Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist Simon Triem & Nicolas Lesmeister, [noch einzutragen] (Anschrift), E-Mail [noch einzutragen].

Ein Datenschutzbeauftragter ist [noch einzutragen] (benannt / nicht benannt - für kleine Anbieter besteht die Pflicht in der Regel nicht).

2. Was diese Anwendung ist

Eine Verwaltung für Bands: Auftritte und Termine, Setlists, Aufgaben, Kontakte, Finanzen, Dateien, ein gemeinsames Postfach und eine öffentliche Bandseite.

Die Daten einer Band sind von denen jeder anderen getrennt. Wer sich anmeldet, sieht ausschließlich die Bands, denen er angehört.

3. Beim Aufruf der Seiten

Beim Abruf der Anwendung fallen technisch notwendige Verbindungsdaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Sie entstehen beim Hosting-Dienstleister und sind nötig, damit die Seite ausgeliefert werden kann.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO - unser berechtigtes Interesse am sicheren, störungsfreien Betrieb.

4. Konto und Anmeldung

Für ein Konto werden Vorname, Nachname und E-Mail-Adresse gespeichert, dazu das Passwort ausschließlich als bcrypt-Hash - im Klartext ist es nirgends gespeichert.

Zur Anmeldung setzen wir ein technisch notwendiges Cookie mit einem signierten Sitzungsnachweis. Weitere technisch notwendige Cookies merken sich die zuletzt gewählte Band sowie kurzlebige Zwischenstände bei der Anmeldung (zweiter Faktor, Anbindung an Google). Es werden keine Cookies zu Werbezwecken gesetzt.

Die E-Mail-Adresse wird über einen Bestätigungslink geprüft. Fehlversuche bei der Anmeldung werden gezählt, um Passwortraten zu bremsen; dabei wird der Zeitpunkt der letzten Anmeldung festgehalten.

Optional lässt sich ein zweiter Faktor (TOTP) einschalten; sein Geheimnis wird verschlüsselt gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) und für die Absicherung Art. 6 Abs. 1 lit. f DSGVO.

5. Anmeldung mit Google (optional)

Richtet der Betrieb es ein, lässt sich ein Konto zusätzlich über Google anmelden. Dabei erhalten wir von Google die E-Mail-Adresse, den Namen und eine dauerhafte Kennung des Google-Kontos. Verknüpft wird nur mit einem bereits bestehenden Konto derselben, beidseitig bestätigten Adresse - es entsteht dabei kein neues Konto.

Wer diesen Weg nicht nutzt, überträgt dabei auch nichts an Google. Die Verknüpfung lässt sich in den eigenen Einstellungen jederzeit wieder lösen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die Zustimmung bei Google), widerruflich für die Zukunft.

6. Daten der Band

Was eine Band anlegt, verarbeiten wir in ihrem Auftrag: Auftritte und Termine samt Orten und Ansprechpartnern, Besetzung, Abwesenheiten, Setlists und Songs, Aufgaben, Kontakte (Name, Rolle, Telefon, Anschrift), Finanzdaten (Gagen, Kosten, Auszahlungen an einzelne Mitglieder), Inventar, Dateien und die Inhalte der öffentlichen Bandseite.

Für die Fahrtkostenabrechnung kann die Anschrift eines Mitglieds hinterlegt werden; daraus wird die Entfernung zum Auftrittsort berechnet.

Ein Aktivitätsprotokoll hält fest, wer wann welche Änderung vorgenommen hat - für die Nachvollziehbarkeit innerhalb der Band.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber den Mitgliedern und Art. 6 Abs. 1 lit. f DSGVO, soweit Daten Dritter (etwa Veranstalterkontakte) betroffen sind.

7. Benachrichtigungen

Die Anwendung verschickt E-Mails, die zum Betrieb gehören: Bestätigung der Adresse, Passwort-Zurücksetzen, Hinweise auf geänderte Zugangsdaten, Einladungen in eine Band, Hinweise zu Domainbestellungen und Abos sowie die Mitteilung, wenn jemand zur Verwaltung einer Band ernannt wird.

Auf Wunsch kommen Push-Benachrichtigungen dazu - im Browser über den Web-Push-Dienst des jeweiligen Browserherstellers, in der App über Firebase Cloud Messaging (Google). Dafür wird eine Geräte-Kennung gespeichert. Ohne ausdrückliche Zustimmung im Browser oder in der App geschieht das nicht.

Welche Ereignisse eine Benachrichtigung auslösen, lässt sich je Band in den eigenen Einstellungen abschalten.

8. Das Postfach einer Band (optional)

Richtet eine Band ihr Postfach ein, ruft die Anwendung dessen Nachrichten über IMAP ab und versendet über SMTP. Die Nachrichten werden dabei nicht in unsere Datenbank kopiert, sondern bei jedem Aufruf frisch vom Server der Band geholt; die Zugangsdaten liegen verschlüsselt.

Alternativ lässt sich ein Gmail- oder Workspace-Postfach über eine Zustimmung bei Google verbinden. Gespeichert wird dabei nur ein dauerhaftes Zugriffsrecht (verschlüsselt), aus dem je Verbindung ein kurzlebiger Token entsteht.

Aus eingehenden Nachrichten kann die Anwendung eine mögliche Buchungsanfrage erkennen und daraus einen Kontakt oder einen Auftrittseintrag vorschlagen. Das geschieht innerhalb dieser Anwendung, ohne Übermittlung an Dritte.

9. Kalenderabgleich mit Google (optional)

Gleicht eine Band ihre Termine mit einem Google-Kalender ab, werden Titel, Zeiten, Orte und Beschreibungen ihrer Termine an Google übertragen und von dort gelesen. Der Zugang läuft entweder über ein Dienstkonto oder über eine Zustimmung der Band; im zweiten Fall wird ein dauerhaftes Zugriffsrecht verschlüsselt gespeichert.

Zusätzlich lassen sich Termine schreibgeschützt als Kalender-Abo abonnieren. Die Adresse dafür enthält ein zufälliges Token; wer sie hat, sieht die Termine dieser Band. Sie lässt sich jederzeit neu erzeugen, womit die alte wertlos wird.

10. Bezahlvorgänge und Domains (optional)

Für ein kostenpflichtiges Abo und für den Kauf einer Domain nutzen wir Stripe. Zahlungsdaten (Karten- oder Kontodaten) werden ausschließlich von Stripe verarbeitet und erreichen diese Anwendung nicht; wir speichern eine Kundenkennung, den Stand des Abos und die Beträge.

Beim Kauf einer Domain übermitteln wir die Angaben zum Inhaber - Name, Organisation, Anschrift, Telefon und E-Mail - an den Registrar INWX. Das ist für die Registrierung zwingend: die Registrierungsstellen verlangen einen benannten Inhaber.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

11. Dateien und Bandseite (optional)

Hochgeladene Dateien liegen je nach Einrichtung in der Datenbank, bei einem S3-kompatiblen Speicher (Cloudflare R2) oder auf einer Nextcloud der Band. Profil- und Bandbilder werden ebenfalls gespeichert.

Die öffentliche Bandseite zeigt, was die Band dort einträgt. Ihr Anfrageformular kann durch Cloudflare Turnstile geschützt sein; dabei werden zur Missbrauchserkennung technische Angaben und die IP-Adresse an Cloudflare übermittelt.

Zur Ortssuche und für Kartenansichten können Google Maps bzw. Google Places eingebunden sein - dabei erfährt Google die eingegebene Ortsangabe und die IP-Adresse. Ohne hinterlegten Schlüssel unterbleibt das, und es steht ein einfaches Textfeld an dieser Stelle.

12. Reichweitenmessung

Wir setzen Vercel Web Analytics und Vercel Speed Insights ein. Beide arbeiten ohne Cookies und ohne geräteübergreifende Wiedererkennung; erfasst werden aufgerufene Seiten, ungefähre Herkunft, Gerätetyp und Ladezeiten in aggregierter Form.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO - unser berechtigtes Interesse daran zu wissen, ob die Anwendung erreichbar und schnell genug ist.

13. Feedback, Neuigkeiten und Support

Im angemeldeten Bereich binden wir Featurebase ein - für Rückmeldungen und Wünsche zur Anwendung, Hinweise auf Neuerungen und gegebenenfalls einen Support-Chat. Dafür lädt der Browser Programmcode von Featurebase und übermittelt dabei technische Angaben wie IP-Adresse, Browser und aufgerufene Seite; Featurebase merkt sich im Browser eine Kennung, damit ein angefangenes Gespräch erhalten bleibt.

Der Menüpunkt „Feedback“ öffnet das Portal auf der Seite von Featurebase in einem neuen Tab. Was du dort selbst einträgst - einen Wunsch, einen Kommentar, eine Stimme, auf Wunsch eine E-Mail-Adresse für Rückfragen -, geht an Featurebase und ist für uns dort einsehbar; dort gilt ergänzend die Datenschutzerklärung von Featurebase. Die Daten deiner Band (Gigs, Termine, Kontakte, Finanzen) erreichen Featurebase nicht. Auf den öffentlichen Bandseiten und der Startseite ist Featurebase nicht eingebunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO - unser berechtigtes Interesse daran, Fehler und Wünsche zu erfahren und die Anwendung danach zu verbessern.

14. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit es für den Betrieb nötig ist. Mit den folgenden Dienstleistern bestehen bzw. bestehen noch abzuschließende Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO:

• Vercel Inc. - Hosting und Auslieferung der Anwendung, Reichweitenmessung
• MongoDB - Datenbank (Ort der Verarbeitung: [noch einzutragen])
• Stripe - Zahlungsabwicklung, nur bei kostenpflichtigen Vorgängen
• INWX (InterNetworX Ltd. & Co. KG) - Registrierung von Domains, nur beim Domainkauf
• Google Ireland Ltd. / Google LLC - Anmeldung, Kalender, Postfach und Karten, jeweils nur wenn eingerichtet
• Google LLC (Firebase Cloud Messaging) - Zustellung von Push-Benachrichtigungen in der App, nur bei ausdrücklicher Zustimmung
• Cloudflare - Spam-Schutz des Anfrageformulars und Dateispeicher, jeweils nur wenn eingerichtet
• Featurebase - Feedback, Neuigkeiten und Support im angemeldeten Bereich (Ort der Verarbeitung: [noch einzutragen])
• Der Mailanbieter der jeweiligen Band - beim Abruf ihres Postfachs

15. Übermittlung in Drittländer

Die Anwendung wird bei Vercel betrieben. Die serverseitigen Funktionen laufen in der Region "fra1" (Frankfurt am Main, Deutschland) - die Verarbeitung der Anwendungsdaten findet damit innerhalb der EU statt.

Vercel Inc. hat als Unternehmen ihren Sitz in den USA. Auch bei einer Verarbeitung in einem EU-Rechenzentrum lässt sich ein Zugriff im Rahmen des Auftragsverhältnisses (etwa Wartung oder Support) durch die US-Muttergesellschaft nicht vollständig ausschließen. Vercel Inc. ist deshalb zusätzlich unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der EU-Kommission - als Absicherung für diesen Restfall, nicht weil die Anwendungsdaten routinemäßig in die USA übertragen würden.

Bei Google, Stripe und Cloudflare gilt dieselbe Grundlage (Data Privacy Framework bzw. Standardvertragsklauseln), soweit deren Verarbeitung in den USA stattfindet - das hängt vom jeweiligen Dienst und dessen eigener Konfiguration ab und ist unabhängig von der Region, in der diese Anwendung selbst läuft.

16. Speicherdauer

Konto- und Banddaten speichern wir, solange das Konto bzw. die Band besteht. Wird ein Konto gelöscht, verschwinden die daran hängenden persönlichen Daten; Inhalte, die der Band gehören, bleiben bei der Band.

Kurzlebiges hat eine feste Frist: Bestätigungslinks für die Adresse gelten 48 Stunden, Links zum Zurücksetzen des Passworts eine Stunde, ein Wechsel der E-Mail-Adresse 24 Stunden, eine offene Kassensitzung beim Domainkauf eine Stunde.

Gesetzliche Aufbewahrungsfristen - etwa handels- und steuerrechtliche für Rechnungen - bleiben unberührt.

17. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) - das eigene Konto lässt sich in den Einstellungen selbst löschen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) - die App bietet dafür einen Export des eigenen Kontos an
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

18. Pflicht zur Bereitstellung

Die Angaben zum Konto sind nötig, um die Anwendung nutzen zu können - ohne sie lässt sich kein Zugang einrichten. Alles Weitere ist freiwillig; ohne die jeweiligen Angaben stehen einzelne Funktionen nicht zur Verfügung.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

19. Stand und Änderungen

Diese Erklärung hat den Stand [noch einzutragen]. Wir passen sie an, wenn sich an der Anwendung etwas ändert, das hier beschrieben ist.