Datenschutz beim Medienserver: Was lokal bleibt

Wo welche Ihrer Daten liegen. Ihre Dateien bewegen sich nie: Der Server liest die Ordner, auf die Sie ihn verweisen, auf dem Rechner, den Sie betreiben, und dabei bleibt es. Übertragen wird Ihr Konto (wer Sie sind, welche Server Sie verknüpft haben und was bei einer Neuinstallation verloren ginge). Alles darüber hinaus ist ein Schalter, den Sie selbst eingeschaltet haben.

Was bleibt und was Sie begleitet

• Medien: Der Server liest die von Ihnen gewählten Ordner und stellt sie den von Ihnen autorisierten Clients bereit. Darüber hinaus geschieht nichts mit ihnen.
• Konto- und Profilstatus: eine Anmeldung, eine Liste verknüpfter Server und der Status jeder Person, etwa Merklisten, Bewertungen, Rezensionen und die Stelle, an der Sie eine Folge angehalten haben. Installieren Sie den Server auf neuer Hardware neu, melden Sie sich an, und alles ist so, wie Sie es verlassen haben. Nur deshalb wird überhaupt etwas davon an einem anderen Ort als auf Ihrem eigenen Datenträger gespeichert.

Nutzungsanalyse

Die Produktanalyse bleibt deaktiviert, bis Sie zustimmen.

1. Öffnen Sie das Portal, gehen Sie zu Datenschutz und Datenfreigabe und suchen Sie die Karte Helfen Sie, Quven zu verbessern.
2. Schalten Sie sie dort ein oder aus. Die Einwilligung ist in Ihrem Quven-Konto hinterlegt, sodass ein einziger Schalter für alle Ihre Server und Clients gilt.
3. Ein Widerruf leert sofort die Warteschlange der Ereignisse, die noch auf die Übermittlung warten. Das Trennen eines Servers vom Konto bewirkt dasselbe.

Nach Ihrer Zustimmung kann ein Ereignis weniger enthalten, als die meisten annehmen, da seine Struktur geprüft wird, bevor etwas in die Warteschlange gelangt:

• Es muss einen der katalogisierten Namen tragen, etwa scan.completed oder playback.started, von rund fünfzig.
• Jedes Feld muss für genau dieses Ereignis zugelassen sein.
• Ein Messwert muss eine nicht negative Zahl sein.
• Ein Label muss ein Wort aus einem geschlossenen Vokabular sein: hevc oder av1 für einen Codec, uhd oder fhd für eine Auflösung, 1gb_10gb für eine Dateigröße, relay oder lan für den Übertragungsweg.
• Ein Label endet nach 64 Zeichen, und ein Ereignis enthält höchstens 24 davon.
• Freitext ist als Label nicht zulässig, und der Validator verwirft jeden Wert, der wie ein Pfad, eine E-Mail-Adresse, ein Bearer-Token oder ein JWT aussieht.

Ein Titel kann also nicht mitreisen, auch nicht versehentlich. Von einem Scan erfahren wir, dass er abgeschlossen ist, wie lange er gedauert hat und wie viele Dateien er in jeder Auflösung gefunden hat.

Zuordnung eines Titels

Um zu ermitteln, worum es sich bei einer Datei handelt, fragt der Server die von Ihnen konfigurierten Kataloge ab und nutzt dabei, was er aus dem Namen lesen kann.

Die Karte KI-Zuordnung enthält einen eigenen Schalter, KI-Zuordnung aktivieren, der standardmäßig ausgeschaltet ist. Lässt sich ein Titel nicht zuverlässig bestimmen, sendet der Server, was Ihre Mediathek darüber gelesen hat, sowie die Kandidatenzeilen, die der Katalog bereits zurückgegeben hat:

Art	Was gesendet wird
Film	Aus den Namen ermittelter Titel und Jahr, die Angaben einer daneben liegenden .nfo, Titel und Beschreibung aus dem Container, die im Namen gekennzeichnete Fassung, die gemessene Laufzeit, die Bildgröße, die Audio- und Untertitelsprachen
Serie	Dasselbe für jede Folgendatei (Staffel, Nummer, Laufzeit) sowie die Folgentitel, die der Scan gelesen hat, solange kein Katalog die Serie beschrieb
Buch, Hörbuch, Album	Titel und Untertitel, Autoren, Sprecher oder Künstler, Jahr, Sprache, Verlag oder Label, ISBN, ASIN, Barcode oder Katalognummer, Reihe und Position, Themen oder Genres, Beschreibung, Kapitel-, Teil- oder Titelnamen, Laufzeit
E-Book	Der Anfang des Textes nach der Titelei, bis zu 1.500 Zeichen

Jede Art sendet außerdem den Mediathektyp, die Sprache, in der ihre Titel beschrieben werden, sowie die Namen der Dateien und der Ordner zwischen dem Stammordner Ihrer Mediathek und dem Titel. Der Stammordner bleibt zurück, ebenso alles darüber, wo ein nach Ihnen benannter Ordner liegen würde. Das Audio verlässt den Rechner nie, ebenso wenig alles, was in einer Aufnahme gesagt wird.

Die Kontingentzeile, die Ihr wöchentliches Kontingent zählt, speichert eine Anfragekennung, einen Status und einen Fingerabdruck, sodass bei uns niemand nachvollziehen kann, welchen Titel Sie zugeordnet haben. Hinterlegen Sie auf dem Server Ihren eigenen Anbieterschlüssel, kommuniziert er direkt mit diesem Anbieter, zu dessen Bedingungen und nie über uns. Wenn Sie einen Anbieter aktivieren, gelten auch dessen Datenschutzbestimmungen; lesen Sie diese daher zuerst.

Dieselbe Karte enthält Cover erzeugen, wenn keines gefunden wird, mit einem Max-Jahrestarif oder einem Lifetime-Tarif. Wenn kein Katalog ein Buch oder Album abdeckt, Hörbücher eingeschlossen, sendet der Server Titel, Urheber, Jahr, Sprache, Beschreibung und Genres. Ein Film oder eine Serie, für die weder die Kataloge noch die eigenen Dateien ein Bild liefern, sendet dasselbe, ohne die Urheber und mit der Inhaltsangabe als Beschreibung; eine Mediathek mit persönlichen Videos bleibt ausgenommen. Quven Cloud speichert jedes erzeugte Bild unter einem Einweg-Hash des Werks, ohne zugeordnetes Konto, sodass der nächste Server, der dieses Werk anfragt, dasselbe Bild erhält und nichts verbraucht.

Untertitel

• Die Generierung aus der Tonspur erfolgt lokal. Der Server extrahiert über FFmpeg genau den von Ihnen gewählten Audiostream in 16 kHz Mono, übergibt ihn an einen lokalen Build von whisper.cpp und speichert das Ergebnis neben Ihrer Datei. Weder Audio noch Transkript verlassen den Rechner. Siehe Untertitel lokal generieren.
• Die Übersetzung wird übertragen, nur wenn jemand sie anfordert. Die Anfrage enthält den Untertiteltext, seine Sprache, die Zielsprache und etwas öffentlichen Kontext, wenn der Titel zugeordnet ist: Name, Jahr, Genres und die Inhaltsangabe, die ein Katalog bereits veröffentlicht. Ihr Server signiert den Aufruf mit seiner eigenen Kopplungsidentität, sodass nicht übermittelt wird, welches Profil die Schaltfläche betätigt hat. Die Übersetzung wird als Untertiteldatei auf Ihrem Datenträger gespeichert. Siehe KI-Übersetzung von Untertiteln.

Aufbewahrung: Die kontogebundene Kopie, die verhindert, dass ein erneuter Versuch den gesamten Auftrag kostet, wird nach sieben Tagen entfernt. Ein zweiter Cache, indiziert über einen SHA-256-Hash des Quelltexts samt Zielsprache, Format und Modell, ermöglicht es, bei einem häufigen Untertitel den Anbieter zu überspringen, ist mit keinem Konto verknüpft und wird nach neunzig Tagen gelöscht.

Diagnose

Absturz- und Wiedergabeberichte werden auf Ihrem Rechner bereinigt, bevor irgendetwas ihn verlässt:

• Absolute Pfade werden gehasht.
• Eine E-Mail-Adresse oder ein Token wird geschwärzt.
• Ein Mediathek- oder Personenname wird durch einen Platzhalter ersetzt.
• Die Bereinigung durchläuft das gesamte Ereignis, sodass Breadcrumbs, Tags und angehängte Anfragedaten dieselbe Grenze passieren. Berichtsnamen stammen aus einem festen Katalog von Vorgängen, daher kann ein Titel nie zu einem Berichtsnamen werden.

Die App zeigt, was das umfasst, bevor sie fragt, und Sie können ablehnen. Dieselben Informationen landen trotzdem in Ihren lokalen Protokolldateien, aus denen das Feld Letzte Warnungen und Fehler liest. Ein Build, der Daten erfassen kann, ist keine Einwilligung: Ohne Ihre Zustimmung wird nichts gesendet.

Das Relay

Das verwaltete Relay ist die einzige Stelle, an der etwas von Ihnen über Hardware läuft, die wir betreiben. Es terminiert die Verschlüsselung und kann Ihren Stream daher sehen, während es ihn weiterleitet. Es speichert nicht, was durchgelaufen ist, und verwendet es für nichts anderes; gezählt wird nur, wie viele Bytes in Ihrem Abrechnungszeitraum übertragen wurden.

Wenn wir vollständig außen vor bleiben sollen, erreichen Sie Ihren eigenen Server über eine Portweiterleitung, einen Reverse-Proxy oder ein VPN.

Die Datenschutzerklärung ist der maßgebliche Text zu Zwecken, Anbietern, Speicherdauer und Ihren Rechten. Dieser Leitfaden beschreibt die Architektur aus praktischer Sicht.

Häufig gestellte Fragen