Datenschutzerklärung

GhostRoom ist ein Videoraum: Eine Person legt ein Hauptvideo in einen Raum, Freunde öffnen den Link und nehmen sich selbst mit Kamera und Mikrofon auf, während sie zuschauen. Die Aufnahmen werden gemeinsam mit dem Hauptvideo abgespielt. Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten diese GhostRoom-Instanz dabei verarbeitet, warum, wie lange und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser GhostRoom-Instanz ist:

• Tim Neunzig
• Alpenstr. 13
• 14542 Werder (Havel), Deutschland
• E-Mail: tim@ki-katapult.de

Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Pflicht dazu besteht nicht. Bei allen Fragen zum Datenschutz erreichen Sie den Verantwortlichen unter der genannten E-Mail-Adresse.

Hinweis: Diese Erklärung gilt ausschließlich für die hier genannte Instanz des oben genannten Verantwortlichen.

2. Das Wichtigste in Kürze

• Wer einem Raum beitritt, nimmt sich dabei selbst auf — und zwar die ganze Zeit, die er im Raum ist. Ein Zuschauen ohne laufende Kamera gibt es nicht, auch nicht für die Person, die den Raum erstellt hat. Ohne Ihre ausdrückliche Zustimmung auf dem Startbildschirm beginnt keine Aufnahme.
• Ihre Aufnahme ist grundsätzlich für alle sichtbar, die den Link zu diesem Raum haben. In einem Showcase-Raum kann sie zusätzlich öffentlich auf ghostroom.video erscheinen, aber nur nach Ihrer gesonderten ausdrücklichen Zustimmung (Abschnitt 4).
• Räume und alle zugehörigen Aufnahmen werden automatisch gelöscht — standardmäßig 30 Tage nach der letzten Aktivität. Die raumerstellende Person kann für ihren Raum eine Frist zwischen 1 und 365 Tagen einstellen; die geltende Frist und die verbleibende Zeit werden im Raum angezeigt. Das ist ein gleitendes Fenster, kein festes Datum: Jeder neue Clip startet es neu.
• Wir transkribieren keine Aufnahmen und werten nicht aus, was gesagt oder gezeigt wird. Aufnahmen liegen in Deutschland und verlassen keine Server in der EU (Abschnitte 13 und 14). Jeder Raum hat eine eigene Seite, die genau das in klaren Worten sagt — die Vereinbarung (Abschnitt 4).
• Es gibt keine Werbe-Cookies, kein Profiling zu Werbezwecken und kein seitenübergreifendes Tracking. Zur Reichweitenmessung betreiben wir eine eigene, cookielose Statistik auf eigenem Server (Abschnitt 12). Schriften werden vom eigenen Server geladen.
• Bei Räumen mit einem YouTube-Video als Hauptvideo werden Daten an Google übertragen (Einzelheiten in Abschnitt 9).

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Rechtsgrundlagen der DSGVO greift:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): für Ihre Kamera- und Mikrofonaufnahme im Raum, für die YouTube-Einbettung und, wenn Sie ihnen zugestimmt haben, für die Beta-Programm-E-Mails (Abschnitt 10).
• Vertrag bzw. Nutzungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO): für Ihr Benutzerkonto, die Anmeldung und die Bereitstellung der Räume, die Sie anlegen oder nutzen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): für den sicheren technischen Betrieb, die Abwehr von Missbrauch, die cookielose Reichweitenmessung (Abschnitt 12) und die Nachweisbarkeit von Einwilligungen und Löschungen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): soweit wir Einwilligungen nachweisen müssen (Art. 7 Abs. 1 DSGVO).

Für das Speichern von Informationen auf Ihrem Gerät (Cookies, lokale Browser-Speicherung) gilt zusätzlich § 25 TDDDG. Was davon zwingend für den Dienst erforderlich ist, braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); alles andere nur mit Ihrer Zustimmung.

4. Raum-Aufnahmen: Ihre Kamera- und Mikrofonclips

Das ist der Kern von GhostRoom. Wenn Sie in einem Raum auf die Schaltfläche zum Beitreten tippen, passiert Folgendes:

• Schon auf dem Startbildschirm fragt der Browser die Kamera- und Mikrofonberechtigung ab, um Ihnen eine lokale Vorschau Ihres eigenen Bildes zu zeigen. Diese Vorschau bleibt vollständig auf Ihrem Gerät — es wird nichts übertragen und nichts gespeichert. Aufgezeichnet und hochgeladen wird erst, nachdem Sie auf die Beitritts-Schaltfläche getippt haben.
• Die Aufnahme läuft die ganze Zeit, die Sie im Raum sind. Es gibt keinen Zustand, in dem Sie im Raum sind, ohne dass Ihre Kamera aufnimmt — das gilt für alle, auch für die Person, die den Raum erstellt hat. Die Aufnahme endet, wenn das Hauptvideo (bei einem Sharing Circle: die Kette) zu Ende ist oder wenn Sie den Raum verlassen; „Verlassen" ist die einzige Stopp-Schaltfläche. In beiden Fällen wird Ihr Clip ohne weiteren Zwischenschritt dem Raum hinzugefügt und verbleibt dort (zur Entfernung siehe Abschnitt 5). Endet die Aufnahme aus einem anderen Grund vorzeitig — etwa weil das Betriebssystem die Kamera für einen Anruf beansprucht — endet damit auch Ihr Besuch im Raum; das bis dahin Aufgenommene bleibt als Clip im Raum. Wer den Raum erneut öffnet, beginnt eine neue Aufnahme. Eine Ausnahme, zu Ihren Gunsten: Wenn Sie das Hauptvideo pausieren, pausiert die Aufnahme mit — solange der Raum pausiert ist, wird nichts aufgezeichnet, und Ihr Clip bleibt deckungsgleich mit dem Video, das alle anderen sehen.
• Ihr Clip (Video und Ton) wird auf unseren Server hochgeladen und dort gespeichert.
• Der Upload beginnt schon während der Aufnahme. Damit Sie nach dem Ende nicht lange warten, schickt Ihr Browser die Aufnahme in Stücken an unseren Server, während sie noch läuft. Bis die Aufnahme endet, liegen diese Stücke ausschließlich in einem nicht öffentlichen Upload-Zwischenspeicher auf unserem Server: sie sind weder über GhostRoom noch über den Raum-Link abrufbar, und Ihr Clip kommt erst mit dem Ende der Aufnahme in den Raum. Endet eine Aufnahme ohne Clip (Seite während der Aufnahme geschlossen, Aufnahme abgebrochen oder leer), werden die Stücke nie verwendet: Bei einer abgebrochenen oder leeren Aufnahme versuchen wir, sie sofort zu löschen; was dabei nicht gelöscht wird — und alles von einer während der Aufnahme geschlossenen Seite —, löschen wir, sobald es 72 Stunden lang unverändert geblieben ist (das prüft ein täglicher Aufräumlauf, also höchstens etwa einen Tag später). Widerrufen Sie Ihre Einwilligung, werden sie zusammen mit der übrigen Aufnahme gelöscht, wie in Abschnitt 5 beschrieben.
• Die Clips aller Teilnehmer werden zusammen mit dem Hauptvideo im Browser der Raumteilnehmer gemeinsam abgespielt.
• Die Person, die den Raum erstellt hat, kann die Videos des Raums — einschließlich Ihres Clips — als Dateien auf ihr Gerät herunterladen und daraus ein zusammengefügtes Erinnerungsvideo (ein Raster aller Clips) erzeugen lassen. Das gilt nur für Clips, deren Einwilligung diesen Hinweis bereits umfasste. Bedenken Sie: Heruntergeladene Kopien liegen außerhalb unseres Systems; eine spätere Entfernung Ihres Clips erreicht diese Kopien nicht.
• Ihr Clip ist zusammen mit dem Hauptvideo für alle Personen sichtbar, die den Link zu diesem Raum besitzen. Bedenken Sie: Wer den Link weitergibt, gibt damit auch den Zugang zu Ihrer Aufnahme weiter.
• Optional können Sie einen Anzeigenamen angeben; er wird zusammen mit Ihrem Clip angezeigt.

Zusätzlich speichern wir zu jeder Aufnahme einen Einwilligungsnachweis: den Zeitpunkt Ihrer Zustimmung, die Fassung des Zustimmungstextes, die freigegebenen Medienarten (Kamera, Mikrofon) und, falls der Raum die Worte Ihrer Kursleitung vor dem Start zeigt, die Nummer der Fassung, die Ihnen dabei angezeigt wurde (nicht ihren Wortlaut und keine Angabe darüber, ob Sie sie gelesen haben). Das brauchen wir, um Ihre Einwilligung belegen zu können und welche Fassung der Worte Ihrer Kursleitung an der Tür stand.

Aufnahmeverlauf (Practice Completion): Während Ihre Kamera aufnimmt, meldet die App etwa alle 30 Sekunden, beim Verlassen der Seite und beim Beenden der Aufnahme, bis zu welcher Stelle des Hauptvideos Ihre Aufnahme gekommen ist. Wir speichern dazu je Aufnahme genau einen Eintrag mit der Kennung des Raums, der Kennung Ihrer Aufnahme, der Startposition und der zuletzt erreichten Position — keine Bild- oder Tondaten, keinen Namen, keine IP-Adresse. Der Eintrag bleibt auch bestehen, wenn die Aufnahme nie hochgeladen wurde oder der Raum bereits gelöscht ist; wir werten ihn ausschließlich zusammengefasst aus (wie viel der Praxis wurde im Mittel mitgemacht) und löschen ihn nach der Frist für Nutzungsereignisse (Abschnitt 15). Widerrufen Sie Ihre Einwilligung (Abschnitt 5), löschen wir diesen Eintrag zusammen mit der Aufnahme — er überdauert Ihren Widerruf nicht; weitere Meldungen zu dieser Aufnahme nimmt der Server dann nicht mehr an. In Sharing-Circle-Räumen halten wir außerdem fest, dass Ihrer Aufnahme das Angebot gemacht wurde, ein eigenes Video anzuhängen, und — sofern Sie es tun — welche Aufnahme Ihr Video ausgelöst hat; auch das nur als Kennungen, nur gezählt.

Emoji-Reaktionen: Wer den Raum-Link besitzt, kann während des Zuschauens mit einem Emoji aus einer festen Auswahl reagieren — auch ohne Kamera und ohne Konto. Zu einer Reaktion speichern wir nur das gewählte Emoji, den Zeitpunkt im Video, gegebenenfalls den Clip, auf den reagiert wurde, und den Absendezeitpunkt — keine Angaben zur reagierenden Person (kein Name, keine Kennung, keine IP-Adresse). Reaktionen sind für alle sichtbar, die den Raum-Link besitzen, werden bei jeder Wiedergabe des Raums an ihrer Stelle erneut eingeblendet und in ein etwaiges Erinnerungsvideo (siehe oben) fest eingerechnet. Sie werden zusammen mit dem Raum gelöscht; Reaktionen auf einen entfernten Clip verschwinden mit diesem aus der Wiedergabe. Um Missbrauch zu begrenzen, ist die Zahl der Reaktionen pro Raum und pro Absender-IP begrenzt; die IP-Adresse wird dafür nur kurzzeitig in Zählwerken verarbeitet (siehe Abschnitt 12) und nie mit der Reaktion gespeichert.

Sharing-Circle-Räume: Die raumerstellende Person kann einen Raum als „Sharing Circle" führen. Der Raum wächst dann als Kette von Beiträgen: Das Eröffnungsvideo spielt zuerst, danach die Beiträge der Teilnehmenden, einer nach dem anderen. Das Zuschauen funktioniert unverändert wie oben beschrieben — Ihre Kamera nimmt die ganze Zeit auf, während Sie im Raum sind: während des Eröffnungsvideos ebenso wie während Sie die Beiträge der anderen anhören. Die raumerstellende Person kann dem Raum außerdem einen schriftlichen Impuls mitgeben (eine Frage oder Bitte an alle, höchstens 280 Zeichen); er wird zusammen mit dem Raum gespeichert, allen Personen mit dem Raum-Link vor dem Beitritt und vor ihrem eigenen Beitrag angezeigt und zusammen mit dem Raum gelöscht. Zusätzlich können Sie in einem solchen Raum eine zweite, bewusst gestartete Aufnahme („Ihr Video") machen, die an die Kette angehängt wird und für alle mit dem Raum-Link abspielbar ist; Sie starten und beenden sie selbst, und nichts wird angehängt, bevor Sie die Aufnahme beenden. Entfernung und Widerruf (Abschnitt 5) gelten unverändert — das Video wird gelöscht; lediglich seine Dauer und seine Position in der Kette bleiben als rein technischer Platzhalter ohne Bild- und Tonmaterial erhalten, damit die übrigen Beiträge synchron bleiben.

Die Worte Ihrer Kursleitung vor dem Start: Die Person, die den Raum eröffnet hat, kann ihm einen eigenen Text mitgeben (höchstens 1200 Zeichen). Er wird allen Personen mit dem Raum-Link an der Tür angezeigt, bevor ihre Aufnahme beginnt, außerdem im Hinweisblatt „what happens?" und auf der Vereinbarungsseite des Raums; dort steht er jeweils als eigener Abschnitt unter der Überschrift „from your facilitator · before you begin", getrennt von unserer Vereinbarung. Es sind ihre Worte, nicht unsere: was Teilnehmende vor der Praxis wissen sollen, etwa Hinweise zur Vorbereitung oder zu Übungen, die nicht für jede Person geeignet sind. Der Text ist weder Teil Ihrer Einwilligung noch eine Vereinbarung mit uns oder mit der kursleitenden Person. Mit dem Beitritt bestätigen oder erklären Sie nichts daraus; wir stellen dazu keine Fragen und speichern keine Antworten, kein Häkchen und nichts, was Sie eingeben könnten, sondern nur die fortlaufende Nummer der Fassung, die Ihnen beim Beitritt angezeigt wurde (siehe den Einwilligungsnachweis oben). Der Text wird zusammen mit dem Raum gespeichert und mit ihm gelöscht; ändert die kursleitende Person ihn, ersetzt die neue Fassung die alte, und erhalten bleibt nur die Nummer, nicht der frühere Wortlaut. Eine Vorlage für die nächsten Räume einer Reihe kann sie in der Reihe hinterlegen; sie wird mit der Reihe gelöscht (Abschnitt 15). Auf der öffentlichen Startseite wird der Text nie gezeigt, auch nicht bei einem dort vorgestellten Raum. Wir lesen und prüfen diesen Text nicht. Er soll sich an alle richten, keine Person benennen und nichts über die Gesundheit einer bestimmten Person sagen; darauf weisen wir die kursleitende Person beim Schreiben hin. Steht dennoch etwas über Sie darin, ist dafür die Person verantwortlich, die es geschrieben hat; schreiben Sie ihr oder uns (Abschnitt 1 oder die Meldeseite, Abschnitt 11), und wir entfernen es. Rechtsgrundlage: für das Speichern und Anzeigen des Textes die Bereitstellung des Raums für die kursleitende Person (Art. 6 Abs. 1 lit. b DSGVO); für die Fassungsnummer in Ihrem Einwilligungsnachweis unser berechtigtes Interesse und das der kursleitenden Person, belegen zu können, welche Fassung ihrer Worte an der Tür stand, als Sie eingetreten sind — die Nummer, nicht den Wortlaut (Art. 6 Abs. 1 lit. f DSGVO), im Rahmen unserer Nachweispflicht (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).

Bezeichnung einer Reihe für Teilnehmende: Gehört ein Raum zu einer Reihe, zeigt die Tür, der wievielte Termin es ist („week 3 of 4"), und daneben eine kurze Bezeichnung (höchstens 60 Zeichen), die die kursleitende Person eigens dafür wählt. Der Titel, unter dem sie die Reihe in ihrem Konto führt, wird im Raum nicht angezeigt und steht nicht im Link des Raums; er steht nur auf einem etwaigen Praxisnachweis (siehe unten). (Räume, die aus einer Reihe eröffnet wurden, bevor diese Regel galt – Oktober 2026 –, können aus dem Titel der Reihe gebildete Wörter noch in ihrem Link und in ihrer Raumkennung tragen; diese Kennung steht auch in den Nutzungsereignissen, die bis zu 12 Monate aufbewahrt werden, Abschnitt 15.) Für die Bezeichnung gilt dasselbe wie für die Worte vor dem Start: ihre Worte, von uns nicht geprüft, für alle mit dem Link sichtbar, gespeichert mit der Reihe und mit ihr gelöscht. Wir raten ihr, Rhythmus und Ort zu nennen, nicht das Thema und keine Person.

Anzeige auf ghostroom.video (Showcase): Die raumerstellende Person kann darum bitten, einen einzelnen Raum als Showcase-Raum zu zeigen. Dabei bestätigt sie in einer gesonderten Erklärung, dass sie die Rechte am Hauptvideo hat und dass sie darin allein erkennbar ist oder jede weitere erkennbare oder hörbare Person der öffentlichen Anzeige ausdrücklich zugestimmt hat; wir speichern, welche Fassung dieser Erklärung sie bestätigt hat und wann. Die Bitte erreicht uns per E-Mail an info@ghostroom.video — mit Raum-Kennung und der E-Mail-Adresse ihres Kontos, nie mit dem Raum-Link oder dem Raumtitel —, und wir prüfen jede Bitte: Gezeigt wird ein Raum erst nach unserer Freigabe. Nur in einem freigegebenen Raum fragen wir Sie am Ende Ihrer Aufnahme zusätzlich und getrennt: „Diese Runde darf auf ghostroom.video gezeigt werden." Die Voreinstellung ist Nein — ohne Ihr ausdrückliches Ja wird Ihre Aufnahme dort nicht gezeigt, und ein Nein speichern wir nicht. Sagen Sie Ja, ist unsere Kopie Ihrer Aufnahme auf unserer öffentlichen Startseite ohne Raum-Link und ohne Konto abrufbar; sie ist damit für jede Person im Internet sichtbar und kann von Dritten kopiert oder zwischengespeichert werden. Diese Einwilligung ist von Ihrer Einwilligung zur Raum-Aufnahme getrennt und jederzeit widerrufbar (Abschnitt 5). Zu ihr speichern wir den Zeitpunkt Ihres Ja, die Fassung des Textes, dem Sie zugestimmt haben, und gegebenenfalls den Zeitpunkt des Widerrufs sowie einen Protokolleintrag über die Erteilung bzw. den Widerruf — mit Zeitpunkt, Raum und Bezug auf Ihre Aufnahme, ohne Bild- und Tonmaterial; er wird spätestens zusammen mit dem Raum gelöscht. Ebenso protokollieren wir die Bitte um Anzeige, ihre Rücknahme, unsere Freigabe oder Ablehnung und das Ende der Anzeige. In einem Sharing-Circle-Raum erscheint ein Kettenbeitrag auf der öffentlichen Seite in jedem Fall mit seiner Dauer und seiner Position als rein technischer Platzhalter ohne Bild- und Tonmaterial — auch ohne Ihr Ja, damit die übrigen Runden synchron bleiben; ohne Ihr Ja bleibt es bei diesem Platzhalter. Eine Aufnahme als Kachel erscheint dort ohne Ihr Ja dagegen überhaupt nicht. Ein Ja, das Sie gegeben haben, bevor wir die Fassung des Textes gespeichert haben (vor dem 25. September 2026), zeigen wir nicht; wir fragen Sie stattdessen erneut. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); lässt Ihre Aufnahme Angaben zu Ihrer Gesundheit, Ihren Überzeugungen oder andere besondere Kategorien personenbezogener Daten erkennen, Ihre ausdrückliche Einwilligung auch dazu (Art. 9 Abs. 2 lit. a DSGVO), die die Frage ausdrücklich einschließt. Für das Hauptvideo: Art. 6 Abs. 1 lit. a DSGVO, soweit die raumerstellende Person selbst betroffen ist, und für besondere Kategorien ihrer eigenen Daten ihre ausdrückliche Einwilligung, die die Erklärung einschließt (Art. 9 Abs. 2 lit. a DSGVO); sind weitere Personen erkennbar oder besondere Kategorien personenbezogener Daten enthalten, zeigen wir es nur, wenn die raumerstellende Person bestätigt hat, dass deren ausdrückliche Einwilligung vorliegt (einschließlich § 22 KUG und gegebenenfalls Art. 9 Abs. 2 lit. a DSGVO). Die Bitte um Anzeige und die E-Mail an uns: Bearbeitung dieser Bitte (Art. 6 Abs. 1 lit. b DSGVO); unsere Prüfung: berechtigtes Interesse an einer geprüften, rechtmäßigen Startseite (Art. 6 Abs. 1 lit. f DSGVO).

Räume mit Anwesenheitsliste: Führt jemand eine Reihe von Terminen — einen wöchentlichen Kurs, einen Circle, eine Ausbildungsgruppe —, kann sie ihre Räume mit einer Anwesenheitsliste eröffnen. Nur in einem solchen Raum passiert Folgendes zusätzlich zu allem oben Beschriebenen:

• An der Tür sehen Sie eine Liste von Vornamen und wählen Ihren aus. Fehlt er, tragen Sie ihn selbst ein („jemand anderes"). Die Liste kann die kursleitende Person bereits angelegt haben, bevor Sie den Link zum ersten Mal geöffnet haben.
• Alle, die den Link zu diesem Raum haben, sehen diese Liste, die Vornamen der Menschen, die gerade im Raum sind, und Ihren Vornamen auf Ihrer Kachel. Der Vorname ist damit für denselben Personenkreis sichtbar wie Ihre Aufnahme.
• Zu jedem Besuch halten wir einen Anwesenheitseintrag fest: den gewählten Vornamen, um welchen Termin der Reihe es ging, ab welcher und bis zu welcher Stelle des Hauptvideos Ihre Aufnahme lief, und wie lang das Hauptvideo zu diesem Zeitpunkt war. Kein Bild- und Tonmaterial, keine Abschrift, nichts über den Inhalt Ihrer Aufnahme.
• Dieser Eintrag überdauert den Raum. Das ist der Zweck: Die kursleitende Person soll am Ende einer Ausbildung noch sagen können, wer wann dabei war, auch wenn die Videos längst gelöscht sind. Er wird zusammen mit der Reihe gelöscht (Abschnitt 15).
• Aus diesen Einträgen kann die kursleitende Person Ihnen einen Praxisnachweis ausdrucken: eine Seite, die mit Datum die Termine auflistet, an denen Sie da waren, unter dem an der Tür gewählten Vornamen. Wir speichern diese Seite nicht und versenden sie nicht; sie wird auf Abruf erzeugt. Sie bescheinigt Anwesenheit — dass eine Aufnahme lief, während Sie da waren — und sagt auf sich selbst, dass sie kein Zertifikat und keine Teilnahmebescheinigung im Sinne einer Prüfung ist.
• Wir prüfen keine Identität. Wer den Link hat, kann jeden Namen der Liste wählen. Der Eintrag bezeugt, dass unter diesem Namen jemand im Raum war — nicht, dass es die Person war, die der Name benennt. Das steht so auch auf dem Praxisnachweis.
• Ob ein Raum eine Anwesenheitsliste führt, wird bei seiner Eröffnung festgelegt. Einschalten lässt es sich danach nicht mehr: Ein Raum kann nicht nachträglich anfangen, Anwesenheit festzuhalten, nachdem Sie ihn betreten haben — der Zustimmungstext an der Tür sagt Ihnen vorher, woran Sie sind. Der einzige Weg in die andere Richtung ist die Löschung der ganzen Reihe durch die kursleitende Person: Dann verschwinden Liste und Einträge, und der Raum führt für den Rest seiner Zeit keine Anwesenheitsliste mehr. Es gibt keinen Fall, in dem über Sie mehr festgehalten wird, als der Text an der Tür gesagt hat.

Wer ist wofür verantwortlich? Für die Vornamensliste und die Anwesenheitseinträge ist die kursleitende Person Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO: Sie entscheidet, ob ihre Räume eine Liste führen, wer darauf steht, wie lange die Reihe aufbewahrt wird und wofür der Nachweis verwendet wird. Wir verarbeiten diese Daten als ihr Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage einer Vereinbarung zur Auftragsverarbeitung, die sie mit uns schließt, bevor sie die Liste einschaltet. Wir geben sie an niemanden außerhalb dieser Verarbeitung weiter — nicht an Werbetreibende, nicht an andere Kursleitende, an keinen Dritten. Innerhalb des Raums sind die Vornamen dagegen sichtbar, und zwar für alle, die den Raum-Link haben (siehe oben); hinzu kommen unsere Unterauftragsverarbeiter für Hosting und Speicher (Abschnitt 13). Für Ihre Aufnahme selbst bleibt es dabei, dass Sie uns gegenüber einwilligen (siehe oben); die Positionsangaben im Anwesenheitseintrag stammen aus dieser Aufnahme und werden der kursleitenden Person auf Grundlage dieser Einwilligung offengelegt.

Was Sie tun können: Die kursleitende Person kann Ihren Eintrag jederzeit aus ihrer Reihe entfernen. Ebenso können Sie sich an den Verantwortlichen (Abschnitt 1) wenden; wir entfernen ihn dann. Widerrufen Sie die Einwilligung zu Ihrer Aufnahme (Abschnitt 5), löschen wir die Aufnahme vollständig; vom Anwesenheitseintrag bleibt dann nur, dass Sie da waren — die Positionsangaben werden gelöscht, sodass sich aus dem Eintrag nicht mehr ablesen lässt, wie viel der Praxis Sie mitgemacht haben.

Rechtsgrundlage: Für das Eintragen Ihres Vornamens und für den Anwesenheitseintrag ist die kursleitende Person verantwortlich; sie stützt sich auf ihren Vertrag mit Ihnen über den Kurs (Art. 6 Abs. 1 lit. b DSGVO) oder auf ihr berechtigtes Interesse an der Organisation ihres Kurses (Art. 6 Abs. 1 lit. f DSGVO) und informiert Sie darüber selbst, bevor sie Ihren Namen einträgt. Lässt das Thema der Reihe auf Ihre Gesundheit schließen, verarbeitet sie den Eintrag zusätzlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie ihr mit dem Beitritt erteilen und die wir in ihrem Auftrag an der Tür einholen; der Hinweistext benennt das ausdrücklich. Für Ihre Aufnahme gilt weiterhin Ihre Einwilligung uns gegenüber (Art. 6 Abs. 1 lit. a, gegebenenfalls Art. 9 Abs. 2 lit. a DSGVO). Die Fassung des Hinweistextes wird als eigene Einwilligungsfassung gespeichert („2026-09-02-roster" bzw. „2026-09-02-circle-roster"), und der Server nimmt in einem solchen Raum keine andere Fassung an.

Der Hinweis ist gestuft: An der Tür steht ein Satz, der die Anwesenheitsliste und den Eintrag benennt, daneben ein Hinweisblatt („was passiert?") mit einer Kurzfassung, und dahinter die vollständige Vereinbarung des Raums unter dem Raum-Link mit dem Zusatz „/agreement". Dort — und hier — lauten die zusätzlichen Sätze für einen Raum mit Anwesenheitsliste:

Der Name, den Sie wählen – und was damit festgehalten wird

• Dieser Raum führt eine Anwesenheitsliste. Die Person, die ihn eröffnet hat, hat eine Liste von Vornamen hinterlegt; an der Tür wählen Sie Ihren aus oder tragen ihn ein, wenn er fehlt.
• Festgehalten wird: der Vorname, den Sie gewählt haben, an welchen Terminen dieser Reihe Sie da waren und ungefähr wie viel der jeweiligen Praxis Sie dabei waren. Kein Video, keine Abschrift, nichts darüber, was Sie gesagt oder getan haben.
• Die Liste und der Eintrag gehören der Person, die den Raum eröffnet hat, nicht uns. Wir führen sie in ihrem Auftrag, solange ihre Reihe läuft, und löschen sie mit ihr.
• Alle, die den Link haben, sehen die Liste der Vornamen, die Namen der Menschen, die bereits im Raum sind, und Ihren Namen auf Ihrer Kachel, solange Sie da sind.
• Ihr Name kann auf der Liste gestanden haben, bevor Sie den Link überhaupt geöffnet haben, denn die Person, die das hier leitet, hat ihn dort eingetragen. Und wir prüfen nicht, ob der Name, den Sie wählen, Ihrer ist. Niemand wird um einen Nachweis gebeten.
• Bei einer Reihe, deren Thema etwas über Ihre Gesundheit verrät (etwa Atem-, Körper- oder Traumaarbeit), ist schon der Eintrag, dass Sie da waren, eine Angabe über Ihre Gesundheit. Mit dem Beitritt willigen Sie ausdrücklich auch darin ein, dass die Person, die den Raum eröffnet hat, diesen Eintrag führt.
• Der Raum ist ein Angebot, keine Bedingung: Die Person, die ihn leitet, hat sich uns gegenüber verpflichtet, dass Sie ihren Kurs auch ohne Aufnahme machen können. Stimmt das nicht, schreiben Sie uns.
• Im Anschluss kann Ihnen ein Praxisnachweis ausgehändigt werden: eine Seite, die mit Datum die Termine auflistet, an denen Sie da waren, unter dem an der Tür gewählten Namen. Sie bescheinigt Anwesenheit (dass eine Aufnahme lief, während Sie da waren) und sagt auf sich selbst, dass sie kein Zertifikat ist und dass wir niemandes Identität überprüft haben.
• Die Person, die den Raum eröffnet hat, kann Ihren Eintrag jederzeit aus ihrer Reihe entfernen. Sie können das auch: Schreiben Sie an tim@ki-katapult.de, wir nehmen ihn heraus.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Tippen auf die Beitritts-Schaltfläche nach dem Hinweistext erteilen. Der Einwilligungsnachweis stützt sich auf Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.

Ein wichtiger Hinweis in eigener Sache: Nehmen Sie nur sich selbst auf. Wenn andere Personen in Ihrem Bild oder Ton vorkommen, sind Sie dafür verantwortlich, deren Einverständnis einzuholen.

Besondere Kategorien personenbezogener Daten: Was Sie in einem Raum sagen oder zeigen, kann besondere Kategorien im Sinne von Art. 9 DSGVO enthalten — etwa Angaben zur Gesundheit in einem Atem- oder Körperpraxis-Raum oder persönliche Angaben in einem Sharing-Circle-Beitrag. Wir werten solche Inhalte nicht aus (siehe die Vereinbarung unten); soweit sie in Ihrer Aufnahme enthalten sind, ist die Rechtsgrundlage Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie mit dem Tippen auf die Beitritts-Schaltfläche nach dem Hinweistext erteilen.

Die Vereinbarung des Raums

Jeder Raum hat eine eigene Seite, die in klaren Worten sagt, was der Raum mit einer Aufnahme macht — erreichbar unter dem Raum-Link mit dem Zusatz „/agreement" und mit demselben Zugriffsschutz wie der Raum selbst (Abschnitt 6): Ohne den Link (und das Passwort, falls eines gesetzt ist) gibt die Seite keinerlei Hinweis darauf, dass der Raum existiert. Sie zeigt das Aufbewahrungsfenster des jeweiligen Raums und die verbleibende Zeit. Dieselben Sätze stehen hier und in unserem Verarbeitungsverzeichnis; an der Tür steht die kurze Einwilligungszusage, und das Hinweisblatt „what happens?" fasst sie zusammen. Für einen Raum mit dem Standardfenster lauten sie:

Wer sie sehen kann

• Menschen, die den Link zu diesem Raum haben (und sein Passwort, falls eines gesetzt ist). Sonst niemand.
• Es gibt kein Verzeichnis und keine Suche. Ohne den vollständigen Link kann niemand den Raum öffnen oder auch nur erkennen, dass es ihn gibt.
• Eine Ausnahme: Die raumerstellende Person kann darum bitten, dass ihr Raum auf ghostroom.video gezeigt wird, unserer Startseite; gezeigt wird nichts, bevor wir die Bitte freigegeben haben. Danach werden Sie gesondert gefragt, und Ihr Clip erscheint dort nur, wenn Sie Ja sagen.
• Wer den Link weitergibt, gibt den Raum weiter. Das ist das eine, wovor wir Sie nicht schützen können.

Wie lange unsere Kopie bleibt

• 30 Tage nach der letzten Aktivität im Raum (der Standard; die raumerstellende Person kann 1 bis 365 Tage einstellen). Ein Fenster, kein Datum: Jeder neue Clip startet es neu. Ein Raum, der noch genutzt wird, bleibt, und einer, der still geworden ist, geht.
• Die verbleibende Zeit zeigt der Raum in seinem ⋯-Menü.
• Läuft das Fenster ab, löschen wir unsere Kopie: das Video, jeden Clip, den Raum selbst und den Einwilligungsnachweis, den wir dazu aufbewahrt haben. Nichts bleibt für immer auf unseren Servern.

Ihre Aufnahme zurücknehmen

• Jederzeit, und Sie brauchen dafür niemandes Erlaubnis. Auf dem Gerät, mit dem Sie aufgenommen haben, öffnen Sie das ⋯-Menü und entfernen Ihren Clip. Sind Sie an einem anderen Gerät oder haben Sie den Browser-Speicher geleert, schreiben Sie an tim@ki-katapult.de, und wir tun dasselbe von Hand.
• Unsere Kopie wird gelöscht, nicht ausgeblendet. Niemandes Kachel rückt, und der Raum läuft ohne Sie weiter.
• Außerhalb unserer Reichweite: eine Kopie, die die raumerstellende Person vor Ihrem Widerruf auf ihr eigenes Gerät gespeichert hat, in Räumen, in denen das überhaupt möglich ist (in einem Sharing Circle nie). Die können wir nicht zurückholen, und das sagen wir Ihnen lieber gleich.

Was wir nie tun

• Wir transkribieren keine Aufnahmen. Wir werten nicht aus, was gesagt oder gezeigt wird. Das Einzige, was unsere Software in einer Aufnahme prüft, ist, ob das Bild schwarz ist, damit wir Sie vor einer kaputten Kamera warnen können.
• Ihre Aufnahme liegt in Deutschland und verlässt nie Server in der EU. (Ist das Video des Raums ein YouTube-Video, läuft Googles Player auf Ihrem Gerät und erhält Ihre IP-Adresse. Das betrifft das Video, das Sie anschauen, nicht Ihre Aufnahme.)
• Wir zeigen keine Werbung, erstellen keine Profile und verfolgen Sie nicht über andere Websites hinweg.

5. Entfernen von Clips und Widerruf

Sie können Ihre Einwilligung jederzeit widerrufen und die Entfernung Ihres Clips verlangen. Am schnellsten geht das in der App selbst: im Raum unter „⋯" → „meinen Clip entfernen", oder — nachdem Sie den Raum verlassen haben — direkt auf dem Abschlussbildschirm („meinen Clip entfernen · unsere Kopie"). Alternativ genügt eine E-Mail an den Verantwortlichen. Dabei gehen wir ehrlich mit Ihnen um, so funktioniert die Entfernung technisch:

• Ihr Clip verschwindet sofort aus der Wiedergabe des Raums. Bei anderen Personen, die den Raum gerade geöffnet haben, verschwindet die Kachel mit der nächsten Aktualisierung (wenige Sekunden).
• Beim Widerruf wird unsere Kopie der Aufnahme gelöscht, nicht nur ausgeblendet: die Löschung der Videodatei wird sofort ausgelöst. Sollte ein beteiligter Speicherdienst dabei vorübergehend nicht erreichbar sein, wird die Löschung automatisch wiederholt, bis sie gelingt; im ungünstigsten Fall — wenn auch die Wiederholungen scheitern — verbleibt die Datei ohne jede Verknüpfung und ohne Abrufmöglichkeit auf dem Speicher, bis der Raum automatisch gelöscht wird (nach Ablauf der für den Raum geltenden Aufbewahrungsfrist — standardmäßig 30 Tage nach der letzten Aktivität, durch die raumerstellende Person zwischen 1 und 365 Tagen einstellbar, für einzelne Räume durch den Betreiber auch länger). Bei uns abrufbar ist Ihr Clip ab dem Widerruf in keinem Fall mehr. Dasselbe gilt, wenn Sie den Widerruf per E-Mail erklären — wir führen dann dieselbe Löschung aus.
• Zusammen mit Ihrem Clip löschen wir eine eventuell bereits erzeugte Gesamtaufzeichnung des Raums, weil diese Ihr Bild enthält; die raumerstellende Person kann sie ohne Ihren Clip neu erzeugen. Eine Gesamtaufzeichnung, die im Moment Ihres Widerrufs gerade erstellt wird, wird verworfen und ohne Ihren Clip neu erzeugt.
• Erhalten bleiben nur die folgenden Einträge, alle ohne Bild- und Tonmaterial: der Nachweis, dass eine Einwilligung erteilt und widerrufen wurde (mit der Fassung des Zustimmungstextes und gegebenenfalls der Fassungsnummer der Worte Ihrer Kursleitung, Abschnitt 4); ein Protokolleintrag über die Entfernung (beide werden spätestens mit dem Raum gelöscht); die Nutzungsereignisse dieser Sitzung (dass die Einstiegsseite gesehen und der Raum betreten wurde, jeweils mit der Angabe, ob die Tür Worte Ihrer Kursleitung zeigte, und — in einem Sharing-Circle — die Frage nach dem eigenen Beitrag erreicht wurde; dass Ihr Clip fertig hochgeladen wurde; dass ein unterbrochenes Hochladen fortgesetzt oder ein liegen gebliebener Clip auf Ihrem Gerät aufgegeben wurde; dass die Verarbeitung des Clips fehlgeschlagen ist; wie Ihr Besuch endete — verlassen, vom Raum beendet und weshalb, ob die Seite in diesem Moment im Hintergrund war, ob der Bildschirm wach gehalten wurde und ob der Besuch den Floor-Modus oder das ausgeblendete Selbstbild benutzt hat), die mit Ihrer Sitzungskennung verknüpft bleiben und nach Ablauf der Ereignis-Aufbewahrungsfrist gelöscht werden (Abschnitt 15); die zusammenfassende Kennzahl des Raums, in der Ihr Clip weiterhin als einer der veröffentlichten Clips mitgezählt wird (eine reine Zahl, ohne Verweis auf Sie); der grobe Upload-Bericht aus Abschnitt 12, falls Ihr Clip vor dem Widerruf beim Server angekommen war — er verweist weder auf Sie noch auf den Raum oder die Sitzung; und ein rein statistischer Zähleintrag, dass ein Clip zurückgezogen wurde. Der Fortschrittseintrag zu Ihrer Aufnahme wird dagegen zusammen mit der Aufnahme gelöscht (Abschnitt 4). Der statistische Zähleintrag überdauert die Löschung des Raums. Er enthält weder Ihren Namen noch Ihre IP-Adresse, keine Inhalte, keinen Verweis auf Ihr Konto, keinen Verweis auf Ihren Clip und keinen Verweis auf den Raum — nur den Zeitpunkt und die Angabe, ob ein Video vorhanden war. Er dient ausschließlich der Nachweisbarkeit gegenüber der Aufsichtsbehörde sowie der Produktstatistik (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO).
• Die Schaltfläche in der App steht nur auf dem Gerät zur Verfügung, mit dem der Clip aufgenommen wurde (siehe „gr_my_clips" in Abschnitt 8) — Clips sind bewusst keinem Konto zugeordnet. Haben Sie den Browser-Speicher geleert oder wechseln Sie das Gerät, schreiben Sie uns bitte kurz; wir entfernen den Clip dann für Sie, mit demselben Ergebnis.
• Entfernt die raumerstellende Person oder wir selbst einen Clip (z. B. nach einer Meldung), ist das kein Widerruf, sondern Moderation: der Clip verschwindet sofort aus der Wiedergabe, die Originaldatei kann für eine begrenzte Zeit zu Nachweis- und Missbrauchsprüfungszwecken erhalten bleiben und wird spätestens mit der automatischen Löschung des Raums — nach Ablauf der für den Raum geltenden Aufbewahrungsfrist (Abschnitt 15) — endgültig gelöscht. Ihr eigener Widerruf bleibt davon unberührt und löscht die Datei.
• Die Einwilligung zur Anzeige auf ghostroom.video (Abschnitt 4) widerrufen Sie getrennt und ebenso einfach: im Raum unter „⋯" → „auf ghostroom.video zeigen". Unsere Kopie verschwindet dann von der öffentlichen Startseite; im Raum selbst bleibt Ihre Aufnahme unverändert stehen, und die Kacheln der anderen Teilnehmenden verschieben sich nicht. Auch das geht nur auf dem Gerät, mit dem aufgenommen wurde — sonst schreiben Sie uns kurz. Kopien, die Dritte von der öffentlichen Seite angefertigt haben, liegen außerhalb unseres Zugriffs.
• Kopien, die die raumerstellende Person vor Ihrem Widerruf bereits heruntergeladen hat, liegen auf deren Gerät und damit außerhalb unseres Zugriffs — sie können durch die Entfernung nicht zurückgeholt werden. Verantwortlich für den Umgang mit solchen Kopien ist die Person, die sie heruntergeladen hat.
• In einem Raum mit Anwesenheitsliste (Abschnitt 4) bleibt Ihr Anwesenheitseintrag als Tatsache bestehen, wird aber entwertet: Erhalten bleiben der an der Tür gewählte Vorname und die Angabe, dass Sie an diesem Termin da waren. Gelöscht werden die Positionsangaben — aus dem Eintrag lässt sich danach nicht mehr ablesen, wie viel der Praxis Sie mitgemacht haben, und ein Praxisnachweis weist diesen Termin nur noch als „anwesend, ohne Angabe" aus. Der Eintrag wird ausdrücklich als „Aufnahme zurückgenommen" markiert. Der verbleibende Eintrag steht nicht auf Ihrer Einwilligung uns gegenüber, sondern auf der Rechtsgrundlage der kursleitenden Person für ihre Kursorganisation (Abschnitt 4); deshalb fällt er mit dem Widerruf der Aufnahme nicht weg — er kann aber jederzeit gesondert entfernt werden. Das ist eine bewusste Abweichung von der Aufnahme selbst, die vollständig gelöscht wird: Die Tatsache der Anwesenheit gehört zur Kursorganisation der kursleitenden Person und ist der Grund, aus dem die Reihe überhaupt geführt wird. Wollen Sie auch diese Tatsache entfernt haben, genügt eine Nachricht an die kursleitende Person oder an uns (Abschnitt 1) — wir löschen den Eintrag dann ganz.

Rechtsgrundlage für diese begrenzte Weiteraufbewahrung: unser berechtigtes Interesse an Nachweisbarkeit und Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO) sowie die Nachweispflicht aus Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht (Art. 7 Abs. 3 DSGVO).

6. Räume, Links und Zugriffsschutz

Der Zugang zu einem Raum steckt vollständig in dessen Link: Er enthält ein langes, nicht erratbares Zugriffskennzeichen (Token). Ohne gültiges Token liefert der Server keinerlei Hinweis darauf, dass ein Raum überhaupt existiert. In den Protokollen unserer Anwendung erscheinen Raum-Tokens nicht (zu den Protokollen auf Ebene des Hosting-Systems siehe Abschnitt 12). Es gibt keine öffentliche Übersicht über Räume und keine Suchfunktion.

Eine bewusste Ausnahme ist der Showcase-Raum (Abschnitt 4): Hat die raumerstellende Person darum gebeten und haben wir den Raum freigegeben, sind dessen Hauptvideo und genau diejenigen Aufnahmen, für die die aufnehmende Person ausdrücklich Ja gesagt hat, über eine eigene öffentliche Schnittstelle ohne Token abrufbar. Für jeden anderen Raum und für jede Aufnahme ohne dieses Ja antwortet diese Schnittstelle wie für einen nicht existierenden Raum. Am Zugang zum Raum selbst — Link, Token, Passwort — ändert die Kennzeichnung nichts.

Die raumerstellende Person kann für ihren Raum zusätzlich ein optionales Raum-Passwort festlegen. Es wirkt als zweiter Faktor zum Link: Ohne das richtige Passwort verhält sich der Dienst exakt so, als existiere der Raum nicht. Das Raum-Passwort speichern wir ausschließlich als kryptografischen Hash (scrypt), nie im Klartext; es erscheint in keiner Serverantwort und in keinen Protokollen, und Falscheingaben sind ratenbegrenzt. Beim Setzen oder Ändern des Passworts wird das Zugriffskennzeichen des Raums erneuert — ältere Links mit eingebettetem Kennzeichen und bereits geöffnete Sitzungen verlieren dadurch ihren Zugang; bereits ausgelieferte, kurzlebige Medien-Links können technisch bedingt noch für einige Stunden abspielbar bleiben, bevor sie ablaufen.

Rechtsgrundlage: Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

7. Benutzerkonto und Anmeldung

Zum Ansehen und Mitmachen in einem Raum brauchen Sie kein Konto. Ein Konto dient dazu, eigene Räume anzulegen und zu verwalten. Je nach gewähltem Anmeldeweg verarbeiten wir:

• E-Mail und Passwort: Ihre E-Mail-Adresse und einen kryptografischen Hash Ihres Passworts (das Passwort selbst wird nie gespeichert). Zur Bestätigung der Adresse und für Passwort-Zurücksetzungen senden wir Ihnen Links per E-Mail; diese sind kurzlebig.
• Anmeldelink per E-Mail (Magic Link): Ihre E-Mail-Adresse und ein kurzlebiges Anmelde-Token.
• Telefonnummer mit SMS-Code: Ihre Telefonnummer. Den Versand und die Prüfung des Codes übernimmt der Dienstleister Telnyx (siehe Abschnitt 13); der Code selbst wird auf diesem Weg nicht bei uns gespeichert.
• Google-Anmeldung: Wenn Sie sich aktiv für „Mit Google anmelden" entscheiden, erhalten wir von Google Ihre Google-Konto-Kennung, Ihre E-Mail-Adresse, deren Bestätigungsstatus und Ihren Namen. Dabei werden Daten (etwa Ihre IP-Adresse) an Google übertragen. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Datenübermittlung in die USA an Google LLC möglich. Wir nutzen ausschließlich die Anmeldefunktion, kein Google-Tracking.
• Apple-Anmeldung („Mit Apple anmelden"): Wenn Sie sich aktiv dafür entscheiden, erhalten wir von Apple eine Apple-Konto-Kennung, Ihre E-Mail-Adresse (auf Ihren Wunsch hin als anonymisierte Weiterleitungsadresse von Apple) und deren Bestätigungsstatus; beim ersten Anmelden zusätzlich Ihren Namen, sofern Sie ihn freigeben. Dabei werden Daten (etwa Ihre IP-Adresse) an Apple übertragen. Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland; Datenübermittlung in die USA an Apple Inc. möglich. Wir nutzen ausschließlich die Anmeldefunktion.
• Zwei-Faktor-Authentifizierung (optional): Wenn Sie sie aktivieren, speichern wir das dafür nötige geteilte Geheimnis (TOTP-Secret).
• Benachrichtigung über neue Clips: Haben Sie einen Raum eröffnet und legt jemand dort einen Clip ab, senden wir Ihnen an Ihre Konto-Adresse eine kurze E-Mail („4 neue Clips in …"). Sie wird einmal je Stunde gebündelt, damit aus vier Clips nicht vier E-Mails werden, und enthält nur die Anzahl, den Titel Ihres Raums und einen Link auf Ihre Raumübersicht — keine Namen der Teilnehmenden und keinen Raum-Schlüssel. Jede dieser E-Mails trägt einen Abmeldelink; abschalten können Sie sie außerdem jederzeit unter „Konto". Wir speichern, dass eine solche E-Mail gesendet wurde (Zeitpunkt, Raum, Anzahl) — nicht ihren Inhalt. Rechtsgrundlage: Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Außerdem speichern wir zu Ihrem Konto den Anzeigenamen (optional), Zeitstempel sowie einzelne Nutzungsereignisse (zum Beispiel „erster Login", „Raum erstellt", „Feedback gesendet"), die wir für die Betreuung des Beta-Programms verwenden (siehe Abschnitte 10 und 15). Wurde Ihr Konto im Rahmen einer Einladung angelegt, speichern wir dazu eine Einladungs-Kennzeichnung (Kohorte) — etwa „facilitator-2026-08" — und verknüpfen Ihre Beta-Anfrage (Abschnitt 10) mit dem Konto. Damit werten wir, ausschließlich zusammengefasst, aus, ob die Räume der so eingeladenen Personen genutzt werden; die Kennzeichnung sagt nichts über Sie persönlich aus.

Rechtsgrundlage: Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO); für die Sicherheitsmechanismen (Ratenbegrenzung, Token-Hashing) unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: solange Ihr Konto besteht. Sie können Ihr Konto jederzeit selbst in der App unter „Konto" löschen; alternativ genügt eine formlose E-Mail an den Verantwortlichen.

Pro-Mitgliedschaft und Zahlung (Stripe)

Eine Pro-Mitgliedschaft (Nutzungsbedingungen, Abschnitt 12) schließen Sie über unseren Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Die Zahlungsseite ist eine Seite von Stripe: Welche Angaben Sie dort machen — Zahlungsart, Kartendaten, Rechnungsanschrift — erfahren wir nicht; Stripe verarbeitet sie als Zahlungsdienstleister nach eigener Datenschutzerklärung (stripe.com/de/privacy) und setzt dort eigene Cookies.

Wir übergeben Stripe beim Start der Zahlung Ihre E-Mail-Adresse und eine Kontokennung, damit die Zahlung Ihrem Konto zugeordnet werden kann; von Stripe erhalten wir eine Kunden- und eine Abonnementkennung, den Stand des Abonnements (aktiv, gekündigt, Zahlung ausstehend) und das Ende des bezahlten Zeitraums. Diese Angaben speichern wir an Ihrem Konto, um die Pro-Funktionen freizuschalten und wieder zu beenden. Zusätzlich halten wir fest, wann Sie welche Fassung des Häkchens vor der Zahlung bestätigt haben (ausdrücklicher Wunsch, dass die Mitgliedschaft sofort beginnt), und welche Zahlungsmeldungen Stripe uns zugestellt hat (nur deren Kennung und Art, nicht ihren Inhalt).

Rechtsgrundlage: Durchführung des Vertrags über die Pro-Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO); für die Aufbewahrung von Rechnungsdaten unsere steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO). Speicherdauer: Kunden- und Abonnementkennung bis zur Löschung Ihres Kontos — dabei kündigen wir ein laufendes Abonnement und lassen den Kundendatensatz bei Stripe löschen; Rechnungen und Belege bewahren wir nach § 147 AO zehn Jahre auf. Die Nachweise über Ihr Häkchen bleiben so lange wie das Konto; die Liste der Zahlungsmeldungen 30 Tage.

Widerruf und Kündigung über unsere Online-Funktionen

Wenn Sie die Widerrufsfunktion („Vertrag widerrufen", § 356a BGB) oder die Kündigungsschaltfläche („Verträge hier kündigen", § 312k BGB) auf ghostroom.video nutzen — beides geht ohne Anmeldung —, verarbeiten wir die von Ihnen eingegebenen Angaben (Name, E-Mail-Adresse, Vertragsbezeichnung, Art und gewünschter Zeitpunkt der Kündigung beziehungsweise des Widerrufs, gegebenenfalls Kündigungsgrund und Anmerkung) sowie Datum, Uhrzeit, IP-Adresse und Browserkennung der Abgabe. Zweck: Entgegennahme und Umsetzung Ihrer Erklärung, Zuordnung zu Ihrer Mitgliedschaft bei Stripe (bei einer ordentlichen Kündigung endet das Abonnement zum genannten Zeitpunkt; bei einem Widerruf verlängert es sich nicht mehr, und wir erstatten), Versand der gesetzlich vorgeschriebenen Eingangs- beziehungsweise Kündigungsbestätigung an die angegebene E-Mail-Adresse, Benachrichtigung unseres Postfachs sowie Schutz vor missbräuchlich in Ihrem Namen abgegebenen Erklärungen. Ob unter einer Adresse eine Mitgliedschaft besteht, erfährt nur das Postfach dieser Adresse, nie die Person am Formular. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung und Beendigung des Vertrags), Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 312k Abs. 4, 356a Abs. 4 BGB und § 147 AO sowie, für IP-Adresse und Browserkennung, Art. 6 Abs. 1 lit. f DSGVO (Abwehr missbräuchlicher Erklärungen). Empfänger: unser E-Mail-Dienstleister (Abschnitt 13) und Stripe (Stand des Abonnements). Speicherdauer: Erklärung und Bestätigung bewahren wir als Geschäftsbriefe sechs Jahre ab dem Ende des Kalenderjahres des Eingangs auf (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 und 4 AO) — auch wenn Sie Ihr Konto vorher löschen; die Zuordnung zum Konto endet mit dessen Löschung. IP-Adresse und Browserkennung löschen wir nach zwölf Monaten. Erstattungsbelege unterliegen der achtjährigen Frist für Buchungsbelege.

8. Cookies und lokale Speicherung im Browser

Diese Instanz setzt keine Werbe-, Tracking- oder Analyse-Cookies. Es kommen nur technisch zwingend erforderliche Speicherungen zum Einsatz, für die nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich ist:

• Sitzungs-Cookie („gr_session"): hält Sie nach der Anmeldung eingeloggt. Es enthält nur ein zufälliges Sitzungskennzeichen (keine Klardaten), ist gegen Skriptzugriff geschützt (HttpOnly) und läuft nach 30 Tagen ab. Ohne Konto-Anmeldung wird es nicht gesetzt.
• Anmelde-Schutz-Cookies („gr_oauth_state", „gr_oauth_state_apple", „gr_oauth_native", „gr_oauth_native_apple"): werden nur während einer Anmeldung über Google oder Apple für maximal 10 Minuten gesetzt und schützen den Anmeldevorgang gegen Fälschung. Weil Apple die Anmeldung per Formular an uns zurücksendet, muss das Apple-Cookie technisch auch bei einem Aufruf von der Apple-Seite aus mitgesendet werden (SameSite=None); es wird nur über HTTPS übertragen, ist gegen Skriptzugriff geschützt und enthält ausschließlich einen Zufallswert zum Abgleich.
• Anmelde-Schlüssel in den Apps (localStorage „gr_native_verifier"; sessionStorage „gr_native_oauth_handled", „gr_native_oauth_launch_handled"): In der iOS- und Android-App wird während einer Anmeldung über Google oder Apple ein kurzlebiger Zufallswert auf dem Gerät abgelegt, mit dem der Abschluss der Anmeldung geprüft wird; zusätzlich wird die Rückkehr-Adresse des Anmeldevorgangs vermerkt, damit derselbe Vorgang nicht doppelt ausgeführt wird. Diese Angaben werden nach der Anmeldung nicht mehr benötigt; die Vermerke im Sitzungs-Speicher verschwinden mit dem Schließen des Tabs.
• Widerspruch gegen die Reichweitenmessung (localStorage, „gr_analytics_off"): wird nur gesetzt, wenn Sie in Abschnitt 12 aktiv auf „Messung auf diesem Gerät abschalten" tippen, und schaltet die Messung auf diesem Gerät ab. Wird nie an einen Server übertragen.
• Früheres Häkchen für die Beta-Programm-E-Mails (localStorage, „gr_beta_mails_intent"): wurde bis zum 14. Oktober 2026 gesetzt, wenn Sie das Häkchen auf der Anmeldeseite setzten und sich dann per E-Mail-Link, Google oder Apple anmeldeten. Seitdem fragt die App nach dem Anlegen des Kontos (Abschnitt 10) und setzt diesen Eintrag nicht mehr; ein noch vorhandener wird beim nächsten Öffnen der App gelöscht.
• Sprachwahl der Rechtsseiten (localStorage, „gr-legal-lang"): merkt sich, ob Sie unsere Rechtsseiten auf Deutsch oder Englisch lesen möchten — diese Datenschutzerklärung, das Impressum, die Nutzungsbedingungen, das Meldeformular, die Widerrufs- und die Kündigungsseite und die Vereinbarung eines Raums („/<link>/agreement"). Der Wert („de" oder „en") wird erst gespeichert, wenn Sie aktiv auf den Sprachumschalter tippen, wird nie an einen Server übertragen und bleibt, bis Sie Ihren Browser-Speicher leeren.
• Erscheinungsbild (localStorage, „gr-theme"): merkt sich, ob Sie GhostRoom auf dem dunklen Raum-Hintergrund oder auf dem hellen Papier-Hintergrund ansehen möchten. Der Wert („room" oder „paper") wird erst gespeichert, wenn Sie die Einstellung aktiv umschalten, wird nie an einen Server übertragen und bleibt, bis Sie Ihren Browser-Speicher leeren.
• Raum-Bibliothek auf diesem Gerät (localStorage, „gr_host_rooms", „gr_joined_rooms", „gr_pending_draft"): speichert die Links der Räume, die Sie auf diesem Gerät angelegt oder besucht haben — einschließlich der darin enthaltenen Zugriffs-Tokens — und für Räume, die Sie selbst angelegt haben, deren zuletzt bekannte Einrichtung (etwa ob der Raum ein Sharing Circle ist, seinen schriftlichen Impuls und wie lange er aufbewahrt wird), damit Sie Ihre Räume unter „/account/rooms" wiederfinden und ein noch leerer Raumentwurf beim nächsten Besuch weiterverwendet wird. Diese Daten bleiben auf Ihrem Gerät; an unseren Server werden sie nur in zwei Fällen gesendet: wenn Sie den jeweiligen Raum öffnen (als dessen normaler Aufruf) und wenn Sie einen Raum in Ihrem Konto speichern (dabei wird sein Host-Token als Eigentumsnachweis übertragen). Sie bleiben, bis Sie Einträge in der Bibliothek entfernen oder Ihren Browser-Speicher leeren.
• Anzeige-Einstellungen und Hinweis-Merker (localStorage, „gr_viewer_prefs", „gr_signin_seen_<raum>", „gr_return_to"): merken sich je Raum Ihre Ansichtswahl (z. B. ausgeblendete Kacheln oder Ihr ausgeblendetes Selbstbild) und — bis zum 14. Oktober 2026 — dass ein Hinweis bereits gezeigt wurde („gr_signin_seen_<raum>"; seitdem nicht mehr gesetzt, ein noch vorhandener Eintrag wird beim nächsten Öffnen des Raums gelöscht); diese gespeicherten Werte werden nie an einen Server übertragen. (Ob ein Besuch den Floor-Modus oder das ausgeblendete Selbstbild benutzt hat, meldet die App am Ende des Besuchs als Ja/Nein — Abschnitt 5 — ohne die Einstellungen selbst.) „gr_return_to" hält zusätzlich — nur während einer Anmeldung mit Weiterleitung — die Adresse des Raums fest, aus dem Sie kamen (einschließlich seines Zugriffs-Links); nach der Anmeldung wird diese Adresse als normaler Seitenaufruf an unseren Server gerichtet, um Sie in den Raum zurückzubringen, und der Eintrag wird entfernt.
• Nachweis für die Entfernung eigener Clips (localStorage, „gr_my_clips"): speichert je Raum, welche Clips von diesem Gerät aufgenommen wurden, zusammen mit dem zugehörigen Sitzungs-Token. Nur damit kann die App Ihnen im ⋯-Menü die Schaltfläche „meinen Clip entfernen" anbieten — Clips sind bewusst keinem Konto zugeordnet, weshalb dieses Gerät der einzige Ort ist, an dem der Nachweis liegen kann. Der Eintrag wird an unseren Server nur gesendet, wenn Sie die Entfernung tatsächlich auslösen. Er wird bewusst nicht nach einer festen Frist gelöscht: ein Raum lebt so lange, wie er genutzt wird, und ein automatisches Verfallsdatum würde Ihnen die Entfernungsmöglichkeit entziehen, während Ihr Clip noch läuft. Der Eintrag verschwindet, wenn Sie die Entfernung durchführen, wenn Sie Ihren Browser-Speicher leeren, oder wenn auf diesem Gerät sehr viele Räume zusammenkommen und die älteste Kennung der Speichergrenze weicht (200 Räume je Gerät, 50 Clips je Raum). Danach ist die Entfernung in der App nicht mehr möglich — schreiben Sie uns dann kurz (siehe Abschnitt 5). In einem Showcase-Raum (Abschnitt 4) merkt sich derselbe Eintrag zusätzlich, ob Sie die Frage nach der Anzeige auf ghostroom.video schon beantwortet haben und wie — bei einem Ja auch die Fassung des Textes, dem Sie zugestimmt haben —, damit die App Sie nicht erneut fragt und Ihnen den Widerruf anbieten kann. Außerdem merkt sich der Eintrag, ob Ihre Kameravorschau bei der Aufnahme gespiegelt war, damit Ihr eigener Clip auf diesem Gerät so abgespielt wird, wie Sie sich gesehen haben; alle anderen sehen das seitenrichtige Bild.
• Sitzungs-Speicher je Tab (sessionStorage, „gr_float_<raum>", „gr_debug"): hält Kachel-Positionen der laufenden Ansicht sowie — nur wenn Sie die App ausdrücklich mit „?debug=1" öffnen — einen Diagnose-Marker. Wird automatisch gelöscht, sobald der Tab geschlossen wird.
• Upload-Fortsetzungspunkt (localStorage, „tus::…"): Der Upload Ihres Clips läuft in Teilstücken, damit er nach einer Unterbrechung an der letzten bestätigten Stelle weiterlaufen kann statt von vorn. Dafür merkt sich Ihr Browser die Adresse des angefangenen Uploads, die Kennungen von Raum und Sitzung, die Dateigröße, das Videoformat, die Start- und Endzeit des Clips im Video sowie den Zeitpunkt, zu dem der Eintrag angelegt wurde. Der Upload beginnt schon während der Aufnahme (Abschnitt 4); der Eintrag wird erst angelegt, wenn die Aufnahme beendet ist. Zugangs-Tokens sind nicht enthalten: Ohne das Sitzungs-Token Ihres Geräts kann mit dieser Adresse nichts hochgeladen, gelesen oder gelöscht werden. Der Eintrag wird gelöscht, sobald der Upload abgeschlossen oder verworfen wird, spätestens jedoch beim nächsten Öffnen der App, wenn er älter als 48 Stunden ist.
• Upload-Zwischenspeicher (IndexedDB, „gr-pending-uploads"): Damit Ihr aufgenommener Clip nicht verloren geht, wenn der Upload unterbrochen wird (App geschlossen, Handy gesperrt, Verbindung weg), speichert Ihr Browser den Clip zusammen mit den Zugriffs-Tokens des Raums (und der Angabe, ob Ihre Kameravorschau gespiegelt war) lokal auf Ihrem Gerät und setzt den Upload beim nächsten Öffnen fort. Diese Daten verlassen Ihr Gerät nur als Teil des normalen Uploads an unseren Server (der schon während der Aufnahme beginnt, Abschnitt 4; dieser Zwischenspeicher selbst entsteht erst nach dem Ende der Aufnahme). Sie werden sofort nach erfolgreichem Upload oder Verwerfen gelöscht, spätestens jedoch nach 48 Stunden automatisch entfernt.

9. YouTube-Einbettung

Ein Raum kann als Hauptvideo ein YouTube-Video verwenden.

Vor Ihrer Einwilligung wird kein Kontakt zu Google hergestellt. Auf dem Startbildschirm eines solchen Raums zeigen wir lediglich ein Vorschaubild, das unser Server zuvor selbst abgerufen hat und von unserer eigenen Adresse ausliefert. Ihr Browser verbindet sich dabei nicht mit Google.

Erst wenn Sie den Raum betreten, wird der YouTube-Player geladen. Dabei werden Google-Adressen kontaktiert, darunter youtube-nocookie.com für den Player selbst und www.youtube.com für das dafür nötige Steuerprogramm; der Player lädt darüber hinaus Inhalte von weiteren Google-Servern (etwa Vorschaubilder und die Videodaten selbst). Google erhält dann Ihre IP-Adresse und Geräteinformationen und kann eigene Cookies oder vergleichbare Techniken einsetzen; wenn Sie in Ihrem Google-Konto eingeloggt sind, kann Google den Abruf Ihrem Konto zuordnen. Auf diese Verarbeitung durch Google haben wir keinen Einfluss.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten in die USA an Google LLC übertragen werden; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: https://policies.google.com/privacy.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie über den Hinweis beim Betreten eines Raums mit YouTube-Video erteilen. Räume mit selbst hochgeladenem Video binden keine Google-Dienste ein.

10. E-Mails und frühere Beta-Platzanfragen

Frühere Beta-Platzanfragen

Bis zum 29. September 2026 war der Beta-Test geschlossen, und auf der Startseite konnten Sie einen Platz darin anfragen. Seitdem stehen die Türen offen: Ein Konto legen Sie direkt selbst an, und seit dem 1. Oktober 2026 wird das Anfrage-Formular auf der Startseite nicht mehr angeboten. Seit dem 3. Oktober 2026 nehmen wir keine Anfragen mehr an: Eine Anfrage, die noch aus einer früher geöffneten Seite abgeschickt wird, wird weder gespeichert noch beantwortet. Für die bis dahin gestellten Anfragen gilt: Pflichtangabe war allein Ihre E-Mail-Adresse. Freiwillig waren Ihre Antwort auf „what do you hold?" (welche Art von Gruppe Sie halten, Mehrfachauswahl), das Datum Ihrer nächsten Sitzung („when's the next one?"), Ihr Freitext und ein Link (z. B. Profil oder Kanal); sie halfen uns, Ihren Einstieg zu begleiten, und das Datum, unsere Antwort zeitlich darauf abzustimmen. Zusätzlich haben wir Ihre IP-Adresse sowie zwei technische Merkmale der Übermittlung (ein für Sie unsichtbares Formularfeld und die Zeit, die das Formular geöffnet war) verarbeitet, um automatisierte Massenanfragen zu erkennen. Ihre Anfrage haben wir Ihnen per E-Mail bestätigt und zusätzlich an das Postfach des Verantwortlichen gesendet.

Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO); für die freiwilligen Angaben sowie für IP-Adresse und Spam-Erkennung unser berechtigtes Interesse an der Begleitung Ihres Einstiegs und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Ein täglicher Aufräumlauf entfernt die IP-Adresse nach 30 Tagen, das Datum Ihrer nächsten Sitzung 30 Tage, nachdem es verstrichen ist, Anfragen ohne Entscheidung nach 180 Tagen und als Spam erkannte Anfragen nach 7 Tagen. Weil dieser Lauf einmal am Tag prüft, sind das Regelfristen und keine auf die Stunde garantierten Höchstgrenzen. Die Kopie im Postfach des Verantwortlichen löschen wir im selben Zeitraum. Eine entschiedene Anfrage (Zusage oder Absage) behalten wir samt Entscheidung als Nachweis 180 Tage ab der Entscheidung; danach löscht der tägliche Aufräumlauf sie. Löschen Sie Ihr Konto, wird Ihre Anfrage dabei vollständig mitgelöscht — einschließlich E-Mail-Adresse, Antworten, Datum, Freitext und Link. Eine frühere Löschung können Sie jederzeit formlos verlangen.

E-Mails

Wir senden E-Mails über unseren E-Mail-Dienstleister hosting.de (siehe Abschnitt 13). Zwei Arten:

• Transaktions-E-Mails: Adressbestätigung, Anmeldelinks, Passwort-Zurücksetzung. Ohne diese funktioniert das Konto nicht (Art. 6 Abs. 1 lit. b DSGVO). Wurden Sie auf Ihre eigene frühere Platzanfrage hin eingeladen, erhalten Sie außerdem einmalig eine Begrüßung mit Ihrem persönlichen Anmeldelink — als Antwort auf diese Anfrage (Art. 6 Abs. 1 lit. b DSGVO).
• Beta-Programm-E-Mails: Nur wenn Sie zustimmen, schreiben wir Ihnen während der Beta-Phase eine kleine Zahl von Nachrichten — eine Begrüßung, eine Erinnerung, eine Bitte um Rückmeldung, eine Einladung zu einem kurzen Gespräch —, gesteuert danach, ob Sie die App schon genutzt haben. Ohne Zustimmung erhalten Sie keine davon — und auch mit Zustimmung erst, nachdem Sie Ihre E-Mail-Adresse bestätigt haben (beim Passwort-Konto über den Bestätigungslink), damit niemand eine fremde Adresse eintragen kann. Die App fragt Sie einmal, nachdem Ihr Konto angelegt ist („can tim write to you? — during the beta, tim may write you a few emails …"), mit zwei gleichrangigen Antworten, „not now" und „yes, write me", ohne Vorauswahl; außerdem können Sie jederzeit mit dem Schalter „beta emails" in Ihrem Konto zustimmen. Wir zeichnen die Zustimmung nur auf, wenn sie von Ihnen selbst als angemeldeter Person kommt — nie über einen Anmeldeweg; ein Anmeldelink allein kann keine Zustimmung auslösen. Antworten Sie „not now" (oder schließen Sie die Frage), vermerken wir den Zeitpunkt wie bei einer Abmeldung, damit die Frage nicht wiederkommt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 Abs. 2 Nr. 2 UWG). Zum Nachweis speichern wir den Zeitpunkt und die Fassung des Wortlauts, dem Sie zugestimmt haben. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — mit demselben Schalter in Ihrem Konto oder über den Abmeldelink in jeder dieser E-Mails; danach erhalten Sie nur noch Transaktions-E-Mails. Erneutes Zustimmen gilt als neue Einwilligung.

Einen darüber hinausgehenden Newsletter oder Werbe-E-Mails gibt es nicht.

11. Feedback

Wenn Sie uns über das Feedback-Formular schreiben, verarbeiten wir Ihre Nachricht, optional Ihre E-Mail-Adresse (nur wenn Sie eine Antwort möchten), eine grobe Bezeichnung des Bereichs, aus dem Sie schreiben (etwa „Raum" oder „Startseite" — nie der Link zu einem Raum), und die Browser-Kennung (User-Agent). Das Feedback wird bei uns gespeichert und zusätzlich an das Postfach des Verantwortlichen gemailt.

Rechtsgrundlage: Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise unser berechtigtes Interesse an der Verbesserung des Produkts (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Ein täglicher Aufräumlauf entfernt 90 Tage nach dem Absenden Ihre E-Mail-Adresse, die Bereichsangabe und die Verknüpfung zu Ihrem Konto aus dem Feedback — unabhängig davon, ob Sie ein Konto haben. Weil dieser Lauf einmal am Tag prüft, ist das eine Regelfrist und keine auf die Stunde garantierte Höchstgrenze. Haben Sie ein Konto und löschen es früher, werden diese Angaben schon dabei entfernt. Die Nachricht selbst behalten wir — dann ohne Bezug zu Ihnen —, weil ihr Inhalt in die Produktentwicklung einfließt; sie kann Angaben enthalten, die Sie selbst hineingeschrieben haben. Eine vollständige Löschung können Sie jederzeit formlos verlangen — wir löschen dann auch die Kopie im Postfach des Verantwortlichen.

Meldungen zu Inhalten (Melde- und Abhilfeverfahren nach Art. 16 DSA)

Wenn Sie uns über ghostroom.video/report einen Inhalt melden, verarbeiten wir: die gewählte Kategorie, Ihre Begründung (Freitext), die Angabe, wo sich der Inhalt befindet, Ihren Namen und Ihre E-Mail-Adresse, Ihre Erklärung in gutem Glauben sowie kurzzeitig Ihre IP-Adresse. Bei Meldungen zu Darstellungen sexuellen Missbrauchs von Kindern sind Name und E-Mail-Adresse nicht erforderlich (Art. 16 Abs. 2 lit. c DSA); Sie können in diesem Fall anonym melden.

Den Raum-Link speichern wir nicht. Er ist zugleich der Zugangsschlüssel zum Raum. Was Sie eingeben, wird deshalb sofort in eine interne Raumkennung aufgelöst und der Link selbst verworfen; gespeichert wird nur diese Kennung und die Art der aufgerufenen Seite. Lässt sich der Link nicht auflösen, speichern wir ihn ebenfalls nicht.

Rechtsgrundlage: Erfüllung unserer rechtlichen Verpflichtung aus Art. 16 DSA (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an der Abwehr missbräuchlicher Meldungen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Ein täglicher Aufräumlauf entfernt Ihre IP-Adresse 30 Tage nach der Meldung. Die Meldung selbst bewahren wir dauerhaft auf: Sie ist der Nachweis, dass wir unserer gesetzlichen Prüfpflicht nachgekommen sind, und enthält unsere Entscheidung und deren Begründung. Ihr Name und Ihre E-Mail-Adresse bleiben Teil dieses Nachweises, weil sie zur Meldung gehören und weil wir Ihnen unsere begründete Entscheidung mitteilen müssen (Art. 17 DSA). Eine Löschung können Sie jederzeit verlangen; wir prüfen dann, ob die Aufbewahrungspflicht im Einzelfall entgegensteht.

12. Server-Protokolle, Sicherheit und Statistiken

• Verbindungsdaten: Beim Aufruf der App verarbeitet der Server technisch bedingt Ihre IP-Adresse und Verbindungsdaten. Auf Ebene des Hosting-Systems (Reverse Proxy) können kurzlebige Zugriffsprotokolle anfallen; diese können auch die aufgerufene Adresse und damit den Link eines Raums enthalten. Wir verwenden sie ausschließlich für Betrieb, Fehlersuche und Sicherheit, werten sie nicht aus, um Räume oder Personen zuzuordnen, und sie werden automatisch rotiert.
• Anwendungsprotokolle: Die Anwendung selbst führt technische Protokolle über API-Zugriffe und Fehler. Sie enthalten Zeitstempel, HTTP-Methode und -Pfad, Statuscode, Bearbeitungsdauer und eine zufällig erzeugte Vorgangsnummer — keine IP-Adressen. Raum-Tokens, Anmeldelinks und andere Geheimnisse erscheinen darin nie; E-Mail-Adressen und Telefonnummern werden vor der Protokollierung maskiert. Diese Protokolle fallen kurzlebig auf dem Hosting-System an (automatische Rotation) und dienen ausschließlich Betrieb, Fehlersuche und Sicherheit.
• Missbrauchsschutz: Anmelde- und Codeanforderungen sind ratenbegrenzt; dafür wird Ihre IP-Adresse beziehungsweise die angefragte Adresse kurzzeitig in Zählern verarbeitet.
• Betriebskennzahlen: Für den Betrieb werten wir aggregierte Kennzahlen aus dem Produkt aus (etwa Anzahl der Räume oder Erfolgsquote von Uploads). Dabei kommen keine Cookies und kein Fingerprinting zum Einsatz. Ist ein Clip nach dem Ende der Aufnahme beim Server angekommen, meldet die App darüber einmalig einen groben Upload-Bericht: in festen Stufen, wie lange das Hochladen nach dem Ende der Aufnahme gedauert hat, wie lang der Clip ungefähr ist, wie schnell die Verbindung war, wie oft das Hochladen unterbrochen wurde, ob es von selbst, nach einem Tippen oder erst beim erneuten Öffnen des Raums weiterlief und wie viel der Aufnahme ungefähr schon beim Server war, als sie endete — ohne Verweis auf den Raum, die Sitzung, ein Konto oder die Aufnahme, und ohne genaue Zeiten oder Dateigrößen. Wird ein Raum gelöscht (Ablauf der Speicherfrist oder Löschung des Kontos, das ihn erstellt hat), der ein Hauptvideo erhalten hatte und von einem Konto mit Einladungs-Kennzeichnung (Kohorte, siehe oben) eröffnet wurde, behalten wir eine Zusammenfassung des Raums in Zahlen: Kennung des Raums, Kennung und Einladungs-Kennzeichnung des erstellenden Kontos, Zeitpunkt der Eröffnung, Länge des Hauptvideos, Anzahl der veröffentlichten Clips und Beiträge — keine Aufnahmen, keine Namen. Von allen anderen Räumen behalten wir nichts. Die Kontokennung darin wird mit der Löschung des Kontos entfernt; die Zusammenfassung wird nach der Frist für Nutzungsereignisse (Abschnitt 15) gelöscht.

Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung (Umami, selbst gehostet)

Um zu verstehen, welche Seiten der App und unserer Startseite aufgerufen werden, setzen wir auf beiden die Web-Analyse-Software Umami ein. Wir betreiben sie selbst auf eigenem Server in Deutschland (Domain „analytics.ki-katapult.de", betrieben vom selben Verantwortlichen wie diese Seite). Ihr Browser sendet die Messdaten also an eine andere Adresse als diese Seite, die wir aber selbst betreiben. Es handelt sich nicht um einen Analyse-Dienst eines dritten Unternehmens; Ihre Daten werden dafür an niemanden weitergegeben.

Bei einem Seitenaufruf werden verarbeitet:

• die Art der aufgerufenen Seite — nicht deren Adresse. Vor der Übertragung wird die Adresse einer festen Liste von Seitentypen zugeordnet (etwa „Startseite", „Raum", „Datenschutz"), und übertragen wird ausschließlich diese Bezeichnung. Raum-Links, Raum-Kennungen und alles hinter dem Fragezeichen erreichen die Statistik damit nie — auch nicht bei einem unvollständigen oder fehlerhaften Link,
• die verweisende Website — nur deren Adresse (etwa „example.com"), nicht die konkrete Unterseite und nichts hinter dem Fragezeichen. Verweise innerhalb unserer eigenen Seite werden genauso auf den Seitentyp reduziert,
• technisch bedingt Ihre IP-Adresse und die Browser-Kennung (User-Agent). Daraus leitet Umami Land, Browser, Betriebssystem und Gerätetyp ab sowie einen Erkennungswert, der regelmäßig neu gebildet wird und es erlaubt, Besuche zu zählen, ohne Sie dauerhaft wiederzuerkennen. Die IP-Adresse selbst wird nicht gespeichert, und dieser Wert entsteht auf dem Server, nicht auf Ihrem Gerät.

Öffnen Sie die App über „Come inside" auf der Startseite, wird zusätzlich je Aufruf einmal das Ereignis „come-inside" gezählt — ein fester Name mit denselben Angaben wie bei einem Seitenaufruf und nichts weiter. Ebenso zählt die Startseite, wenn Sie dort „Come inside" oder „Go pro" öffnen — per Tippen, Klick oder Tastatur —, welcher dieser Links es war (etwa „landing-cta-top" für den Link in der Kopfzeile) — wieder nur ein fester Name aus einer kurzen Liste, mit denselben Angaben wie ein Seitenaufruf.

Es werden keine Cookies gesetzt und keine Kennungen zu Ihrer Wiedererkennung auf Ihrem Gerät abgelegt; eine seitenübergreifende Wiedererkennung findet nicht statt. Weil dabei keine Informationen in Ihrer Endeinrichtung gespeichert und keine dort abgelegten Kennungen abgerufen werden, ist § 25 TDDDG auf diese Messung nicht anwendbar; deshalb gibt es kein Einwilligungsbanner. Die Messsoftware prüft lediglich, ob Sie auf diesem Gerät einen Widerspruch hinterlegt haben. Eine Zusammenführung mit Ihrem Konto findet nicht statt.

Rechtsgrundlage: unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung zum Verständnis und zur Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen. Weil die Messung bewusst mit keinem Konto verknüpft ist, gibt es bei uns nichts, woran wir einen Widerspruch festmachen könnten — er wird deshalb auf Ihrem Gerät hinterlegt und wirkt sofort:

Messung auf diesem Gerät abschalten

Dafür wird ein einzelner Merker („gr_analytics_off") in Ihrem Browser gespeichert; er wird nie an einen Server übertragen. Leeren Sie Ihren Browser-Speicher, müssen Sie ihn erneut setzen. Selbstverständlich können Sie sich zusätzlich formlos an den in Abschnitt 1 genannten Verantwortlichen wenden.

Speicherdauer: Für die Messdaten in Umami ist derzeit keine automatische Löschfrist eingerichtet; sie bleiben bis zu einer manuellen Löschung gespeichert. Eine feste Frist richten wir ein.

13. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an die folgenden Empfänger weiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting. Sämtliche Raum- und Kontodaten liegen auf Servern in Deutschland. Videodateien (Hauptvideos, Clips, Vorschaubilder) liegen zusätzlich in einem Objektspeicher von Hetzner in Falkenstein (Deutschland). Videos werden Ihrem Browser über kurzlebige, signierte Links direkt aus diesem Objektspeicher ausgeliefert — dabei erhält Hetzner als Betreiber technisch bedingt Ihre IP-Adresse und Browser-Kennung. Hetzner ist als Auftragsverarbeiter nach Art. 28 DSGVO gebunden.
• hosting.de GmbH, Franzstr. 51, 52064 Aachen, Deutschland: Versand unserer E-Mails (Auftragsverarbeiter). Verarbeitet Empfängeradresse und E-Mail-Inhalt.
• Telnyx LLC, Chicago, USA: nur wenn Sie die Anmeldung per SMS-Code nutzen. Telnyx erhält Ihre Telefonnummer, versendet den Code und prüft ihn (Auftragsverarbeiter). Zur Übermittlung in die USA siehe Abschnitt 14.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: nur wenn Sie eine Pro-Mitgliedschaft abschließen (Abschnitt 7). Stripe erhält Ihre E-Mail-Adresse und eine Kontokennung von uns und die Zahlungsangaben von Ihnen; als Zahlungsdienstleister ist Stripe für die Zahlungsabwicklung eigenständiger Verantwortlicher. Zur möglichen Übermittlung in die USA siehe Abschnitt 14.
• Google (Ireland Limited / Google LLC): nur wenn Sie die Google-Anmeldung nutzen oder einen Raum mit YouTube-Video betreten (Abschnitte 7 und 9). Google ist hier eigenständiger Verantwortlicher.
• Apple (Apple Distribution International Ltd., Cork, Irland / Apple Inc., USA): nur wenn Sie die Apple-Anmeldung nutzen (Abschnitt 7). Apple ist hier eigenständiger Verantwortlicher.
• Andere Raumteilnehmer: Ihre Clips sind, wie beschrieben, für alle Personen mit dem Raum-Link sichtbar.

14. Übermittlungen in Drittländer

Datenverarbeitung findet grundsätzlich in Deutschland statt. In die USA werden Daten nur in diesen Fällen übertragen:

• Telnyx (SMS-Anmeldung): Übermittlung Ihrer Telefonnummer in die USA, gestützt auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) beziehungsweise, soweit einschlägig, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.
• Google (Google-Anmeldung, YouTube): gestützt auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Google zertifiziert ist, im Fall von YouTube zudem nur mit Ihrer Einwilligung.
• Apple (Apple-Anmeldung): Vertragspartner ist die irische Apple-Gesellschaft; eine konzerninterne Übermittlung an Apple Inc. in den USA ist möglich, gestützt auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.
• Stripe (Pro-Mitgliedschaft): Vertragspartner ist die irische Stripe-Gesellschaft; eine konzerninterne Übermittlung an Stripe, LLC in den USA ist möglich, gestützt auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Stripe zertifiziert ist, sowie auf die Standardvertragsklauseln der EU-Kommission.

Eine Kopie der jeweiligen Garantien, insbesondere der Standardvertragsklauseln, erhalten Sie auf Anfrage unter tim@ki-katapult.de.

15. Speicherdauer im Überblick

• Räume, Clips, Einwilligungs- und Entfernungsnachweise: automatische Löschung nach Ablauf der Aufbewahrungsfrist des Raums — standardmäßig 30 Tage nach der letzten Aktivität, durch die raumerstellende Person zwischen 1 und 365 Tagen einstellbar, für einzelne Räume durch den Betreiber auch länger (bis 10 Jahre). Die geltende Frist und die verbleibende Zeit werden im Raum angezeigt.
• Widerrufene Clips: die Löschung unserer Kopie der Aufnahme wird sofort ausgelöst und so lange wiederholt, bis sie gelingt; ab diesem Moment ist der Clip bei uns ohnehin nicht mehr abrufbar, und Abschnitt 5 beschreibt den seltenen Fall, dass auch die Wiederholungen scheitern. Erhalten bleiben nur die in Abschnitt 5 aufgezählten Einträge, alle ohne Bild- und Tonmaterial; der Einwilligungs- und der Entfernungsnachweis darunter werden spätestens mit dem Raum gelöscht.
• Durch Moderation entfernte Clips: ab Entfernung nicht mehr sichtbar; die Originaldatei kann zur Missbrauchsaufklärung bis zur Löschung des Raums aufbewahrt werden (siehe Abschnitt 5).
• Anwesenheitsliste und Anwesenheitseinträge (Abschnitt 4): Sie überdauern den einzelnen Raum bewusst und werden zusammen mit der Reihe gelöscht, zu der sie gehören. Die Frist der Reihe läuft ab dem späteren der beiden Zeitpunkte „Reihe angelegt" und „letzter Raum dieser Reihe gelöscht" — standardmäßig 30 Tage, von der kursleitenden Person zwischen 1 und 365 Tagen einstellbar. Eine Reihe, in der nie ein Raum eröffnet wurde, wird entsprechend 30 Tage nach ihrer Anlage gelöscht. Ein täglicher Aufräumlauf führt das aus; auch das ist eine Regelfrist und keine auf die Stunde garantierte Höchstgrenze. Unabhängig davon kann die kursleitende Person einen einzelnen Eintrag jederzeit entfernen, und auf Ihre Nachricht hin entfernen wir ihn (Abschnitt 5).
• Vorlagen einer Reihe (Impuls, Worte vor dem Start, Bezeichnung für Teilnehmende): bis zur Löschung der Reihe (Frist wie bei der Anwesenheitsliste oben, auch ohne Liste) oder bis die kursleitende Person sie entfernt.
• Kontodaten: bis zur Löschung des Kontos.
• Anmelde-Tokens und SMS-Codes: gültig Minuten bis wenige Tage, je nach Zweck. Ein täglicher Aufräumlauf löscht den zugehörigen Eintrag — und damit die darin gespeicherte E-Mail-Adresse oder Telefonnummer — im ersten Lauf, der 7 Tage nach dem Verbrauchen beziehungsweise Ablaufen erfolgt. Weil dieser Lauf einmal am Tag prüft, ist das eine Regelfrist und keine auf die Stunde garantierte Höchstgrenze. Noch gültige Einträge bleiben bis zu ihrem Ablauf bestehen (ein Abmeldelink aus einer Beta-E-Mail gilt bis zu 180 Tage).
• Upload-Zwischenspeicher im Browser: bis zum erfolgreichen Upload, maximal 48 Stunden.
• Nicht abgeschlossene Uploads auf unserem Server: bis der Upload abgeschlossen ist; nie abgeschlossene werden gelöscht, sobald sie 72 Stunden unverändert geblieben sind (täglicher Aufräumlauf), bei einem Widerruf zusammen mit der übrigen Aufnahme (Abschnitt 5).
• Feedback: täglicher Aufräumlauf — E-Mail-Adresse, Bereichsangabe und Konto-Verknüpfung nach 90 Tagen, bei Konto-Inhaberinnen und -Inhabern spätestens mit der Kontolöschung. Die Nachricht selbst bleibt danach ohne Bezug zu Ihnen gespeichert — der Text kann Angaben enthalten, die Sie selbst hineingeschrieben haben (Abschnitt 11). Die Browser-Kennung wird nicht in unserer Datenbank gespeichert; sie steht nur in der E-Mail-Kopie im Postfach des Verantwortlichen.
• Frühere Beta-Platzanfragen: täglicher Aufräumlauf — IP-Adresse nach 30 Tagen, Datum der nächsten Sitzung 30 Tage nach dem Datum selbst, unentschiedene Anfragen nach 180 Tagen, Spam nach 7 Tagen; entschiedene Anfragen 180 Tage nach der Entscheidung, längstens bis zur Löschung des zugehörigen Kontos (Abschnitt 10). Neue Anfragen nehmen wir seit dem 3. Oktober 2026 nicht mehr an.
• Meldungen zu Inhalten: täglicher Aufräumlauf — IP-Adresse nach 30 Tagen. Die Meldung selbst, einschließlich Name und E-Mail-Adresse der meldenden Person und unserer Entscheidung, bewahren wir als gesetzlichen Nachweis ohne feste Frist auf (Abschnitt 11).
• Reichweitenmessung: derzeit keine automatische Löschfrist (Abschnitt 12).
• Nutzungsereignisse: Die in Abschnitt 7 genannten Ereignisse bleiben mit Bezug zu Ihrem Konto gespeichert, solange Ihr Konto besteht. Mit der Löschung des Kontos wird die Verknüpfung zu Ihrer Person entfernt; der Eintrag verbleibt dann ohne Bezug zu Ihnen, kann aber weiterhin die Kennung des betroffenen Raums enthalten — auch dann, wenn der Raum selbst bereits gelöscht ist. Ein täglicher Aufräumlauf löscht jedes Ereignis im ersten Lauf, der 12 Monate nach seiner Entstehung erfolgt; auch das ist eine Regelfrist, keine auf die Stunde garantierte Höchstgrenze. Dieselbe Frist gilt für die Aufnahmeverlaufs-Einträge (Abschnitt 4) und die Raum-Zusammenfassungen in Zahlen (Abschnitt 12). Eine kürzere Frist prüfen wir nach Abschluss des Beta-Programms.
• Nachweise über Verwaltungs- und Systemvorgänge: Vorgänge außerhalb eines Raums (etwa das Anlegen eines Kontos durch den Verantwortlichen oder das Ändern einer Freischaltung) protokollieren wir als Nachweis unserer Rechenschaftspflicht ohne feste Frist. Sie enthalten keine Klardaten wie Namen, E-Mail-Adressen oder Telefonnummern, sondern nur interne Kennungen — die des betroffenen Kontos und die des handelnden Administrators. Nach Löschung des jeweiligen Kontos verweist die Kennung auf keinen bei uns vorhandenen Datensatz mehr. Raumbezogene Nachweise werden mit dem Raum gelöscht.

16. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte aus der DSGVO:

• Auskunft über Ihre gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21),
• jederzeitiger Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3), zum Beispiel die Entfernung Ihres Clips (Abschnitt 5).

Dafür genügt eine formlose E-Mail an tim@ki-katapult.de. Ihren eigenen Clip können Sie außerdem jederzeit selbst entfernen — im Raum unter „⋯" → „meinen Clip entfernen" (Abschnitt 5) —, und Ihr Konto können Sie jederzeit selbst löschen — direkt in der App unter „Konto". Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für den Verantwortlichen ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow; Sie können sich aber auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

17. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Einzelfall und kein Profiling im Sinne von Art. 22 DSGVO statt.

18. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne Kamera- und Mikrofonfreigabe können Sie einem Raum allerdings nicht als aufnehmender Teilnehmer beitreten, und ohne E-Mail-Adresse oder Telefonnummer kein Konto anlegen.

19. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 27. Oktober 2026

Privacy Policy

GhostRoom is a video room: one person places a main video in a room, friends open the link and record themselves with camera and microphone while they watch. The recordings play back together with the main video. This privacy policy explains which personal data this GhostRoom instance processes in the course of that, why, for how long, and what rights you have.

1. Controller

The controller responsible for data processing on this GhostRoom instance is:

• Tim Neunzig
• Alpenstr. 13
• 14542 Werder (Havel), Germany
• Email: tim@ki-katapult.de

No data protection officer has been appointed; there is no legal obligation to do so. For all questions about data protection, you can reach the controller at the email address given above.

Please note: This policy applies exclusively to this instance, operated by the controller named above.

2. The Essentials at a Glance

• Anyone who joins a room records themselves in doing so — for the whole time they are in the room. There is no watching without a running camera, not even for the person who created the room. No recording starts without your explicit consent on the welcome screen.
• Your recording is normally visible to everyone who has the link to that room. In a showcase room it can also appear publicly on ghostroom.video, but only after your separate explicit consent (Section 4).
• Rooms and all their recordings are deleted automatically — by default 30 days after the last activity. The room's creator can set a period between 1 and 365 days for their room; the applicable period and the time remaining are shown in the room. This is a sliding window, not a fixed date: every new clip restarts it.
• We do not transcribe recordings and do not analyse what is said or shown. Recordings are stored in Germany and never leave servers in the EU (Sections 13 and 14). Every room has its own page saying exactly that in plain words — the agreement (Section 4).
• There are no advertising cookies, no profiling for advertising purposes, and no cross-site tracking. For audience measurement we run our own cookieless statistics on our own server (Section 12). Fonts are served from our own server.
• In rooms that use a YouTube video as the main video, data is transferred to Google (details in Section 9).

3. Legal Bases

We process personal data only where one of the following legal bases under the GDPR applies:

• Consent (Art. 6(1)(a) GDPR): for your camera and microphone recording in the room, for the YouTube embed, and — if you agreed to them — for the beta program emails (Section 10).
• Contract or user relationship (Art. 6(1)(b) GDPR): for your user account, sign-in, and providing the rooms you create or use.
• Legitimate interest (Art. 6(1)(f) GDPR): for secure technical operation, preventing abuse, cookieless audience measurement (Section 12), and being able to demonstrate consents and removals.
• Legal obligation (Art. 6(1)(c) GDPR): insofar as we must be able to demonstrate consent (Art. 7(1) GDPR).

For storing information on your device (cookies, local browser storage), § 25 TDDDG (the German Telecommunications Digital Services Data Protection Act) additionally applies. Whatever is strictly necessary for the service does not require consent (§ 25(2) no. 2 TDDDG); everything else only with your consent.

4. Room Recordings: Your Camera and Microphone Clips

This is the core of GhostRoom. When you tap the join button in a room, the following happens:

• Already on the welcome screen, the browser requests camera and microphone permission in order to show you a local preview of your own image. This preview stays entirely on your device: nothing is transmitted and nothing is stored. Recording and uploading begin only after you tap the join button.
• The recording runs the whole time you are in the room. There is no state in which you are inside the room without your camera recording — this applies to everyone, including the person who created the room. The recording ends when the main video (in a sharing circle: the chain) ends or when you leave the room; "leave" is the only stop control. In both cases your clip is added to the room without any further step and stays there (for removal see Section 5). If the recording ends early for any other reason — for instance because the operating system claims the camera for a phone call — your visit to the room ends with it; what was recorded up to that moment stays in the room as your clip. Anyone who opens the room again starts a new recording. One exception, in your favour: if you pause the main video, the recording pauses with it and resumes when you do — nothing is captured while the room is paused, so your clip stays aligned with the video everyone else sees.
• Your clip (video and audio) is uploaded to our server and stored there.
• The upload already starts while you record. So that you do not wait long once it ends, your browser sends the recording to our server in pieces while it is still running. Until the recording ends, those pieces sit only in a non-public upload buffer on our server: they are not accessible through GhostRoom or the room link, and your clip joins the room only when the recording ends. If a recording ends without a clip (page closed mid-recording, recording cancelled or empty), the pieces are never used: for a cancelled or empty recording we try to delete them at once; whatever that does not delete — and everything from a page closed mid-recording — we delete once it has been unchanged for 72 hours (checked by a daily cleanup run, so at most about a day later). If you withdraw your consent, they are deleted together with the rest of the recording, as described in Section 5.
• The clips of all participants are played back together with the main video in the browsers of the room's participants.
• The person who created the room can download the room's videos — including your clip — as files to their device, and can have a combined keepsake video (a grid of all clips) generated from them. This applies only to clips whose consent already covered this notice. Keep in mind: downloaded copies live outside our system, so a later removal of your clip does not reach those copies.
• Your clip, together with the main video, is visible to everyone who has the link to that room. Keep in mind: anyone who shares the link also shares access to your recording.
• Optionally, you can enter a display name; it is shown alongside your clip.

Emoji reactions: anyone holding the room link can react with an emoji from a fixed set while watching — without a camera and without an account. For a reaction we store only the emoji chosen, the moment in the video, the clip reacted to where applicable, and the time it was sent — no information about the person reacting (no name, no identifier, no IP address). Reactions are visible to everyone holding the room link, are shown again at their place on every playback of the room, and are baked into any keepsake video (see above). They are deleted together with the room; reactions to a removed clip disappear from playback along with it. To limit abuse, the number of reactions is capped per room and per sending IP address; the IP address is processed only briefly in counters for this purpose (see Section 12) and is never stored with the reaction.

In addition, we store a record of consent for each recording: the time of your consent, the version of the consent text, the media types you approved (camera, microphone) and, if the room shows the facilitator's words before you begin, the number of the edition that was shown to you at that moment (not its wording, and nothing about whether you read it). We need this to be able to demonstrate your consent and which edition of the facilitator's words stood at the door.

Recording progress (practice completion): while your camera records, the app reports — about every 30 seconds, when you leave the page and when the recording stops — how far into the main video your recording has come. For this we store exactly one entry per recording with the room's identifier, your recording's identifier, the starting position and the furthest position reached — no image or audio data, no name, no IP address. The entry remains even if the recording was never uploaded or the room has already been deleted; we evaluate it only in aggregate (how much of the practice was done on average) and delete it after the retention period for usage events (Section 15). If you withdraw your consent (Section 5), we delete this entry together with the recording — it does not outlive your withdrawal, and the server accepts no further reports for that recording. In sharing-circle rooms we additionally note that your recording was offered the chance to add its own video and — if you do — which recording your video grew out of; again only as identifiers, only counted.

Sharing-circle rooms: the room's creator can run a room as a "sharing circle". The room then grows as a chain of contributions: the opening video plays first, then the participants' videos, one after another. Watching works exactly as described above — your camera records the whole time you are in the room: during the opening video and while you listen to the other participants' contributions alike. The room's creator can also give the room a written prompt (a question or request to everyone, at most 280 characters); it is stored with the room, shown to everyone holding the room link before they join and before their own contribution, and deleted together with the room. In such a room you can additionally make a second, deliberately started recording ("your video") that is appended to the chain and plays for everyone holding the room link; you start and stop it yourself, and nothing is appended before you stop the recording. Removal and withdrawal (Section 5) apply unchanged — the video is erased; only its duration and its position in the chain remain as a purely technical placeholder without any image or audio material, so the other contributions stay in sync.

The facilitator's words before you begin: the person who opened the room can give it a text of their own (at most 1200 characters). It is shown to everyone holding the room link at the door, before their recording starts, and also in the "what happens?" sheet and on the room's agreement page; in each place it stands as its own section under the heading "from your facilitator · before you begin", separate from our agreement. These are their words, not ours: what participants should know before the practice, such as how to prepare or which exercises are not for everyone. The text is neither part of your consent nor an agreement with us or with the facilitator. By joining you confirm or declare nothing in it; we ask no questions about it and store no answers, no tick and nothing you could type, only the running number of the edition that was shown to you when you joined (see the record of consent above). The text is stored with the room and deleted with it; if the facilitator changes it, the new edition replaces the old one, and only the number remains, not the earlier wording. A template for the next rooms of a series can be kept on the series; it is deleted with the series (Section 15). The text is never shown on the public front page, not even for a room featured there. We do not read or check this text. It is meant for everyone, is not to name anyone, and is not to say anything about a particular person's health; we tell the facilitator so while they write it. If it nevertheless says something about you, the person who wrote it is responsible for that; write to them or to us (Section 1, or the report page, Section 11) and we remove it. Legal basis: for storing and showing the text, providing the room to the facilitator (Art. 6(1)(b) GDPR); for the edition number in your record of consent, our legitimate interest and the facilitator's in being able to show which edition of their words stood at the door when you entered — the number, not the wording (Art. 6(1)(f) GDPR), as part of our accountability (Art. 5(2), Art. 7(1) GDPR).

A series' label for participants: if a room belongs to a series, the door shows which session it is ("week 3 of 4") and, beside it, a short label (at most 60 characters) the facilitator chooses for exactly this purpose. The title under which they keep the series in their account is not shown in the room and is not part of the room's link; it appears only on a practice document, if one is produced (see below). (Rooms opened from a series before this rule applied — October 2026 — may still carry words formed from the series title in their link and in their room identifier; that identifier also appears in the usage events, which are kept for up to 12 months, Section 15.) The label is treated like the words before you begin: their words, not checked by us, visible to everyone with the link, stored with the series and deleted with it. We advise them to name the rhythm and the place, not the subject and not a person.

Showing on ghostroom.video (showcase): the person who created a room can ask for that single room to be shown as a showcase room. In doing so they confirm, in a separate declaration, that they hold the rights to the main video and that they are the only identifiable person in it, or that every other identifiable or audible person explicitly agreed to the public display; we store which version of that declaration they confirmed, and when. The request reaches us by email at info@ghostroom.video — with the room id and their account's email address, never the room link or the room's title — and we look at every request: a room is shown only once we have approved it. Only in an approved room do we ask you, at the end of your recording, an additional and separate question: "this round may be shown on ghostroom.video". The default is no — without your explicit yes your recording is not shown there, and a no is not stored. If you say yes, our copy of your recording is retrievable on our public home page without a room link and without an account; it is then visible to anyone on the internet and can be copied or cached by third parties. This consent is separate from your consent to the room recording and can be withdrawn at any time (Section 5). For it we store the time of your yes, the version of the text you agreed to and, where applicable, the time of the withdrawal, plus a log entry about the granting or the withdrawal — the time, the room and a reference to your recording, without any image or audio material; it is deleted together with the room at the latest. The request to show a room, its withdrawal, our approval or refusal, and the end of the display are logged the same way. In a sharing-circle room a chain contribution appears on the public page in any case with its duration and its position as a purely technical placeholder without any image or audio material — even without your yes, so the other rounds stay in sync; without your yes it stays that placeholder and nothing more. A tile recording, by contrast, does not appear there at all without your yes. A yes you gave before we stored the version of the text (before 25 September 2026) is not shown; we ask you again instead. Legal basis: your consent (Art. 6(1)(a) GDPR); where your recording reveals information about your health, your beliefs or other special categories of personal data, your explicit consent to that as well (Art. 9(2)(a) GDPR), which the question expressly includes. For the main video: Art. 6(1)(a) GDPR insofar as the room's creator is the person concerned, and for special categories of their own data their explicit consent, which the declaration includes (Art. 9(2)(a) GDPR); where other people are identifiable, or special categories of data are included, we show it only if the room's creator has confirmed that those people explicitly consented (including under § 22 KUG and, where applicable, Art. 9(2)(a) GDPR). The request to show a room and the email to us: handling that request (Art. 6(1)(b) GDPR); our review of it: our legitimate interest in a reviewed, lawful front page (Art. 6(1)(f) GDPR).

Rooms with an attendance list: Someone running a series of sessions — a weekly class, a circle, a training group — can open their rooms with an attendance list. Only in such a room does the following happen, in addition to everything described above:

• At the door you see a list of first names and pick yours. If it isn't there, you add it yourself ("someone else"). The person running the series may have created that list before you ever opened the link.
• Everyone who has this room's link sees that list, the first names of the people currently in the room, and your first name on your tile. The name is therefore visible to exactly the same people as your recording.
• For each visit we keep an attendance entry: the first name you picked, which session of the series it was, from which point to which point of the main video your recording ran, and how long the main video was at that time. No picture or sound, no transcript, nothing about what your recording contains.
• That entry outlives the room. That is its purpose: at the end of a training, the person running it should still be able to say who was there and when, long after the videos are gone. It is deleted together with the series (section 15).
• From these entries the person running the series can print you a practice document: a page listing, by date, the sessions you attended, under the first name chosen at the door. We do not store that page and we do not send it; it is produced on request. It attests presence — that a recording ran while you were there — and states on its face that it is not a certificate and not proof of any examined achievement.
• We do not verify identity. Anyone with the link can pick any name on the list. The entry attests that somebody was in the room under that name — not that it was the person the name refers to. The practice document says so too.
• Whether a room keeps an attendance list is decided when the room is opened. It cannot be switched on afterwards: a room cannot start recording attendance after you have entered it — the consent text at the door tells you beforehand where you stand. The only movement in the other direction is the person running the series deleting the whole series: the list and the entries then disappear, and the room keeps no attendance list for the rest of its life. There is no case in which more is recorded about you than the text at the door said.

Who is responsible for what? For the list of first names and the attendance entries, the person running the series is the controller within the meaning of Art. 4(7) GDPR: they decide whether their rooms keep a list, who is on it, how long the series is retained, and what the document is used for. We process this data as their processor (Art. 28 GDPR) under a data processing agreement they enter into with us before switching the list on. We pass it to nobody outside this processing — not to advertisers, not to other facilitators, to no third party. Inside the room the first names are visible, to everyone holding the room link (see above); and our sub-processors for hosting and storage handle the data on our behalf (section 13). For your recording itself, it remains the case that you consent to us (see above); the position values in the attendance entry come from that recording and are disclosed to the person running the series on the basis of that consent.

What you can do: The person running the series can remove your entry from their series at any time. You can also contact the controller (section 1) and we will remove it. If you withdraw consent for your recording (section 5), we delete the recording in full; of the attendance entry, only the fact that you were there remains — the position values are deleted, so the entry no longer shows how much of the practice you took part in.

Legal basis: For entering your first name and for the attendance entry, the person running the series is the controller; they rely on their contract with you for the course (Art. 6(1)(b) GDPR) or on their legitimate interest in organising it (Art. 6(1)(f) GDPR), and they inform you about it themselves before entering your name. If the subject of the series allows conclusions about your health, they additionally process the entry on the basis of your explicit consent (Art. 9(2)(a) GDPR), which you give them by joining and which we obtain at the door on their behalf; the notice text says so explicitly. For your recording, your consent to us continues to apply (Art. 6(1)(a), where applicable Art. 9(2)(a) GDPR). The version of the notice text is stored as its own consent version ("2026-09-02-roster" or "2026-09-02-circle-roster"), and in such a room the server accepts no other version.

The notice is layered: at the door there is one sentence naming the attendance list and the record, beside it a short sheet ("what happens?") with a summary, and behind that the room's full agreement under the room link with "/agreement" appended. There — and here — the additional sentences for a room with an attendance list read:

the name you pick, and what it records

• this room keeps a record of who was here. the person who opened it wrote down a list of first names; at the door you pick yours, or add it if it isn't there.
• what the record holds: the first name you picked, which sessions of this series you were in, and roughly how much of each practice you were present for. no video, no transcript, nothing about what you said or did.
• the list and the record belong to the person who opened the room, not to us. we keep them on their behalf for as long as their series runs, and delete them with it.
• everyone who has the link sees the list of first names, the names of the people already in the room, and your name on your tile while you are here.
• your name may have been on the list before you ever opened the link, because the person running this put it there. and we do not check that the name you pick is yours. nobody is asked for proof.
• in a series whose subject says something about your health (breathwork, bodywork, trauma work), the bare entry that you were here is itself information about your health. by joining, you explicitly agree that the person who opened the room keeps that entry.
• the room is an offer, not a condition. the person running it has promised us that you can do their course without being recorded. if that is not so, write to us.
• you may be handed a practice document afterwards: a page listing, by date, the sessions you were in, under the name chosen at the door. it attests presence (that a recording ran while you were here), and it says on its face that it is not a certificate and that we verified nobody's identity.
• the person who opened the room can take your record out of their series at any time. so can you. write to tim@ki-katapult.de and we remove it.

Legal basis: your consent (Art. 6(1)(a) GDPR), which you give by tapping the join button after the notice text. The record of consent is based on Art. 6(1)(c) in conjunction with Art. 7(1) GDPR.

An important note: record only yourself. If other people appear in your video or audio, you are responsible for obtaining their consent.

Special categories of personal data: what you say or show in a room may contain special categories within the meaning of Art. 9 GDPR — for instance information about your health in a breathwork or movement-practice room, or personal disclosures in a sharing-circle turn. We do not analyse such content (see the agreement below); insofar as it is contained in your recording, the legal basis is your explicit consent (Art. 9(2)(a) GDPR), which you give by tapping the join button after the notice text.

The room's agreement

Every room has its own page saying, in plain words, what the room does with a recording — reachable under the room link with the suffix "/agreement", and behind the same access protection as the room itself (Section 6): without the link (and the password, if one is set) the page gives no indication whatsoever that the room exists. It shows that room's retention window and the time remaining. The same sentences appear here and in our record of processing activities; the door shows the short consent pledge, and the "what happens?" sheet summarises them. For a room on the default window they read:

who can see it

• people who have this room's link (and its password, if one is set). nobody else.
• there's no directory and no search. without the full link, nobody can open the room or even tell that it exists.
• one exception: a room's creator can ask for their room to be shown on ghostroom.video, our front page, and nothing is shown until we approve it. you'd be asked about that separately, and your clip only appears there if you say yes.
• if someone passes the link on, they pass the room on. that's the one thing we can't guard against for you.

how long our copy stays

• 30 days after the room's last activity (the default; the room's creator can set anything from 1 to 365 days). it's a window, not a date: every new clip restarts it. a room people still use stays, and a room that has gone quiet goes.
• the room shows the time left in its ⋯ menu.
• when the window runs out, we delete our copy: the video, every clip, the room itself and the consent record we kept for it. nothing stays on our servers forever.

taking yours back

• any time, and you don't need anyone's permission. on the device you recorded on, open the ⋯ menu and remove your clip. if you're on another device, or you've cleared your browser, write to tim@ki-katapult.de and we'll do the same thing by hand.
• our copy is deleted, not hidden. nobody else's tile moves, and the room carries on without you.
• outside our reach: a copy the room's creator saved to their own device before you withdrew, in rooms where saving exists at all (never in a sharing circle). we can't pull that back, and we'd rather tell you so.

what we never do

• we don't transcribe recordings. we don't analyse what is said or shown. the only thing our software checks in a recording is whether the picture is black, so it can warn you about a broken camera.
• your recording is stored in germany and never leaves servers in the eu. (if the room's video is on youtube, google's player runs on your device and receives your ip address. that concerns the video you watch, not your recording.)
• we don't show ads, build profiles or track you across other sites.

5. Removing Clips and Withdrawing Consent

You can withdraw your consent at any time and request the removal of your clip. The fastest way is in the app itself: inside the room under "⋯" → "remove my clip", or — once you have left the room — right on the closing screen ("remove my clip · our copy"). Alternatively, an email to the controller is enough. We want to be straightforward with you about how removal works technically:

• Your clip disappears from the room's playback immediately. For other people who currently have the room open, the tile disappears with their next refresh (a few seconds).
• On withdrawal our copy of the recording is deleted, not merely hidden: deletion of the video file is triggered immediately. Should a storage service involved be temporarily unreachable, the deletion is retried automatically until it succeeds; in the worst case — if the retries fail too — the file remains on storage with no reference and no way to retrieve it, until the room is deleted automatically (after the room's applicable retention period has run out — by default 30 days after its last activity, settable by the room's creator between 1 and 365 days, and for individual rooms longer via the operator). From the moment of withdrawal your clip is in no case retrievable from us any more. The same applies if you declare the withdrawal by email — we then carry out the same deletion.
• Together with your clip we delete any already-produced full recording of the room, because it contains your image; the room's creator can produce it again without your clip. A full recording that happens to be rendering at the moment of your withdrawal is discarded and re-produced without your clip.
• Only the following entries remain, all without image or audio material: the record that consent was given and withdrawn (with the version of the consent text and, where applicable, the edition number of the facilitator's words, Section 4); a log entry about the removal (both are deleted with the room at the latest); this session's usage events (that the entry page was seen and the room was entered, each with whether the door showed the facilitator's words, and — in a sharing circle — the question about your own contribution was reached; that your clip finished uploading; that an interrupted upload was resumed, or a clip left stranded on your device was given up; that processing the clip failed; how your visit ended — left, ended by the room and why, whether the page was in the background at that moment, whether the screen was kept awake, and whether the visit used floor mode or the hidden self-view), which stay linked to your session identifier and are deleted once the event retention period runs out (Section 15); the room's summary figure, in which your clip continues to be counted as one of the room's published clips (a bare number, with no reference to you); the coarse upload report from Section 12, if your clip had reached the server before the withdrawal — it refers neither to you nor to the room or the session; and a purely statistical counter entry that a clip was withdrawn. The progress entry for your recording, by contrast, is deleted together with the recording (Section 4). The statistical counter entry outlives the deletion of the room. It contains neither your name nor your IP address, no content, no reference to your account, no reference to your clip and no reference to the room — only the point in time and whether a video was present. It serves solely accountability towards the supervisory authority and product statistics (Art. 6(1)(f) GDPR in conjunction with Art. 5(2) GDPR).
• The button in the app is available only on the device the clip was recorded with (see "gr_my_clips" in Section 8) — clips are deliberately not linked to any account. If you have cleared your browser storage or switched devices, just write to us and we will remove the clip for you, with the same result.
• If the room's creator, or we ourselves, remove a clip (e.g. after a report), that is not a withdrawal but moderation: the clip disappears from playback immediately, the original file may be retained for a limited time for accountability and abuse investigation, and it is permanently deleted when the room itself is automatically deleted at the latest — after the room's applicable retention period (Section 15). Your own withdrawal is unaffected by this and does delete the file.
• The consent to showing on ghostroom.video (Section 4) is withdrawn separately and just as easily: in the room under "⋯" → "show on ghostroom.video". Our copy then disappears from the public home page; inside the room your recording stays exactly where it was, and nobody else's tile moves. This too works only on the device that made the recording — otherwise just write to us. Copies third parties made from the public page are outside our reach.
• Copies that the room's creator already downloaded before your withdrawal live on their device and are therefore outside our reach — removal cannot recall them. Responsibility for handling such copies lies with the person who downloaded them.
• In a room with an attendance list (section 4) your attendance entry remains as a fact, but is stripped: what stays is the first name chosen at the door and the fact that you were there for that session. The position values are deleted — the entry then no longer shows how much of the practice you took part in, and a practice document lists that session only as "present, no detail". The entry is explicitly marked as "recording taken back". The remaining entry does not rest on your consent to us but on the legal basis of the person running the series for their course organisation (section 4); that is why it does not fall away with the withdrawal of the recording — and it can be removed separately at any time. This is a deliberate departure from the recording itself, which is deleted in full: the fact of attendance belongs to the course organisation of the person running the series, and is the reason the series exists at all. If you want that fact removed too, a message to them or to us (section 1) is enough — we then delete the entry entirely.

Legal basis for this limited continued retention: our legitimate interest in accountability and abuse prevention (Art. 6(1)(f) GDPR) and the accountability obligations under Art. 5(2) and Art. 7(1) GDPR. Withdrawal does not affect the lawfulness of processing carried out before the withdrawal (Art. 7(3) GDPR).

6. Rooms, Links, and Access Protection

Access to a room lies entirely in its link: it contains a long, unguessable access token. Without a valid token, the server gives no indication whatsoever that a room even exists. Room tokens do not appear in the logs of our application (for logs at the hosting-system level, see Section 12). There is no public directory of rooms and no search function.

One deliberate exception is the showcase room (Section 4): if the room's creator has asked for it and we have approved the room, that room's main video and exactly those recordings whose contributor explicitly said yes are retrievable through a separate public interface with no token. For every other room, and for every recording without that yes, this interface answers as it would for a room that does not exist. The mark changes nothing about access to the room itself — link, token, password.

The room's creator can additionally set an optional room password for their room. It acts as a second factor on top of the link: without the correct password, the service behaves exactly as if the room did not exist. We store the room password only as a cryptographic hash (scrypt), never in plain text; it appears in no server response and no logs, and wrong attempts are rate-limited. Setting or changing the password rotates the room's access token — older links with an embedded token and already-open sessions lose access; short-lived media links already issued may, for technical reasons, remain playable for a few hours before they expire.

Legal basis: provision of the service (Art. 6(1)(b) GDPR) and our legitimate interest in secure operation (Art. 6(1)(f) GDPR).

7. User Account and Sign-In

You do not need an account to watch or take part in a room. An account is for creating and managing your own rooms. Depending on the sign-in method you choose, we process:

• Email and password: your email address and a cryptographic hash of your password (the password itself is never stored). To confirm your address and for password resets, we send you links by email; these are short-lived.
• Sign-in link by email (magic link): your email address and a short-lived sign-in token.
• Phone number with SMS code: your phone number. Sending and verifying the code is handled by the service provider Telnyx (see Section 13); the code itself is not stored with us in this flow.
• Google sign-in: if you actively choose "Sign in with Google", we receive from Google your Google account identifier, your email address, its verification status, and your name. In the process, data (such as your IP address) is transferred to Google. Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland; data may be transferred to Google LLC in the USA. We use only the sign-in function, no Google tracking.
• Apple sign-in ("Sign in with Apple"): if you actively choose it, we receive from Apple an Apple account identifier, your email address (at your choice, as an anonymised relay address provided by Apple) and its verification status; on first sign-in also your name, if you share it. In the process, data (such as your IP address) is transferred to Apple. Provider: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland; data may be transferred to Apple Inc. in the USA. We use only the sign-in function.
• Two-factor authentication (optional): if you enable it, we store the shared secret required for it (TOTP secret).
• Notification about new clips: if you have opened a room and somebody leaves a clip in it, we send a short email to your account address ("4 new clips in …"). It is batched once an hour, so four clips do not become four emails, and it carries only the count, your room's title and a link to your rooms page — no participant names and no room key. Every one of these emails carries an unsubscribe link, and you can switch them off at any time under "Account". We store that such an email was sent (when, which room, how many) — not its contents. Legal basis: performance of the user relationship (Art. 6(1)(b) GDPR).

In addition, we store with your account your display name (optional), timestamps, and individual usage events (for example "first login", "room created", "feedback sent"), which we use to run the beta program (see Sections 10 and 15). If your account was created as part of an invitation, we also store an invitation marker (cohort) — such as "facilitator-2026-08" — and link your beta request (Section 10) to the account. We use this, only in aggregate, to evaluate whether the rooms of the people invited this way are used; the marker says nothing about you personally.

Legal basis: performance of the user relationship (Art. 6(1)(b) GDPR); for the security mechanisms (rate limiting, token hashing), our legitimate interest (Art. 6(1)(f) GDPR).

Retention period: for as long as your account exists. You can delete your account yourself at any time in the app under "Account"; alternatively, an informal email to the controller is sufficient.

Pro Membership and Payment (Stripe)

You take out a pro membership (terms, section 12) through our payment provider Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland). The payment page is Stripe's page: what you enter there — payment method, card details, billing address — never reaches us; Stripe processes it as a payment service provider under its own privacy policy (stripe.com/privacy) and sets its own cookies there.

When you start a payment we hand Stripe your email address and an account identifier so the payment can be matched to your account; from Stripe we receive a customer identifier and a subscription identifier, the subscription's status (active, cancelled, payment pending) and the end of the paid period. We store these on your account to switch the pro features on and off again. We also record when you confirmed which version of the checkbox shown before payment (your express request that the membership start at once), and which payment notifications Stripe delivered to us (only their identifier and type, not their content).

Legal basis: performance of the pro membership contract (Art. 6(1)(b) GDPR); for keeping invoice data, our obligations under tax law (Art. 6(1)(c) GDPR, § 147 AO). Retention: the customer and subscription identifiers until your account is deleted — at which point we cancel a running subscription and have the customer record at Stripe deleted; We keep invoices and vouchers for ten years under § 147 AO. The record of your checkbox stays as long as the account; the list of payment notifications, 30 days.

Withdrawal and Cancellation through Our Online Functions

When you use the withdrawal function ("Withdraw from contract", § 356a BGB) or the cancellation button ("Cancel contracts here", § 312k BGB) on ghostroom.video — neither needs a sign-in — we process the details you enter (name, email address, contract designation, type and requested effective date of the cancellation or withdrawal, reason and note where given) together with the date, time, IP address and browser identifier of the submission. Purposes: receiving and executing your declaration, matching it to your membership at Stripe (an ordinary cancellation ends the subscription on the date named; after a withdrawal it no longer renews, and we refund), sending the legally required acknowledgement to the email address you gave, notifying our mailbox, and protecting you against declarations made in your name by third parties. Whether a membership exists under an address is learnt only by that address's mailbox, never by the person at the form. Legal bases: Art. 6(1)(b) GDPR (performance and termination of the contract), Art. 6(1)(c) GDPR together with §§ 312k(4), 356a(4) BGB and § 147 AO, and for the IP address and browser identifier Art. 6(1)(f) GDPR (defence against declarations made in someone else's name). Recipients: our email provider (section 13) and Stripe (subscription status). Retention: we keep the declaration and our acknowledgement as business correspondence for six years from the end of the calendar year of receipt (§ 147(1) nos. 2 and 3, (3), (4) AO) — even if you delete your account before then; the link to the account ends with the account's deletion. IP address and browser identifier are deleted after twelve months. Refund records fall under the eight-year period for accounting vouchers.

8. Cookies and Local Browser Storage

This instance sets no advertising, tracking, or analytics cookies. Only storage that is strictly technically necessary is used, for which no consent is required under § 25(2) no. 2 TDDDG:

• Session cookie ("gr_session"): keeps you signed in after logging in. It contains only a random session identifier (no plaintext data), is protected against script access (HttpOnly), and expires after 30 days. It is not set unless you sign in to an account.
• Sign-in protection cookies ("gr_oauth_state", "gr_oauth_state_apple", "gr_oauth_native", "gr_oauth_native_apple"): are set only during a sign-in via Google or Apple, for a maximum of 10 minutes, and protect the sign-in process against forgery. Because Apple returns the sign-in to us by form submission, the Apple cookie must technically also be sent on a request coming from Apple's site (SameSite=None); it is transmitted over HTTPS only, is protected against script access, and contains nothing but a random value used for matching.
• Sign-in keys in the apps (localStorage "gr_native_verifier"; sessionStorage "gr_native_oauth_handled", "gr_native_oauth_launch_handled"): in the iOS and Android app, a short-lived random value is stored on the device during a Google or Apple sign-in, used to verify the completion of that sign-in; the return address of the sign-in is also noted so the same step is not carried out twice. These are no longer needed once you are signed in; the session-storage notes disappear when the tab is closed.
• Objection to audience measurement (localStorage, "gr_analytics_off"): set only when you actively tap "Switch measurement off on this device" in Section 12, and switches the measurement off on that device. Never transmitted to any server.
• Former tick for the beta program emails (localStorage, "gr_beta_mails_intent"): set until 14 October 2026 when you ticked the box on the sign-in page and then signed in by email link, Google or Apple. Since then the app asks once your account exists (Section 10) and no longer sets this entry; one still held is deleted the next time the app is opened.
• Legal-page language choice (localStorage, "gr-legal-lang"): remembers whether you prefer to read our legal pages in German or English — this privacy policy, the Impressum, the Terms of Use, the reporting form, the withdrawal and the cancellation page, and a room's agreement page ("/<link>/agreement"). The value ("de" or "en") is stored only after you actively tap the language toggle, is never transmitted to any server, and remains until you clear your browser storage.
• Appearance (localStorage, "gr-theme"): remembers whether you prefer to view GhostRoom on the dark room background or the light paper one. The value ("room" or "paper") is stored only after you actively switch the setting, is never transmitted to any server, and remains until you clear your browser storage.
• Room library on this device (localStorage, "gr_host_rooms", "gr_joined_rooms", "gr_pending_draft"): stores the links of rooms you created or visited on this device — including the access tokens they contain — and, for rooms you created, their last-known setup (for example whether the room is a sharing circle, its written prompt, and how long it is kept), so you can find your rooms again under "/account/rooms" and a still-empty room draft is reused on your next visit. This data stays on your device; it is sent to our server in two cases only: when you open the respective room (as its normal request) and when you save a room to your account (its host token is transmitted as proof of ownership). It remains until you remove entries from the library or clear your browser storage.
• Display preferences and notice markers (localStorage, "gr_viewer_prefs", "gr_signin_seen_<room>", "gr_return_to"): remember, per room, your view choice (e.g. hidden tiles, or your own self-view hidden) and — until 14 October 2026 — that a notice has already been shown ("gr_signin_seen_<room>"; no longer set since then, and an entry still held is deleted the next time that room is opened); these stored values are never transmitted to any server. (Whether a visit used floor mode or the hidden self-view is reported by the app as a yes/no when the visit ends — Section 5 — never the settings themselves.) "gr_return_to" additionally holds — only during a sign-in with a redirect — the address of the room you came from (including its access link); after signing in, that address is requested from our server as a normal page load to take you back into the room, and the entry is removed.
• Proof for removing your own clips (localStorage, "gr_my_clips"): stores, per room, which clips were recorded on this device, together with the corresponding session token. It is the only thing that lets the app offer you the "remove my clip" action in the ⋯ menu — clips are deliberately not linked to any account, which is why this device is the only place that proof can live. The entry is sent to our server only when you actually trigger the removal. It is deliberately not deleted after any fixed period: a room lives for as long as it is used, and an automatic expiry would take the removal option away from you while your clip is still playing. The entry disappears when you carry out the removal, when you clear your browser storage, or when very many rooms accumulate on this device and the oldest identifier gives way to the storage limit (200 rooms per device, 50 clips per room). After that, removal is no longer possible in the app — just write to us then (see Section 5). In a showcase room (Section 4) the same entry additionally remembers whether you have already answered the question about showing on ghostroom.video, and how — for a yes, also the version of the text you agreed to — so the app does not ask you again and can offer you the withdrawal. The entry also remembers whether your camera preview was mirrored while you recorded, so that your own clip plays back on this device the way you saw yourself; everyone else sees the true, unmirrored image.
• Per-tab session storage (sessionStorage, "gr_float_<room>", "gr_debug"): holds tile positions of the current view and — only if you explicitly open the app with "?debug=1" — a diagnostics marker. Deleted automatically as soon as the tab is closed.
• Upload resume pointer (localStorage, "tus::…"): your clip is uploaded in chunks so that an interrupted upload can continue from the last confirmed position instead of starting over. To do that, your browser remembers the address of the upload in progress, the room and session identifiers, the file size, the video format, the clip's start and end position in the video, and the time the entry was created. The upload starts during the recording (Section 4); the entry is created only once the recording has ended. It contains no access tokens: without your device's session token, that address cannot be used to upload, read, or delete anything. The entry is deleted as soon as the upload completes or is discarded, and at the latest the next time you open the app if it is more than 48 hours old.
• Upload buffer (IndexedDB, "gr-pending-uploads"): so that your recorded clip is not lost if the upload is interrupted (app closed, phone locked, connection dropped), your browser stores the clip together with the room's access tokens (and whether your camera preview was mirrored) locally on your device and resumes the upload the next time you open the app. This data leaves your device only as part of the normal upload to our server (which already starts during the recording, Section 4; this buffer itself is created only after the recording has ended). It is deleted immediately after a successful upload or after you discard it, and in any case removed automatically after 48 hours at the latest.

9. YouTube Embed

A room can use a YouTube video as its main video.

Before you consent, no contact with Google is made. On the welcome screen of such a room we show only a preview image that our server fetched beforehand and serves from our own address. Your browser does not connect to Google at that point.

Only when you enter the room is the YouTube player loaded. Google addresses are then contacted, including youtube-nocookie.com for the player itself and www.youtube.com for the control script it requires; beyond that, the player loads content from further Google servers (such as preview images and the video data itself). Google then receives your IP address and device information and may use its own cookies or similar technologies; if you are signed in to your Google account, Google may associate the retrieval with your account. We have no influence over this processing by Google.

Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. Data may be transferred to Google LLC in the USA; Google is certified under the EU-US Data Privacy Framework. Further information: https://policies.google.com/privacy.

Legal basis: your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG), which you give via the notice when entering a room with a YouTube video. Rooms with a self-uploaded video do not embed any Google services.

10. Emails and Earlier Beta Seat Requests

Earlier beta seat requests

Until 29 September 2026 the beta was closed, and on the landing page you could request a seat in it. Since then the doors are open: you create an account yourself, and since 1 October 2026 the request form is no longer offered on the landing page. Since 3 October 2026 we no longer accept requests: a request still sent from a page opened earlier is neither stored nor answered. For the requests made before then: your email address was the only required field. Your answer to "what do you hold?" (the kind of group you hold, multi-select), the date of your next session ("when's the next one?"), your free text, and a link (e.g. a profile or channel) were optional; they helped us support your start, and the date helped us time our reply. In addition we processed your IP address and two technical characteristics of the submission (a form field invisible to you, and how long the form was open) in order to detect automated bulk submissions. We confirmed your request to you by email and additionally sent it to the controller's mailbox.

Legal basis: steps taken at your request prior to entering into a contract (Art. 6(1)(b) GDPR); for the optional details as well as the IP address and spam detection, our legitimate interest in supporting your start and preventing abuse (Art. 6(1)(f) GDPR).

Retention period: a daily cleanup run removes the IP address after 30 days, the date of your next session 30 days after that date has passed, undecided requests after 180 days, and requests identified as spam after 7 days. Because that run checks once a day, these are regular periods rather than maxima guaranteed to the hour. We delete the copy in the controller's mailbox within the same period. A decided request (accepted or declined) is kept together with the decision as evidence for 180 days from the decision; after that the daily cleanup run deletes it. If you delete your account, your request is deleted along with it — email address, answers, date, free text and link included. You may request earlier deletion informally at any time.

Emails

We send emails via our email service provider hosting.de (see Section 13). Two kinds:

• Transactional emails: address confirmation, sign-in links, password resets. Without these, the account does not work (Art. 6(1)(b) GDPR). If you were invited in answer to your own earlier seat request, you also receive a one-time welcome carrying your personal sign-in link — as the answer to that request (Art. 6(1)(b) GDPR).
• Beta program emails: only if you consent do we write to you a small number of messages during the beta — a welcome, a reminder, a request for feedback, an invitation to a short conversation — triggered by whether you have already used the app. Without consent you receive none of them — and even with consent only once you have confirmed your email address (for a password account, through the confirmation link), so that nobody can sign up someone else's address. The app asks you once, after your account has been created ("can tim write to you? — during the beta, tim may write you a few emails …"), with two equal answers, "not now" and "yes, write me", and nothing preselected; you can also consent at any time with the "beta emails" switch in your account. We record the consent only when it comes from you as a signed-in person — never through a sign-in route; a sign-in link on its own can never give consent. If you answer "not now" (or close the question), we note the time as we would an unsubscribe, so the question does not come back. The legal basis is your consent (Art. 6(1)(a) GDPR; § 7(2) no. 2 UWG). As proof we store when you consented and which version of the wording you agreed to. You can withdraw your consent at any time with effect for the future — with the same switch in your account or through the unsubscribe link in each of these emails; after that you receive transactional emails only. Consenting again counts as a new consent.

There is no newsletter or advertising email beyond this.

11. Feedback

If you write to us via the feedback form, we process your message, optionally your email address (only if you want a reply), a coarse label for the area you are writing from (such as "room" or "landing page" — never the link to a room), and the browser identifier (user agent). The feedback is stored with us and additionally emailed to the controller's mailbox.

Legal basis: handling your request (Art. 6(1)(b) GDPR) or our legitimate interest in improving the product (Art. 6(1)(f) GDPR).

Retention period: a daily cleanup run removes your email address, the area indication and the link to your account from the feedback 90 days after you sent it — whether or not you have an account. Because that run checks once a day, this is a regular period rather than a maximum guaranteed to the hour. If you have an account and delete it sooner, those details go with it. We keep the message itself — with no reference to you from then on — because its content feeds into product development; it may contain information you wrote into it yourself. You may request full deletion informally at any time — we then also delete the copy in the controller's mailbox.

Content Reports (Notice-and-Action under Art. 16 DSA)

If you report content to us via ghostroom.video/report, we process: the category you chose, your explanation (free text), your indication of where the content is, your name and email address, your good-faith declaration, and briefly your IP address. For reports concerning child sexual abuse material, name and email address are not required (Art. 16(2)(c) DSA); you may report anonymously in that case.

We do not store the room link. It doubles as the access key to the room. What you enter is therefore resolved immediately into an internal room identifier and the link itself is discarded; only that identifier and the kind of page are stored. If the link cannot be resolved, we do not store it either.

Legal basis: compliance with our legal obligation under Art. 16 DSA (Art. 6(1)(c) GDPR), and our legitimate interest in preventing abusive reports (Art. 6(1)(f) GDPR).

Retention period: a daily cleanup run removes your IP address 30 days after the report. We keep the report itself permanently: it is the evidence that we met our statutory review obligation, and it contains our decision and the reasons for it. Your name and email address remain part of that record, because they belong to the report and because we must communicate our reasoned decision to you (Art. 17 DSA). You may request deletion at any time; we will then examine whether the retention obligation stands in the way in your particular case.

12. Server Logs, Security, and Statistics

• Connection data: when you access the app, the server necessarily processes your IP address and connection data for technical reasons. At the hosting-system level (reverse proxy), short-lived access logs may arise; these can also contain the address requested and therefore the link to a room. We use them exclusively for operation, troubleshooting, and security, do not evaluate them to attribute rooms or people, and they are rotated automatically.
• Application logs: the application itself keeps technical logs of API accesses and errors. They contain timestamps, HTTP method and path, status code, processing duration, and a randomly generated request identifier — no IP addresses. Room tokens, sign-in links, and other secrets never appear in them; email addresses and phone numbers are masked before logging. These logs arise short-lived on the hosting system (automatic rotation) and serve exclusively operation, troubleshooting, and security.
• Abuse protection: sign-in and code requests are rate-limited; for this purpose, your IP address or the requested address is processed briefly in counters.
• Operational metrics: for operations we evaluate aggregated metrics from the product (such as the number of rooms or the success rate of uploads). No cookies and no fingerprinting are used for this. Once a clip has reached the server after the recording ended, the app sends one coarse upload report about it: in fixed steps, how long the upload took after the recording ended, roughly how long the clip is, how fast the connection was, how often the upload was interrupted, whether it carried on by itself, after a tap or only when the room was opened again, and roughly how much of the recording was already on the server when it ended — with no reference to the room, the session, an account or the recording, and no exact times or file sizes. When a room is deleted (its retention period ran out, or the account that created it was deleted) that had received a main video and was opened by an account carrying an invitation marker (cohort, see above), we keep a summary of the room in numbers: the room's identifier, the identifier and invitation marker of the creating account, when it was opened, the length of the main video, the number of published clips and contributions — no recordings, no names. Of every other room we keep nothing. The account identifier in it is removed when the account is deleted; the summary is deleted after the retention period for usage events (Section 15).

Legal basis: our legitimate interest in secure, stable operation (Art. 6(1)(f) GDPR).

Audience measurement (Umami, self-hosted)

To understand which pages of the app and of our landing page are visited, we use the web analytics software Umami on both. We run it ourselves, on our own server in Germany (domain "analytics.ki-katapult.de", operated by the same controller as this site). Your browser therefore sends the measurement data to a different address than this page — one we operate ourselves. It is not a third-party analytics service; your data is not passed to anyone for this purpose.

On a page view, the following are processed:

• the type of page visited — not its address. Before transmission the address is matched against a fixed list of page types (such as "home", "room", "privacy"), and only that label is sent. Room links, room identifiers, and everything after the question mark therefore never reach the statistics — not even from an incomplete or malformed link,
• the referring website — only its address (for example "example.com"), never the particular page there and nothing after the question mark. Referrals from within our own site are reduced to the page type in exactly the same way,
• for technical reasons your IP address and browser identifier (user agent). From these, Umami derives country, browser, operating system, and device type, plus a recognition value that is re-formed regularly, which allows visits to be counted without recognising you permanently. The IP address itself is not stored, and this value is formed on the server, not on your device.

If you open the app through "Come inside" on the landing page, the event "come-inside" is also counted once per visit — a fixed name carrying the same details as a page view and nothing more. Likewise, when you open "Come inside" or "Go pro" on the landing page — by tap, click or keyboard — it counts which of those links it was (for example "landing-cta-top" for the link in the top bar) — again only a fixed name from a short list, with the same details as a page view.

No cookies are set and no identifiers for recognising you are placed on your device; no cross-site recognition takes place. Since this neither stores information in your terminal equipment nor retrieves identifiers stored there, § 25 TDDDG does not apply to this measurement, and there is therefore no consent banner. The measurement software only checks whether you have recorded an objection on this device. It is not combined with your account.

Legal basis: our legitimate interest in privacy-preserving audience measurement, to understand and improve the service (Art. 6(1)(f) GDPR).

You may object to this processing at any time under Art. 21 GDPR. Because the measurement is deliberately not linked to any account, there is nothing on our side to attach an objection to — so it is recorded on your device instead, and takes effect immediately:

Switch measurement off on this device

This stores a single marker ("gr_analytics_off") in your browser; it is never transmitted to any server. If you clear your browser storage, you will need to set it again. You are of course also free to contact the controller named in Section 1 informally.

Retention period: there is currently no automatic deletion period configured for the measurement data in Umami; it is kept until deleted manually. We will set a fixed period.

13. Recipients and Processors

We pass personal data only to the following recipients:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany: hosting. All room and account data is stored on servers in Germany. Video files (main videos, clips, preview images) are additionally held in Hetzner object storage in Falkenstein, Germany. Videos are delivered to your browser via short-lived signed links directly from that object storage — in doing so, Hetzner as its operator necessarily receives your IP address and browser identifier. Hetzner is bound as a processor under Art. 28 GDPR.
• hosting.de GmbH, Franzstr. 51, 52064 Aachen, Germany: sending of our emails (processor). Processes the recipient address and email content.
• Telnyx LLC, Chicago, USA: only if you use sign-in via SMS code. Telnyx receives your phone number, sends the code, and verifies it (processor). On the transfer to the USA, see Section 14.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland: only if you take out a pro membership (Section 7). Stripe receives your email address and an account identifier from us and the payment details from you; as a payment service provider, Stripe is an independent controller for the payment processing. On a possible transfer to the USA, see Section 14.
• Google (Ireland Limited / Google LLC): only if you use Google sign-in or enter a room with a YouTube video (Sections 7 and 9). Google acts here as an independent controller.
• Apple (Apple Distribution International Ltd., Cork, Ireland / Apple Inc., USA): only if you use Apple sign-in (Section 7). Apple acts here as an independent controller.
• Other room participants: your clips are, as described, visible to everyone who has the room link.

14. Transfers to Third Countries

Data processing generally takes place in Germany. Data is transferred to the USA only in these cases:

• Telnyx (SMS sign-in): transfer of your phone number to the USA, based on the EU Commission's Standard Contractual Clauses (Art. 46(2)(c) GDPR) or, where applicable, on the adequacy decision for the EU-US Data Privacy Framework.
• Google (Google sign-in, YouTube): based on the adequacy decision for the EU-US Data Privacy Framework, under which Google is certified; in the case of YouTube, additionally only with your consent.
• Apple (Apple sign-in): the contracting party is Apple's Irish entity; an intra-group transfer to Apple Inc. in the USA is possible, based on the adequacy decision for the EU-US Data Privacy Framework.
• Stripe (pro membership): the contracting party is Stripe's Irish entity; an intra-group transfer to Stripe, LLC in the USA is possible, based on the adequacy decision for the EU-US Data Privacy Framework, under which Stripe is certified, and on the EU Commission's Standard Contractual Clauses.

You can obtain a copy of the relevant safeguards, in particular the Standard Contractual Clauses, on request at tim@ki-katapult.de.

15. Retention Periods at a Glance

• Rooms, clips, records of consent and removal: automatic deletion after the room's retention period has run out — by default 30 days after the last activity, settable by the room's creator between 1 and 365 days, and for individual rooms longer via the operator (up to 10 years). The applicable period and the time remaining are shown in the room.
• Withdrawn clips: deletion of our copy of the recording is triggered immediately and retried until it succeeds; from that moment the clip can no longer be retrieved from us either way, and Section 5 describes what happens in the rare case where the retries fail too. Only the entries listed in Section 5 remain, all without image or audio material; the record of consent and the removal log entry among them are deleted with the room at the latest.
• Clips removed by moderation: no longer visible from the moment of removal; the source file may be retained for abuse investigation until the room is deleted (see Section 5).
• Attendance list and attendance entries (section 4): they deliberately outlive the individual room and are deleted together with the series they belong to. The series' period runs from the later of the two moments "series created" and "last room of this series deleted" — 30 days by default, adjustable by the person running the series between 1 and 365 days. A series in which no room was ever opened is accordingly deleted 30 days after it was created. A daily cleanup run carries this out; this too is a standard period, not a maximum guaranteed to the hour. Independently of that, the person running the series can remove an individual entry at any time, and on your message we remove it (section 5).
• Series templates (prompt, words before you begin, label for participants): until the series is deleted (the same period as the attendance list above, with or without a list) or until the facilitator clears them.
• Account data: until the account is deleted.
• Sign-in tokens and SMS codes: valid for minutes to a few days, depending on their purpose. A daily cleanup run deletes the underlying record — and with it the email address or phone number stored in it — on the first run that falls 7 days after it was used or expired. Because that run checks once a day, this is a regular period rather than a maximum guaranteed to the hour. Records still valid remain until they expire (an unsubscribe link from a beta email is valid for up to 180 days).
• Upload buffer in the browser: until the upload succeeds, at most 48 hours.
• Unfinished uploads on our server: until the upload completes; ones never completed are deleted once they have been unchanged for 72 hours (daily cleanup run), and on withdrawal together with the rest of the recording (Section 5).
• Feedback: a daily cleanup run — email address, area indication and the account link after 90 days, and for account holders at the latest when the account is deleted. The message itself remains stored thereafter with no reference to you — the text may contain information you wrote into it yourself (Section 11). The browser identifier is not stored in our database at all; it appears only in the email copy in the controller's mailbox.
• Earlier beta seat requests: a daily cleanup run — IP address after 30 days, the next-session date 30 days after the date itself, undecided requests after 180 days, spam after 7 days; decided requests 180 days after the decision, and at the latest until the associated account is deleted (Section 10). We no longer accept new requests since 3 October 2026.
• Content reports: a daily cleanup run — IP address after 30 days. The report itself, including the reporter's name and email address and our decision, is kept as statutory evidence with no fixed period (Section 11).
• Audience measurement: no automatic deletion period at present (Section 12).
• Usage events: the events named in Section 7 remain stored with a link to your account for as long as your account exists. When the account is deleted, the link to you is removed; the entry then remains without any reference to you, though it may still contain the identifier of the room concerned — including after that room itself has been deleted. A daily cleanup run deletes every event on the first run that falls 12 months after it was created; this too is a regular period rather than a maximum guaranteed to the hour. The same period applies to the recording-progress entries (Section 4) and the room summaries in numbers (Section 12). We will consider a shorter period once the beta program has ended.
• Records of administrative and system actions: actions outside a room (such as an account being created by the controller, or an activation being changed) are logged as evidence of our accountability, with no fixed period. They contain no plain data such as names, email addresses or phone numbers — only internal identifiers: that of the account concerned and that of the acting administrator. Once the account in question is deleted, its identifier no longer points to any record we hold. Room-related records are deleted together with the room.

16. Your Rights

You have the following rights under the GDPR vis-a-vis the controller:

• access to the data stored about you (Art. 15),
• rectification of inaccurate data (Art. 16),
• erasure (Art. 17) and restriction of processing (Art. 18),
• data portability (Art. 20),
• objection to processing based on legitimate interest (Art. 21),
• withdrawal of any consent you have given, at any time and with effect for the future (Art. 7(3)), for example the removal of your clip (Section 5).

An informal email to tim@ki-katapult.de is all it takes. You can also remove your own clip yourself at any time — inside the room under "⋯" → "remove my clip" (Section 5) — and delete your account yourself at any time — directly in the app under "Account". You also have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for the controller is the state data protection commissioner of Brandenburg (Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow, Germany; you may, however, also contact the supervisory authority of your place of residence.

17. No Automated Decision-Making

There is no automated individual decision-making and no profiling within the meaning of Art. 22 GDPR.

18. Obligation to Provide Data

You are under no statutory or contractual obligation to provide us with personal data. However, without granting camera and microphone access you cannot join a room as a recording participant, and without an email address or phone number you cannot create an account.

19. Changes to This Policy

We update this policy when the app or the legal situation changes. The version published here at any given time applies.

Last updated: 27 October 2026