Datenschutzerklärung

2. Geltungsbereich

Diese Erklärung gilt für die Mets-Website, die Webanwendung für Videomeetings und Webinare sowie Ihre Kommunikation mit uns (E-Mail, Formulare).

Wenn Sie Mets über ein Firmenkonto (Organisation) nutzen, ist in der Regel Ihr Arbeitgeber bzw. Ihre Organisation Verantwortlicher für die Meeting-Inhalte, und Mets handelt als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Einzelheiten finden Sie unter „DSGVO & Datenverarbeitung“.

3. Welche Daten wir verarbeiten

Wir verarbeiten nur die Daten, die zur Bereitstellung des Dienstes erforderlich sind:

• Kontodaten: Name oder Anzeigename, E-Mail-Adresse, gehashtes Passwort, Avatar, bevorzugte Sprache und Zeitzone;
• Gastdaten: der beim Beitritt zu einem Meeting eingegebene Anzeigename (ohne Konto);
• Meeting-Daten: Titel, Termin, Raumcode, Teilnehmerliste, Beitritts- und Austrittszeiten, Einstellungen (Warteraum, Passwort, Verschlüsselung);
• Meeting-Inhalte — nur wenn der Host die Funktion aktiviert: Chat-Nachrichten, Aufzeichnungen, Transkripte, Übersetzungen, Zusammenfassungen, Whiteboard-Inhalte;
• technische Daten: IP-Adresse, Browser- und Betriebssystemtyp, Kennzahlen zur Verbindungsqualität, Sicherheitsprotokolle;
• Abrechnungsdaten für kostenpflichtige Tarife: Firmenname, USt-IdNr., Adresse, Zahlungshistorie (keine vollständigen Kartendaten — diese verarbeitet der Zahlungsdienstleister).

4. Zwecke und Rechtsgrundlagen

Jeder Zweck stützt sich auf eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO:

• Bereitstellung des Dienstes, Führung Ihres Kontos und Durchführung von Meetings — Vertragserfüllung (Art. 6 Abs. 1 lit. b);
• Aufzeichnung, Transkription und KI-Zusammenfassungen — Vertragserfüllung auf Weisung des Hosts; der Host ist dafür verantwortlich, die Teilnehmenden zu informieren und, soweit erforderlich, deren Einwilligung einzuholen;
• Sicherheit, Missbrauchsprävention und Diagnose — berechtigte Interessen (Art. 6 Abs. 1 lit. f);
• Abrechnung, Rechnungsstellung und steuerliche Pflichten — rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c);
• Bearbeitung von Supportanfragen und Beschwerden — Vertragserfüllung und berechtigte Interessen;
• Produkt-Newsletter — nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a), die Sie jederzeit widerrufen können.

5. Meeting-Inhalte, Aufzeichnungen und Transkripte

Audio und Video laufen über unseren Medienserver (SFU) in der Europäischen Union. Die Übertragung ist stets verschlüsselt (DTLS-SRTP). In Räumen mit Ende-zu-Ende-Verschlüsselung (E2EE) wird der Schlüssel nur unter den Teilnehmenden geteilt — unser Server leitet verschlüsselte Pakete weiter und kann sie technisch nicht lesen.

Aufzeichnungen, Transkripte und Zusammenfassungen entstehen nur, wenn der Host sie startet, und jede teilnehmende Person sieht eine deutliche Aufzeichnungsanzeige. Die Transkription läuft auf unseren Servern in der EU; Texte werden niemals zum Training von KI-Modellen verwendet.

In E2EE-Räumen sind serverseitige Aufzeichnung und Transkription nicht verfügbar — eine bewusste Folge der Verschlüsselung.

6. Empfänger

Wir vertrauen Daten nur sorgfältig ausgewählten Auftragsverarbeitern an, die durch Auftragsverarbeitungsverträge nach Art. 28 DSGVO gebunden sind. Die vollständige Liste finden Sie unter „DSGVO & Datenverarbeitung“. Die wichtigsten Anbieter sind:

• Supabase — Datenbank, Authentifizierung und Dateispeicher in der Region eu-west-1 (Irland);
• LiveKit — Medienserver auf unserer eigenen Infrastruktur in der EU (Open-Source-Software, keine Datenweitergabe an den Hersteller);
• Cloudflare — DNS-Dienste;
• ein Anbieter großer Sprachmodelle (Anthropic) — nur, wenn eine Organisation erweiterte KI-Zusammenfassungen aktiviert.

7. Übermittlungen außerhalb des EWR

Standardmäßig werden alle Daten im Europäischen Wirtschaftsraum gespeichert und verarbeitet. Eine Übermittlung außerhalb des EWR kann nur bei optionalen, vom Kunden aktivierten KI-Funktionen oder bei der Infrastruktur des DNS-Anbieters erfolgen — stets auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses.

8. Speicherdauer

• Kontodaten — solange Sie ein Konto haben, danach bis zu 30 Tage nach der Löschung (Backups bis zu 35 Tage);
• Aufzeichnungen, Transkripte und Zusammenfassungen — bis zur Löschung durch die Nutzerin bzw. den Nutzer oder gemäß der Aufbewahrungsrichtlinie der Organisation;
• Chat-Nachrichten — zusammen mit dem Meeting, sofern der Host keinen kürzeren Zeitraum festlegt;
• technische und Sicherheitsprotokolle — bis zu 90 Tage;
• Abrechnungsunterlagen — 5 Jahre ab Ende des Steuerjahres, wie es das Steuerrecht verlangt.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen. Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.

Die meisten Daten können Sie in den Kontoeinstellungen selbst herunterladen oder löschen. In allen anderen Fällen schreiben Sie an privacy@mets.ulewicz.space — wir antworten innerhalb von 30 Tagen. Außerdem haben Sie das Recht, sich bei der polnischen Aufsichtsbehörde, dem Präsidenten der Datenschutzbehörde (UODO, ul. Stawki 2, 00-193 Warschau), oder bei der Behörde in Ihrem Land zu beschweren.

10. Cookies

Wir verwenden ausschließlich Cookies, die für das Funktionieren des Dienstes unbedingt erforderlich sind — deshalb gibt es kein Einwilligungsbanner. Wir setzen keine Werbe-Cookies, Tracking-Pixel oder Analysedienste von Drittanbietern ein.

• sb-* — die Sitzung der angemeldeten Person (Supabase Auth), gültig bis zur Abmeldung oder zum Ablauf der Sitzung;
• NEXT_LOCALE — Ihre Oberflächensprache, bis zu 12 Monate;
• theme — Ihr gewähltes Design (hell, dunkel oder System), bis zu 12 Monate.

11. Sicherheit

Wir setzen TLS für den gesamten Datenverkehr, DTLS-SRTP für Medien, optionale Ende-zu-Ende-verschlüsselte Räume, Verschlüsselung im Ruhezustand, Row Level Security in der Datenbank, kurzlebige Raum-Zugriffstoken, Passwort-Hashing und Ratenbegrenzung ein. Der Zugriff von Mitarbeitenden auf Produktionsdaten wird auf das absolut notwendige Maß beschränkt und protokolliert.

12. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, zum Beispiel aufgrund neuer Funktionen oder gesetzlicher Änderungen. Über wesentliche Änderungen informieren wir angemeldete Nutzer mindestens 14 Tage im Voraus per E-Mail oder in der App. Das Datum der letzten Aktualisierung steht oben auf dieser Seite.