Datenschutzerklärung – riffbox

Stand: 14.11.2026 · Version: 1.1 English version: https://riffbox.effigies.tech/privacy

Diese Datenschutzerklärung gilt für die Website https://riffbox.effigies.tech und für die Software „riffbox“. riffbox ist kein öffentlicher Dienst. Die Software wird ausschließlich vom Betreiber für seine eigenen Konten auf Social-Media-Plattformen genutzt. Dabei werden auch personenbezogene Daten anderer Personen verarbeitet, etwa von Content-Creatorn, deren Clips mit ihrer Erlaubnis kommentiert werden, oder von Personen, die unter den eigenen Videos kommentieren. Diese Erklärung informiert alle Betroffenen nach Art. 13 und Art. 14 DSGVO und erfüllt die Offenlegungspflichten der genutzten Plattformen.

Inhalt

1. Verantwortlicher
2. Was riffbox ist
3. Website
4. Software riffbox – allgemeine Verarbeitung
5. Plattformen
6. YouTube
7. TikTok
8. Instagram / Meta
9. X
10. Twitch
11. Reddit
12. Daten Dritter
13. KI-Einsatz
14. Empfänger und Auftragsverarbeiter
15. Übermittlung in Drittländer
16. Speicherdauer
17. Datensicherheit
18. Ihre Rechte
19. Data Deletion Instructions – Löschung Ihrer Daten
20. Sonstige Pflichtangaben
21. Geplante Funktionen und Änderungen dieser Erklärung

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO für die Website und die Software riffbox ist:

der Betreiber dieser Website, ein Einzelunternehmer in Deutschland. Name und Anschrift stehen im Impressum.

E-Mail: unbecand@gmail.com

Für alle Fragen und Beschwerden zum Datenschutz, für Auskunfts- und Löschanfragen sowie für Opt-out-, Erlaubnis- und Takedown-Anfragen erreichen Sie den Betreiber unter unbecand@gmail.com.

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht zur Benennung besteht (Art. 37 DSGVO, § 38 BDSG).

2. Was riffbox ist

riffbox ist eine lokal betriebene Software-Pipeline. Sie

• findet über die offiziellen Schnittstellen der Plattformen beliebte Gaming-Clips und Trends,
• verarbeitet ausschließlich Videomaterial, für das eine Erlaubnis der Rechteinhaber vorliegt oder das vom Betreiber selbst stammt,
• erstellt daraus kurze Reaction-Videos und längere Compilations, in denen ein KI-generierter, fiktiver 2D-Avatar das Material mit synthetischer Stimme kommentiert,
• veröffentlicht die fertigen Videos erst nach manueller Freigabe durch den Betreiber über die offiziellen Schnittstellen (APIs) auf den eigenen Konten des Betreibers bei YouTube, TikTok, Instagram und X,
• ruft Kennzahlen der eigenen Videos ab und kann Kommentare unter den eigenen Videos lesen.

Wer riffbox nutzt: ausschließlich der Betreiber, mit seinen eigenen Konten (auch mehreren pro Plattform). Es gibt keine Registrierung, keine Nutzerkonten für Dritte und keine Bereitstellung der Software an Dritte.

Wo riffbox läuft: auf einem eigenen Server des Betreibers in Deutschland, optional auf einem eigenen Notebook des Betreibers. Nach außen erreichbar sind nur kurzlebige, signierte Links für fertige Videos (siehe Auftragsverarbeiter).

3. Website

3.1 Hosting und Server-Logs

Die Website ist eine statische Seite. Sie wird gehostet bei: GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (GitHub Pages).

Bei jedem Aufruf verarbeitet der Hoster technisch notwendige Daten:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei, übertragene Datenmenge, HTTP-Statuscode
• Browser-Typ und -Version, Betriebssystem, Referrer-URL (soweit vom Browser übermittelt)

Zweck: Auslieferung der Website, Stabilität und Sicherheit (z. B. Abwehr von Angriffen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und fehlerfreien Betrieb der Website. Speicherdauer: nach den Vorgaben von GitHub, siehe Datenschutzerklärung von GitHub. Der Betreiber selbst wertet diese Logs nicht aus.

Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

3.2 Keine Cookies, kein Tracking

Die Website setzt keine Cookies, speichert keine Informationen auf Ihrem Endgerät und liest keine aus (§ 25 TDDDG). Es gibt keine Analyse-, Tracking- oder Werbedienste, keine Social-Media-Plugins, keine eingebetteten Videos und keine Formulare. Schriften und sonstige Ressourcen sind lokal eingebunden; beim Aufruf werden keine Daten an Dritte wie Google Fonts oder externe CDNs übertragen.

3.3 Kontakt per E-Mail

Wenn Sie dem Betreiber eine E-Mail schreiben, werden Ihre E-Mail-Adresse, Ihr Name (falls angegeben), der Inhalt Ihrer Nachricht und die Metadaten der E-Mail verarbeitet.

Zweck: Bearbeitung Ihres Anliegens, z. B. Datenschutzanfragen, Opt-out-, Takedown- oder Erlaubnisanfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen); bei Erlaubnis- und Nutzungsvereinbarungen Art. 6 Abs. 1 lit. b DSGVO; bei Anfragen zur Ausübung von Betroffenenrechten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 ff. DSGVO. E-Mail-Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung. Speicherdauer: siehe Speicherdauer.

3.4 OAuth-Rücksprungseite

Die Plattform-Apps von riffbox haben Weiterleitungsadressen (Redirect URIs) für die Anmeldung. Sie zeigen auf lokale Adressen des Betreibers oder auf eine reine Rücksprungseite dieser Website, die keine Daten speichert. Nur der Betreiber meldet sich dort mit seinen eigenen Konten an.

4. Software riffbox – allgemeine Verarbeitung

4.1 Herkunft des Videomaterials

riffbox lädt keine Videodateien von YouTube, Twitch oder anderen Plattformen herunter. Die Schnittstellen dieser Plattformen werden nur genutzt, um Clips und Trends zu finden, Metadaten abzurufen und eigene Videos zu veröffentlichen.

Videomaterial anderer Personen wird nur verwendet, wenn

• der Rechteinhaber (z. B. der Streamer) die Nutzung ausdrücklich erlaubt hat und die Datei selbst bereitstellt, etwa über einen von ihm geteilten Link, oder
• das Material unter einer Lizenz steht, die diese Nutzung ausdrücklich gestattet.

Daneben verwendet riffbox eigenes Material des Betreibers, z. B. eigene Gameplay-Aufnahmen.

4.2 Ablauf

1. Entdecken: Über die offiziellen Schnittstellen von Twitch, YouTube und gegebenenfalls Reddit werden öffentliche Clips, Videos und Beiträge eines Themenbereichs als Trend- und Quellensignal gefunden. Dabei werden nur Metadaten abgerufen.
2. Erlaubnis: Für einen gewünschten Clip fragt der Betreiber beim Rechteinhaber eine Erlaubnis an. Erteilte Erlaubnisse werden im Creator-Register dokumentiert.
3. Übernahme: Der Rechteinhaber stellt die Datei bereit. Sie wird in einem lokalen Datenordner außerhalb des Code-Repositorys gespeichert.
4. Analyse: Die Software erstellt lokal ein Transkript, Einzelbilder (Keyframes) und Highlight-Marken. Sie prüft das Material automatisch auf Ausschlusskriterien, z. B. Beleidigungen, Hassrede, sexuelle Inhalte, Glücksspiel, reale Gewalt, Drogen, sichtbare personenbezogene Daten, Minderjährige und geschützte Musik.
5. Creator-Register: Abgleich mit einer internen Liste (erlaubt / gesperrt / neutral). Material gesperrter Creator wird nicht verwendet; Material ohne dokumentierte Erlaubnis wird nicht verarbeitet.
6. Erstellung: Skript, Prüfung des eigenen Textes, Sprachsynthese, Avatar-Animation und Schnitt.
7. Review-Queue: Der Betreiber prüft jedes Video manuell und gibt es pro Plattform frei.
8. Veröffentlichung: Upload über die offizielle API der jeweiligen Plattform auf ein eigenes Konto des Betreibers.

4.3 Datenkategorien im Überblick

4.4 Keine Profilbildung, kein Verkauf, keine Werbung

riffbox bildet keine Profile über Personen, verkauft keine Daten und nutzt keine Daten für Werbung. Kennzahlen werden nur aggregiert und ohne Identität der Zuschauer abgerufen. Plattformdaten werden nicht zum Training von KI-Modellen genutzt (siehe KI-Einsatz).

5. Plattformen

Die folgenden Abschnitte erfüllen die Offenlegungspflichten der jeweiligen Entwicklerbedingungen. Wo der Betreiber riffbox mit seinen eigenen Konten verbindet, ist er gleichzeitig der Nutzer der App. Wo Daten anderer Personen verarbeitet werden, ist das ausdrücklich genannt.

5.1 YouTube

riffbox nutzt die YouTube API Services. Mit der Nutzung der YouTube-Funktionen von riffbox gelten die YouTube-Nutzungsbedingungen. Für die Verarbeitung durch Google gilt die Datenschutzerklärung von Google (http://www.google.com/policies/privacy).

Genutzte Schnittstellen: YouTube Data API v3, YouTube Analytics API. Anmeldung: OAuth 2.0 für die eigenen Kanäle des Betreibers; API-Schlüssel für die öffentliche Suche. Berechtigungen (Scopes): - youtube.upload – Hochladen eigener Videos - youtube.readonly – Lesen eigener Kanal- und Videodaten - yt-analytics.readonly – Kennzahlen eigener Videos - youtube.force-ssl – Lesen von Kommentaren unter eigenen Videos

riffbox lädt keine Videos von YouTube herunter. YouTube-Suchergebnisse dienen nur als Trendsignal.

Abgerufene und gespeicherte Daten:

Alle Daten werden lokal auf dem Server des Betreibers gespeichert.

Verwendung und Weitergabe: Die Daten werden nur für die genannten Zwecke verwendet. Ausgewählte Kommentartexte mit Anzeigenamen und die Kennzahlen eigener Videos können zur Analyse und Skripterstellung an den KI-Dienst Anthropic übermittelt werden (siehe KI-Einsatz und Auftragsverarbeiter). Ein verwendeter Kommentar wird im Video als Einblendung gezeigt; der Anzeigename wird dabei ausgeblendet oder nur mit Zustimmung der Person gezeigt. Eine sonstige Weitergabe an Dritte findet nicht statt.

Cookies und Speicherung auf Geräten: riffbox speichert und liest keine Informationen auf den Geräten von Zuschauern oder Kommentierenden. riffbox zeigt keine Inhalte oder Werbung Dritter an.

Widerruf des Zugriffs: Der Zugriff von riffbox auf ein Google-Konto kann jederzeit über die Google-Sicherheitseinstellungen widerrufen werden: https://security.google.com/settings/security/permissions. Nach einem Widerruf werden alle über das Konto erhaltenen Daten, die nicht gesetzlich aufbewahrt werden müssen, innerhalb von 7 Tagen gelöscht. Löschanfragen zu gespeicherten Daten werden innerhalb von 7 Tagen erledigt. Siehe auch Data Deletion Instructions.

Kontakt bei Fragen oder Beschwerden zum Datenschutz: unbecand@gmail.com

5.2 TikTok

Genutzte Produkte: TikTok Login Kit und Content Posting API (Direct Post). Zweck: Veröffentlichung eigener Videos auf den eigenen TikTok-Konten des Betreibers und Abruf von Kennzahlen dieser Videos. riffbox durchsucht TikTok nicht, lädt keine Inhalte von TikTok herunter und liest keine Daten anderer TikTok-Nutzer aus. Berechtigungen (Scopes): user.info.basic, video.publish, video.list.

Abgerufene und gespeicherte Daten:

Veröffentlichung: Jede Veröffentlichung erfolgt erst nach ausdrücklicher Bestätigung durch den Betreiber, nach den Content Sharing Guidelines von TikTok: Vorschau, Anzeige des Konto-Nicknames, bearbeitbarer Titel, Privatsphäre-Einstellung ohne Vorauswahl, Einstellungen zu Kommentaren, Duett und Stitch, Kennzeichnung kommerzieller Inhalte und Hinweis auf die Music Usage Confirmation.

Weitergabe: Kennzahlen eigener Videos können zur Content-Planung an Anthropic übermittelt werden (siehe KI-Einsatz). Eine sonstige Weitergabe von TikTok-Daten findet nicht statt. Es werden keine Profile über TikTok-Nutzer erstellt.

Für die Verarbeitung durch TikTok gelten: TikTok-Datenschutzrichtlinie (EWR) und TikTok-Nutzungsbedingungen.

Widerruf: Die Verbindung kann jederzeit in den Einstellungen der TikTok-App bei den Berechtigungen für verbundene Apps getrennt werden. Danach werden die Tokens gelöscht und die übrigen TikTok-Daten nach den Data Deletion Instructions behandelt.

5.3 Instagram / Meta

Genutztes Produkt: Instagram API mit Instagram Login, für Instagram-Professional-Konten (Creator/Business) des Betreibers. Eine Facebook-Seite ist dafür nicht erforderlich und wird nicht genutzt. Zweck: Veröffentlichung eigener Reels, Abruf von Kennzahlen eigener Beiträge, Lesen von Kommentaren unter eigenen Beiträgen (Moderation, Format „Comment Reply“). Berechtigungen: instagram_business_basic, instagram_business_content_publish, instagram_business_manage_insights, instagram_business_manage_comments.

Verarbeitete Plattformdaten:

Bereitstellung des Videos: Instagram lädt Videos über eine öffentlich erreichbare URL. Dafür legt riffbox das fertige Video kurzzeitig in einem privaten Objektspeicher ab (Cloudflare R2, Speicherort EU) und stellt einen signierten Link bereit, der höchstens 1 Stunde gültig ist. Die Datei wird nach erfolgreicher Veröffentlichung gelöscht, spätestens nach 24 Stunden.

Weitergabe und Dienstleister: Ausgewählte Kommentare (Text, Benutzername) und Kennzahlen können zur Analyse an Anthropic übermittelt werden. Dienstleister, die Meta-Plattformdaten verarbeiten, sind schriftlich verpflichtet, sie nur im Auftrag und nach Weisung des Betreibers und nicht für eigene Zwecke zu verarbeiten (siehe Auftragsverarbeiter). Plattformdaten werden nicht verkauft, nicht für Werbung und nicht zum Training von KI-Modellen genutzt.

Für die Verarbeitung durch Meta gelten: Datenschutzrichtlinie von Meta und Instagram-Nutzungsbedingungen.

Löschung: Jede Person, deren Daten riffbox über Meta erhalten hat, kann die Löschung verlangen. Wie das geht, steht unter Data Deletion Instructions.

5.4 X

Genutzte Schnittstelle: X API v2. Anmeldung: OAuth 2.0 User Context mit PKCE für die eigenen X-Konten des Betreibers. Zweck: Veröffentlichung ausgewählter Videos auf den eigenen X-Konten und Abruf von Kennzahlen eigener Posts. Berechtigungen (Scopes): tweet.read, tweet.write, users.read, media.write, offline.access.

Abgerufene und gespeicherte Daten:

riffbox liest keine Inhalte oder Profile anderer X-Nutzer, führt keine Auswertung oder Überwachung von X-Nutzern durch und nutzt X-Inhalte nicht zum Training oder Fine-Tuning von KI-Modellen. Wird ein Post gelöscht oder fordert X oder ein X-Nutzer die Löschung von X-Inhalten, löscht riffbox die betroffenen Daten innerhalb von 24 Stunden nach der Aufforderung.

Für die Verarbeitung durch X gelten: Datenschutzrichtlinie von X und Nutzungsbedingungen von X.

Widerruf: Die Verbindung kann jederzeit in den X-Einstellungen bei den verbundenen Apps getrennt werden.

5.5 Twitch

Genutzte Schnittstelle: Twitch Helix API. Anmeldung: App Access Token (Client Credentials). Es meldet sich kein Twitch-Nutzer bei riffbox an, und es werden keine Nutzerberechtigungen angefragt. Endpunkte: Get Clips, Get Games, Get Users. Zweck: Finden beliebter öffentlicher Clips eines Themenbereichs, um bei den Rechteinhabern eine Erlaubnis zur Nutzung anzufragen; Quellennachweis und Namensnennung (Credit).

riffbox lädt keine Videodateien von Twitch herunter. Clips werden nur verwendet, wenn der Streamer die Nutzung erlaubt und die Datei selbst bereitgestellt hat (siehe Herkunft des Videomaterials).

Abgerufene und gespeicherte Daten:

Weitergabe: Clip-Metadaten (inkl. Kanal- und Anzeigenamen) können zur Auswahl und Planung an Anthropic übermittelt werden (siehe KI-Einsatz). Eine sonstige Weitergabe von Twitch-Daten findet nicht statt.

Für die Verarbeitung durch Twitch gelten: Twitch-Datenschutzhinweis und Twitch-Nutzungsbedingungen.

Löschung: Twitch-Daten werden auf Anforderung von Twitch oder der betroffenen Person gelöscht (siehe Data Deletion Instructions).

5.6 Reddit

Genutzte Schnittstelle: Reddit Data API, nur lesender Zugriff. Diese Funktion ist optional und wird nur bei Bedarf aktiviert. Zweck: Trendsignal aus Titeln und Upvotes öffentlicher Beiträge in themenbezogenen Subreddits. Verarbeitete Daten: Titel, Score, Zeitpunkt, Subreddit. Es werden keine Videos, keine Nutzernamen und keine Nutzerprofile gespeichert. Speicherdauer: höchstens 30 Tage. Wird ein Beitrag auf Reddit gelöscht, wird er auch bei riffbox unverzüglich gelöscht. Für die Verarbeitung durch Reddit gilt: Reddit-Datenschutzrichtlinie.

6. Daten Dritter

Dieser Abschnitt informiert Personen, deren Daten riffbox nicht oder nicht nur bei ihnen selbst erhebt (Art. 14 DSGVO).

6.1 Streamer und Content-Creator ohne Erlaubnis (nur Metadaten)

Daten: Kanal-ID, Login- und Anzeigename, Metadaten öffentlicher Clips. Quelle: Twitch-API und YouTube-API. Zwecke: Entdecken von Trends und möglichen Kooperationspartnern, Anfrage einer Erlaubnis, Dubletten-Erkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, geeignetes Material zu finden und dessen Rechteinhaber um Erlaubnis zu fragen. Veröffentlichung: keine. Ohne Erlaubnis wird kein Material dieser Personen verwendet.

6.2 Streamer und Content-Creator mit Erlaubnis

Daten: Kanal-ID, Login- und Anzeigename, Kontaktdaten (z. B. E-Mail-Adresse), Inhalt, Umfang und Datum der Erlaubnis; Bild und Stimme im bereitgestellten Material (z. B. Facecam, Kommentar zum Gameplay); Aussagen im Transkript. Quelle: der Creator selbst und das von ihm bereitgestellte Material. Zwecke: Erstellung und Veröffentlichung kommentierender Videos im Rahmen der Erlaubnis, Namensnennung, Nachweis der Erlaubnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvereinbarung mit dem Creator) und, soweit erforderlich, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Veröffentlichung des eigenen Bildnisses, § 22 KUG). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Folgen stehen unter Opt-out und Takedown. Veröffentlichung: Ausschnitte mit Namensnennung (Credit) in den eigenen Videos auf YouTube, TikTok, Instagram und X.

6.3 Clip-Ersteller auf Twitch

Daten: Anzeigename der Person, die einen Clip auf Twitch erstellt hat. Zweck: vollständiger Quellennachweis. Der Name wird nicht veröffentlicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6.4 Weitere Personen im Material

Daten: Bild und Stimme von Mitspielern, Gästen und anderen im Material hörbaren oder sichtbaren Personen; Namen, soweit sie im Transkript oder in Einblendungen vorkommen. Schutzmaßnahmen: Sichtbare personenbezogene Daten im Bild, etwa Adressen oder Telefonnummern, werden automatisch erkannt; das Material wird verworfen oder unkenntlich gemacht. Material mit erkennbaren Minderjährigen wird nicht verwendet. Es findet keine Gesichtserkennung und keine biometrische Identifizierung statt. Der Creator bestätigt bei der Erlaubnis, dass er zur Weitergabe des Materials berechtigt ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der kommentierenden Auseinandersetzung mit Material, dessen Nutzung der Rechteinhaber erlaubt hat.

6.5 Kommentierende auf den eigenen Kanälen

Daten: Anzeige- bzw. Benutzername, Kommentartext, Zeitpunkt, Kommentar-ID. Quelle: YouTube Data API und Instagram API, nur Kommentare unter eigenen Videos und Beiträgen des Betreibers. Zwecke: Moderation und das Videoformat „Comment Reply“, in dem der Avatar auf einen Kommentar antwortet. Veröffentlichung: Ein ausgewählter Kommentar wird im Video als Einblendung gezeigt. Der Anzeigename wird ausgeblendet oder nur mit ausdrücklicher Zustimmung der Person gezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Moderation und Interaktion mit der eigenen Community); bei Anzeige des Namens Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

6.6 Information über diese Erklärung

Daten nach 6.1, 6.3 und 6.4 stammen aus öffentlich zugänglichen Quellen bzw. aus Material, das der Rechteinhaber bereitgestellt hat. Eine einzelne Benachrichtigung jeder betroffenen Person wäre unmöglich oder mit unverhältnismäßigem Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO). Der Betreiber stellt die Informationen deshalb mit dieser öffentlich abrufbaren Erklärung bereit. Creator, die eine Erlaubnis erteilen, erhalten den Link zu dieser Erklärung mit der Erlaubnisanfrage.

6.7 Opt-out und Takedown

Wenn Sie als Creator oder als abgebildete Person nicht in riffbox-Videos erscheinen möchten oder eine Erlaubnis widerrufen, schreiben Sie an unbecand@gmail.com. Der Ablauf:

1. Ihr Kanal bzw. Ihre Person wird im Creator-Register als „gesperrt“ eingetragen.
2. Alle veröffentlichten Videos mit dem betroffenen Material werden auf allen Plattformen offline genommen.
3. Alle zugehörigen Daten (Material, Transkripte, Einzelbilder, Metadaten) werden gelöscht.
4. Der Sperreintrag bleibt in minimalem Umfang (z. B. Kanal-ID) bestehen, damit Ihr Material künftig nicht erneut verwendet wird.

7. KI-Einsatz

7.1 Was KI in riffbox macht

• Avatar: Der Kommentator ist ein fiktiver, KI-generierter 2D-Avatar. Er stellt keinen echten Menschen dar und imitiert niemanden.
• Stimme: Die Stimme ist synthetisch. Sie ist eine eigene, lizenzierte oder eine Basis-Stimme des verwendeten Modells, kein Klon einer realen Person.
• Lokal laufende Modelle (auf dem Server des Betreibers, ohne Datenübermittlung an Dritte): Spracherkennung, Sprachsynthese, optionale Bildbeschreibung, Avatar-Erstellung mit einem eigenen Charaktermodell, das nur mit Bildern des fiktiven Charakters trainiert ist, Lippensynchronisation, Szenen- und Highlight-Erkennung sowie optional ein lokales Sprachmodell.
• Externer KI-Dienst: Anthropic (Claude), genutzt für Planung, Skripterstellung und Analyse.

7.2 Welche Daten an Anthropic gehen

• Transkripte des verwendeten Materials (enthalten Aussagen von Streamern und Mitspielern)
• Einzelbilder aus dem Material (können Gesichter zeigen)
• Clip-Metadaten inklusive Kanal- und Anzeigenamen
• ausgewählte Kommentare unter eigenen Videos inklusive Anzeigename
• Beschreibung der Avatar-Persona, Formatvorgaben, Kennzahlen eigener Videos

Es werden keine Zugangsdaten, Tokens oder Passwörter übermittelt.

Rolle und Bedingungen: riffbox nutzt Anthropic ausschließlich über einen kommerziellen API-Zugang. Anthropic verarbeitet die Daten als Auftragsverarbeiter auf Grundlage der kommerziellen Geschäftsbedingungen und des Data Processing Addendum von Anthropic. Danach nutzt Anthropic die Inhalte nicht zum Training seiner Modelle und löscht Eingaben und Ausgaben standardmäßig innerhalb von 30 Tagen. Ausnahmen gelten, wenn Inhalte wegen eines Verdachts auf Verstöße gegen die Nutzungsrichtlinien geprüft werden oder eine gesetzliche Pflicht zur längeren Aufbewahrung besteht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Auftragsverarbeitung nach Art. 28 DSGVO.

7.3 Keine automatisierten Entscheidungen über Personen

KI-Modelle prüfen Inhalte automatisch auf Ausschlusskriterien und schlagen Clips und Texte vor. Jedes Video wird vor der Veröffentlichung vom Betreiber manuell geprüft und freigegeben. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für Personen im Sinne von Art. 22 DSGVO.

7.4 Schutz vor manipulierten Eingaben

Eingehende Texte (Transkripte, Kommentare) werden vor der Verarbeitung durch KI auf Manipulationsversuche (Prompt-Injection) geprüft.

8. Empfänger und Auftragsverarbeiter

8.1 Auftragsverarbeiter (Art. 28 DSGVO)

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Sie verpflichten den Dienstleister, Daten nur im Auftrag und nach Weisung des Betreibers und nicht für eigene Zwecke zu verarbeiten und sie nach Ende der Zusammenarbeit zu löschen. Diese Verpflichtung umfasst auch Plattformdaten im Sinne der Entwicklerbedingungen von Meta und anderer Plattformen.

8.2 Plattformen als eigene Verantwortliche

Veröffentlichte Videos und Beschreibungstexte werden an YouTube, TikTok, Instagram und X übermittelt. Diese Plattformen verarbeiten die Daten in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen (Links im Abschnitt Plattformen).

8.3 Dienste ohne Übermittlung personenbezogener Daten Dritter

• GitHub (privates Code-Repository): enthält nur Code, Konzept und Konfiguration, keine Plattform- und keine Personendaten.
• Software- und Modell-Registries (z. B. Docker-Registries, Hugging Face, npm, PyPI): nur Download von Software und Modellen; es werden keine Projektdaten dorthin gesendet.
• Passwort-Manager des Betreibers: enthält nur die eigenen Zugangsdaten des Betreibers, Ende-zu-Ende-verschlüsselt.

8.4 Behörden und Rechtsberatung

Eine Weitergabe an Behörden, Gerichte oder Rechtsberater erfolgt nur, wenn eine gesetzliche Pflicht besteht oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

9. Übermittlung in Drittländer

• Anthropic (USA): Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Data Processing Addendum von Anthropic sind.
• Cloudflare: Die Videodateien werden in der EU gespeichert und verarbeitet. Da Cloudflare, Inc. seinen Sitz in den USA hat, kann ein Zugriff aus den USA nicht vollständig ausgeschlossen werden. Grundlage sind die EU-Standardvertragsklauseln im Data Processing Addendum von Cloudflare (Art. 46 Abs. 2 lit. c DSGVO) und, soweit Cloudflare unter dem EU-U.S. Data Privacy Framework zertifiziert ist, der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• Plattformen: Die Plattformen übermitteln Daten gegebenenfalls in eigener Verantwortung in Drittländer; siehe deren Datenschutzbestimmungen.

Eine Kopie der Garantien erhalten Sie auf Anfrage unter unbecand@gmail.com.

10. Speicherdauer

Bei einem Opt-out, Widerruf oder Takedown werden alle Dateien des betroffenen Creators bzw. der betroffenen Person sofort gelöscht, unabhängig von den oben genannten Fristen.

11. Datensicherheit

• API-Schlüssel, Client-Secrets und Tokens liegen nur auf dem Server des Betreibers, nicht im Code-Repository; Dateirechte nur für den Betreiber; Refresh-Tokens verschlüsselt.
• Zugangsdaten werden nie in KI-Dienste eingegeben.
• Pro Plattform werden nur die minimal nötigen Berechtigungen angefragt.
• Zwei-Faktor-Authentifizierung auf allen Plattform- und Entwicklerkonten.
• Keine aus dem Internet erreichbaren Ports; die Review-Oberfläche ist nur lokal erreichbar.
• Fremdes Material wird nur in isolierten Containern verarbeitet.
• Der Objektspeicher ist privat, ohne öffentliches Listing; Links sind signiert und höchstens 1 Stunde gültig.
• Logs enthalten keine Tokens oder Secrets.

12. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20), soweit die Verarbeitung auf Einwilligung oder Vertrag beruht
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77). Zuständig für den Betreiber ist: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel

Widerspruchsrecht (Art. 21 DSGVO)

Soweit riffbox Ihre Daten auf Grundlage berechtigter Interessen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Betreiber verarbeitet Ihre Daten dann nicht mehr, außer er kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreiben Sie dafür an unbecand@gmail.com. Der Betreiber antwortet innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), bei Löschanfragen zu YouTube-Daten innerhalb von 7 Tagen. Zur Prüfung Ihrer Identität kann er nach einem Nachweis fragen, z. B. einer Nachricht über den betroffenen Plattform-Kanal.

13. Data Deletion Instructions – Löschung Ihrer Daten

Diese Anleitung gilt für alle Personen, deren Daten riffbox über YouTube, TikTok, Instagram/Meta, X, Twitch oder Reddit oder direkt erhalten hat, und für den Betreiber als Inhaber der verbundenen Konten.

Option A – Löschung per E-Mail (für alle Personen)

1. Schreiben Sie eine E-Mail an unbecand@gmail.com mit dem Betreff „Data Deletion Request“ oder „Löschanfrage“.
2. Nennen Sie die Plattform und Ihren Benutzer- oder Kanalnamen und, falls bekannt, Links zu den betroffenen Videos oder Kommentaren.
3. Sie erhalten eine Eingangsbestätigung mit einem Bestätigungscode.
4. Der Betreiber löscht alle zu Ihnen gespeicherten Daten (Metadaten, Kommentare, Material, Transkripte, Einzelbilder) und nimmt betroffene Videos offline:
5. Daten aus X: innerhalb von 24 Stunden
6. Daten aus YouTube: innerhalb von 7 Tagen
7. alle übrigen Daten: unverzüglich, spätestens innerhalb eines Monats
8. Sie erhalten eine Bestätigung über die erfolgte Löschung. Den Status können Sie jederzeit per E-Mail unter Angabe Ihres Bestätigungscodes erfragen.

Ausgenommen sind nur Daten, die aus rechtlichen Gründen aufbewahrt werden müssen, und ein minimaler Sperreintrag im Creator-Register, der verhindert, dass Ihr Material erneut verwendet wird.

Option B – Trennen der App-Verbindung (für Kontoinhaber)

Wer ein Konto mit riffbox verbunden hat, kann den Zugriff jederzeit in den Einstellungen der Plattform entziehen. riffbox löscht danach die Tokens und behandelt die übrigen Daten wie bei Option A.

Option C – Löschung durch die Plattform

Meldet eine Plattform eine Löschanforderung, wird diese wie Option A behandelt.

14. Sonstige Pflichtangaben

• Pflicht zur Bereitstellung: Sie sind nicht verpflichtet, dem Betreiber Daten bereitzustellen. Ohne Kontaktdaten kann jedoch keine Anfrage beantwortet und keine Erlaubnis dokumentiert werden.
• Minderjährige: riffbox richtet sich nicht an Kinder. Material mit erkennbaren Minderjährigen wird nicht verwendet; Erlaubnisse werden nur von volljährigen Personen angenommen.
• Besondere Kategorien: riffbox verarbeitet keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) gezielt. Bild und Stimme werden nicht zur eindeutigen Identifizierung einer Person ausgewertet. Material, das z. B. Gesundheitsdaten offenbart, wird nicht verwendet.

15. Geplante Funktionen und Änderungen dieser Erklärung

Geplante Funktionen wie Livestreams mit Chat-Interaktion sind derzeit nicht aktiv. Vor ihrem Start wird diese Datenschutzerklärung um die zusätzliche Verarbeitung ergänzt.

Der Betreiber passt diese Erklärung an, wenn sich die Verarbeitung, die Rechtslage oder die Vorgaben der Plattformen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Das Datum oben zeigt den Stand.