Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Timbre verarbeitet – auf timbremusic.app (samt den Seiten für Registrierung und Anmeldung) und über timbremusic, die Desktop- und iOS-App –, wozu, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlich im Sinne der DSGVO

Dominik Steffan Music, Dominik Steffan, Georg-Schwarz-Str. 169, 04179 Leipzig, Deutschland. Anfragen zum Datenschutz: hello@timbremusic.app.

2. Was Timbre tut

Timbre vermisst Musiktracks (zum Beispiel Energie, Tempo, Tonart, Genres, Stimmung) und zeigt die Messwerte in deiner Library. Musik speichert Timbre nie dauerhaft: Eine Audiodatei liegt nur für die Messung kurz auf dem Server und wird danach gelöscht. Gespeichert werden Messwerte, akustische Fingerabdrücke, die Namen der Tracks (Artist, Titel, Album, Jahr) und – wenn du einen Onlinespeicher verbindest – die Dateiliste dieses Speichers.

Musik kommt auf zwei Wegen zu Timbre:

timbremusic gleicht die Files auf deinem Rechner mit dem Katalog ab. Die Files bleiben auf deinem Gerät; nur Tracks, die der Katalog noch nicht kennt, lädt die App nach deiner Bestätigung zur Messung hoch (Abschnitt 4).
Verbindest du einen Onlinespeicher, liest Timbre dort Dateien für den Abgleich, analysiert auf deinen Wunsch, was der Katalog noch nicht kennt, und reicht Tracks beim Abspielen an dich durch (Abschnitt 9).

Die iOS-App timbremusic nutzt dein Timbre-Konto und dieselben Daten wie die Website und ergänzt einen nativen Player, Widgets, Siri-Kurzbefehle und CarPlay. Die App selbst erhebt keine weiteren Daten, setzt keine Werkzeuge Dritter ein und sendet nur, was die Website sendet. Titel, Artist und Cover des laufenden Tracks gibt die App an iOS weiter, damit iOS diese Angaben auf dem Sperrbildschirm, in Widgets und in CarPlay zeigt. Was Apple beim Laden aus dem App Store verarbeitet, regelt die Datenschutzerklärung von Apple.

Die Mac-App timbremusic nutzt ebenfalls dein Timbre-Konto. Die App liest nur die Musikordner und die Rekordbox-XML, die du selbst auswählst. Zum Abgleich sendet die App je Track einen akustischen Fingerabdruck (eine Zahlenfolge, aus der sich der Ton nicht zurückgewinnen lässt), die Dauer, eine zufällige Track-Kennung der App und die gelesenen Tags (zum Beispiel Titel, Artist, Album, Genre und Kommentar) an Timbre, nie Dateinamen oder Pfade. Eine Audiodatei lädt die App nur hoch, wenn du es nach der Vorschau bestätigst – dann zur Analyse wie ein Upload über die Website (Abschnitt 4), zusammen mit Dateigröße, Dateiendung und einer Prüfsumme der Datei. Dateipfade und die Zuordnung von Track zu Datei bleiben auf deinem Mac.

3. Hosting und wer Daten erhält

Timbre läuft auf einem eigenen Server bei der Hetzner Online GmbH in Deutschland. Website, Anmeldedienst, Autorisierungsdienst, Analyse und Datenbank laufen alle auf diesem Server. Messwerte und Kontodaten werden nicht verkauft, nicht für Werbung genutzt und nicht an Dritte weitergegeben – mit den Ausnahmen, die in den Abschnitten 5 (Mails des Anmeldedienstes), 7 (Nachricht zur Freischaltung), 15 (E-Mail) und 16 (Spenden) stehen.

Mails von Timbre gehen über unser Postfach bei der Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias (Genf), Schweiz. Infomaniak verarbeitet dabei Empfängeradresse und Inhalt der Mail in unserem Auftrag; mit Infomaniak besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der Bestandteil der Nutzungsbedingungen von Infomaniak ist. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

4. Audiodateien aus der App

Lädt die App einen Track zur Messung hoch, prüft der Server zuerst, ob die Datei zum mitgeschickten Fingerabdruck passt, und legt die Datei unter einem zufälligen Namen im Arbeitsordner des Servers ab (auf der Festplatte). Kennt der Katalog den Track schon, wird die Datei sofort gelöscht. Sonst wird die Datei gemessen und gleich danach gelöscht – auch wenn die Messung scheitert oder du dein Konto vorher löschst. Eine stündliche Prüfung löscht außerdem jede Datei im Arbeitsordner, die älter als 24 Stunden ist. Gelöscht heißt: Die Datei ist aus dem Ordner entfernt; der belegte Platz wird nicht eigens überschrieben. Audio wird nie dauerhaft gespeichert, nicht angehört und nicht weitergegeben.

Zu jedem Upload entsteht eine Auftragszeile mit Zeitpunkten, Größe der Datei, Status, gegebenenfalls dem Fehlertext der Messung, dem Fingerabdruck und der Dauer. Die Tags, die die App mitschickt (Artist, Titel, Album, Jahr), liegen bis zum Ende der Messung beim Auftrag und gehen dann in deine Library über. Die Auftragszeilen bleiben bei deinem Konto, bis du das Konto löschst, und stehen im Datenexport. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

5. Registrierung und Anmeldung

Anmeldedienst. Für Registrierung und Anmeldung betreiben wir einen eigenen Anmeldedienst (Ory Kratos, Open-Source-Software) auf unserem Server in Deutschland; die Seiten dazu liegen unter timbremusic.app. Der Anmeldedienst speichert in einer eigenen Datenbank: deine E-Mail-Adresse und deren Bestätigungsstand, die Sprache für Mails, einen Anzeigenamen (nur wenn du einen angibst), die Anmeldewege deines Kontos (unten), den Zeitpunkt deiner Zustimmung zu AGB und Datenschutzerklärung mit den Fassungen, gegebenenfalls den Hinweis auf eine persönliche Einladung, deine Sitzungen (Zeitpunkt der Anmeldung, benutzte Anmeldewege, Gerät und Browser laut Kennung des Browsers, IP-Adresse) und die Mails, die der Dienst an dich verschickt (unten, „Mails des Anmeldedienstes“).

Autorisierungsdienst. Für die Anmeldung bei Timbre selbst und bei timbremusic betreiben wir außerdem einen eigenen Autorisierungsdienst (Ory Hydra, Open-Source-Software) auf demselben Server. Der Autorisierungsdienst speichert, wann du dich bei welcher Timbre-Anwendung angemeldet hast, die Kennung deines Kontos, deine E-Mail-Adresse, ob die Adresse bestätigt ist, deine Sprache, Zeitpunkt und Art deiner Anmeldung sowie die Zugangsschlüssel (Tokens), die eine App für dich nutzt. Zugriffs-Tokens gelten höchstens 15 Minuten, Aktualisierungs-Tokens höchstens 30 Tage; abgelaufene Einträge löscht ein täglicher Lauf nach weiteren 7 Tagen. Meldest du dich ab, nutzt du „Überall sonst abmelden“, schaltest du den Konto-Schutz ein oder löschst du dein Konto, widerrufen wir diese Tokens sofort. Für Timbres eigene Anwendungen fragt der Autorisierungsdienst nicht eigens nach einer Einwilligung; andere Anwendungen gibt es dort nicht.

Registrierung. Ein Konto entsteht nur mit einer bestätigten Adresse: Du gibst deine Adresse ein und bestätigst die Adresse mit einem Code, den wir an diese Adresse schicken. Einen Passkey oder ein Passwort legst du erst danach an. Gibt es zu der Adresse schon ein Konto, zeigt Timbre dieselbe Seite wie bei einer neuen Adresse und schickt an die Adresse eine Mail „Du hast schon ein Konto – melde dich mit diesem Code an“; so lässt sich über die Registrierung nicht herausfinden, ob eine Adresse bei Timbre ist. Ein neues Konto, dessen Adresse nie bestätigt wurde, löscht ein Lauf nach 7 Tagen.

Anmeldewege. Du nutzt einen oder mehrere:

Code per Mail: Wir schicken dir einen sechsstelligen Code, der 15 Minuten gilt. Der Anmeldedienst prüft den Code gegen einen Hash; die Mail selbst (mit Code) liegt außerdem im Versandprotokoll (unten).
Passkey: Dein Gerät erzeugt ein Schlüsselpaar. Der geheime Schlüssel bleibt auf deinem Gerät oder in deinem Passwort-Manager; wir speichern den öffentlichen Schlüssel, eine Kennung des Schlüssels, die Kennung des Gerätetyps, die dein Gerät mitschickt (AAGUID – diese Kennung kann verraten, welche Art Gerät oder Passwort-Manager du nutzt), einen Namen (zum Beispiel „MacBook · Safari“) und Zeitpunkte. Fingerabdruck, Gesichtsbild oder PIN deines Geräts erhalten wir nie – diese Prüfung findet nur auf deinem Gerät statt.
Passwort (freiwillig): Wir speichern nur einen Hash des Passworts, nie das Passwort selbst.

Gleiche Antworten während der Anmeldung. Damit Anmelden und Registrieren für bekannte und unbekannte Adressen gleich aussehen, merkt sich unser Server während des Code-Schritts höchstens 1 Stunde lang: einen verschlüsselten Hashwert der Kennung dieses Anmeldeversuchs (HMAC mit geheimem Schlüssel), die eingegebene Adresse und die Zahl der Versuche. Danach löschen wir den Eintrag.

Zweiter Faktor (freiwillig). Du kannst dein Konto zusätzlich schützen:

Authenticator-App (TOTP): Wir erzeugen einen geheimen Schlüssel, den du per QR-Code, Link oder Kopieren in deine App überträgst. Der Anmeldedienst speichert den Schlüssel, solange die App verbunden ist. Die App wählst du selbst; die App schickt uns keine Daten – du gibst nur die sechsstelligen Codes ein.
Wiederherstellungscodes: zwölf Einmal-Codes für den Fall, dass dein Gerät weg ist. Wir speichern die Codes nur als Hash und merken uns, welche benutzt sind. Angezeigt werden die Codes einmal beim Einrichten; die Datei zum Herunterladen erzeugt dein Browser, ohne Umweg über unseren Server.
Ein Passkey zählt ebenfalls als zweiter Faktor.

Timbre speichert dazu bei deinem Konto: ob und seit wann der Schutz eingeschaltet ist und an welchem Schritt du die Einrichtung unterbrochen hast. Ist der Schutz eingeschaltet, fragen wir nach einer Anmeldung per Code oder Passwort nach dem zweiten Faktor. Für die Verwaltung von Timbre ist der Schutz Pflicht.

Zustimmung bei der Registrierung. Mit dem Pflicht-Häkchen stimmst du den AGB und dieser Erklärung zu. Das Häkchen prüft unser Server beim Anlegen des Kontos; der Anmeldedienst speichert dazu den Zeitpunkt (Serverzeit) und die Fassungen von AGB und Datenschutzerklärung. Wann Timbre diesen Zeitpunkt übernimmt, steht in Abschnitt 6.

Mails des Anmeldedienstes. Codes und Hinweise (Registrierung, Anmeldung, Bestätigung der Adresse, Zugang wiederherstellen) verschickt der Anmeldedienst über unser Postfach bei Infomaniak (Abschnitt 3). Jede Mail liegt danach im Versandprotokoll des Anmeldedienstes, und zwar vollständig: Empfängeradresse, Betreff und Text mit dem Code im Klartext, dazu die Daten, aus denen die Mail erzeugt wurde – eine Kopie deines Kontos beim Anmeldedienst zum Zeitpunkt der Mail (unter anderem Adresse, Bestätigungsstand, Sprache, interne Kennung) – und die Kopfzeilen der Anfrage, die die Mail ausgelöst hat (unter anderem die Kennung deines Browsers). Ein Code gilt nur 15 Minuten und nur einmal; trotzdem bleibt der Eintrag bis zum Löschen lesbar. Diese Einträge löscht ein eigener Lauf nach 24 Stunden. Löschst du dein Konto, löschen wir die Einträge zu deiner Adresse sofort mit.

Schutz vor zu vielen Mails. Damit niemand über Timbre massenhaft Mails auslöst, zählt unser Server die Code-Anforderungen: je Adresse und je Netz, aus dem die Anforderung kommt (IPv4-Adresse, bei IPv6 der Netzanteil /64 und /48). Gespeichert wird dafür nur ein verschlüsselter Hashwert (HMAC mit geheimem Schlüssel) der Adresse bzw. des Netzes und der Zeitpunkt, höchstens 24 Stunden. Zusätzlich zählen wir, wie viele Mails insgesamt je Stunde und je Tag rausgehen – nur Zeitpunkt und Art der Mail, ohne Bezug zu einer Person, höchstens 24 Stunden.

Schutz vor zu vielen Versuchen und Protokolle. Zu viele Aufrufe der Anmeldeseiten aus demselben Netz in kurzer Zeit weist unser Webserver vorübergehend ab; dafür hält der Webserver die IP-Adresse (bei IPv6 den Netzanteil) im Arbeitsspeicher. Einen Code kannst du je Anmeldeversuch höchstens fünfmal eingeben. Unser Webserver protokolliert Aufrufe der Anmeldeseiten mit IP-Adresse, Zeitpunkt, aufgerufener Seite, Statuscode und Datenmenge (ohne Parameter, Formularinhalte und Kennungen der Anmeldeversuche); diese Protokolle löschen wir nach 7 Tagen. Auch der Anmelde- und der Autorisierungsdienst protokollieren, aber nur Warnungen und Fehler (ohne Formularinhalte, Codes oder Tokens; dabei kann eine IP-Adresse oder Browser-Kennung stehen); diese Protokolle leeren wir spätestens nach 7 Tagen.

Zweck und Rechtsgrundlage. Registrierung, Anmeldung, Anmeldewege, zweiter Faktor, Sitzungen, Tokens der App und Mails des Anmeldedienstes brauchen wir, um dir ein Konto bereitzustellen und das Konto zu schützen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Schritte vor dem Vertrag auf deine Anfrage). IP-Adressen in Sitzungen, Protokollen und Grenzen für zu viele Versuche, die Zählung der Code-Anforderungen, die gleichen Antworten während der Anmeldung, das Versandprotokoll und die Sperrliste nach dem Löschen (Abschnitt 12) verarbeiten wir zum Schutz vor Missbrauch und zur Fehlersuche bei der Zustellung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst).

Speicherdauer. Anmeldewege, zweiter Faktor, Adresse, Anzeigename und Zustimmung bleiben, solange dein Konto besteht; einen entfernten Passkey, eine getrennte Authenticator-App oder ersetzte Wiederherstellungscodes löschen wir sofort. Sitzungen enden spätestens 14 Tage nach der letzten Nutzung, spätestens 90 Tage nach der Anmeldung, oder mit dem Abmelden; ein täglicher Lauf löscht abgelaufene Sitzungen und abgelaufene Anmeldeversuche nach weiteren 7 Tagen. Tokens der App: siehe „Autorisierungsdienst“. Das Versandprotokoll (Mails samt Code) löscht ein eigener Lauf nach 24 Stunden, bei Löschung des Kontos sofort.

Gerätenamen und Sitzungen siehst du im Konto unter „Konto und Sicherheit“; dort kannst du Passkeys entfernen, die Authenticator-App trennen, Wiederherstellungscodes neu erzeugen und Geräte abmelden. Einen Ort zeigen wir dort nicht und ermitteln auch keinen.

Umzug bestehender Konten. Mit dieser Fassung (Stand oben) sind wir von unserem bisherigen Anmeldedienst (Authentik, ebenfalls auf unserem Server) auf den neuen umgezogen. Übernommen haben wir alle bestehenden Konten, auch solche mit noch unbestätigter Adresse, je Konto: E-Mail-Adresse, Bestätigungsstand, Sprache, gegebenenfalls den Hinweis auf eine Einladung und die bisherige Kennung (damit dein Timbre-Konto zugeordnet bleibt). Passwörter haben wir nicht übernommen. Freischaltung, Zustimmung, Kontingent und Library bleiben unverändert. War deine Adresse noch nicht bestätigt, bestätigst du die Adresse mit dem ersten Code, mit dem du dich anmeldest. Über den Umzug haben wir alle Konten vorab per Mail informiert. Eine Installation von timbremusic, die noch beim bisherigen Anmeldedienst angemeldet ist, funktioniert bis zum Abbau der bisherigen Kennung weiter. Die bisherige Kennung löschen wir 4 Wochen nach dem Umzug, in Timbre und beim Anmeldedienst; das bisherige Anmeldekonto löschen wir ebenfalls 4 Wochen nach dem Umzug. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

6. Dein Konto in Timbre

Bei der ersten Anmeldung legt Timbre dein Konto an. Dazu speichern wir: die Kennung aus dem Anmeldedienst, deine E-Mail-Adresse, ob die Adresse bestätigt ist, wann das Konto angelegt wurde und wann du zuletzt zugegriffen hast, dein Kontingent (genutzte Analysen und gegebenenfalls eine eigene Grenze), ob du deine Analysen teilst (Abschnitt 10), dein gewähltes Erscheinungsbild, den Stand der Freischaltung (Abschnitt 7), den Stand des Konto-Schutzes (Abschnitt 5) und, welcher Fassung von AGB und Datenschutzerklärung du wann zugestimmt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Zustimmung aus der Registrierung

Den Zeitpunkt, zu dem du bei der Registrierung mit dem Pflicht-Häkchen zugestimmt hast (Abschnitt 5), übernimmt Timbre erst, wenn dein Konto freigeschaltet ist, und nur, wenn der Zeitpunkt in die Zeit fällt, in der die dann geltenden Fassungen von AGB und Datenschutzerklärung gelten, und höchstens 25 Stunden vor dem Anlegen deines Kontos in Timbre liegt. Dann speichert Timbre die beiden Fassungen und diesen Zeitpunkt. Andernfalls fragt Timbre dich nach der Freischaltung noch einmal ausdrücklich, und es gilt der Zeitpunkt deines Klicks. Bei einer neuen Fassung der AGB fragt Timbre ebenfalls erneut und nennt, was sich geändert hat.

Löschst du dein Konto, behält Timbre für 50 Stunden einen Merker: einen Hashwert (SHA-256, nicht umkehrbar) deiner Kennung aus dem Anmeldedienst und den Zeitpunkt des Löschens – keine E-Mail-Adresse und keine Kennung im Klartext. Zweck: Eine Zustimmung aus einer früheren Registrierung soll nicht für ein neu angelegtes Konto gelten. Da wir beim Löschen auch dein Konto beim Anmeldedienst löschen und ein neues Konto dort eine neue Kennung bekommt, ist der Merker nur eine zusätzliche Sicherung. Nach 50 Stunden hat der Merker keine Wirkung mehr und wird beim nächsten Aufräumen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Nachweis, welchen Bedingungen du zugestimmt hast).

7. Neue Konten

Ein neues Konto schaltet Timbre automatisch frei, sobald deine E-Mail-Adresse bestätigt ist, und gibt dem Konto ein Kontingent an Analysen. Von Hand prüfen wir ein Konto nur noch in zwei Fällen: wenn die Tagesobergrenze für neue Konten erreicht ist (dann wartet das Konto, bis Timbre es später automatisch freischaltet oder wir es von Hand tun) und wenn wir ein Konto im Nachhinein sperren. Solange ein Konto wartet oder gesperrt ist, kannst du dich anmelden, Hilfe und Rechtstexte lesen, die Live-Demo nutzen, deine Daten herunterladen, einen schon verbundenen Onlinespeicher trennen und dein Konto löschen; alles andere ist gesperrt. Ein neues Konto, das auf die Freischaltung wartet, enthält nur die Angaben aus Abschnitt 6 – noch ohne Zustimmung – und die Sprache, in der du die Warteseite gesehen hast.

Zur Entscheidung speichern wir den Stand (wartet, freigeschaltet, nicht freigeschaltet), den Zeitpunkt der Entscheidung und gegebenenfalls eine kurze interne Notiz (höchstens 500 Zeichen). Jede Entscheidung steht außerdem in einem Protokoll: wann welches Konto der Verwaltung welches Konto freigeschaltet, nicht freigeschaltet oder zurückgestellt hat, mit den E-Mail-Adressen beider Konten, der Notiz und dem Stand der Nachricht dazu (unten). Auch eine geänderte Analysegrenze steht dort, ebenso die Schritte, die Timbre selbst ausführt (unten).

Zweck: Kontingent, Tagesobergrenze und die Möglichkeit, ein Konto zu sperren, schützen den Dienst vor Missbrauch und begrenzen die Rechenzeit für Analysen. Automatisch schaltet Timbre nur frei; ob ein Konto nicht freigeschaltet oder gesperrt wird, entscheidet ein Mensch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO gibt es nicht. Drei Regeln wendet Timbre von selbst an: Ein neues Konto mit bestätigter E-Mail-Adresse ist freigeschaltet, solange die Tagesobergrenze nicht erreicht ist. Ein Konto, das über eine persönliche Einladung entsteht, ist sofort freigeschaltet. Und ein Konto, das unter einer schon abgelehnten Adresse oder Kennung neu entsteht, übernimmt diese Entscheidung (nächster Absatz). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Schritte vor dem Vertrag auf deine Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem geordneten, sicheren Start und an nachvollziehbaren Entscheidungen).

Vermerk nach einer Ablehnung. Haben wir ein Konto nicht freigeschaltet oder eine Freischaltung zurückgenommen und löschst du das Konto danach, behalten wir einen Vermerk: einen verschlüsselten Hashwert (HMAC-SHA-256 mit einem geheimen Schlüssel, der nicht in der Datenbank liegt) deiner E-Mail-Adresse (klein geschrieben) mit dem Zeitpunkt der Entscheidung, dazu einen Hashwert (SHA-256, nicht umkehrbar) der Kennung aus dem Anmeldedienst mit dem Zeitpunkt der Entscheidung und der internen Notiz – keine E-Mail-Adresse und keine Kennung im Klartext. Legst du mit derselben Adresse ein neues Konto an, beginnt das neue Konto als nicht freigeschaltet. Zweck: Eine Entscheidung soll sich nicht durch Löschen und neues Registrieren umgehen lassen. Wir löschen den Vermerk spätestens 12 Monate nach der Entscheidung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Du kannst dieser Speicherung widersprechen (Art. 21 DSGVO); schreib dazu an hello@timbremusic.app.

Onlinespeicher und Uploads. Zugangsdaten eines Onlinespeichers, die zu einem nicht (mehr) freigeschalteten Konto gehören, verwendet Timbre nicht; der Abgleich ruht, und vorgemerkte Analysen aus dem Speicher werden abgebrochen. Uploads eines solchen Kontos werden nicht gemessen und nach 24 Stunden gelöscht (Abschnitt 4).

Benachrichtigung. Schalten wir dein Konto von Hand frei oder nicht frei, schickt Timbre dir dazu eine Mail – nur an eine bestätigte Adresse, in der Sprache, in der du die Warteseite gesehen hast (sonst auf Deutsch und Englisch). Die interne Notiz steht nie in der Mail. Über neue Konten, die auf die Freischaltung warten, bekommt die Verwaltung von Timbre eine Sammelmail mit E-Mail-Adresse, Zeitpunkt des Anlegens und Bestätigungsstand je Konto. Beide Mails gehen über unser Postfach bei Infomaniak (Abschnitt 3). Den Stand deines Kontos siehst du außerdem nach dem Anmelden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Schritte vor dem Vertrag auf deine Anfrage).

Löschung. Löschst du dein Konto, löschen wir Stand, Zeitpunkt und Notiz mit dem Konto – bis auf den Vermerk nach einer Ablehnung. Im Protokoll bleiben Zeitpunkt, Art der Entscheidung, die Nummer des Kontos und die Notiz stehen, damit Entscheidungen nachvollziehbar bleiben; die E-Mail-Adressen entfernen wir daraus. Eine feste Frist für das Löschen dieser Zeilen gibt es derzeit nicht. Ein Konto, das nicht freigeschaltet wurde, bleibt mit den genannten Angaben bestehen, bis du das Konto löschst. Die interne Notiz steht nicht im Datenexport; auf Anfrage teilen wir dir die Notiz mit (Art. 15 DSGVO).

8. Deine Library

Für jeden Track deiner Library speichern wir: eine Kennung, die die App oder der Onlinespeicher vergibt, den Bezug zum Track im Katalog (mit akustischem Fingerabdruck, Dauer und Messwerten), die Namen aus den Tags (Artist, Titel, Album, Jahr) und wann der Track dazukam. Beim Abgleich schickt die App für jeden Track Fingerabdruck, Dauer und Tags. Dateipfade von deinem Rechner speichern wir nicht. Für einen Onlinespeicher, den du selbst verbindest, speichern wir die Pfade, weil Timbre die Dateien dort sonst nicht wiederfindet (Abschnitt 9). Tracks kannst du jederzeit aus deiner Library entfernen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Rekordbox-Import

Wenn du Daten aus Rekordbox übernimmst, liest dein Browser deine Rekordbox-XML-Datei auf deinem Gerät. Die Datei wird nicht an uns übertragen. An uns übertragen und in deinem Konto gespeichert werden nur Werte zu den Tracks, die wir deiner Library zuordnen konnten: die Kennung des Tracks in Rekordbox, Cue-Punkte (Art, Nummer, Zeit, Farbe, Name), Beatgrid-Anfang, Tempo und Tonart aus Rekordbox, dazu Zähler des Imports ohne Namen (zum Beispiel wie viele Tracks erkannt wurden). Nur wenn du es ausdrücklich auswählst, speichern wir zusätzlich Wiedergabezähler, Bewertung, Farbe und Kommentar. Dateipfade, Ordner-, Geräte- und Benutzernamen sowie Tracks ohne Gegenstück in deiner Library speichern wir nicht. Zweck ist die Anzeige dieser Werte in Timbre (Cues im Titelblatt, Liste „Uneinigkeit“, Filter). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die ausdrücklich ausgewählten Angaben Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst, indem du diese Angaben unter „Import → Rekordbox“ löschst. Ein neuer Import ersetzt alle zuvor übernommenen Rekordbox-Daten; deine Urteile in der Liste „Uneinigkeit“ bleiben. Die Daten bleiben gespeichert, bis du die Daten oder dein Konto löschst. Nur wenn du in der Liste „Uneinigkeit“ ausdrücklich zustimmst (Art. 6 Abs. 1 lit. a DSGVO), verwenden wir deine Urteile zu abweichenden Tempo- und Tonart-Werten ohne Track-Namen und ohne Bezug zu deinem Konto, um unsere Messung zu verbessern; nimmst du das Häkchen heraus, fließen die Urteile nicht mehr ein.

9. Onlinespeicher

Du kannst einen eigenen Onlinespeicher verbinden (WebDAV, zum Beispiel ein NAS oder eine Cloud). Das ist freiwillig. Wer deinen Speicher betreibt, verarbeitet die Daten dort in eigener Verantwortung. Timbre liest in deinem Speicher nur; es wird dort nichts geschrieben, verschoben oder gelöscht. Pfade, Dateinamen und Zugangsdaten bleiben bei deinem Konto und gehen weder in den geteilten Katalog noch an andere Konten. Rechtsgrundlage für alles in diesem Abschnitt: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Zähler gegen Missbrauch Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Verbinden und Zugangsdaten

Wir speichern die Adresse des Speichers, den Benutzernamen, das Passwort, den Startordner und die Art der Auflistung. Das Passwort liegt nur verschlüsselt in der Datenbank (AES-256-GCM); der Schlüssel liegt getrennt von der Datenbank. Das Passwort steht in keiner Antwort, keinem Datenexport und keinem Protokoll. Vor dem Verbinden testet Timbre die Verbindung; das Ergebnis des Tests (ohne Passwort) bleibt bis zu fünf Minuten im Arbeitsspeicher des Servers.

Abgleich

Timbre gleicht deinen Speicher regelmäßig mit dem Katalog ab und nimmt erkannte Tracks in deine Library auf. Dafür speichern wir die Dateiliste der Audiodateien mit Pfad, Größe, Änderungsdatum und Kennung der Dateifassung (ETag), je Datei das Ergebnis des Abgleichs, die Zahl der Versuche und den Zeitpunkt der letzten Prüfung, dazu den Stand des Abgleichs (Zustand, Zähler, Zeitpunkte, gegebenenfalls ein Hinweis auf einen Fehler und die Stelle, an der der nächste Durchgang weitermacht). Von jeder Datei holt Timbre den Anfang, im Einzelfall die ganze Datei, berechnet daraus den akustischen Fingerabdruck und verwirft die Daten sofort wieder. Die geholten Daten liegen dabei nur im Arbeitsspeicher des Servers, nicht auf der Festplatte. Die Namen eines erkannten Tracks übernimmt Timbre aus den Tags der Datei; fehlt der Titel, steht dort der Dateiname.

Unbekannte Dateien analysieren

Dateien, die der Katalog noch nicht kennt, analysiert Timbre nur, wenn du das auslöst: mit dem Knopf „Unbekannte analysieren“ oder indem du „Neue Dateien künftig automatisch analysieren“ einschaltest (Vorgabe: aus). Ohne diesen Klick holt Timbre von solchen Dateien nur den Anfang für den Abgleich.

Der Klick merkt die Dateien zunächst nur vor. Danach holt der Server die vorgemerkten Dateien einzeln und jeweils ganz aus deinem Speicher – eine Datei erst kurz bevor die Messung an der Reihe ist. Die Kopie liegt für die Dauer der Messung im Arbeitsordner des Servers (auf der Festplatte) unter einem zufälligen Namen ohne Bezug zu deinem Dateinamen und wird gleich nach der Messung gelöscht – auch wenn die Messung scheitert, wenn du abbrichst, den Speicher trennst oder dein Konto löschst. Große WAV- und AIFF-Dateien wandelt der Server vorher verlustfrei in FLAC um; diese Fassung wird ebenso gelöscht. Scheitert ein Versuch, holt der Server die Datei erneut, höchstens dreimal. Von allen Konten zusammen warten höchstens zwei geholte Dateien auf die Messung, je Konto eine. Wartet eine geholte Datei länger als zwei Stunden, wird die Kopie gelöscht und die Datei später neu geholt; hängt eine Messung länger als 90 Minuten, wird die Messung abgebrochen und die Kopie gelöscht. Beim Start des Dienstes und laufend im Betrieb entfernt der Server jede Kopie, die zu keiner laufenden Messung gehört.

Gespeichert wird wie bei einem Upload aus der App: Fingerabdruck, Dauer und Messwerte des Tracks, dazu in deiner Library Artist, Titel, Album und Jahr aus den Tags der Datei. Fehlen Artist und Titel in den Tags, nimmt Timbre beide aus dem Dateinamen – aber nur, wenn der Dateiname eindeutig die Form „Artist - Titel“ hat. Je Datei merkt sich Timbre außerdem, ob und seit wann die Datei vorgemerkt ist, wie oft der Abruf versucht wurde und woran die Analyse gegebenenfalls gescheitert ist (zum Beispiel „zu groß“). Zu jeder Analyse gibt es eine Auftragszeile wie bei einem Upload (Abschnitt 4), mit einer aus dem Pfad gebildeten Kennung statt des Pfads. Die Analyse zählt in dein Kontingent; scheitert die Messung oder brichst du ab, wird die Analyse nicht gezählt. „Analyse abbrechen“ nimmt alle Vormerkungen zurück und schaltet „automatisch analysieren“ aus.

Abspielen

Spielst du einen Track aus deinem Onlinespeicher ab, holt der Server die Datei von dort und reicht die Daten im selben Augenblick an deinen Browser oder deine App weiter. Die Datei wird dabei auf dem Server weder gespeichert noch zwischengelagert: Nichts davon liegt auf einer Festplatte, und nach dem Ende der Übertragung ist nichts davon mehr da. Formate, die dein Browser nicht abspielt (zum Beispiel AIFF), und die sparsame Fassung für unterwegs wandelt der Server während des Durchreichens um – ebenfalls ohne die Datei abzulegen. Die Zugangsdaten deines Speichers verlassen den Server dabei nicht; dein Browser spricht nur mit Timbre.

Timbre hält nicht fest, welche Tracks du hörst, wann oder wie oft. Es gibt dazu kein Protokoll und keine Statistik; auch der Webserver schreibt diese Aufrufe nicht ins Protokoll (Abschnitt 13).

Damit die Durchleitung nicht als Download-Dienst missbraucht wird, zählt der Server, wie viele Übertragungen ein Konto und eine IP-Adresse gleichzeitig offen haben und wie viele Daten in der letzten Stunde und am letzten Tag durchgereicht wurden. Diese Zähler enthalten keine Titel, Dateinamen oder Pfade, liegen nur im Arbeitsspeicher des Servers, reichen höchstens 24 Stunden zurück und sind nach einem Neustart weg. Für AIFF- und WAV-Dateien merkt sich der Server bis zu 24 Stunden den Aufbau der Datei (Abtastrate, Kanäle, Stelle der Tondaten – nur Zahlen, keine Töne, kein Dateiname), ebenfalls nur im Arbeitsspeicher. Überschreitet ein Konto eine Grenze, schreibt der Server eine Zeile mit der Nummer des Kontos und der Art der Grenze ins Betriebsprotokoll.

Trennen

Mit „Trennen“ löschen wir sofort Zugangsdaten, Dateiliste, Zuordnungen, die Tracks aus dem Speicher in deiner Library, Vormerkungen und Auftragszeilen der Analysen aus dem Speicher sowie geholte Dateien. Dasselbe geschieht, wenn du dein Konto löschst.

10. Geteilter Katalog

Messwerte eines Tracks werden im geteilten Katalog abgelegt, damit andere denselben Track nicht erneut analysieren müssen. Geteilt werden nur Klangmesswerte und der akustische Fingerabdruck – nie Audio, nie deine Tags, Dateinamen oder Pfade, nie, wer den Track besitzt. Du kannst das Teilen im Konto jederzeit abschalten; neue Analysen sind dann nur für dich sichtbar und werden mit deinem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem effizienten Dienst).

11. Klangsuche und Export

Suchst du in der Klangsuche mit einem Text, geht der Text an einen Dienst auf demselben Server, der daraus die Suche berechnet. Der Suchtext wird nicht gespeichert; der Webserver schreibt Aufrufe der Klangsuche nicht ins Zugriffsprotokoll.

Exporte deiner Library (Rekordbox-XML, M3U8, JSON, CSV) erzeugt Timbre auf deine Anfrage aus den Daten deiner Library und schickt die Datei direkt an deinen Browser. Timbre speichert die Exportdatei nicht. Eine M3U8 enthält für Tracks aus dem Onlinespeicher den Pfad der Datei relativ zum Startordner; Pfade und Playlist-Namen landen nicht im Protokoll. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

12. Löschung und Datenexport

Du kannst dein Konto im Bereich „Konto“ jederzeit löschen, auch solange das Konto auf die Freischaltung wartet. Dabei löschen wir dein Konto in Timbre mit Library, Auftragszeilen, nicht geteilten Analysen und allen Daten zum Onlinespeicher; Dateien, die noch im Arbeitsordner liegen, werden gelöscht.

Wir löschen dabei auch alles beim Anmeldedienst: Adresse, Anzeigename, Anmeldewege (öffentliche Schlüssel deiner Passkeys, Passwort-Hash), zweiten Faktor (Schlüssel der Authenticator-App, Wiederherstellungscodes), Zustimmung, Sitzungen und die Einträge zu deiner Adresse im Versandprotokoll (Mails samt Codes) – und beim Autorisierungsdienst alle Anmeldungen und Tokens deiner Apps. Dafür sperren wir das Konto beim Anmeldedienst zuerst, löschen dann die Daten in Timbre und danach das Konto beim Anmeldedienst und die Anmeldungen beim Autorisierungsdienst. Scheitert einer dieser Schritte technisch, versuchen wir den Schritt bis zu 7 Tage lang erneut; dafür merken wir uns nur die interne Kennung des Kontos beim Anmeldedienst (und, solange Mails zu löschen sind, die Adresse). Den Passkey auf deinem Gerät und den Eintrag in deiner Authenticator-App löschst du dort selbst; darauf haben wir keinen Zugriff.

Erhalten bleiben nur:

bereits geteilte Messwerte im Katalog, ohne jeden Bezug zu dir, weil diese Werte keine personenbezogenen Daten mehr sind (Abschnitt 10);
der Merker zur Zustimmung für 50 Stunden (Abschnitt 6);
gegebenenfalls der Vermerk nach einer Ablehnung und die Zeilen im Protokoll der Freischaltung ohne E-Mail-Adressen (Abschnitt 7);
für 31 Tage (längste Laufzeit eines Tokens plus ein Tag) ein verschlüsselter Hashwert (HMAC) der internen Kennung auf einer Sperrliste, damit eine App mit einem alten Token das gelöschte Konto nicht neu anlegt – ohne Adresse oder andere Daten.

Alle Daten zu deinem Konto kannst du jederzeit als JSON-Datei herunterladen, auch solange dein Konto wartet oder nicht freigeschaltet wurde. Der Export enthält die Angaben zum Konto (auch Stand und Zeitpunkt der Freischaltung, die gemerkte Sprache und den Zeitpunkt deiner Zustimmung), deine Library, deine Auftragszeilen und die Daten zum Onlinespeicher (Adresse, Benutzername, Startordner und Dateiliste – ohne Passwort). Die Anmeldewege stehen nicht im Export; du siehst die Anmeldewege im Konto unter „Konto und Sicherheit“.

13. Protokolle

Webserver. Zum Schutz vor Missbrauch protokolliert der Webserver bei jedem Aufruf IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite und die Kennung deines Browsers; Fehler stehen mit IP-Adresse, Zeitpunkt und aufgerufener Adresse in einem Fehlerprotokoll. Aufrufe der Klangsuche stehen nicht im Zugriffsprotokoll, Aufrufe zum Abspielen weder im Zugriffs- noch im Fehlerprotokoll. Die Protokolle werden nach 14 Tagen gelöscht. Aufrufe der Anmeldeseiten stehen ohne Parameter in einem eigenen Protokoll, das wir nach 7 Tagen löschen (Abschnitt 5). Der vorgeschaltete Server, der die Verbindungen annimmt, führt für timbremusic.app kein Zugriffsprotokoll; Warnungen dort enthalten weder IP-Adresse noch aufgerufene Adresse und werden ebenfalls nach 14 Tagen gelöscht.

Betriebsprotokoll. Die Dienste von Timbre schreiben Fehler und Betriebsereignisse in ein Betriebsprotokoll – ohne Dateinamen, Pfade, Zugangsdaten und Suchtexte und ohne festzuhalten, wer was hört. Ein Eintrag kann die Nummer eines Kontos und die Art eines Fehlers nennen, bei einem unerwarteten Fehler auch die aufgerufene Adresse ohne Parameter. Die zentrale Auswertung löscht diese Einträge nach 14 Tagen.

Uploads. Für Uploads (Timbre-Speicher und Analyse) schreibt der Server je Aufruf eine Zeile ins Betriebsprotokoll: Zeitpunkt, Art des Aufrufs ohne Parameter, Statuscode, Fehlercode, Dauer, übertragene Datenmenge, ein gekürztes Pseudonym des Kontos und eine gekürzte Kennung des Uploads – ohne IP-Adresse, Browser-Kennung, Dateinamen, Pfade oder Prüfsummen. Bei anderen Aufrufen gilt das nur für Fehler. Aufrufe zum Abspielen und der Klangsuche stehen auch hier nicht drin. Diese Zeilen helfen uns, Fehler beim Hochladen zu finden, und werden nach 14 Tagen gelöscht.

Zähler gegen Missbrauch. Um Anfragen zu begrenzen, zählt der Server Anfragen je IP-Adresse und je Konto in kurzen Zeitfenstern. Diese Zähler liegen nur im Arbeitsspeicher und sind nach einem Neustart weg. Für die Anmeldung gibt es eigene Zähler (Abschnitt 5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

14. Cookies und Speicher im Browser

Timbre setzt nur ein technisch notwendiges Sitzungs-Cookie („timbre“), und zwar erst, wenn du mit der Anmeldung oder Registrierung beginnst. Das Cookie hält deine Anmeldung (Kennung, E-Mail-Adresse, ob die Adresse bestätigt ist, gewählte Sprache, Zeitpunkt der Zustimmung aus der Registrierung, gegebenenfalls den Hinweis auf eine Einladung, wann die Anmeldung zuletzt geprüft wurde und ob du dich mit Passkey oder zweitem Faktor angemeldet hast), gilt höchstens 14 Tage und wird beim Abmelden geleert. Anmelde- und Autorisierungsdienst (Abschnitt 5) setzen auf timbremusic.app eigene, ebenfalls technisch notwendige Cookies: die Sitzung beim Anmeldedienst, die Anmeldung beim Autorisierungsdienst (beide so lange wie die Sitzung, Abschnitt 5) und Cookies zum Schutz der Formulare während der Anmeldung. Wählst du oben auf der Seite eine Sprache, merkt sich Timbre diese Wahl auch ohne Anmeldung in einem Cookie („timbre_sprache“, nur das Sprachkürzel, z. B. „it“, 12 Monate). Es wird nur gesetzt, wenn du aktiv eine Sprache wählst, und an niemanden weitergegeben. Nach einer Anmeldung merkt sich Timbre in einem weiteren Cookie („timbre_geraet“, Zufallswert und Prüfsumme, keine Adresse und keine Kennung im Klartext, höchstens fünf Konten je Browser, 400 Tage), dass sich dein Konto in diesem Browser schon angemeldet hat – damit Timbre bei einer Anmeldung auf einem neuen Gerät eine Sicherheitsmail schicken kann (Abschnitt 15). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine eingebundenen Inhalte Dritter.

Einige Einstellungen merkt sich dein Browser auf deinem Gerät. Diese Angaben werden nicht an den Server übertragen:

im dauerhaften Speicher des Browsers (localStorage): das gewählte Erscheinungsbild (timbre.erscheinungsbild), die Wahl „Sparsam“ des Players (timbre.player.sparsam), die Lautstärke des Players (timbre.player.laut, nur der Wert in dB), die Gain-Wahl des Players (timbre.player.gain: Auto Gain an oder aus, Ziel-Lautheit, Trim in dB), welche Pegelanzeige du im großen Player gewählt hast (timbre.player.pegelart: LED oder VU), ob der Gain-Block im großen Player offen ist (timbre.player.gainoffen) und die Schwelle der Genre-Ansicht (timbre.genres.schwelle);
im Sitzungsspeicher des Browsers (sessionStorage), der mit dem Tab verschwindet: laufender Track, Stelle, Wiedergabeliste, Stummschaltung und Tempo des Players (timbre.player), der Stand der Statusanzeige (timbre.status), Vergleichswerte deiner Library für das Klangprofil (timbre.stuetz) und ein Hinweis der Genre-Ansicht (timbre.genres.neu). Beim Abmelden leert Timbre die Angaben von Player und Statusanzeige.

Live-Demo. Unter timbremusic.app/demo kannst du Timbre ohne Konto ausprobieren: eine Library mit frei lizenzierten Beispieltracks (CC0 oder CC BY, Namensnennung unter /demo/credits). Die Live-Demo setzt keine Cookies und legt keine Sitzung an; nur wenn du eine Sprache wählst, gilt das Sprach-Cookie von oben. Deine Tag List bleibt in der Live-Demo nur in deinem Browser (localStorage, timbre.demo.taglisten) und geht nicht an den Server. Beim Abspielen gelten dieselben Regeln wie beim Abspielen aus dem Onlinespeicher (Abschnitt 9): Der Server reicht die Tracks nur durch, hält nicht fest, wer was hört, und zählt gegen Missbrauch je IP-Adresse und insgesamt, wie viele Übertragungen gleichzeitig laufen und wie viele Daten in der letzten Stunde durchgereicht wurden – nur im Arbeitsspeicher, ohne Titel, nach einem Neustart weg. Für die Leseabrufe der Live-Demo gibt es außerdem einen Zähler je IP-Adresse und Minute, ebenfalls nur im Arbeitsspeicher. Aufrufe zum Abspielen stehen weder im Zugriffs- noch im Fehlerprotokoll (Abschnitt 13). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Timbre ohne Konto vorzuführen und sicher zu betreiben).

15. E-Mail

E-Mails an Adressen unter timbremusic.app werden über Cloudflare Email Routing (Cloudflare Inc., USA) an unser Postfach weitergeleitet. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO). Wir nutzen deine Nachricht nur, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder lit. f DSGVO).

Timbre verschickt selbst Mails, und zwar nur über unser Postfach bei Infomaniak (Abschnitt 3), mit dem Absender hello@timbremusic.app, als Text und bei Benachrichtigungen zusätzlich als einfaches HTML ohne Bilder und ohne Zählpixel:

Codes und Hinweise des Anmeldedienstes (Abschnitt 5);
die Nachricht zur Entscheidung über die Freischaltung und die Sammelmail an die Verwaltung (Abschnitt 7);
einmalige Hinweise an alle Konten bei wesentlichen Änderungen, zum Beispiel zum Umzug des Anmeldedienstes (Abschnitt 5);
Warnungen an die Verwaltung, wenn ungewöhnlich viele Mails rausgehen – ohne Daten einzelner Konten.

Werbung verschickt Timbre nur mit deiner ausdrücklichen Einwilligung (Benachrichtigung „Neuigkeiten“, unten). Damit niemand über Timbre massenhaft Mails auslöst, gibt es eine Obergrenze je Stunde und je Tag (Abschnitt 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Warnungen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

Benachrichtigungen

Unter Konto → Benachrichtigungen legst du fest, worüber Timbre dich per Mail informiert. Die Mails gehen nur an deine bestätigte Adresse und kommen in der Sprache, in der du Timbre nutzt.

Analyse fertig (voreingestellt an): eine Mail, wenn eine Analyse deiner Tracks durch ist – mit der Zahl der gemessenen und der nicht lesbaren Dateien. Eine Mail je Lauf, nie eine je Track.
Neue Tracks im Speicher (aus): nach einem Abgleich deines Onlinespeichers, wenn neue Dateien dazugekommen sind; höchstens eine Mail am Tag.
Wochenrückblick (aus): montags, höchstens einmal pro Woche – wie viele Tracks neu gemessen wurden, wie viele neu in deiner Library sind und wie viele Tag Lists du bearbeitet hast.
Sicherheit (immer an): wenn dein Konto auf einem Gerät angemeldet wird, das Timbre noch nicht kennt, und wenn sich deine Anmeldewege ändern (Passkey, Authenticator-App, Wiederherstellungscodes, Passwort, verbundener Dienst, strenger Schutz). Diese Mails lassen sich nicht abbestellen, denn diese Warnungen schützen dich vor einer Übernahme deines Kontos.
Neuigkeiten von Timbre (aus): neue Funktionen – nur, wenn du das Häkchen selbst setzt.

Für die Mails verarbeiten wir deine E-Mail-Adresse, deine Wahl je Art, die Sprache deines Kontos und die Zahlen, die in der Mail stehen. Wir protokollieren je Mail nur Art, Zeitpunkt und Ergebnis (gesendet, Fehler, wegen der Versandgrenze zurückgehalten) – ohne Adresse und ohne Inhalt – und löschen diese Zeilen nach 90 Tagen. Bei „Neuigkeiten“ speichern wir außerdem den Zeitpunkt deiner Einwilligung, damit wir die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO).

Rechtsgrundlagen: Analyse fertig, neue Tracks im Speicher und Wochenrückblick sind Teil des Dienstes, den du nutzt (Art. 6 Abs. 1 lit. b DSGVO); du kannst jede davon jederzeit abschalten. Sicherheitsmails dienen dem Schutz deines Kontos und unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO). Neuigkeiten schicken wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Die Einwilligung kannst du jederzeit widerrufen – mit dem Häkchen im Konto oder dem Link „abbestellen“ unten in jeder Mail; der Widerruf gilt für die Zukunft.

Abbestellen: Jede Mail außer den Sicherheitsmails hat einen Link, mit dem du genau diese Art abbestellst – ohne dich anzumelden. Mailprogramme, die das unterstützen, zeigen dafür auch einen eigenen Knopf (Abbestellen mit einem Klick nach RFC 8058). Deine Wahl und das Protokoll löschen wir mit deinem Konto; der Datenexport im Konto enthält beides.

16. Spenden

Der Spenden-Link führt zu PayPal. Timbre lädt keine Inhalte von PayPal. Erst auf der Seite von PayPal gelten die Bestimmungen von PayPal.

17. Speicherdauer im Überblick

Audio aus der App: gelöscht nach der Messung; eine stündliche Prüfung löscht alles, was älter als 24 Stunden ist.
Audio aus dem Onlinespeicher beim Abgleich: nur während der Berechnung im Arbeitsspeicher.
Audio aus dem Onlinespeicher bei der Analyse: gelöscht nach der Messung; Wartezeit höchstens zwei Stunden, Messung höchstens 90 Minuten.
Abspielen: nichts gespeichert; Zähler und Dateiaufbau höchstens 24 Stunden im Arbeitsspeicher.
Konto, Library, Auftragszeilen, Zustimmung: bis du dein Konto löschst.
Konto beim Anmeldedienst (Adresse, Anmeldewege, zweiter Faktor, Zustimmung): bis du dein Konto löschst; ein neues Konto, dessen Adresse nie bestätigt wurde: 7 Tage.
Code per Mail: gültig 15 Minuten.
Versandprotokoll des Anmeldedienstes (Mails samt Code): 24 Stunden, bei Löschung des Kontos sofort.
Zählung der Code-Anforderungen und der verschickten Mails: 24 Stunden.
Merker für gleiche Antworten während der Anmeldung: 1 Stunde.
Sitzungen beim Anmeldedienst: spätestens 14 Tage nach der letzten Nutzung, spätestens 90 Tage nach der Anmeldung; danach gelöscht nach weiteren 7 Tagen, ebenso abgelaufene Anmeldeversuche.
Tokens der App: Zugriffs-Tokens 15 Minuten, Aktualisierungs-Tokens 30 Tage; danach gelöscht nach weiteren 7 Tagen.
Wiederholung beim Löschen (interne Kennung, gegebenenfalls Adresse): höchstens 7 Tage.
Sperrliste nach dem Löschen (Hashwert der internen Kennung): 31 Tage.
Merker zur Zustimmung nach dem Löschen: 50 Stunden.
Vermerk nach einer Ablehnung: höchstens 12 Monate nach der Entscheidung.
Protokoll der Freischaltung: nach dem Löschen des Kontos ohne E-Mail-Adressen; eine feste Frist gibt es derzeit nicht.
Bisherige Kennung und bisheriges Anmeldekonto aus der Zeit vor dem Umzug: 4 Wochen nach dem Umzug.
Protokolle des Webservers zu den Anmeldeseiten und Protokolle von Anmelde- und Autorisierungsdienst: 7 Tage.
Übrige Protokolle des Webservers und zentrale Auswertung des Betriebsprotokolls: 14 Tage.
Sitzungs-Cookie: höchstens 14 Tage.
Sprach-Cookie: 12 Monate nach deiner letzten Wahl; du kannst das Cookie jederzeit im Browser löschen.
Geteilte Messwerte im Katalog: unbefristet, ohne Bezug zu dir.

Gelöschte Daten können noch in Datensicherungen des Servers enthalten sein, bis diese Sicherungen turnusmäßig überschrieben werden.

18. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–20 DSGVO). Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wende dich dazu an hello@timbremusic.app. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, zuständig ist: Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.

19. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Timbre ändert. Die geltende Fassung steht immer unter timbremusic.app/datenschutz; das Datum oben nennt den Stand.