Datenschutzerklärung

Stand: 31.10.2026

Kurzfassung: Mit dem Stage Builder bauen Unternehmen Widgets für ihre Bildschirme. Die Seiten des Dienstes laden nichts von fremden Servern, zählen keine Besuche und halten Zugriffe nur kurz zum Schutz vor Angriffen fest. Ein Cookie gibt es erst, wenn Sie sich anmelden. Einzelne Elemente des Editors (zum Beispiel „Wetter“) rufen Daten bei anderen Diensten ab — welche, steht in Abschnitt 6.

1. 1. Datenschutz auf einen Blick
2. 2. Hosting und Datensicherung
3. 3. Allgemeine Hinweise und Pflichtinformationen
4. 4. Teil A: Kapaso als Verantwortlicher
5. 5. Teil B: Verarbeitung im Auftrag unserer Kunden
6. 6. Externe Inhalte im Editor und in den Widgets
7. 7. Ihre Rechte

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie stage-builder.de nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Was ist stage-builder.de?

stage-builder.de ist ein Editor für Inhalte digitaler Bildschirme. Unternehmen (unsere Kunden) erhalten einen Zugang; ihre Benutzer bauen damit Widgets, legen Projekte, Medien und Vorlagen ab und laden das fertige Widget als Datei für ihr eigenes Digital-Signage-System herunter. Ein Konto kann man nicht selbst anlegen — Konten richtet der Admin des jeweiligen Unternehmens oder die Kapaso GmbH ein. Wer später einen Bildschirm betrachtet, auf dem ein solches Widget läuft, wird von diesem Dienst nicht erfasst.

Wer ist verantwortlich?

2. Hosting und Datensicherung

Hetzner

Wir betreiben stage-builder.de auf einem eigenen Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Details entnehmen Sie der Datenschutzerklärung von Hetzner: https://www.hetzner.com/de/rechtliches/datenschutz.

Die Verwendung von Hetzner erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einem zuverlässigen Betrieb des Dienstes. Mit Hetzner besteht ein Vertrag über Auftragsverarbeitung (AVV). Für die Daten aus Teil B ist Hetzner unser Unterauftragsverarbeiter.

Datensicherung

Die Datenbank und die abgelegten Dateien des Dienstes werden jede Nacht verschlüsselt auf einen eigenen Speicher der Kapaso GmbH in Deutschland gesichert. Sicherungen werden nach höchstens acht Wochen überschrieben. Was im Dienst gelöscht wird, ist so lange noch in den Sicherungen enthalten.

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Verantwortliche Stelle für die Datenverarbeitung nach Teil A (Abschnitt 4) und Ansprechpartner für Fragen zu Teil B ist:

Kapaso GmbH
Flurstr. 26
85653 Aying
Telefon: +49 8102 727 8949
E-Mail: ineed@kapaso.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung auf dieser Website

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung ist jederzeit widerrufbar. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen. Über die jeweils im Einzelfall einschlägigen Rechtsgrundlagen wird in den folgenden Absätzen dieser Datenschutzerklärung informiert.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)

WENN DIE DATENVERARBEITUNG AUF GRUNDLAGE VON ART. 6 ABS. 1 LIT. E ODER F DSGVO ERFOLGT, HABEN SIE JEDERZEIT DAS RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIE VERARBEITUNG IHRER PERSONENBEZOGENEN DATEN WIDERSPRUCH EINZULEGEN; DIES GILT AUCH FÜR EIN AUF DIESE BESTIMMUNGEN GESTÜTZTES PROFILING. DIE JEWEILIGE RECHTSGRUNDLAGE, AUF DENEN EINE VERARBEITUNG BERUHT, ENTNEHMEN SIE DIESER DATENSCHUTZERKLÄRUNG. WENN SIE WIDERSPRUCH EINLEGEN, WERDEN WIR IHRE BETROFFENEN PERSONENBEZOGENEN DATEN NICHT MEHR VERARBEITEN, ES SEI DENN, WIR KÖNNEN ZWINGENDE SCHUTZWÜRDIGE GRÜNDE FÜR DIE VERARBEITUNG NACHWEISEN, DIE IHRE INTERESSEN, RECHTE UND FREIHEITEN ÜBERWIEGEN ODER DIE VERARBEITUNG DIENT DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN (WIDERSPRUCH NACH ART. 21 ABS. 1 DSGVO).

WERDEN IHRE PERSONENBEZOGENEN DATEN VERARBEITET, UM DIREKTWERBUNG ZU BETREIBEN, SO HABEN SIE DAS RECHT, JEDERZEIT WIDERSPRUCH GEGEN DIE VERARBEITUNG SIE BETREFFENDER PERSONENBEZOGENER DATEN ZUM ZWECKE DERARTIGER WERBUNG EINZULEGEN; DIES GILT AUCH FÜR DAS PROFILING, SOWEIT ES MIT SOLCHER DIREKTWERBUNG IN VERBINDUNG STEHT. WENN SIE WIDERSPRECHEN, WERDEN IHRE PERSONENBEZOGENEN DATEN ANSCHLIESSEND NICHT MEHR ZUM ZWECKE DER DIREKTWERBUNG VERWENDET (WIDERSPRUCH NACH ART. 21 ABS. 2 DSGVO).

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Widerspruch gegen Werbe-E-Mails

Der Nutzung von im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Die Betreiber der Seiten behalten sich ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen, etwa durch Spam-E-Mails, vor.

4. Teil A: Kapaso als Verantwortlicher

Aufruf der Seiten, IP-Adresse und Schutz vor Angriffen

Für jeden Aufruf — etwa der Anmeldeseite, dieser Seite oder des Editors — verarbeitet der Server technisch notwendig Ihre IP-Adresse, die aufgerufene Adresse und den Zeitpunkt, um die Antwort zuzustellen. Zum Schutz vor Angriffen und zur Fehlersuche schreibt der Webserver ein Zugriffsprotokoll mit IP-Adresse, Zeitpunkt, aufgerufener Adresse ohne Abfrageteil, Statuscode, Antwortgröße und Dauer. Browserkennung und andere Kopfzeilen speichern wir darin nicht. Das Protokoll wird spätestens nach 15 Tagen automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: sicherer Betrieb).

Nach einem fehlgeschlagenen Anmeldeversuch speichert der Dienst Ihre IP-Adresse und die E-Mail-Adresse des Kontos (gibt es zur Eingabe kein Konto: die eingegebene Kennung) zusammen mit der Zahl der Fehlversuche, um weitere Versuche zu verzögern oder den Absender zeitweise zu sperren (30 Sekunden bis höchstens eine Stunde). Ebenso zählt er je IP-Adresse, je Konto bzw. je Anmeldung die Anfragen bei „Passwort vergessen“, falsche Codes der Zwei-Faktor-Anmeldung und den Start der Anmeldung über Microsoft. Diese Zähler löscht der Dienst sieben Tage nach ihrem Beginn (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: Schutz vor Angriffen).

Sicherheitsprotokoll

Der Dienst führt ein Sicherheitsprotokoll. Ein Eintrag enthält den Zeitpunkt, die Art des Ereignisses, das Konto und die Firma, die E-Mail-Adresse (bei einem Fehlversuch ohne Konto die eingegebene Kennung), die IP-Adresse und eine kurze Einzelheit — zum Beispiel, welches Feld geändert wurde. Passwörter, Codes und Zugangslinks stehen nie im Protokoll. Protokolliert werden: Anmeldung, Fehlversuch, Sperre und Abmeldung; Passwort geändert, zurückgesetzt oder „Passwort vergessen“ angefordert; Zwei-Faktor-Anmeldung eingerichtet, abgeschaltet, zurückgesetzt, Ersatzcodes neu erzeugt, falscher Code; Anmeldung über Microsoft abgewiesen oder Konto verknüpft; Benutzername geändert oder für bestehende Konten vergeben; Sitzungen beendet; Abruf der eigenen Daten („Meine Daten“); Übernahme eines Kontos durch einen Admin; Änderungen in der Verwaltung (Firmen, Benutzer, freigegebene Funktionen, Einstellungen, Freigaben von Vorlagen) sowie Probe-Mails und Fehler des Postausgangs.

Einträge werden nach 180 Tagen gelöscht. Sie bleiben bis dahin auch dann erhalten, wenn das Konto oder die Firma vorher gelöscht wurde. Die Kapaso GmbH sieht alle Einträge; der Admin einer Firma sieht die Einträge seiner Firma und kann sie als Tabelle herunterladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Missbrauch erkennen und nachvollziehen).

Cookies und Speicher im Browser

Alle folgenden Einträge sind für den Betrieb technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG); sie dienen weder der Werbung noch der Analyse. Wir verwenden kein Tracking und keine Analysewerkzeuge. Die Seiten des Dienstes laden keine Schriften, Skripte oder sonstigen Inhalte von fremden Servern; die Abrufe einzelner Editor-Elemente nennt Abschnitt 6.

Name	Art	Zweck	Dauer
stage_session	Cookie	hält Ihre Anmeldung; für Skripte nicht lesbar und nur an diesen Dienst gesendet	30 Tage; die Anmeldung endet vorher nach 12 Stunden ohne Aktivität oder mit der Abmeldung. Zwischen Passwort und Code gilt sie 10 Minuten.
stage_sso	Cookie	sichert die Anmeldung über Microsoft ab (nur wenn Ihre Firma sie eingerichtet hat)	10 Minuten, nur während dieser Anmeldung
aioTheme	Browser-Speicher	merkt sich die Wahl Hell/Dunkel	bis Sie ihn löschen
aio_lang	Browser-Speicher	merkt sich die gewählte Sprache (Deutsch oder Englisch) für alle Seiten des Dienstes, auch für die Anmeldeseite vor der Anmeldung; enthält nur „de“ oder „en“	bis Sie ihn löschen oder eine andere Sprache wählen
stageBuilderProject_v2, stageBuilderFill_v2, aioUserTemplates, aioNamedSnaps, stageUnderlay, aioStageSettings (die ersten fünf je Konto mit angehängter Kontokennung)	Browser-Speicher	Arbeitsstand des Editors bzw. der Füllansicht, damit bei einem Absturz nichts verloren geht, die Start-Vorlagen und Editor-Vorgaben Ihrer Firma und ein Hilfsbild unter der Bühne — enthält Inhalte, die Sie bearbeiten	bis zur Abmeldung. Liegt Arbeit nur in diesem Browser, fragt die Abmeldung vorher nach. Läuft Ihre Anmeldung nur ab, bleibt der Stand liegen; meldet sich danach ein anderes Konto in diesem Browser an, wird er vorher gelöscht.
sbProjektBindung, sbNurHier	Browser-Speicher	Kennung und Name des zuletzt geöffneten Projekts; Merker, dass Arbeit ohne Projekt nur in diesem Browser liegt	bis zur Abmeldung
sbKonto	Browser-Speicher	Prüfwert der Kennung des zuletzt angemeldeten Kontos — daran erkennt die Seite, dass sich ein anderes Konto anmeldet, und löscht dann den Arbeitsstand des vorigen	bis Sie ihn löschen
weitere Einträge, deren Name mit aio, stage oder sb beginnt	Browser-Speicher	Einstellungen der Editor-Oberfläche (eingeklappte Bereiche, Breiten, Raster, Hilfslinien, für Ihr Konto freigegebene Funktionen, Hinweis bereits gezeigt)	bis Sie ihn löschen; einzelne Merker nur, bis Sie das Fenster schließen oder sich abmelden

E-Mails des Dienstes

Der Dienst versendet nur zwei Arten von E-Mails: den Link bei „Passwort vergessen“ (Abschnitt 5) und eine Probe-Mail, mit der die Kapaso GmbH den Postausgang prüft. Beide gehen über ein Postfach bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Solange kein Postausgang eingerichtet ist, versendet der Dienst keine E-Mails.

Anfrage per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit einem Vertrag zusammenhängt, sonst unser berechtigtes Interesse an der Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Ein Kontaktformular gibt es in diesem Dienst nicht.

5. Teil B: Verarbeitung im Auftrag unserer Kunden

Konten

Für ein Konto speichern wir Name, Benutzername, E-Mail-Adresse, das Passwort nur als Hash-Wert (bcrypt), die Rolle, die zugeordnete Firma, Sprache und Thema, die für das Konto freigegebenen Editor-Funktionen, den Zeitpunkt der Anlage und wer das Konto angelegt hat. Mit dem Benutzernamen oder der E-Mail-Adresse melden Sie sich an; der Benutzername ist im ganzen Dienst eindeutig, und Sie oder der Admin Ihrer Firma können ihn ändern. Ein Passwort braucht 12 bis 64 Zeichen. Damit ein früheres Passwort nicht wiederverwendet wird, speichern wir außerdem die Hash-Werte Ihrer letzten fünf Passwörter. Der Admin Ihrer Firma sieht außerdem, wann Sie sich zuletzt angemeldet haben und ob die Zwei-Faktor-Anmeldung eingerichtet ist.

Konten löscht der Admin Ihrer Firma oder die Kapaso GmbH; selbst löschen können Sie Ihr Konto nicht. Mit dem Konto werden seine Sitzungen, die Daten der Zwei-Faktor-Anmeldung, die Hash-Werte früherer Passwörter, offene Links zum Zurücksetzen des Passworts und die an das Konto gerichteten Freigaben gelöscht. Projekte, Medien, Vorlagen und Fassungen, die mit dem Konto angelegt wurden, gehören der Firma und bleiben erhalten. Einträge im Sicherheitsprotokoll bleiben bis zum Ablauf der dort genannten Frist (Abschnitt 4).

Zwei-Faktor-Anmeldung

Wer die Zwei-Faktor-Anmeldung einrichtet — freiwillig oder weil die Firma sie verlangt —, für den speichern wir das Geheimnis der Authenticator-App verschlüsselt, zehn Ersatzcodes nur als Prüfwert und den Zeitpunkt der Einrichtung. Eine begonnene, nicht abgeschlossene Einrichtung löschen wir nach einer Stunde.

Sitzungen

Zu jeder Anmeldung speichern wir einen Prüfwert des Sitzungs-Cookies (nicht das Cookie selbst), den Zeitpunkt der Anmeldung und der letzten Aktivität, Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent). Unter „Mein Konto“ sehen Sie Ihre Sitzungen und können sie einzeln oder alle beenden. Eine Sitzung endet nach 12 Stunden ohne Aktivität, spätestens nach 30 Tagen. Den Eintrag einer beendeten Sitzung löschen wir sofort, den einer abgelaufenen beim nächsten stündlichen Aufräumen.

Ein Admin Ihrer Firma oder die Kapaso GmbH kann zur Unterstützung in Ihrem Namen arbeiten („Übernahme“). Beginn und Ende stehen im Sicherheitsprotokoll; solange die Übernahme läuft, zeigt die Oberfläche einen Hinweis.

Passwort vergessen

„Passwort vergessen“ gibt es nur, wenn Ihre Firma es einschaltet. Dann schicken wir an die E-Mail-Adresse des Kontos einen Link, über den Sie ein neues Passwort festlegen. Der Link gilt 60 Minuten und nur einmal; wir speichern von ihm nur einen Prüfwert, der spätestens eine Stunde nach Ablauf gelöscht wird. Die E-Mail enthält Ihren Namen, Ihren Benutzernamen und den Link.

Anmeldung über Microsoft

Die Anmeldung über Microsoft Entra ID gibt es nur, wenn das Unternehmen des Kunden sie für sich einrichtet. Dann leiten wir Ihren Browser zur Anmeldung an Microsoft (Microsoft Ireland Operations Ltd.) weiter; dort gelten deren Datenschutzbestimmungen. Uns übermittelt Microsoft eine Kennung Ihres Kontos, die Kennung des Verzeichnisses Ihres Unternehmens und Ihre E-Mail-Adresse. Die Kennung speichern wir zu Ihrem Konto; Ihren Benutzernamen übernehmen wir nicht von Microsoft; die E-Mail-Adresse dient nur der Zuordnung zu einem bestehenden Konto und steht bei einer abgewiesenen Anmeldung im Sicherheitsprotokoll. Konten werden dabei nicht automatisch angelegt.

Unser Server ruft Microsoft nur in zwei Fällen ab. Erstens, wenn in der Verwaltung ausdrücklich „Einrichtung prüfen“ gewählt wird: Dann holt er die öffentliche OpenID-Konfiguration des eingetragenen Verzeichnisses bei Microsoft; Daten von Benutzern werden dabei nicht übermittelt. Zweitens, wenn Sie sich über Microsoft anmelden: Dann tauscht unser Server den Code, mit dem Microsoft Ihren Browser zu uns zurückschickt, bei Microsoft gegen den Anmeldenachweis (ID-Token) und holt die öffentlichen Schlüssel des Verzeichnisses, um dessen Signatur zu prüfen; dabei übermittelt er die Kennung und das Geheimnis der Anwendung Ihres Unternehmens, den Code und unsere Rückrufadresse. Beim Speichern oder Einschalten der Einrichtung und beim Aufruf der Anmeldeseite ruft unser Server Microsoft nicht ab. Wir speichern zur Firma das Ergebnis der Prüfung und ob eine Anmeldung über Microsoft gelungen ist oder abgelehnt wurde.

Eine Übermittlung von Daten in die USA durch Microsoft ist möglich. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO): Die Microsoft Corporation hat sich nach eigener Angabe nach diesem Rahmen zertifiziert. Wer sich mit Benutzername oder E-Mail-Adresse und Passwort anmeldet, ist davon nicht betroffen.

Projekte, Medien, Vorlagen und Fassungen

Was Sie im Editor ablegen, speichern wir für Ihre Firma: Projekte, hochgeladene Medien (Datei, Name, Größe, Maße), Ordner, Vorlagen mit ihren Feldern, die Freigaben von Vorlagen an Firmen oder Benutzer und die Fassungen — also ausgefüllte Vorlagen samt den eingetragenen Texten und dem fertigen Widget. Dazu speichern wir, welches Konto etwas angelegt oder zuletzt geändert hat, Vorschaubilder und den belegten Speicher der Firma. Welche Inhalte das sind — auch, ob sie Angaben über Personen enthalten —, entscheidet der Kunde. Beim Hochladen prüft unser Server, ob der Inhalt einer Datei zu ihrer Endung passt; die Datei wird dafür an niemanden weitergegeben.

Medien sind in der Voreinstellung nur mit Anmeldung abrufbar. Kennzeichnet ein Benutzer ein Medium als öffentlich, ist es über seine Adresse ohne Anmeldung abrufbar. Wird ein Projekt, ein Medium, eine Vorlage oder eine Fassung gelöscht, löscht der Dienst auch die zugehörige Datei. Wird eine Firma gelöscht, löscht der Dienst ihre Konten, Medien, Vorlagen, Fassungen und Dateien.

Vorlagen einer Firma sind für andere Firmen nicht sichtbar und lassen sich nicht an eine andere Firma geben.

Einstellungen der Firma

Zu einer Firma speichern wir Name, Kürzel der Anmeldeadresse, Logo und Farben, Laufzeit der Lizenz, Speicherkontingent, freigegebene Funktionen, die Vorgaben für Zwei-Faktor-Anmeldung, „Passwort vergessen“ und die Anmeldung über Microsoft (das Geheimnis der Anwendung verschlüsselt) sowie die Vorgaben für den Editor.

Empfänger

• Hetzner (Hosting) als Unterauftragsverarbeiter, siehe Abschnitt 2.
• Microsoft — nur wenn die Firma die Anmeldung über Microsoft eingerichtet hat und Sie sie benutzen.
• Die Hetzner Online GmbH (Gunzenhausen, Deutschland) als Anbieter des Postfachs für den Postausgang — nur für den Link bei „Passwort vergessen“, wenn die Firma es eingeschaltet hat.

Weitere Empfänger gibt es nicht. Zu den Abrufen einzelner Editor-Elemente siehe Abschnitt 6.

Auskunft über Ihre Daten

Unter „Mein Konto“ können Sie mit „Meine Daten herunterladen“ alles, was dieser Dienst zu Ihrem Konto speichert, selbst als ZIP-Datei abrufen: Ihre Angaben, Ihre Sitzungen, die Einträge des Sicherheitsprotokolls zu Ihrem Konto und die Listen Ihrer Projekte, Medien, Vorlagen und Fassungen samt den eingetragenen Texten. Passwörter, Prüfwerte und Geheimnisse sind nicht enthalten; die Dateien selbst laden Sie im Editor und im Medienpool herunter. Wir fragen dafür Ihr Passwort ab, und der Abruf steht im Sicherheitsprotokoll. Während einer Übernahme ist der Abruf gesperrt.

6. Externe Inhalte im Editor und in den Widgets

Einige Elemente holen ihre Daten nicht von uns. Das geschieht erst, wenn ein Benutzer ein solches Element in ein Projekt einfügt — im Editor, in der Vorschau und später auf jedem Bildschirm, der das fertige Widget abspielt.

Wetter: direkter Abruf durch den Browser

Das Element „Wetter“ ruft seine Daten direkt aus dem Browser ab. Dabei erhalten die folgenden Dienste die IP-Adresse des Browsers bzw. des Bildschirms und den eingestellten Ort (Postleitzahl, Ortsname oder Koordinaten):

• OpenPLZ API (openplzapi.org) — Ort zur Postleitzahl,
• Open-Meteo (geocoding-api.open-meteo.com, api.open-meteo.com) — Koordinaten zum Ort und Wettervorhersage,
• Bright Sky (api.brightsky.dev) — Wetterdaten des Deutschen Wetterdienstes, nur ersatzweise, wenn Open-Meteo nicht antwortet.

Nach unserer Prüfung vom 31.07.2026 stehen die Server dieser Dienste in Deutschland.

Abfahrt, RSS-News, Kalender und Externe Quelle: Abruf über unseren Server

Diese Elemente lassen unseren Server die Adresse abrufen, die im Element eingetragen ist — einen RSS-Feed, einen Kalender, eine Tabelle oder Datei, etwa auch eine Google-Tabelle (docs.google.com). Das Element „Abfahrt“ fragt in der Voreinstellung die Abfahrtszeiten der Münchner Verkehrsgesellschaft (www.mvg.de) ab. Der Anbieter der Adresse sieht dabei unseren Server und die Kennung StageBuilder-Proxy/1.0, nicht Ihren Browser; Cookies oder Anmeldedaten gibt unser Server nicht weiter. Die abgerufenen Inhalte reicht er nur durch — er speichert und protokolliert sie nicht. Auch fertige Widgets auf Bildschirmen nutzen diesen Weg; unser Server verarbeitet dabei die IP-Adresse des Bildschirms, um zu antworten.

Webseite und Bild (URL): direkt vom Anbieter

Fügt ein Benutzer mit dem Element „Webseite“ eine fremde Seite oder mit „Bild (URL)“ ein Bild von einer fremden Adresse ein, lädt der Browser diese Inhalte direkt vom jeweiligen Anbieter; dabei erhält dieser die IP-Adresse des Browsers bzw. des Bildschirms. Welche Inhalte das sind, entscheidet der Kunde. Eine eingebettete Webseite läuft in einem eigenen Rahmen und hat keinen Zugriff auf Ihre Anmeldung bei stage-builder.de.

Alles Übrige kommt von uns

Schriften, Uhren, QR-Codes, Vorlagen und die Programmteile des Editors liefert dieser Dienst selbst aus oder sie stecken im heruntergeladenen Widget; dafür wird kein fremder Server angesprochen.

7. Ihre Rechte

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:

• Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, benötigen wir in der Regel Zeit, um dies zu überprüfen. Für die Dauer der Prüfung haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung der Datenverarbeitung verlangen.
• Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, haben Sie das Recht, statt der Löschung die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung zwischen Ihren und unseren Interessen vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Wenn Sie die Verarbeitung Ihrer personenbezogenen Daten eingeschränkt haben, dürfen diese Daten – von ihrer Speicherung abgesehen – nur mit Ihrer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Europäischen Union oder eines Mitgliedstaats verarbeitet werden.