HESADatenschutzerklärung
Stand: 22. September 2026
1. Verantwortlicher
HesaTech – Hesam Salehi
Torfbruchstraße 83
40625 Düsseldorf
Deutschland
E-Mail: info@hesatech.de
2. Das Wichtigste in Kürze
HesaPlay ist ein Player ohne Inhalte. Wir setzen keine Cookies zu Werbe- oder Analysezwecken ein, nutzen kein Tracking und laden keine Schriften oder Skripte von fremden Servern. Zugangsdaten zu deiner Playlist können wir nicht lesen: Sie bleiben auf deinem Gerät oder werden vor der Übertragung auf deinem Handy verschlüsselt.
3. Hosting und Server
Unser Server wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben (Rechenzentrum in der EU). Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse, um die Verbindung herzustellen. Zur Abwehr von Missbrauch (Begrenzung von Anfragen, Schutz vor dem Durchprobieren von Gerätecodes) halten wir IP-Adressen kurzzeitig im Arbeitsspeicher, höchstens eine Stunde, und speichern sie nicht dauerhaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
4. Geräteregistrierung, Testphase und Lizenz
Damit Testphase und Lizenz funktionieren, speichern wir je Gerät: eine Geräte-ID im MAC-Format, die per Einweg-Hash aus einer Gerätekennung abgeleitet wird (keine echte MAC-Adresse), einen 6-stelligen Gerätecode, einen Prüfwert (Hash) eines Geräteschlüssels, den öffentlichen Schlüssel für die verschlüsselte Zustellung, Plattform und App-Version, Zeitpunkt der Einrichtung und der letzten Verbindung sowie Test- und Lizenzstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Geräte ohne Lizenz löschen wir automatisch 12 Monate nach der letzten Verbindung; Geräte mit Lizenz, solange die Lizenz besteht.
5. Playlist per QR-Code senden
Die Daten, die du auf play.hesatech.de eingibst, werden in deinem Browser mit dem öffentlichen Schlüssel deines Geräts verschlüsselt. Unser Server speichert nur den verschlüsselten Datensatz, bis dein Gerät ihn abholt, höchstens 24 Stunden, und kann ihn nicht entschlüsseln. Unterstützt ein sehr altes Gerät keine Verschlüsselung, wird der Datensatz per HTTPS übertragen und ebenfalls nach dem Abruf, spätestens nach 24 Stunden, gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
6. Sicherung
Wenn du eine Sicherung anlegst, werden Playlists, Favoriten und Einstellungen auf deinem Gerät mit deinem Passwort verschlüsselt. Wir speichern den verschlüsselten Datensatz, einen Salt-Wert und einen Hash eines Prüfwerts, nicht dein Passwort. Ohne Passwort können weder wir noch andere die Sicherung lesen. Du kannst die Sicherung in der App jederzeit löschen; spätestens wird sie mit der Geräteregistrierung gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7. Verbindung zu deinem Anbieter
Die App verbindet sich direkt mit dem Server deines IPTV-Anbieters, um Senderlisten, Programmdaten, Bilder und Streams zu laden. Dabei erhält dein Anbieter insbesondere deine IP-Adresse und deine Zugangsdaten. Für diese Verarbeitung ist dein Anbieter verantwortlich; wir haben darauf keinen Zugriff. Das Laden von Senderlogos und Bildern kannst du in den Einstellungen abschalten.
8. Kauf der Lizenz
Die Zahlung wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Stripe verarbeitet deine Zahlungsdaten und E-Mail-Adresse in eigener Verantwortung (Datenschutzhinweise von Stripe); dabei kann eine Übermittlung an die Stripe, Inc. in den USA erfolgen, die unter dem EU-US Data Privacy Framework zertifiziert ist. Wir erhalten von Stripe deine E-Mail-Adresse, Betrag, Währung, Zahlungsnummer und Zeitpunkt, keine Kartendaten. Außerdem speichern wir den Zeitpunkt deiner Erklärung zur sofortigen Freischaltung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO. Die Daten bewahren wir auf, solange gesetzliche Aufbewahrungspflichten bestehen, insbesondere nach § 147 AO.
9. E-Mails
Kaufbestätigungen und Eingangsbestätigungen für einen Widerruf versenden wir über das E-Mail-Postfach unserer Domain, das bei der Porkbun LLC (USA) gehostet wird. Die Übermittlung ist zur Erfüllung des Vertrags und unserer gesetzlichen Pflichten erforderlich (Art. 6 Abs. 1 lit. b und c, Art. 49 Abs. 1 lit. b DSGVO).
10. Widerrufsfunktion
Wenn du die Widerrufsfunktion nutzt, verarbeiten wir deinen Namen, die Angaben zum Vertrag, deine E-Mail-Adresse sowie Datum und Uhrzeit des Eingangs, um den Widerruf zu bearbeiten und dir die gesetzlich vorgeschriebene Eingangsbestätigung zu senden (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB). Wir speichern diese Angaben bis zum Ablauf der Verjährungsfristen, in der Regel drei Jahre zum Jahresende.
11. Kontaktformular und E-Mail
Wenn du uns schreibst, verarbeiten wir Name, E-Mail-Adresse und Nachricht, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen die Anfrage, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.
12. Speicher auf deinem Gerät
Die App speichert Playlists, Einstellungen, Favoriten und den Wiedergabestand lokal auf deinem Gerät. Die Webseite speichert nur die gewählte Sprache im lokalen Speicher deines Browsers. Beides ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
13. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Du kannst der Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO). Schreib uns dazu an info@hesatech.de und nenne, wenn es um ein Gerät geht, die Geräte-ID.
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
14. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Für Testphase und Lizenz sind die Gerätedaten erforderlich; ohne sie kann die App keine Lizenz prüfen. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.
Privacy policy
English version for information. The German version above prevails.
Controller: HesaTech – Hesam Salehi, Torfbruchstraße 83, 40625 Düsseldorf, Germany, info@hesatech.de.
In short: no advertising or analytics cookies, no tracking, no third-party fonts or scripts. We cannot read your playlist login details; they stay on your device or are encrypted on your phone before transfer.
Hosting: Hetzner Online GmbH, Gunzenhausen, Germany (data processing agreement in place). IP addresses are processed to establish connections and kept in memory for at most one hour for abuse protection (Art. 6(1)(f) GDPR).
Device registration: device ID in MAC format derived by one-way hash (not a real MAC address), device code, hash of a device key, public key for encrypted delivery, platform, app version, timestamps, trial and licence status (Art. 6(1)(b) GDPR). Devices without a licence are deleted 12 months after the last connection.
QR delivery: encrypted in your browser; our server only stores the encrypted record until your device fetches it, at most 24 hours. Backup: encrypted on your device with your password; we store the encrypted record, a salt and a hash of a check value, never your password.
Your provider: the app connects directly to your IPTV provider, who receives your IP address and login details and is responsible for that processing.
Purchase: payments are processed by Stripe Payments Europe, Ltd., Dublin, Ireland (possible transfer to Stripe, Inc., USA, certified under the EU-US Data Privacy Framework). We receive email, amount, payment ID and time, no card data, and keep them as required by tax law. Confirmation emails are sent via our domain mailbox hosted by Porkbun LLC (USA) (Art. 49(1)(b) GDPR).
Withdrawal function and contact: name, contract details, email and time of receipt are processed to handle the withdrawal and send the statutory confirmation (Art. 6(1)(c) GDPR); contact requests are deleted once handled.
Your rights: access, rectification, erasure, restriction, portability and objection (Art. 15–21 GDPR), and the right to lodge a complaint with a supervisory authority, e.g. the data protection authority of North Rhine-Westphalia (LDI NRW), Düsseldorf.