Datenschutzerklärung

Stand: 2026-11-01

1. Verantwortlicher

NoCheats Studio (Einzelunternehmen), Inhaber: Julius Gottschling, Hauptstraße 9, 51503 Rösrath, Deutschland. Kontakt: contact@no-cheats.de (siehe Impressum).

Zuständige Aufsichtsbehörde für Beschwerden nach Art. 77 DSGVO: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf (Postanschrift: Postfach 20 04 44, 40102 Düsseldorf), Telefon: +49 (0)211 38424-0, E-Mail: poststelle@ldi.nrw.de.

2. Welche Daten wir erheben, und wozu

Die folgende Übersicht beschreibt, welche personenbezogenen Daten in welchem Funktionsbereich von NoMix anfallen, zu welchem Zweck, auf welcher Rechtsgrundlage und an wen sie ggf. weitergegeben werden.

2.1 Konto & Sicherheit

Bei der Registrierung speichern wir Benutzername/Anzeigename, E-Mail-Adresse und dein Passwort (ausschließlich als bcrypt-Hash, nie im Klartext). Aktivierst du die Zwei-Faktor-Authentifizierung (2FA/TOTP), speichern wir zusätzlich das dafür nötige Geheimnis. Zur Abwehr von Login-Missbrauch (Brute-Force) merkt sich der Server fehlgeschlagene Login-Versuche kurzfristig zusammen mit deiner IP-Adresse — dies geschieht ausschließlich im Arbeitsspeicher des Servers (nicht in der Datenbank) und wird beim nächsten Neustart des Serverprozesses verworfen. Zweck: Bereitstellung deines Kontos, Schutz vor unbefugtem Zugriff. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f (berechtigtes Interesse an Kontosicherheit).

2.2 Öffentliches Profil

Anzeigename, ein optionales Profilbild (Avatar) und eine optionale kurze Selbstbeschreibung sind für andere Nutzer:innen sichtbar, mit denen du an Projekten zusammenarbeitest oder die dein Marketplace-Profil einsehen. Zweck: Identifikation innerhalb der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.3 Projekt- und Audiodaten

Von dir hochgeladene oder erzeugte Audiodateien, Projektdateien und deren Metadaten (z. B. Spurnamen, Plugin-Einstellungen) speichern wir, damit du und die von dir eingeladenen Mitarbeiter:innen darauf zugreifen können. Zweck: Kernfunktion der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.4 Zusammenarbeit an Projekten (Kollaboration)

Arbeitest du mit anderen an einem Projekt zusammen, fallen zusätzlich an: Kommentare an bestimmten Stellen im Projekt, Chat-Nachrichten innerhalb eines Projekts, ein projektbezogenes Aktivitätsprotokoll (wer hat wann welche Änderung an genau diesem Projekt vorgenommen — kein Protokoll deines allgemeinen Verhaltens auf der Plattform außerhalb von Projekten), gespeicherte Projektversionen, öffentliche Freigabelinks sowie Einladungen/Mitgliedschaften pro Projekt. Diese Daten sind ausschließlich für die am jeweiligen Projekt beteiligten Personen einsehbar (bzw. für Personen mit einem von dir erzeugten Freigabelink). Zweck: Ermöglichung der Zusammenarbeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zum Sprachchat innerhalb von Projekten siehe Abschnitt 2.12, zu öffentlichen Hörlinks Abschnitt 2.13.

2.5 Team-Einladungen (Mehrplatz-Abos)

Lädst du im Rahmen eines Team-/Mehrplatz-Abonnements eine Person per E-Mail oder Discord-Kennung ein, speichern wir diese Kontaktangabe zusammen mit einem befristeten Einladungstoken (7 Tage gültig, danach automatisch ungültig), damit die eingeladene Person dem Team beitreten kann. Hat diese Person zu diesem Zeitpunkt noch kein NoMix-Konto, erhält sie durch deine Einladung Daten über sich selbst bei uns hinterlegt, ohne dass wir sie zuvor kontaktiert hätten — hierfür gilt Art. 14 DSGVO (Informationspflicht bei Erhebung bei Dritten). Information für eingeladene Personen: Die Angaben (E-Mail-Adresse oder Discord-Kennung, Einladungstoken) stammen von der einladenden Person, nicht von dir. Verarbeitet werden sie nur, um die Einladung zuzustellen und den Beitritt zum Team zu ermöglichen; das Einladungstoken verfällt nach 7 Tagen. Verantwortlicher ist der in Abschnitt 1 genannte Betreiber; deine Rechte stehen in Abschnitt 8. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber der einladenden Person) bzw. lit. f (berechtigtes Interesse an der Team-Verwaltung).

2.6 Zahlungsabwicklung (Stripe)

Schließt du einen kostenpflichtigen Kauf ab (Abonnement, Einmalkäufe wie die Pro-Lizenz und Skip-Credits), verarbeitet Stripe Payments Europe, Ltd. (The One Building, Grand Canal Square, Dublin 2, Irland) als Auftragsverarbeiter deine Zahlungs- und Rechnungsdaten (Name, E-Mail, Zahlungsmittel, Rechnungsadresse). NoMix selbst speichert keine Kartendaten. Wir übermitteln an Stripe zusätzlich deinen NoMix-Benutzernamen als Metadaten am Zahlungsvorgang (technisch nötig, um eine Zahlung deinem Konto zuordnen zu können). Lokal bei uns verbleiben Rechnungs-Metadaten (u. a. gewählter Tarif, Zeitpunkt). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie, für die Rechnungsaufbewahrung, Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht). Drittstaatentransfer: Stripe kann Daten im Rahmen der Auftragsverarbeitung auch außerhalb der EU (u. a. USA) verarbeiten; Stripe stützt sich hierfür auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln (SCC) — siehe auch den Hinweis zum politisch/gerichtlich nicht endgültig gesicherten Bestand des Angemessenheitsbeschlusses in Abschnitt 2.8. Details zu Stripe: stripe.com/de/privacy.

2.7 Discord-Anmeldung (OAuth) und Google-Anmeldung (OpenID Connect)

Verknüpfst du dein Discord-Konto, fragen wir die OAuth2-Berechtigungen identify und guilds.join ab. identify liefert deinen Discord-Nutzernamen und deine Discord-Nutzer-ID, die wir speichern. guilds.join bedeutet konkret: beim Verknüpfen wirst du automatisch, per Bot und ohne weiteren Zwischenschritt, Mitglied eines von uns betriebenen Discord-Servers. Der Grund dafür ist technisch: Discord erlaubt Bots aus Spam-Schutzgründen nur, Nutzer:innen per Direktnachricht zu schreiben, mit denen sie sich einen Server teilen — ohne diesen automatischen Beitritt könnten wir dir keine Bestätigungs-/Reset-Codes per Discord-DM zustellen. Zweck: Versand von Bestätigungs- und Passwort-Reset-Codes ohne eigenen E-Mail-Versand, siehe 2.12, sowie, wenn du den Newsletter (2.15) abonniert hast, die Zustellung von Nachrichten per Discord-DM, darunter die Benachrichtigung über eine Premium-Vergabe (siehe 2.18). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — du entscheidest aktiv, dein Discord-Konto zu verknüpfen. Empfänger: Discord Inc./Discord Netherlands B.V. als Diensteanbieter, siehe discord.com/privacy. Drittstaatentransfer: Discord kann Daten auch in die USA übertragen; auch hier gilt der Hinweis aus Abschnitt 2.8 zum EU-US Data Privacy Framework als (derzeit rechtlich nicht endgültig gesicherte) Grundlage, ergänzt um Standardvertragsklauseln.

Anmelden und Registrieren mit Discord. Nutzt du auf der Anmelde- oder Registrierungsseite „Mit Discord anmelden“ bzw. „Mit Discord registrieren“, fragen wir nur die Berechtigungen identify und email ab, ohne guilds.join: Einem Discord-Server trittst du dabei nicht bei. Gehört deine Discord-Nutzer-ID schon zu einem Konto, melden wir dich damit an; ein eingerichteter zweiter Faktor wird weiterhin abgefragt. Sonst führen wir dich zu einem Formular, in dem du Benutzer-ID, Anzeigenamen und ein eigenes Passwort festlegst; bis dahin liegen deine Discord-Angaben höchstens 10 Minuten in deinem Sitzungs-Cookie. Erst mit dem Absenden legen wir das Konto an und speichern dafür deine Discord-Nutzer-ID, deinen Discord-Nutzernamen und deine bei Discord bestätigte E-Mail-Adresse als Konto-E-Mail. Brichst du ab, entsteht kein Konto. Ein bestehendes Konto mit derselben E-Mail-Adresse wird nicht automatisch verknüpft. Zweck: Anmeldung über Discord und vereinfachte Kontoerstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos). Empfänger und Drittstaatentransfer wie oben.

Anmelden und Registrieren mit Google. Nutzt du im Browser „Mit Google anmelden“ bzw. „Mit Google registrieren“ oder verknüpfst du in den Kontoeinstellungen dein Google-Konto, leiten wir dich zu Google weiter. Wir fragen nur die Berechtigungen openid, email und profile ab, also keinen Zugriff auf Google Drive, Gmail oder andere Google-Dienste. Google übermittelt uns daraufhin die Kennung deines Google-Kontos (sub), deine E-Mail-Adresse samt der Angabe, ob sie bei Google bestätigt ist, und deinen Namen. Wir akzeptieren nur bei Google bestätigte E-Mail-Adressen. Gehört die Google-Kennung schon zu einem Konto, melden wir dich damit an; ein eingerichteter zweiter Faktor wird weiterhin abgefragt. Sonst führen wir dich zu einem Formular, in dem du Benutzer-ID, Anzeigenamen und ein eigenes Passwort festlegst; bis dahin liegen die Google-Angaben höchstens 10 Minuten in deinem Sitzungs-Cookie. Erst mit dem Absenden legen wir das Konto an und speichern dafür die Google-Kennung und die E-Mail-Adresse als Konto-E-Mail, den Namen nur, wenn du ihn als Anzeigenamen übernimmst. Brichst du ab, entsteht kein Konto. Ein bestehendes Konto mit derselben E-Mail-Adresse wird nicht automatisch verknüpft. Zugriffstoken von Google speichern wir nicht. Trennst du die Verknüpfung in den Kontoeinstellungen oder löschst du dein Konto, löschen wir die gespeicherte Google-Kennung. Zweck: Anmeldung über Google und vereinfachte Kontoerstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos). Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, siehe policies.google.com/privacy. Drittstaatentransfer: Google kann Daten an die Google LLC in den USA übermitteln. Grundlage ist das EU-US Data Privacy Framework, unter dem die Google LLC zertifiziert ist, ergänzt um Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); auch hier gilt der Hinweis aus Abschnitt 2.8 zum (derzeit rechtlich nicht endgültig gesicherten) Bestand des Angemessenheitsbeschlusses.

2.8 KI-Mix-Assistent

Nutzt du den KI-Mix-Assistenten mit einem Cloud-Anbieter (OpenAI, Anthropic oder Google Gemini), sendest du dafür deinen eigenen, selbst bei diesem Anbieter erstellten API-Key. Dieser wird bei uns verschlüsselt gespeichert (Fernet/AES, niemals im Klartext) und ausschließlich für deine eigenen Anfragen verwendet — es handelt sich nicht um einen zentralen, von NoMix selbst finanzierten oder verwalteten Schlüssel. NoMix leitet deine Anfrage (Spur-/Plugin-Bezeichnungen, Clip-Daten und optional eine gerenderte Audiovorschau) technisch nur an den von dir gewählten Anbieter weiter (reine Proxy-Funktion). Den Vertrag über die Nutzung dieses KI-Anbieters schließt du selbst und direkt mit ihm ab; die datenschutzrechtliche Verantwortung für die Verarbeitung beim Anbieter richtet sich nach dessen Bedingungen und Datenschutzhinweisen. Wir speichern deinen Schlüssel und leiten deine Anfrage auf deine Veranlassung weiter. Die Daten in der Anfrage stammen aus deinem Projekt. Enthält es Beiträge anderer am Projekt beteiligter Personen (z. B. Stimmen oder Spurinhalte in einer Audiovorschau), stammen auch deren Daten nicht von diesen Personen selbst, sondern aus dem gemeinsamen Projekt; gib solche Inhalte nur frei, wenn du dazu berechtigt bist. Nutzt du stattdessen den lokalen Desktop-Client mit einem lokal laufenden Modell (Ollama), verlassen diese Daten deinen Rechner nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung dieser optionalen Funktion). Drittstaatentransfer: OpenAI (USA), Anthropic (USA) und Google (USA) können Daten in die USA übertragen; diese Anbieter stützen sich hierfür auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln (SCC) — wir weisen ausdrücklich darauf hin, dass der politische und gerichtliche Bestand des Angemessenheitsbeschlusses derzeit nicht als endgültig gesichert gilt.

2.9 KI-Plugin-Assistent & Kontingent

Der KI-Plugin-Assistent und die dazugehörige Kontingent-/Nutzungszählung speichern deinen Benutzernamen im Klartext, um dein tägliches Nutzungskontingent zuzuordnen. Für diese Zuordnung existiert aktuell kein automatischer Löschmechanismus; die Daten bleiben gespeichert, bis dein Konto gelöscht wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.10 MCP-API-Tokens

Erzeugst du ein API-Token für die Anbindung externer KI-Editoren/-Werkzeuge (Model Context Protocol), speichern wir dazu nur einen Hashwert des Tokens (nicht das Token selbst), einen Anzeigenamen sowie Zeitpunkt der Erstellung und letzten Nutzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.11 Plugin-Marketplace

Öffentliche Bewertungen/Sterne zu Marketplace-Plugins sind mit deinem Benutzernamen verknüpft und für andere Nutzer:innen sichtbar. Zusätzlich merkt sich der Server serverseitig, welche Plugins du deiner persönlichen Bibliothek hinzugefügt hast (auch nach dem Ausblenden aus deiner Ansicht bleibt dieser Eintrag bestehen, damit du das Plugin jederzeit wieder einblenden kannst). Wenn du dein Konto löschst, löschen wir deine Bibliothekseinträge. Deine Bewertungen bleiben nur als Sterne in der Durchschnittsbewertung des Plugins, ohne Verbindung zu deinem Konto und ohne Text. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Eigene Inhalte einreichen und Inhalte melden: siehe Abschnitt 2.16.

2.12 Sprachchat in Projekten

Im Projekt-Editor kannst du einen Sprachchat mit den anderen am Projekt beteiligten Personen starten. Die Übertragung läuft direkt zwischen den Browsern der Teilnehmenden (WebRTC, Peer-to-Peer): Unser Server vermittelt nur den Verbindungsaufbau und erhält den Ton selbst zu keinem Zeitpunkt. Es wird nichts aufgezeichnet und nichts gespeichert.

Zwei Punkte, die sich aus dieser Technik zwangsläufig ergeben und auf die wir ausdrücklich hinweisen:

Zweck: Absprache während der gemeinsamen Arbeit an einem Projekt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Starten dieser optionalen Funktion) — du entscheidest bei jedem Gespräch selbst, ob du teilnimmst und ob du dein Mikrofon freigibst.

2.13 Öffentliche Hörlinks

Du kannst zu einem fertigen Mix einen öffentlichen Hörlink erzeugen. Wer diesen Link kennt, kann die Aufnahme anhören, ohne ein Konto zu besitzen und ohne angemeldet zu sein — der Link ist der einzige Schutz. Gib ihn deshalb nur weiter, wenn die Aufnahme wirklich gehört werden darf; du kannst ihn im Projekt jederzeit wieder zurückziehen, danach ist er sofort wirkungslos.

Beim Abruf eines Hörlinks fallen dieselben technischen Zugriffsdaten an wie bei jedem anderen Seitenaufruf (siehe Abschnitt 5). Wer zugehört hat, erfährst du nicht: es gibt bewusst keine Zähler und keine Besucherliste zu Hörlinks. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — du erzeugst den Link selbst und bestimmst, wer ihn erhält).

2.14 Vorbereitete, aktuell deaktivierte Funktionen

Folgende Funktionen sind im Quellcode angelegt, aber in der aktuellen Konfiguration deaktiviert und verarbeiten deshalb derzeit keine Daten: das Fehler-Monitoring-System Sentry sowie das interne AgentOps-Monitoring für KI-Agenten-Aktivität. Werden einzelne dieser Funktionen künftig aktiviert, aktualisieren wir diese Datenschutzerklärung entsprechend.

2.15 Newsletter

Den NoMix-Newsletter bekommst du nur, wenn du ihn in deinen Konto-Einstellungen einschaltest und die Anmeldung über den Link in der anschließenden Bestätigungsmail bestätigst (Double-Opt-in). Standardmäßig ist er ausgeschaltet. Verarbeitet werden die E-Mail-Adresse deines Kontos, der Stand deiner Anmeldung, die Zeitpunkte von Anmeldung, Bestätigungsmail, Bestätigung und Abmeldung, die Fassung des Einwilligungstextes sowie ein Prüfwert (Hash) der bestätigten Adresse: ändert sich deine Kontoadresse, geht kein Newsletter an die neue Adresse, bevor du sie erneut bestätigt hast. Eine IP-Adresse speichern wir dafür nicht.

Abmelden kannst du dich jederzeit: über den Link in jeder Ausgabe (ohne Anmeldung), über die Abmeldefunktion deines Mailprogramms oder in deinen Konto-Einstellungen. Die Links in den Mails enthalten nur eine zufällige Kennung, weder deinen Namen noch deine Adresse. Wir werten nicht aus, ob oder wann du einen Newsletter öffnest oder Links darin anklickst (kein Zählpixel, keine umgeleiteten Links). Versendet wird über den Mailserver, den wir für den Mailversand nutzen (siehe Abschnitt 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit mit Wirkung für die Zukunft widerrufbar), für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO.

Newsletter auch über Discord. Hast du Discord mit deinem Konto verknüpft (Abschnitt 2.7), gilt deine Newsletter-Anmeldung auch für Mitteilungen per Discord-Direktnachricht, z. B. die Benachrichtigung über eine Premium-Vergabe (Abschnitt 2.18). Ohne Newsletter-Anmeldung schicken wir dir diese Mitteilungen nicht per Discord. Mit der Abmeldung vom Newsletter enden auch sie.

Automatische Auswertung des Newsletter-Postfachs. Mails an die Abmeldeadresse aus dem Newsletter landen im Postfach unserer Absenderadresse. Unser Server ruft dieses Postfach regelmäßig (in der Regel alle fünf Minuten) über eine verschlüsselte Verbindung ab und wertet neue Mails automatisch aus. Zweck: deine Abmeldung umzusetzen, auch wenn du sie per Mail schickst, und keine Newsletter mehr an Adressen zu senden, die dauerhaft nicht erreichbar sind.

Verarbeitete Daten: Von jeder Mail laden wir höchstens die ersten 256 KB und lesen davon nur die Kopfzeilen (u. a. Absender, Betreff, Kennzeichen für automatische Antworten) und den reinen Textteil. HTML-Inhalte und Anhänge werden weder geöffnet noch ausgewertet. Zugeordnet wird über die zufällige Kennung aus dem Abmeldelink bzw. dem Betreff; fehlt sie, über die Absenderadresse, aber nur, wenn zu ihr ein Abonnement bei uns existiert. Bei Unzustellbarkeitsmeldungen lesen wir zusätzlich die zurückgeschickten Kopfzeilen der Newsletter-Mail, die Empfängeradresse und den Zustellstatus.

Was gespeichert wird: Am Abonnement ändert sich nur der Stand (abgemeldet) samt Zeitpunkt (Speicherdauer siehe Abschnitt 7). Zum Abruf selbst speichern wir nur Zählwerte und den technischen Stand des Postfachs (z. B. bis zu welcher Mail ausgewertet wurde, Belegung), keine Adressen, Namen oder Betreffzeilen. Ins Admin-Sicherheitsprotokoll (Abschnitt 6) geht je erledigter Abmeldung oder Rückmeldung nur, ob ein Abonnement beendet wurde, ohne Adresse, Name oder Betreff. Speicherdauer der Mails: Erledigte Mails löschen wir im selben Abruf, gleich nachdem die Änderung am Abonnement gespeichert ist. Nicht zugeordnete Mails bleiben bis zur Bearbeitung von Hand im Postfach. Keine Weitergabe: Die Auswertung läuft auf unserem eigenen Server. Das Postfach liegt bei dem Mailserver, den wir für den Mailversand nutzen (siehe Abschnitt 5). An weitere Empfänger geben wir die Mails und die daraus gewonnenen Angaben nicht weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 3 DSGVO (Umsetzung deines Widerrufs) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, keine Mails an Adressen zu schicken, die es nicht mehr gibt, die Zustellbarkeit unserer übrigen Mails zu erhalten und Abwesenheitsnotizen ohne Handarbeit zu entfernen).

2.16 Marketplace: eigene Inhalte einreichen und Inhalte melden

Einreichen. Reichst du ein Plugin oder Bundle für den Marketplace ein, speichern wir deinen Benutzernamen, das hochgeladene Paket samt Manifest (einschließlich des Autors, den du dort einträgst), Größe und Prüfsumme des Pakets, die Zeitpunkte von Einreichung, Prüfung und gegebenenfalls Zurückziehen, das Ergebnis der automatischen Paketprüfung, die Fassung der Upload-Bedingungen, der du zugestimmt hast, sowie bei einer Ablehnung die Begründung und das prüfende Admin-Konto. Freigegebene Inhalte sind für alle angemeldeten Konten sichtbar, mit dem Autor aus dem Manifest, nicht mit deinem Benutzernamen.

Melden. Meldest du mit deinem Konto einen Inhalt, speichern wir deinen Benutzernamen, den gemeldeten Inhalt, den Grund, deinen Kommentar, die Zeitpunkte von Meldung und Abschluss sowie das bearbeitende Admin-Konto. Die Person, die den Inhalt eingereicht hat, erfährt nicht, wer ihn gemeldet hat.

Melden ohne Konto. Über das Formular Inhalt melden speichern wir den gemeldeten Inhalt, den Grund, deine Begründung, deinen Namen und deine E-Mail-Adresse (bei Meldungen zu sexuellem Missbrauch von Kindern freiwillig), deine Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind, den Zeitpunkt sowie, ob und wann wir dir den Eingang bestätigt und die Entscheidung mitgeteilt haben. An deine Adresse schicken wir genau diese zwei Mails, sonst nichts. Deine IP-Adresse speichern wir dafür nicht. Sie wird nur kurzzeitig im Arbeitsspeicher des Servers gezählt, um massenhafte Meldungen zu bremsen, und landet wie jede Anfrage im Server-Log (Abschnitt 5). Auch hier erfährt die Person, die den Inhalt eingereicht hat, nicht, wer gemeldet hat.

Zweck: Prüfung vor der Veröffentlichung, Schutz vor Schadsoftware und Rechtsverletzungen, Bearbeitung von Meldungen, Eingangsbestätigung und Mitteilung der Entscheidung an Meldende und Nachweis deiner Zustimmung zu den Upload-Bedingungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion), Art. 6 Abs. 1 lit. c DSGVO (Melde- und Abhilfepflichten aus dem Digital Services Act, VO (EU) 2022/2065) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Plattform).

Speicherdauer: Abgelehnte Einreichungen löschen wir 183 Tage (rund sechs Monate) nach der Prüfung, zurückgezogene 183 Tage nach dem Zurückziehen, jeweils samt Paket. Das Paket bleibt nur, wenn ein veröffentlichter Inhalt aus genau demselben Paket besteht. Abgeschlossene Meldungen (erledigt oder verworfen) löschen wir 183 Tage nach dem Abschluss, auch solche ohne Konto samt Name und Adresse. Offene Einreichungen und Meldungen bleiben, bis sie bearbeitet sind. Freigegebene Einreichungen bleiben als Nachweis, wer einen Inhalt veröffentlicht hat, bis du dein Konto löschst. Die Löschung läuft automatisch einmal täglich. Brauchen wir eine einzelne Einreichung oder Meldung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, bewahren wir sie mit vermerktem Grund bis zu einem festgelegten Datum auf und löschen sie danach nach den Fristen oben (Art. 17 Abs. 3 lit. e DSGVO).

Wenn du dein Konto löschst, löschen wir sofort alle deine Einreichungen, auch offene, samt Paket und alle Meldungen, die du abgegeben hast. Bereits veröffentlichte Inhalte bleiben im Marketplace, damit Projekte, die sie verwenden, weiter funktionieren. Sie sind danach nicht mehr mit deinem Konto verknüpft, und der Marketplace zeigt als Autor „Gelöschtes Konto“. Auch im Paket selbst ersetzen wir den Autor (plugin.json, bundle.json) durch „Gelöschtes Konto“: Wir packen es dafür neu, löschen das alte Paket und die daraus abgeleiteten Download-Dateien, alles andere am Inhalt bleibt, wie es war. Kopien, die vor der Löschung installiert oder heruntergeladen wurden, liegen nicht bei uns. Darin steht weiterhin der Autor, den du im Manifest eingetragen hast. Trag dort deshalb keinen Klarnamen ein, wenn du das nicht möchtest.

Empfänger: Einreichungen und Meldungen sehen nur unsere Admins. Sie liegen auf unserem Server beim Hoster (Abschnitt 5). Die Mails an Meldende laufen über den Mailserver, den wir für den Mailversand nutzen (Abschnitt 5). An Dritte geben wir sie nicht weiter, außer eine gesetzliche Pflicht verlangt es, etwa die Anordnung einer Behörde.

2.17 Song Reaction & Newcomer Reaction

Teilnahme & Einreichung: Reichst du einen Song für die Song Reaction bzw. das Newcomer-Format ein, erfassen und speichern wir deinen Künstlernamen, den Songtitel, eine optionale Beschreibung sowie die Songquelle (Audiodatei oder URL zu Spotify, YouTube, SoundCloud, Dropbox bzw. Google Drive; YouTube- und SoundCloud-Links speichern wir in einer vereinheitlichten Form ohne Zusatzangaben wie Wiedergabelisten oder Zeitmarken), den Zeitpunkt deiner Einwilligung (mit der Fassung des Textes, soweit gespeichert) und bei angemeldeten Nutzern deinen Benutzernamen. Zum Mindestalter siehe Abschnitt 20 der Nutzungsbedingungen.

Einreichung ohne Konto (Gast). Reichst du einen Song ohne Anmeldung ein, setzen wir beim Absenden ein Cookie (session, 30 Tage gültig), das eine zufällige Kennung und ein Löschtoken für diesen Browser enthält. In der Datenbank speichern wir davon nur einen Prüfwert der Kennung (HMAC) und einen Hashwert des Löschtokens, dazu den Zeitpunkt deiner Einwilligung. Deine IP-Adresse speichern wir dafür nicht; sie wird nur kurzzeitig im Arbeitsspeicher des Servers gezählt, um massenhafte Einreichungen zu bremsen, und steht wie jede Anfrage im Server-Log (Abschnitt 5). Mit dem Löschtoken kannst du deinen Song in genau diesem Browser zurückziehen, solange du dich nicht anmeldest; nach einer Anmeldung ist er nicht mehr mit dir verknüpft. Ohne dieses Cookie kannst du die Löschung per E-Mail verlangen (Angabe von Künstlername, Titel und Zeitpunkt). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Absenden mit gesetztem Haken) und lit. f (Missbrauchsschutz). Die Einwilligung kannst du durch Zurückziehen des Songs oder per E-Mail widerrufen; bereits erfolgte Übertragungen bleiben unberührt.

Öffentliche Live-Wiedergabe & Empfänger: Die eingereichten Inhalte (Künstlername, Titel, Beschreibung sowie die Tonspur bzw. der Web-Player) werden während der gemeinsamen Session bzw. des Live-Streams öffentlich wiedergegeben und für alle anwesenden Teilnehmer und Zuschauer im Stream hör- und sichtbar gemacht. Der Stream läuft je nach Termin auf YouTube, Twitch und/oder TikTok und kann aufgezeichnet und als Video, Clip oder Zusammenschnitt veröffentlicht werden (Nutzungsrechte siehe Abschnitt 20 der Nutzungsbedingungen); für die Verarbeitung durch die Plattform gilt deren Datenschutzerklärung.

Öffentliche Sichtbarkeit. Die Angaben zu deinem Song (Künstlername, Titel, Beschreibung, Link) sind nicht nur im Stream, sondern auch für jede Person über die Turnierseite und die dahinterliegende Schnittstelle ohne Anmeldung einsehbar, solange der Song in der Warteschlange steht. Die Songliste und das Stream-Overlay sind ohne Einwilligung im Cookie-Dialog erreichbar. Trage in die Beschreibung keine Kontaktdaten oder privaten Angaben ein und verwende bei Dropbox und Google Drive nur Links, die ausdrücklich für die Öffentlichkeit gedacht sind, bei YouTube und SoundCloud nur öffentliche Links zu einem einzelnen Video bzw. Track. Ein SoundCloud-Link enthält deinen Profilnamen bei SoundCloud, ein YouTube-Link führt zu deinem Video und damit zu deinem Kanal; beides ist dann über die Turnierseite ebenso einsehbar. Deinen Benutzernamen zeigen wir öffentlich nicht an.

Externe Player und Links. Die Player von Spotify, YouTube und SoundCloud werden erst geladen, wenn du bei einem Song auf "Anhören" klickst und das nach einem Hinweis bestätigst; die Bestätigung gilt je Anbieter für den geöffneten Browser-Tab. Beim Spotify-Player überträgt dein Browser u. a. deine IP-Adresse an Spotify AB (Regeringsgatan 19, Stockholm, Schweden) und kann Spotify Cookies setzen oder lesen; Spotify kann Daten in die USA übertragen (siehe Abschnitt 2.8 zum EU-US Data Privacy Framework). Details: spotify.com/de/legal/privacy-policy. Den YouTube-Player laden wir im erweiterten Datenschutzmodus von youtube-nocookie.com. Dabei überträgt dein Browser u. a. deine IP-Adresse an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die YouTube im Europäischen Wirtschaftsraum anbietet; spätestens beim Abspielen kann YouTube Daten in deinem Browser speichern oder auslesen. Google kann Daten an die Google LLC in den USA übermitteln (siehe Abschnitt 2.8 zum EU-US Data Privacy Framework). Details: policies.google.com/privacy. Beim SoundCloud-Player überträgt dein Browser u. a. deine IP-Adresse an SoundCloud und SoundCloud kann Cookies setzen oder lesen; auch dabei ist eine Übermittlung in Drittstaaten wie die USA möglich. Wer SoundCloud betreibt, wie du ihn erreichst und welche Garantien für Übermittlungen gelten, steht in der Datenschutzerklärung von SoundCloud: soundcloud.com/pages/privacy. Links zu Dropbox oder Google Drive öffnen sich nur, wenn du sie anklickst, in einem neuen Tab; ab dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (deine Bestätigung vor dem Laden). In der Streamer-Ansicht des Betreibers (nicht öffentlicher Admin-Bereich) wird der Player des gerade laufenden Songs (Spotify, YouTube oder SoundCloud) dagegen sofort und ohne vorherige Bestätigung geladen; dabei überträgt nur der Browser der dort angemeldeten Admins u. a. seine IP-Adresse an den jeweiligen Anbieter (Spotify AB, Google Ireland Limited für YouTube bzw. SoundCloud), Einreichende und Besucher der Turnierseite sind davon nicht betroffen. In der Song-Liste des Admin-Bereichs lädt ein YouTube- oder SoundCloud-Player erst, wenn ein Admin ihn anklickt.

Zweck & Rechtsgrundlage: Zweck ist die Organisation und Durchführung der interaktiven Song Reaction und des Feedbacks im Stream. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme) sowie Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung in die Live-Wiedergabe, Aufzeichnung und die Weitergabe an die Zuhörerschaft).

Löschung: Du kannst jeden eigenen Song jederzeit zurückziehen; er wird dann samt hochgeladener Datei gelöscht. Songs von Gästen löschen wir automatisch 7 Tage nach der Einreichung, Songs mit Konto spätestens mit der Löschung deines Kontos. Außerdem können wir Songs durch einen Admin löschen, wenn sie gegen die Nutzungsbedingungen verstoßen. Das Skip-Protokoll und Skip-Guthaben (Abschnitt 2.18) löschen wir mit deinem Konto. Kopien in Datenbank-Sicherungen verfallen nach der in Abschnitt 7 genannten Frist. Bereits erfolgte Übertragungen und Aufzeichnungen (z. B. auf der Streamplattform) bleiben von einer Löschung unberührt.

Prüfung auf KI-generierte Songs: Nach den Turnierregeln sind ganz oder wesentlich KI-generierte Songs nicht erlaubt. Haben die Admins Zweifel, hören und sehen sie sich die Einsendung (Song, Angaben, Link) genauer an und können dich um eine Erklärung bitten. Dafür verwenden wir nur die Daten, die du mit der Einsendung angegeben hast; automatische Erkennungsdienste oder andere Anbieter setzen wir dafür nicht ein. Entfernen wir einen Song wegen eines Verstoßes, gilt der Absatz „Löschung“. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Turniers nach seinen Regeln) und lit. f (berechtigtes Interesse an einem fairen Turnier, in dem nur eigene Leistungen gewertet werden).

Einreichung ohne Konto: Auch hier ist die Teilnahme erst ab 16 Jahren möglich, eine Ausnahme mit Zustimmung der Sorgeberechtigten gibt es nicht. Ohne Konto fragen wir kein Geburtsdatum ab; du sicherst mit dem Haken bei der Einreichung zu, mindestens 16 Jahre alt zu sein (Selbstauskunft).

Altersbestätigung: Die Teilnahme setzt ein Mindestalter von 16 Jahren voraus. Bei der Registrierung eines neuen Kontos fragen wir dafür dein Geburtsdatum ab. Das ist eine Selbstauskunft, einen Ausweis prüfen wir nicht. Wir prüfen damit nur, ob du die Altersgrenze erreicht hast, und speichern das Ergebnis (Altersgrenze erreicht), den Zeitpunkt und die Fassung der Abfrage, nicht das Geburtsdatum selbst; es landet auch nicht in Protokollen. Konten, die vor Einführung dieser Abfrage angelegt wurden, gelten als bestätigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahmevoraussetzung nach den Nutzungsbedingungen) und lit. f (berechtigtes Interesse, das Mindestalter einzuhalten und nachweisen zu können). Wir löschen die Angabe mit deinem Konto.

Benachrichtigung: Wenn du möchtest, erinnern wir dich per Push-Benachrichtigung daran, dass dein Song gleich oder jetzt dran ist; Einzelheiten stehen in Abschnitt 2.19.

Siegerpodest: Wählt der Betreiber deinen Song fürs Siegerpodest aus, zeigen wir deinen Künstlernamen und den Titel öffentlich; Einzelheiten, Preise und Fristen stehen in Abschnitt 2.20.

2.18 Skips, Guthaben und Premium-Vergabe (Song Reaction)

Nutzt du einen Skip, speichern wir dein Konto, den Zeitpunkt, die Art (Tarif, Guthaben oder durch Admin) und, wenn ein Admin skippt, dessen Konto. Skip-Guthaben, die ein Admin dir schenkt oder ändert, speichern wir mit dem Vermerk des handelnden Admins im Admin-Sicherheitsprotokoll (Abschnitt 6). Vergibt ein Admin dir einen Premium-Plan, speichern wir Tarif, Gültigkeit, Notiz und das vergebende Konto und schicken dir eine E-Mail und, wenn du Discord verknüpft und den Newsletter abonniert hast (Abschnitte 2.7 und 2.15), eine Discord-Nachricht darüber. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme und des Tarifs), für die Discord-Nachricht Art. 6 Abs. 1 lit. a DSGVO (Newsletter-Einwilligung). Wir löschen diese Daten mit deinem Konto; bei Zahlungen gelten die Aufbewahrungspflichten aus Abschnitt 7.

Gekaufte Skip-Credits: Kaufst du Skip-Credits über Stripe, speichern wir dein Konto, die Checkout-Session-ID und die Payment-Intent-ID von Stripe, die Anzahl der gekauften Credits, die noch nicht verbrauchten Credits und den Zeitpunkt. Zweck: Wir schreiben dir die Credits gut, ordnen jede Zahlung genau einem Kauf zu (so schreiben wir eine Zahlung nicht doppelt gut) und nehmen die Credits zurück, wenn wir den Kaufpreis erstatten oder die Zahlung angefochten wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Wir löschen diese Daten mit deinem Konto; für die zugehörigen Rechnungs- und Zahlungsdaten gelten die Aufbewahrungspflichten aus Abschnitt 7. Zahlungsdaten verarbeitet Stripe (Abschnitt 2.6).

2.19 Push-Benachrichtigungen (Song Reaction)

Zweck: Bei einem eigenen Song in der Warteschlange kannst du dich per Push-Benachrichtigung darauf hinweisen lassen, dass er gleich (Platz 2) bzw. jetzt (Platz 1) dran ist. Die Funktion ist freiwillig und wird je Song einzeln eingeschaltet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Deine Einwilligung besteht aus dem Einschalten des Schalters an deinem Song und der Erlaubnis, die dein Browser dafür abfragt. Ohne beides richten wir nichts ein und senden wir nichts.

Gespeicherte Daten: Wir speichern die Endpoint-Adresse deines Browsers (die Adresse, unter der dein Push-Dienst Mitteilungen für diesen Browser annimmt) und zwei technische Schlüssel deines Browsers, die zur Verschlüsselung der Mitteilung nötig sind. Dazu kommen die Zuordnung zu deinem Song, bei angemeldeten Nutzern über dein Konto, bei Gästen über den Prüfwert der Gast-Kennung (Abschnitt 2.17), sowie die Zeitpunkte, zu denen wir dir Mitteilungen geschickt haben, damit wir dir jede Schwelle nur einmal melden. Auf deinem Gerät richtet der Browser dafür einen Service Worker und das Push-Abo ein, erst nachdem du den Schalter eingeschaltet hast (siehe Abschnitt 3).

Inhalt der Benachrichtigung: Künstlername, Songtitel und Platz in der Warteschlange. Deinen Benutzernamen enthält sie nicht.

Empfänger: Eine Push-Benachrichtigung läuft über den Push-Dienst, den der Hersteller deines Browsers betreibt, z. B. Google (Chrome, Android), Mozilla (Firefox), Apple (Safari) oder Microsoft (Edge). Wir senden die Mitteilung verschlüsselt an die gespeicherte Endpoint-Adresse; der Inhalt ist nur für deinen Browser lesbar. Der Push-Dienst erfährt aber, dass eine Mitteilung für deinen Browser zugestellt wird, und wann sowie in welcher Größe. Außerdem sieht er die Endpoint-Adresse und die IP-Adresse unseres Servers, der die Mitteilung abschickt. Welcher Dienst zuständig ist, hängt von deinem Browser ab. Für diese Verarbeitung ist der jeweilige Anbieter selbst verantwortlich; es gilt dessen Datenschutzerklärung: Google, Mozilla, Apple, Microsoft. Diese Anbieter können Daten auch außerhalb der Europäischen Union, etwa in den USA, verarbeiten. Auf Art und Umfang haben wir keinen Einfluss. Weitere Empfänger gibt es nicht.

Alter: Die Teilnahme am Turnier, und damit auch die Push-Benachrichtigung zu deinem Song, ist erst ab 16 Jahren vorgesehen (Abschnitt 2.17).

Speicherdauer: Wir speichern das Push-Abo, bis du die Benachrichtigung ausschaltest, bis der Song die Warteschlange verlässt (gespielt, zurückgezogen oder gelöscht), bei Songs von Gästen spätestens 7 Tage nach der Einreichung, bei Songs mit Konto spätestens mit der Löschung deines Kontos oder sobald der Push-Dienst das Abo als ungültig meldet oder ablehnt. Schalten wir die Funktion ab, löschen wir alle Push-Abos spätestens nach einem Tag; nach dem Wiedereinschalten musst du den Schalter neu setzen.

Widerruf: Du kannst jederzeit mit Wirkung für die Zukunft widerrufen, indem du den Schalter an deinem Song ausschaltest oder die Benachrichtigungen in den Einstellungen deines Browsers für diese Seite sperrst. Der Schalter bleibt dafür auch sichtbar, solange die Funktion abgeschaltet ist und wir dein Abo noch speichern. Bereits zugestellte Mitteilungen bleiben davon unberührt.

2.20 Siegerpodest und Preise (Song Reaction)

Zweck: Der Betreiber kann bis zu drei eingereichte Songs von Konten auf einem Siegerpodest der Turnierseite zeigen und die Plätze am Ende eines Streams mit Preisen belohnen (befristeter Tarif und/oder Extra-Skips). Die Vergabe läuft automatisch, sobald die Einreichung geschlossen und die Warteschlange leer ist.

Veröffentlichung: Solange dein Song auf dem Podest steht, zeigen wir jeder Person ohne Anmeldung deinen Künstlernamen, den Titel und den Platz, ggf. mit dem ausgelobten Preis. Deinen Benutzernamen zeigen wir nicht. Nach der Vergabe leeren wir das Podest und zeigen die Gewinner (Künstlername, Titel, Platz, Preis) noch 2 Tage lang öffentlich im Bereich „Gewinner des letzten Streams“. Danach löschen wir Künstlername und Titel aus dieser Anzeige.

Gespeicherte Daten: Für die Vergabe speichern wir deinen Benutzernamen, den Platz, den Preis (Tarif, Tage, Anzahl Skips), den Zeitpunkt der Vergabe und den Stand der Benachrichtigung als Vergabenachweis. Diesen Nachweis löschen wir 365 Tage nach der Vergabe, den angezeigten Künstlernamen und Titel schon nach den genannten 2 Tagen. Löschst du dein Konto, löschen wir Podesteintrag und Vergabenachweis mit. Gast-Songs kommen nicht aufs Podest. Zur Gutschrift eines Tarif-Preises prüfen wir automatisch den Stand deines Tarifs (befristeter Zugang, laufendes Abo, Lifetime-Zugang) und speichern im Vergabenachweis, ob der Tarif gutgeschrieben, verlängert, vorgemerkt oder nicht gutgeschrieben wurde, samt Ende des Zugangs; ein vorgemerkter Preis verfällt nach 365 Tagen.

Benachrichtigung: Über einen Gewinn informieren wir dich per E-Mail. Eine Discord-Nachricht schicken wir nur, wenn du Discord verknüpft und den Newsletter abonniert hast (Abschnitte 2.7 und 2.15).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme und Vergabe des Preises), für die öffentliche Anzeige von Künstlername und Titel zusätzlich lit. f (berechtigtes Interesse, die Gewinner des Formats bekannt zu machen; du hast beim Einreichen darauf hingewiesen und kannst deinen Song jederzeit zurückziehen), für die Aufbewahrung des Vergabenachweises lit. f (Nachweis der ordnungsgemäßen Vergabe, Missbrauchsabwehr). Die Vergabe selbst, also Gutschrift und Benachrichtigung, gehört zur Teilnahme nach den Turnierregeln.

Interessenabwägung (lit. f): Unser Interesse ist, das Ergebnis eines öffentlichen Leistungsturniers bekannt zu machen und die Vergabe der Preise bei Rückfragen, Beschwerden oder einem Missbrauchsverdacht nachweisen zu können. Öffentlich zeigen wir nur Künstlername und Titel, die du selbst für die öffentliche Wiedergabe gewählt hast und die schon in der Warteschlange und im Stream zu sehen waren; deinen Benutzernamen zeigen wir nicht. Die Anzeige endet nach 2 Tagen, der Vergabenachweis ist nicht öffentlich und wird nach 365 Tagen gelöscht. Mit der Anzeige musst du rechnen, weil wir beim Einreichen und in den Turnierregeln darauf hinweisen. Deine Interessen überwiegen deshalb in der Regel nicht. Hast du im Einzelfall Gründe dagegen, kannst du widersprechen (siehe unten).

Empfänger & Widerspruch: Die Anzeige ist öffentlich. Weitere Empfänger gibt es nicht, mit Ausnahme der Streamplattformen, wenn das Podest im Stream gezeigt wird (siehe 2.17). Du kannst der Anzeige nach Art. 21 DSGVO widersprechen, per E-Mail an die im Impressum genannte Adresse. Einen Song, der noch nicht auf dem Podest steht, kannst du jederzeit zurückziehen.

2.21 Widerruf und Kündigung über die Funktionen auf dieser Webseite

Wenn du über „Vertrag widerrufen“ oder „Verträge hier kündigen“ eine Erklärung abgibst, verarbeiten wir die Angaben, die du dort machst (Name, E-Mail-Adresse für die Bestätigung, Angaben zum Vertrag, bei einer Kündigung außerdem Kündigungsart, bei außerordentlicher Kündigung der Grund und der gewünschte Zeitpunkt), den Zeitpunkt des Eingangs, die Zuordnung zu deinem Konto bzw. Vertrag, den Bearbeitungsstatus und den Zeitpunkt der Bestätigungsmail. Eine IP-Adresse speichern wir dafür nicht. Sie wird nur kurzzeitig im Arbeitsspeicher des Servers gezählt, um massenhafte Eingaben zu bremsen, und landet wie jede Anfrage im Server-Log (Abschnitt 5). Die Funktionen sind ohne Anmeldung erreichbar; wir bearbeiten die Erklärungen von Hand.

Zweck: Entgegennahme und Bearbeitung deiner Erklärung, die gesetzlich vorgeschriebene Eingangsbestätigung und der Nachweis, dass und wann du sie abgegeben hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Erklärung zum Vertrag), lit. c DSGVO (gesetzliche Pflicht zur Bestätigung nach § 356a Abs. 4 bzw. § 312k Abs. 4 BGB) und lit. f DSGVO (unser berechtigtes Interesse, Ansprüche nachzuweisen und abzuwehren). Empfänger: Die Bestätigung geht über den Mailserver, den wir für den Mailversand nutzen (Abschnitt 5). An Dritte geben wir die Angaben nicht weiter. Speicherdauer: Wir löschen die Angaben mit Ablauf des dritten Jahres nach dem Jahr, in dem die Erklärung bei uns eingegangen ist, soweit keine längere gesetzliche Aufbewahrung gilt (z. B. für Rechnungsunterlagen, Abschnitt 7). Kündigst du im Kunden-Portal von Stripe, gelten zusätzlich die Angaben in 2.6.

3. Cookies & Einwilligung

Notwendige Cookies (u. a. Session/Login, Cookie-Einwilligung selbst) werden immer gesetzt (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Betrieb der Seite). Das Speichern auf deinem Endgerät ist dafür ohne Einwilligung zulässig, weil es für den von dir gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Im Einzelnen:

Ohne Einwilligung erreichbar sind die Startseite für nicht angemeldete Besucher, die Rechtstexte, die Tarifseite, die Seiten zu Widerruf und Kündigung, die Download-Seite für nicht angemeldete Besucher, das Meldeformular für Inhalte, die öffentliche Songliste und das Stream-Overlay des Song-Reaction-Formats, die Anmelde- und Registrierungsseiten, der zweite Anmeldeschritt (Zwei-Faktor-Code) sowie alle Schritte zum Zurücksetzen des Passworts (Recovery-Code, Link per E-Mail, Code per Discord-Nachricht); sie laden keine Inhalte von Drittanbietern. Auf der Download-Seite setzen wir für nicht angemeldete Besucher kein Cookie und laden weder Skripte von Drittanbietern noch externe Schriften. Die Anmeldung über Discord oder Google startet erst nach deiner Auswahl im Cookie-Consent-Dialog. Über die folgende optionale Kategorie entscheidest du selbst im Cookie-Consent-Dialog, der vor den übrigen Seiten der Weboberfläche erscheint und jederzeit über die Cookie-Einstellungen erneut aufgerufen, angepasst oder widerrufen werden kann:

Rechtsgrundlage für diese Kategorie ist ausschließlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), nicht ein berechtigtes Interesse — du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen. Eine frühere dritte Kategorie („Marketing & Personalisierung“) war nie mit einer tatsächlichen Datenverarbeitung hinterlegt und wurde ersatzlos entfernt.

4. Nutzungsstatistiken (Reichweitenmessung)

Stimmst du im Cookie-Consent-Dialog der Kategorie „Analyse & Statistik“ zu, erheben wir serverseitig aggregierte Nutzungsstatistiken. Zweck ist, dein Nutzererlebnis zu verbessern: zu verstehen, welche Funktionen genutzt werden, um die Weiterentwicklung des Produkts sinnvoll zu priorisieren — nicht die Beobachtung einzelner Personen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen kannst.

Erfasst werden ausschließlich folgende Ereigniskategorien, jeweils als reiner Tageszähler:

Zusätzlich zählen wir, wie viele unterschiedliche Nutzer:innen an einem Tag mit einer dieser Kategorien interagiert haben — auch das ausschließlich als Zahl, nie als Liste von Namen.

Pseudonymisierung: Für diese Nutzerzählung speichern wir statt deines Benutzernamens einen Hashwert, der sich aus einem geheimen, nur uns bekannten Zusatzwert (Salt), dem aktuellen Tag und deinem Benutzernamen ergibt (SHA-256). Weil das Datum in die Berechnung eingeht, ändert sich dieser Hash jeden Tag von selbst — der Hash von heute lässt sich nicht mit dem von gestern oder morgen zu „derselben Person“ verknüpfen, selbst wenn jemand den Salt kennen würde.

Ausdrücklich nicht erfasst werden: deine IP-Adresse, Browser-/Geräte-Fingerprinting, Prompt-Inhalte, Datei- oder Projektnamen. Die Daten werden nicht an Dritte weitergegeben und nicht in ein Land außerhalb der EU/des EWR übertragen — die Auswertung läuft ausschließlich auf unserem eigenen Server.

Speicherdauer: Die täglich aggregierten Zählerwerte (Kategorie, Tag, Zähler — ohne Personenbezug) werden nach 400 Tagen gelöscht. Die pseudonymisierten Zeilen zur Zählung eindeutiger Nutzer:innen (siehe oben) werden bereits nach 90 Tagen gelöscht, da sie — solange sie existieren — theoretisch auf eine Person zurückführbar sind und deshalb kürzer aufbewahrt werden als die reinen Aggregatzahlen.

Widerrufst du deine Einwilligung, werden ab diesem Zeitpunkt keine neuen Ereignisse mehr erfasst. Bereits zuvor erfasste, aggregierte Zählerwerte lassen sich danach nicht rückwirkend löschen, weil sie zu diesem Zeitpunkt bereits mit den Werten anderer Nutzer:innen zu einer reinen Tagessumme zusammengefasst sind und keiner einzelnen Person mehr zugeordnet werden können.

5. Hosting- & Logdaten

Beim Aufruf unserer Seiten erhebt der Webserver automatisch technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit des Zugriffs, aufgerufene Seite, verwendeter Browser/Betriebssystem, Referrer-URL) in einer lokalen Server-Logdatei. Diese Logdaten dienen der Sicherstellung eines störungsfreien Betriebs, der Systemsicherheit (Erkennung von Angriffen) und der technischen Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).

Aufbewahrung: Die Logdatei wird täglich um Mitternacht gewechselt; ältere Dateien werden nach 30 Tagen automatisch gelöscht. Diese Frist wird technisch durchgesetzt und umfasst ausdrücklich auch Logdateien, die von früheren Serverläufen übrig geblieben sind.

Hosting und Serverstandort: Der Dienst läuft auf einem Server der netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, Deutschland. Das genutzte Rechenzentrum steht in Wien, Österreich. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Hoster setzt seinerseits folgende Unterauftragsverarbeiter ein:

Alle genannten Stellen und Standorte liegen innerhalb der Europäischen Union. Eine Übermittlung deiner Daten in ein Drittland findet im Rahmen des Hostings nicht statt.

Schriftarten: Die auf unseren Seiten verwendeten Schriftarten (u. a. Inter, Space Grotesk, JetBrains Mono) werden vollständig lokal von unserem eigenen Server ausgeliefert. Beim Laden einer Seite wird keine Verbindung zu Google-Fonts-Servern (fonts.googleapis.com/fonts.gstatic.com) oder einem anderen externen Schriftarten-Anbieter aufgebaut — deine IP-Adresse wird dafür also nicht an Dritte übertragen.

6. Admin-Sicherheitsprotokoll (Audit-Log)

Administrative Aktionen im Verwaltungsbereich (z. B. Sperrung eines Kontos, Änderung eines Kontingents) protokollieren wir zusammen mit dem Administrator-Benutzernamen, der Art der Aktion, dem betroffenen Ziel und der IP-Adresse der handelnden Administratorin/des handelnden Administrators (nicht der IP-Adresse betroffener Nutzer:innen). Zweck: Nachvollziehbarkeit und Missbrauchsschutz im Verwaltungsbereich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Rechenschaftsfähigkeit/Sicherheit im Adminbereich).

Aufbewahrung: Einträge dieses Protokolls werden nach 90 Tagen automatisch gelöscht. Ein Hintergrunddienst setzt diese Frist regelmäßig durch.

7. Speicherdauer (Übersicht)

Konto- und Projektdaten bleiben gespeichert, bis du dein Konto löschst (oder um Löschung bittest). Einmal-Codes (Discord-Bestätigung/Reset) sind nach kurzer Zeit automatisch ungültig und werden danach gelöscht. Team-Einladungstoken (Abschnitt 2.5) verfallen nach 7 Tagen automatisch. API-Tokens (Abschnitt 2.10) bleiben bis zum Widerruf durch dich gültig; ein widerrufenes Token wird nicht gelöscht, sondern nur als ungültig markiert, damit „zuletzt benutzt“-Angaben nachvollziehbar bleiben. Einmal zur Marketplace-Bibliothek hinzugefügte Plugins (Abschnitt 2.11) bleiben dir zugeordnet, auch wenn du sie aus deiner Ansicht ausblendest, bis du dein Konto löschst. Dann löschen wir diese Einträge, und von deinen Bewertungen bleiben nur die Sterne ohne Bezug zu deinem Konto und ohne Text. Der Stand deiner Newsletter-Anmeldung samt Zeitpunkten (Abschnitt 2.15) bleibt als Nachweis der Einwilligung bzw. der Abmeldung gespeichert, bis du dein Konto löschst. Die Versandliste einer Ausgabe wird gelöscht, sobald die Ausgabe vollständig verschickt oder endgültig abgebrochen ist, übrig bleiben nur Zählwerte ohne Personenbezug. Abgelehnte und zurückgezogene Marketplace-Einreichungen sowie abgeschlossene Meldungen (Abschnitt 2.16) löschen wir 183 Tage nach Prüfung, Zurückziehen bzw. Abschluss. Songs der Song Reaction (Abschnitt 2.17) löschen wir beim Zurückziehen, bei Gästen automatisch 7 Tage nach der Einreichung und sonst spätestens mit der Löschung deines Kontos; die Anzeige als Gewinner (Abschnitt 2.20) endet nach 2 Tagen, den Vergabenachweis löschen wir nach 365 Tagen, bei Kontolöschung sofort; das Skip-Protokoll und das Skip-Guthaben (Abschnitt 2.18) löschen wir mit deinem Konto. Push-Abos (Abschnitt 2.19) löschen wir beim Ausschalten, spätestens wenn der Song die Warteschlange verlässt, bei Gästen nach 7 Tagen und sonst mit deinem Konto. Erklärungen über die Funktionen „Vertrag widerrufen“ und „Verträge hier kündigen“ (Abschnitt 2.21) löschen wir mit Ablauf des dritten Jahres nach dem Jahr ihres Eingangs.

Rechnungs- und Zahlungsdaten (z. B. Rechnungen, Buchungsbelege) unterliegen gesetzlichen Aufbewahrungspflichten und werden nach § 147 AO aufbewahrt, Buchungsbelege (dazu zählen in der Regel Rechnungen) acht Jahre, Bücher und Abschlüsse zehn Jahre, auch wenn du dein Konto vorher löschst. Rechtsgrundlage für diese Aufbewahrung ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

Sicherungskopien: Von der Datenbank erstellen wir einmal täglich automatisch eine Sicherung und zusätzlich vor jedem Update des Dienstes eine Sicherung. Jede dieser Sicherungen löschen wir nach 14 Tagen. Sie liegen auf demselben Server wie der Dienst selbst und verlassen ihn nicht. Eine Sicherung ändern wir nachträglich nicht. Das bedeutet in der Praxis: nach einer Löschung deines Kontos können einzelne Daten noch bis zu 14 Tage in einer solchen Sicherung enthalten sein, bis diese turnusmäßig verfällt. Aus einer Sicherung werden keine Daten zurückgeholt, außer um nach einem technischen Ausfall den Betrieb wiederherzustellen.

Löschprotokoll: Damit eine solche Wiederherstellung gelöschte Daten nicht zurückbringt, führen wir außerhalb der Datenbank ein Löschprotokoll. Es hält fest, dass ein Konto gelöscht oder eine Newsletter-Anmeldung beendet wurde, und wann. Statt deines Benutzernamens enthält es nur einen pseudonymen Prüfwert, einen mit einem geheimen Schlüssel gebildeten Hashwert, aus dem sich der Name nicht zurückrechnen lässt. Einen Eintrag löschen wir nach 21 Tagen, also erst, wenn es keine Sicherung von vor der Löschung mehr gibt. Stellen wir die Datenbank aus einer Sicherung wieder her, wenden wir das Löschprotokoll an, bevor der Dienst wieder startet: gelöschte Konten werden dabei erneut gelöscht, beendete Newsletter-Anmeldungen erneut beendet. Zusätzlich gleicht der Server das Protokoll bei jedem Start und einmal täglich mit der Datenbank ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO (Durchsetzung der Löschung).

Für die Aufbewahrungsfristen der Nutzungsstatistiken siehe Abschnitt 4, für Server-Logs und das Admin-Sicherheitsprotokoll siehe Abschnitte 5 und 6.

8. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu, die du gegenüber dem Verantwortlichen (Abschnitt 1) geltend machen kannst:

Zur Ausübung dieser Rechte wende dich an contact@no-cheats.de.

← Zurück