Datenschutzerklärung

Stand: Oktober 2026

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung auf dieser Website und für die Verwaltung der Kundenkonten ist:
maxecute – Inhaber Mustafa Morad, Thomasstr. 4, 58089 Hagen, info@maxecute.de, Telefon 0171 1625944.

Für die Inhalte von Aufnahmen, Livestreams, Webinaren und Podcasts ist die Kundin bzw. der Kunde verantwortlich, die oder der das Studio betreibt (z. B. die Person, die dich zu einem Interview eingeladen hat). Für diese Inhalte arbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Vertrags zur Auftragsverarbeitung.

2. Grundsätze

3. Aufruf der Website

Beim Aufruf verarbeitet unser Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung), um die Seite auszuliefern. Diese Daten werden nicht in Protokolldateien gespeichert. Für die Begrenzung von Anmeldeversuchen wird eine gekürzte IP-Adresse kurzzeitig (höchstens 15 Minuten) im Arbeitsspeicher gehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

4. Cookies

Wir setzen ausschließlich ein technisch notwendiges Cookie („sw_session“), das dich nach der Anmeldung angemeldet hält (Laufzeit 30 Tage oder bis zur Abmeldung). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO. Ein Einwilligungsbanner ist daher nicht nötig.

Außerdem legt die Anwendung in deinem Browser (Local Storage) nur Einträge ab, die für die von dir genutzte Funktion nötig sind oder die du selbst einstellst: den zuletzt gewählten Workspace (angemeldete Nutzer), deine Einstellung „Studio-Ton“ und – nach einer Webinar-Anmeldung – deine Anmeldekennung mit dem angegebenen Namen, damit du beim nächsten Besuch nicht erneut eintragen musst. Es gibt keine Tracking- oder Werbe-Kennungen. Du kannst diese Einträge jederzeit über die Browsereinstellungen löschen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Während einer Aufnahme speichert dein Browser die aufgenommenen Datenstücke vorübergehend lokal (IndexedDB), damit nach einem Verbindungsabbruch nichts verloren geht. Sie werden nach erfolgreichem Hochladen automatisch entfernt.

5. Kundenkonto

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, ein verschlüsselt gespeichertes Passwort (scrypt) sowie Tarif- und Abrechnungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Rechnungsdaten bewahren wir gemäß § 147 AO und § 257 HGB bis zu zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

6. Teilnahme an einem Studio als Gast

Wenn du über einen Einladungslink an einem Gespräch teilnimmst, verarbeiten wir im Auftrag der einladenden Person: deinen angezeigten Namen, Bild und Ton (live zur Übertragung an die anderen Teilnehmenden und – nach deiner Einwilligung – als Aufnahme), Chatnachrichten sowie deine Einwilligung (Name, Zeitpunkt, Fassung des Einwilligungstexts). Die Live-Verbindung läuft verschlüsselt (DTLS-SRTP) direkt zwischen den Teilnehmenden oder über unseren eigenen Vermittlungsserver in Deutschland.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du im Vorraum erteilst. Du kannst sie jederzeit gegenüber der einladenden Person widerrufen; die Aufnahme wird dann gelöscht oder deine Spur entfernt. Wie lange Aufnahmen gespeichert werden, legt die einladende Person fest; spätestens am Ende der eingestellten Aufbewahrungsfrist werden sie automatisch gelöscht.

7. Webinare und Zuschauerseiten

Für die Anmeldung zu einem Webinar verarbeiten wir Name und E-Mail-Adresse, um dir den Zugang zu senden (Art. 6 Abs. 1 lit. b DSGVO). Anmeldedaten, Fragen und Umfrageergebnisse werden nach 30 Tagen gelöscht. Abstimmungen erfolgen anonym.

8. Podcast-Abrufe

Wenn eine Podcast-Folge abgerufen wird, zählen wir den Abruf pro Tag und ordnen ihn einer App-Gruppe zu (z. B. „Spotify“). Um Mehrfachzählungen zu vermeiden, bilden wir im Arbeitsspeicher einen täglich wechselnden, nicht umkehrbaren Prüfwert aus IP-Adresse und Browserkennung, der am Tagesende verworfen wird. Gespeichert werden nur die Summen. Das Land des Abrufs ermitteln wir beim Abruf ohne externe Dienste aus einer lokalen Datenbank (DB-IP Lite, Lizenz CC BY 4.0) und speichern nur den Ländercode. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung ohne Personenbezug).

Hördauer im Player: Wird eine Folge über den eingebetteten Maxecaster-Player oder die Podcast-Seite abgespielt, meldet der Player alle paar Sekunden, welcher Abschnitt der Folge gehört wurde. Dafür verwendet er eine zufällige Kennung, die nur für diese eine Wiedergabe gilt, nicht im Browser gespeichert wird (keine Cookies, kein Local Storage) und auf dem Server spätestens nach sechs Stunden aus dem Arbeitsspeicher gelöscht wird. Gespeichert werden ausschließlich Summen je Folge und Tag (z. B. „120 Hörer haben Minute 10 gehört“). IP-Adressen werden dafür nicht verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

9. E-Mails

Für Systemnachrichten (Einladungen, Passwort-Links, Webinar-Zugänge) nutzen wir einen E-Mail-Server in Deutschland (STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin). Es gibt keinen Newsletter und keine Öffnungs- oder Klickverfolgung.

10. Hosting

Unsere Server betreibt ein Rechenzentrum in Deutschland (Nürnberg), mit dem ein Vertrag zur Auftragsverarbeitung besteht: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe. Verschlüsselte Sicherungen und ältere Aufnahmen (Archiv) liegen in einem Speicher in Deutschland (Falkenstein) bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, ebenfalls mit Vertrag zur Auftragsverarbeitung.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung zu widerrufen. Im Dashboard kannst du deine Daten selbst exportieren und dein Konto löschen. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

12. Sicherheit

Verbindungen sind per TLS verschlüsselt, Stream-Schlüssel für Livestreams speichern wir mit AES-256-GCM verschlüsselt. Zugriffe auf Workspaces sind über Rollen geregelt und werden protokolliert.

Privacy policy

Note: This English version is provided for convenience. Only the German version is legally binding.

Last updated: October 2026

1. Who is the controller?

The controller for processing on this website and for the management of customer accounts is:
maxecute – owner Mustafa Morad, Thomasstr. 4, 58089 Hagen, info@maxecute.de, phone 0171 1625944.

For the content of recordings, livestreams, webinars and podcasts, the customer who operates the studio is the controller (e.g. the person who invited you to an interview). For this content, we act as a processor under Art. 28 GDPR on the basis of a data processing agreement.

2. Principles

3. Visiting the website

When you visit the website, our server processes technically necessary connection data (IP address, time, requested address, browser identifier) in order to deliver the page. This data is not stored in log files. To limit login attempts, a truncated IP address is held briefly in memory (for at most 15 minutes). The legal basis is Art. 6(1)(f) GDPR (secure operation).

4. Cookies

We only set a single, technically necessary cookie (“sw_session”) that keeps you signed in after logging in (lifetime 30 days or until you log out). The legal basis is § 25(2) no. 2 TDDDG (German Telecommunications Digital Services Data Protection Act) and Art. 6(1)(b) GDPR. A consent banner is therefore not required.

In addition, the application stores entries in your browser (local storage) only where they are necessary for the feature you use or where you set them yourself: the most recently selected workspace (signed-in users), your “studio sound” setting and – after registering for a webinar – your registration identifier with the name you provided, so that you do not have to enter it again on your next visit. There are no tracking or advertising identifiers. You can delete these entries at any time via your browser settings. The legal basis is § 25(2) no. 2 TDDDG.

During a recording, your browser temporarily stores the recorded data chunks locally (IndexedDB) so that nothing is lost if the connection drops. They are removed automatically after a successful upload.

5. Customer account

For an account, we process your name, email address, a password stored in encrypted form (scrypt), and plan and billing data. The legal basis is Art. 6(1)(b) GDPR (contract). We retain billing data for up to ten years in accordance with § 147 AO (German Fiscal Code) and § 257 HGB (German Commercial Code) (Art. 6(1)(c) GDPR).

6. Joining a studio as a guest

If you join a conversation via an invitation link, we process the following on behalf of the person who invited you: your display name, video and audio (live for transmission to the other participants and – with your consent – as a recording), chat messages, and your consent (name, time, version of the consent text). The live connection is encrypted (DTLS-SRTP) and runs either directly between participants or via our own relay server in Germany.

The legal basis is your consent (Art. 6(1)(a) GDPR), which you give in the waiting room. You can withdraw it at any time by notifying the person who invited you; the recording will then be deleted or your track removed. The person who invited you determines how long recordings are kept; they are deleted automatically at the latest at the end of the configured retention period.

7. Webinars and viewer pages

To register for a webinar, we process your name and email address in order to send you access (Art. 6(1)(b) GDPR). Registration data, questions and poll results are deleted after 30 days. Votes are anonymous.

8. Podcast downloads

When a podcast episode is downloaded, we count the download per day and assign it to an app group (e.g. “Spotify”). To avoid counting the same download more than once, we create, in memory, a daily rotating, non-reversible hash from the IP address and browser identifier, which is discarded at the end of the day. Only the totals are stored. We determine the country of the download at the time of the request from a local database (DB-IP Lite, license CC BY 4.0) without using external services, and store only the country code. The legal basis is Art. 6(1)(f) GDPR (audience measurement without personal reference).

Listening time in the player: When an episode is played via the embedded Maxecaster player or the podcast page, the player reports every few seconds which section of the episode was listened to. For this, it uses a random identifier that applies only to that single playback, is not stored in the browser (no cookies, no local storage) and is deleted from the server’s memory after six hours at the latest. Only totals per episode and day are stored (e.g. “120 listeners heard minute 10”). IP addresses are not used for this. The legal basis is Art. 6(1)(f) GDPR.

9. Emails

For system messages (invitations, password links, webinar access), we use an email server in Germany (STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin). There is no newsletter and no open or click tracking.

10. Hosting

Our servers are operated by a data center in Germany (Nuremberg) with which a data processing agreement is in place: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe. Encrypted backups and older recordings (archive) are kept in storage in Germany (Falkenstein) with Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, likewise under a data processing agreement.

11. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object (Art. 21 GDPR), as well as the right to withdraw any consent you have given. In the dashboard, you can export your data and delete your account yourself. You can also lodge a complaint with a data protection supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen), Kavalleriestr. 2–4, 40213 Düsseldorf.

12. Security

Connections are encrypted via TLS; we store stream keys for livestreams encrypted with AES-256-GCM. Access to workspaces is governed by roles and is logged.