Datenschutzerklärung

Fassung ds-2026-10-d · Stand: 28. Oktober 2026

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen.

2. Über Zeptha

Zeptha ist eine Web-Anwendung zur Organisation von Künstlermanagement (Künstler, Releases, Budget, Verträge, Shows, Rechnungen, Creator-Kampagnen, Aufgaben, Notizen) unter app.zeptha.de. Zeptha befindet sich in einer kostenlosen, öffentlich zugänglichen Beta: Jede Person kann sich selbst registrieren; außerdem können Workspaces Mitglieder einladen. Zeptha richtet sich an Privatpersonen und Unternehmen.

Wer ist wofür verantwortlich?

• Für Ihr Benutzerkonto, die Anmeldung, die Sicherheit des Dienstes, E-Mails von Zeptha und das Fehler-Monitoring sind wir Verantwortlicher. Diese Erklärung beschreibt diese Verarbeitungen.
• Inhalte, die Unternehmen in ihrem Arbeitsbereich speichern (z. B. Daten über Künstler, Kontakte, Verträge, Rechnungen), verarbeiten wir im Auftrag des jeweiligen Unternehmens auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Verantwortlich ist dann das Unternehmen; Anfragen zu diesen Daten richten Sie bitte an das Unternehmen.
• Inhalte von Privatpersonen, die Zeptha für persönliche Zwecke nutzen, verarbeiten wir als Verantwortlicher (Abschnitt 6).

3. Registrierung und Kontakt per E-Mail

Bei der Registrierung verarbeiten wir in drei Schritten: Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur als kryptografischer Hash); nach Bestätigung Ihrer E-Mail-Adresse den Namen Ihres Workspace, die Angabe, ob Sie Zeptha privat oder geschäftlich nutzen, und Ihre Annahme der Nutzungsbedingungen sowie bei geschäftlicher Nutzung des Auftragsverarbeitungsvertrags. Ein Geburtsdatum oder Ihr Alter fragen wir nicht ab.

• Bis zur Bestätigung liegen Name, E-Mail-Adresse und Passwort-Hash als offene Registrierung vor. Der Bestätigungslink ist 24 Stunden gültig; danach wird die offene Registrierung beim nächsten Registrierungsvorgang automatisch gelöscht. Kann die Bestätigungs-E-Mail nicht zugestellt werden, löschen wir die offene Registrierung sofort.
• Besteht für die E-Mail-Adresse bereits ein Konto, speichern wir nichts und senden keine E-Mail; die Seite zeigt trotzdem dieselbe Rückmeldung, damit niemand erfahren kann, ob eine Adresse registriert ist.
• Mit dem Abschluss speichern wir als Nachweis, welche Fassung der Nutzungsbedingungen, gegebenenfalls des Auftragsverarbeitungsvertrags und der Datenschutzerklärung zu welchem Zeitpunkt angenommen bzw. bereitgestellt wurde, sowie die gewählte Nutzungsart – ohne E-Mail-Adresse oder Namen. Bei früheren Registrierungen, die noch eine Bestätigung abfragten, mindestens 18 Jahre alt zu sein, gehört diese damalige Bestätigung ebenfalls dazu.
• Wir senden Ihnen eine Bestätigungs-E-Mail und nach dem Abschluss eine Eingangsbestätigung.
• Zum Schutz vor automatisierten Registrierungen zählen wir Registrierungsanfragen je IP-Adresse nur im Arbeitsspeicher (höchstens eine Stunde) und begrenzen die Zahl der Bestätigungs-E-Mails je Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -abschluss); Missbrauchsschutz und Nachweis der Annahme beruhen auf Art. 6 Abs. 1 lit. f DSGVO, soweit steuerrechtlich erforderlich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abgabenordnung. Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

4. Aufruf der Anwendung, Hosting und Protokolle

Beim Aufruf von app.zeptha.de werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (User-Agent) und übertragene Datenmenge.

• Cloudflare (Cloudflare, Inc., USA) übernimmt Namensauflösung (DNS), Verschlüsselung (TLS) und die Weiterleitung aller Anfragen an unseren Server und verarbeitet dabei Ihre IP-Adresse.
• Render (Render Services, Inc., USA) betreibt unseren Anwendungsserver und die Datenbank in der Region Frankfurt am Main (EU).
• Unsere Anwendungsprotokolle enthalten je Anfrage nur das aufgerufene Routen-Muster (ohne Inhalte und ohne Kennungen aus der Adresse), Methode, Statuscode, eine Anfrage-Kennung und pseudonyme interne Kennungen von Nutzerkonto und Arbeitsbereich – keine IP-Adresse und keine Inhalte. Sie werden bei Render gespeichert und dort nach der vom Anbieter vorgegebenen Frist automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung –, für angemeldete Nutzer zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

5. Benutzerkonto, Einladung und Anmeldung

Ein Konto entsteht über die Registrierung (Abschnitt 3) oder über die Einladung eines Workspace (Link per E-Mail, 7 Tage gültig).

Schutz vor Missbrauch: Anmeldeversuche und Anfragen zum Zurücksetzen des Passworts werden je IP-Adresse (bzw. IP-Adresse und E-Mail-Adresse) gezählt, um automatisierte Angriffe zu verhindern. Diese Zähler liegen nur im Arbeitsspeicher des Servers und verfallen nach 10 bis 15 Minuten.

Protokoll sicherheitsrelevanter Vorgänge: Einladungen, Rechteänderungen, Deaktivierungen, Löschungen und ähnliche Vorgänge werden mit interner Kennung der handelnden Person, Vorgang, Zeitpunkt und Arbeitsbereich unveränderlich protokolliert – ohne E-Mail-Adressen.

Rechtsgrundlagen: Konto und Anmeldung Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); Missbrauchsschutz und Protokoll Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes und Nachvollziehbarkeit, vgl. Art. 32 DSGVO).

6. Inhalte in Arbeitsbereichen

Nutzer speichern in Zeptha unter anderem: Künstler (Name, E-Mail, Telefon, Anschrift, Foto, Social-Media-Links, eigene Felder), Releases, Shows, Termine, Aufgaben, Kommentare, Notizen, Verträge mit Dateien, Rechnungen (Empfänger und Absender mit Anschrift, Steuernummer, Bankverbindung, Logo), Budget, Creators und Geschäftskontakte sowie Kampagnen, die mit einem verbundenen Unternehmen geteilt werden können (das teilende Unternehmen bestimmt, ob Budget und Honorare sichtbar sind). Alle Inhalte liegen in unserer Datenbank in Frankfurt am Main. Zugriff haben nur Mitglieder des jeweiligen Arbeitsbereichs entsprechend ihren Rechten.

• Geschäftliche Nutzung: Wir verarbeiten diese Inhalte als Auftragsverarbeiter (Abschnitt 2).
• Private Nutzung: Wir verarbeiten die Inhalte als Verantwortlicher, um Ihnen den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Soweit Sie Daten anderer Personen eintragen, beruht deren Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO – dem berechtigten Interesse an der Organisation Ihrer Tätigkeit. Wir verwenden diese Daten für keinen anderen Zweck.

Externe Links: Ein Klick auf einen Ort öffnet Google Maps, ein Klick auf einen Social-Media-Link die jeweilige Plattform. Erst dann werden Daten an diese Anbieter übertragen; es gelten deren Datenschutzbestimmungen.

7. Cookies und Speicher im Browser

Zeptha verwendet ein einziges Cookie und keine Analyse-, Werbe- oder Tracking-Technik.

Außerdem speichert die Anwendung Darstellungseinstellungen im lokalen Speicher Ihres Browsers, etwa eine eingeklappte Seitenleiste, Kalenderfilter oder die gewählte Listenansicht. Diese Angaben verlassen Ihr Gerät nicht. Geschäftsdaten werden nicht im Browser gespeichert.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG – die Speicherung ist unbedingt erforderlich, damit wir den von Ihnen ausdrücklich gewünschten Dienst bereitstellen können; eine Einwilligung ist nicht erforderlich. Die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Zeptha bindet keine Inhalte von Drittanbietern ein (keine externen Schriftarten, Skripte, Karten oder Videos).

8. E-Mail-Versand

Registrierungs-, Einladungs- und Passwort-E-Mails versenden wir über den E-Mail-Dienst Resend (Anbieter mit Sitz in den USA). Übermittelt werden Empfängeradresse, Betreff und Inhalt der E-Mail (zum Beispiel Ihr Name, der Name des Workspace, ein Bestätigungs- oder Einladungslink). Resend speichert Konto- und Versanddaten (Metadaten, Protokolle) in den USA. Wir versenden keine Werbe-E-Mails und keine Newsletter.

Zum Schutz vor Massenversand speichern wir Versandversuche (Empfängeradresse, Zeitpunkt) für 48 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO.

9. Fehler-Monitoring

Um technische Fehler schnell zu erkennen, nutzen wir Sentry (Functional Software, Inc., USA).

• Fehler auf unserem Server: Unser Server übermittelt Sentry eine bereinigte technische Fehlerbeschreibung: Fehlerart, bereinigter Fehlertext, Programmstelle, Routen-Muster, Programmversion und pseudonyme interne Kennungen von Nutzerkonto und Arbeitsbereich.
• Fehler in Ihrem Browser: Tritt in der Anwendung in Ihrem Browser ein Programmfehler auf, sendet sie eine bereinigte technische Fehlerbeschreibung (Fehlerart, bereinigter Fehlertext, Programmstelle, Bereich der Anwendung ohne Inhalte, Programmversion) an unseren Server. Die Weiterleitung dieser Meldungen an Sentry ist derzeit ausgeschaltet; unser Server verwirft sie, ohne sie zu speichern.
• Nicht übermittelt werden Namen, E-Mail-Adressen, IP-Adressen, Cookies, Inhalte, Sitzungsaufzeichnungen oder Nutzungsprofile.
• Die Daten werden in der EU-Region von Sentry gespeichert, die Speicherung von IP-Adressen ist ausgeschaltet, und sie werden nach 30 Tagen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem stabilen und sicheren Betrieb.

10. Empfänger und Übermittlung in Drittländer

Diese Dienstleister verarbeiten Daten in unserem Auftrag. Weil sie ihren Sitz in den USA haben, ist eine Übermittlung in die USA möglich. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Anbieter nach eigenen Angaben zertifiziert sind, und ergänzend auf die EU-Standardvertragsklauseln in den Auftragsverarbeitungsbedingungen der Anbieter (Art. 46 Abs. 2 lit. c DSGVO).

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Da die Beta kostenlos ist, gibt es keine Zahlungsdienstleister. Wir greifen auf Inhalte eines Arbeitsbereichs nur zu, wenn dies zur Bearbeitung Ihrer Anfrage oder zur Behebung einer Störung erforderlich ist.

11. Speicherdauer

Gelöschte Daten können bis zum Ablauf der genannten Sicherungsfristen noch in Datenbank-Sicherungen enthalten sein; sie werden daraus nur zur Behebung eines Datenverlusts wiederhergestellt.

12. Ende der Beta

Wir kündigen das Ende der Beta mindestens 30 Tage vorher per E-Mail an. Bis zum Ende können Sie einen Export Ihrer Daten anfordern. Danach löschen wir Konten und Inhalte innerhalb von 30 Tagen, sofern Sie nicht in ein Nachfolgeangebot wechseln.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Wenden Sie sich dazu an kontakt@zeptha.de. Wir antworten innerhalb eines Monats. Einen Export Ihrer Daten stellen wir Ihnen auf Anfrage in einem gängigen maschinenlesbaren Format bereit. Betrifft Ihre Anfrage Daten, die ein Unternehmen in seinem Arbeitsbereich gespeichert hat, wenden Sie sich bitte an dieses Unternehmen; wir unterstützen es dabei.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

14. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Ohne E-Mail-Adresse und Passwort kann kein Konto angelegt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

15. Sicherheit

Verschlüsselte Übertragung (HTTPS), Passwörter nur als Hash, strenge Sicherheitseinstellungen im Browser, Rechteprüfung auf dem Server bei jeder Anfrage, Begrenzung von Anmeldeversuchen, unveränderliches Protokoll wichtiger Vorgänge und geprüfte Datenbank-Sicherungen.

16. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Dienstleister ändern. Die jeweils aktuelle Fassung finden Sie unter app.zeptha.de/datenschutz.