Datenschutz

1. Verantwortlicher

Noosic beschäftigt weniger als 20 Personen mit der Verarbeitung personenbezogener Daten; ein Datenschutzbeauftragter ist deshalb nicht benannt. Fragen zum Datenschutz beantwortet der Verantwortliche selbst.

2. Welche Daten wir verarbeiten

Konto. Deine E-Mail-Adresse und die Zeitpunkte deiner Anmeldungen. Du meldest dich per E-Mail-Code an, optional über Google oder Apple (OAuth über Supabase Auth). Dazu Anzeigename, Handle, Bio, Avatar und deine Figur, die Sprache, die du gewählt hast, und die Zeitzone deines Browsers, damit dein Song des Tages an deinem Tag endet und Push nachts Ruhe gibt. Profil und Raum sind nach dem Anlegen öffentlich und können von Suchmaschinen gefunden werden; in den Einstellungen stellst du sie auf privat. Wen du blockierst oder stummschaltest, speichern wir, damit es wirkt; die andere Person erfährt es nicht.

Apple Music (optional). Du kannst Noosic ohne Verbindung durchsuchen und in Talks mitreden. Wenn du Apple Music verbindest, speichern wir ein Music User Token verschlüsselt auf unseren Servern. Damit kann Noosic zuletzt Gehörtes, Top-Titel und gespeicherte Musik abgleichen, den Apple-Katalog für dein Konto durchsuchen und Musik über MusicKit in deinem Browser abspielen. Die Katalogsuche auf unserem Server nutzt ein Apple-Developer-Token.

Aus dieser Verbindung speichern wir Hör-Snapshots. Sie sind die Grundlage für Song des Tages und Serien, Freischaltungen im Raum, Entdecken und Nachbarschaften. Deine Nachbarn auf Noosic können sehen, dass du ein Werk gehört hast. Wir nutzen das weder für Werbung noch, um dich gegenüber jemandem außerhalb von Noosic zu identifizieren. Wenn du Apple Music trennst, wird dieser Hör-Snapshot gelöscht.

Wiedergabe im Browser. Audio stammt aus dem Apple-Katalog und läuft über MusicKit: als Vorschau oder, wenn dein Apple-Music-Abo es erlaubt, als vollständiger Titel. Wir stellen Audio von Apple nicht selbst bereit. Cover und Streams ruft dein Browser bei Apple ab. Offizielle Links zu Apple Music führen zu Apple.

Inhalte, die du erstellst. Dein Raum; deine Talks in Album-Räumen, Song-Räumen und Clubs (Threads, Antworten, Themen, Umfragestimmen, Upvotes, @-Erwähnungen, angehängte GIFs und Memes); Momente, Geschenke, Besuche, Nachbarn, gespeicherte Shelves, Club-Mitgliedschaften, Künstler-Claims und Shelves. Wenn du jemanden erwähnst, speichern wir, wer erwähnt wurde, damit wir die Person benachrichtigen können.

Fragen an Artists. Eine Frage, die du einem Artist auf Noosic stellst, sieht nur die Person, die die Seite des Artists führt (und du). Kommt eine Antwort, werden Frage und Antwort auf der Seite des Artists veröffentlicht, ohne deinen Namen. Du kannst eine Frage jederzeit zurückziehen, beantwortet oder nicht.

Abzeichen von Artists. Löst du einen Code eines Artists ein, speichern wir, welches Abzeichen du wann bekommen hast, über welchen Code und, bei begrenzter Auflage, deine Nummer. Der Artist sieht nur Zahlen (wie oft ein Abzeichen eingelöst wurde), nie wer es eingelöst hat. Das Abzeichen steht auf deinem Profil, wenn es öffentlich ist. Einmal-Codes prüfen wir über einen Fingerabdruck (Hash); damit der Artist sie erneut herunterladen kann, speichern wir zusätzlich eine verschlüsselte Kopie, lesbar nur mit unserem Server-Schlüssel.

Die City. Klopfst du bei jemandem an, speichern wir, wer bei wem an welchem Tag angeklopft hat, zeigen es in deren Inbox und buchen die Nooks, die das bringt (für die andere Person und ein kleiner Dank für dich), in beiden Nooks-Verläufen. Schaltest du „Licht an in der City“ ein (standardmäßig aus), speichern wir den Song, den du gerade in Noosic hörst, höchstens einmal pro Minute, und zeigen ihn deinen Nachbarn für ein paar Minuten; schaltest du es aus, löschen wir ihn sofort. Deine Apple-Music-Historie wird dafür nie verwendet.

Tapes. Deine Tapes sind deine Songs des Tages, nach Monaten sortiert. Dafür speichern wir nichts Neues: Wir zeigen, was du ohnehin für andere geteilt hast, nichts aus deiner Apple-Music-Historie. Sie stehen auf deinem Profil, solange es öffentlich ist; mit „Tapes auf meinem Profil“ (standardmäßig an) kannst du sie jederzeit nur für dich behalten. Einzelne Tage lassen sich nicht herausnehmen, weil Serie und Nooks auf ihnen aufbauen; mit deinem Konto werden sie gelöscht. Sie sind Teil deines Datenexports.

Community-Termine. Sagst du für einen Termin wie den Album-Abend „Bin dabei“, speichern wir das für diesen Termin und erinnern dich eine Stunde vorher in deiner Inbox. Andere sehen nur, wie viele zugesagt haben, nicht wer. Läuft ein Termin und hast du ihn offen, vermerken wir einmal pro Minute, dass du da bist, um zu zeigen, wie viele gerade dabei sind; das ist eine Zahl, nie eine Liste mit Namen (im eigenen Raum eines Album-Abends ist es das Publikum vor der Bühne, siehe unten). Außerdem merken wir uns, wie viele Minuten du bei jedem Album-Abend dabei warst und ob du in seinem Chat geschrieben hast, damit die Album-Abende, bei denen du warst, Stücke für deinen Raum freischalten können. Das sieht niemand sonst.

Album-Abende. Ein Album-Abend hat einen eigenen Raum. Was du in seinem Chat schreibst, speichern wir mit deinem Namen, der Uhrzeit und dem Track und der Sekunde, bei der du es geschrieben hast. Alle, die den Abend öffnen, sehen es, live und später im Rückblick (im Album-Raum und im Club). Links gehen dort nicht durch. Songs, Alben und Leute taggst du mit @ wie in Threads: Einen getaggten Song oder ein Album schlagen wir im Katalog nach und speichern Titel und Artist mit der Nachricht. Wen du taggst, bekommt in der Inbox Bescheid (und eine Push-Mitteilung, wenn eingeschaltet); wer dich blockiert oder stummgeschaltet hat, nicht. Deine eigenen Nachrichten kannst du löschen; andere können sie melden, und das Team kann sie ausblenden, wie bei Posts. Solange du den Raum offen hast, stehst du als Kopf deiner Figur im Publikum vor der Bühne, mit deinem Namen, wenn dein Profil öffentlich ist; mit privatem Profil bist du ein schlichter Kopf ohne Namen und ohne Aussehen. Deine Reaktionen steigen über deinem Kopf auf, und was du schreibst, steht kurz darüber. Danach speichern wir Reaktionen mit Track und Sekunde und zeigen sie anderen nur als Zahl. Wen du blockiert hast oder wer dich blockiert hat, sieht dich dort nicht. Dein Tipp auf den Lieblingstrack, deine Bewertungen und deine Stimme fürs Album der nächsten Woche fließen in die Ergebnisse des Abends ein, die nur Summen zeigen. Die Alben zur Abstimmung ziehen wir aus dem, was viele hier im Shelf haben und worüber gesprochen wird; dabei zählt nur, wie viele, nicht wer. Schlägst du während des Abends selbst ein Album vor (eins pro Abend), speichern wir das mit deinem Konto für diesen Termin; die anderen sehen nur „im Raum vorgeschlagen“, nicht deinen Namen. Das Album läuft über deinen eigenen Player (Apple Music oder Vorschauen); was du dort hörst, zeichnen wir nicht auf. Alles davon wird mit deinem Konto gelöscht und ist Teil deines Datenexports.

Merch von Artists. Nimmst du ein Emblem, ein Poster oder ein Neon-Schild von einem Artist, speichern wir, dass du es hast, wie (Folgen, Abzeichen oder Nooks) und wann. Der Artist sieht nur, wie viele ein Stück haben, nie wer. Artists laden eigene Logos und Artworks hoch; wir behalten nur die daraus erstellte Pixel-Art.

Für Artists. Betreust du die Seite eines Artists und lädst ein Cover, ein Abzeichen-Motiv oder Merch hoch, speichern wir deine Rechte-Bestätigung (Zeitpunkt, Textfassung, Konto) und die Entscheidung unseres Teams mit einer etwaigen Begründung. Das Ergebnis bekommst du in deine Inbox und, solange du es im Studio nicht abschaltest, per E-Mail an die Adresse deines Kontos (Versand über Resend, siehe „Empfänger“). Grundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); die Rechte-Bestätigung bewahren wir auf, um Beschwerden von Rechteinhabern klären zu können (Art. 6 Abs. 1 lit. f DSGVO).

Push-Benachrichtigungen. Schaltest du Push auf einem Gerät an, speichern wir die Adresse, die dein Browser dafür vergibt (ein Endpunkt beim Push-Dienst deines Browsers), die dazugehörigen Schlüssel und die Art des Geräts (iPhone, Android, Computer), außerdem deine Auswahl, worüber du Push möchtest, und welche Hinweise schon verschickt wurden (damit keiner doppelt kommt; nach 30 Tagen gelöscht). Ein Push enthält, was auch in deiner Inbox steht, etwa „@mara hat geantwortet“ und den Anfang der Antwort. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit in den Einstellungen oder im Browser widerrufen kannst; dann löschen wir den Endpunkt. Die Kategorien sind: Antworten und Erwähnungen, Nachbarn und Anklopfen, Artists, Community-Termine, Drops, die Erinnerung an deinen Song des Tages, Neues von Noosic (also auch Hinweise auf neue Funktionen) und, für Artists, das Studio. Jede lässt sich einzeln abschalten.

Fortschritt in der App. Deine Nooks und ihr Verlauf, die Abzeichen, die du verdient hast, und welche davon du zeigst, dein Coin-Run-Rekord, die Einladungen, die du verschickt hast, und wer darüber beigetreten ist, sowie ob du die Tour abgeschlossen hast. In der Coin-Run-Bestenliste stehst du nur, wenn du sie nach einer Runde einschaltest: Dann sehen andere mit Zugang zur City dort deinen Namen, dein @Handle und deinen Rekord, bis du sie wieder ausschaltest. An einem Arcade-Automaten speichern wir deinen Rekord und wie oft du jedes Spiel gespielt hast. In der Highscore-Tafel eines Automaten stehst du nur, wenn du dich nach einer Runde einträgst: Dann sehen Besucher dieses Raums dort deinen Namen, dein @Handle und deine Punkte, und damit auch, dass du in diesem Raum warst. Wer den Raum hat, kann die Tafel leeren. In der Arcade-Bestenliste für alle stehst du nur, wenn du sie einschaltest. Abzeichen sehen andere nur, wenn du sie auf deinem Profil zeigst, oder wenn du die Award-Schallplatte in deinen Raum hängst: Dann sehen Besucher deines öffentlichen Raums dort alle deine Abzeichen. Nimmst du sie ab, sind sie wieder nur für dich.

Supporter (optional). Wenn du ein Abo abschließt, verkauft es dir Creem als Händler. Wir speichern den Abo-Status, deine Kunden- und Abo-IDs bei Creem, das Ende des bezahlten Zeitraums, die ID der letzten Zahlung, die bezahlten Monate und welche kosmetischen Belohnungen dir gehören. Zahlungsdaten wie Karten- oder Kontonummern bekommen und speichern wir nicht; sie liegen bei Creem.

Kontaktformular. Schreibst du uns über das Formular auf der Kontaktseite, speichern wir das Thema, deine Nachricht, die Sprache und den Zeitpunkt. Bist du angemeldet, speichern wir, welches Konto geschrieben hat, und antworten an die E-Mail-Adresse deines Kontos (sie wird dafür nicht extra gespeichert); ohne Konto speichern wir den Namen, wenn du einen angibst, und die E-Mail-Adresse, an die wir antworten sollen. Unsere Antworten bewahren wir mit der Anfrage auf. Lesen kann das nur das Team. Rechtsgrundlage ist dein Anliegen (Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f); bei einer Meldung rechtswidriger Inhalte unsere Pflicht nach dem Digital Services Act (lit. c).

Sicherheit. Kurzlebige technische Daten für Rate Limits (einschließlich eines groben Client-Schlüssels bzw. der IP-Adresse), Meldungen und Audit-Logs des Teams. Wird etwas gemeldet oder vom Team ausgeblendet, bewahren wir eine Kopie davon auf, wie es zu dem Zeitpunkt war, damit Bearbeiten oder Löschen den Fall nicht ungeschehen macht. Entscheiden wir über deine Inhalte, dein Konto oder eine Meldung von dir, bewahren wir den Hinweis mit seiner Begründung auf, damit du ihn in den Einstellungen nachlesen kannst. Wenn du eine Anmelde-E-Mail anforderst, vermerken wir für ein paar Stunden, dass diese Adresse Alter und Bedingungen bestätigt hat, als Hash mit geheimem Schlüssel statt der Adresse selbst. Wird ein Konto gelöscht, während es gesperrt ist, bleibt so ein Hash seiner E-Mail-Adresse, bis die Sperre geendet hätte, damit es sich nicht einfach neu registrieren kann.

Fehler und Leistung. Wenn etwas kaputtgeht, erfassen wir den Fehler, die Seite und einen technischen Trace, damit wir ihn beheben können. Bei etwa jedem zehnten Seitenaufruf erfassen wir außerdem Zeiten (welche Seite, wie lange jeder Schritt gedauert hat), um langsame Stellen zu finden, auch wenn nichts kaputt ist. E-Mail-Adresse, IP-Adresse oder Inhalte von Nachrichten hängen wir an diese Berichte nicht an, und wir zeichnen keine Sitzungen, Bildschirme, Klicks oder Tastatureingaben auf. Damit wir einen Fehler deinem Konto zuordnen können, wenn du uns schreibst, kann ein Bericht deine interne Konto-Kennung enthalten (eine zufällige ID, nicht dein Name oder Handle).

Besuchszahlen. Um zu sehen, über welche Wege Leute zu Noosic finden, zählt unser Server pro Tag, wie oft die Startseite und Einladungsseiten geöffnet werden, wie oft etwas geteilt wird und wie oft eine Linkvorschau ihr Bild abruft. Jede Zählung behält nur ein kurzes Wort: den Kampagnennamen im Link, die Website, von der du kamst (nur die Domain, etwa google.com), oder die Art der Seite. Konto, IP-Adresse oder Cookies werden dafür weder gespeichert noch ausgelesen, eine Zählung lässt sich also nicht auf dich zurückführen. Grundlage ist unser berechtigtes Interesse zu wissen, welche Wege funktionieren (Art. 6 Abs. 1 lit. f DSGVO).

Woher neue Konten kommen. Kommst du über einen Link mit Kampagnen-Kennung zu Noosic (etwa den Link in unserer Instagram-Bio) und legst dann ein Konto an, speichern wir bei deinem neuen Konto, über welchen Kanal und welche Kampagne du kamst, zum Beispiel „instagram“ und „bio“. Die Kennung reist nur im Link mit, während du dich anmeldest, ohne Cookies, und wird einmal gespeichert, wenn das Konto entsteht. Wir sehen sie uns nur als Summe an, um zu erkennen, welche Wege funktionieren. Grundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Sie ist Teil deines Datenexports und wird mit deinem Konto gelöscht.

Deinen vollständigen Hörverlauf speichern wir nicht für Marketing-Analysen.

3. Zwecke und Rechtsgrundlagen

Vertrag (Art. 6 Abs. 1 lit. b DSGVO)

Konto, Profil, Raum, Shelf, Talks, Clubs, Nachbarn, Song des Tages und Serien, Tapes, Nooks und Abzeichen, Album-Abende, Apple-Music-Abgleich und Wiedergabe, Supporter, Artist-Seiten, Zeitzone und Sprache, Kontaktanfragen.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)

Push-Benachrichtigungen, „Licht an in der City“, die Coin-Run- und Arcade-Bestenlisten, dein Eintrag in die Highscore-Tafel eines Raums. Jede Einwilligung widerrufst du in den Einstellungen oder am Ort selbst; der Widerruf wirkt ab dann.

Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO)

Bearbeitung von Meldungen rechtswidriger Inhalte, Begründungen und Einsprüche nach dem Digital Services Act; Aufbewahrung der Abrechnungsbelege nach Steuerrecht; Auskünfte an Behörden auf rechtmäßige Anordnung.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Sicherheit und Missbrauchsabwehr (Rate Limits, Turnstile, Sperren), Moderation nach unseren Richtlinien, Fehler- und Leistungsberichte, Besuchszahlen ohne Personenbezug, Kampagnen-Kennung am neuen Konto, Aufbewahrung von Rechte-Bestätigungen der Artists. Unser Interesse ist, Noosic sicher und verlässlich zu betreiben und zu wissen, welche Wege funktionieren; wir verarbeiten dafür so wenig wie möglich.

Pflicht sind nur deine E-Mail-Adresse, die Altersbestätigung und ein Handle; ohne sie gibt es kein Konto. Alles andere ist freiwillig, und ohne Apple Music, Push oder Supporter funktioniert Noosic genauso. Der Zugriff auf Apple Music beginnt erst, nachdem du MusicKit autorisiert hast; trennst du die Verbindung, wird das Token gelöscht oder unbrauchbar gemacht.

4. Empfänger

Vercel. Vercel Inc. (USA) hostet die Website und die Serverfunktionen; sie laufen in der Region Stockholm (EU). Vercel verarbeitet dabei die technischen Daten jeder Anfrage (IP-Adresse, Browser, aufgerufene Seite) in unserem Auftrag. Für Zugriffe aus den USA stützen wir uns auf den Auftragsverarbeitungsvertrag mit Standardvertragsklauseln; Vercel ist nach dem EU-US Data Privacy Framework zertifiziert.

Supabase. Supabase Inc. (USA) stellt Authentifizierung, die Postgres-Datenbank und den Dateispeicher (Avatare, Raum-Vorschauen, Uploads von Artists) bereit. Die Verarbeitung kann in der EU und in den USA stattfinden; Grundlage sind der Auftragsverarbeitungsvertrag und Standardvertragsklauseln.

Apple. Eigenständig verantwortlich für deine Apple-ID und dein Apple-Music-Konto. Es gelten die Bedingungen für MusicKit und die Apple Music API sowie die Datenschutzrichtlinie von Apple. Dein Noosic-Passwort geben wir nicht an Apple weiter.

Bildserver von Apple. Album- und Künstlerbilder in der App lädt dein Browser direkt von Apples Servern (mzstatic.com), wie es Apples Bedingungen verlangen. Apple sieht dabei deine IP-Adresse und Browserdaten, wie jeder Bild-Host. Den Pfad der Seite senden wir dabei nicht mit.

Google. Wenn du dich mit Google anmeldest, ist Google (Google Ireland Limited, Dublin, und Google LLC, USA) für diesen Anmeldeschritt eigenständig verantwortlich. Wir erhalten deine E-Mail-Adresse und den Namen deines Google-Kontos, den wir dir als Anzeigenamen vorschlagen; dein Google-Profilbild speichern wir nicht. Daten können in den USA verarbeitet werden; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Die Anmeldung mit Google ist freiwillig, ein Code per E-Mail funktioniert genauso.

Anmeldung mit Apple. Wenn du dich mit Apple anmeldest, ist Apple (Apple Distribution International Ltd., Cork, und Apple Inc., USA) für diesen Anmeldeschritt eigenständig verantwortlich. Wir erhalten eine Kennung deines Apple-Accounts und deine E-Mail-Adresse. Wählst du bei Apple „E-Mail-Adresse verbergen“, bekommen wir nur eine Weiterleitungsadresse von Apple, und unsere E-Mails an dich laufen über Apple. Daten können in den USA verarbeitet werden. Die Anmeldung mit Apple ist freiwillig, ein Code per E-Mail funktioniert genauso.

Cloudflare Turnstile. Das Anmeldeformular (und das Kontaktformular, wenn du nicht angemeldet bist) nutzt Cloudflare Turnstile, um Menschen von Skripten zu unterscheiden, die massenhaft Code-Mails anfordern oder Nachrichten schicken. Für diese Prüfung verarbeitet Cloudflare, Inc. (USA) in unserem Auftrag deine IP-Adresse und technische Angaben zu Browser und Gerät; es werden keine Tracking-Cookies gesetzt und die Daten nicht für Werbung genutzt. Rechtsgrundlage ist unser berechtigtes Interesse, Konten und Postfächer vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Creem. Die Armitage Labs OÜ (Tallinn, Estland), Betreiberin von Creem, verkauft optionale Supporter-Abos als Händler (Merchant of Record) und ist für die Daten, die sie im Checkout und bei der Abrechnung erhebt (etwa Name, E-Mail-Adresse, Land, Zahlungsdaten), selbst verantwortlich; es gilt die Datenschutzerklärung von Creem. Der Checkout läuft auf Creems eigener Seite. Damit wir dein Abo deinem Konto zuordnen können, übergeben wir beim Start des Checkouts deine Noosic-Konto-ID an Creem, deine E-Mail-Adresse nicht. Creem meldet uns Abo-Status, Zeiträume und Zahlungs-IDs zurück. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

KLIPY. Stellt die GIF- und Meme-Suche im Editor bereit. Suchanfragen laufen über unseren Server, mit unserem App-Schlüssel und einer pseudonymen ID, die aus deinem Konto abgeleitet ist (nie deine E-Mail-Adresse oder dein Name). Die GIFs selbst lädt der Browser der Person, die sie ansieht, von den Servern von KLIPY. KLIPY sieht dabei deren IP-Adresse und Browserdaten, wie jeder Bild-Host.

Sentry. Functional Software, Inc. (Sentry, USA) empfängt Fehler- und Leistungsberichte (siehe „Fehler und Leistung“ oben). Grundlage sind der Auftragsverarbeitungsvertrag, Standardvertragsklauseln und das EU-US Data Privacy Framework.

Resend. Verschickt unsere E-Mails: Anmelde-Codes, unsere Antworten auf das Kontaktformular und, für Artists, Prüf-Ergebnisse. Dafür verarbeitet Resend deine E-Mail-Adresse und den Inhalt der E-Mail. Versand über Server in der EU; das Unternehmen sitzt in den USA, eine Übermittlung dorthin stützt sich auf Standardvertragsklauseln.

Push-Dienste. Push-Benachrichtigungen stellt der Push-Dienst deines Browsers zu: Apple (Safari), Google (Chrome, Edge auf Android), Mozilla (Firefox) oder Microsoft (Edge auf Windows). Der Inhalt wird Ende-zu-Ende verschlüsselt übertragen; der Dienst sieht nur den Endpunkt, Zeitpunkt und Größe. Das Unternehmen kann außerhalb der EU sitzen (USA); eine Übermittlung stützt sich dann auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Rate Limits. Kurzlebige Zähler gegen automatisierten Missbrauch, zugeordnet über deine Konto-ID oder deine IP-Adresse. Sie liegen in unserer Datenbank bei Supabase und werden nach ihrem Zeitfenster gelöscht; nur wenn wir einen optionalen Zwischenspeicher einschalten, liegen dieselben Zähler bei Upstash.

Behörden. Verlangt eine Behörde oder ein Gericht rechtmäßig Auskunft oder ordnet nach dem Digital Services Act etwas an, geben wir heraus, was die Anordnung verlangt, und informieren dich, soweit das erlaubt ist. Bei einer konkreten Gefahr für Leben oder Sicherheit melden wir das der Polizei, wie Art. 18 des Digital Services Act es verlangt.

5. Cookies

Wir setzen nur technisch notwendige Cookies: für die Anmeldung, die Sicherheit und um uns zu merken, wie du gestartet bist. Keine Analyse-, Werbe- oder Social-Plugins. Nach dem TDDDG ist dafür kein Einwilligungsbanner nötig. Wenn du die Cookies im Browser löschst, endet deine Sitzung.

• Supabase-Sitzung (sb-…-auth-token, httpOnly, SameSite=Lax, bis zu 400 Tage): hält dich angemeldet. Nur unser Server kann sie lesen; Skripte im Browser und Dritte nie.
• noosic_signin_req: eine Stunde lang, nachdem du einen Anmelde-Code angefordert hast, ein Hash der Adresse ohne die Adresse selbst, damit ein Anmelde-Link nur in dem Browser sofort gilt, der ihn angefordert hat.
• noosic_auth_next: eine Stunde lang beim Anmelden, die Seite, zu der du zurückkehrst
• noosic_intended_provider, noosic_onboarding_intent: welchen Musikdienst und Einstieg du zu Beginn gewählt hast und zu welcher Seite du bei der Anmeldung wolltest, bis du fertig eingerichtet bist
• noosic_invite: kurzlebige Markierung nach einer gültigen Einladung (in Phasen nur mit Einladung)
• noosic_identity: Fan-Modus oder Modus für ein verwaltetes Künstlerprofil
• noosic_locale: die Sprache, die du gewählt hast
• noosic_install_gate: 30 Tage, merkt sich, dass du auf dem Handy im Browser weitermachen willst, statt Noosic auf den Home-Bildschirm zu legen
• noosic-nav-bounce: wenige Sekunden, verhindert Weiterleitungsschleifen

Im lokalen Speicher und im Sitzungsspeicher deines Browsers liegen außerdem ein paar Komfortdaten, nur auf deinem Gerät und nie an uns oder andere übertragen: der letzte Zustand deines Raums (damit er sofort öffnet), zuletzt benutzte Objekte im Editor, welche Hinweise und Tipps du ausgeblendet hast, dein Coin-Run-Rekord, dein Platz in der Stadt, ob der Arcade-Automat Ton macht, die zuletzt gehörten Titel dieser Sitzung, ob Zeitzone und Push in dieser Sitzung schon abgeglichen wurden und ein Kennzeichen, zu welchem Konto die Push-Freigabe dieses Geräts gehört (ein Hash, kein Name). Beim Abmelden räumen wir sie auf; wenn du die Websitedaten im Browser löschst, sind sie weg.

6. Speicherdauer

Konto und Inhalte speichern wir, solange das Konto besteht. Wenn du dein Konto löschst, löschen wir endgültig: die Daten deiner Apple-Music-Verbindung (verschlüsselte Tokens, Hör-Snapshots, Metriken, Einträge für den Song des Tages und den daraus berechneten Geschmack), deinen Raum und seine Bilder, deinen Shelf, Nooks, Abzeichen, Nachbarn, Blockierungen, Besuche, Geschenke, Einladungen, Club-Mitgliedschaften, Stimmen, Erwähnungen, Push-Endpunkte, Zeitzone und Sprache. Deine Posts und Antworten verlieren Text und Anhänge; wo andere auf einen Thread von dir geantwortet haben, hält ein leerer Platzhalter („[gelöscht]“) ihre Antworten an ihrem Platz. Dein Profil wird geschlossen: Die Anmeldung wird entfernt, Name und Handle werden anonymisiert.

Kurzlebig

Rate-Limit-Zähler: ihr Zeitfenster (Minuten bis ein Tag). Anmeldeversuche ohne Konto: 24 Stunden. Der Hash, dass eine Adresse Alter und Bedingungen bestätigt hat: wenige Stunden. Versandstatus von Push-Hinweisen: 30 Tage.

Moderation

Die Kopie gemeldeter oder ausgeblendeter Inhalte: sechs Monate nach der Entscheidung. Meldungen, Sanktionen, Anhörungen mit deiner Stellungnahme, Einsprüche und die Hinweise an dich bewahren wir auf, solange sie nötig sind, um Wiederholungen zu erkennen, die Community zu schützen und Rechtsansprüche abzuwehren; eine Sperre endet also nicht dadurch, dass jemand sein Konto löscht. Wird ein Konto gelöscht, während es gesperrt ist, bleibt ein Hash seiner E-Mail-Adresse, bis die Sperre geendet hätte; bei einem unbefristeten Bann, bis wir ihn aufheben.

Kontakt und Artists

Anfragen über das Kontaktformular: ein Jahr, nachdem sie erledigt sind; löschst du dein Konto, bleibt eine Anfrage ohne Verbindung zu ihm. Rechte-Bestätigungen von Artists bewahren wir auf, solange wir Beschwerden von Rechteinhabern zu dem Upload klären müssen.

Supporter

Zahlungsdaten liegen bei Creem als Händler. Unser Protokoll von Creems Benachrichtigungen (Abo-Status, Zahlungs-IDs, Zeiträume) bewahren wir zehn Jahre auf (§ 147 AO).

Backups

In Sicherungskopien unserer Datenbank können gelöschte Daten für einen begrenzten zusätzlichen Zeitraum erhalten bleiben; danach sind sie auch dort weg. Sicherungen stellen wir nur im Ganzen wieder her, nie, um einzelne gelöschte Daten zurückzuholen.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Dein Konto löschst du in den Einstellungen, eine JSON-Kopie deiner Daten lädst du unter Einstellungen → Konto herunter. Eine Einwilligung (Push, Licht in der City, Bestenlisten) kannst du jederzeit widerrufen, am selben Ort, an dem du sie gegeben hast; der Widerruf wirkt ab dann.

Widerspruch. Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Abschnitt 3), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Dann verarbeiten wir die Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen. Schreib dafür an info@noosic.com.

Du kannst dich bei einer Aufsichtsbehörde beschweren, etwa bei der für deinen Wohnort zuständigen. In Deutschland ist das in der Regel die Datenschutzaufsicht deines Bundeslandes oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Fragen: info@noosic.com.

8. Keine automatisierten Entscheidungen

Entdecken und Nachbarschaften beruhen auf Überschneidungen im Musikgeschmack. Wen wir dir als möglichen Nachbarn vorschlagen und wem wir dich vorschlagen, berechnen wir nur aus dem, was auf Profilen ohnehin sichtbar ist: Shelf, gefolgte Artists, Songs des Tages der letzten 60 Tage und Clubs. Deine verbundene Apple-Music-Bibliothek kann deine eigenen Vorschläge schärfen; anderen wird sie nie gezeigt, und sie entscheidet nicht, wem du vorgeschlagen wirst. Das hat keine rechtliche Wirkung im Sinne von Art. 22 DSGVO und ändert nichts an deinem Apple-Music-Konto.

9. Alter

Noosic ist für Personen ab 16 Jahren. Wenn du dich zum ersten Mal anmeldest, bestätigst du in einem eigenen Schritt, dass du mindestens 16 bist, und akzeptierst die Bedingungen; erst dann wird dein Konto angelegt. Ohne diese Bestätigung entsteht kein Konto, und die Anmeldung für den Versuch wird gelöscht, spätestens nach einem Tag. Wir speichern, wann du bestätigt hast und welche Fassung der Bedingungen du akzeptiert hast. Erfahren wir, dass ein Konto einer jüngeren Person gehört, schließen wir es. Wenn du glaubst, dass ein Konto einer Person unter 16 gehört, schreib uns über den Kontakt; wir prüfen das, fragen gegebenenfalls nach und schließen das Konto, wenn es sich bestätigt. Daten, die wir dabei erhalten, nutzen wir nur dafür und löschen sie danach.

9a. Wenn du außerhalb der EU lebst

Noosic richtet sich an Menschen in der EU. Nutzt du Noosic von woanders, gelten diese Erklärung und deine Rechte nach der DSGVO genauso. Lebst du im Vereinigten Königreich, hast du dieselben Rechte nach der UK GDPR. Lebst du in den USA: Wir verkaufen keine Daten, zeigen keine Werbung und geben Daten nicht zu Werbezwecken weiter; Noosic ist für Personen ab 16, Kinder unter 13 haben kein Konto.

10. Marken

Apple und Apple Music sind Marken der Apple Inc., eingetragen in den USA und weiteren Ländern. MusicKit und zugehörige Kennzeichen sind Marken der Apple Inc. Noosic ist nicht mit Apple Inc. verbunden und wird von Apple Inc. weder gesponsert noch unterstützt.