Datenschutzerklärung

1. Einleitung

vocumi („wir“, „uns“, „unser“) schützt Ihre personenbezogenen Daten. Diese Datenschutzerklärung erläutert, welche Informationen wir erheben, wie wir sie verwenden und welche Rechte Sie haben. Die englische Fassung finden Sie unter vocumi.com/privacy.

1. Wer wir sind (Verantwortlicher)

Verantwortlicher für alle personenbezogenen Daten, die im Zusammenhang mit der vocumi Plattform („Dienst“) verarbeitet werden, ist:

2. Geltungsbereich dieser Erklärung

Diese Datenschutzerklärung gilt für alle personenbezogenen Daten, die verarbeitet werden, wenn Sie unsere öffentliche Website (vocumi.com) besuchen, ein Konto anlegen oder die vocumi Webanwendung nutzen. Sie gilt für Einzelnutzer und für Mitglieder von Team-Workspaces.

Unsere öffentlichen Marketingseiten können optionale, einwilligungsbasierte Analyse (Matomo) verwenden — nur wenn Sie Statistiken im Cookie-Banner akzeptieren. Die authentifizierte Produktanwendung lädt Matomo nicht. Siehe §3.9 und §4.

Wir verarbeiten personenbezogene Daten gemäß der Datenschutz-Grundverordnung der EU (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und sonstigen geltenden Datenschutzvorschriften. Landesdatenschutzgesetze können zusätzlich gelten.

2.1 Rechtsgrundlagen im Überblick

Jede nachfolgend beschriebene Verarbeitung nennt ihre Rechtsgrundlage. Zusammengefasst stützen wir uns auf:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung— soweit Sie einwilligen (z. B. Matomo-Statistik-Cookies). Die Einwilligung können Sie jederzeit widerrufen.
• Art. 6 Abs. 1 lit. b DSGVO — Vertrag — zur Erbringung des Dienstes, für den Sie sich angemeldet haben (Konto, Suche, Roster, Abrechnungsmetadaten).
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung — insbesondere handels- und steuerrechtliche Aufbewahrung in Deutschland (siehe §8).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen— z. B. Sicherheitsprotokolle, wöchentlicher Digest (mit Widerspruch nach Art. 21 DSGVO), Produkt-Telemetrie und Betrieb unserer Unternehmensseiten in sozialen Netzwerken. Wir wägen diese Interessen gegen Ihre Rechte ab.

Speicherung auf dem Endgerät, die nicht unbedingt erforderlich ist (nicht notwendige Cookies), bedarf zudem der Einwilligung nach § 25 TDDDG, bevor sie auf Ihrem Gerät ausgeführt wird.

3. Welche Daten wir erheben und Rechtsgrundlage

3.1 Konto- und Profildaten

Bei der Registrierung erheben und speichern wir Folgendes:

• E-Mail-Adresse — erforderlich für Login und transaktionale Kommunikation
• Anzeigename — Vor- und Nachname in den Einstellungen, als ein Namensfeld gespeichert und in Ihrem Workspace angezeigt (Kopfzeile, Teamliste). Bei der Registrierung setzen wir diesen zunächst auf den Teil Ihrer E-Mail vor dem @, bis Sie ihn ändern.
• Passwort — als sicherer Hash gespeichert; Klartextpasswörter speichern wir nie. Konten nutzen ausschließlich E-Mail und Passwort (wir bieten kein Anmelden mit Google oder anderem Social Login)
• Tarifstufe und Kontoeinstellungen — einschließlich der Opt-out-Präferenz für den wöchentlichen Digest

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags (das Abonnement, das Sie mit uns geschlossen haben).

3.2 Workspace- und Kollaborationsdaten

Bei Nutzung der Plattform speichern wir:

• Künstler und Podcasts, die Sie Ihrem Roster hinzufügen, einschließlich Notizen und Statuskennzeichnungen
• Tags und benutzerdefinierte Labels an Künstlern
• Künstler, die Sie als persönliche Favoriten markieren
• In-App-Benachrichtigungen (z. B. angenommene Teameinladungen, Zugriffsänderungen)
• Ihre Workspace-Mitgliedsrolle (Owner, Admin, Member, Viewer) und das Beitrittsdatum

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — erforderlich zur Erbringung der Kernfunktionen des Dienstes.

3.3 Vibe-Suchanfragen (Verarbeitung, keine Speicherung)

Wenn Sie Vibe Search für Künstler oder Podcasts nutzen, wird der eingegebene Text verarbeitet, um Treffer zu liefern. Wir speichern Ihren Vibe-Suchtext nicht in unserer Datenbank — weder zur Kontingentkontrolle noch als durchsuchbare Historie. Tariflimits werden nur über Nutzungszähler durchgesetzt (wie oft Sie gesucht haben, nicht was Sie eingegeben haben). Künstler- und Podcast-Vibe-Suchen teilen sich einen täglichen (bzw. Grant-/Monats-) Zähler pro Nutzer.

Bei Künstler-Vibe-Anfragen kann Ihre Query an OpenAI (Vektor-Embedding für Ähnlichkeit) und an Google Gemini (Ranking und Discovery) übermittelt werden. Podcast-Vibe-Anfragen verarbeitet ausschließlich Google Gemini. Diese Anbieter verarbeiten die Anfrage für diesen Request nach ihren API-Bedingungen; wir nutzen Vibe-Queries nicht zum Aufbau eines Werbeprofils.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — erforderlich zur Erbringung von Vibe Search und zur vertraglichen Durchsetzung der Tariflimits.

3.4 Direct-Search-Anfragen (Verarbeitung, keine Speicherung)

Wenn Sie Direct Search für Künstler oder Podcasts nutzen, wird der eingegebene Text verarbeitet, um Treffer zu finden. Wir speichern Ihren Direct-Search-Text nicht in unserer Datenbank. Tariflimits werden nur über Nutzungszähler durchgesetzt (wie oft Sie Direct Search genutzt haben, nicht was Sie eingegeben haben). Künstler- und Podcast-Direct-Suchen teilen sich einen täglichen Zähler pro Nutzer.

Je nach Anfrage und Entität kann Direct Search Ihren Suchtext an Spotify (Künstlernamensuche), Soundcharts (Fallback-Discovery, wenn Spotify keine Treffer liefert), Apple Podcasts / iTunes Search (Podcast-Name und Katalog), öffentliche RSS-Feeds (Podcast-Metadaten bei aufgelöster Feed-URL) und/oder Google Gemini (keyword-artige Künstleranfragen, die kein einzelner Künstlername sind) übermitteln. Diese Anbieter verarbeiten die Anfrage für diesen Request nach ihren API-Bedingungen; wir nutzen Direct-Search-Queries nicht zum Aufbau eines Werbeprofils.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — erforderlich zur Erbringung von Direct Search und zur vertraglichen Durchsetzung der Tariflimits.

3.5 Abrechnungs- und Abonnementdaten

Wir speichern Ihren Abonnementstatus, den Tarif, das Verlängerungsdatum und eine Referenz-ID, die Ihr Konto mit Ihrem Lemon-Squeezy-Kundenkonto verknüpft. Wir speichern keine Zahlungskartendaten — die gesamte Zahlungsabwicklung erfolgt durch Lemon Squeezy als Merchant of Record.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Abonnementvertrags; Art. 6 Abs. 1 lit. c DSGVO — Erfüllung steuer- und buchhalterischer Pflichten.

3.6 Wöchentliche Digest-E-Mails

Wir senden eine wöchentliche Zusammenfassung Ihrer Workspace-Aktivität (Roster-Updates, Metrikänderungen, Teamaktivität) an Ihre hinterlegte E-Mail-Adresse. Diese Funktion ist standardmäßig aktiviert, Sie können sie jederzeit in den Kontoeinstellungen abbestellen. Wir nutzen Ihre E-Mail-Adresse und Workspace-Daten zur Erstellung dieser Digests.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (Sie über Aktivitäten in Ihrem Workspace zu informieren). Sie haben das Recht, dieser Verarbeitung jederzeit nach Art. 21 DSGVO zu widersprechen, indem Sie den Digest in den Kontoeinstellungen deaktivieren.

3.7 Protokoll transaktionaler E-Mails

Zur betrieblichen Zuverlässigkeit protokollieren wir Typ und Sendestatus transaktionaler E-Mails an Ihre Adresse (z. B. Willkommen, Passwort-Reset, Workspace-Einladung). E-Mail-Inhalte werden nicht in unserer Datenbank gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an zuverlässiger Zustellung kontobezogener Kommunikation.

3.8 Feature- und KI-Nutzungszähler

Zur Durchsetzung von Tariflimits und zur Steuerung von KI-Kosten speichern wir Nutzungszähler wie tägliche Direct-/Vibe-Suchzahlen und wöchentliche Pulse-Zähler (verknüpft mit Nutzer und Workspace) sowie organisationsbezogene KI-Token-Verbrauchssätze. Diese Datensätze enthalten Zähler und technische Metadaten — nicht den Text Ihrer Vibe-Queries. Sie werden nicht zum Aufbau von Werbeprofilen genutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — erforderlich zur Verwaltung von Tariflimits und Abrechnung; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Kostensteuerung.

3.9 Öffentliche Website-Besuche, Marketing-Analyse und Server-Zugriffsprotokolle

Unsere öffentlichen Marketingseiten (vocumi.com) nutzen keine Werbe-Pixel, Session-Recordings oder Drittanbieter-Werbenetzwerke. Wir verkaufen keine Marketing-Besuchsdaten und bauen keine Werbeprofile aus unserer Website.

Marketing-Analyse (Matomo, nur Opt-in)

Wenn Sie Statistiken im Cookie-Banner akzeptieren, laden wir Matomo Analytics, das wir selbst auf analytics.vocumi.com betreiben (Hetzner Cloud VPS, EU/EWR). Matomo wird nicht geladen, bevor Sie einwilligen. Es kann erheben:

• Besuchte Seiten, Referrer-URL und Kampagnenparameter (UTM-Tags)
• Browser-/Gerätetyp und Sprache (aus dem User-Agent)
• Anonymisierte IP-Adresse (letzte Bytes in Matomo maskiert)
• Interaktionsereignisse (z. B. welcher Marketing-Button geklickt wurde) — keine Formularinhalte oder Suchanfragen

Diese Daten dienen ausschließlich dem Verständnis der Nutzung unserer Marketingseite. Sie werden nicht mit Ihrem vocumi-Konto, Roster-Daten oder In-App-Produkt-Telemetrie (§3.11) verknüpft. Roh-Besuchsprotokolle werden nach 6 Monaten gelöscht. Die Einwilligung können Sie jederzeit über Cookie-Einstellungen im Footer der Website widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung; § 25 TDDDG — Einwilligung, bevor nicht notwendige Cookies oder clientseitige Analyse auf Ihrem Gerät laufen.

Server-Zugriffsprotokolle

Wir speichern Marketing-Analyse-IP-Adressen nicht in unserer Anwendungsdatenbank. Wie die meisten Webdienste erzeugt unsere Hosting-Infrastruktur Server-Zugriffsprotokolle, wenn Sie die Website oder die Anwendung nutzen. Auf unserem Hetzner-Cloud-VPS (Reverse Proxy und Anwendungscontainer) können diese Logs Ihre IP-Adresse, den Zeitstempel der Anfrage, den URL-Pfad, den HTTP-Statuscode, den Referrer und den Browser-User-Agent enthalten. Wir nutzen diese Logs für Sicherheit, Missbrauchsprävention und Fehlersuche — nicht für Werbung oder Verhaltensprofile.

Aufbewahrung auf unserem VPS: Die Docker-Logrotation behält bis zu drei Logdateien von je 10 MB pro Service-Container (das effektive Zeitfenster hängt vom Traffic-Volumen ab). Hetzner-Cloud-Server sind unmanaged: Anwendungslogs konfigurieren und betreiben wir selbst. Gesondert protokolliert Hetzner Logins und administrative Änderungen im Hetzner-Kundenportal nach eigenem DSGVO-konformem Löschkonzept (siehe Hetzner TOMs). Hetzner greift nicht auf den Inhalt unserer Anwendungsdatenbanken zu und behält ihn nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen am sicheren und zuverlässigen Betrieb des Dienstes.

3.10 Produkt-Feedback

Wenn Sie Feedback über das In-App-Formular (unter feedback.vocumi.com) absenden, erheben wir Titel und Beschreibung, das gewählte Board, Ihre vocumi-Konto-Kennung, E-Mail-Adresse und Name. Ihr Name wird anderen Nutzern beim Durchstöbern von Feedback nicht angezeigt.

Wenn Sie über die Kontakt-Checkbox bei einer konkreten Einreichung einwilligen, dürfen wir Sie per E-Mail zu diesem Feedback kontaktieren. Ohne diese Einwilligung nutzen wir Ihre Identität nur intern zur Bearbeitung und Priorisierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — erforderlich zum Betrieb der Feedback-Funktion; Art. 6 Abs. 1 lit. a DSGVO — Kontaktaufnahme zu einer konkreten Einreichung, soweit Sie einwilligen.

3.11 Produkt-Telemetrie (In-App Feature-Adoption)

Innerhalb der authentifizierten Webanwendung erfassen wir Produkt-Telemetrie-Ereignisse, um zu verstehen, welche Funktionen genutzt werden (z. B. Discovery-Modus, geöffnete Künstler-Tabs, Checkout gestartet, Hilfe geöffnet). Jedes Ereignis kann enthalten:

• Ereignisname und nicht-sensible Eigenschaften (z. B. Tab-Name, Tarifstufe, Query- Länge — nicht der Query-Text)
• Ihre Nutzer-ID und Workspace- (Organisations-) ID, wenn Sie angemeldet sind
• Eine tägliche Sitzungskennung, abgeleitet aus Nutzer-ID und Kalenderdatum (kein persistentes Tracking-Cookie über Tage hinweg)
• Seitenpfad, HTTP-Referrer und Browser-User-Agent
• Ländercode (ISO 3166-1 alpha-2), zum Schreibzeitpunkt aus CDN-Headern oder GeoIP abgeleitet — wir speichern Ihre Roh-IP-Adresse nicht in der Telemetrie

Telemetrie dient der internen Produktverbesserung und dem Betrieb. Sie wird nicht verkauft, nicht für Werbung genutzt und nicht zu einem Marketing-Verhaltensprofil zusammengeführt. Öffentliche Marketingseiten führen diese Produkt-Telemetrie nicht aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen an der Verbesserung des Dienstes und am Verständnis der Feature-Nutzung. Widerspruch nach Art. 21 DSGVO an contact@vocumi.com.

4. Cookies und Local Storage

Wir nutzen unbedingt erforderliche Cookies und Local Storage, damit der Dienst funktioniert. Optionale Statistik-Cookies werden nur gesetzt, wenn Sie Analyse im Cookie-Banner akzeptieren (§ 3.9). Wir nutzen keine Werbe- oder Drittanbieter-Marketing-Cookies.

Authentifizierungs-Cookies (Supabase SSR)

• sb-[project]-auth-token — verschlüsseltes Session-Token, HttpOnly, für den Login erforderlich
• sb-[project]-auth-token-code-verifier — PKCE-Verifikationstoken für Supabase-Auth-Flows, HttpOnly

Anwendungs-Cookie

• active_org — speichert die aktuell aktive Workspace-ID, um den Kontext zwischen Seitenwechseln zu halten

Diese Cookies sind sitzungsgebunden oder laufen nach kurzer Zeit ab. Sie werden nicht mit Drittanbieter-Werbenetzwerken geteilt. Da sie für die Funktion des Dienstes unbedingt erforderlich sind, benötigen wir für ihre Setzung keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Einwilligungsspeicher (Local Storage)

• vocumi_consent_v1 — speichert Ihre Cookie-Wahl (nur essenziell oder Analyse) und einen Zeitstempel, damit wir nicht bei jedem Besuch erneut fragen. Unbedingt erforderlich, um Ihre Präferenz zu respektieren.

Statistiken (optional — Einwilligung erforderlich)

Wenn Sie Analyse akzeptieren wählen, kann Matomo First-Party-Cookies auf vocumi.comsetzen, z. B.:

• _pk_id.* — unterscheidet wiederkehrende Besucher (Visitor-ID); bis zu 6 Monaten
• _pk_ref.* — speichert den Kampagnen-Referrer; kürzere, sitzungsbezogene Lebensdauer
• _pk_ses.* — kurzlebiges Session-Cookie

Die Verarbeitung erfolgt auf unserer selbst gehosteten Matomo-Instanz (EU). Widerruf über Cookie-Einstellungen im Footer; damit endet zukünftiges Tracking. Das Löschen von Website-Daten entfernt Matomo-Cookies aus Ihrem Browser.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung; § 25 TDDDG.

5. Auftragsverarbeiter und Dritte

Wir geben personenbezogene Daten nur an die folgenden vertrauenswürdigen Unterauftragsverarbeiter weiter, jeweils gebunden durch Auftragsverarbeitungsverträge und geltendes Datenschutzrecht. Wir verkaufen Ihre personenbezogenen Daten nicht.

5.1 Supabase (Authentifizierung und Datenbank)

Wir nutzen den Open-Source-Stack von Supabase für Authentifizierung und unsere primäre Datenbank. Dies ist von uns selbst gehostet auf einem Hetzner-Cloud-VPS in Helsinki, Finnland (EU/EWR). Ihre personenbezogenen Daten — einschließlich E-Mail-Adresse, gehashtem Passwort und aller Anwendungsdaten (Profil, Workspace, Künstler) — liegen auf diesem Server in der Europäischen Union. Wir nutzen nicht das verwaltete Cloud-Hosting von Supabase. Für diese Daten findet keine Datenübermittlung in ein Drittland statt.

Datenschutzerklärung von Supabase →

5.2 Hetzner (Anwendungs-Hosting)

Die Hetzner Online GmbH (Deutschland) stellt die Cloud-Infrastruktur bereit, auf der wir die vocumi Webanwendung und Marketingseiten hosten. Anwendungsserver laufen auf einem VPS in Helsinki, Finnland (EU/EWR). Server-Zugriffsprotokolle sind in §3.9 beschrieben. Hosting-Daten verbleiben im EU/EWR. Hetzner-Cloud-Server sind unmanaged — wir sind für Anwendungslogs und Sicherheit auf dem VPS verantwortlich; Hetzner behält nur eigene Kundenportal-Logs nach dem DSGVO-Löschkonzept von Hetzner.

Datenschutzerklärung von Hetzner →

5.3 Lemon Squeezy (Zahlungsabwicklung und Merchant of Record)

Lemon Squeezy (ein Unternehmen der Stripe-Gruppe, USA) verarbeitet alle Zahlungen und handelt als Merchant of Record für Ihr Abonnement. Beim Kauf eines Abonnements gehen Sie ein Zahlungsverhältnis direkt mit Lemon Squeezy ein. Lemon Squeezy erhebt und verarbeitet Rechnungsname, E-Mail-Adresse, Zahlungskartendaten und Rechnungsadresse. Wir erhalten nur nicht-sensible Abonnement-Metadaten (Status, Tarif, Verlängerungsdatum, Kundenreferenz-ID).

Datenschutzerklärung von Lemon Squeezy →

5.4 Resend (Transaktionale E-Mail)

Resend Inc. (USA) versendet transaktionale E-Mails in unserem Auftrag — einschließlich Willkommens-E-Mails, Passwort-Reset-Links, Workspace-Einladungen, Zugriffsänderungsbenachrichtigungen und wöchentlicher Digest-E-Mails. Zur Zustellung übermitteln wir Ihre E-Mail-Adresse und, soweit zutreffend, Ihren Vornamen an Resend. Resend verarbeitet diese Daten ausschließlich zur Zustellung und kann Zustellprotokolle für einen begrenzten Zeitraum aufbewahren. Resend ist über Standardvertragsklauseln DSGVO-konform und handelt als Auftragsverarbeiter nach unserer Weisung.

Datenschutzerklärung von Resend →

5.5 Google (Gemini KI)

Wir nutzen Google Gemini über die generativen KI-APIs von Google für Funktionen wie Vibe Search, Similar Artists, Pulse / AI Profile, Metadaten-Anreicherung und Insights. Wir bieten kein Anmelden mit Google.

Vibe Search: der von Ihnen eingegebene Text ist in der Gemini-Anfrage enthalten, damit das Modell passende Künstler ranken oder finden kann.

Weitere Gemini-Funktionen: Prompts enthalten öffentlich verfügbare oder plattformseitig abgeleitete Künstler-Informationen (Namen, Biografien, Tags, Metrikzusammenfassungen) — nicht Ihre Konto-E-Mail, Ihr Passwort oder Abrechnungsdaten.

Google verarbeitet diese Eingaben als unser KI-Anbieter. Die API-/Generative-AI-Datenrichtlinien von Google beschreiben den Umgang mit Inputs. Die Datenübermittlung an Google (USA) stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder andere geeignete Garantien.

Datenschutzerklärung von Google →

5.6 OpenAI (Vektor-Embeddings)

vocumi nutzt das Modell text-embedding-3-small von OpenAI zur Erzeugung von Vektor-Embeddings. Embeddings treiben Ähnlichkeitsvergleiche für Vibe Search und verwandte Discovery-Funktionen.

Vibe Search: Ihr Vibe-Suchtext wird an OpenAI gesendet, um ein Embedding für diese Suche zu erzeugen.

Künstler-Embeddings: öffentlich verfügbarer oder plattformseitig gespeicherter Künstlertext (Namen, Genres, Tags, Beschreibungen) kann an OpenAI gesendet werden — Ihre persönlichen Kontodaten sind in diesen Künstler-Embedding-Anfragen nicht enthalten.

OpenAI Inc. hat Sitz in den Vereinigten Staaten. Die Datenübermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Laut API-Datenrichtlinie von OpenAI werden API-Inputs standardmäßig nicht zum Training von Modellen genutzt.

Datenschutzerklärung von OpenAI →

5.7 Brave Search (Web-Intelligence)

vocumi nutzt die Brave Search API, um Künstlerprofile mit öffentlich verfügbaren Webinformationen (Nachrichten, Interviews, Beschreibungen) anzureichern. Als Suchanfragen werden nur Künstlernamen und öffentlich bekannte Identifikatoren gesendet — Ihre personenbezogenen Daten werden nicht übermittelt.

Brave Software Inc. hat Sitz in den Vereinigten Staaten. Die Datenübermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung von Brave →

5.8 Apify (Erhebung öffentlich sichtbarer Social-Media-Daten)

vocumi nutzt Apify zur Erhebung öffentlich verfügbarer Social-Media-Metriken von Künstlern (z. B. Instagram-Followerzahlen, Engagement-Daten). Über Apify wird nur öffentlich sichtbare Künstlerprofil-Daten erhoben — Ihre personenbezogenen Daten als vocumi Nutzer werden niemals an Apify gesendet.

Apify Technologies s.r.o. ist in der Tschechischen Republik (Europäische Union) gegründet und unterliegt dem EU-Datenschutzrecht. Für über Apify verarbeitete Daten findet keine internationale Übermittlung statt.

Datenschutzerklärung von Apify →

5.9 Soundcharts (lizenzierte Künstlermetriken)

vocumi nutzt Soundcharts als lizenzierten Datenanbieter für Streaming- und Marktmetriken, die Künstler-Scores und Tracking speisen. Wir senden Künstlerkennungen und Namen (z. B. Soundcharts-UUIDs oder Spotify-Künstler-IDs aus unserem Katalog), um Metriken abzurufen. Wir senden Ihre Konto-E-Mail, Ihr Passwort, Abrechnungsdaten oder Workspace-Notizen nicht an Soundcharts.

Soundcharts ist ein kommerzieller Drittanbieter. Empfangene Künstlermetriken können in unserer EU-gehosteten Datenbank gespeichert werden, um den Dienst zu erbringen. Eine Datenübermittlung personenbezogener Daten (falls überhaupt) außerhalb des EWR stützt sich auf geeignete Garantien wie Standardvertragsklauseln, soweit erforderlich.

Datenschutzerklärung von Soundcharts →

5.10 Spotify (Künstlersuche und Identität)

vocumi nutzt die Spotify Web API für Künstlersuche, Identitätsauflösung und Anzeigeassets (z. B. Künstlerbilder und Profil-Links) in Discovery-Flows. Anfragen enthalten Künstlernamen oder Spotify-Künstler-IDs — nicht Ihre vocumi Kontozugangsdaten oder Ihr persönliches Profil.

Spotify-API-Metriken werden nicht zur Berechnung unseres proprietären vocumi Score verwendet. In der Produktion stammen alle Score-Inputs von Soundcharts (siehe §5.9). Spotify-Popularität oder Followerzahlen können auf Suchergebniskarten nur zur Anzeige erscheinen; sie werden nicht für Scoring persistiert und nicht substituiert, wenn Soundcharts-Daten fehlen — in diesem Fall überspringen wir die Metrik-Aktualisierung, statt aus Spotify zu rechnen.

Datenschutzerklärung von Spotify →

5.11 Hetzner (Hosting von Produkt-Feedback)

Produkt-Feedback über feedback.vocumi.com wird in einer selbst gehosteten OpenCan-Datenbank auf einem separaten Hetzner-Cloud-VPS gespeichert, ebenfalls in Helsinki, Finnland (EU/EWR). Diese Datenbank betreiben wir als Verantwortlicher; sie ist von unserer primären Supabase-Datenbank getrennt, unterliegt aber denselben datenschutzrechtlichen Pflichten dieser Erklärung.

5.12 MusicBrainz (Künstleridentität)

vocumi fragt die offene Musik-Enzyklopädie MusicBrainz(musicbrainz.org, betrieben von der MetaBrainz Foundation) ab, um Künstlerprofile mit Identitätsmetadaten anzureichern — z. B. Klarname, Geschlecht, Geburtsjahr, Nationalität und offizielle Social-Links. Wir senden Künstlernamen und, soweit bekannt, MusicBrainz-IDs als Suchparameter. Wir senden Ihre Konto-E-Mail, Ihr Passwort, Abrechnungsdaten oder Workspace-Notizen nicht an MusicBrainz. MusicBrainz-Daten sind öffentlich unter offenen Lizenzen beigetragen; gematchte MBIDs und abgeleitete Felder speichern wir in unserer EU-gehosteten Datenbank, um wiederholte Lookups zu vermeiden.

MusicBrainz-API-Dokumentation →

5.13 Matomo (selbst gehostete Marketing-Analyse)

Wenn Sie Statistiken auf unserer öffentlichen Website akzeptieren, nutzen wir Matomo Analytics, von uns gehostet unter analytics.vocumi.com auf demselben Hetzner-Cloud-VPS (EU/EWR) wie unsere Anwendung. Matomo ist kein Drittanbieter-SaaS-Auftragsverarbeiter — es ist Software, die wir als Verantwortlicher betreiben. Verarbeitungsdetails, Cookies und Aufbewahrung stehen in §3.9 und §4. Es werden keine Daten mit Matomo Cloud oder anderen Matomo-gehosteten Diensten geteilt.

5.14 Apple Podcasts, RSS und Podcast-Katalogdaten

vocumi nutzt die Apple Podcasts / iTunes Search API und öffentliche RSS-Feeds, um Podcasts zu finden, Show-Metadaten aufzulösen und Episode-Cadence-Metriken zu aktualisieren. Wir senden Shownamen, Feed-URLs und Katalogkennungen — nicht Ihre Konto-E-Mail, Abrechnungsdaten oder Workspace-Notizen. Wir greifen nicht auf private Podcast-Analysen, Listener-Zahlen aus Hosting-Dashboards oder Abonnenten-PII zu.

Abgeleitete Podcast-Metriken (z. B. Episodenzahl, Veröffentlichungsrhythmus und abgeleitete Scores) werden aus öffentlich verfügbaren Feed-Daten berechnet und in unserer EU-gehosteten Datenbank gespeichert. KI-Funktionen wie Podcast-Vibe Search und Similar Podcasts senden Showtitel, Beschreibungen und Genres an Google Gemini zum Matching — siehe §3.3.

Datenschutzerklärung von Apple →

5.15 Unternehmensseiten auf Instagram und LinkedIn

Wir betreiben Unternehmensseiten unter instagram.com/vocumi_ und linkedin.com/company/vocumi , um mit Besuchern zu kommunizieren und über vocumi zu informieren. Wenn Sie mit diesen Seiten interagieren (folgen, kommentieren, Nachrichten senden oder Inhalte eingeloggt ansehen), verarbeiten die Netzbetreiber Ihre Daten nach eigenen Richtlinien. Diese Verarbeitung kann außerhalb des EWR stattfinden.

Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Datenschutzrichtlinie von Instagram. Eine Datenübermittlung an Meta in den Vereinigten Staaten kann sich auf das EU–US Data Privacy Framework (DPF) und/oder Standardvertragsklauseln stützen.

LinkedIn Page Insights (gemeinsam Verantwortliche): Gemeinsam mit LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irland, sind wir gemeinsam Verantwortliche für die Erhebung (nicht die weitere Verarbeitung) von Page-Insights-Statistiken für unsere LinkedIn-Unternehmensseite. Dazu können Arten angesehener oder interaktiver Inhalte, Geräteinformationen (z. B. IP-Adresse, Betriebssystem, Browser, Sprache, Cookies) und Profilfelder wie Tätigkeitsfunktion, Land und Branche gehören. Wir haben LinkedIns Page Insights Joint Controller Addendum abgeschlossen. LinkedIn stellt die Insights-Werkzeuge bereit und ist am besten in der Lage, Auskunfts- oder Löschungsanfragen zu diesen Daten zu beantworten; Sie können sich auch an uns wenden. Die weitere Verarbeitung (einschließlich einer etwaigen Übermittlung an LinkedIn Corporation in den USA) erfolgt durch LinkedIn. Datenschutzrichtlinie von LinkedIn. Opt-out für LinkedIn-Werbung/Retargeting: Gast-Einstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen an öffentlicher Kommunikation und am Verständnis aggregierter Seitenreichweite. Diese Seiten werden nicht genutzt, um Werbe-Pixel auf vocumi.com zu betreiben.

6. Künstlerdaten und Drittanbieter-Musikplattformen

Die in vocumi angezeigten Künstler-Intelligence-Daten stammen aus öffentlich verfügbaren Quellen und lizenzierten Anbietern, darunter Soundcharts, Spotify, MusicBrainz, Instagram, TikTok, YouTube, SoundCloud, Last.fm und weitere Musik- oder Social-Plattformen. Diese Daten beziehen sich auf Künstler als Personen der Öffentlichkeit, nicht auf unsere Nutzer als Privatpersonen.

vocumi nutzt automatisierte Werkzeuge (einschließlich Google Gemini, OpenAI-Embeddings, Brave Search, Apify-Social-Datenerhebung, Spotify-Suche und Soundcharts-Metrik-APIs), um Künstlerinformationen regelmäßig oder auf Abruf zu erheben und zu aktualisieren. Wir nutzen diese Künstlerdaten nicht, um Profile einzelner Privatpersonen aufzubauen, die nicht die Künstler selbst sind.

7. Internationale Datenübermittlung

Die vocumi Anwendung, unsere selbst gehostete Supabase-Datenbank und Produkt-Feedback (OpenCan) werden sämtlich auf Servern in Helsinki, Finnland (EU/EWR) betrieben. Dieses Hosting beinhaltet keine Datenübermittlung in ein Drittland.

Einige Anbieter für bestimmte Funktionen haben Sitz außerhalb des EWR oder verarbeiten Daten global. Soweit personenbezogene Daten außerhalb des EWR übermittelt werden, nutzen wir Garantien nach Kapitel V DSGVO:

• EU–US Data Privacy Framework (DPF) — soweit der Empfänger zertifiziert ist, stützen wir uns auf den Angemessenheitsbeschluss der Kommission vom 10. Juli 2023. Siehe dataprivacyframework.gov.
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) — als primäres Instrument oder als Rückfall, falls sich der DPF-Status ändert.

Anbieterbezogen (personenbezogene Daten, die wir — soweit überhaupt — senden):

• Hetzner, Apify, selbst gehostetes Matomo/Supabase/OpenCan — EU/EWR; keine Drittlandübermittlung für dieses Hosting.
• Lemon Squeezy (Stripe-Gruppe, USA) — Abrechnung als Merchant of Record. Standardvertragsklauseln; Stripe nimmt am DPF teil. Wir erhalten nur Abonnement-Metadaten.
• Resend (USA) — transaktionale E-Mail. Standardvertragsklauseln.
• Google (Gemini) — KI-Funktionen und Such-Ranking. DPF und/oder Standardvertragsklauseln.
• OpenAI — Embeddings für Vibe Search. Standardvertragsklauseln; DPF, soweit zertifiziert.
• Brave Search, Spotify, Apple — Künstler-/Podcast-Kataloglookups. Standardvertragsklauseln und/oder die veröffentlichten Transferinstrumente des Anbieters; wir senden Namen und Kennungen, nicht Ihre Konto-E-Mail.
• Soundcharts — lizenzierte Metriken; Hosting gemäß deren Richtlinie; Standardvertragsklauseln, soweit eine Übermittlung personenbezogener Daten erfolgt.
• Meta (Instagram) und LinkedIn — Unternehmensseiten (siehe §5.15). DPF und/oder Standardvertragsklauseln.

Weitere Kommissionsunterlagen zur Übermittlung: internationale Dimension des Datenschutzes.

8. Speicherdauer

• Konto- und Profildaten: für die Dauer Ihres Kontos plus bis zu 30 Tage nach Löschantrag, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Vibe-Query-Text: nicht in unserer Datenbank gespeichert. Transient verarbeitet durch OpenAI und Google Gemini während der Suchanfrage (siehe §3.3).
• Direct-Search-Query-Text: nicht in unserer Datenbank gespeichert. Transient verarbeitet durch Spotify, Soundcharts und/oder Google Gemini während der Suchanfrage (siehe §3.4).
• Server-Zugriffsprotokolle: auf unserem VPS rotiert bei bis zu drei Dateien zu je 10 MB pro Service-Container (siehe §3.9). Die effektive Aufbewahrung in Tagen hängt vom Traffic-Volumen ab.
• Marketing-Analyse (Matomo): Roh-Besuchs- und Ereignisdaten werden nach 6 Monaten (180 Tagen) durch automatisierte Bereinigung auf unserer Matomo-Instanz gelöscht; aggregierte Berichte können gemäß Matomo-Konfiguration bleiben.
• Feature- und KI-Nutzungszähler: etwa für den aktuellen Zeitraum plus 3 Monate zur Kontingentprüfung und Kostensteuerung; automatische Löschung durch einen geplanten Job.
• Produkt-Telemetrie: 60 Tage, danach automatische Löschung durch einen geplanten Cleanup-Job (Art. 5 Abs. 1 lit. e DSGVO Speicherbegrenzung).
• Abrechnungsdaten: 10 Jahre gemäß deutschem Handels- und Steuerrecht (§ 147 AO, § 257 HGB).
• E-Mail-Protokolle: bis zu 2 Jahre; danach automatische Löschung durch einen geplanten Datenbankjob (Art. 5 Abs. 1 lit. e DSGVO Speicherbegrenzung).
• Workspace- und Künstlerdaten: bis Sie den Workspace löschen oder Ihr Konto schließen. Nach Kontoschließung löschen oder anonymisieren wir Ihre personenbezogenen Daten innerhalb von 30 Tagen.
• Produkt-Feedback: bis zu 24 Monate oder bis zur Kontolöschung, je nachdem, was zuerst eintritt. Beitragsinhalte können nach Löschung in anonymisierter Form zur Produktpriorisierung verbleiben.

Gesetzliche handels- und steuerrechtliche Aufbewahrung in Deutschland

Unabhängig von produktseitiger Löschung kann deutsches Recht uns zur Archivierung bestimmter Unterlagen verpflichten. Gelten mehrere Fristen, ist die längste maßgeblich. Fristen von mindestens einem Jahr, die nicht an ein bestimmtes Datum gebunden sind, beginnen in der Regel mit Ablauf des Kalenderjahres des auslösenden Ereignisses. Bei Dauerschuldverhältnissen ist das typischerweise das Ende der Vertragsbeziehung.

• 10 Jahre — Bücher, Inventare, Jahresabschlüsse, Eröffnungsbilanzen und zugehörige Organisationsunterlagen (§ 147 Abs. 1 Nr. 1, Abs. 3 AO; § 257 Abs. 1 Nr. 1, Abs. 4 HGB).
• 8 Jahre — Buchungsbelege wie Rechnungen (§ 147 Abs. 1 Nr. 4 und 4a, Abs. 3 AO; § 14b Abs. 1 UStG; § 257 Abs. 1 Nr. 4, Abs. 4 HGB).
• 6 Jahre — sonstige Handelsbriefe und steuerrelevante Geschäftsunterlagen (§ 147 Abs. 1 Nr. 2, 3, 5, Abs. 3 AO; § 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB).
• 3 Jahre — Daten, die wir zur Prüfung typischer vertraglicher Gewährleistungs- oder Schadensersatzansprüche aufbewahren, anhand der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB).

Daten, die nur aufgrund dieser Pflichten aufbewahrt werden, verarbeiten wir ausschließlich zu diesem Archivzweck, nicht für Marketing.

9. Ihre Rechte nach der DSGVO

Als betroffene Person haben Sie nach der DSGVO folgende Rechte (Art. 15–22 DSGVO):

• Auskunftsrecht (Art. 15): Sie können eine Kopie der personenbezogenen Daten verlangen, die wir über Sie speichern.
• Recht auf Berichtigung (Art. 16): Sie können die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten verlangen.
• Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, soweit keine überwiegende Rechtsgrundlage für die weitere Verarbeitung besteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Sie können in bestimmten Fällen die Einschränkung der Verarbeitung verlangen.
• Recht auf Datenübertragbarkeit (Art. 20): Sie können Ihre personenbezogenen Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, einschließlich eines auf diese Bestimmungen gestützten Profilings. Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dieser Verarbeitung jederzeit widersprechen (einschließlich Profiling im Zusammenhang mit solcher Werbung). Wir nutzen vocumi.com nicht für Werbung Dritter.
• Widerruf der Einwilligung (Art. 7 Abs. 3): Soweit die Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit widerrufen, ohne die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung zu berühren.
• Beschwerderecht (Art. 77): Sie können Beschwerde bei einer Aufsichtsbehörde einlegen — in Deutschland bei der zuständigen Landesbeauftragten für Datenschutz. Für Bremen: datenschutz.bremen.de.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter contact@vocumi.com. Wir antworten innerhalb eines Monats, wie von der DSGVO verlangt. Der Export in Ihren Kontoeinstellungen umfasst, soweit zutreffend, mit Ihrem vocumi-Konto verknüpftes Produkt-Feedback.

Opt-out wöchentlicher Digest (Widerspruch nach Art. 21): Der wöchentliche Aktivitätsdigest wird auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) versendet. Sie können jederzeit widersprechen, indem Sie den Digest in den Kontoeinstellungen deaktivieren — ohne Begründung.

Marketing-Analyse (Widerruf nach Art. 7 Abs. 3): Soweit Sie Statistik-Cookies akzeptiert haben, widerrufen Sie die Einwilligung jederzeit über Cookie-Einstellungen im Footer (Marketingseiten). Damit endet zukünftiges Matomo-Tracking; bereits vor dem Widerruf erhobene Daten werden dadurch nicht gelöscht.

Produkt-Telemetrie (Art. 21): In-App-Feature-Adoption-Telemetrie wird auf berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet. Zum Widerspruch wenden Sie sich an contact@vocumi.com. Telemetrie-Einträge älter als 60 Tage werden automatisch gelöscht.

10. Sicherheit

Wir setzen branchenübliche technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten vor unbefugtem Zugriff, Verlust, Missbrauch oder Offenlegung zu schützen — einschließlich Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und sicherem Umgang mit Zugangsdaten.

Eine Übersicht unserer Sicherheitspraktiken und zur Meldung von Schwachstellen finden Sie auf unserer Security-Seite.

Keine Übertragung über das Internet ist zu 100 % sicher. Wenn Sie einen Sicherheitsvorfall vermuten, der Ihre Daten betrifft, kontaktieren Sie uns bitte unverzüglich unter contact@vocumi.com.

11. Datenschutz von Minderjährigen

Der Dienst ist für die berufliche Nutzung durch Erwachsene bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Wenn Sie glauben, dass wir solche Daten versehentlich erhoben haben, kontaktieren Sie uns bitte; wir löschen sie unverzüglich.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken, der Technik oder rechtlicher Anforderungen abzubilden. Registrierte Nutzer informieren wir über wesentliche Änderungen per E-Mail mindestens 14 Tage, bevor die Änderungen wirksam werden. Das Datum „Zuletzt aktualisiert“ oben auf dieser Seite bezeichnet die aktuelle Fassung. Die fortgesetzte Nutzung des Dienstes nach Änderungen gilt als Annahme der aktualisierten Erklärung.

13. Kontakt und Datenschutzanfragen

Für datenschutzbezogene Fragen, Anträge oder Beschwerden kontaktieren Sie uns:

Wir haben derzeit keinen förmlich bestellten Datenschutzbeauftragten (DSB), da wir nicht unter die Bestellungspflicht nach Art. 37 DSGVO fallen. Datenschutzanfragen bearbeitet die Geschäftsleitung unmittelbar. Die obige Anschrift ist zugleich Kontakt für Datenschutzanfragen (keine gesetzliche DSB-Bestellung).