Datenschutzerklärung

Diese Erklärung gilt für die Website qoraplayer.com und für die App QORA (Android, Android TV, Google TV, Fire TV; Windows und Apple folgen).

1. Verantwortlicher

Dominique Feld Jolie Webdesign An der Schule 20 54296 Trier Deutschland E-Mail für Datenschutzanfragen: privacy@qoraplayer.com

2. Überblick: was QORA verarbeitet und was nicht

QORA liefert selbst keine Fernseh-, Film- oder Serieninhalte. Du trägst die Zugangsdaten deines eigenen Anbieters (Xtream-Codes oder M3U-Link) ein. Diese Zugangsdaten sind Daten deines Vertragsverhältnisses mit deinem Anbieter, nicht mit uns; wir verarbeiten sie ausschließlich technisch, damit die App dein Programm abspielen kann.

Ohne Konto (Gratis-Nutzung): Zugangsdaten, Favoriten, Fortschritt und Kindersicherung bleiben ausschließlich lokal auf deinem Gerät, verschlüsselt im Android Keystore (AES-256-GCM). Es findet keine Übertragung an unsere Server statt.

Mit Konto (QORA Plus / QORA Ultra): Für den Geräte-Abgleich verarbeiten wir zusätzlich die in Abschnitt 5 genannten Daten über Google Firebase.

Die Website selbst ist statisch, setzt keine Cookies und kein Tracking ein und bindet die verwendete Schriftart selbst gehostet ein, ohne Verbindung zu einem Drittanbieter-Schriftserver.

3. Welche Daten wir zu welchem Zweck verarbeiten

3.1 Besuch der Website

Beim Aufruf der Website verarbeitet unser Hoster united domains GmbH (Deutschland) technisch notwendige Server-Zugriffsdaten (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, User-Agent), um die Website auszuliefern und die Betriebssicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Prüfen: genaue Speicherdauer der Server-Zugriffsprotokolle bei united domains, mangels vorliegendem Hosting-Vertrag/AVV-Auszug hier nicht bestätigt. Bis zur Klärung Standardformulierung "kurzfristig, in der Regel wenige Tage bis Wochen" nur nach Rücksprache mit dem Hoster verwenden.

3.2 Registrierung und Anmeldung (QORA Plus / QORA Ultra)

Wenn du ein Konto anlegst, verarbeiten wir:

• Anmeldedaten: entweder die von Google bei der Google-Anmeldung übermittelte Nutzerkennung (Firebase-UID, E-Mail-Adresse, sofern von Google übergeben) oder E-Mail-Adresse und Passwort (verschlüsselt gespeichert) bei der E-Mail-Anmeldung.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

3.3 Geräte-Abgleich (Kernleistung von QORA Plus / QORA Ultra)

Damit dein Fortschritt, deine Favoriten und deine Senderlisten auf mehreren Geräten übereinstimmen, speichern wir in deinem Konto:

• Namen deiner Wiedergabelisten und Geräte (Gerätebezeichnung, keine Standortdaten)
• Fortschritt und Favoriten je Liste und Gerät (Weiterschauen-Stand, Zeitstempel)
• die Zugangsdaten deines Anbieters (Host, Benutzername, Passwort) in einem clientseitig verschlüsselten Block
• den zugehörigen Schlüssel für diesen verschlüsselten Block (seit Version 0.9.70/0.9.71)
• Wiedergabe-Protokolle je Gerät (gesehene Sendernamen, Uhrzeiten, technische Messwerte wie Puffer- und Fehlerereignisse; keine Zugangsdaten und keine Standortdaten), wenn du deinen Bericht zur Prüfung an den Support sendest

Wichtiger Transparenzhinweis zur Verschlüsselung (bitte vollständig lesen): Die Zugangsdaten deines Anbieters werden vor der Übertragung auf deinem Gerät verschlüsselt. Bis Version 0.9.69 lag der dafür nötige Schlüssel ausschließlich auf deinen Geräten und wurde nur über eine Ende-zu-Ende-verschlüsselte Geräte-Kopplung (QR-Code) weitergegeben; ein bloßer Lesezugriff auf unsere Datenbank hätte in diesem Modell nicht genügt, um deine Zugangsdaten im Klartext zu erhalten. Seit Version 0.9.70/0.9.71 liegt dieser Schlüssel selbst zusätzlich, ebenfalls in deinem Konto, in derselben Datenbank wie die damit verschlüsselten Zugangsdaten, damit ein neues Gerät sie automatisch übernehmen kann, ohne dass du sie erneut eingibst oder koppelst.

Das bedeutet konkret: Die Verschlüsselung schützt weiterhin wirksam gegen das Mithören der Übertragung und gegen eine falsch konfigurierte Zugriffsregel. Sie schützt nicht mehr gegen jemanden, der einen echten, berechtigten Lesezugriff auf die Datenbank selbst hat, etwa über die Firebase-Konsole, eine Administrator-Schnittstelle oder einen Datenexport. Ein solcher Zugriff steht uns als Verantwortlichem technisch offen, wenn auch nicht ohne Grund vorgesehen. Wir sind damit für die Zugangsdaten deines Anbieters kein „Zero-Knowledge"-Dienst. Wir greifen auf diese Daten im normalen Betrieb nicht zu; die technische Möglichkeit besteht aber, und du sollst sie kennen, bevor du den Geräte-Abgleich nutzt.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags für den gebuchten Tarif (Art. 6 Abs. 1 lit. b DSGVO).

3.4 Ruckler-Analyse (nur QORA Ultra)

Sendest du uns im Rahmen der Ruckler-Analyse deinen Wiedergabe-Bericht, werten wir ihn aus, um dir innerhalb der zugesagten Frist eine Einschätzung zur Ursache zu geben. Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

3.5 Support-Kommunikation

Kontaktierst du uns per WhatsApp oder E-Mail, verarbeiten wir deine Nachricht und die dafür nötigen Kontaktdaten, um dein Anliegen zu bearbeiten. WhatsApp wird von WhatsApp Ireland Limited bzw. Meta Platforms Ireland Limited betrieben; dabei ist eine Verarbeitung deiner Nachricht auch außerhalb der EU nicht auszuschließen. Wenn du eine Antwort ausschließlich innerhalb der EU wünschst, wende dich bitte per E-Mail an support@qoraplayer.com. Rechtsgrundlage: Erfüllung oder Anbahnung des Vertrags bzw. berechtigtes Interesse an der Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b, f DSGVO).

3.6 Zahlungsabwicklung

Käufe von QORA Plus und QORA Ultra werden über den jeweiligen App-Store abgewickelt (aktuell Google Play, perspektivisch Apple App Store). Zahlungsdaten (z. B. Kartendaten) laufen ausschließlich über den jeweiligen Store und werden uns nicht offengelegt; wir erhalten lediglich die Bestätigung, dass ein Kauf oder eine Verlängerung stattgefunden hat, sowie eine pseudonyme Kauf-Kennung. Näheres regeln die Datenschutzhinweise von Google bzw. Apple, auf die wir keinen Einfluss haben.

4. Empfänger und Auftragsverarbeiter

| Empfänger | Zweck | Sitz / Region der Verarbeitung | |---|---|---| | Google Ireland Limited (Firebase Authentication, Cloud Firestore) | Anmeldung, Geräte-Abgleich, Speicherung der Kontodaten | Datenbank-Region europe-west3 (Frankfurt am Main); Google-Konzern mit Sitz auch in den USA | | Google Ireland Limited / Google LLC (Google Play, Google Play Billing) | Vertrieb der App, Abwicklung der Abo-Zahlungen | EU/USA, siehe Datenschutzhinweise von Google | | united domains GmbH | Hosting der Website, Domain und E-Mail-Postfach | Deutschland | | WhatsApp Ireland Limited / Meta Platforms Ireland Limited | Support-Kommunikation, sofern du uns über WhatsApp kontaktierst | EU, mit möglicher Verarbeitung im Meta-Konzern außerhalb der EU |

Mit Google als Auftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag auf Grundlage der Google Cloud/Firebase-Datenverarbeitungsbedingungen. Prüfen: Abschluss und aktuelle Fassung dieses Auftragsverarbeitungsvertrags mit dem Firebase-Konto qora-dac08 vor Veröffentlichung dieser Erklärung durch Domme bestätigen und Datum hier ergänzen; ohne bestätigten Abschluss ist die Auslagerung an Google datenschutzrechtlich nicht abgesichert.

5. Übermittlung in Drittländer

Google ist ein Unternehmen mit Sitz auch in den USA. Auch wenn deine Kontodaten in der Region Frankfurt (europe-west3) gespeichert werden, kann im Rahmen von Wartung, Support oder konzerninternem Zugriff eine Verarbeitung durch Google-Gesellschaften außerhalb der EU nicht vollständig ausgeschlossen werden. Google LLC ist nach eigener Angabe im EU-US Data Privacy Framework (DPF) zertifiziert, das die Europäische Kommission mit Durchführungsbeschluss vom 10.07.2023 als angemessenes Schutzniveau anerkannt hat. Prüfen: aktueller DPF-Zertifizierungsstatus von Google LLC zum Zeitpunkt der Veröffentlichung, da Zertifizierungen befristet sind und jährlich erneuert werden müssen; vor Livegang auf privacy.google.com bzw. dataprivacyframework.gov verifizieren. Ergänzend oder hilfsweise stützt sich die Übermittlung auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, soweit Google diese im jeweiligen Auftragsverarbeitungsverhältnis anbietet.

6. Speicherdauer

• Kontodaten und Geräte-Abgleich: so lange dein Konto besteht. Bei Löschung deines Kontos werden diese Daten gelöscht, siehe Abschnitt 8.
• Wiedergabe-Protokolle: bis zur Klärung deines Anliegens durch den Support, danach gelöscht. Prüfen: feste Löschfrist für Protokolle, die nicht binnen einer bestimmten Frist zur Prüfung eingereicht werden, ist technisch noch nicht dokumentiert festgelegt; vor Livegang eine konkrete Frist bestimmen, z. B. automatische Löschung nach 90 Tagen ohne Support-Vorgang, und diese Erklärung entsprechend nachziehen.
• Server-Zugriffsprotokolle der Website: siehe Abschnitt 3.1.
• Lokal auf deinem Gerät gespeicherte Daten (Gratis-Nutzung oder zusätzlich zum Konto): bis zur Deinstallation der App oder bis du sie in den Einstellungen löschst.

7. Deine Rechte

Du hast nach der DSGVO das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO), unbeschadet gesetzlicher Aufbewahrungspflichten
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), soweit eine Verarbeitung auf Einwilligung beruht

Zur Ausübung dieser Rechte genügt eine E-Mail an privacy@qoraplayer.com.

Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für Dominique Feld als in Rheinland-Pfalz ansässige verantwortliche Stelle ist:

Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz Hintere Bleiche 34 55116 Mainz

Wenn du deinen gewöhnlichen Aufenthalt in Frankreich, Belgien oder Luxemburg hast, kannst du dich alternativ an die dortige Aufsichtsbehörde wenden (in Frankreich die CNIL, in Belgien die Gegevensbeschermingsautoriteit/Autorité de protection des données, in Luxemburg die CNPD).

8. Kontolöschung

Du kannst dein Konto und die damit verbundenen Daten jederzeit löschen:

• über die Website unter /konto-loeschen/
• direkt in der App, in den Kontoeinstellungen

Mit der Löschung werden deine Kontodaten, dein Geräte-Abgleich-Stand und deine hinterlegten Zugangsdaten aus unseren Systemen entfernt. Prüfen: konkrete technische Löschfrist nach Auslösen der Löschung (sofort oder Batch-Job) und ob Sicherungskopien bei Google/Firebase einer eigenen, kürzeren Löschfrist unterliegen; vor Livegang bestätigen und hier konkret benennen, sonst bleibt die Zusage unbeweisbar im Streitfall.

9. Keine automatisierte Einzelentscheidung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Datenverarbeitung ändert. Maßgeblich ist die zum Zeitpunkt deines Website- oder App-Besuchs veröffentlichte Fassung.

Rechtlicher Hinweis

Dieser Entwurf wurde intern vorgehärtet und ersetzt keine Freigabe durch einen zugelassenen Rechtsanwalt. Die endgültige rechtliche Verantwortung trägt der prüfende Anwalt vor Veröffentlichung. Die mit Prüfen markierten Punkte sind vor Livegang zwingend zu klären.