Zurück

Datenschutzerklärung

Stand: 7. Oktober 2026

Kurz vorweg: Dieser Dienst wirbt nicht und nutzt keine Analysedienste. Er speichert, was du selbst einträgst (Playlists, Favoriten), was für Anmeldung, Weiterschauen, Abrechnung und Sicherheit nötig ist — und ein Protokoll, wer wann was geschaut oder heruntergeladen hat. Weitergegeben wird nur, was zum Abspielen technisch nötig ist (siehe unten). Einen Film, den du zum Mitnehmen herunterlädst, löscht der Server, sobald dein Gerät ihn abgeholt hat, sonst spätestens 24 Stunden, nachdem er fertig vorbereitet ist; eine nächtliche Sicherung des ganzen Servers kann ihn bis zu etwa zwei Monate enthalten. Auf deinem Gerät löschst du ihn selbst, spätestens beim ersten Öffnen der App nach 30 Tagen tut es die App (mehr dazu unten).

Verantwortlich

Welche Daten auf dem Server liegen

• Zugang: Benutzername und Passwort. In der Datenbank steht das Passwort nur als Prüfwert (scrypt) — daraus lässt es sich nicht zurückrechnen. Die Fernseher-App schickt es allerdings bei jedem Abruf in der Adresse mit; so verlangt es ihr Verfahren. Bevor eine Adresse ins Protokoll geschrieben wird, werden Benutzername und Passwort darin unkenntlich gemacht. Außerdem steht beim Zugang, wann er zuletzt benutzt wurde, mit welcher IP-Adresse und welchem Browser oder welcher App, und wann das Passwort zuletzt geändert wurde. Gespeichert ist davon immer nur der letzte Stand. Dazu kommt, was der Betreiber zum Zugang einträgt: Anzeigename, eine Notiz, Ablaufdatum, Testzeitraum und — falls der Zugang gekauft wurde — Kaufdatum und eine Notiz zur Zahlung. Ob ein Zugang Filme herunterladen darf, vermerkt der Betreiber in den Einstellungen des Dienstes, nur mit der Nummer des Zugangs.
• Anmeldungen an der Verwaltung (nur der Betreiber): wann sie begann und zuletzt benutzt wurde, mit welcher IP-Adresse und welchem Browser und auf welchem Weg (nur Passwort oder Passwort und Face ID); der Anmeldeschlüssel nur als Prüfwert. Sie endet nach zwölf Stunden und wird spätestens eine Viertelstunde danach gelöscht. Passkeys der Verwaltung liegen so auf dem Server, wie es unten für die App beschrieben ist.
• Anmeldungen: für jedes Gerät, auf dem du in der App angemeldet bist, wann und auf welchem Weg (Passwort, Face ID oder QR-Code) es angemeldet wurde, wann es zuletzt benutzt wurde, mit welcher IP-Adresse und welchem Browser — jeweils nur der letzte Stand. Der Anmeldeschlüssel selbst wird nur als Prüfwert gespeichert. Diese Liste siehst du in der App unter „Konto“: das Gerät (etwa „Safari auf iPhone“), wann es zuletzt benutzt wurde, auf welchem Weg es angemeldet wurde und grob, von wo — „zu Hause“ oder „unterwegs“ mit dem Anfang der IP-Adresse; die volle Adresse wird nicht angezeigt. Dort kannst du jede Anmeldung einzeln oder alle anderen auf einmal beenden; ihr Eintrag wird dann sofort gelöscht. Auf einem per QR-Code angemeldeten Gerät (etwa im Auto) geht das nur für dieses Gerät selbst; die anderen beendest du auf deinem Telefon, und nur dort änderst du auch dein Passwort. Änderst du dort dein Passwort, werden alle anderen Anmeldungen beendet; das Gerät, an dem du es änderst, bleibt angemeldet. Die Fernseher-App steht nicht in dieser Liste, weil sie bei jedem Abruf Benutzername und Passwort mitschickt; darunter steht nur, wann sie sich zuletzt gemeldet hat — das liest der Server aus dem Zugriffsprotokoll. Nach einem Passwortwechsel muss sie das neue bekommen. Damit sie sich bis dahin nicht selbst aussperrt, erkennt der Server nach einem Wechsel in der App das bisherige Passwort noch bis zu sieben Tage lang wieder (ein Neustart des Dienstes beendet das früher), wenn sich die Fernseher-App oder die App damit anmelden will — nur im Arbeitsspeicher und nur, um es abzuweisen und der Fernseher-App zu sagen, dass es geändert wurde, ohne es als Fehlversuch zu zählen; anmelden kann sich damit niemand, und höchstens alle fünf Minuten je Zugang steht ein solcher Versuch im Zugriffsprotokoll. Beim erneuten Ändern des Passworts zählt es dagegen wie ein falsches bisheriges Passwort (siehe unten). Der Betreiber kann in der Verwaltung alle Anmeldungen eines Zugangs auf einmal beenden, ohne das Passwort zu ändern.
• Face ID (Passkeys): Richtest du „Anmelden mit Face ID“ ein, erzeugt dein Gerät dafür einen eigenen Schlüssel, einen sogenannten Passkey. Sein geheimer Teil bleibt auf deinem Gerät; der Server bekommt ihn nie. Auf dem Server liegen nur: der öffentliche Schlüssel, mit dem er deine Bestätigung prüft, die Kennung des Passkeys, eine Kennung deines Zugangs, aus der sich weder dein Name noch dein Passwort errechnen lässt, die Adresse dieses Dienstes, für die er gilt, ein Zähler, den dein Gerät bei jeder Anmeldung mitschickt, ob der Passkey auf deine anderen Geräte übertragen werden kann und ob er beim Einrichten schon gesichert war (etwa im iCloud-Schlüsselbund), die Typkennung des Schlüsselspeichers, die dein Gerät mitschickt (etwa „iCloud-Schlüsselbund“, keine Seriennummer), auf welchen Wegen dein Gerät ihn anbietet, sein Name (in der App wählst du ihn beim Einrichten, vorgeschlagen etwa „iPhone“; sonst steht dort das Gerät), grob, auf welchem Gerät er eingerichtet wurde (etwa „Safari auf iPhone“, aus der Browserkennung), wann er eingerichtet und wann er zuletzt benutzt wurde. Dein Gesicht, dein Fingerabdruck und dein Gerätecode verlassen dein Gerät nie. Der Server erfährt nur, dass dein Gerät dich erkannt hat, nicht womit. Einen Herstellernachweis deines Geräts verlangt er nicht. Die Aufgabe, die dein Gerät dafür unterschreibt, gilt fünf Minuten und nur einmal und liegt nur im Arbeitsspeicher. Die App holt sie schon, sobald sie auf einem Gerät mit Face ID oder Ähnlichem (etwa Touch ID) die Anmeldung zeigt — auch wenn du dich dann mit dem Passwort anmeldest —, und holt, solange die Seite offen ist, etwa alle anderthalb Minuten eine neue; die alte gibt sie dabei frei. Ebenso holt eine das Telefon, sobald es einen QR-Code öffnet und sein Browser Passkeys unterstützt (das tun alle aktuellen iPhones) — auch wenn für deinen Zugang Face ID gar nicht eingerichtet ist und du dann mit dem Passwort bestätigst. Zu einer solchen Aufgabe vor der Anmeldung merkt sich der Server auch die IP-Adresse des Geräts (bei IPv6 nur den Netzanteil), damit ein einzelner Anschluss nicht beliebig viele Aufgaben offen halten kann. Spätestens eine Viertelstunde nach Ablauf wird sie gelöscht, ein Neustart des Dienstes löscht sie sofort. Beim Passkey selbst steht keine IP-Adresse; eine Anmeldung mit Face ID wird gespeichert und protokolliert wie jede andere (siehe oben und unten). Deine Passkeys siehst du in der App unter „Konto“ und kannst sie dort entfernen, nur nicht auf einem per QR-Code angemeldeten Gerät; hast du dich dort nicht erst vor höchstens zehn Minuten mit dem Passwort angemeldet und dein Passwort auch nicht in den letzten fünf Minuten schon einmal bestätigt, fragt die App dabei nach deinem Passwort (die Bestätigung merkt sich der Server nur im Arbeitsspeicher, zu dieser Anmeldung). Einen entfernten Passkey nimmt der Server danach nicht mehr an. Änderst du dein Passwort in der App, kannst du dabei alle deine Passkeys mit entfernen lassen. Setzt der Betreiber dein Passwort neu, entfernt das auch deine Passkeys (wie viele, steht im Zugriffsprotokoll); beendet er nur deine Anmeldungen, bleiben sie, und er kann sie in der Verwaltung gesondert entfernen.
• Anmelden per QR-Code (etwa im Auto): Lässt du auf einem Gerät einen QR-Code anzeigen, merkt sich der Server dazu nur im Arbeitsspeicher: Prüfwerte des Codes im Bild und eines zweiten Schlüssels, den nur dieses Gerät kennt, die Kontrollzahl samt zwei Ablenkzahlen, die IP-Adresse und die Browserkennung dieses Geräts, wann der Code erzeugt wurde und ob ihn schon ein Telefon geöffnet hat; nach der Bestätigung auch, welcher Zugang bestätigt hat, und nach dem Abholen eine Minute lang den Anmeldeschlüssel selbst. Die Anfrage gilt fünf Minuten und nur einmal, bestätigst du kurz vor Ablauf, eine Minute länger; danach wirkt sie nicht mehr und wird spätestens eine Viertelstunde später gelöscht, ein Neustart des Dienstes löscht sie sofort. Das Telefon, das den Code scannt, bekommt die drei Zahlen zu sehen und grob, was sich anmelden will und von wo (etwa „Tesla-Browser, unterwegs“ mit dem Anfang der IP-Adresse, dazu, ob es im selben Netz ist wie das Telefon), nie die ganze IP-Adresse. Bestätigst du, bekommt das Gerät eine Anmeldung wie mit dem Passwort, mit seiner IP-Adresse und Browserkennung (siehe oben). Gibst du dabei am Telefon dein Passwort ein, meldet sich das Telefon selbst an — auch dann, wenn die Bestätigung danach nicht klappt (etwa weil für deinen Zugang Face ID verlangt wird oder die Anfrage inzwischen abgelaufen ist). Diese Anmeldung steht wie jede andere unter „Konto“ und lässt sich dort beenden. Den Anmeldeschlüssel gibt der Server nur an das Gerät mit dem QR-Code heraus, bricht die Verbindung dabei ab, noch einmal innerhalb einer Minute; danach gibt er ihn nicht mehr heraus und löscht ihn mit der Anfrage. In der Liste unter „Konto“ steht das Gerät mit dem Weg „QR-Code“. Den QR-Code erzeugt unser Server selbst, ohne fremden Dienst. Der Code steht in der Adresse hinter dem „#“; so landet er in keinem Protokoll unseres Servers, und die Seite entfernt ihn sofort aus der Adresszeile. Reißt die Verbindung zum Gerät genau beim Anmelden ab, kann die Anmeldung trotzdem in deiner Liste unter „Konto“ stehen, bis du sie beendest oder sie abläuft.
• Eingetragene Playlists: die Adresse, bei Xtream-Playlists dazu Benutzername und Passwort des Anbieters, und ein PIN, falls du einen setzt (der nur als Prüfwert). Das Anbieter-Passwort einer Xtream-Playlist muss der Server im Klartext benutzen können, um sich beim Anbieter anzumelden; in der Datenbank liegt es darum verschlüsselt (AES-256-GCM). Bei einer M3U-Playlist speichert der Server die Adresse so, wie du sie eingefügt hast. Stehen darin Zugangsdaten, liegen sie unverschlüsselt in der Datenbank. Damit die App ohne Wartezeit startet, hält der Server außerdem eine Kopie des Inhaltsverzeichnisses jeder Playlist vor. Darin stehen die Zugangsdaten des Anbieters so, wie er sie in jede seiner Adressen schreibt. Die Kopie liegt geschützt neben der Datenbank, wird mit der Playlist gelöscht und ist wie die Datenbank in der Sicherung des ganzen Servers enthalten (siehe unten). Bei einer Xtream-Playlist fragt der Server den Anbieter außerdem nach dem Stand des Zugangs: Status, Ablaufdatum und wie viele Verbindungen erlaubt und gerade belegt sind. Ein Film oder Sender wird dabei nicht geöffnet. Das geschieht eine Minute nach jedem Start des Dienstes und danach alle zwölf Stunden; wenn der Anbieter in der App eine Wiedergabe abweist, weil alle Verbindungen belegt sind (dann alle 15 Sekunden, höchstens fünf Minuten lang, solange die Meldung offen ist); vor manchen Umwandlungen eines Films; direkt nachdem ein Download für eine Wiedergabe angehalten wurde (höchstens dreimal im Abstand von 8 Sekunden); und vor dem Vorbereiten eines Downloads (höchstens alle 30 Sekunden) oder wenn der Betreiber in der Verwaltung „Beim Anbieter nachfragen“ drückt — dann einmal für jeden Anbieter-Zugang, der in einer aktiven Xtream-Playlist steht. Status und Ablaufdatum aus der regelmäßigen Abfrage, aus der Abfrage in der App und aus der Nachfrage in der Verwaltung oder rund um einen Download speichert der Server mit dem Zeitpunkt der Antwort in der Datenbank; die App zeigt dir damit, bis wann dein Abo läuft. Die Zahl der Verbindungen merkt er sich nur im Arbeitsspeicher, bis zum nächsten Neustart. Der Betreiber sieht in der Verwaltung unter „Anbieter-Platz“ je Anbieter-Zugang die Namen der Playlists und ihrer Besitzer, ob das Abo läuft und bis wann, wie viele Verbindungen erlaubt sind, was der Anbieter zuletzt gemeldet hat (etwa „1 von 1“), welche Wiedergabe oder welcher Download über diesen Server den Platz gerade belegt, und einen Hinweis, wenn der Zugang offenbar gerade außerhalb dieses Servers benutzt wird — direkt beim Anbieter oder mit einer anderen App mit denselben Zugangsdaten.
• Nutzung: wo du in einem Film der eigenen Mediathek stehengeblieben bist, deine Favoriten, selbst angelegte Kategorien und was du in einer Playlist umbenannt, ausgeblendet oder umsortiert hast.
• Geräte (nur wenn du eins anmeldest): Geräte-Kennung, MAC-Adresse, Bezeichnung, Modell, App-Version und wann es zuletzt gesehen wurde — mit der IP-Adresse dieses Zeitpunkts.
• Herunterladen (Filme zum Mitnehmen): Hat der Betreiber es für deinen Zugang eingeschaltet, bietet die App auf dem Home-Bildschirm bei Filmen und Folgen aus deinen Playlists „Herunterladen“ an. Tippst du darauf, holt unser Server den Film beim Anbieter und rechnet ihn in eine kleinere Bildqualität um, damit die Datei klein bleibt – „Klein“ (360p), „Mittel“ (480p) oder „Groß“ (720p), wie du es beim Herunterladen wählst. Du kannst auch eine ganze Staffel auf einmal bestellen; dann ist jede Folge ein eigener Auftrag, und der Server bereitet sie nacheinander vor. Den Auftrag merkt er sich nur im Arbeitsspeicher: welcher Zugang welchen Titel mit welcher Ton- und Untertitelsprache haben möchte, von welcher IP-Adresse und mit welchem Browser, zu welcher Anmeldung und wie weit er ist. Ein Neustart des Dienstes löscht ihn. Vom Antippen, bis dein Gerät den Film abgeholt hat, sieht der Betreiber in der Verwaltung, für welchen Zugang, welchen Titel und wie weit — beim Vorbereiten unter „Läuft gerade“ wie eine Wiedergabe, von der IP-Adresse nur den Anfang — und kann den Auftrag dort beenden. Wer aus der Familie in dieser Zeit schauen will, erfährt nur, dass gerade ein Film heruntergeladen wird, nicht von wem und nicht welcher. Den Film schreibt der Server in Teilen und dann als eine Datei auf seine Festplatte — unter einem zufälligen Namen, ohne deinen Namen und ohne den Titel (auch in der Datei selbst steht er nicht), und nur für den Dienst selbst lesbar. Hat dein Gerät die Datei vollständig abgeholt, meldet die App das dem Server, und er löscht sie. Ohne Abholen löscht er sie spätestens 24 Stunden nach dem Fertigstellen; wird ein Auftrag nicht innerhalb von 24 Stunden fertig, gibt er ihn auf und löscht, was er schon hat. Sofort löscht er Auftrag und Dateien, wenn du den Auftrag in der App abbrichst, wenn der Betreiber ihn beendet, Downloads anhält oder für deinen Zugang abschaltet, und bei einem Neustart des Dienstes; endet deine Anmeldung auf dem Gerät, von dem der Auftrag kam, oder wird dein Zugang gesperrt, spätestens eine Minute danach. Bricht ein Auftrag ab, merkt sich der Server bis zu 48 Stunden im Arbeitsspeicher nur Auftragsnummer, Zugang, Grund und Zeit – ohne Titel –, damit die App dir den Grund zeigen kann. Liegt eine solche Datei oder ein Teil davon gerade auf dem Server, wenn nachts der ganze Server gesichert wird, ist sie in dieser Sicherung enthalten, bis die Sicherung gelöscht wird (siehe unten). Ob und wann du einen geladenen Film ansiehst oder löschst, erfährt der Server nicht.
• Zugriffsprotokoll: Zeitpunkt, Benutzername, Art des Vorgangs (Anmeldung, fehlgeschlagene Anmeldung, Start eines Films oder Senders, Auftrag zum Herunterladen eines Films, Abruf einer Playlist oder des Programmführers, abgelehnter Zugriff, Änderungen an Playlists und Geräten, Ändern des Passworts, Beenden von Anmeldungen, Einrichten und Entfernen eines Passkeys, Anmelden eines Geräts per QR-Code, Anmeldungen an der Verwaltung und einzelne Handlungen des Betreibers dort, etwa das Beenden einer Wiedergabe oder das Erlauben von Downloads für einen Zugang), IP-Adresse und die Kennung des Browsers oder der App. Bei einer fehlgeschlagenen Anmeldung steht der eingegebene Benutzername dabei, das Passwort nicht. Beim Ändern des Passworts steht dabei, dass es geändert wurde und wie viele andere Anmeldungen beendet wurden, nie das alte oder das neue Passwort. Werden dabei Passkeys mit entfernt, steht auch deren Zahl dabei. Bei einer Anmeldung mit Face ID steht dabei, dass sie mit Face ID geschah. Versuche mit einem Passkey, den der Server nicht kennt, und Versuche nach Ablauf der Aufgabe werden nicht protokolliert; wird ein bekannter Passkey bei der Prüfung abgewiesen, steht der Zugang dabei. Stimmt der Passkey, ist dein Zugang aber gerade deaktiviert, abgelaufen oder nicht freigeschaltet, steht die Ablehnung ebenso darin wie bei einer Anmeldung mit Passwort; als zuletzt benutzt gilt der Passkey dann nicht. Beim Einrichten eines Passkeys stehen sein Name und grob das Gerät dabei. Eine Anmeldung per QR-Code ergibt zwei Einträge: die Bestätigung mit IP-Adresse und Browserkennung des Telefons und die Anmeldung mit denen des Geräts, das angemeldet wurde. Bei Filmen und Sendern aus der eigenen Mediathek, bei jeder Umwandlung eines Films und bei jedem Auftrag zum Herunterladen steht der Titel dabei (beim Herunterladen auch die Bildqualität; lädst du eine ganze Staffel herunter, steht dort eine Zeile für die Staffel mit der Nummer der Serie beim Anbieter, der Staffel und der Zahl der Folgen), bei Playlists deren Name, bei Geräten der Anfang der MAC-Adresse oder der Gerätekennung. Der Betreiber kann dort also sehen, wer wann was geschaut oder heruntergeladen hat. Filme und Sender aus eingetragenen Playlists, die ohne Umwandlung laufen, stehen nicht im Zugriffsprotokoll. Solange ein Film oder Sender läuft — aus der eigenen Mediathek, aus einer eingetragenen Playlist oder als Umwandlung —, merkt sich der Server außerdem im Arbeitsspeicher, welcher Zugang ihn mit welcher IP-Adresse und welchem Browser oder welcher App gerade abruft und wie der Titel heißt. Der Betreiber sieht das in der Verwaltung unter „Läuft gerade“, von der IP-Adresse nur den Anfang, und kann eine Wiedergabe dort beenden. Auf die Festplatte kommt davon nur, welcher Zugang welchen Titel der eigenen Mediathek seit wann abruft (ohne IP-Adresse und Browser, mit dem Ende der Wiedergabe gelöscht), und die Zeilen im Betriebsprotokoll (siehe unten); der Eintrag im Arbeitsspeicher wird spätestens zwei Minuten nach dem Ende der Wiedergabe gelöscht. Beendet der Betreiber eine Wiedergabe, weist der Server eine Minute lang jeden neuen Start von dieser Anmeldung ab — beim Fernseher und bei Links ohne Anmeldung von diesem Zugang und dieser IP-Adresse. Bei einer Anmeldung in der App gelten außerdem die Abspiel-Links von vor dem Beenden nie wieder; dafür merkt sich der Server etwas mehr als sechs Stunden lang in unlesbarer Form, dass und wann diese Anmeldung beendet wurde. Auch das liegt nur im Arbeitsspeicher. Bei einer Umwandlung schickt die App außerdem deine bevorzugte Ton- und Untertitelsprache mit. Der Server wählt damit die Spuren und behält die Wahl nur für diese Wiedergabe im Arbeitsspeicher. Welche Ton- und Untertitelspuren ein Titel hat, behält er bis zu zehn Minuten im Arbeitsspeicher, damit ein Wechsel den Anbieter nicht noch einmal fragt. Ob Untertitel mitliefen, lässt sich im Betriebsprotokoll an den aufgerufenen Adressen ablesen, die Sprache nicht.
• Fehlversuche: Wer sich beim Anmelden vertippt, wird gezählt — nach Benutzername und IP-Adresse zusammen, nach der IP-Adresse allein und nach dem Benutzernamen (getrennt nach Heimnetz und Internet). Nach zehn Fehlversuchen in 15 Minuten von demselben Gerät sind fünf Minuten Pause fällig. Wer von einem Anschluss aus viele Versuche macht oder einen Namen von vielen Anschlüssen aus probiert, muss bis zu einer Stunde warten. Von einer IP-Adresse, an der sich ein Zugang in den letzten 60 Tagen erfolgreich angemeldet hat, zählen für diesen Zugang nur die eigenen Fehlversuche — so kann ein Fremder deinen Fernseher nicht aussperren. Dafür merkt sich der Server diese Adressen. Nach einem Neustart liest er sie aus dem Zugriffsprotokoll und den Anmeldungen neu ein, zusätzlich gespeichert wird dafür nichts. Ähnlich zählt der Server je Zugang oder je IP-Adresse Abrufe, die in kurzer Zeit zu oft kommen, und je Zugang falsche PIN-Eingaben. Diese Zähler und die Liste der Adressen liegen nur im Arbeitsspeicher. Abgelaufene Einträge wirken nicht mehr, gelöscht werden sie aber erst nach und nach, spätestens beim nächsten Neustart des Dienstes. Zusätzlich steht jede geprüfte fehlgeschlagene Anmeldung in der App und in der Fernseher-App im Zugriffsprotokoll (siehe oben; mit dem bisherigen Passwort nach einem Wechsel höchstens alle fünf Minuten); Versuche während einer Pause werden ungeprüft abgewiesen und stehen nur im Betriebsprotokoll. Gibst du beim Ändern deines Passworts das bisherige falsch ein, zählt das wie ein Fehlversuch bei der Anmeldung und steht ebenso im Zugriffsprotokoll; ebenso, wenn dich die App beim Einrichten oder Entfernen von Face ID nach deinem Passwort fragt und du es falsch eingibst. Für die Verwaltung gelten strengere Grenzen (Pausen bis zu zwei Stunden). Anmeldungen an der Verwaltung und Fehlversuche mit ihrem Benutzernamen stehen im Zugriffsprotokoll (Zeitpunkt, IP-Adresse, Browserkennung, nie ein Passwort); Fehlversuche mit einem anderen Namen nur dann, wenn sie eine Pause auslösen, und dann ohne den eingegebenen Namen.

Was nur in deinem Browser bleibt

Einiges wird gar nicht erst an den Server geschickt, sondern liegt allein auf dem Gerät, an dem du gerade sitzt:

• dein Anmelde-Merkzettel, damit du angemeldet bleibst
• zuletzt genutzte Quelle, Bereich, Kategorie und Sprachfilter
• die zuletzt gestarteten Kanäle
• angefangene Filme und Folgen aus eingetragenen Playlists mit der Stelle, an der du aufgehört hast (für die eigene Mediathek merkt sich die Stelle der Server, siehe oben)
• welche Folgen aus eingetragenen Playlists du zu Ende geschaut hast (mit Zeitpunkt) und welche Folge als Nächstes kommt
• Lautstärke, Tempo, gewünschte Bildqualität, bevorzugte Tonsprache und deine Untertitel-Wahl (Sprache oder „aus“)
• ob Face ID auf diesem Gerät schon einmal geklappt hat, damit die App es gleich anbietet
• beim Bestätigen per QR-Code auf dem Telefon der Code, bis die Anfrage erledigt ist oder du den Tab schließt
• Filme, die du heruntergeladen hast: die Datei selbst (dazu gegebenenfalls die Untertitel), Titel, Länge, Größe und Sprache, aus welcher Playlist er stammt (ihre Nummer und die Kennung des Titels beim Anbieter, bei einer Folge auch die der Serie und der nächsten Folge), bis zum Abholen die Auftragsnummer, wann du ihn geladen hast und wo du beim Ansehen stehengeblieben bist (mehr dazu unten)
• die Programmteile der App, damit sie auch ohne Netz startet – nur in der App auf dem Home-Bildschirm von iPhone oder iPad, wenn du dort Filme herunterladen darfst oder schon welche hast

Bildqualität, Tonsprache und Untertitel-Sprache schickt die App beim Start einer Umwandlung oder eines Downloads trotzdem an den Server mit. Er nutzt sie nur für diese eine Wiedergabe oder diesen einen Download und schreibt die gewählte Sprache weder in die Datenbank noch ins Protokoll.

Das ist Absicht: Im Auto schaust du andere Sender und leiser als zu Hause, und beides soll sich nicht gegenseitig überschreiben. Es gibt keine Cookies — weder für Werbung noch zum Zählen. Wer die Browserdaten dieser Seite löscht, ist all das los und wieder abgemeldet; ob das auch die geladenen Filme der App auf dem Home-Bildschirm entfernt, bestimmt dein Gerät — sicher geht es in der App unter „Meine Downloads“.

Ein Passkey gehört nicht dazu: Ihn bewahrt dein Gerät bei seinen Passwörtern auf, zusammen mit dem Namen dieses Dienstes, deinem Benutzernamen und deinem Anzeigenamen, damit es dir den richtigen anbieten kann. Er bleibt, wenn du die Browserdaten löschst. Unter „Konto“ in der App entfernst du ihn auf dem Server — danach meldet er dich nicht mehr an. Auf deinem Gerät und im Schlüsselbund bleibt er, bis du ihn in den Passwort-Einstellungen deines Geräts löschst.

Filme zum Mitnehmen

Herunterladen geht nur in der App auf dem Home-Bildschirm. Einen geladenen Film legt sie in dem Speicher ab, den dein Gerät dieser App gibt. Welche Filme dort liegen, ob und wie weit du sie angesehen hast und wann du sie löschst, schickt die App nicht an den Server; sie meldet nur, dass eine Datei vollständig angekommen ist, damit der Server seine Kopie löscht. Wir verschlüsseln die Filme nicht zusätzlich; geschützt sind sie wie alles andere durch die Sperre deines Geräts. Wer die App auf diesem Gerät öffnet, sieht, welche Filme darauf liegen, und kann sie abspielen.

Wann du einen Film löschst, entscheidest du selbst (in der App unter „Meine Downloads“). Das geht immer, auch wenn du abgemeldet bist oder Downloads für dich abgeschaltet sind. Spätestens 30 Tage nach dem Herunterladen löscht die App ihn selbst — beim nächsten Öffnen als Erstes. Im Hintergrund kann sie nichts löschen: Ist die App geschlossen, bleibt der Film bis zum nächsten Öffnen. Drei Tage vorher weist sie dich beim Öffnen darauf hin. Verlängern lässt sich die Frist nicht. Wie viel Platz die App dafür bekommt, bestimmt dein Gerät (beim iPhone bis zu etwa 60 % seines Speichers); wird er knapp, kann es Filme auch von sich aus früher entfernen.

Meldest du dich in der App ab, fragt sie, ob die geladenen Filme auf diesem Gerät gelöscht werden sollen. Endet deine Anmeldung auf andere Weise — etwa nach einem Passwortwechsel oder in der Verwaltung —, schaltet der Betreiber Downloads für dich ab oder wird dein Zugang gelöscht, bleiben sie auf dem Gerät, bis du sie löschst oder die App sie nach den 30 Tagen löscht. Aus der Ferne löscht unser Server auf deinem Gerät keinen fertig geladenen Film; bricht er einen Download ab oder endet deine Anmeldung vorher, räumt die App nur den halb geladenen Teil weg. Nur wenn der Betreiber „Filme zum Mitnehmen“ ganz abschafft, löscht die App die geladenen Filme beim nächsten Öffnen mit Internet — ohne diese Funktion könnte sie sie weder zeigen noch nach 30 Tagen löschen. Das gilt auch, wenn er dafür zu einer früheren Fassung ohne diese Funktion zurückkehrt; die Liste mit den Titeln bleibt dann als Text im Speicher der App, bis die Websitedaten gelöscht werden. Ob dein Gerät die Filme in seine eigene Sicherung aufnimmt (etwa ein iCloud-Backup), bestimmt dein Gerät; unser Server ist daran nicht beteiligt.

Benachrichtigung „fertig vorbereitet“. Schaltest du sie in „Meine Downloads“ ein, meldet sich dein Gerät, sobald unser Server einen Download für dich fertig vorbereitet hat. Dafür speichert unser Server die Benachrichtigungs-Adresse, die dein Gerät ihm gibt. Sie gehört zum Benachrichtigungsdienst des Herstellers (beim iPhone Apple) und enthält weder deinen Namen noch einen Filmtitel. Die Nachricht, die unser Server dorthin schickt, ist leer: Apple erfährt nur, dass es für dieses Gerät etwas Neues gibt, nicht was. Den Text zeigt die App selbst. Die Adresse löscht unser Server, sobald du die Benachrichtigung ausschaltest, dich auf diesem Gerät abmeldest oder der Dienst sie als ungültig meldet, und spätestens eine Viertelstunde, nachdem Downloads für dich abgeschaltet wurden oder dein Zugang gelöscht wurde. Im Betriebsprotokoll steht nur, wie viele Nachrichten verschickt wurden.

Wer sonst noch etwas sieht

Der Anbieter deiner Playlist. Wenn ein Video läuft, muss dessen Server angesprochen werden — daran führt kein Weg vorbei. Das übernimmt unser Server: Er holt das Video beim Anbieter und reicht es an dein Gerät weiter, egal ob du die Seite über die öffentliche Adresse oder im Heimnetz aufrufst. Der Anbieter sieht dabei die IP-Adresse unseres Servers, nicht deine, und auch nicht, mit welchem Gerät oder Browser du schaust. Beim Herunterladen ist es genauso: Den Film holt unser Server beim Anbieter, dein Gerät holt ihn danach nur bei unserem Server ab. Beim Abspielen bekommt dein Gerät die Zugangsdaten des Anbieters nicht zu sehen. In der Playlist-Verwaltung siehst du bei einer Xtream-Playlist die Serveradresse und den Benutzernamen, die du selbst eingetragen hast, bei einer M3U-Playlist nur den Servernamen (bei einem gesetzten PIN erst nach dessen Eingabe).

Titel der eigenen Mediathek holt unser Server ebenfalls an der Quelle ab und reicht sie weiter, im Browser wie in der Fernseher-App. Die Quelle sieht dabei die IP-Adresse unseres Servers und die Kennung, die dein Browser oder die App selbst mitschickt, aber nicht deine IP-Adresse. Ist ein Titel auf direkte Weiterleitung gestellt, holt dein Gerät das Video selbst an der Quelle ab; dann sieht sie die IP-Adresse deines Internetanschlusses.

Was der Anbieter mit diesen Angaben macht, steht in seiner Datenschutzerklärung, nicht in unserer.

Dein Schlüsselbund. Nutzt du den iCloud-Schlüsselbund oder einen anderen Passwort-Dienst, überträgt dein Gerät einen Passkey dorthin, damit er auf deinen anderen Geräten ankommt. Unser Server ist daran nicht beteiligt; es gelten die Regeln dieses Dienstes.

Die Bildserver für Plakate und Senderlogos. Bilder, die ihr Server verschlüsselt (HTTPS) anbietet, meist von TMDB (image.tmdb.org), lädt dein Gerät direkt dort. Diese Server sehen dabei die IP-Adresse deines Geräts, erfahren aber nicht, von welcher Seite die Anfrage kommt. Bilder, die es nur unverschlüsselt (HTTP) gibt, etwa von Bildservern des Anbieters, holt unser Server und reicht sie weiter; der Bildserver sieht dann nur die IP-Adresse unseres Servers. Welches Bild du dir angesehen hast, steht nicht lesbar in unserem Protokoll. Plakate von Filmen, die schon vor dem 24. September 2026 unter „Weiterschauen“ standen, fragt dein Gerät unter Umständen noch direkt beim Bildserver an — bis der Film wieder in einer Liste angezeigt wird (bei Folgen: bis die Serie geöffnet wird) oder aus „Weiterschauen“ verschwindet. Der Bildserver sieht dabei die IP-Adresse deines Geräts. Die Fernseher-App lädt ihre Bilder selbst, direkt an der Quelle.

Für das Verschlüsselungszertifikat der Adresse wird Let's Encrypt genutzt. Darüber hinaus nichts: keine Analysedienste, keine Werbenetze, keine Schriften und keine Skripte von fremden Servern — die Programmteile der Seite kommen alle vom eigenen Server. Dein Browser bekommt dazu Sicherheitsregeln mitgeliefert und meldet dem Server, wenn auf einer dieser Seiten etwas dagegen verstößt. Zurzeit wird dabei nur gemeldet, nicht gesperrt.

Wo das läuft

Anwendung und Datenbank stehen auf eigener Infrastruktur in Deutschland. Über die öffentliche Adresse ist die Verbindung zwischen deinem Gerät und unserem Server verschlüsselt (TLS/HTTPS); ein Aufruf ohne Verschlüsselung wird dorthin umgeleitet. Dein Browser merkt sich außerdem für eine gewisse Zeit, diese Adresse nur noch verschlüsselt aufzurufen. Im Heimnetz und über das VPN ist der Server außerdem unter seiner internen Adresse erreichbar. Dieser Weg ist nicht per HTTPS verschlüsselt; er bleibt im eigenen Netz, und über das VPN verschlüsselt ihn das VPN selbst. Zwischen unserem Server und dem Anbieter ist die Verbindung in der Regel unverschlüsselt, weil der Anbieter Videos und viele Bilder nur so ausliefert. Der Betrieb ist nicht in eine Cloud ausgelagert, und es gibt keinen Dienstleister, der mitliest.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit deiner Daten (gemäß DSGVO bzw. Schweizer DSG). Playlists, Favoriten und Wiedergabestände kannst du jederzeit selbst in der App entfernen, ebenso deine Anmeldungen auf anderen Geräten, deine Passkeys und heruntergeladene Filme. Für die Löschung deines Zugangs genügt eine Nachricht an info@ipns.ch. Dann werden dein Zugang, deine Playlists samt der Kopie ihres Inhaltsverzeichnisses, deine Wiedergabestände, Favoriten, Geräte, Anmeldungen und Passkeys gelöscht; den Passkey auf deinem Gerät löschst du dort selbst. Auch der Vermerk, ob du Filme herunterladen darfst, ist dann weg, und laufende Aufträge zum Herunterladen samt ihren Dateien auf dem Server löscht der Server sofort mit; Filme, die schon auf deinem Gerät liegen, löschst du dort in der App — spätestens beim ersten Öffnen nach 30 Tagen tut es die App selbst. Was schon im Zugriffsprotokoll steht, bleibt dort mit deinem Benutzernamen, bis es nach 90 Tagen gelöscht wird. Im Betriebsprotokoll bleiben Einträge bis zu zwölf Wochen, in den Sicherungen bis zu deren Löschung (siehe oben).