Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Hummel Labs UG (haftungsbeschränkt)
Astonstrasse 77
Magdeburg, Deutschland
Geschäftsführer: Dr. Mathias Hummel
E-Mail: info@hummel-labs.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

Als Gastgeber (Host)

• Spotify-Konto: Ihre Spotify-Benutzer-ID, Ihr Anzeigename und die erteilten Berechtigungen (Scopes). Diese Daten erhalten wir von Spotify, nachdem Sie die Verbindung ausdrücklich bestätigt haben.
• Zugriffs- und Erneuerungstoken: zur Steuerung Ihrer eigenen Spotify-Wiedergabe. Das kurzlebige Zugriffstoken liegt im Speicher Ihres Browsers, das Erneuerungstoken in einem httpOnly-Cookie, das JavaScript nicht lesen kann.
• Party-Daten: Partyname, Party-Code, Startzeitpunkt, Status, gewählte Musikrichtung, gespielte Titel, Ihre Bewertungen (👍/👎) und die Anzahl der KI-Anpassungen.

Als Gast

• Selbst gewählter Name (Pseudonym): frei wählbar. Wir bitten ausdrücklich nicht um Ihren echten Namen. Er wird dem Gastgeber und anderen Gästen zusammen mit Ihrem Musikwunsch angezeigt.
• Musikwünsche: der gewünschte Titel, Interpret und der Zeitpunkt des Wunsches.
• Suchanfragen: werden zur Titelsuche an Spotify übermittelt und von uns nicht gespeichert.
• Ein Konto ist für Gäste nicht erforderlich. Der eingegebene Name wird zusätzlich lokal in Ihrem Browser gespeichert, damit Sie ihn nicht erneut eingeben müssen.

Technisch bei jedem Aufruf

• IP-Adresse, Zeitpunkt und aufgerufene Adresse in den Server-Logs unseres Hosters. Die IP-Adresse wird zusätzlich kurzzeitig im Arbeitsspeicher verwendet, um Missbrauch zu begrenzen (Rate-Limiting); sie wird dafür nicht dauerhaft gespeichert.

• Durchführung der Party (Wünsche annehmen, Warteschlange bilden, Wiedergabe steuern): Erfüllung des Nutzungsverhältnisses, Art. 6 Abs. 1 lit. b DSGVO.
• Verbindung mit Spotify: Ihre ausdrückliche Einwilligung im Spotify-Berechtigungsdialog, Art. 6 Abs. 1 lit. a DSGVO. Sie können die Verbindung jederzeit in Ihrem Spotify-Konto widerrufen.
• KI-Bewertung und Kuratierung (Titel und Interpret werden an xAI übermittelt): berechtigtes Interesse an einer passenden Musikauswahl, Art. 6 Abs. 1 lit. f DSGVO. Es werden dabei keine Gastnamen und keine Kontaktdaten übermittelt.
• Zahlungsabwicklung (Freischaltung, Verlängerung über Stripe): Erfüllung des Vertrags, Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung von Zahlungsnachweisen zusätzlich aufgrund gesetzlicher Pflichten (§ 147 AO), Art. 6 Abs. 1 lit. c DSGVO.
• Betriebssicherheit (Logs, Rate-Limiting, Sitzungs-Cookie): berechtigtes Interesse am störungsfreien und missbrauchsfreien Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Die KI bewertet ausschließlich, wie gut ein Titel musikalisch passt; die Entscheidung über die Reihenfolge trifft der Gastgeber.

• Party-, Wunsch- und Wiedergabedaten: bleiben gespeichert, solange der Gastgeber die Party behält, damit er den Abend nachvollziehen kann. Auf Anfrage löschen wir eine Party samt aller zugehörigen Daten.
• Sitzungs-Cookie: 12 Stunden. Spotify-Erneuerungstoken: bis zu 30 Tage oder bis zur Abmeldung.
• Daten im Browser (Zugriffstoken, Gastname, aktive Party): bis Sie sich abmelden oder die Websitedaten löschen.
• Server-Logs: nach den Fristen unseres Hosters, siehe unten.

Wir setzen die folgenden Dienstleister ein. Mit Anbietern, die für uns personenbezogene Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei Anbietern mit Sitz in den USA erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission bzw. — soweit der Anbieter zertifiziert ist — des EU-US Data Privacy Framework (Art. 45, 46 DSGVO). Trotz dieser Garantien kann ein Zugriff US-amerikanischer Behörden nicht vollständig ausgeschlossen werden.

Wir verwenden keine Cookies für Werbung, Tracking oder Analyse. Eingesetzt wird ausschließlich das technisch Notwendige:

• bm_session — signiertes httpOnly-Cookie, das den angemeldeten Gastgeber ausweist (12 Stunden).
• bm_spotify_refresh — httpOnly-Cookie mit dem Spotify-Erneuerungstoken (bis 30 Tage).
• spotify_code_verifier, spotify_auth_state — kurzlebig, zur Absicherung des Anmeldevorgangs (PKCE).
• Lokaler Speicher des Browsers: Zugriffstoken, Ihre Spotify-Benutzer-ID, die aktive Party und — bei Gästen — der gewählte Name.

Da diese Speicherung für den Betrieb unbedingt erforderlich ist, stützt sie sich auf § 25 Abs. 2 Nr. 2 TDDDG und bedarf keiner Einwilligung. Ein Einwilligungsbanner mit Auswahlmöglichkeit ist deshalb nicht erforderlich; wir informieren stattdessen mit einem Hinweis.

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — die Spotify-Verbindung widerrufen Sie in Ihrem Spotify-Konto unter „Apps“

Wenden Sie sich dazu an info@hummel-labs.de. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts.

Die Übertragung erfolgt verschlüsselt über HTTPS. Die Anmeldung des Gastgebers nutzt OAuth 2.0 mit PKCE; das Spotify-Erneuerungstoken und die Sitzung liegen in httpOnly-Cookies. Aktionen eines Gastgebers werden serverseitig gegen die signierte Sitzung geprüft. Eingaben werden serverseitig begrenzt und bereinigt, missbrauchsanfällige Aufrufe zusätzlich in ihrer Häufigkeit begrenzt.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa weil ein Dienstleister wechselt. Es gilt jeweils die hier veröffentlichte Fassung.