live-Audio und Live-Video im Hybrid-Betrieb

Nach Freigabe werden private Eins-zu-eins- und kleine interaktive Sitzungen vorrangig über LiveKit Cloud vermittelt. Öffentliche Creator-Übertragungen werden über Cloudflare Realtime SFU verteilt; Cloudflare kann außerdem nur für neu beginnende Räume einspringen, wenn das freigegebene LiveKit-Kontingent erschöpft ist. Eine laufende Sitzung wechselt nicht unbemerkt zwischen Anbietern. Bei öffentlichen Übertragungen darf nur der Creator Audio oder Video senden; Zuschauer erhalten ausschließlich die abonnierten Medien. Kamera und Mikrofon werden nur nach einer entsprechenden Browserfreigabe verwendet. Die derzeitige Implementierung zeichnet Live-Audio oder Live-Video weder bei NextGen Social Media noch über eine von uns aktivierte Provider-Aufzeichnungsfunktion auf.

NextGen Social Media verarbeitet dafür Konto- und Raumkennung, Mitgliedschaft, Raumtyp, Sende- oder Zuschauerrolle, ausgewählten Anbieter, Routing- und Sitzungsstatus, pseudorandomisierte Provider-Sitzungskennungen, Audio-/Video-Trackmetadaten, Beginn, Aktualisierung und Ende der Teilnahme, kurzlebige Zuschauer-Leases sowie aggregierte Monats- und Budgetwerte. LiveKit erhält eine zufällige Teilnehmerkennung, den Anzeigenamen, eine technische Raumkennung und kurzlebige, auf Raum und Rolle begrenzte Zugangsdaten. Cloudflare erhält providerseitig erzeugte SFU-Sitzungs- und technische Trackkennungen sowie die für WebRTC erforderlichen Sitzungsbeschreibungs-, ICE-, Netzwerk- und Verbindungsdaten. Beide Anbieter verarbeiten das in Echtzeit übertragene Audio oder Video und technisch erforderliche Verbindungsdaten wie IP-Adresse, Zeitpunkte, Qualitäts- und Fehlerdaten, um die Verbindung aufzubauen, abzusichern und auszuliefern. Die Plattform übermittelt Cloudflare dabei keine eigene Konto-ID als Provider-Sitzungskennung.

LiveKit-Zugangstoken gelten in der derzeitigen Implementierung 60 Sekunden. Zuschauer-Leases verfallen ohne Erneuerung nach kurzer Inaktivität; beim Verlassen oder Beenden werden Tracks beziehungsweise Provider-Räume geschlossen und fehlgeschlagene Löschungen kontrolliert erneut versucht. Die Plattform speichert keine Aufnahme, behält aber die vorgenannten Raum-, Teilnehmer-, Track-, Abrechnungs- und Bereinigungsmetadaten nach den Regeln in Abschnitt 13; monatliche Nutzungsaggregate enthalten keine Nutzerkennung. Die konkrete Aufbewahrung von Verbindungs-, Sicherheits- und Telemetriedaten bei LiveKit und Cloudflare, die Löschung nach Sitzungsende sowie die Wirksamkeit der Provider-Bereinigung müssen vor Aktivierung vertraglich und technisch geprüft sein.

6. Reichweitenmessung ohne Werbetracking

Für Creator-Statistiken wird ein Profilaufruf höchstens einmal je betrachtendem Konto oder pseudonymisiertem Netzwerkkennzeichen, Creator und Tag gezählt. Die zugrunde liegende täglich wechselnde HMAC-Kennung erlaubt keine Rückrechnung der IP-Adresse. Rohe Zählereignisse werden nach 45 Tagen gelöscht; Tagesaggregate enthalten keine unmittelbar identifizierende Betrachterkennung. Zweck ist die belastbare, gegen Mehrfachzählung geschützte Reichweitenanzeige nach Art. 6 Abs. 1 lit. f DSGVO. Drittanbieter-Werbetracking und der Verkauf personenbezogener Daten finden derzeit nicht statt. Ein Widerspruch kann über Abschnitt 1 erklärt werden; eine zukünftige Personalisierung oder zielgerichtete Werbung erfordert eine gesonderte Prüfung und Information.

7. Managed Pages, Kampagnen und Abrechnung

Für verwaltete Seiten verarbeiten wir Eigentümerkonto, Teamrollen, Berechtigungen, Verantwortungsbereiche sowie Einladungs-, Widerrufs- und Übertragungsereignisse. Kampagnen speichern Beteiligte, Briefings, Bedingungen, Versionen, Annahmen und Werbekennzeichnung. Für Plattformrechnungen können Rechnungsanschrift, Kontaktadresse, USt-IdNr., Leistungs-, Steuer-, Zahlungs- und Bankabgleichsdaten sowie unveränderliche Rechnungssnapshots verarbeitet werden. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie das Interesse an Rechtekontrolle und beweissicherer Vertragsabwicklung nach Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich aufzubewahrende Rechnungs- und Buchungsdaten werden nach Ablauf der anwendbaren handels- und steuerrechtlichen Fristen gelöscht. Externe Live-Zahlungsabwicklung ist derzeit nicht aktiviert: Es ist kein Zahlungsanbieter für Checkout oder Auszahlungen konfiguriert, und die getrennten Checkout- und Auszahlungs-Kill-Switches bleiben aktiv. Vor einer Aktivierung dokumentieren wir den tatsächlich gewählten Anbieter, dessen Rolle, Datenkategorien, Auftragsverarbeitung, Speicherorte, Unterauftragsverarbeiter, Übermittlungsmechanismen, Aufbewahrung, Webhook- und Abgleichverfahren sowie die erforderlichen Freigaben.

8. Alters- und Identitätsprüfung – vor Aktivierung

Rohaufnahmen, Ableitungen und technische Inhaltsfingerabdrücke werden nach einer abschließenden Entscheidung unverzüglich, technisch spätestens innerhalb von 24 Stunden, vernichtet. Direkte Medienhashes sind davon umfasst.

Alters- und Identitätsprüfung sind noch deaktiviert. Nach Freigabe kann je nach ausgewähltem Verfahren entweder ein spezialisierter Anbieter oder ein besonders berechtigtes internes Prüfteam Dokument- und Bilddaten verarbeiten. Beim externen Weg können dies Ausweisdokument, Selfie oder Video, Liveness-Signale, Dokumentechtheit, Altersmerkmal sowie Geräte- und Betrugssignale sein; der konkrete Anbieter kann hierfür biometrische Daten zur eindeutigen Zuordnung verarbeiten. Das getrennte Gateway minimiert und normalisiert die Anbieterantwort und übermittelt an NextGen Social Media nur zweckgebundene pseudonyme Nachweise und technische Bindungsdaten.

Beim geplanten internen Weg würde NextGen Social Media eine dauerhaft als Kopie gekennzeichnete und geschwärzte Aufnahme eines deutschen Personalausweises sowie eine aktive Gesichtsvideo-Aufgabe vorübergehend verschlüsselt in einem vom normalen Medienspeicher getrennten Prüftresor verarbeiten. Die gesonderte Einwilligung bezieht sich ausschließlich auf das Anfertigen und Verwenden der Personalausweiskopie nach § 20 PAuswG; sie legt weder die datenschutzrechtliche Rechtsgrundlage fest noch ersetzt sie eine gegebenenfalls erforderliche Bedingung nach Art. 9 DSGVO. Sie wird nicht durch die Zustimmung zu den AGB ersetzt. Art.-6-Rechtsgrundlage und, falls technische biometrische Identifizierung eingesetzt würde, die Art.-9-Bedingung bleiben bis zur Rechts- und DSFA-Freigabe ausdrücklich offen. Zugriff erhalten nur konkret zugewiesene, qualifizierte Prüfer über eine frische Passkey-Bestätigung und ein verwaltetes Gerät; jeder Abruf und jede Entscheidung werden protokolliert, das Ergebnis erfordert zwei voneinander unabhängige Prüfer. Eine technische Gesichtsvorlage, ein Gesichtsmerkmalsvektor oder ein automatischer Gesichtsabgleich wird weder erzeugt noch gespeichert.

Name, Dokumentnummer, maschinenlesbare Zone (MRZ) und Zugangsnummer (CAN) müssen vor der Kameraaufnahme blickdicht abgedeckt werden. Die Aufnahme wird auf das Personalausweisformat normalisiert und vor jeder Speicherung serverseitig fail-closed auf die erwarteten schwarzen Abdeckbereiche geprüft; eine seitenspezifische Transformvorlage schwärzt diese Bereiche zusätzlich. Nicht konforme Aufnahmen werden verworfen. Die Angaben werden nicht ausgelesen, nicht als eigenes Datenfeld indexiert, nicht gehasht und nicht zur Wiedererkennung oder Kontenverknüpfung verwendet. Mit der unverzüglichen Vernichtung nach der Entscheidung, technisch spätestens innerhalb von 24 Stunden, verbleiben auch die minimierten Rohaufnahmen nicht. eID-Sperrkennwörter oder -Sperrmerkmale werden zu keinem Zeitpunkt übernommen. Eine über die Online-Ausweisfunktion rechtmäßig empfangene dienst- und kartenspezifische Kennung oder eine plattformspezifische Anbieterkennung darf nur flüchtig eingelesen, unmittelbar in einen domänengetrennten, nach Zweck und Umgebung separierten geheimen HMAC überführt und danach verworfen werden. Der HMAC bleibt ein pseudonymes personenbezogenes Datum; er darf nur für den vorab freigegebenen Zweck und Zeitraum eingesetzt und nicht mit anderen Diensten oder Zwecken verknüpft werden.

Rohaufnahmen, Ableitungen, direkte Medienhashes und technische Inhaltsfingerabdrücke werden nach der Abschlussentscheidung unverzüglich, technisch spätestens innerhalb von 24 Stunden, aus Primärspeicher, Replikaten, Warteschlangen und Schlüsselmaterial vernichtet; bei einem späteren Einspruch ist eine neue Aufnahme erforderlich. Dauerhaft bleibt nur ein minimierter, pseudonymer Prüf-, Richtlinien- und Löschbeleg: Vorgangs- und Nutzerreferenz, Ergebnis „Volljährigkeit bestätigt“ oder „nicht bestätigt“, freigegebenes Verfahren und Richtlinienversion, Entscheidungs-, Ablauf- und Löschzeitpunkt, Prüfer- und Vier-Augen-Nachweis sowie erforderliche Widerrufs- und Passkey-Bindungsdaten. Zusätzlich bleibt ein versionierter, geheimschlüsselgebundener und nur intern verifizierbarer Commitment-Beleg über den damals geprüften Evidence- beziehungsweise Lösch-Payload erhalten. Er enthält weder das Manifest noch Rohdaten oder direkte, frei vergleichbare Medienhashes und dient ausschließlich dem Nachweis, dass Prüf- und Löschvorgang nachträglich nicht unbemerkt ausgetauscht wurden. Name, genaues Geburtsdatum, Dokumentdaten, Bild, Video und Rohdatenfingerabdrücke gehören nicht zu diesem Dauernachweis. Kurzlebige Passkey-Verknüpfungs-Grants und Adult-Sitzungen erhalten ein festes Löschdatum und werden spätestens 24 Stunden nach ihrem technischen Ablauf automatisiert entfernt. Ein zeitlich begrenzter Legal Hold ist nur für einen konkret bestehenden Rechtsfall oder eine bindende Anordnung zulässig, muss Zweck, Rechtsgrundlage, Datensatz, Verantwortliche und Ablaufdatum festlegen und darf keine vorsorgliche Rohdatenspeicherung begründen. Der aktuelle Behördenpfad lehnt Holds auf rohem Identitätsmaterial ab. Vor einer Aktivierung für eine EPOC-PR müssen Ordertyp, amtlicher Kanal und der Lebenszyklus nach Art. 11 VO (EU) 2023/1543 – grundsätzlich 60 Tage, formwirksam um 30 Tage verlängerbar, bei bestätigtem Folgeersuchen bis zur Produktion und bei Aufhebung unverzüglich beendet – technisch und rechtlich abgenommen sein.

Für den geplanten Adult-Zugang können zusätzlich nur pseudonyme Bindungs- und Widerrufsdaten der hierfür sicher verknüpften Passkeys gespeichert werden. Ein Passkey mit verpflichtender WebAuthn-Nutzerverifikation verbindet den Besitz des privaten Schlüssels mit lokaler PIN oder Biometrie und bildet damit technisch eine Mehrfaktor-Authentisierung. Ein zusätzliches TOTP kann nur eine additive Sicherheitsstufe sein und ersetzt weder diesen nutzerverifizierten Passkey noch die erneute Personenprüfung. Normaler Login, Passwort, Google-Anmeldung, Wiederherstellung oder TOTP allein aktivieren keinen Adult-Zugang; ein neues Gerät übernimmt den Altersstatus erst nach dem gesondert freigegebenen Verknüpfungs- oder Neuprüfungsverfahren. Rechtsgrundlage, Datenschutz-Folgenabschätzung, Mitarbeiterschulung, Aufbewahrung sowie die versionsgebundene interne Betreiberfreigabe für das exakte Gesamtverfahren müssen vor Aktivierung abschließend vorliegen. Bis dahin bleibt es technisch gesperrt.

Die unterstützende TOTP-Persistenz und ihre Endpunkte sind bereits implementiert, bleiben aber hinter der deaktivierten Adult-Systemrichtlinie gesperrt. Bei einer später freigegebenen Einrichtung würden der TOTP-Seed ausschließlich verschlüsselt sowie Initialisierungsvektor, Schlüsselversion und Verschlüsselungsdomäne, die gebundene Altersbestätigung und Enrollment-Sitzung, letzter akzeptierter Zähler, Zahl der Fehlversuche, Blockzeit und Statuszeitpunkte gespeichert. Ein akzeptierter Versuch würde ohne den eingegebenen Code mit Faktor-, Nutzer-, Altersbestätigungs- und gegebenenfalls Authentifizierungssitzungsbezug, Zweck „Authentifizierung“ oder „Kontinuität“, Zähler, Ergebnis-, Erstellungs-, Verbrauchs- und Löschzeitpunkt festgehalten. Dies dient ausschließlich dem zusätzlichen Zugangsschutz, der Sitzungs- und Personenbindung sowie der Replay- und Missbrauchsabwehr. Nach einer Freigabe wäre Art. 6 Abs. 1 lit. b DSGVO die Grundlage für den vom Nutzer angeforderten geschützten Zugang und Art. 6 Abs. 1 lit. f DSGVO ergänzend für Replay-, Angriffs- und Missbrauchsschutz; die erforderliche Interessenabwägung bleibt Aktivierungsvoraussetzung.

Akzeptierte TOTP-Versuchsnachweise werden spätestens innerhalb von 24 Stunden gelöscht; der interne Löschmarker wird bereits nach 23 Stunden fällig. Ein widerrufener TOTP-Faktor einschließlich verschlüsseltem Seed, Initialisierungsvektor und Schlüsselversion wird gelöscht, sobald seine Versuchsnachweise entfernt sind, spätestens innerhalb von 24 Stunden nach Widerruf; bei wirksamer Kontolöschung werden Faktor und Versuche unmittelbar entfernt. Aktive Faktoren bleiben nur bis Widerruf, Neuprüfung, Verlust oder Ende des erforderlichen Zugangszwecks gespeichert. TOTP allein genügt niemals für Adult-Zugang, Kontinuitätsübertragung oder Wiederherstellung.

Die Zwecke werden getrennt behandelt: Volljährigkeitsnachweis und Zugangsschutz; Bindung der Prüfung an dieselbe Person; Liveness und Dokumentabgleich beim Anbieter; sowie Erkennung einer Wiederanmeldung während einer wirksamen Sperre. Die jeweilige Rechtsgrundlage und eine gegebenenfalls erforderliche Ausnahme für biometrische Daten werden vor Aktivierung je Land und Verfahren dokumentiert. Dazu gehören Datenschutz-Folgenabschätzung, Anbieterprüfung, Auftragsverarbeitungsvertrag, alternative barrierearme Prüfmethode, Lösch- und Transferkonzept sowie menschliche Überprüfung fehlerhafter Entscheidungen. Eine technische Unsicherheit, ein ungültiges Dokument oder ein Liveness-Fehler wird nicht als Nachweis der Minderjährigkeit behandelt.

9. Pseudonyme Wiederanmeldesperre – vor Aktivierung

Bei einer verhältnismäßigen Kontosperre von fünf Jahren soll NextGen Social Media aus der plattformspezifischen Anbieterkennung mittels eines versionierten geheimen HMAC eine nicht rückrechenbare Sperrkennung bilden. Diese ist pseudonym und bleibt personenbezogen; sie ist nicht anonym. Gespeichert werden nur Anbieter, Schlüsselversion, HMAC, Sanktionsreferenz, Status sowie Beginn, Ablauf und gegebenenfalls Aufhebung. Die Kennung bleibt für die Sperrdauer auch nach Löschung oder Anonymisierung des früheren Kontos getrennt vom Nutzerprofil bestehen, damit eine neue E-Mail-Adresse die Sperre nicht umgeht. Nach Ablauf darf sie nicht mehr zur Ablehnung verwendet werden und muss nach der festgelegten technischen Nachlauf- und Backupfrist gelöscht oder kryptografisch unbrauchbar gemacht werden.

Ein Treffer führt zu einer gesperrten Prüfung und darf nicht als unfehlbare Identifizierung behandelt werden. Der derzeitige Beschwerdeweg deckt nur Sanktionen eines angemeldeten Kontos ab. Vor Aktivierung der Wiederanmeldesperre muss auch für ein neu abgewiesenes Konto ein sicher gebundener Weg zur menschlichen Prüfung von Fehlzuordnung, Identitätsmissbrauch und falschen Altersentscheidungen bereitstehen; eine stattgegebene Beschwerde muss die Kennung aufheben. Die fünfjährige Dauer, Rechtsgrundlage, Interessenabwägung, Fehlerraten und Löschautomatisierung müssen ebenfalls abschließend freigegeben sein.

10. Uploads, 18+-Inhalte und mitwirkende Personen – vor Aktivierung

Uploads sind derzeit ausschließlich für freigegebene nicht altersbeschränkte Inhalte möglich; Dateien gelangen zunächst in eine private Quarantäne. Vor einer späteren Freischaltung von 18+-Uploads müssen alle hochladenden Personen volljährig und identitätsbestätigt sein. Zusätzlich müssen für jede erkennbare mitwirkende Person Volljährigkeit, Identität, Rechte, informierte Einwilligung, zulässiger Umfang und ein Widerrufs- beziehungsweise Takedown-Prozess nachgewiesen werden. Die Prüfung eines Uploaders ersetzt diese Nachweise nicht.

18+-Inhalte können Informationen zum Sexualleben, zur sexuellen Orientierung, Gesundheit oder andere besonders geschützte Angaben erkennen lassen. Die hierfür erforderlichen Rechtsgrundlagen und Bedingungen nach Art. 9 DSGVO werden vor Aktivierung gesondert festgelegt; eine allgemeine Konto- oder AGB-Bestätigung genügt dafür nicht. Inhalte dürfen nur innerhalb der ausdrücklich gewählten Sichtbarkeit veröffentlicht werden. Rechtswidrige Inhalte, Darstellungen Minderjähriger, nicht einvernehmliche intime Inhalte und Inhalte ohne erforderliche Rechte bleiben verboten.

11. Moderation, Meldungen, Sanktionen und Beschwerden

Wir verarbeiten Meldende, gemeldete Inhalte oder Konten, Grund, Freitext, Beweismittel, Regel- und Modellversion, Klassifikationslabel und Konfidenz, Fallstatus, Prüferkennung, Entscheidung, Sanktion und Beschwerde. Bei einer Meldung aus einem Live-Chat wird ausschließlich die konkret gemeldete Nachricht als fallgebundener Beleg kopiert, für berechtigte Prüfer sichtbar gemacht und der Prüfzugriff ohne Inhaltskopie auditiert. Ab exakt 180 Tagen ist dieser Live-Chat-Beleg im Prüfzugriff nicht mehr verfügbar. Die physische Löschung erfolgt im nächsten planmäßigen Lauf, der alle 30 Minuten mit bis zu fünf Minuten Zufallsverzögerung startet; im störungsfreien Regelbetrieb damit innerhalb von 35 Minuten nach Ablauf. Betriebsstörungen können die physische Löschung verzögern, werden überwacht und beim nächsten erfolgreichen Lauf nachgeholt. Meldenden- und Opferdaten werden gegenüber der gemeldeten Person nicht offengelegt, soweit dies nicht rechtlich erforderlich ist. Automatische Systeme dürfen vorsortieren oder Inhalte in Quarantäne halten; endgültige schwerwiegende Maßnahmen sollen überprüfbar sein und bei vorgesehenen Fünfjahres- oder Dauersperren eine unabhängige Zweitfreigabe erhalten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten bestehen, und Art. 6 Abs. 1 lit. f DSGVO für Plattform-, Nutzer- und Rechteinhaberschutz. Andere Beweisdaten werden nur für das Verfahren, Wiederholungsbewertung, gesetzliche Meldungen oder konkret dokumentierte Rechtsverteidigung aufbewahrt.

Für diese Aufgaben dürfen die autorisierten Administratoren den in Abschnitt 5 beschriebenen Prüfmodus verwenden. Er ist kein verdecktes Nutzerkonto und umgeht keine Schreib-, Kauf- oder Kommunikationsberechtigung. Zugriffsprotokolle werden nur so lange aufbewahrt, wie dies für Zugriffskontrolle, Missbrauchserkennung, Rechenschaft und Rechtsverteidigung erforderlich ist.

12. Empfänger, Hosting und internationale Übermittlungen

Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, stellt als Auftragsverarbeiter VPS-Infrastruktur für Anwendungs-, Datenbank- und Protokolldaten bereit. Die vorgesehene Verarbeitung erfolgt in Deutschland beziehungsweise der EU; maßgeblich sind der im Kundenkonto abgeschlossene Auftragsverarbeitungsvertrag und die gewählte Serverregion.

Cloudflare, Inc., 101 Townsend Street, San Francisco, California 94107, USA, ist für den vorgesehenen Betrieb als Auftragsverarbeiter für Datenbank-, private Medien-, Netzwerk-, Sicherheits- und Protokolldaten über D1, R2 und Edge-Dienste sowie für Live-Audio, Live-Video, WebRTC-Sitzungs- und Verbindungsdaten über Cloudflare Realtime SFU eingeplant. Wegen des globalen Netzes und möglicher Zugriffe aus Drittländern gelten nach dokumentierter Annahme das jeweils aktuelle Cloudflare Data Processing Addendum, bei einer beschränkten Übermittlung die dort einbezogenen EU-Standardvertragsklauseln und erforderliche Zusatzmaßnahmen. Die konkrete Kontokonfiguration, Produktabdeckung des Vertrags, Unterauftragsverarbeiter und Transfer-Folgenabschätzung müssen vor Live-Aktivierung dokumentiert sein.

LiveKit Incorporated, 4285 Payne Avenue, #9154, San Jose, California 95157, USA, ist für den vorgesehenen Betrieb von LiveKit Cloud als Auftragsverarbeiter für Echtzeit-Audio und -Video, Raum-, Teilnehmer-, Netzwerk-, Sicherheits-, Qualitäts- und Telemetriedaten eingeplant. Maßgeblich sind erst nach dokumentierter Annahme das aktuelle Data Processing Addendum und die Unterauftragsverarbeiterliste. Vor Aktivierung müssen insbesondere Produktabdeckung, EU-Region-Pinning, tatsächliche Datenwege, Aufbewahrung, Drittlandgarantien, Zusatzmaßnahmen und Löschung nach Sitzungsende geprüft und festgehalten sein.

Bei freiwillig gewählter Google-Anmeldung verarbeitet im EWR und in der Schweiz grundsätzlich Google Ireland Limited, außerhalb regelmäßig Google LLC, die Google-Kontodaten in eigener Verantwortung; NextGen Social Media ist für die empfangenen OpenID-Angaben verantwortlich. Maßgeblich sind die Google-Datenschutzhinweise. Weitere Identitäts-, Alters-, E-Mail-, Moderations- oder Zahlungsanbieter bleiben deaktiviert, bis Rechtsträger, Rolle, Unterauftragsverarbeiter, Speicherorte, Löschung und Übermittlungsmechanismus dokumentiert sind.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur mit einem anwendbaren Angemessenheitsbeschluss oder geeigneten Garantien wie EU-Standardvertragsklauseln und erforderlichen Zusatzmaßnahmen. Vertragsabschluss, Kontokonfiguration und Transferprüfung sind Betriebsanforderungen; ein bloßer Link auf Anbieterklauseln ersetzt sie nicht.

Personenbezogene Daten können außerdem an Gerichte, Strafverfolgungs-, Sicherheits- oder andere zuständige Behörden übermittelt werden, soweit eine konkrete, für NextGen Social Media verbindliche gesetzliche Pflicht oder rechtmäßige Anordnung dies verlangt. Jede Anfrage wird insbesondere nach Zuständigkeit, Rechtsgrundlage, Form, Umfang und erforderlicher gerichtlicher Anordnung geprüft. Es werden nur die tatsächlich vorhandenen und erforderlichen Daten über einen verifizierten sicheren Weg offengelegt; eine Anfrage begründet keine vorsorgliche Erhebung oder längere Speicherung. Formale Validierung, der exakt an Anordnung, Konten, Kategorien und tatsächlich vorhandene Zeiträume gebundene Umfang sowie getrennte Freigaben durch Legal und Privacy werden unveränderlich protokolliert. EPOC und EPOC-PR werden erst nach Umsetzung der VO (EU) 2023/1543 und der Adressaten-/Mitteilungspflichten nach EBewMG operativ angenommen; bis dahin bleibt die betreffende Funktion fail-closed. Exportbelege enthalten keine Exportdaten oder frei vergleichbaren Inhaltsdigests. Betroffene werden informiert, soweit dies rechtlich zulässig ist; gesetzliche Geheimhaltungs- oder Benachrichtigungsbeschränkungen bleiben vorbehalten.

13. Speicherdauer, Kontobeendigung und gesetzliche Sperren

Wir speichern Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind. Kurzlebige Anmelde-, Challenge-, Live-Zugangs-, Zuschauer-Lease- und Reservierungsdaten laufen technisch ab; rohe Profilaufrufereignisse werden nach 45 Tagen gelöscht. Live-Medien werden nicht als Aufnahme gespeichert. Abgelaufene Leases und freigegebene Reservierungen werden binnen 24 Stunden gelöscht. Nach einem beendeten Live-Raum und erfolgreicher Provider-Bereinigung werden technische Teilnehmer- und Trackdaten ebenfalls binnen 24 Stunden gelöscht. Erfolgreiche Bereinigungsjobs werden nach sieben Tagen gelöscht; offene oder endgültig fehlgeschlagene Jobs bleiben bis zur nachgewiesenen Provider-Löschung für den Wiederanlauf erhalten. Provider-, Sitzungs-, Kapazitäts- und Deadline-Felder des beendeten Raums werden nach 30 Tagen und nur ohne offenen oder endgültig fehlgeschlagenen Bereinigungsjob entfernt. Nutzerfreie monatliche Nutzungsaggregate werden 24 Monate aufbewahrt. Der automatische Lauf startet alle 30 Minuten mit bis zu fünf Minuten Zufallsverzögerung; eine Betriebsstörung kann die physische Löschung verzögern und wird über den Frischemarker überwacht. Inhalte und Kontodaten bleiben grundsätzlich bis zur Löschung oder Kontobeendigung gespeichert. Danach werden sie gelöscht oder anonymisiert, sofern keine Rechnungspflicht, wirksame Wiederanmeldesperre, Moderationsbeweissicherung, offene Forderung, gesetzliche Meldepflicht oder Rechtsverteidigung eine getrennte, beschränkte Aufbewahrung erfordert. Ein vollständiger Self-Service-Lösch- und Datenexportweg befindet sich noch in Entwicklung; bis dahin können Anträge über Abschnitt 1 gestellt werden. Die Live-Funktion bleibt bis zum getesteten Provider-Löschlauf und den übrigen Freigaben gesperrt.

14. Pflichtangaben, Quellen und automatisierte Entscheidungen

Kontodaten stammen von der betroffenen Person, technische Daten vom Gerät beziehungsweise Auslieferungsnetz, Google-Daten nur nach gewählter Anmeldung und Prüfresultate künftig vom ausgewählten Anbieter. Erforderliche Angaben sind als solche gekennzeichnet; ohne sie kann die jeweilige Funktion nicht bereitgestellt werden. Eine Alters- oder Sperrentscheidung kann den Zugang erheblich beeinträchtigen. Deshalb werden alternative Prüfung, nachvollziehbare Statusgründe, menschliche Überprüfung und Beschwerde vorgesehen. Über eine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung sowie die maßgeblichen Kriterien und Folgen wird vor ihrem Einsatz gesondert informiert.

15. Rechte in Europa und weiteren Regionen

Nach Maßgabe der DSGVO bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf einer Einwilligung mit Wirkung für die Zukunft. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde. Vor einer Auskunft oder Änderung prüfen wir die Identität nur im erforderlichen Umfang.

Abhängig vom Wohnort können zusätzliche Rechte gelten, etwa Kenntnis, Berichtigung, Löschung, Einschränkung bestimmter Verwendungen sensibler Daten, Widerspruch gegen Verkauf oder Weitergabe für verhaltensbasierte Werbung und Schutz vor Benachteiligung. NextGen Social Media verkauft derzeit keine personenbezogenen Daten und teilt sie nicht für kontextübergreifende verhaltensbasierte Werbung. Solche Rechte werden auch bei einer weltweit erreichbaren allgemeinen Oberfläche berücksichtigt; notwendige regionale Zusatzhinweise und Antragswege müssen vor der Erhebung zusätzlicher regionaler oder altersbeschränkter Daten ergänzt werden. Anfragen können über die Kontaktdaten in Abschnitt 1 gestellt werden.

Derzeit ist kein externer Zahlungsanbieter für Live-Checkout oder Creator-Auszahlungen konfiguriert. Bis zu einer dokumentierten Freigabe werden deshalb keine Zahlungs- oder Auszahlungsdaten für einen solchen Anbieter verarbeitet.

16. Änderungen und Aktivierung neuer Länder

Wir aktualisieren diese Hinweise, wenn sich Anbieter, Zwecke, Datenkategorien, Aufbewahrung, Übermittlungen oder gesetzliche Anforderungen wesentlich ändern. Eine neue Datenschutzversion wird in der Registrierung ausgewiesen; soweit erforderlich informieren wir bestehende Nutzer oder holen eine gesonderte Einwilligung ein. Kein Land und kein externer Prüfprovider wird allein durch diesen Text freigeschaltet.