Datenschutzerklärung

1. Verantwortlicher

Brainstorm Music Marketing AG
Kurze Gasse 14
87541 Bad Hindelang
E-Mail: info@bmm-ag.de

2. Übersicht der Verarbeitung

M/Atlas ist eine Community-Plattform für Musikempfehlungen. Um die Kernfunktionen - Songs empfehlen, entdecken, liken, mit Stimmung/Genre/Vocals bewerten, anderen Nutzer:innen folgen, gemeinsam entdecken ("Gemeinsam entdecken"), an Song-Battles teilnehmen sowie Inhalte oder Nutzer:innen melden bzw. blockieren - sowie die spielerischen Zusatzangebote (Dungeon Crawler, tägliches Song-Ratespiel) anzubieten, verarbeiten wir die unten aufgeführten personenbezogenen Daten. Wir setzen keine Werbe-Cookies, kein Analyse-/Tracking-Tool (z.B. Google Analytics) und keine Social-Media-Plugins ein. Cookies bzw. eingebettete Inhalte, die nicht rein technisch notwendig sind (aktuell: der Spotify-Player, siehe Punkt 6), laden wir erst nach deiner ausdrücklichen Einwilligung.

3. Registrierung & Nutzerkonto

Bei der Registrierung erheben wir deine E-Mail-Adresse und dein Passwort (verschlüsselt gespeichert, für uns nicht einsehbar). Zusätzlich kannst du einen Anzeigenamen sowie ein Profilbild hinterlegen - beides ist für andere Nutzer:innen sichtbar. Als Profilbild stehen ausschließlich vorgefertigte Spielfiguren aus dem Dungeon Crawler zur Auswahl; es findet kein Bild-Upload statt, gespeichert wird nur, welche Figur du gewählt hast. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen - die Bereitstellung eines Nutzerkontos ist Voraussetzung für die Nutzung der Plattform). Alternativ kannst du dich mit deinem Google-Konto anmelden (Google Ireland Limited, Irland; Mutterkonzern Google LLC, USA). Dann übermittelt Google uns deine E-Mail-Adresse, deinen Namen und die Adresse deines Google-Profilbilds; ein Passwort speichern wir in diesem Fall nicht. Name und Profilbild speichert unser Authentifizierungs-Anbieter Supabase in deinen Kontodaten, wir zeigen sie aber nirgends an und übernehmen sie nicht als Anzeigenamen. Google erfährt dabei, dass du dich bei M/Atlas anmeldest, und verarbeitet die Anmeldung nach seinen eigenen Datenschutzbestimmungen, ggf. auch in den USA (EU-US Data Privacy Framework). Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Anmeldung über Google ist freiwillig, die Registrierung per E-Mail bleibt möglich. Ist deine Google-E-Mail-Adresse bei M/Atlas bereits registriert, wird die Google-Anmeldung mit diesem bestehenden Konto verknüpft. Die Verbindung kannst du jederzeit in deinem Google-Konto (Bereich "Drittanbieter-Apps und -Dienste") trennen; dein M/Atlas-Konto bleibt dabei bestehen.

4. Nutzungsdaten

Im Rahmen der Nutzung fallen mit deinem Konto verknüpfte Daten an, u.a.:

• von dir empfohlene Songs (inkl. Zeitpunkt, auch für das Tageslimit an Empfehlungen und damit jede Person einen Song nur einmal empfehlen kann)
• von dir vergebene Likes
• von dir abgegebene Stimmungs- (Mood-), Vocals- und Genre-/Tag-Bewertungen
• wem du folgst bzw. wer dir folgt
• erhaltene Community-Abzeichen (Badges)
• welche Songs du im Entdecken-Bereich schon gewischt hast, damit sie dir nicht erneut angezeigt werden (nur für dich, wird nach 30 Tagen automatisch gelöscht)
• welche Songs dir im Entdecken-Bereich zum ersten Mal angezeigt wurden (mit Zeitpunkt). Daraus berechnen wir pro Song nur zusammengefasste Zahlen, nämlich wie viele Personen ihn gesehen und wie viele davon ihn geliked haben. Diese Zahlen erscheinen z.B. auf Song- und Trend-Seiten und können Partner:innen gezeigt werden; einzelne Personen sind daraus nicht erkennbar (berechtigtes Interesse an aussagekräftigen Community-Statistiken, Art. 6 Abs. 1 lit. f DSGVO). Wird mit deinem Konto gelöscht
• an welchen Kalendertagen du M/Atlas eingeloggt genutzt hast (nur das Datum, keine Uhrzeit, keine aufgerufenen Seiten). Daraus berechnen wir nur zusammengefasste Zahlen, z.B. wie viele neue Konten in der ersten Woche wiederkommen; einzelne Personen werten wir nicht aus (berechtigtes Interesse, zu verstehen, ob M/Atlas dauerhaft nützt, Art. 6 Abs. 1 lit. f DSGVO). Wird mit deinem Konto gelöscht
• von dir ausgeblendete Songs und von dir blockierte Nutzer:innen (rein privat, nur für dich selbst sichtbar - die blockierte Person wird darüber nicht informiert)
• von dir abgegebene Meldungen über Songs oder Nutzer:innen, inkl. einer optionalen Freitext-Begründung (nur für uns einsehbar)
• Deine Stimmen bei Song-Battles sowie Reaktionen im Aktivitäts-Feed
• bei Nutzung von "Gemeinsam entdecken": welche der gemeinsam vorgeschlagenen Songs du gelikt hast (sichtbar für die Person, mit der du diese eine Session teilst)
• bei aktivierten Push-Benachrichtigungen: ein technisches Push-Abonnement deines Geräts (siehe Punkt 7)
• Deine Lieblingsmusik-Einstellungen (Genres, Subgenres, Stimmungen) sowie dein bevorzugter Streamingdienst, die du im Dashboard hinterlegen kannst
• Dein gewähltes Profilbild (eine vorgefertigte Spielfigur - kein Bild-Upload), für andere Nutzer:innen sichtbar
• Spielstände der Zusatzspiele: Dungeon-Runs (Fortschritt, gefundene Songkarten, dauerhafte Ausbaustufen, Energie- und Punktestand) sowie deine Rateversuche und Serien im täglichen Song-Ratespiel

Diese Daten sind zur Erbringung der Kernfunktionen der Plattform notwendig (Art. 6 Abs. 1 lit. b DSGVO). Ein Grundprinzip von M/Atlas ist, dass einmal empfohlene Songs nicht gelöscht werden, damit der Community-Pool über die Zeit erhalten bleibt - sie können aber nach 14 Tagen ohne erneute Empfehlung aus dem aktiven Entdecken-Bereich herausfallen. Auf Song-Seiten können eingeloggte Nutzer:innen sehen, wer einen Song empfohlen bzw. geliked hat (Anzeigename) - das gilt genauso umgekehrt für Songs, die du selbst empfiehlst oder likst. Um dir Nutzer:innen mit ähnlichem Musikgeschmack vorzuschlagen ("Musik-Zwillinge"), berechnen wir automatisiert Überschneidungen zwischen gelikten Songs; dieselbe Überschneidung zeigen wir dir auf dem Profil einer anderen Person als gemeinsame Likes (nur dir sichtbar, nur Songs, deren Likes ohnehin auf den Song-Seiten stehen) - das hat keine rechtliche oder dich in ähnlicher Weise erheblich beeinträchtigende Wirkung (Art. 22 DSGVO ist nicht einschlägig), sondern schlägt dir lediglich mögliche Kontakte vor. Damit Ranglisten und Trend-Listen nicht durch neu angelegte oder automatisierte Konten verfälscht werden, zählen Likes sehr junger Konten in der Reihenfolge dieser Listen vorübergehend weniger. Dafür werten wir automatisiert das Alter deines Kontos, die Tage, an denen du aktiv warst, und die Likes anderer auf von dir empfohlene Songs aus. Das Ergebnis ist für niemanden sichtbar, angezeigte Zahlen bleiben unverändert, und es hat keine rechtliche oder dich in ähnlicher Weise erheblich beeinträchtigende Wirkung (Art. 22 DSGVO ist nicht einschlägig; berechtigtes Interesse an manipulationsfreien Ranglisten, Art. 6 Abs. 1 lit. f DSGVO).

Kurator:in werden & Kurator:innen-Beiträge: Bewirbst du dich als Kurator:in, verarbeiten wir Name/Projekt, E-Mail-Adresse, Playlist-Link, weitere Links und deinen Bewerbungstext - und, falls du dabei eingeloggt bist, die Verknüpfung zu deinem Konto - ausschließlich, um die Bewerbung zu prüfen und dir zu antworten (Art. 6 Abs. 1 lit. b DSGVO). Die Bewerbung ist nur für uns einsehbar, wird nicht veröffentlicht und gelöscht, sobald sie abgeschlossen ist; abgeschlossene Bewerbungen löschen wir spätestens 90 Tage nach Eingang automatisch. Ist dein Konto mit einem Kurator:innen-Profil verknüpft, sind die dort hinterlegten Angaben (Bio, Bild, Links) sowie deine Beiträge öffentlich sichtbar; wir speichern dazu, welches Konto einen Beitrag verfasst hat. Löschst du dein Konto, bleiben das Kurator:innen-Profil und seine Beiträge bestehen, die Verknüpfung zu deinem Konto wird aber entfernt - auf Wunsch löschen wir auch die Beiträge (eine E-Mail genügt). Meldungen zu Beiträgen behandeln wir wie andere Meldungen. Stimmt das mit einem Partner:innen-Profil verknüpfte Konto den Partner:innen-Bedingungen inkl. Vertrag zur Auftragsverarbeitung zu, speichern wir die Fassung, den Zeitpunkt und das zustimmende Konto als Nachweis, solange das Partner:innen-Profil besteht (Art. 6 Abs. 1 lit. b und c DSGVO). Bei Aktionen unserer Partner:innen (Song-Vorschläge, Battles und Song-Tests auf Partner:innen-Seiten und in eingebetteten Widgets) verarbeiten wir die Daten der Teilnehmenden im Auftrag der jeweiligen Partner:innen (Art. 28 DSGVO).

5. Spotify & andere Musikdienste

Songdaten wie Titel, Interpret und Album beziehen wir über die Spotify Web API. Zwei Dinge lädt dein Browser dabei unabhängig von deiner Cookie-Entscheidung direkt bei Spotify: die Cover-Bilder (von Spotifys Bildservern) und, wenn du unter "Empfehlen" nach einem Song suchst, die Suchergebnisse (dabei wird dein Suchbegriff an Spotify übertragen). Spotify AB (Schweden) erhält dabei technisch bedingt deine IP-Adresse und Browserinformationen. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Musikplattform mit Covern und Songsuche (Art. 6 Abs. 1 lit. f DSGVO). Songs werden über den offiziellen, eingebetteten Spotify Player abgespielt - dieser lädt aber erst, nachdem du dem im Cookie-Banner aktiv zugestimmt hast (siehe Punkt 6). Beim Laden dieser eingebetteten Inhalte kann Spotify AB (Schweden) technische Daten (u.a. IP-Adresse) verarbeiten und eigene Cookies setzen - das liegt außerhalb unserer Kontrolle und unterliegt der Datenschutzerklärung von Spotify: spotify.com/de/legal/privacy-policy.

Unter Songs findest du zusätzlich Links zu anderen Diensten (z.B. Qobuz, Apple Music, YouTube Music, TIDAL, Bandcamp). Das sind gewöhnliche Links: Es wird nichts eingebettet und keine Daten werden an diese Dienste übertragen, solange du nicht selbst darauf klickst. Erst beim Klick öffnest du die Seite des jeweiligen Anbieters, für die dessen Datenschutzerklärung gilt. Über "Meine Likes exportieren" kannst du deine gelikten Songs (Titel, Artist, Album, ISRC) als Datei herunterladen - die Datei wird nur an dich ausgeliefert, nicht an Dritte.

Für Genre-Vorschläge beim Empfehlen und für Komponist:in und Werk bei Klassik fragt unser Server öffentliche Musikdatenbanken ab: Wikidata (Wikimedia Foundation, USA) mit der Spotify-ID des Acts, die iTunes-Suche von Apple (Apple Inc., USA) mit Titel und Artist des Songs und MusicBrainz (MetaBrainz Foundation, USA) mit der ISRC des Songs. Die Anfrage kommt von unserem Server, nicht von deinem Browser, und enthält keine Daten über dich.

Auf der Startseite gibt es Produktvideos, die bei YouTube (Google Ireland Limited, Irland) liegen. Wir binden sie im erweiterten Datenschutzmodus (youtube-nocookie.com) ein und laden sie erst, wenn du ein Video öffnest und entweder im Cookie-Banner zugestimmt oder im Video-Fenster auf "Video laden" geklickt hast. Erst dann lädt dein Browser Inhalte von YouTube, wobei Google technische Daten wie deine IP-Adresse verarbeitet und ggf. in die USA überträgt. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Präsentationen (PDF) liegen bei unserem Hosting-Anbieter Supabase (siehe Punkt 9).

6. Cookie-Einwilligung für den Spotify-Player

Der eingebettete Spotify-Player (siehe Punkt 5) kann eigene Cookies setzen und Daten an Spotify übertragen. Deshalb laden wir ihn erst, nachdem du im Banner am unteren Bildschirmrand aktiv zugestimmt hast ("Alle akzeptieren"). Wählst du stattdessen "Nur notwendige", wird kein Spotify-Player eingebettet - du kannst Songs in diesem Fall über einen Link direkt bei Spotify öffnen. Deine Wahl speichern wir ausschließlich lokal in deinem Browser (Local Storage), nicht auf unseren Servern, und kannst du jederzeit über "Cookie-Einstellungen" im Footer ändern oder widerrufen (Art. 7 Abs. 3 DSGVO). Rechtsgrundlage für das Laden des Players ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

7. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst (ausdrückliche, freiwillige Einwilligung durch aktiven Klick - kein automatischer Hinweis beim Laden der Seite), registriert dein Browser bzw. Betriebssystem ein Push-Abonnement bei einem Push-Dienst des jeweiligen Anbieters (z.B. Google für Chrome/Android, Apple für Safari/iOS, Mozilla für Firefox). Über diesen Dienst werden Benachrichtigungen technisch an dich zugestellt - der jeweilige Anbieter kann dabei Zustellmetadaten (z.B. Zeitpunkt) verarbeiten; der eigentliche Nachrichteninhalt ist für ihn nicht einsehbar. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst Push jederzeit über die entsprechende Schaltfläche in deinem Dashboard wieder deaktivieren; auf iPhone/iPad funktioniert diese Funktion nur, wenn du die Seite zuvor zu deinem Home-Bildschirm hinzugefügt hast (Vorgabe von Apple/iOS, außerhalb unserer Kontrolle).

8. Weitere Cookies & lokale Speicherung

Wir setzen technisch notwendige Cookies (gesetzt von unserem Authentifizierungs-Anbieter Supabase, Namensmuster sb-*-auth-token) ein, um deinen Login-Status zu speichern. Ohne diese Cookies könntest du dich nicht eingeloggt halten. Meldest du dich über Google an, setzen wir zusätzlich für höchstens 10 Minuten ein technisch notwendiges Cookie (matlas-google-oauth) mit zwei Zufallswerten, das die Rückkehr von Google gegen Missbrauch absichert; es wird nach der Anmeldung gelöscht. Da sie ausschließlich der Bereitstellung des von dir gewünschten Dienstes dienen, ist hierfür keine Einwilligung nach § 25 Abs. 2 TDDDG erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Zusätzlich speichern wir Anzeige- und Filter-Einstellungen (u.a. Sprache, Hell-/Dunkelmodus, zuletzt genutzte Filter, deine Cookie-Entscheidung selbst) lokal in deinem Browser (Local Storage) - diese Daten verlassen deinen Browser nicht und werden nicht an uns übertragen. Ohne Konto merkt sich dein Browser dort auch, welche Songs du im Entdecken-Bereich schon gewischt hast (höchstens 500); diese Song-Kennungen werden beim Laden neuer Songs nur mitgeschickt, damit wir sie ausfiltern (bzw. bei "Nochmal von vorn" nach hinten sortieren) können, und bei uns nicht gespeichert. Mit Konto speichern wir das stattdessen in deinem Konto (siehe Punkt 4). Außerdem zählen wir, wie oft insgesamt auf die Links zu anderen Musikdiensten bzw. auf die Kaufen-Links geklickt wird. Gespeichert werden dabei ausschließlich Tag, Dienst, Stelle auf der Seite und die Gesamtzahl der Klicks - keine IP-Adresse, keine Nutzer-ID, keine Cookies, kein Profil. Einen Rückschluss auf einzelne Personen erlaubt das nicht; die Zahlen nutzen wir, um zu verstehen, welche Dienste unsere Community nutzt (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Zur Abwehr von Missbrauch begrenzen wir, wie oft von einer IP-Adresse bzw. einem Konto in kurzer Zeit geklickt, abgestimmt oder geliked werden kann. Dafür speichern wir einen nicht umkehrbaren Hashwert aus IP-Adresse bzw. Konto und Aktion zusammen mit einem Zähler, längstens für die Dauer des Zeitfensters (höchstens einen Tag) und danach in der Regel innerhalb weniger Stunden gelöscht - die IP-Adresse selbst speichern wir nicht (berechtigtes Interesse an fairen Abstimmungen und Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO). Ohne Konto kannst du bei Song-Battles abstimmen, an Song-Tests teilnehmen und über Song-Vorschläge in Aktionen unserer Partner:innen abstimmen (auch eingebettet auf Websites unserer Partner:innen, z.B. Radiosender, Labels oder Streamingdienste). Damit jede Person nur einmal abstimmt, legt dein Browser dafür eine zufällige Geräte-Kennung im Local Storage an und schickt sie mit; wir speichern davon nur einen nicht umkehrbaren Hashwert. Zur Abwehr von Massen-Abstimmungen speichern wir zusätzlich einen Hashwert deiner IP-Adresse, der täglich wechselt - die IP-Adresse selbst speichern wir nicht. Diesen Hashwert löschen wir nach spätestens zwei Tagen. Bei Song-Tests kannst du freiwillig deine Altersgruppe angeben. Diese Angaben werden mit dem jeweiligen Battle bzw. Test gelöscht (berechtigtes Interesse an fairen Abstimmungen, Art. 6 Abs. 1 lit. f DSGVO). Unsere Partner:innen erhalten ausschließlich zusammengefasste Zahlen (z.B. Stimmen je Song, Anteil "mag ich", Aufrufe pro Woche), nie Angaben zu einzelnen Personen (Ausnahme: Song-Vorschläge, siehe nächster Satz). Schlägst du in einer Partner:innen-Aktion einen Song fürs Programm vor (dafür ist ein Konto nötig), speichern wir den Song und dein Konto als vorschlagende Person; die jeweiligen Partner:innen sehen dabei deinen Anzeigenamen (z.B. um dich zu erwähnen), andere Besucher:innen sehen ihn nicht. Stimmen auf Vorschläge speichern wir wie bei Battles nur als Hashwert (Konto bzw. Geräte-Kennung) plus täglich wechselndem IP-Hashwert. Wischt du einen Vorschlag weiter oder stimmst dafür, speichern wir mit demselben Hashwert und dem Zeitpunkt, dass du ihn bewertet hast. So zeigen wir ihn dir nicht noch einmal, und die Partner:innen sehen zusammengefasst, wie viele Personen einen Song bewertet haben, wie viele davon dafür waren und wie viele an mehreren Tagen wiederkamen. Diese Angaben werden mit dem Vorschlag gelöscht. Wählen die Partner:innen einen Song aus, den du vorgeschlagen oder als eingeloggte Person unterstützt hast (z.B. weil er gespielt oder in eine Playlist übernommen wird), benachrichtigen wir dich darüber. Vorschläge werden gelöscht, wenn die Partner:innen sie entfernen oder ihr Profil gelöscht wird; beim Löschen deines Kontos wird die Verknüpfung zu dir entfernt (Art. 6 Abs. 1 lit. b DSGVO). Aufrufe von Partner:innen-Seiten zählen wir wie die Klicks oben nur als Tagessumme.

9. Hosting

Diese Anwendung wird bei Netlify, Inc. (USA) gehostet. Datenbank und Nutzer-Authentifizierung laufen über Supabase (Vertragspartner: Supabase Pte. Ltd., Singapur); die Datenbank liegt in der EU (Irland). E-Mails zur Bestätigung deiner Registrierung und zum Zurücksetzen des Passworts versenden wir über Brevo (Sendinblue SAS, Frankreich). Diese Anbieter verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO). Beim Aufruf der Seite verarbeitet Netlify technisch notwendige Server-Logdaten (u.a. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung), um die Seite auszuliefern und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO); wir werten diese Daten nicht aus. Bei der Anmeldung speichert Supabase zu jeder Login-Sitzung die IP-Adresse und die Browserkennung, um die Sitzung abzusichern; diese Angaben werden beim Abmelden bzw. spätestens mit der Löschung deines Kontos entfernt. Netlify und Supabase können Daten auch außerhalb der EU verarbeiten (z.B. in den USA); wir gehen auf Basis der jeweiligen Anbieter-AGB von einem angemessenen Schutzniveau (u.a. durch EU-Standardvertragsklauseln) aus, haben dies aber nicht durch eine eigene anwaltliche Prüfung verifizieren lassen. Details zum konkreten Serverstandort kannst du direkt bei den jeweiligen Anbietern erfragen.

10. Speicherdauer & Löschung

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst löschen (Gefahrenzone in deinen Profil-/Dashboard-Einstellungen); dabei werden mit deinem Konto verknüpfte Daten (u.a. Likes, Mood-/Genre-/Vocals-Stimmen, Follows, Meldungen, Blockierungen, im Entdecken-Bereich gewischte und angezeigte Songs, Tage der Nutzung, Benachrichtigungen, Push-Abonnements, die Verknüpfung mit Google (falls vorhanden), Lieblingsmusik-Einstellungen, Profilbild-Auswahl sowie sämtliche Spielstände der Zusatzspiele inkl. Dungeon-Runs, gefundener Songkarten und Ratespiel-Ergebnisse) automatisch entfernt. Von dir empfohlene Songs bleiben als anonymisierter Community-Eintrag bestehen (siehe Punkt 4) - die Zuordnung zu deiner Person entfernen wir dabei. Alternativ kannst du uns auch formlos per E-Mail an info@bmm-ag.de kontaktieren.

11. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z.B. jederzeit über "Cookie-Einstellungen" im Footer
• Beschwerde bei einer Datenschutzaufsichtsbehörde, z.B. der für Bayern zuständigen Aufsichtsbehörde

Wende dich für alle diese Anliegen an info@bmm-ag.de.