Datenschutzerklärung

KONEKT Content Studio · Stand: 30.10.2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen von KONEKT Content Studio (nachfolgend „Dienst“ oder „App“) im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

KONEKT media GmbH
Hausener Str. 8
87665 Mauerstetten
Deutschland

• Geschäftsführer: Sonnya Endhart, Manuel Endhart
• Handelsregister: Amtsgericht München, HRB 259935
• USt-IdNr.: DE297856758
• E-Mail: mail@konekt-media.de
• Telefon: 089 / 124 148 73
• Verantwortlich i. S. d. § 18 Abs. 2 MStV: Manuel Endhart (Anschrift wie oben)

Für Datenschutzanliegen erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Grundprinzip der Datenhaltung

KONEKT Content Studio ist so gebaut, dass Ihre inhaltlichen Daten im eigenen Google Drive verbleiben: der Content-Kalender (ein Google-Sheet) und die zugehörigen Assets (Dateien). Beim Onboarding legt die App in Ihrem Google Drive einen Ordner mit einem Kalender-Sheet und einem Asset-Unterordner an und liest und schreibt diese Dateien über die Google-Schnittstellen.

Kalender-Inhalte und Assets werden nicht in unsere Datenbank kopiert. Unser Server speichert nur die für den Betrieb nötigen Konto- und Verwaltungsdaten, Ihre verschlüsselten Zugangs-Token und Verweise (IDs) auf die Dateien in Ihrem Drive.

3. Hosting und technischer Rahmen

• App (Frontend): Die Anwendung wird als Progressive Web App (PWA) unter app.konekt-studio.de bereitgestellt.
• Schnittstelle (Backend): Die serverseitige Schnittstelle läuft unter api.konekt-studio.de. Die zugehörige Datenbank (MySQL) liegt auf demselben Hosting.
• Hosting und Serverstandort: Mittwald CM Service GmbH & Co. KG (Deutschland), Server in Deutschland. Mit Mittwald besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
• Verschlüsselte Übertragung: Die Kommunikation zwischen App, Server und Drittdiensten erfolgt über TLS/HTTPS.

4. Welche Daten wir zu welchem Zweck verarbeiten

4.1 Konto- und Mandantendaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag bzw. vorvertragliche Maßnahmen), ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und sicheren Dienst).

4.2 OAuth-Zugangs-Token (verschlüsselt)

Damit die App in Ihrem Auftrag auf Ihr Google Drive zugreifen kann, speichern wir die von Ihnen freigegebenen OAuth-Token (Access- und Refresh-Token). Die Token werden verschlüsselt (AES-256) in einer MySQL-Datenbank auf dem Mittwald-Server abgelegt; der Schlüssel wird getrennt von der Datenbank vorgehalten. Zusätzlich speichern wir technische Begleitdaten (Anbieter, gewährte Berechtigungen, Ablaufzeitpunkt, ggf. Zeitpunkt der Trennung).

Zweck: Zugriff auf Ihr Kalender-Sheet und Ihre Assets, serverseitige Erneuerung abgelaufener Token. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung im Google-Zustimmungsdialog) und lit. b DSGVO (Vertragserfüllung).

4.3 Verweise auf Drive-Objekte (keine Inhalte)

Wir speichern die IDs der in Ihrem Drive angelegten Objekte (Kalender-Sheet, Hauptordner, Asset-Ordner) und technische Synchronisationsmerkmale (z. B. Schema-Version, letzter Abgleich). Kalender-Inhalte und Asset-Dateien werden bei uns nicht gespeichert.

Zweck: die richtigen Dateien in Ihrem Drive wiederfinden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.4 Social-Media-Kennzahlen (geplant, nur bei aktiver Verbindung)

Diese Funktion ist für eine spätere Ausbaustufe geplant und noch nicht aktiv. Sie greift nur, wenn Sie einen Kanal selbst verbinden. Vor einer Aktivierung wird dieser Abschnitt entsprechend aktualisiert.

Sofern Sie künftig Konten verbinden (geplant: Instagram und Facebook über Meta, TikTok, YouTube und LinkedIn), verarbeiten wir je verbundenem Dienst eigene, verschlüsselt gespeicherte OAuth-Token sowie einen Zwischenspeicher abgerufener Kennzahlen (z. B. Follower, Reichweite, Impressionen, Views), um sie im Dashboard darzustellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und lit. b DSGVO.

4.5 Server-Logs

Beim Betrieb fallen technisch notwendige Protokolldaten an (z. B. IP-Adresse, Zeitpunkt, aufgerufene Endpunkte, Fehlerprotokolle). Diese Protokolldaten werden in der Regel für maximal 30 Tage gespeichert, sofern sie nicht im Einzelfall zur Aufklärung von Störungen oder Missbrauch länger erforderlich sind.

Zweck: Betriebssicherheit, Fehleranalyse, Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4.6 Warteliste (Landingpage)

Auf unserer Website können Sie sich in eine Warteliste eintragen. Dabei verarbeiten wir die von Ihnen angegebene E-Mail-Adresse sowie den Zeitpunkt des Eintrags. Zweck: Sie über die Verfügbarkeit des Dienstes zu informieren und Ihnen einen Zugang (zunächst als Testnutzer) anzubieten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. b (vorvertragliche Maßnahme). Die Speicherung erfolgt in unserer Datenbank beim Hosting-Dienstleister (Deutschland, siehe Abschnitt 3). Speicherdauer: bis zur Einladung bzw. zum Start des Dienstes oder bis zu Ihrem Widerruf; danach wird die Adresse gelöscht. Sie können Ihre Einwilligung jederzeit widerrufen und die Löschung verlangen (Kontakt: siehe Impressum bzw. Abschnitt „Ihre Rechte").

5. Google-Login und Drive-Zugriff

Der Zugang zum Dienst erfolgt über den Google-Login (OAuth 2.0). Anbieter ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) bzw. Google LLC (USA). Die App fordert nur den minimal nötigen Berechtigungsumfang an:

Wichtig: Der Scope drive.file gibt keinen Zugriff auf Ihr gesamtes Google Drive. Der übrige Inhalt Ihres Drives bleibt für die App unsichtbar.

Ablauf:

1. Sie starten den Google-Login; Google zeigt Ihnen den Zustimmungsdialog mit den angeforderten Berechtigungen.
2. Nach Ihrer Zustimmung erhält unser Server von Google einen Autorisierungscode und tauscht ihn gegen Access- und Refresh-Token.
3. Die Token werden verschlüsselt gespeichert (Abschnitt 4.2); aus den Profildaten wird Ihr Konto zugeordnet.
4. Die App legt, sofern noch nicht vorhanden, die Kalender-Dateien in Ihrem Drive an und greift künftig über die Token darauf zu.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung für den Google-Zugriff) und lit. b DSGVO. Sie können die Einwilligung jederzeit widerrufen (siehe Abschnitt 9 und 10).

Die Verwendung der von Google erhaltenen Informationen erfolgt ausschließlich zur Bereitstellung der sichtbaren Funktionen des Dienstes. Wir verwenden diese Daten nicht für Werbung und verkaufen sie nicht.

5.1 Verwendung von Google-Nutzerdaten (Google API Services User Data Policy – Limited Use)

Die Verwendung und Weitergabe der Informationen, die KONEKT Content Studio über die Google-APIs erhält, erfolgt in Übereinstimmung mit der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Insbesondere gilt:

• Wir verwenden die über die Google-APIs erhaltenen Daten (einschließlich der über drive.file zugänglichen Dateien sowie Ihrer Profildaten) ausschließlich, um die für Sie sichtbaren Funktionen des Dienstes bereitzustellen und zu verbessern.
• Wir geben diese Daten nicht an Dritte weiter, außer soweit dies zur Bereitstellung oder Verbesserung dieser Funktionen erforderlich ist, aus Sicherheitsgründen, zur Einhaltung gesetzlicher Vorgaben oder im Rahmen einer Fusion bzw. Übernahme nach vorheriger Information und Einwilligung.
• Wir verwenden diese Daten nicht für Werbung und übermitteln oder verkaufen sie nicht an Werbeplattformen, Datenhändler oder Informationsvermittler.
• Wir verwenden Google-Nutzerdaten nicht zum Training oder zur Verbesserung allgemeiner KI- bzw. Machine-Learning-Modelle.
• Menschen erhalten keinen Einblick in diese Daten, es sei denn, Sie haben ausdrücklich zugestimmt, es ist aus Sicherheits- oder Rechtsgründen erforderlich, oder die Daten sind aggregiert bzw. anonymisiert und werden für den internen Betrieb nach geltendem Recht genutzt.

6. Im Endgerät gespeicherte Informationen (Browser-Speicher, keine Tracking-Cookies)

Damit die App funktioniert, werden auf Ihrem Endgerät (im Speicher Ihres Browsers) einzelne Informationen abgelegt und wieder ausgelesen. Wir verwenden dafür keine Cookies und keine Tracking-, Analyse- oder Werbetechnologien. Es werden ausschließlich die folgenden, für den Betrieb des Dienstes technisch erforderlichen Daten gespeichert:

• Anmelde-Token (Sitzung). Nach dem Login legen wir im lokalen Speicher Ihres Browsers (localStorage, Schlüssel kcs_token) ein Sitzungs-Token (Bearer-Token) ab. Es hält Sie angemeldet, sodass Sie sich nicht bei jedem Aufruf neu verbinden müssen. Dauer: bleibt bis zur Abmeldung bzw. bis zum Ablauf der Sitzung gespeichert und wird bei der Abmeldung gelöscht.
• Login-Sicherheitsmerkmal (einmalig). Beim Start des Google-Logins erzeugt die App eine einmalige Zufallszeichenfolge und speichert sie kurzzeitig im lokalen Speicher (localStorage, Schlüssel kcs_oauth_bind). Sie dient ausschließlich dazu, Ihre Anmeldung abzusichern, und stellt sicher, dass der Login tatsächlich in Ihrem Browser gestartet wurde (Schutz vor sogenanntem Login-CSRF – dem Einschleusen einer fremden Anmeldung). Der Wert wird nur ein einziges Mal verwendet und unmittelbar nach Abschluss der Anmeldung wieder gelöscht. Es findet keine Wiedererkennung über Sitzungen hinweg, kein Tracking und keine Profilbildung statt. Dauer: nur für die Dauer des Anmeldevorgangs (einmalig).
• Offline-/App-Zwischenspeicher (PWA). Die App ist eine installierbare Web-App (Progressive Web App). Über einen sogenannten Service Worker werden die zum Anzeigen der Oberfläche nötigen eigenen statischen Dateien (z. B. Programmcode, Logo, Symbole) in einem lokalen Zwischenspeicher Ihres Browsers (Cache kcs-shell-v5) abgelegt. Das beschleunigt das Laden und ermöglicht den Betrieb bei schwacher oder fehlender Verbindung. Es werden dabei keine personenbezogenen Inhalte und keine Daten Dritter gespeichert. Dauer: bis zur Aktualisierung der App oder bis Sie den Browser-Speicher leeren.

Wir setzen keine Tracking- oder Analyse-Cookies und keine vergleichbaren Technologien zu Werbe-, Profilbildungs- oder Analysezwecken ein. Die Schriftart (Catamaran) wird von unserem eigenen Server geladen, nicht von Google Fonts.

Keine Einwilligung erforderlich. Die vorstehenden Speicherungen und Zugriffe sind unbedingt erforderlich, damit wir Ihnen den von Ihnen gewünschten Dienst (Anmeldung, abgesicherte Sitzung, Betrieb der App) bereitstellen können. Sie sind daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; ein Cookie- bzw. Einwilligungsbanner ist hierfür nicht erforderlich. Die Verarbeitung der dabei anfallenden personenbezogenen Daten stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) sowie, soweit die Absicherung der Anmeldung betroffen ist, auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Login).

Ihre Kontrolle. Sie können den lokalen Browser-Speicher jederzeit selbst leeren (z. B. über die Einstellungen Ihres Browsers) und die installierte App entfernen. Danach müssen Sie sich beim nächsten Aufruf neu anmelden.

7. Empfänger und Auftragsverarbeiter

• Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland: Hosting von App, Schnittstelle und Datenbank auf Servern in Deutschland; Auftragsverarbeitung nach Art. 28 DSGVO (AV-Vertrag).
• Google Ireland Limited / Google LLC: Google-Login sowie Google-Schnittstellen (Drive, Sheets) für das Anlegen, Lesen und Schreiben der Dateien in Ihrem Drive. Google verarbeitet die Daten nach den Google-Bedingungen und der Google-Datenschutzerklärung.
• Geplant, nur bei aktiver Verbindung durch Sie: Meta Platforms Ireland Ltd. (Instagram, Facebook), TikTok, YouTube/Google, LinkedIn. Die jeweils verantwortliche Gesellschaft und die Vertragsgrundlage werden vor Aktivierung dieser Funktion hier ergänzt.

Eine Weitergabe Ihrer Daten an sonstige Dritte erfolgt nicht, außer wir sind dazu gesetzlich verpflichtet.

8. Drittlandübermittlung

Ihre Konto- und Verwaltungsdaten sowie die verschlüsselten Token werden in Deutschland bei Mittwald gespeichert. Bei der Nutzung von Google-Diensten (und später ggf. Meta, TikTok, YouTube, LinkedIn) kann eine Übermittlung personenbezogener Daten in die USA erfolgen. Diese Übermittlung stützt sich, soweit der jeweilige Anbieter zertifiziert ist, auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend auf EU-Standardvertragsklauseln (Art. 46 DSGVO).

9. Speicherdauer, Löschung und Trennen der Google-Verbindung

• Konto- und Mandantendaten: für die Dauer des Nutzungsverhältnisses; darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen. Nach Ablauf der jeweiligen Aufbewahrungspflicht werden die Daten gelöscht.
• OAuth-Token: Wenn Sie in der App die Verbindung zu Google trennen, werden die gespeicherten Tokens bei uns gelöscht und der Zugriff auf Ihr Drive endet sofort. Dasselbe gilt bei Kündigung bzw. Beendigung Ihres Kontos. Zusätzlich können Sie die Berechtigung jederzeit in Ihrem Google-Konto unter „Sicherheit → Drittanbieter-Apps und -Dienste“ entziehen.
• Kalender-Inhalte und Assets: liegen in Ihrem Drive und unterliegen Ihrer Kontrolle. Sie bleiben dort auch nach Kündigung oder Trennen der Verbindung erhalten, bis Sie sie selbst löschen.
• Kennzahlen-Zwischenspeicher (geplant): nur für die Dauer der aktiven Verbindung des jeweiligen Kanals; Löschung beim Trennen des Kanals.
• Server-Logs: in der Regel maximal 30 Tage, sofern nicht zur Aufklärung von Störungen oder Missbrauch im Einzelfall länger erforderlich.

10. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3), insbesondere der Google-Verbindung: In der App über „Verbindung trennen“ (Tokens werden gelöscht) oder in Ihrem Google-Konto. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Für die Ausübung dieser Rechte genügt eine Nachricht an mail@konekt-media.de.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder am Sitz des Verantwortlichen. Für den Sitz des Verantwortlichen in Bayern ist voraussichtlich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig.

11. Datensicherheit

• TLS/HTTPS-verschlüsselte Übertragung,
• verschlüsselte Speicherung der OAuth-Token (AES-256), Schlüssel getrennt von der Datenbank,
• restriktive Zugriffsrechte auf dem Server; Konfigurations- und Schlüsseldateien liegen außerhalb des öffentlich erreichbaren Bereichs,
• Mandantentrennung auf Datenebene,
• minimale Berechtigungen gegenüber Google (drive.file).

Wir überprüfen unsere technischen und organisatorischen Maßnahmen regelmäßig und passen sie an den Stand der Technik an.

12. Automatisierte Entscheidungen, Minderjährige

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Der Dienst richtet sich nicht an Minderjährige.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder der Dienst ändert, etwa bei Einführung der Kennzahlen-Funktionen. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 30.10.2026