Datenschutzerklärung

Verantwortlicher

Dr. Peter Mayer
Einzelunternehmer, Handelsname Bitsound
Würzburgerweg 18
4840 Vöcklabruck
Österreich
E-Mail: support@bitsound.com
Telefon: +43 699 81816699

Ein Datenschutzbeauftragter ist nicht bestellt. Für alle Fragen zum Datenschutz erreichst du uns unter support@bitsound.com.

Kurz gesagt

• Wir verwenden eigene Auswertungen zur Nutzung von Bitsound. Dabei werden IP-Adressen vorübergehend verarbeitet und für Seitenaufrufe tagesbezogene Kennungen erzeugt. Die Kennungen behandeln wir als pseudonyme Daten.
• Cookies und lokaler Speicher unterstützen Anmeldung, Sicherheit und gewählte Funktionen. Einzelheiten stehen im Abschnitt „Cookies und lokaler Speicher“.
• Wir verkaufen keine personenbezogenen Daten. Empfänger sind die unten beschriebenen Dienstleister sowie Künstler, soweit du in deren Fan-Liste eingewilligt hast.
• Hörereignisse im Konto speichern wir höchstens 90 Tage. Hörverlauf und Radio-Personalisierung kannst du getrennt einstellen.
• Ausweisbilder werden verschlüsselt verarbeitet und sofort nach der Entscheidung über die Verifizierung gelöscht, ungeprüft spätestens nach 30 Tagen. Die Einzelheiten stehen im Abschnitt zur Verifizierung.

Rechtsgrundlagen

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Konto, Anmeldung, Streaming, Käufe, Guthaben, Downloads, Künstlervertrag und Auszahlungen.
• Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Buchhaltung und Aufbewahrung von Belegen (§ 132 BAO, § 212 UGB), Umsatzsteuer, Pflichten nach dem Digital Services Act.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit des Dienstes, Schutz vor Missbrauch und Betrug, Empfehlungen im Bitsound Radio, pseudonyme Reichweitenmessung. Du kannst jederzeit widersprechen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Eintrag in die Fan-Liste eines Künstlers und in die Interessentenliste für Künstler. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Hosting und Speicher

Bitsound nutzt die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, als Hosting-Auftragsverarbeiter. Die für den Betrieb verwendeten Server sowie Musik- und Bildspeicher befinden sich in Deutschland. Verschlüsselte zusätzliche Sicherungen liegen ebenfalls bei Hetzner in Deutschland.

Lokale Datenbanksicherungen werden höchstens 14 Tage aufbewahrt. Für zusätzliche Datenbank- und Dateisicherungen einschließlich gesicherter Dateiversionen gilt eine Höchstfrist von 30 Tagen. Ausweisbilder werden nicht gesichert. Sicherungen dienen ausschließlich der Wiederherstellung; nach einer Wiederherstellung werden zwischenzeitlich erfolgte Löschungen erneut berücksichtigt. Gesetzlich aufzubewahrende Unterlagen werden getrennt nach den dafür geltenden Fristen behandelt.

Aufruf der Website, Protokolle und Missbrauchsschutz

Beim Aufruf überträgt dein Browser technisch nötige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung. Unser Webserver schreibt keine Zugriffsprotokolle. Die Anwendung protokolliert Fehler und Hintergrundaufgaben. Diese Protokolle werden spätestens nach 30 Tagen gelöscht; eine frühere Überschreibung durch Größenbegrenzungen ist möglich. Soweit ein konkreter Sicherheitsvorfall eine längere Beweissicherung erfordert, werden nur die dafür benötigten Auszüge gesondert bis zur Klärung aufbewahrt.

Zum Schutz vor Missbrauch, etwa zu vielen Anmeldecodes, zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse. Diese Zähler löschen wir spätestens eine Stunde nach Ablauf. Für die Umsatzsteuer kann aus deiner IP-Adresse das Land bestimmt werden. Das geschieht mit einer Datenbank auf unserem eigenen Server, die IP-Adresse wird dabei nicht weitergegeben.

Rechtsgrundlage: berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) und rechtliche Pflicht zur Bestimmung des Steuerlandes (Art. 6 Abs. 1 lit. c DSGVO).

Reichweitenmessung

Um zu sehen, welche Seiten und Titel genutzt werden, zählen wir Seitenaufrufe und Abspielvorgänge selbst, ohne fremden Dienst, ohne Cookies und ohne Einträge im lokalen Speicher deines Browsers. Ein kleines Skript von unserem eigenen Server meldet dazu beim Seitenwechsel die aufgerufene Adresse.

• Besucherkennung: Aus IP-Adresse, Browserkennung und Domain bilden wir mit einem geheimen Tagesschlüssel einen Prüfwert (HMAC). Der Schlüssel wird jeden Tag (Wiener Zeit) neu erzeugt und der alte gelöscht. Die Kennung dient der Unterscheidung innerhalb eines Tages; eine Verknüpfung der Tageskennungen ist für diese Auswertung nicht vorgesehen. Wir behandeln die Kennungen als pseudonyme personenbezogene Daten. Die IP-Adresse selbst speichern wir nicht.
• Gespeicherte Angaben: Stunde des Aufrufs, aufgerufene Seite ohne Parameter (Nutzerkennungen und Zugangscodes entfernt, Release- und Künstlerseiten bleiben erkennbar), Domain der verweisenden Seite, Land (lokal aus der IP-Adresse bestimmt, nur das Land), Gerätetyp, Browserfamilie, Sprache und ob jemand angemeldet ist, aber nicht wer.
• Musik: Je Abspielvorgang Titel, Quelle (etwa Release-Seite, Radio oder Playlist), Hörprobe oder volle Länge, gehörte Sekunden, ob bis zum Ende gehört wurde und die Stelle eines Abbruchs (auf 5 Sekunden gerundet), ohne Konto oder Besucherkennung. Künstler sehen diese Zahlen für ihre eigenen Releases nur zusammengefasst.
• Speicherdauer: Die einzelnen Ereignisse löschen wir nach 30 Tagen. Danach bleiben nur Tagessummen ohne Besucherkennung.
• Empfänger: Die Auswertung erfolgt in unserer Hosting-Infrastruktur. Unsere Hosting-Auftragsverarbeiter können im Rahmen ihrer Aufgaben Zugriff erhalten. Künstler erhalten nur zusammengefasste Nutzungszahlen zu ihren eigenen Releases.
• Do Not Track und Global Privacy Control: Sendet dein Browser eines dieser Signale, zählen wir dich nicht. Automatisierte Zugriffe (Bots) zählen wir ebenfalls nicht.
• Kampagnen-Links: Kommst du über einen Link mit Kampagnen-Angaben (utm_source, utm_medium, utm_campaign, utm_content) zu uns, zählt unser Server nur, wie oft diese Kampagne an einem Tag aufgerufen wurde (Tagessumme ohne IP-Adresse, Browserkennung oder sonstige Kennung). Die App hält die Kampagne nur im Arbeitsspeicher des geöffneten Tabs, ohne Cookies und ohne lokalen Speicher; nach dem Schließen ist sie weg. Legst du ein Konto an, trägst du dich in die Interessentenliste für Artists ein oder kaufst du, vermerken wir die Kampagne deines Einstiegs an deinem Konto bzw. Kauf, um zu sehen, welche Werbung wirkt. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Tagessummen sind anonym und bleiben erhalten; die Zuordnung zu Konto und Kauf löschen wir nach 24 Monaten, an einer Aufladung nach 24 Stunden. Bei Do Not Track oder Global Privacy Control vermerken wir nichts.

Die serverseitige Verarbeitung pseudonymer Nutzungsdaten erfolgt zur Verbesserung des Dienstes und zur Erstellung zusammengefasster Nutzungszahlen für Künstler auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst der Verarbeitung aus Gründen deiner besonderen Situation widersprechen. Unabhängig davon berücksichtigen wir Do Not Track und Global Privacy Control als Abwahl der Reichweitenmessung. Soweit für einen Zugriff auf Informationen deines Geräts eine Einwilligung erforderlich ist, erfolgt dieser Zugriff erst nach deiner Einwilligung; du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen. Du erreichst uns dazu unter support@bitsound.com.

Konto und Anmeldung

Für ein Konto brauchen wir deine E-Mail-Adresse. Optional sind ein Anzeigename, dein Land und deine Einstellungen. Bitsound hat keine Passwörter: Du meldest dich mit einem Code an, den wir dir per E-Mail schicken, oder mit einem Passkey.

• Anmeldecodes gelten nur kurz und werden einen Tag nach Ablauf gelöscht.
• Passkeys: Wir speichern nur den öffentlichen Schlüssel und eine Gerätebezeichnung. Fingerabdruck oder Gesichtserkennung bleiben auf deinem Gerät, wir bekommen davon nichts.
• Authenticator-App: Den geheimen Schlüssel speichern wir verschlüsselt. Wiederherstellungscodes speichern wir nur als Prüfwert.
• Sitzungen: Solange du angemeldet bist, speichern wir eine Sitzung mit Browserkennung, höchstens 30 Tage. In den Einstellungen siehst du alle Sitzungen und kannst sie beenden.

Angemeldete Geräte und Login-Benachrichtigung

Damit wir dich warnen können, wenn sich jemand von einem fremden Gerät in dein Konto einloggt, erkennen wir Geräte wieder, auf denen du schon angemeldet warst. Dafür setzen wir beim Anmelden das Cookie bs_device mit einer zufälligen Kennung. Wir speichern davon nur einen Prüfwert (Hash), dazu Plattform und Browser aus der Browserkennung (zum Beispiel "Chrome auf Windows"), wann das Gerät zuerst und zuletzt aktiv war und einen Prüfwert deiner IP-Adresse. Die IP-Adresse selbst speichern wir nicht. Für diese Gerätewiedererkennung verwenden wir die zufällige Cookie-Kennung.

Meldet sich jemand von einem neuen Gerät an, schicken wir dir eine Mail mit Gerät, Zeit, Anmeldeart und ungefährem Ort. Den Ort (Stadt und Land) bestimmen wir nur im Moment der Mail aus der IP-Adresse, mit einer Datenbank auf unserem eigenen Server. Die IP-Adresse wird dabei nicht weitergegeben und der Ort nicht gespeichert. IP-Geolocation von DB-IP.com (Lizenz CC BY 4.0).

Wird ein Passkey hinzugefügt, auf der Website oder in der App, schicken wir dir eine Mail mit dem Namen des Passkeys, dem Gerät und der Zeit. Das Hinzufügen und Entfernen von Passkeys und jede erneute Bestätigung in der App (Mail-Code und gegebenenfalls zweiter Faktor) halten wir im Sicherheitsprotokoll deines Kontos fest, damit wir Missbrauch erkennen und aufklären können (Art. 6 Abs. 1 lit. f DSGVO). Ein Eintrag enthält nur Zeitpunkt, Art der Aktion, ob sie in der App oder auf der Website geschah, und die interne Kennung des Passkeys, keine Codes. Wir löschen diese Einträge nach drei Jahren. Nach einer Kontolöschung sind sie schon vorher nicht mehr mit deiner E-Mail-Adresse oder deinem Namen verbunden.

Mit dem Link "Das war ich nicht" in der Mail meldest du das Gerät ab. Der Link gilt sieben Tage und nur einmal. In den Einstellungen siehst du alle angemeldeten Geräte und kannst sie einzeln oder überall abmelden. Fans können die Mail abschalten, Konten mit Auszahlungen und Admins bekommen sie immer.

Geräte, die ein Jahr lang nicht aktiv waren, löschen wir automatisch, beim Löschen deines Kontos sofort. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse am Schutz deines Kontos und deines Guthabens (Art. 6 Abs. 1 lit. f DSGVO).

KI-Apps (MCP)

Du kannst KI-Apps wie Claude oder ChatGPT über unsere MCP-Schnittstelle mit deinem Konto verbinden. Das passiert nur, wenn du es selbst startest und im Browser erlaubst. Dabei wählst du, was die App darf (zum Beispiel nur deine Sammlung lesen); was du abwählst, darf sie nicht. Die App handelt dann in deinem Namen und sieht genau die Daten, die du ihr erlaubt hast. Was die App mit diesen Daten macht, richtet sich nach den Bedingungen ihres Anbieters, nicht nach dieser Erklärung.

• Verbindung: Wir speichern Name und Rücksprungadresse der App, die erlaubten Bereiche, Prüfwerte der Zugangsschlüssel, wann du verbunden hast und wann die App zuletzt zugegriffen hat. Unbenutzt endet eine Verbindung nach 30 Tagen, spätestens nach 90 Tagen musst du neu verbinden. Du siehst jede Verbindung unter Einstellungen, Angemeldete Geräte und kannst sie dort trennen. Beim Verbinden schicken wir dir eine Mail.
• Protokoll: Jeden Zugriff einer App halten wir fest, auch lesende: Zeit, App, Werkzeug, eine Kurzfassung der Angaben ohne Inhalte (zum Beispiel die Kennung eines Releases, bei Texten nur die Zahl der Zeichen) und die Zahl der Treffer. Du siehst das Protokoll in den Einstellungen. Wir löschen die Einträge nach 90 Tagen. Schreibende Zugriffe halten wir zusätzlich im unveränderlichen Änderungsprotokoll unseres Systems fest (Aktion, Zeit, App, ohne Inhalte), damit Änderungen an Releases, Codes und Konten nachvollziehbar bleiben. Diese Einträge löschen wir nicht, nach einer Kontolöschung sind sie nicht mehr mit deiner E-Mail-Adresse oder deinem Namen verbunden.
• Bestätigungen: Will eine App etwas öffentlich machen oder Musik verschenken (Antwort auf einen Kommentar, Änderung an einem veröffentlichten Release oder am Artist-Profil, Download-Codes, Gratis-Links), speichern wir das zuerst als offene Anfrage mit dem vorgeschlagenen Text. Erst wenn du sie im Browser bestätigst, wird sie ausgeführt. Offene Anfragen verfallen nach sieben Tagen, wir löschen alle Anfragen nach 90 Tagen.
• Download-Links für deine Käufe, die eine App erstellt, gelten 15 Minuten und nicht für ein anderes angemeldetes Konto.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO), für das Protokoll zusätzlich unser und dein berechtigtes Interesse, Missbrauch einer Verbindung zu erkennen und nachzuvollziehen, was eine App getan hat (Art. 6 Abs. 1 lit. f DSGVO). Mit deinem Konto löschen wir Verbindungen, Protokoll und Anfragen sofort.

Guthaben, Käufe und Zahlung

Bei einer Aufladung und bei Käufen verarbeiten wir Betrag, Zeitpunkt, gekaufte Titel und Releases, Umsatzsteuer, dein Land sowie die Belege. Für die Umsatzsteuer bestimmen wir bei der Aufladung dein Land anhand des Landes deines Zahlungsmittels (Kartenland), deines Rechnungslandes und des Landes deiner IP-Adresse und bewahren diese Angaben als Nachweis auf. Von der IP-Adresse speichern wir dafür nur das Land.

Widerrufst du eine Aufladung oder einen Speicherplan, wickeln wir die Erstattung über Stripe ab. Die Bestätigungsmail und den Storno-Beleg bewahren wir wie andere Belege sieben Jahre auf.

Für Zahlungen verwenden wir Stripe Payments Europe, Limited, Irland. Zahlungsdaten gibst du direkt bei Stripe ein. Wir erhalten die für Zahlung, Abrechnung und Betrugsabwehr erforderlichen Angaben, insbesondere Zahlungsreferenz, Status und Land des Zahlungsmittels. Soweit Stripe auf unsere Weisung Zahlungsdaten verarbeitet, erfolgt dies als Auftragsverarbeiter; für eigene gesetzliche Pflichten und eigene festgelegte Verarbeitungszwecke handelt Stripe als selbst Verantwortlicher. Stripe kann Daten auch außerhalb des EWR verarbeiten. Dabei kommen nach Maßgabe der jeweiligen Übermittlung Angemessenheitsbeschlüsse, einschließlich des EU-US-Datenschutzrahmens für entsprechend zertifizierte Empfänger, oder Standardvertragsklauseln zum Einsatz. Informationen zu Empfängern und Garantien findest du im Stripe Privacy Center und erhältst du über support@bitsound.com.

Belege, Rechnungen, Gutschriften und Buchungen bewahren wir grundsätzlich sieben Jahre ab Ende des Kalenderjahres auf (§ 132 BAO). Soweit die besonderen Aufzeichnungspflichten des EU-One-Stop-Shop-Verfahrens (OSS) gelten, beträgt die Frist für die betreffenden Aufzeichnungen zehn Jahre ab Ende des Jahres des Umsatzes. Bei laufenden Verfahren bewahren wir die dafür erforderlichen Unterlagen bis zum Abschluss auf.

Gutscheine, Geschenke, Download-Codes und Gratis-Zugang

Verschenkst du Musik, verarbeiten wir dieselben Angaben wie bei einem Kauf. Dazu kommen der Name der beschenkten Person und deine Nachricht, wenn du sie angibst, die Art der Zustellung und bei Zustellung per Mail die E-Mail-Adresse der beschenkten Person und das Zustelldatum. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Die E-Mail-Adresse der beschenkten Person verwenden wir nur für die Zustellung der Geschenk-Mail mit Code und Einlöse-Link, nicht für Werbung und nicht für andere Zwecke. Wir löschen sie, sobald das Geschenk eingelöst ist. Rechtsgrundlage ist unser berechtigtes Interesse und das der beschenkten Person an der Zustellung des Geschenks (Art. 6 Abs. 1 lit. f DSGVO). Die beschenkte Person informieren wir in der Geschenk-Mail darüber, woher wir ihre Adresse haben.

Gratis-Zugang: Künstler können im Studio Links erzeugen, mit denen sie ihre Musik selbst an einzelne Personen weitergeben. Wir verschicken dafür keine Mails und erhalten keine Angaben zur beschenkten Person, solange sie den Link nicht einlöst. Wir speichern die gewählten Releases, eine Notiz, die nur der Künstler sieht, und die Zeitpunkte von Erstellung, Einlösung oder Widerruf. Beim Einlösen gilt dasselbe wie bei Download-Codes (nächster Absatz). Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Künstler und mit der einlösenden Person (Art. 6 Abs. 1 lit. b DSGVO). Nicht eingelöste Links widerrufen wir nach zwölf Monaten automatisch.

Beim Einlösen eines Codes speichern wir, welches Konto ihn wann eingelöst hat, damit jeder Code nur einmal gilt. Wer Musik verschenkt hat, sieht nur, ob und wann das Geschenk eingelöst wurde. Bei Gutscheinen von Bitsound sehen unsere Admins, welches Konto den Code eingelöst hat und wie viel davon verbraucht ist, damit wir die Aktion abrechnen und Missbrauch erkennen können. Künstler sehen bei ihren Download-Codes nur den Status und das Datum der Einlösung, nicht wer eingelöst hat. Gegen das Erraten von Codes begrenzen wir die Versuche pro Konto und pro IP-Adresse (siehe "Aufruf der Website, Protokolle und Missbrauchsschutz").

Presse-Links von Künstlern funktionieren ohne Konto. Wir zählen dafür nur die Downloads und speichern den Zeitpunkt des letzten Downloads, keine Angaben zur Person. Geschenke, Gutscheine und die zugehörigen Belege bewahren wir wie andere Belege sieben Jahre auf.

Hören, Hörverlauf und Bitsound Radio

Als Gast liegt die Liste deines Hörverlaufs im lokalen Speicher deines Browsers. Unabhängig davon werden Nutzungsereignisse für die im Abschnitt „Reichweitenmessung“ beschriebene Statistik übertragen.

Angemeldet speichern wir, welchen Titel du wann, wie lange und woher (zum Beispiel Release-Seite oder Radio) gehört hast und ob du ihn zu Ende gehört, übersprungen oder geliked hast. Das nutzen wir für deinen Hörverlauf und für Empfehlungen im Bitsound Radio. Zusammen mit deinen Likes, Käufen und den Künstlern, denen du folgst, sind das die Radio-Signale.

• Hörereignisse löschen wir automatisch nach 90 Tagen.
• In den Einstellungen kannst du den Hörverlauf und die Personalisierung des Radios getrennt abschalten. Sind beide aus, speichern wir keine Hörereignisse für diese beiden Zwecke. Zählungen zur Begrenzung kostenloser Wiedergaben und die gesondert beschriebene Reichweitenmessung bleiben davon zu unterscheiden.
• Unter Einstellungen siehst du eine Übersicht deiner Radio-Signale und kannst Hörverlauf und Signale jederzeit löschen.
• Für Titel, die du ohne Kauf in voller Länge hörst, zählen wir die Wiedergaben je Titel, um faire Grenzen für das kostenlose Hören umzusetzen.

Empfehlungen entstehen automatisch, haben aber keine rechtliche oder ähnlich erhebliche Wirkung für dich (keine automatisierte Entscheidung nach Art. 22 DSGVO).

Öffentliche Angaben

Kommentare, öffentliche Playlists und dein Profil sind für andere sichtbar. Ob Kommentare deinen Namen zeigen, ob dein Profil öffentlich ist und ob du bei Künstlern als Unterstützer erscheinst, legst du in den Einstellungen fest.

Playlists speichern wir mit Titel, Beschreibung, Sichtbarkeit und den enthaltenen Bitsound-Titeln. In der Bitsound-App kannst du auch eigene Musik in eine Playlist legen. Ist dort der Abgleich mit deinem Konto eingeschaltet, speichern wir für jeden eigenen Titel nur einen Eintrag mit Titel, Interpret, Album und Dauer, damit die Playlist auf deinen anderen Geräten gleich aussieht. Die Datei selbst, ihr Speicherort, Prüfsummen und Cover verlassen dein Gerät nie. Diese Einträge siehst nur du, auch in öffentlichen Playlists erscheinen sie nicht. Ist der Abgleich aus, bleiben eigene Titel nur auf dem Gerät. Gelöschte Playlists entfernen wir mit allen Einträgen sofort; eine leere Markierung ohne Titel und Inhalt bleibt höchstens 30 Tage, damit deine anderen Geräte die Löschung übernehmen. Mit deinem Konto werden alle Playlists gelöscht.

Blockierst du jemanden, speichern wir, wen du wann blockiert hast. Du siehst dann dessen Kommentare und Antworten nicht mehr und bekommst keine Antwort-Mails von ihm; die blockierte Person erfährt davon nichts. Die Liste siehst und änderst du in den Einstellungen, sie wird mit deinem Konto gelöscht.

Fan-Liste von Künstlern

Künstler können dich in ihre Fan-Liste aufnehmen, aber nur mit deiner ausdrücklichen Einwilligung, zum Beispiel beim Abholen eines Gratis-Songs mit einem eigenen Häkchen. Wir speichern dann deine E-Mail-Adresse, deinen Anzeigenamen, Zeitpunkt, Version und Wortlaut der Einwilligung sowie den Anlass.

Der Künstler erhält Zugriff auf die Fan-Liste und kann sie exportieren. Soweit der Versand über Bitsound freigeschaltet ist, kann er darüber Nachrichten im Umfang deiner Einwilligung versenden. Für die eigene Verwendung einer exportierten Liste ist der Künstler datenschutzrechtlich verantwortlich. Für den Versand werden die beschriebenen E-Mail-Dienstleister eingesetzt.

Du kannst die Einwilligung jederzeit widerrufen: mit dem Abmeldelink in jeder E-Mail oder auf der Seite des Künstlers. Nach dem Widerruf versenden wir über Bitsound keine weiteren Fan-Mails dieses Künstlers. Über deinen Widerruf informieren wir den Künstler, damit er ihn auch in bereits exportierten Listen umsetzt; für seinen eigenen Versand muss er den Widerruf beachten. Du kannst dich dafür an ihn oder an support@bitsound.com wenden. Den Nachweis der Einwilligung bewahren wir während ihrer Nutzung und anschließend grundsätzlich drei Jahre nach Widerruf oder letzter darauf gestützter Nachricht auf. Für ein konkretes laufendes Verfahren erforderliche Nachweise bewahren wir bis zu dessen Abschluss gesondert auf. Nach einem Widerruf verwenden wir diese Nachweise nicht mehr zum Werbeversand. Löschst du dein Konto, bewahren wir den Nachweis getrennt und anonymisiert auf, ohne deine E-Mail-Adresse im Klartext (nur ein Prüfwert der Adresse, Künstler, Zeitpunkte, Version und Wortlaut der Einwilligung), und löschen ihn nach drei Jahren.

E-Mail-Versand

E-Mails (Anmeldecodes, Kaufbelege, Benachrichtigungen, Fan-Mails) verschicken wir über Brevo (Sendinblue SAS, 55 rue d'Amsterdam, 75008 Paris, Frankreich) als Auftragsverarbeiter. Wir protokollieren Empfänger, Art und Zeitpunkt jeder E-Mail und löschen dieses Protokoll nach 90 Tagen. Welche Benachrichtigungen du bekommst, stellst du in den Einstellungen ein.

Kontaktformular und Anfragen per E-Mail

Schreibst du uns über das Kontaktformular oder per E-Mail, verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben), das gewählte Thema und deine Nachricht, um deine Anfrage zu beantworten. Die Nachricht landet in unserem Support-Postfach, eine Kopie bekommst du nicht. Zum Schutz vor Missbrauch zählen wir Nachrichten je IP-Adresse und je E-Mail-Adresse (siehe oben). Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Anfrage, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

SMS und Handynummer

Künstler bestätigen ihre Handynummer mit einem Code per SMS. Auch Änderungen an Auszahlungsdaten bestätigen wir per SMS. Dafür nutzen wir die seven communications GmbH & Co. KG, Willestr. 4-6, 24103 Kiel, Deutschland, als Auftragsverarbeiter. Übermittelt werden die Handynummer und der Text der SMS.

Künstler: Verifizierung und Auszahlung

Wer Musik verkauft, muss sich verifizieren. Dafür verarbeiten wir rechtlichen Namen, Anschrift, Land, Handynummer, IBAN, UID-Nummer oder die Angabe als Kleinunternehmer sowie den Zeitpunkt, zu dem du den Künstlervertrag vor deinem ersten Upload akzeptiert hast. Außerdem speichern wir als Nachweis deine Erklärung, dass weder du noch andere an deinen Werken Beteiligte Mitglied einer Verwertungsgesellschaft sind, mit Zeitpunkt und Fassung des Erklärungstextes, sowie die Fassung der Künstlerbedingungen, der du zugestimmt hast. Meldest du später eine Mitgliedschaft, speichern wir sie mit der Gesellschaft, um deine Releases aus dem Verkauf zu nehmen. Sichtbar sind diese Angaben nur für Admins.

• Ausweis: Das Foto deines Ausweises speichern wir verschlüsselt (AES-256), nur ein Admin kann es für die Prüfung ansehen. Es kommt in keine Sicherung. Wir löschen es sofort, sobald über deine Verifizierung entschieden ist. Wurde es bis dahin nicht geprüft, löschen wir es spätestens nach 30 Tagen; dann bekommst du eine Mail und lädst es erneut hoch. Wir behalten nur das Ergebnis und das Datum.
• UID-Nummer: Wir können sie über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der EU-Kommission prüfen.
• Steuer: Für die Gutschriften und eine gegebenenfalls einzubehaltende Abzugsteuer (§ 99 EStG) verarbeiten wir deinen steuerlichen Status, dein Ansässigkeitsland, deine Steuernummer oder UID und gegebenenfalls eine Ansässigkeitsbescheinigung. Die Bescheinigung speichern wir verschlüsselt.
• Auszahlungen und Gutschriften bewahren wir sieben Jahre auf (§ 132 BAO).
• Öffentlich sind Künstlername, Bild, Text, Ort und Links deines Künstlerprofils sowie deine Releases. Hochgeladene Bilder werden neu kodiert, Metadaten wie der Aufnahmeort werden entfernt.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Pflichten aus Steuer- und Unternehmensrecht (lit. c) und Schutz vor Betrug (lit. f).

Interessentenliste und Einladungen für Künstler

Solange neue Künstler-Anmeldungen pausiert sind, kannst du dich auf eine Interessentenliste setzen lassen. Zweck: Wir schicken dir eine Info-Mail, sobald die Anmeldung wieder offen ist. Dafür verarbeiten wir deinen Artist- oder Bandnamen und deine E-Mail-Adresse sowie freiwillig dein Land, dein Genre, einen Link zu deiner Musik und eine Nachricht.

Nach deiner Bestätigung zeigen wir auf der Seite „Für Artists“ eine öffentliche Liste der Vorgemerkten mit Land, Genre und dem ungefähren Datum der Bestätigung (zum Beispiel „vor 3 Tagen“) sowie die Gesamtzahl. Deinen Artist- oder Bandnamen zeigen wir dort nur, wenn du das mit einem eigenen Häkchen ausdrücklich wählst, sonst erscheinst du anonym (zum Beispiel „Ein Artist aus Österreich“). Deine E-Mail-Adresse, der Link und deine Nachricht werden nie veröffentlicht. Unbestätigte Einträge erscheinen nicht. Mit deinem Widerruf oder der Löschung deines Eintrags verschwindest du auch aus der Liste.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du bestätigst sie über einen Link in einer E-Mail (Double-Opt-in) und kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an support@bitsound.com. Unbestätigte Einträge löschen wir nach sieben Tagen, bestätigte nach der Einladung oder früher auf deinen Wunsch.

Laden wir dich ein, speichern wir deine E-Mail-Adresse zusammen mit dem Einladungslink. Der Link gilt 14 Tage.

Prüfung hochgeladener Musik

Damit niemand fremde Aufnahmen als eigene verkauft, berechnen wir für jeden hochgeladenen Titel auf unserem Server einen akustischen Fingerabdruck (Chromaprint) und vergleichen ihn mit den anderen Titeln auf Bitsound. Der Fingerabdruck dient dem Aufnahmevergleich. Durch die Zuordnung zu einem Titel oder Künstler kann auch ein Personenbezug bestehen.

Zusätzlich lassen wir jeden Titel vom Musikerkennungsdienst AudD (audd.io) mit Sitz in den USA prüfen. AudD ist dafür Empfänger der Daten. Dazu schneiden wir zwei bis drei kurze Ausschnitte von je etwa 12 Sekunden aus dem Titel und senden nur diese Ausschnitte an AudD. Personen- oder Kontodaten wie Name, E-Mail-Adresse oder IP-Adresse übermitteln wir nicht. Die Aufnahme selbst kann allerdings Stimmen enthalten. AudD meldet zurück, ob die Aufnahme bereits unter einem anderen Künstler bekannt ist (Künstler, Titel, Label). Zweck ist die Rechteprüfung. Rechtsgrundlage: unser berechtigtes Interesse, Rechtsverletzungen zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Weil AudD in den USA sitzt, werden die Ausschnitte in ein Drittland außerhalb des Europäischen Wirtschaftsraums übermittelt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhältst du über support@bitsound.com.

Meldungen und Moderation

Wenn du Inhalte meldest, speichern wir Meldung, Grund, Zeitpunkt und dein Konto, bei einer Meldung ohne Konto stattdessen die von dir angegebene E-Mail-Adresse und, falls angegeben, deinen Namen. Damit bearbeiten wir die Meldung, bestätigen dir den Eingang und informieren dich über das Ergebnis (Art. 16 DSA). Wer von einer Entscheidung betroffen ist, bekommt die Begründung per E-Mail (Art. 17 DSA). Löschst du dein Konto, wird die Verbindung zur Meldung entfernt.

Cookies und lokaler Speicher

Für Anmeldung, Kontosicherheit und die von dir gewählten Funktionen verwenden wir Cookies und lokalen Speicher. Die Einwilligungspflicht für den Zugriff auf dein Gerät richtet sich gesondert nach § 165 Abs. 3 TKG 2021; die Rechtsgrundlagen der anschließenden Datenverarbeitung sind oben beschrieben.

• bs_session: hält dich angemeldet, höchstens 30 Tage, nicht per Skript lesbar.
• bs_device: zufällige Gerätekennung, damit wir neue Geräte erkennen und dich warnen können, zwei Jahre, nicht per Skript lesbar.
• bs_nostats: nur auf Geräten, auf denen sich ein Admin angemeldet hat oder der Admin es einschaltet; nimmt das Gerät aus der Reichweitenmessung aus, enthält keine Kennung und keinen Personenbezug, ein Jahr, nicht per Skript lesbar.
• bs_lang: gewählte Sprache.
• bs_theme: helles oder dunkles Erscheinungsbild, ein Jahr.
• bs_project: zuletzt gewähltes Künstlerprojekt im Studio, ein Jahr.

Im lokalen Speicher deines Browsers liegen außerdem Einstellungen und der Hörverlauf für Gäste (zum Beispiel bs_history, bs_download_format, bs_markers). Diese Daten verlassen deinen Browser nicht. Die Reichweitenmessung setzt keine Cookies und legt nichts im lokalen Speicher ab.

Speicherdauer im Überblick

• Konto und Einstellungen: bis du dein Konto löschst.
• Gelöschte Playlists: leere Markierung für den Abgleich höchstens 30 Tage.
• Hörereignisse: 90 Tage.
• Reichweitenmessung: einzelne Ereignisse 30 Tage, danach nur Tagessummen. Tagesschlüssel: ein Tag.
• Kampagnen-Links: Tagessummen ohne Personenbezug unbefristet; Zuordnung der Kampagne zu Konto oder Kauf 24 Monate, zu einer Aufladung 24 Stunden.
• Anmeldecodes: ein Tag nach Ablauf. Sitzungen: bis zum Abmelden, höchstens 30 Tage.
• Angemeldete Geräte: bis ein Jahr nach der letzten Aktivität. Links "Das war ich nicht": 30 Tage nach Ablauf.
• Zähler für den Missbrauchsschutz: eine Stunde nach Ablauf.
• E-Mail-Protokoll: 90 Tage.
• KI-Apps (MCP): Verbindung unbenutzt 30 Tage, höchstens 90 Tage; Protokoll der Zugriffe und Bestätigungsanfragen 90 Tage, offene Anfragen verfallen nach sieben Tagen.
• Änderungsprotokoll (Audit-Log, ohne Inhalte): unbefristet, nach einer Kontolöschung ohne Verbindung zu E-Mail-Adresse und Name; Einträge zu Passkeys und Bestätigungen in der App drei Jahre.
• Sicherheitsprotokoll zu Passkeys und Bestätigungen in der App: drei Jahre.
• Ausweisbild: bis zur Entscheidung über die Verifizierung, ungeprüft höchstens 30 Tage. Nicht in Sicherungen.
• Interessentenliste: unbestätigte Einträge sieben Tage, bestätigte bis zur Einladung oder bis zu deinem Widerruf. Einladungslinks: gültig 14 Tage.
• Fehler- und Ablaufprotokolle der Anwendung: höchstens 30 Tage.
• Einwilligungsnachweise für Fan-Listen: grundsätzlich drei Jahre nach Widerruf oder letzter darauf gestützter Nachricht; nach einer Kontolöschung anonymisiert drei Jahre.
• Belege, Rechnungen, Gutschriften und Buchungen: grundsätzlich sieben Jahre ab Ende des Kalenderjahres; Aufzeichnungen zum EU-One-Stop-Shop-Verfahren (OSS), soweit es angewendet wird, zehn Jahre. Verlängerung bei laufenden Verfahren nur im erforderlichen Umfang.
• Lokale Datenbanksicherungen: 14 Tage; zusätzliche Datenbank- und Dateisicherungen einschließlich Dateiversionen: höchstens 30 Tage.
• Gutscheine und Geschenke: wie Belege sieben Jahre; die E-Mail-Adresse der beschenkten Person bis zum Einlösen.
• Gratis-Links von Künstlern: nicht eingelöste Links werden zwölf Monate nach dem Erstellen widerrufen; eingelöste wie Download-Codes.

Konto löschen

Du kannst dein Konto in den Einstellungen selbst löschen. Wir löschen dann Passkeys, Likes, Playlists, Wunschliste, Hörverlauf, aktive Fan-Listen-Einträge, Verifizierungsdaten und E-Mail-Protokoll. Deine E-Mail-Adresse und dein Name werden aus dem Konto entfernt. Kommentare, auf die schon jemand geantwortet hat, bleiben als "entfernt" ohne Inhalt stehen. Käufe und Belege bewahren wir wegen der Aufbewahrungspflicht weiter auf.

Die Löschfunktion in den Einstellungen ist verfügbar, sobald kein Guthaben und kein Künstlerprojekt mehr bestehen. Bei Restguthaben oder Künstlerprojekten schreib an support@bitsound.com; wir bearbeiten die Kontoschließung und die Erstattung beziehungsweise Schlussabrechnung gemeinsam. Du musst dein Guthaben nicht für weitere Käufe ausgeben. Deine gesetzlichen Datenschutzrechte kannst du unabhängig von dieser technischen Funktion ausüben.

Gesetzlich erforderliche Unterlagen sowie erforderliche Einwilligungs- und Widerrufsnachweise bewahren wir ausschließlich für ihre jeweiligen Nachweiszwecke und Fristen getrennt auf. Einwilligungsnachweise für Fan-Listen behalten wir dabei nur anonymisiert, ohne deine E-Mail-Adresse im Klartext, drei Jahre lang. Ein gelöschtes Konto wird dadurch nicht für die weitere Nutzung oder Werbung fortgeführt.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit widerrufen (Art. 7 Abs. 3). In den Einstellungen kannst du deine Daten jederzeit selbst als Datei herunterladen. Für alles andere schreib an support@bitsound.com.

Du kannst dich bei der Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

Für Konto, Käufe und Auszahlungen benötigen wir die jeweils als erforderlich gekennzeichneten Angaben; ohne sie können wir die betreffende Funktion nicht bereitstellen. Freiwillige Profilangaben und Fan-Einwilligungen sind keine Voraussetzung für einen Musikkauf. Informationen über Zahlungen erhalten wir auch von unserem Zahlungsdienstleister; Ergebnisse externer Rechteprüfungen gegebenenfalls vom im Abschnitt „Prüfung hochgeladener Musik“ genannten Dienst.

Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Sicherungen sind verschlüsselt. Admins müssen sich mit einem zweiten Faktor anmelden. Zugriff auf persönliche Daten haben nur Personen, die sie für ihre Aufgabe brauchen.

Änderungen

Wenn sich der Dienst ändert, passen wir diese Datenschutzerklärung an. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir angemeldete Nutzer per E-Mail.