Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf mycru.eu und in der mycru-App ist Thomas Kürzl, Thomas Kürzl Filmproduktion, Kollersteig 53–55, 3400 Klosterneuburg, Österreich. E-Mail: info@mycru.eu, Telefon: +43 699 1403 4555.

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Das Wichtigste in Kürze

mycru ist eine Plattform, auf der Produktionen Film-Crews finden, anfragen und buchen. Wir verarbeiten dafür die Daten, die Sie selbst eingeben, und die Daten, die bei Anfragen und Buchungen entstehen.

Alle Daten liegen auf Servern in der EU (Hetzner, Nürnberg). Wir verwenden keine Werbung, keine Analyse- oder Tracking-Dienste Dritter und verkaufen keine Daten. Schriften werden von unserem eigenen Server geladen.

Projektdateien bleiben in der Cloud der jeweiligen Produktion; mycru speichert nur Links darauf.

3. Aufruf der Website und der App

Beim Aufruf verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Das ist nötig, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Diese Server-Protokolle löschen wir nach spätestens 14 Tagen und führen sie nicht mit Ihrem Konto zusammen.

4. Konto und Anmeldung

Für ein Konto speichern wir Name, E-Mail-Adresse, Rolle (Crew, Producer, Team Admin) und bei Produktionen den Firmennamen. Eine Person kann mehreren Produktionen angehören; wir speichern je Produktion die Mitgliedschaft mit Rolle und Beitrittsdatum sowie, welche Produktion gerade aktiv ist. Daten der Produktionen (Projekte, Buchungen, Dateien) bleiben voneinander getrennt. Das Passwort wird nur als gesalzener Hash (scrypt) gespeichert, nie im Klartext. Außerdem halten wir fest, wann Sie welcher Fassung der AGB und dieser Datenschutzerklärung zugestimmt haben.

Nach der Anmeldung erhalten Sie ein Sitzungs-Cookie. Es läuft nach 60 Tagen ohne Nutzung ab oder beim Abmelden. Zu jeder Sitzung speichern wir die Browserkennung und den Zeitpunkt der letzten Nutzung. Unter „Konto“ können Sie sich auf allen Geräten gleichzeitig abmelden.

Zwei-Faktor-Anmeldung: Zum Schutz der gespeicherten Profil- und Abrechnungsdaten ist sie für alle Konten Pflicht. Richten Sie einen Passkey ein (Face ID, Touch ID, Windows Hello), speichern wir nur dessen öffentlichen Schlüssel, eine Kennung, einen Zähler, den Gerätenamen und Datum der Einrichtung und letzten Nutzung; Gesichts- oder Fingerabdruckdaten verlassen Ihr Gerät nie und erreichen uns nicht. Für den Code aus einer Authenticator-App speichern wir das gemeinsame Geheimnis verschlüsselt. Notfallcodes speichern wir nur als Prüfsumme. Wählen Sie „Dieses Gerät merken“, setzen wir ein Geräte-Cookie für 30 Tage und speichern dazu eine Prüfsumme und die Browserkennung. Diese Daten löschen wir, wenn Sie den Faktor entfernen, das Konto löschen oder wir die Zwei-Faktor-Anmeldung auf Ihren Wunsch zurücksetzen.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

5. Crew-Profil und Crew-Suche

Wenn Sie als Crew ein Profil anlegen, speichern wir Ihre Angaben: Gewerke, Kurzbeschreibung, Wohnort und weitere Arbeitsorte, Einsatzradius, Tagesgage, Fähigkeiten, Sprachen, Equipment, Portfolio-Links und optional ein Profilfoto.

Ihr Profil ist nicht öffentlich im Internet sichtbar. Es sehen nur angemeldete Produktionen in der Crew-Suche, zusammen mit Ihrer Verfügbarkeit im gesuchten Zeitraum (frei, HOLD, gebucht, blockiert, ohne Details anderer Produktionen). Wenn Sie in Alarmbereitschaft sind oder ein Crew-Team eingetragen haben, sehen Produktionen auch das.

Zweck ist, dass Produktionen Sie finden und anfragen können. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Sie können Ihr Profil jederzeit ändern oder löschen.

6. Anfragen, Buchungen, Kalender, Nachrichten und Schwarzes Brett

Bei Anfragen und Buchungen verarbeiten wir Projekt, Job, Zeitraum, Ort, Gage, Vertragsart, eine optionale Notiz der Produktion, den Status (angefragt, HOLD, gebucht, storniert) und dessen Verlauf mit Zeitpunkt und handelnder Person. Den Verlauf speichern wir, damit beide Seiten nachvollziehen können, wer wann was bestätigt hat.

Nachrichten zu einer Buchung, Termine im Projektkalender, erfasste Arbeitszeiten, Aufgaben und Team-Nachrichten sehen nur die jeweils Beteiligten. Fordert die Produktion für einen Termin eine Bestätigung an, sieht sie Ihre Zu- oder Absage mit Zeitpunkt und einem optionalen Grund; ohne Antwort erinnern wir nach 24 Stunden einmal.

Aushänge am Schwarzen Brett (Kategorie, Titel, Text, Ort, optional Zeitraum; bei „Crew gesucht“ Position, Tage und Gage aus dem Job) sehen alle angemeldeten Nutzer mit Ihrem Namen, bei „Crew gesucht“ mit dem Namen der Produktion. Antworten darauf sind private Nachrichten, die nur Absender und Empfänger sehen. Wer bei „Crew gesucht“ „Ich hab Zeit“ wählt, erscheint mit Name, Kurzprofil, Ort und Tagessatz in der Liste der Produktion. Bei neuen „Crew gesucht“-Aushängen benachrichtigen wir Crew, deren Position und Ort passen; das lässt sich unter „Meine Aushänge und Nachrichten“ abschalten. Meldungen von Aushängen speichern wir mit Begründung und meldender Person.

Krankmeldung: Meldet sich Crew für gebuchte Tage krank, speichern wir nur, dass und an welchen Tagen sie krankheitsbedingt ausfällt, keine Diagnose und keinen Nachweis. Die buchende Produktion erfährt das, damit sie Ersatz findet; mycru legt dafür eine Position „Ersatz für …“ an. Das ist eine Angabe zur Gesundheit (Art. 9 DSGVO). Rechtsgrundlage ist Ihre ausdrückliche Einwilligung durch das Absenden der Krankmeldung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit für die Zukunft widerrufen können. Eine optionale Notiz geht nur per E-Mail an die Produktion und wird mit den Mails nach 30 Tagen gelöscht. Löschen Sie Ihr Konto, entfernen wir Namen und Hinweis auf die Krankheit auch aus der Ersatzposition.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Der Vertrag über die eigentliche Filmarbeit kommt zwischen Produktion und Crew zustande; für ihre eigenen Unterlagen dazu sind die beiden selbst verantwortlich.

7. Projektdateien und NDA

Projektdateien (Drehbuch, Dispo, Storyboard) bleiben im Cloud-Speicher der Produktion. mycru speichert nur den Link, Titel, Version und wer Zugriff hat, sowie wann eine Datei geöffnet wurde.

Verbindet eine Produktion ihren Speicher mit mycru (eigener Server über WebDAV, pCloud, Dropbox oder Google Drive), speichern wir die Zugangsdaten bzw. Zugangsschlüssel des Dienstes verschlüsselt. mycru liest den Speicher nur, wenn jemand aus der Produktion Dateien auswählt, und legt dort keine Dateien ab. Öffnet ein freigegebenes Crew-Mitglied eine solche Datei, holt mycru sie in diesem Moment vom Speicher und reicht sie direkt weiter, ohne sie zu speichern; der Speicherdienst sieht dabei nur den Abruf durch mycru. Den Speicherdienst wählt die Produktion selbst; für die Daten dort ist sie verantwortlich. Trennt die Produktion den Speicher oder wird die Firma gelöscht, löschen wir die Zugangsdaten sofort.

Bestätigen Sie eine Verschwiegenheitsvereinbarung (NDA) in mycru, speichern wir den Text der Vereinbarung, Ihren Namen, den Zeitpunkt, Ihre IP-Adresse und die Browserkennung als Nachweis für beide Seiten (Art. 6 Abs. 1 lit. b und f DSGVO).

8. Abrechnungsdaten (freiwillig)

Crew kann im Profil Daten für die Lohnverrechnung hinterlegen: Name laut Ausweis, Geburtsdatum, Adresse, Staatsbürgerschaft, Sozialversicherungsnummer, Steuernummer, UID-Nummer, IBAN, BIC und Ausweisdaten. Die Angabe ist freiwillig.

Die Daten werden verschlüsselt gespeichert. Sehen können sie nur Team Admins einer Produktion, bei der Sie verbindlich gebucht sind, und nur, wenn Sie sie freigeben: automatisch bei jeder verbindlichen Buchung oder einzeln je Buchung. Jeder Abruf und jeder Export wird protokolliert und ist in Ihrem Profil sichtbar. Das mycru-Team selbst sieht diese Daten nicht.

Zweck ist, dass die buchende Produktion Sie ordnungsgemäß abrechnen und anmelden kann. Rechtsgrundlage ist die Anbahnung und Durchführung des Vertrags mit der Produktion (Art. 6 Abs. 1 lit. b DSGVO). Sobald eine Produktion die Daten abruft, ist sie für ihre weitere Verwendung selbst verantwortlich.

Sie können die Daten jederzeit ändern oder löschen; bereits von einer Produktion übernommene Daten sind davon nicht erfasst.

9. Mitteilungen per E-Mail und Push

Wir schicken E-Mails zu Ihrem Konto (Bestätigung, Passwort) und zu Ihren Anfragen und Buchungen. Das gehört zum Dienst (Art. 6 Abs. 1 lit. b DSGVO). Für den Versand nutzen wir den E-Mail-Dienst Mailjet SAS, Paris, Frankreich; die Mails werden auf Servern in der EU verarbeitet. Das Postfach info@mycru.eu liegt bei World4You Internet Services GmbH, Linz, Österreich.

Wenn Sie Mitteilungen aufs Handy einschalten, meldet Ihr Browser dafür eine Adresse beim Push-Dienst Ihres Geräteherstellers an (je nach Gerät Apple, Google oder Mozilla). Über diesen Dienst schicken wir kurze Hinweise wie „Neue Anfrage“ oder einen Alarm. Die Inhalte werden verschlüsselt übertragen. Die Anbieter sitzen teils in den USA; die Übermittlung stützt sich auf das EU-US Data Privacy Framework. Rechtsgrundlage ist Ihre Einwilligung durch das Einschalten (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit im Konto oder in den Einstellungen des Browsers widerrufen.

In der App für iPhone und iPad läuft das über den Apple Push Notification service (Apple Inc., USA; EU-US Data Privacy Framework). Dafür speichern wir eine Gerätekennung, die Apple der App gibt, zusammen mit Ihrem Konto. Sie wird gelöscht, wenn Sie Mitteilungen unter Konto ausschalten, sich in der App abmelden, Apple sie als ungültig meldet oder Sie Ihr Konto löschen. Rechtsgrundlage ist Ihre Einwilligung durch das Einschalten (Art. 6 Abs. 1 lit. a DSGVO).

10. Kalender-Abo

Auf Wunsch erzeugt mycru einen geheimen Link, mit dem Ihr Kalenderprogramm (iPhone, Android, Outlook) Ihre Buchungen und Projekttermine abruft. Wer diesen Link kennt, sieht die Termine. Geben Sie ihn nicht weiter; Sie können ihn im Konto jederzeit neu erzeugen, dann wird der alte ungültig.

11. Crew einladen

Produktionen können Crew per E-Mail zu mycru einladen. Dafür wählt die Produktion Kontakte aus ihrem Adressbuch oder einer Datei aus; die Auswahl geschieht im Browser, übertragen werden nur die ausgewählten Namen und E-Mail-Adressen. Wir speichern sie mit der Einladung und schicken eine Einladungsmail.

Rechtsgrundlage ist das berechtigte Interesse der Produktion, mit ihrer bestehenden Crew über mycru zu arbeiten (Art. 6 Abs. 1 lit. f DSGVO). Eingeladene Personen können der Verarbeitung jederzeit widersprechen; die Produktion kann Einladungen zurückziehen.

12. Nutzungsstatistik

Um mycru zu verbessern und den Betrieb zu planen, zählen wir sparsam: je Person und Tag, ob sie die App benutzt hat und ob am Handy, und je Bereich der App (etwa Crew-Suche oder Kalender), wie oft er aufgerufen wurde, ohne Bezug zur Person. Wir speichern dabei keine Inhalte, keine aufgerufenen Adressen und keine IP-Adressen. Die Zählung geschieht auf unserem Server, ohne Cookies oder Dienste Dritter.

Rechtsgrundlage ist unser berechtigtes Interesse an der Weiterentwicklung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Zähler werden nach 13 Monaten gelöscht. Sie können widersprechen; schreiben Sie uns dazu.

13. Cookies und Speicher im Browser

mycru setzt nur Cookies für die Anmeldung: das Sitzungs-Cookie und, wenn Sie bei der Zwei-Faktor-Anmeldung „Dieses Gerät merken“ wählen, ein Geräte-Cookie für 30 Tage. Beide sind technisch notwendig (§ 165 Abs. 3 TKG 2021) und brauchen daher keine Einwilligung.

Im Speicher Ihres Browsers (localStorage) legen wir Einstellungen ab, die nur auf Ihrem Gerät bleiben: Sprache, helles oder dunkles Design, gewählter Alarmton und welche Hinweise Sie schon gesehen haben. Diese Daten werden nicht an uns übertragen.

14. Empfänger und Auftragsverarbeiter

Hosting und Datenbank: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Rechenzentrum Nürnberg.

E-Mail-Versand: Mailjet SAS, 13–13 bis rue de l’Aubrac, 75012 Paris, Frankreich.

E-Mail-Postfach info@mycru.eu: World4You Internet Services GmbH, Hafenstraße 47–51, 4020 Linz, Österreich.

Push-Mitteilungen (nur wenn eingeschaltet): der Push-Dienst Ihres Browsers bzw. Geräteherstellers, siehe Punkt 9.

Dokumenten-Speicher (nur wenn eine Produktion ihn verbindet, siehe Punkt 7): der von der Produktion gewählte Dienst, also ihr eigener Server, pCloud AG (Schweiz), Dropbox Inc. (USA) oder Google (Irland/USA). Zu diesen Diensten übertragen wir nur Abrufe und Uploads, die die Produktion selbst auslöst.

Datensicherung: Verschlüsselte Kopien der Datenbank bewahren wir zusätzlich im Speicher der pCloud AG, Schweiz, auf (für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission). Ohne den Schlüssel, den nur wir haben, sind sie dort nicht lesbar.

Mit Hetzner, Mailjet, World4You und pCloud schließen wir vor dem Start des Regelbetriebs Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO ab.

Andere Nutzerinnen und Nutzer erhalten Daten nur im beschriebenen Umfang: Produktionen sehen Crew-Profile und Verfügbarkeit, beide Seiten einer Buchung sehen deren Inhalt, Verlauf und Nachrichten. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

15. Speicherdauer

Kontodaten, Profil und Einstellungen speichern wir, solange das Konto besteht. Wenn Sie Ihr Konto löschen, entfernen wir Profil, Foto, Abrechnungsdaten, Sitzungen, Kalender-Links, Mitteilungen, Push-Registrierungen, Crew-Team-Verbindungen, Aushänge und Nutzungszähler und ersetzen Name und E-Mail-Adresse durch einen Platzhalter, auch im Mail-Postausgang und im Protokoll. Nachrichten werden durch „[Nachricht gelöscht]“ ersetzt. Bei einer bestätigten NDA bleibt der von Ihnen bei der Bestätigung eingegebene Name als Nachweis für die Produktion erhalten.

Verschickte E-Mails und Push-Nachrichten löschen wir nach 30 Tagen, Mitteilungen in der App nach einem Jahr.

Buchungen und ihr Verlauf betreffen auch die Gegenseite. Sie bleiben deshalb nach einer Kontolöschung ohne Ihren Namen erhalten, damit die Produktion ihre Unterlagen vollständig hat.

Buchungen mit Verlauf, Stornokosten, Arbeitszeiten und NDA-Bestätigungen löschen wir sieben Jahre nach dem letzten Drehtag, das Protokoll der Änderungen ebenfalls nach sieben Jahren. Nachrichten zu einer Buchung löschen wir zwei Jahre nach dem letzten Drehtag. Termine, Zusagen, Aufgaben, Team-Nachrichten und Dokument-Freigaben eines abgeschlossenen Projekts löschen wir zwei Jahre nach dem Abschluss.

Krankmeldungen (nur die Tage, an denen Sie krank waren) löschen wir sechs Monate nach dem letzten Krankheitstag; die Ersatzposition trägt danach keinen Namen mehr.

Abrechnungsdaten bleiben, solange Sie sie hinterlegt haben. Hatten Sie zwei Jahre lang keine verbindliche Buchung, erinnern wir Sie per E-Mail und löschen sie 30 Tage später, wenn Sie sie nicht erneut speichern. Das Protokoll der Zugriffe darauf löschen wir nach drei Jahren.

Haben Sie sich drei Jahre lang nicht angemeldet, schreiben wir Ihnen; melden Sie sich innerhalb von 60 Tagen nicht an, löschen wir das Konto wie bei einer Kontolöschung. Ausgenommen sind Konten mit laufenden Buchungen.

Abgelaufene Anmeldungen, Links aus E-Mails und gemerkte Geräte löschen wir, sobald sie abgelaufen sind; Einladungen, die niemand angenommen hat, nach sechs Monaten; Gerätekennungen für Mitteilungen nach einem Jahr ohne Zustellung; erledigte Tarif-Anfragen nach zwei Jahren.

Rechnungen und Buchhaltungsunterlagen zu bezahlten Tarifen bewahren wir sieben Jahre auf (§ 132 BAO).

Die Datenbank sichern wir täglich verschlüsselt. Sicherungen löschen wir auf dem Server nach 14 Tagen, die Kopie außer Haus nach 90 Tagen; bis dahin können sie noch Daten gelöschter Konten enthalten. Wir verwenden sie nur, um den Dienst nach einem Ausfall wiederherzustellen. Spielen wir eine Sicherung zurück, löschen wir alles, was seit ihrer Erstellung gelöscht wurde, sofort erneut.

Aushänge am Schwarzen Brett löschen wir samt Interessen, Nachrichten und Meldungen, sobald die Verfasser:in sie als erledigt markiert, spätestens am Tag nach dem letzten angegebenen Tag oder 30 Tage nach dem Aushängen, wenn kein Zeitraum angegeben ist.

16. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Vieles geht direkt in der App: Unter „Konto“ laden Sie alle Ihre Daten als Datei herunter oder löschen Ihr Konto. Für alles andere schreiben Sie an info@mycru.eu.

Sie können sich außerdem bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb.gv.at.

17. Keine automatisierten Entscheidungen

mycru trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Die Reihenfolge der Crew-Suche folgt festen, für alle gleichen Regeln (siehe AGB, Punkt 9); dazu wertet mycru aus, wie schnell Crew Anfragen beantwortet (letzte 90 Tage). Ob jemand angefragt oder gebucht wird, entscheiden Menschen.

18. Änderungen

Wenn wir neue Funktionen einführen oder sich die Verarbeitung ändert, passen wir diese Erklärung an. Über wesentliche Änderungen informieren wir angemeldete Nutzer in der App oder per E-Mail.