Datenschutzerklärung – Crate

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Jan Bromann
E-Mail: jan@cortexno.de

2. Grundsatz

Crate wird selbst gehostet (eigener Server; kein Cloud-Analyse- oder Werbedienst). Wir setzen keine Tracking-, Analyse- oder Werbe-SDKs ein, erstellen keine Werbe- oder Nutzerprofile zu Werbezwecken und geben Ihre Daten nicht an Datenhändler weiter. Verarbeitet werden nur die Daten, die für den Betrieb des Dienstes erforderlich sind.

Hosting: App und Datenbank laufen auf einem eigenen Server des Betreibers. Anfragen erreichen ihn über einen bei UpCloud Ltd (Helsinki, Finnland) angemieteten virtuellen Server (VPS) im Rechenzentrum Frankfurt am Main, der die verschlüsselte HTTPS-Verbindung annimmt und weiterleitet; dabei fallen IP-Adresse, Zeitpunkt und aufgerufene Adresse in technisch notwendigen Server-Logs an. Auf demselben VPS läuft unser eigener Mailserver, über den Anmelde- und Benachrichtigungsmails verschickt werden. UpCloud verarbeitet diese Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

3. Welche Daten wir verarbeiten

a) Kontodaten

• E-Mail-Adresse (für Login per Magic-Link und für Benachrichtigungen)
• Name und Handle (Anzeigename), optionales Profilbild/Avatar
• Spracheinstellung, Land, Wiedergabe-Präferenzen (bevorzugte Plattform, Anzeige von Apple Music/Spotify, Wochenübersicht ein/aus)
• Zeitpunkt der Kontoerstellung und letzten Änderung

Zweck: Bereitstellung des Nutzerkontos. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

b) Anmeldedaten (Authentifizierung)

• Magic-Link-Token (zeitlich begrenzt, per E-Mail versendet)
• Passkeys: öffentlicher Schlüssel, Geräte-/Credential-Kennungen (kein privater Schlüssel – der verbleibt auf Ihrem Gerät)
• Sitzungen: Session-Token, IP-Adresse und User-Agent (Browser/Gerät)
• Optionale API-Tokens (nur als Hashwert gespeichert) für Share-Shortcuts

Zweck: sichere Anmeldung und Sitzungsverwaltung. Rechtsgrundlage: Vertrag und berechtigtes Interesse an der Kontosicherheit (Art. 6 Abs. 1 lit. b und f).

c) Inhalte, die Sie anlegen

• Gespeicherte Musik-Links (Quell-URL und -Titel) sowie die daraus aufgelösten Track-Metadaten (Titel, Künstler, Album, Cover, Genre, Plattform-Links)
• Notizen, Tags, Crates, Playlists, Kommentare und „Hypes“/Favoriten
• Sichtbarkeits-Einstellungen (öffentlich/privat) je Eintrag

Zweck: Kernfunktion der App. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b).

d) Soziale Funktionen

• Freundschaftsanfragen, Circles (Gruppen) und deren Mitgliedschaften
• Geteilte Einträge innerhalb von Circles
• Feedback zu Empfehlungen (angenommen/weggewischt)

Zweck: Teilen und Entdecken von Musik. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b).

e) Benachrichtigungen

• Web-Push-Abonnement (Endpunkt und Schlüssel) bzw. APNs-Geräte-Token und Live-Activity-Token der iOS-App, jeweils mit Geräte-Kennung

Zweck: Push-Benachrichtigungen (z. B. „Jetzt läuft“, Wochenübersicht), nur nach Ihrer Zustimmung im Gerät. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a). Sie können Benachrichtigungen jederzeit in den Geräteeinstellungen oder in der App widerrufen.

f) Sicherheits- und Server-Protokolle

• Sicherheitsereignisse (z. B. fehlgeschlagene Anmeldungen, ungültige Tokens, Scanner-Zugriffe) mit IP-Adresse, Pfad und Zeitpunkt – automatische Löschung nach 30 Tagen
• Technisch notwendige Server-Logs des Webservers

Zweck: Abwehr von Angriffen und Missbrauch, Stabilität des Dienstes. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f).

4. Empfänger / Drittdienste

Zur Erbringung des Dienstes werden einzelne Daten an folgende Dienste übermittelt – jeweils nur das dafür Notwendige:

Die Abfragen zur Auflösung und Anreicherung (alle Zeilen außer Push und Wiedergabe) stellt unser Server, nicht Ihr Gerät; Ihre IP-Adresse oder E-Mail-Adresse wird dabei nicht übermittelt.

Beim Abspielen oder Einbetten von Inhalten (YouTube, Spotify, Apple Music, SoundCloud, Bandcamp) stellt Ihr Gerät direkt eine Verbindung zu diesen Anbietern her; dabei gelten deren eigene Datenschutzbestimmungen. Teile dieser Anbieter haben Sitz in den USA; eine Übermittlung erfolgt dann in ein Drittland.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

5. Speicherdauer

Wir speichern Ihre Daten, solange Ihr Konto besteht. Sicherheitsprotokolle werden nach 30 Tagen gelöscht. Bei Löschung Ihres Kontos werden Ihre Kontodaten und die mit Ihnen verknüpften Inhalte gelöscht; global zwischengespeicherte, nicht personenbezogene Track-Metadaten können erhalten bleiben.

6. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch (Art. 15–21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Kontolöschung: Sie können Ihr Konto direkt in der App löschen (Einstellungen → Konto löschen). Dabei werden Ihre personenbezogenen Daten entfernt.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

7. Kinder

Crate richtet sich nicht an Kinder unter 16 Jahren. Wir erheben nicht wissentlich Daten von Kindern.

8. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist in der App und unter der oben genannten Adresse abrufbar.

Kontakt für Datenschutzanfragen: datenschutz@cortexno.de