Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von LabelRally verarbeitet werden – auf der Website, in der App und auf den öffentlichen Seiten (Smart Links, Link-in-Bio-Seiten), die Nutzer mit LabelRally erstellen.

1. Verantwortlicher

[Firmenname / Name, Rechtsform]
[Straße und Hausnummer, PLZ Ort, Land]
E-Mail: [datenschutz@deine-domain.de]
Datenschutzbeauftragter: [Name und Kontakt, falls gesetzlich erforderlich – sonst Abschnitt streichen]

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

• Wir sind Verantwortlicher für dein Nutzerkonto, die Abrechnung, Support-Anfragen, die Sicherheit des Dienstes und für die Besucher unserer eigenen Website.
• Wir sind Auftragsverarbeiter für Inhalte, die du bzw. dein Workspace in LabelRally speichert (z. B. Daten zu Künstlern, Team-Mitgliedern, Releases, Dateien) und für die Fan-E-Mail-Liste auf Smart Links. Verantwortlich für diese Daten ist der jeweilige Workspace-Owner (z. B. das Label). Dafür gilt unser Auftragsverarbeitungsvertrag: [Link/Anlage AVV].

3. Nutzerkonto und App

• Kontodaten: E-Mail-Adresse, Name, Passwort (nur als Hash beim Authentifizierungsdienst), Sprache, Darstellung, optional Profilbild, Benachrichtigungseinstellungen.
• Workspace-Inhalte: Künstler, Releases, Tracks, Kalender, Aufgaben und Kommentare (inkl. @Erwähnungen), Kampagnen und Budgets, Social-Media-Planung, Designs aus dem Content Studio, hochgeladene Dateien, Marketingplan-Vorlagen, Statistiken.
• Protokolle: Aktivitätsprotokoll im Workspace (wer hat was geändert), technische Protokolle ohne Inhaltsdaten.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Sicherheit und Missbrauchsabwehr unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

4. E-Mails

Wir senden Transaktions-E-Mails, die für den Dienst nötig sind: Kontobestätigung, Passwort-Zurücksetzen, Team-Einladungen, Erinnerungen an Fälligkeiten, Benachrichtigungen bei @Erwähnungen, Hinweise zur Abrechnung (z. B. fehlgeschlagene Zahlung) und Antworten auf Support-Anfragen. Erinnerungen und Erwähnungs-E-Mails kannst du in den Kontoeinstellungen abschalten. Produkt-News senden wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

5. Abrechnung

Bezahlte Tarife wickelt Stripe ab. Dabei verarbeitet Stripe Name, E-Mail-Adresse, Rechnungsadresse, ggf. USt-IdNr. und Zahlungsdaten; die Umsatzsteuer wird anhand der Rechnungsadresse berechnet. Kartennummern und Bankdaten werden ausschließlich von Stripe verarbeitet und nicht bei uns gespeichert. Wir speichern Tarif, Abo-Status, Preis, Abrechnungszeitraum und die Stripe-Kunden-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuerliche Aufbewahrungspflichten).

6. KI-Schreibhilfe

Wenn du die KI-Schreibhilfe nutzt, senden wir deine Eingaben (z. B. Anweisungen) und die dafür nötigen Release- bzw. Künstlerangaben (Titel, Namen, Genre, Datum) an Anthropic (Claude API), um einen Textvorschlag zu erzeugen. Wir speichern nur, dass und wann ein Text erzeugt wurde (für das monatliche Kontingent), nicht den Text selbst. [Angaben des Anbieters zu Speicherdauer und Nutzung für Training prüfen und hier einsetzen.] Die Funktion wird nur genutzt, wenn du sie aktiv aufrufst. Bitte gib dort keine sensiblen Daten Dritter ein.

7. Streaming-Statistiken

Für YouTube-Statistiken fragen wir über die YouTube Data API (Google) öffentliche Aufruf- und Abonnentenzahlen zu den Video- und Kanal-Links ab, die du hinterlegt hast. Dabei werden keine Daten deines Kontos an Google übermittelt. CSV-Dateien (z. B. aus Spotify for Artists) werden nur in deinem Workspace gespeichert.

8. Öffentliche Seiten: Smart Links und Link-in-Bio

Workspaces können öffentliche Seiten zu Releases und Künstlern veröffentlichen. Für Besucher dieser Seiten gilt:

• Es werden keine Cookies gesetzt und keine Tracking-Dienste Dritter eingebunden.
• Wir zählen Seitenaufrufe und Klicks auf die Buttons nur als Tagessummen ohne Personenbezug. Zur Abwehr von Missbrauch und Bots wird die IP-Adresse kurzzeitig verarbeitet und in einen nicht umkehrbaren, gesalzenen Hash umgerechnet; dieser dient nur der Begrenzung von Anfragen und wird nach spätestens 2 Tagen gelöscht.
• Klicks auf die Links führen zu den jeweiligen Diensten (z. B. Spotify, Apple Music); dort gelten deren Datenschutzerklärungen.

Rechtsgrundlage: berechtigtes Interesse an einem sicheren Betrieb und an anonymen Reichweitenzahlen (Art. 6 Abs. 1 lit. f DSGVO).

9. Fan-E-Mail-Liste auf Smart Links

Wenn sich Fans auf einem Smart Link für E-Mail-Neuigkeiten anmelden, ist der jeweilige Workspace (z. B. das Label) Verantwortlicher; dessen Datenschutzerklärung ist im Formular verlinkt. LabelRally verarbeitet die Daten im Auftrag: E-Mail-Adresse, Sprache, Zeitpunkt sowie den Wortlaut der Einwilligung. Die Anmeldung wird per Bestätigungs-E-Mail bestätigt (Double-Opt-in). Nicht bestätigte Anmeldungen löschen wir nach 7 Tagen, Abmeldungen nach 90 Tagen. LabelRally selbst versendet an diese Adressen außer der Bestätigungs-E-Mail nichts; der Workspace kann die bestätigten Adressen exportieren. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar über den Abmeldelink.

10. Support-Anfragen

Wenn du uns über das Kontaktformular, den Bereich „Hilfe & Support“ oder per E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse, ggf. deinen Namen, Thema, Betreff und Nachrichten, um die Anfrage zu beantworten. Anfragen werden 24 Monate nach der letzten Aktivität gelöscht, Anfragen mit Nutzerkonto spätestens mit der Kontolöschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bei Fragen zum Vertrag) bzw. lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

11. Cookies

LabelRally verwendet nur technisch notwendige Cookies:

• Anmelde-Session des Authentifizierungsdienstes (nur wenn du angemeldet bist)
• lf_locale (Sprache), lf_theme (hell/dunkel), lf_ws (zuletzt geöffneter Workspace)

Es werden keine Analyse- oder Marketing-Cookies eingesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b bzw. f DSGVO. Sollte sich das ändern, holen wir vorher deine Einwilligung ein.

12. Empfänger und Auftragsverarbeiter

• [Supabase Inc.] – Datenbank, Anmeldung, Dateispeicher. Region: [z. B. EU (Frankfurt)]. AVV: [Datum]
• [Hosting-Anbieter, z. B. Vercel Inc.] – Betrieb der Webanwendung. AVV: [Datum]
• Stripe Payments Europe Ltd. – Zahlungsabwicklung, Rechnungen, Steuerberechnung
• [Resend] – Versand der E-Mails
• Anthropic – KI-Schreibhilfe (nur bei Nutzung, siehe Abschnitt 6)
• Google – YouTube Data API (nur öffentliche Video-/Kanal-IDs, siehe Abschnitt 7)

Für Übermittlungen in Drittländer (insbesondere USA) stützen wir uns auf [Angemessenheitsbeschluss / EU-US Data Privacy Framework / EU-Standardvertragsklauseln – je Anbieter prüfen und eintragen].

13. Speicherdauer

• Kontodaten und Workspace-Inhalte: bis zur Löschung des Kontos bzw. Workspaces.
• Papierkorb (Releases, Künstler): 30 Tage, danach endgültige Löschung.
• Gelöschte Workspaces: 30 Tage Wiederherstellungsfrist, danach endgültige Löschung inkl. Dateien.
• Gelöschte Dateien: Entfernung aus dem Speicher nach 7 Tagen.
• Fan-E-Mail-Liste: unbestätigt 7 Tage, abgemeldet 90 Tage, bestätigt bis zur Abmeldung oder Löschung durch den Workspace.
• Support-Anfragen: 24 Monate nach der letzten Aktivität.
• Missbrauchsschutz (gehashte Zähler): höchstens 2 Tage.
• Rechnungsdaten: gesetzliche Aufbewahrungsfristen (bis zu 10 Jahre) – bei Stripe.
• Backups: [Aufbewahrungsdauer der Datenbank-Backups beim Hoster einsetzen].

14. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Einen Datenexport und die Löschung deines Kontos kannst du direkt in den Kontoeinstellungen auslösen. Für Daten, die ein Workspace verantwortet (z. B. Fan-Liste), wende dich bitte an den Workspace-Owner; wir leiten Anfragen weiter. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. [zuständige Behörde am Sitz des Verantwortlichen].

Kontakt: Kontaktformular oder [datenschutz@deine-domain.de].

15. Sicherheit

Übertragung ausschließlich per HTTPS, Zugriffskontrolle auf Datenbankebene (Row Level Security) mit strikter Trennung der Workspaces, private Dateispeicher mit zeitlich begrenzten Download-Links, gehashte Tokens für Bestätigungslinks. Technische Maßnahmen allein garantieren keine vollständige Rechtskonformität; organisatorische Maßnahmen und Verträge sind gesondert zu prüfen.

16. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du auf dieser Seite.