Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Vertreten durch Jan Burzinski und Benoît Jaenisch. E-Mail: info@bejanic.de, Telefon: +49 155 66800465. Für Sicherheitsmeldungen erreichen Sie uns unter security@bejanic.de.

Wir sind gesetzlich nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen. Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte Adresse.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für einen funktionsfähigen, sicheren Dienst erforderlich ist. Inhalte, die Sie hochladen, sind standardmäßig privat; wir werten sie nicht aus, verkaufen keine Daten und setzen keine Werbenetzwerke ein.

Wir stützen die Verarbeitung auf folgende Grundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsvertrags: Konto, Bereitstellung des Dienstes, Uploads, Wiedergabe, Teilen, Abrechnung, Support.
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen: Sicherheit und Missbrauchsabwehr, technische Protokollierung, Fehlerdiagnose, datensparsame Reichweitenmessung sowie Weiterentwicklung des Produkts.
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Eintrag in unsere Warteliste, optionale Diagnosedaten beim Feedback sowie Push-Benachrichtigungen, die Sie im Betriebssystem und in der App aktivieren. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten.

3. Aufruf der Website und Server-Protokolle

Beim Aufruf von tapedeck.stream verarbeitet unsere Infrastruktur technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Adresse, HTTP-Status, übertragene Datenmenge, Referrer sowie Browser- und Geräteangaben (User-Agent). Diese Daten sind erforderlich, um die Seite auszuliefern, Angriffe und Überlastung abzuwehren und Störungen zu beheben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die gesamte Übertragung ist per TLS verschlüsselt. Zur Begrenzung automatisierter Anfragen (Rate Limiting) verarbeiten wir kurzzeitig aus IP-Adresse und Konto-Kennung abgeleitete Merkmale.

4. Konto und Anmeldung

Für die Nutzung von tapedeck benötigen Sie ein Konto. Sie können sich mit Apple, Google, E-Mail-Adresse und Passwort oder — im Web — mit einem Einmal-Code anmelden, den wir an Ihre E-Mail-Adresse senden. Passwort-Hashes werden, soweit verwendet, bei unserem Authentifizierungsanbieter gespeichert, nicht in der Anwendungsdatenbank von tapedeck.

Registrierung und Sitzungsverwaltung setzen wir mit dem Dienst Clerk um. Dabei werden verarbeitet: E-Mail-Adresse, optional Name, Benutzername und Profilbild, Anmeldezeitpunkte, verwendete Anmeldemethode sowie technische Sitzungs- und Sicherheitsdaten. Innerhalb von tapedeck werden Ihr Anzeigename und Ihr Profilbild anderen Mitgliedern gezeigt, mit denen Sie Ordner oder Tracks teilen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Absicherung der Anmeldung zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

5. Nutzung von tapedeck

Wenn Sie tapedeck nutzen, verarbeiten wir die Daten, die durch Ihre Arbeit im Produkt entstehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Inhalte

Hochgeladene Audiodateien und Coverbilder, Projekt- und Ordnernamen, Titel, Interpret, erkannte Tempo- und Tonartangaben, Dateiname, Dateigröße und Dateityp, Versionsverläufe sowie Kommentare, Antworten, Reaktionen und Zeitmarken. Kommentare sind für die Personen sichtbar, die Zugriff auf den jeweiligen Track haben.

Verarbeitung von Audio

Hochgeladene Originaldateien liegen verschlüsselt in Cloudflare R2. Ein von uns betriebener Verarbeitungsdienst auf Railway erstellt daraus eine Wiedergabefassung und ermittelt technische Merkmale wie Tempo und Tonart. Die Wiedergabe erfolgt ausschließlich über kurzlebige, signierte Adressen; Audio liegt nicht offen im Internet.

Aktivität

Damit Sie sehen, wie Ihre Musik ankommt, protokollieren wir Wiedergaben innerhalb geteilter Ordner, einschließlich der wiedergebenden Person, des Zeitpunkts und der gehörten Dauer. Ob diese Aktivität für andere Mitglieder sichtbar ist, steuern die Eigentümerinnen und Eigentümer eines Ordners in den Freigabe-Einstellungen.

Synchronisierung

Um Änderungen auf Ihren Geräten aktuell zu halten, führen wir eine kurzlebige Liste von Änderungsereignissen (etwa „Track hinzugefügt“, „Zugriff entzogen“) und pflegen pro Gerät einen Synchronisationsstand. Auf Ihrem Gerät speichern wir dafür eine lokale Kopie Ihrer Bibliothek.

6. Teilen, Einladungen und Freigabe-Links

Sie entscheiden, wer Zugriff erhält. Beim Teilen verarbeiten wir die Rollen (Eigentümer, Bearbeiter, Betrachter), die Zugriffsrechte einzelner Mitglieder sowie Zeitpunkte der Vergabe und des Entzugs.

Wenn Sie jemanden per E-Mail einladen, verarbeiten wir die von Ihnen angegebene E-Mail-Adresse, um die Einladung zuzustellen. Für Freigabe-Links speichern wir eine Kennung des Links, optionale Ablaufzeiten, eine Begrenzung der Verwendungen, den Zähler der Verwendungen sowie – wenn Sie einen Linkschutz einrichten – das Passwort in gesicherter Form. Bitte laden Sie nur Personen ein, die mit dem Erhalt der Einladung einverstanden sind; für die Auswahl der Empfänger sind Sie verantwortlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an der Absicherung von Freigaben gemäß Art. 6 Abs. 1 lit. f DSGVO.

7. Benachrichtigungen und E-Mails

Wir versenden Transaktions-E-Mails, die für den Dienst erforderlich sind, etwa Anmelde-Codes, Einladungen, Bestätigungen und – sofern von Ihnen aktiviert – Zusammenfassungen zu Aktivitäten in Ihren Ordnern. Für den Versand nutzen wir Resend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In der mobilen App können Sie Push-Benachrichtigungen aktivieren. Dafür verarbeiten wir ein Gerätetoken, die Plattform (iOS oder Android), den Zeitpunkt der letzten Nutzung sowie den Zustellstatus. Die Zustellung erfolgt über den Push-Dienst von Expo und die Systemdienste von Apple beziehungsweise Google. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit in den App-Einstellungen oder in den Systemeinstellungen Ihres Geräts widerrufen können.

Benachrichtigungen innerhalb der App (etwa zu neuen Kommentaren) speichern wir mit Auslöser, betroffenem Ordner oder Track sowie Lesestatus, damit sie auf allen Ihren Geräten konsistent erscheinen.

8. Abonnement und Zahlungen

tapedeck ist in einer kostenlosen Variante nutzbar. Für kostenpflichtige Pläne verarbeiten wir Ihren Plan, dessen Laufzeit und Status sowie die Nutzung der im Plan enthaltenen Kontingente.

Kauf im Web

Schließen Sie ein Abonnement über unsere Website ab, erfolgt die Abwicklung über unseren Abrechnungsdienst Autumn in Verbindung mit dem Zahlungsdienstleister Stripe. Zahlungsdaten wie Kartendaten geben Sie unmittelbar beim Zahlungsdienstleister ein; wir erhalten und speichern diese Daten nicht.

Kauf in der mobilen App

Käufe in der iOS- und Android-App laufen über Apple In-App-Purchase beziehungsweise Google Play Billing. Kaufabwicklung, Zahlungsmittel und Rechnungsstellung liegen dabei allein bei Apple oder Google als eigenständig Verantwortlichen; wir erhalten keine Zahlungsdaten.

Damit ein im Store gekaufter Plan auf allen Ihren Geräten und im Web gilt, nutzen wir RevenueCat. Verarbeitet werden dabei Ihre Konto-Kennung (dieselbe Kennung wie in Ihrem tapedeck-Konto), das gekaufte Produkt, Status, Beginn, Verlängerung, Ablauf oder Erstattung des Abonnements, die Plattform des Kaufs sowie die von Apple oder Google übermittelten Kaufbelege und Geräte- und Ländermerkmale des Kaufs. RevenueCat gleicht diesen Status mit Autumn ab, das bei uns über Ihre Kontingente entscheidet. Wir verwenden diese Daten nicht für Werbung oder plattformübergreifendes Tracking.

Ein über den App Store oder Google Play abgeschlossenes Abonnement verwalten und kündigen Sie in den Einstellungen des jeweiligen Stores; eine Löschung Ihres tapedeck-Kontos beendet ein solches Abonnement nicht.

Rechtsgrundlage für alle vorgenannten Verarbeitungen ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO.

9. Kontaktformular, Feedback und Warteliste

Kontaktaufnahme

Wenn Sie unser Kontaktformular nutzen oder uns schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, das gewählte Thema und Ihre Nachricht, um die Anfrage zu beantworten. Das Formular enthält ein unsichtbares Feld zur Spam-Erkennung, das von Menschen nicht ausgefüllt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Feedback im Produkt

Senden Sie Feedback aus der App, verarbeiten wir Ihre Nachricht zusammen mit Ihrer Konto-Kennung. Optional können Sie ausdrücklich technische Angaben zur verwendeten Version, zum Gerät und zu kürzlich aufgetretenen technischen Ereignissen mitsenden, um das Problem nachvollziehbar zu machen. Die Diagnosedaten selbst enthalten weder Audiodateien noch zusätzliche Nachrichteninhalte. Rechtsgrundlage für die Bearbeitung des Feedbacks ist Art. 6 Abs. 1 lit. f DSGVO, für die optionalen Diagnosedaten Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Warteliste

Für die Warteliste speichern wir Ihre E-Mail-Adresse, die Herkunft der Anmeldung sowie Zeitpunkt der Anmeldung und der Bestätigung. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Wir senden Ihnen einen Bestätigungslink, der zeitlich begrenzt gültig ist; erst nach Bestätigung nehmen wir Sie auf. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sich jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an uns abmelden.

10. Reichweitenmessung und Produktanalyse

Databuddy auf den öffentlichen Seiten

Auf unseren Marketing-Seiten messen wir die Reichweite mit Databuddy. Der Dienst arbeitet ohne Cookies und ohne seitenübergreifende Wiedererkennung. Erfasst werden aggregierte Angaben wie aufgerufene Seite, Referrer, ungefähre Herkunft, Gerätetyp und Ladezeiten. Das Skript und die Messdaten laufen ausschließlich über unsere eigene Domain; die IP-Adresse der Besucherinnen und Besucher geben wir dabei nicht an Databuddy weiter. Angemeldete Bereiche wie Dashboard, Projekte, Tracks und Konto sind von der Messung ausgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer datensparsamen Erfolgsmessung unserer Website).

PostHog in der Web-App

In der Web-App nutzen wir PostHog auf europäischer Infrastruktur, um Fehler zu erkennen und einen kleinen Satz zentraler Produktabläufe zu verstehen. Wir haben den Dienst bewusst eng konfiguriert: Sitzungsaufzeichnung ist deaktiviert, es findet kein automatisches Erfassen von Klicks oder Eingaben statt, und Ereignisse werden vor dem Versand bereinigt – E-Mail-Adressen, Zugangs-Token, signierte Medienadressen und Kennungen einzelner Objekte werden entfernt oder ersetzt. Erfasst werden im Wesentlichen Fehlerberichte, der Upload- und Verarbeitungsstatus von Tracks sowie die Information, dass ein Konto an einem Tag aktiv war. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

PostHog in der Mobile-App

In der Mobile-App senden wir Daten an PostHog erst nach Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Dazu gehören technische Fehlerereignisse, der Upload- und Verarbeitungsstatus sowie die Information, dass ein Konto an einem Tag aktiv war. Die Verarbeitung erfolgt auf europäischer Infrastruktur. Sitzungsaufzeichnung ist deaktiviert; Ereignisse werden bereinigt und enthalten insbesondere keine Audio- oder Kommentarinhalte, E-Mail-Adressen, Zugangs-Token oder signierten Medienadressen. Sie können Ihre Einwilligung jederzeit unter Einstellungen → Analysedaten teilen widerrufen. Der Widerruf gilt für die Zukunft und berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht. Optionale Diagnosedaten in einem Feedback bleiben davon getrennt und werden nur mit Ihrer Auswahl beim Absenden übermittelt.

11. Betriebsprotokolle und Sicherheit

Für den stabilen und sicheren Betrieb protokollieren wir technische Ereignisse unserer Schnittstelle und des Verarbeitungsdienstes, etwa Zeitpunkt, aufgerufene Route, Statuscode, Dauer, Anfragekennung und Fehlermeldungen. Diese Protokolle bewahren wir bei Axiom auf. Sie dienen der Fehlersuche, der Aufklärung von Sicherheitsvorfällen und dem Nachweis der Systemsicherheit; Inhalte Ihrer Musik werden dabei nicht ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

12. Mobile App

Unsere iOS- und Android-App verarbeitet dieselben Daten wie die Web-App. Zusätzlich gilt:

• Berechtigungen für Kamera, Mikrofon, Fotos und Dateien fragen wir nur ab, wenn Sie eine Funktion nutzen, die sie benötigt – etwa wenn Sie mit der Kamera ein Projekt-Cover aufnehmen, ein bestehendes Cover aus Ihren Fotos auswählen oder mit dem Mikrofon eine Idee aufnehmen. Sie können Berechtigungen jederzeit in den Systemeinstellungen entziehen.
• Die optionale Sperre per Face ID oder Fingerabdruck wird ausschließlich lokal auf Ihrem Gerät geprüft. Biometrische Daten werden weder an uns noch an Dritte übertragen.
• Anmeldedaten und Sitzungstoken werden im gesicherten Speicher des Geräts abgelegt; Bibliotheksdaten werden lokal zwischengespeichert, damit die App offline nutzbar bleibt.
• Der Bezug der App erfolgt über den App Store beziehungsweise Google Play. Für die dortige Verarbeitung sind Apple und Google eigenständig verantwortlich.

13. Cookies und lokale Speicherung

Wir verwenden keine Werbe- oder Tracking-Cookies und binden keine Dienste ein, die Sie seitenübergreifend wiedererkennen. Gespeichert werden ausschließlich technisch erforderliche Informationen:

• Sitzungs-Cookies unseres Anmeldedienstes, damit Sie angemeldet bleiben und Anfragen abgesichert sind.
• Lokale Speicher des Browsers beziehungsweise des Geräts für Ihre Einstellungen, für die zwischengespeicherte Bibliothek und für noch nicht übertragene Änderungen.

Diese Speicherung ist zur Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und benötigt daher keine Einwilligung. Sie können lokale Daten jederzeit über die Einstellungen Ihres Browsers oder durch Abmelden entfernen.

14. Empfänger und Auftragsverarbeiter

Wir arbeiten mit einer bewusst kleinen Zahl sorgfältig ausgewählter Dienstleister zusammen. Diese verarbeiten Daten weisungsgebunden für uns; mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Cloudflare, Inc. (USA / EU) – Hosting und Auslieferung der Website und der API, Schutz vor Angriffen sowie verschlüsselte Speicherung der hochgeladenen Audio- und Bilddateien (R2).
• PlanetScale, Inc. (EU) – Betrieb der PostgreSQL-Datenbank, in der die Inhalts- und Kontodaten liegen.
• Clerk, Inc. (USA) – Registrierung, Anmeldung und Sitzungsverwaltung, einschließlich Einmal-Codes per E-Mail und „Sign in with Apple“.
• Resend (Plus Five Five, Inc.) (USA / EU) – Versand von Transaktions-E-Mails wie Einladungen, Bestätigungen und Zusammenfassungen.
• PostHog, Inc. (EU) – Produktanalyse und Fehlerdiagnose in App und Web (EU-Instanz).
• Databuddy (EU) – Cookiefreie Reichweitenmessung auf den öffentlichen Marketing-Seiten.
• Axiom, Inc. (USA / EU) – Aufbewahrung technischer Betriebs- und Sicherheitsprotokolle.
• Railway Corp. (USA / EU) – Betrieb des Audio-Verarbeitungsdienstes, der hochgeladene Dateien konvertiert.
• Autumn (Useautumn, Inc.) und Stripe, Inc. (USA / EU) – Abwicklung von Abonnements und Zahlungen im Web.
• RevenueCat, Inc. (USA) – Verwaltung und Abgleich von Abonnements, die in der mobilen App über den App Store oder Google Play gekauft werden.
• Expo (650 Industries, Inc.) (USA) – Zustellung von Push-Benachrichtigungen an die mobile App über die Push-Dienste von Apple und Google.

Darüber hinaus geben wir Daten nur weiter, wenn Sie eingewilligt haben, wenn wir gesetzlich dazu verpflichtet sind oder wenn es zur Durchsetzung unserer Rechte erforderlich ist. Inhalte, die Sie teilen, werden ausschließlich den von Ihnen berechtigten Personen zugänglich gemacht.

15. Übermittlung in Drittländer

Einige der genannten Anbieter haben ihren Sitz in den USA oder verarbeiten Daten außerhalb der EU beziehungsweise des EWR. Wo dies der Fall ist, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission – etwa das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist – oder auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen wie Verschlüsselung und Datenminimierung.

Datenbank und Produktanalyse betreiben wir bewusst auf europäischer Infrastruktur. Trotz der genannten Garantien lässt sich nicht vollständig ausschließen, dass Behörden in Drittländern auf Daten zugreifen. Eine Kopie der vereinbarten Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

16. Speicherdauer und Löschung

• Konto und Inhalte: solange Ihr Konto besteht. Löschen Sie ein Objekt, entfernen wir es einschließlich der zugehörigen Audiodateien; die endgültige Entfernung aus dem Speicher erfolgt über einen nachgelagerten Aufräumvorgang.
• Kontolöschung: Sie können Ihr Konto in den Einstellungen löschen. Wir entfernen daraufhin Ihre Ordner, Tracks, Uploads, Kommentare, Freigaben, Benachrichtigungen und Kontoeinstellungen sowie Ihr Profil beim Anmeldedienst. Ein bestehendes Abonnement über den App Store oder Google Play müssen Sie zusätzlich dort kündigen.
• Synchronisationsereignisse: in der Regel 72 Stunden, danach werden sie automatisch entfernt.
• Betriebsprotokolle: in der Regel nicht länger als 30 Tage, außer sie werden zur Aufklärung eines Sicherheitsvorfalls benötigt.
• Warteliste: bis zum Widerruf Ihrer Einwilligung oder bis zum Ende des Programms.
• Anfragen und Feedback: bis zur abschließenden Bearbeitung und darüber hinaus, soweit gesetzliche Aufbewahrungsfristen bestehen.
• Abrechnungsunterlagen: entsprechend den handels- und steuerrechtlichen Fristen von sechs beziehungsweise zehn Jahren.

17. Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 DSGVO)

Widerspruchsrecht nach Art. 21 DSGVO: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@bejanic.de. Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

18. Minderjährige, Pflichtangaben und Änderungen

tapedeck richtet sich nicht an Kinder. Ein Konto dürfen nur Personen ab 16 Jahren anlegen. Erlangen wir Kenntnis davon, dass ein Konto entgegen dieser Vorgabe besteht, löschen wir es.

Die Bereitstellung Ihrer E-Mail-Adresse ist für die Nutzung des Dienstes erforderlich; ohne sie können wir kein Konto führen. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Weitere Informationen zu unseren technischen Schutzmaßnahmen finden Sie unter Trust & Security, Anbieterangaben im Impressum, Nutzungsbedingungen unter Terms of Service.