Datenschutzerklärung

Informationen gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

2.1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Andreas Mayer
Speakspeak.net
c/o MDC#1028
Welserstraße 3
87463 Dietmannsried
Deutschland

E-Mail für Datenschutzanfragen: contact@speakspeak.net

Ein Datenschutzbeauftragter ist nicht benannt.

2.2 Was ist SpeakSpeak?

SpeakSpeak ist eine Kommunikationsplattform für Text-, Sprach- und Videokommunikation (Communities/„Server", Kanäle, Direktnachrichten, Foren, Sprach- und Videokonferenzen, Bildschirmübertragung). Der Dienst wird ausschließlich von uns als Anbieter betrieben und gehostet; ein Betrieb durch Dritte („Self-Hosting") findet nicht statt. Der Dienst befindet sich derzeit in einer geschlossenen Beta-Phase; die Registrierung ist nur mit einer von uns ausgegebenen Seriennummer möglich.

2.3 Kategorien verarbeiteter Daten

a) Kontodaten

E-Mail-Adresse
Benutzername / Handle
Geburtsdatum (zur Prüfung des Mindestalters, siehe Abschnitt 2.13)
Passwort, ausschließlich als kryptographischer Hash gespeichert (Argon2); das Passwort im Klartext wird von uns nicht gespeichert
optional: Profilbild (Avatar)
Zeitzone (für die Anzeige von Zeitangaben)
Kontostufe (Tier)

b) Inhaltsdaten

Textnachrichten in Kanälen, Direktnachrichten (einschließlich Gruppen-Direktnachrichten), Forenbeiträge und -kommentare
Sprachnachrichten (aufgezeichnete Audiodateien)
hochgeladene Dateien und Anhänge (Bilder, Videos, Audio, sonstige Dateien)
Reaktionen (Emoji-Reaktionen auf Nachrichten)
von Nutzern hochgeladene eigene Emojis („Custom Emoji") und Soundboard-Sounds
Bearbeitungsverläufe von Nachrichten und Beiträgen (Versionierung, siehe Abschnitt 2.8)

c) Technische Daten

IP-Adressen
Server- und Zugriffsprotokolle (Logs: z. B. aufgerufene Endpunkte, Zeitstempel, Statuscodes, Fehlerereignisse)
Sitzungs- und Authentifizierungstoken (JWT, Access- und Refresh-Token)
Präsenz-/Onlinestatus (online, abwesend, offline usw.)
Geräte-/Verbindungsinformationen, soweit für den Verbindungsaufbau technisch erforderlich

d) Echtzeit-Medien (Voice / Video / Bildschirmübertragung)

Audio-, Video- und Bildschirmübertragungs-Streams in Sprachkanälen und Anrufen. Die Übertragung erfolgt in Echtzeit über eine von uns betriebene Medieninfrastruktur (LiveKit-SFU); der Medienverkehr wird dabei direkt zwischen Ihrem Gerät und unserem Medienserver übertragen. Eine Aufzeichnung von Sprach-/Videokonferenzen durch uns findet nicht statt.

e) Moderations- und Sicherheitsdaten

Meldungen von Nutzern über Inhalte oder andere Nutzer (Inhalt der Meldung, gemeldeter Inhalt/Kontext, meldende und gemeldete Person)
Ergebnisse automatischer Prüfungen hochgeladener Dateien (siehe Abschnitt 2.5)
Moderations- und Administrationsprotokolle (Audit-Log)

2.4 Zwecke und Rechtsgrundlagen der Verarbeitung

Verarbeitung	Zweck	Rechtsgrundlage
Kontodaten, Inhaltsdaten, Präsenzstatus, Sitzungstoken	Bereitstellung des Dienstes und des Nutzerkontos, Erbringung der vertraglich vereinbarten Funktionen	Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen)
Geburtsdatum	Prüfung des Mindestalters von 16 Jahren bei der Registrierung (siehe Abschnitt 2.13)	Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 8 DSGVO
Echtzeit-Medienübertragung (Voice/Video/Screenshare)	Durchführung der vom Nutzer initiierten Kommunikation	Art. 6 Abs. 1 lit. b DSGVO
IP-Adressen, Server-/Zugriffslogs	Betriebssicherheit, Fehleranalyse, Abwehr von Angriffen und Missbrauch (z. B. Begrenzung von Login-Versuchen)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb)
Automatische Prüfung hochgeladener Dateien (Virenscan, Entfernung von Metadaten)	Schutz der Nutzer und der Plattform vor Schadsoftware; Schutz der Privatsphäre der Nutzer (Entfernung von EXIF-Metadaten wie GPS-Positionen)	Art. 6 Abs. 1 lit. f DSGVO
Bearbeitung von Nutzer-Meldungen, Moderation, Sperrungen	Durchsetzung der Nutzungsbedingungen, Schutz anderer Nutzer, Erfüllung gesetzlicher Pflichten (z. B. Digital Services Act)	Art. 6 Abs. 1 lit. f DSGVO; soweit gesetzliche Pflichten bestehen: Art. 6 Abs. 1 lit. c DSGVO
Aufbewahrung „gelöschter"/bearbeiteter Inhalte (Soft-Delete, Versionierung, siehe 2.8)	Moderation, Nachvollziehbarkeit bei Missbrauch, Erfüllung gesetzlicher Aufbewahrungs- und Mitwirkungspflichten	Art. 6 Abs. 1 lit. f DSGVO; ggf. Art. 6 Abs. 1 lit. c DSGVO
Geplant: Abgleich hochgeladener Dateien mit Hashwerten bekannter rechtswidriger Inhalte, insbesondere von Darstellungen sexuellen Kindesmissbrauchs (CSAM), mit gesetzlicher Meldung an zuständige Stellen	Erfüllung gesetzlicher Melde- und Mitwirkungspflichten, Schutz von Kindern	Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), hilfsweise Art. 6 Abs. 1 lit. f DSGVO, noch nicht aktiv; diese Erklärung wird vor Aktivierung aktualisiert
Übersetzung von Nachrichten (durch den Nutzer ausgelöst)	Anzeige einer Übersetzung einer Nachricht auf Wunsch des Nutzers; Verarbeitung erfolgt auf eigenen Servern in der EU (selbst gehostetes LibreTranslate), kein Abfluss an externe Übersetzungsdienste	Art. 6 Abs. 1 lit. b DSGVO
Optionale Funktionen, die eine Einwilligung erfordern (z. B. freiwillige Übermittlung von Fehlerberichten aus der App)	jeweils angegebener Zweck	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; jederzeit widerruflich mit Wirkung für die Zukunft)
E-Mail-Versand (z. B. Verifizierung, Passwort-Zurücksetzen)	Kontoverwaltung und -sicherheit	Art. 6 Abs. 1 lit. b DSGVO

Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird, können Sie ihr unter den Voraussetzungen des Art. 21 DSGVO widersprechen (siehe Abschnitt 2.10).

2.5 Automatische Prüfung hochgeladener Dateien

Hochgeladene Dateien werden vor der Bereitstellung automatisch verarbeitet:

Virenprüfung mit einem von uns selbst betriebenen Virenscanner (ClamAV, Betrieb in der EU). Als schädlich erkannte Dateien werden nicht bereitgestellt.
Entfernung von Metadaten: Aus Bildern werden eingebettete Metadaten (EXIF, z. B. GPS-Koordinaten, Kameradaten) entfernt, bevor sie anderen Nutzern angezeigt werden. Dies dient dem Schutz Ihrer Privatsphäre.
Bei Bildern werden zusätzlich Vorschaubilder (Thumbnails) erzeugt; Audio-/Videodateien können technisch umgewandelt werden (Transkodierung).

Geplant, derzeit nicht aktiv: ein automatisierter Abgleich hochgeladener Dateien mit Hashwerten bekannter rechtswidriger Inhalte, insbesondere von Darstellungen sexuellen Kindesmissbrauchs (CSAM), verbunden mit einer Sperrung erkannter Inhalte, einer gesetzlich vorgesehenen Meldung an die zuständigen Stellen sowie menschlicher Überprüfung. Vor Aktivierung dieser Funktion wird diese Datenschutzerklärung aktualisiert.

2.6 Empfänger und Auftragsverarbeiter

Wir setzen zur Erbringung des Dienstes folgende Dienstleister bzw. Infrastruktur ein:

Verarbeitung in der EU

Empfänger / Infrastruktur	Zweck	Ort
netcup GmbH (gemieteter Server, vom Anbieter selbst administriert) sowie eigene, selbst betriebene Hardware des Anbieters	Server-Hosting (Anwendung, Datenbanken, Medienserver)	EU
Impossible Cloud GmbH (S3-kompatibler Objektspeicher)	Speicherung hochgeladener Dateien (Anhänge, Avatare, Emojis, Sounds)	EU (Deutschland)
Selbst administrierter Mailserver (mailcow, `mail.speakspeak.net`) auf einem bei der netcup GmbH gemieteten Server	Versand von System-E-Mails (Verifizierung, Passwort-Zurücksetzen)	EU
Selbst gehostetes LibreTranslate	Übersetzung von Nachrichten auf Nutzerwunsch	EU
Selbst gehostetes ClamAV	Virenprüfung hochgeladener Dateien	EU
Hetzner Online GmbH (Storage Box)	Aufbewahrung verschlüsselter Sicherungskopien (Datenbank und Dateispeicher); der Dienstleister erhält ausschließlich AES-256-verschlüsselte Daten ohne Zugriff auf den Schlüssel	EU

Die Kerninfrastruktur (Anwendung, Datenbanken, Medienserver) läuft überwiegend auf einem bei der netcup GmbH gemieteten Server, ergänzend auf eigener, selbst betriebener Hardware des Anbieters — in beiden Fällen in der EU und vollständig von uns selbst administriert: Betriebssystem, Datenbanken und Anwendungen betreiben wir in eigener Verantwortung; ein Hyperscaler oder US-Konzern ist daran nicht beteiligt. Mit den oben genannten externen Dienstleistern schließen wir, soweit sie personenbezogene Daten in unserem Auftrag verarbeiten, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Kein Content-Delivery-Network, Proxy oder Tunnel; direkte, Ende-zu-Ende TLS-gesicherte Verbindung

Der gesamte Web-, API- und Echtzeit-Sprach-/Videoverkehr des Dienstes läuft direkt zwischen Ihrem Gerät und unseren Servern in der EU. Es ist kein Content-Delivery-Network, kein Reverse-Proxy und kein Tunnel-Dienst zwischengeschaltet. Die TLS-Verschlüsselung wird ausschließlich auf unseren Servern terminiert; die übertragenen Inhalte werden zu keinem Zeitpunkt von einem Dritten im Klartext verarbeitet.

Die autoritative DNS-Verwaltung der Domain speakspeak.net erfolgt über Cloudflare, Inc. (USA). Dies betrifft ausschließlich die technische Auflösung des Domainnamens in die IP-Adresse unseres Servers (Nameserver-Funktion) und umfasst nicht den Inhalt oder die Nutzdaten Ihrer Kommunikation. Eine Weiterleitung Ihres Datenverkehrs über Infrastruktur von Cloudflare findet nicht statt.

Weitergabe an Dritte im Übrigen

Eine Weitergabe personenbezogener Daten an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (z. B. Auskunftsersuchen berechtigter Behörden, künftig gesetzliche Meldepflichten bei Missbrauchsdarstellungen) oder Sie eingewilligt haben. Ein Verkauf von Daten oder eine Nutzung zu Werbezwecken Dritter findet nicht statt.

Sichtbarkeit innerhalb des Dienstes

SpeakSpeak ist eine Kommunikationsplattform: Inhalte, die Sie in Communities/Kanälen oder Foren veröffentlichen, sowie Ihr Benutzername, Avatar und Onlinestatus sind für die anderen Mitglieder der jeweiligen Community bzw. die Empfänger Ihrer Direktnachrichten sichtbar. Community-Administratoren und -Moderatoren können Inhalte ihrer Community im Rahmen der Moderation einsehen und verwalten.

2.7 Cookies und lokale Speicherung

Der Dienst ist trackerfrei: Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste Dritter ein und erstellen keine Nutzungsprofile zu Werbezwecken.

Die Marketing-Website unter speakspeak.net setzt selbst keinerlei Cookies oder lokale Speicherung. Die nachfolgend genannten technisch notwendigen Speichermechanismen betreffen ausschließlich die Anwendung (Web-App unter web.speakspeak.net).

Es werden ausschließlich technisch notwendige Speichermechanismen verwendet:

Sitzungs-/Authentifizierungstoken (JWT), gespeichert im Client (Browser-Speicher bzw. App-Speicher), um Sie angemeldet zu halten;
lokale Einstellungen (z. B. Sprache, Zeitzone, Benachrichtigungseinstellungen) und ein lokaler Nachrichten-Cache auf Ihrem Gerät zur schnelleren Anzeige.

Für ausschließlich technisch notwendige Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Ein Cookie-Banner ist daher nicht vorgesehen.

2.8 Speicherdauer und Löschung („Soft-Delete")

Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Nach Kontolöschung werden sie gelöscht bzw. anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten oder die unten beschriebenen Moderationszwecke entgegenstehen. Die Löschung bzw. Anonymisierung erfolgt spätestens 30 Tage nach Eingang des Löschauftrags.
Inhalte (Nachrichten, Beiträge, Dateien): Wenn Sie einen Inhalt löschen, wird er für andere Nutzer unsichtbar, jedoch zunächst nicht endgültig entfernt („Soft-Delete"). Ebenso werden bei der Bearbeitung von Inhalten die vorherigen Versionen aufbewahrt (Versionierung). Dies dient der Moderation (z. B. Nachvollziehbarkeit gemeldeter Inhalte, Beweissicherung bei Missbrauch) und der Erfüllung gesetzlicher Aufbewahrungs- und Mitwirkungspflichten. Endgültig gelöscht werden solche Inhalte nach Ablauf einer Aufbewahrungsfrist von 90 Tagen, sofern kein konkreter Aufbewahrungsgrund (z. B. laufendes Moderationsverfahren, behördliche Anordnung, „Legal Hold") besteht. Dateiinhalte (gespeicherte Datei-Bytes) können nach Ablauf der festgelegten Frist endgültig entfernt werden.
Server-/Zugriffslogs werden nach 30 Tagen gelöscht, soweit sie nicht zur Aufklärung konkreter Sicherheitsvorfälle länger benötigt werden.
Sitzungstoken haben kurze Gültigkeitsdauern (Access-Token: 15 Minuten; Refresh-Token: 30 Tage) und werden bei Abmeldung bzw. Ablauf ungültig.
Nutzer-Meldungen und Moderationsvorgänge werden für 12 Monate aufbewahrt.
Sicherungskopien: Zum Schutz vor Datenverlust erstellen wir täglich verschlüsselte Sicherungskopien der Datenbank und des Dateispeichers. Sicherungen werden spätestens nach 30 Tagen überschrieben. Eine zusätzliche, versionierte Kopie auf eigener Hardware des Anbieters kann einzelne Sicherungsstände vorübergehend länger vorhalten. Aus Sicherungen wird kein gelöschtes Konto wiederhergestellt; sie dienen ausschließlich der Wiederherstellung des Dienstes nach einem Datenverlust.

2.9 Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a.: Transportverschlüsselung (TLS) für sämtliche Verbindungen; Speicherung von Passwörtern ausschließlich als Argon2-Hash; signierte, kurzlebige Authentifizierungstoken; Zugriffskontrollen und Berechtigungssystem; getrennte Systeme für Identitäts- und Community-Daten; Begrenzung von Anmeldeversuchen; Protokollierung sicherheitsrelevanter Ereignisse. Hochgeladene Dateien sind nicht öffentlich abrufbar; der Zugriff erfolgt nur über zugriffsgeprüfte, zeitlich begrenzte Abruflinks bzw. über den Server.

2.10 Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft (Art. 15 DSGVO), über die verarbeiteten Daten, Zwecke, Empfänger, Speicherdauer u. a.;
Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten;
Löschung (Art. 17 DSGVO), soweit keine Ausnahme (z. B. gesetzliche Aufbewahrungspflicht, Rechtsverteidigung) greift;
Einschränkung der Verarbeitung (Art. 18 DSGVO);
Datenübertragbarkeit (Art. 20 DSGVO), Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format;
Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben;
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an: contact@speakspeak.net

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP)
Hintere Bleiche 34
55116 Mainz
https://www.datenschutz.rlp.de/

2.11 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Automatische Dateiprüfungen (Abschnitt 2.5) führen nicht zu Entscheidungen mit rechtlicher Wirkung ohne die Möglichkeit menschlicher Überprüfung.

2.12 Pflicht zur Bereitstellung von Daten

Die Angabe von E-Mail-Adresse, Benutzername, Passwort und Geburtsdatum ist für die Registrierung und Nutzung des Dienstes erforderlich; ohne diese Angaben kann kein Konto erstellt werden. Alle weiteren Angaben (z. B. Avatar) sind freiwillig.

2.13 Minderjährige

Der Dienst richtet sich nicht an Personen unter 16 Jahren. Bei der Registrierung wird das Geburtsdatum abgefragt; wir verwenden es ausschließlich zur Prüfung des Mindestalters (Art. 8 DSGVO). Erfahren wir, dass ein Konto von einer Person unter 16 Jahren geführt wird, sperren und schließen wir das Konto; für die Löschung der Daten gilt Abschnitt 2.8.

2.14 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert (z. B. Einführung von Bezahlfunktionen, Aktivierung des CSAM-Abgleichs). Es gilt die jeweils auf der Website veröffentlichte Fassung.

Stand: 17. August 2026 (zuvor: 3. Juli 2026)