Datenschutz­erklärung der App

Verantwortlicher

Verantwortlich für die Datenverarbeitung in der tunepilot-App im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Tim Strottner, tunepilot (in Gründung)
Ackerweg 6, 66482 Zweibrücken, Deutschland
E-Mail: hello@tunepilot.de

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu nicht verpflichtet sind.

Überblick: wie die App arbeitet

tunepilot ist ein KI-Manager für Musiker:innen. Du legst ein Künstlerprofil an, und der Manager hilft dir bei Planung, Releases, Content, Zahlen, Verträgen und Kontakten. Alles, was du einträgst, speichern wir in unserer Datenbank auf unserem Server in Deutschland. Für Funktionen, bei denen eine KI Texte liest oder schreibt, übermitteln wir die dafür nötigen Inhalte an Anthropic (siehe KI-Verarbeitung durch Anthropic).

Die App befindet sich in einer geschlossenen Beta. Einige Funktionen gibt es nur im Pro-Tarif, andere (Postfach-Anbindung, Kontakt-Vorschläge, Schwarmwissen, Vorab-Recherche) nur, wenn du sie selbst einschaltest. Anbindungen an Spotify, YouTube, Gmail und Outlook laufen außerdem nur, wenn wir sie für die App aktiviert haben. Eine Funktion, die nicht aktiv ist, verarbeitet auch keine Daten.

Hosting, Server-Logfiles und Backups

Die App läuft auf einem eigenen Server bei: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Serverstandort Deutschland). Datenbank und hochgeladene Dateien liegen auf demselben Server in Deutschland. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf der App verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer sowie Browser- und Betriebssystemangaben. Diese Logfiles werden nach 14 Tagen gelöscht. Tritt in der App ein Fehler auf, protokollieren wir ihn, um ihn beheben zu können; Fehlerprotokolle und fehlgeschlagene Hintergrundaufträge löschen wir nach 14 Tagen. Bei der Vertragsfunktion protokollieren wir Fehler ohne den Vertragsinhalt.

Wir sichern Datenbank und Dateien täglich verschlüsselt auf Speicherplatz desselben Hosters in Deutschland. Jede Sicherung wird nach 14 Tagen überschrieben; gelöschte Daten verschwinden also spätestens nach dieser Frist auch aus den Backups.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, stabilen Betrieb und in der Wiederherstellbarkeit der App. Soweit es um den Betrieb der von dir genutzten Funktionen geht, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Konto, Anmeldung und Sicherheit

Für dein Konto verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Passwort (nur als Hash-Wert, nie im Klartext), den Zeitpunkt deiner E-Mail-Bestätigung und deinen Tarif (Free oder Pro). Wenn du sie einrichtest, speichern wir außerdem für die Zwei-Faktor-Anmeldung ein Geheimnis und Wiederherstellungscodes (verschlüsselt) und für Passkeys den öffentlichen Schlüssel, einen Namen und den Zeitpunkt der letzten Nutzung. Biometrische Daten wie Fingerabdruck oder Gesicht verlassen dabei nie dein Gerät.

Zweck ist die Bereitstellung deines Kontos und der App. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben sind für die Nutzung erforderlich; ohne sie können wir kein Konto anlegen.

Zugang zur Beta: Während der geschlossenen Beta kann sich nur registrieren, wen wir einladen. Dafür nutzen wir deine E-Mail-Adresse, etwa von der Warteliste oder aus deiner Anfrage an uns, und schicken dir einen persönlichen Link, der 14 Tage gültig ist. Zur Einladung speichern wir deine E-Mail-Adresse, wer dich eingeladen hat, den Tarif, die Frist und ob du sie angenommen hast; den Link selbst speichern wir nur als Hash-Wert. Angenommene, zurückgezogene oder abgelaufene Einladungen löschen wir nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung der Nutzung, die du über die Warteliste angefragt hast).

Verwaltung: Änderungen, die wir als Betreiber an Konten vornehmen (etwa Tarif ändern, Konto sperren oder löschen), protokollieren wir mit Zeitpunkt und Konto-Nummer, um Missbrauch und Fehler nachvollziehen zu können. Das Protokoll löschen wir nach 12 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und nachvollziehbarer Betrieb.

Schutz vor Missbrauch: Anmeldeversuche begrenzen wir pro E-Mail-Adresse und IP-Adresse; dafür speichern wir einen Zähler kurzzeitig zwischen. Wenn du ein Passwort festlegst, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu senden wir nur die ersten fünf Zeichen eines Hash-Werts deines Passworts an den Dienst „Pwned Passwords“ (haveibeenpwned.com); dein Passwort selbst und deine E-Mail-Adresse werden nicht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz deines Kontos vor unbefugtem Zugriff.

Bezahlung: Kostenpflichtige Tarife sind in der Beta noch nicht buchbar, es findet keine Zahlungsabwicklung statt. Bevor sich das ändert, ergänzen wir diese Erklärung.

Cookies und lokaler Speicher

Die App setzt nur Cookies, ohne die sie nicht funktioniert:

• Sitzungs-Cookie (tunepilot-session): hält dich angemeldet. Die zugehörige Sitzung liegt in unserer Datenbank, zusammen mit deiner IP-Adresse und der Kennung deines Browsers, und läuft nach 120 Minuten ohne Aktivität oder beim Abmelden ab.
• XSRF-TOKEN: schützt Formulare davor, dass fremde Websites in deinem Namen Aktionen auslösen. Gleiche Laufzeit wie die Sitzung.
• Angemeldet bleiben (remember_web_…): nur, wenn du beim Login „Angemeldet bleiben“ ankreuzt. Gilt bis zu 400 Tage oder bis du dich abmeldest.

Außerdem kann die Oberfläche Darstellungs-Einstellungen, etwa eine eingeklappte Seitenleiste, im lokalen Speicher deines Browsers ablegen. Diese Angaben bleiben auf deinem Gerät.

Rechtsgrundlage für das Speichern auf deinem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, weil es für den von dir gewünschten Dienst unbedingt erforderlich ist; für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Die App enthält keine Analyse-, Werbe- oder Tracking-Dienste und lädt keine Schriftarten, Skripte oder Inhalte von fremden Servern. Deshalb gibt es auch kein Cookie-Banner.

E-Mails der App

Die App schickt dir E-Mails, die für dein Konto nötig sind: die Einladung zur Beta (Link 14 Tage gültig), den Link zur Bestätigung deiner E-Mail-Adresse und, wenn du ihn anforderst, den Link zum Zurücksetzen deines Passworts. Die beiden letzten Links sind 60 Minuten gültig. Für den Versand nutzen wir: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Postfach hello@tunepilot.de). Wir werten nicht aus, ob du E-Mails öffnest oder Links anklickst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wochenreport, Morgen-Briefing und Hinweise zeigt dir der Manager in der App an. Outreach-Mails an deine Kontakte gehen nicht über unseren Mailserver, sondern aus deinem eigenen Postfach (siehe Outreach über dein Postfach).

KI-Verarbeitung durch Anthropic

Die KI-Funktionen der App nutzen Claude, ein Sprachmodell von Anthropic. Wenn eine solche Funktion läuft, schicken wir die dafür nötigen Inhalte über eine verschlüsselte Verbindung an Anthropic und speichern die Antwort bei uns. Das betrifft vor allem:

• den Chat mit deinem Manager: deine Nachricht und die letzten Nachrichten des Gesprächs,
• das Gedächtnis des Managers, das bei Chat, Einschätzungen und Entwürfen mitgeschickt wird: dein Profil (Künstlername, Stadt, Genres, Rollen, Text über dich), die Artist Bible, Kontakte mit Name, Organisation, Rolle und deinen Notizen (ohne E-Mail-Adressen), offene Freigaben mit Betreff, Aufgaben, Releases, Content-Plan, Song-Titel mit Stand der Rechte-Checks, Titel und häufige Streitpunkte analysierter Verträge, deine Einnahmen des laufenden Jahres als Summen, Förder-Fristen, deine Zahlen, Ereignisse und Learnings,
• die Lieferungen des Managers: 30-Tage-Einschätzung, Wochenreport, Morgen-Briefing (Pro), Einordnung deiner Zahlen, Content-Plan und Captions, Mail-Entwürfe und Nachfass-Mails,
• die Funktionen mit Websuche: Vorab-Recherche, Trend-Recherche für Content, Förder-Recherche. Die Suche und das Abrufen von Webseiten führt Anthropic aus; Suchanfragen können deinen Künstlernamen, deine Stadt und deine Genres enthalten,
• die Vertragsanalyse und die Kontakt-Vorschläge (Einzelheiten in den jeweiligen Abschnitten).

Anbieter: Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. An der Verarbeitung ist auch Anthropic, PBC in den USA beteiligt. Anthropic verarbeitet die Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage seines Data Processing Addendum, das Teil der kommerziellen Nutzungsbedingungen ist.

Übermittlung in die USA: Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die in das Data Processing Addendum von Anthropic einbezogen sind. In den USA können Behörden unter Umständen auf Daten zugreifen, ohne dass dir dagegen dieselben Rechtsbehelfe zustehen wie in der EU. Deshalb schicken wir nur, was die jeweilige Funktion braucht, und entfernen bei manchen Funktionen Angaben vorher (siehe Verträge und Kontakt-Vorschläge).

Speicherung bei Anthropic: Nach den Angaben von Anthropic werden Eingaben und Ausgaben der API standardmäßig innerhalb von 30 Tagen gelöscht. Länger, bis zu zwei Jahre, speichert Anthropic sie nur, wenn sie als Verstoß gegen die Nutzungsrichtlinien markiert werden oder eine gesetzliche Pflicht besteht. Nach den kommerziellen Bedingungen darf Anthropic die Inhalte nicht zum Training seiner Modelle verwenden.

Rechtsgrundlage für die KI-Verarbeitung deiner Daten ist Art. 6 Abs. 1 lit. b DSGVO, weil sie Kern der Leistung ist, die du nutzt. Für die Vorab-Recherche, die Postfach-Anbindung, die Kontakt-Vorschläge und das Schwarmwissen holen wir zusätzlich deine Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO). Für Daten anderer Personen, etwa deiner Kontakte, siehe Kontakte.

Onboarding und Vorab-Recherche

Beim Start gibst du deinen Künstlernamen und Links zu deinen Profilen an. Mit deiner Einwilligung recherchiert der Manager, was öffentlich über dich als Artist bekannt ist: Wir fragen bei Spotify öffentliche Profildaten ab (Genres, Follower, Releases, meistgehörte Songs) und lassen Anthropic deine Links abrufen und im Web suchen. Die KI ist angewiesen, nur Infos über dich als Artist zu sammeln, keine Wohnadresse, Familie, Gesundheit oder Privatleben.

Gespeichert werden deine Links, der Wortlaut deiner Einwilligung mit Zeitpunkt, die Recherche-Notizen mit Quellen und daraus ein Entwurf deiner Artist Bible, bei dem jede Aussage Quelle und Sicherheit trägt. Du prüfst jeden Punkt selbst und kannst ihn bestätigen, korrigieren oder löschen. Ohne Einwilligung überspringt die App die Recherche und stellt dir stattdessen ein paar Fragen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; einzelne Einträge löschst du unter „Was weiß Pilot über dich?“. Die Recherche-Notizen bleiben gespeichert, bis du dein Konto löschst oder uns um Löschung bittest.

Manager-Chat und Gedächtnis

Wir speichern deine Chat-Nachrichten und die Antworten des Managers. Aus dem Gespräch pflegt der Manager sein Gedächtnis: Artist Bible, Ereignisse, Learnings (Hypothese, Muster, Regel) und Aufgaben. Jede Änderung zeigt er dir an und protokolliert sie mit dem vorherigen Stand, damit du sie mit einem Klick rückgängig machen kannst. Im Free-Tarif zählen wir deine Nachrichten pro Monat für das Nachrichtenlimit.

Unter „Was weiß Pilot über dich?“ siehst du das Gedächtnis und kannst Einträge ändern oder endgültig löschen. Den Chatverlauf speichern wir, bis du dein Konto löschst; einzelne Nachrichten löschen wir auf Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aufgaben, Releases und Content-Planung

Wir speichern deine Aufgaben mit Fristen (auch wie oft du sie verschoben hast), geplante Releases, den Release-Plan (Pro), Content-Ideen, deinen Posting-Plan mit Captions und Hashtags sowie deine Einschätzung, wie ein Post gelaufen ist. Den Plan kannst du als Kalenderdatei herunterladen (Pro). tunepilot postet nichts selbst in sozialen Netzwerken und ist mit deinen Social-Media-Konten nicht verbunden. Für Content-Plan, Captions und optionale Trend-Recherche nutzen wir Anthropic. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zahlen (Analytics)

• Öffentliche Spotify-Zahlen: Hast du in deinem Profil einen Spotify-Artist-Link, fragt unser Server über die Spotify Web API täglich Follower und Popularität ab (Pro). Übermittelt wird nur die Spotify-ID des Artist-Profils; ein Login in dein Spotify-Konto findet nicht statt.
• Öffentliche YouTube-Zahlen: Hast du einen YouTube-Kanal verlinkt, fragt unser Server über die YouTube Data API von Google Abos und Aufrufe ab. Übermittelt wird nur die Kanal-ID bzw. der Kanalname aus deinem Link.
• Spotify-for-Artists-Export: Lädst du eine CSV-Datei hoch, lesen wir die Zahlen (Streams, Hörer, Follower, Saves, ggf. pro Song) aus. Die Datei selbst speichern wir nicht, nur die Zahlen, den Dateinamen und den Zeitraum. Einen Import kannst du jederzeit wieder löschen.
• Selbst eingetragene Werte, etwa Instagram- oder TikTok-Follower.

Die Einordnung deiner Zahlen schreibt der Manager mit Anthropic. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Songs, Rechte und Einnahmen

Für deine Songs speichern wir Titel, Arbeitsstand, Kennungen (ISRC, ISWC), den Stand der Rechte-Checks, deine GEMA- und GVL-Mitgliedschaft und die Credits: Namen, Rollen sowie Werk- und Master-Anteile der Beteiligten. Das Split Sheet ist eine Druckvorlage, die du selbst ausdruckst; wir verschicken es nicht. Einnahmen speicherst du mit Datum, Kategorie, Betrag, Quelle und Notiz. Das ist ein Überblick, keine Buchhaltung oder Steuerberatung.

Rechtsgrundlage für deine Daten ist Art. 6 Abs. 1 lit. b DSGVO. Die Namen und Anteile von Mitwirkenden verarbeiten wir nach Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass du die Rechte an deinen Songs vollständig dokumentieren kannst.

Verträge in Klartext (Pro)

Du kannst einen Vertrag als PDF hochladen (bis 10 MB) oder seinen Text einfügen. Vorher bestätigst du, dass du nur Verträge hochlädst, an denen du selbst beteiligt bist, und Bankdaten, Ausweisnummern und Privatanschriften möglichst geschwärzt hast; diese Bestätigung speichern wir mit. Datei und Analyse liegen verschlüsselt auf unserem Server.

Für die Analyse schicken wir den Vertrag an Anthropic. Bei eingefügtem Text entfernen wir vorher automatisch IBANs, E-Mail-Adressen und Telefonnummern. Bei PDFs ist das technisch nicht möglich, deshalb bitten wir dich, solche Angaben vor dem Hochladen zu schwärzen. Die Analyse enthält Zitate aus dem Vertrag und die Namen der Vertragsparteien. Sie ist allgemeine Information über übliche Klauseln, keine Rechtsberatung.

Löschung: Das Original löschen wir automatisch 30 Tage nach dem Hochladen, die Analyse 12 Monate nach dem Hochladen. Du kannst beides vorher jederzeit selbst löschen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Personenbezogene Daten deiner Vertragspartner, die im Vertrag stehen, verarbeiten wir nach Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass du einen Vertrag verstehen kannst, den du abgeschlossen hast oder abschließen willst.

Förderungen und Open Calls

Wir speichern Förderprogramme, Open Calls und Wettbewerbe, die du einträgst oder recherchieren lässt (Pro), mit Frist, Quelle und Status. Für die Recherche schicken wir Wohnort, Genres, Rollen und GEMA-Mitgliedschaft an Anthropic, das im Web nach passenden Programmen sucht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Outreach über dein Postfach (Pro, optional)

Wenn du es möchtest, verbindest du dein Gmail- oder Outlook-Postfach. Die Anmeldung läuft direkt bei Google bzw. Microsoft (OAuth); dein Passwort sehen wir nicht. tunepilot fordert nur diese Berechtigungen an:

• Gmail: Mails senden (gmail.send) und Kopfzeilen lesen (gmail.metadata),
• Outlook: Mails senden (Mail.Send), Kopfzeilen lesen (Mail.ReadBasic), dein Profil für die Absenderadresse (User.Read) und dauerhafter Zugriff, bis du ihn entziehst (offline_access).

Damit macht tunepilot genau drei Dinge:

• Senden: Mails, die du oder der Manager entwerfen, gehen aus deinem Postfach raus, jede einzeln erst nach deiner Freigabe und höchstens so viele pro Tag, wie du als Tageslimit einstellst.
• Antworten erkennen: Etwa alle 30 Minuten lesen wir die Kopfzeilen (Absender, Datum) in den Unterhaltungen der über tunepilot gesendeten Mails, um Antworten zu erkennen. Kommt keine, legt der Manager nach einigen Tagen einen Nachfass-Entwurf in deine Freigaben. Inhalte von Mails lesen wir nicht.
• Kontakt-Vorschläge (nur mit eigener Einwilligung): Einmal pro Woche oder auf deinen Klick sehen wir die Kopfzeilen deiner gesendeten Mails (Empfänger, Betreff) durch. An Anthropic gehen dabei nur die Domain, ob es ein Funktionspostfach wie „booking@“ ist, die Anzahl und auf 40 Zeichen gekürzte Betreffs, keine Namen und keine vollständigen Adressen. Vorschläge landen erst nach deiner Bestätigung in deinen Kontakten. Lehnst du einen ab, bleibt nur ein Hash-Wert der Adresse, damit er nicht wieder vorgeschlagen wird.

Wir speichern deine Postfach-Adresse, die Zugangsschlüssel (verschlüsselt), dein Tageslimit und den Wortlaut deiner Einwilligungen mit Zeitpunkt. Von den gesendeten Mails speichern wir Empfänger, Betreff, Text, den ursprünglichen Entwurf, Versand- und Antwortzeitpunkt.

Trennen: Du kannst die Verbindung jederzeit trennen. Dann löschen wir die Zugangsschlüssel, markieren deine Einwilligungen als widerrufen und löschen Kontakt-Vorschläge aus dem Postfach. Bei Google widerrufen wir den Zugriff zusätzlich direkt. Microsoft bietet dafür keine Schnittstelle: Der Zugriff endet spätestens nach einer Stunde, vollständig entziehen kannst du ihn unter account.live.com/consent/Manage (privates Konto) bzw. myapps.microsoft.com (Arbeitskonto).

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie Art. 6 Abs. 1 lit. b DSGVO für den Versand der von dir freigegebenen Mails. Für die Anmeldung bei Google bzw. Microsoft gelten deren eigene Datenschutzbestimmungen.

Kontakte und Hinweise für Kontaktpersonen (Art. 14 DSGVO)

Artists pflegen in tunepilot ihre beruflichen Kontakte, etwa Booker, Kurator:innen, Presse, Labels oder andere Musiker:innen. Dieser Abschnitt richtet sich auch an diese Personen.

Welche Daten: Name, E-Mail-Adresse, Organisation, Rolle, Notizen des Artists, der Verlauf (gesendet, Antwort erhalten, Notiz, jeweils mit Datum und Kurzbeschreibung) und ob die Person nicht mehr angeschrieben werden möchte. Zu Mails, die über tunepilot an die Person gingen: Empfängeradresse, Betreff, Text, Versandzeitpunkt sowie Absender und Zeitpunkt einer Antwort aus den Kopfzeilen.

Herkunft: Die Daten stammen vom Artist selbst (eingetragen oder im Chat genannt), aus den Kopfzeilen der Mails im verbundenen Postfach des Artists (nach Bestätigung durch den Artist) und aus den Kopfzeilen von Antworten auf Mails, die über tunepilot gesendet wurden.

Zweck und Rechtsgrundlage: Der Artist soll seine beruflichen Kontakte organisieren und gezielt, einzeln freigegeben, anschreiben können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse des Artists und unser Interesse liegen in der Pflege beruflicher Kontakte im Musikgeschäft. Wir nutzen diese Daten nicht für eigene Werbung und verkaufen sie nicht.

Empfänger: Für Mail-Entwürfe und das Gedächtnis des Managers gehen Name, Organisation, Rolle, Notizen und das Datum des letzten Kontakts an Anthropic (siehe oben), nie die E-Mail-Adresse. Mails gehen über den E-Mail-Anbieter des Artists (Google oder Microsoft). In anonymisierte Zählungen (Schwarmwissen) fließt nur ein, ob auf eine Mail geantwortet wurde, nach Rolle der Empfänger:innen.

Speicherdauer und Widerspruch: Die Daten bleiben gespeichert, bis der Artist den Kontakt oder sein Konto löscht. Du kannst der Verarbeitung jederzeit widersprechen, beim Artist oder bei uns unter hello@tunepilot.de. Möchtest du nicht mehr angeschrieben werden, wird dein Kontakt mit dem Vermerk „nicht anschreiben“ versehen; solange er besteht, sperrt tunepilot jeden Versand an dich. Die Rechte aus dem Abschnitt Deine Rechte stehen dir ebenso zu.

Markt-Wissen und Schwarmwissen

Markt-Wissen sind allgemeine Brancheninfos mit Quelle und Prüfdatum, ohne Bezug zu einzelnen Artists. Meldest du einen Eintrag als „Stimmt nicht mehr?“, speichern wir diese Meldung ohne Freitext zusammen mit deinem Konto, bis der Eintrag geprüft wurde, höchstens 90 Tage.

Eigene Zählungen: Aus deinen Daten zählt die App für deinen Manager, was bei dir funktioniert, etwa Antwortquoten deiner Mails. Diese Zählungen sieht nur dein Manager. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Schwarmwissen (nur mit Einwilligung): Wenn du mitzählst, fließen die Zählungen deines Profils in gemeinsame Werte ein: ob Mails beantwortet wurden (nach Rolle der Empfänger:innen), Einschätzungen zu Posts (nach Format), verschobene Release-Schritte (nach Phase) und entschiedene Förderanträge (nach Art), jeweils aus den letzten vier abgeschlossenen Quartalen. Texte und Namen fließen nie ein. Ein gemeinsamer Wert erscheint nur, wenn mindestens fünf Artists beitragen (bei selbst eingetragenen Daten zehn), mindestens 30 Fälle vorliegen, keine zwei Artists den Großteil stellen und weder „alle“ noch „keiner“ herauskommt; veröffentlicht wird nur gerundet. Profile zählen erst mit, wenn sie seit vier Wochen dabei sind. Die Werte sehen alle Artists auf der Seite „Markt-Wissen“, und sie gehen in die Prompts des Managers an Anthropic.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die darin gezählten Antworten deiner Kontakte Art. 6 Abs. 1 lit. f DSGVO. Du kannst jederzeit aufhören; dann wird sofort ohne dein Profil neu gezählt. Bereits angezeigte Werte lassen sich nicht zurückholen. Ändern wir den Wortlaut der Einwilligung, zählt dein Profil erst wieder mit, wenn du neu einwilligst.

Empfänger und Auftragsverarbeiter

• Hosting und Backups: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Serverstandort Deutschland) (Auftragsverarbeiter).
• Versand der Konto-E-Mails: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Postfach hello@tunepilot.de) (Auftragsverarbeiter).
• KI: Anthropic Ireland, Limited mit Anthropic, PBC (USA) als Auftragsverarbeiter, siehe KI-Verarbeitung.
• Spotify AB (Schweden): erhält bei Abfragen unseres Servers deinen Künstlernamen oder die Spotify-ID deines Profils.
• Google: erhält bei Abfragen der YouTube Data API die Kanal-ID bzw. den Kanalnamen; wenn du Gmail verbindest, laufen Senden und Kopfzeilen-Abruf über die Gmail API.
• Microsoft: wenn du Outlook verbindest, laufen Senden und Kopfzeilen-Abruf über Microsoft Graph.
• Pwned Passwords (haveibeenpwned.com): erhält beim Festlegen eines Passworts nur die ersten fünf Zeichen eines Hash-Werts.

Wir verkaufen keine Daten und geben sie nicht für Werbezwecke weiter. An Behörden geben wir Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind.

Speicherdauer

• Konto, Profil und alles, was du in der App anlegst (Chat, Gedächtnis, Aufgaben, Releases, Content, Songs, Einnahmen, Förderungen, Kontakte, Zahlen): bis du es löschst oder dein Konto löschst.
• Vertrags-Originale: 30 Tage nach dem Hochladen. Vertrags-Analysen: 12 Monate nach dem Hochladen.
• Spotify-for-Artists-Dateien: werden nicht gespeichert; die Zahlen bis zur Löschung des Imports.
• Postfach-Zugangsschlüssel: bis du das Postfach trennst oder dein Konto löschst.
• Einwilligungsnachweise: bis zur Löschung deines Kontos, auch nach einem Widerruf (dann als widerrufen markiert).
• Meldungen „Stimmt nicht mehr?“: bis zur Prüfung, höchstens 90 Tage.
• Sitzungen: 120 Minuten ohne Aktivität; „Angemeldet bleiben“ bis zu 400 Tage.
• Links zur E-Mail-Bestätigung und zum Zurücksetzen des Passworts: 60 Minuten gültig.
• Einladungen: Link 14 Tage gültig; angenommene, zurückgezogene oder abgelaufene Einladungen 30 Tage, dann gelöscht.
• Protokoll der Verwaltungsaktionen: 12 Monate.
• Server-Logfiles: 14 Tage. Fehlerprotokolle der App: 14 Tage.
• Backups: 14 Tage.
• Bei Anthropic: standardmäßig bis zu 30 Tage (siehe KI-Verarbeitung).

Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt; sie werden relevant, sobald kostenpflichtige Tarife buchbar sind.

Einwilligungen und Widerruf

Für die Vorab-Recherche, die Postfach-Anbindung, die Kontakt-Vorschläge und das Schwarmwissen fragen wir dich einzeln. Den Wortlaut, den du gesehen hast, und den Zeitpunkt speichern wir als Nachweis (Art. 7 Abs. 1 DSGVO; Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO). Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, direkt in der App (Postfach trennen, Kontakt-Vorschläge ausschalten, Mitzählen beenden) oder per Mail an uns. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Konto löschen

Du kannst dein Konto in den Einstellungen selbst löschen. Dabei löschen wir dein Konto, dein Künstlerprofil und alle zugehörigen Daten einschließlich hochgeladener Verträge. Ein verbundenes Gmail-Postfach trennen wir dabei auch bei Google; bei Outlook gilt der Hinweis aus dem Abschnitt zum Postfach. Zählte dein Profil im Schwarmwissen mit, wird sofort ohne es neu gezählt. Aus den Backups verschwinden die Daten nach 14 Tagen.

Deine Rechte

Du hast gegenüber uns jederzeit das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO); einen Export deiner Daten schicken wir dir auf Anfrage, und
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Für alle Anfragen genügt eine formlose E-Mail an hello@tunepilot.de.

Keine automatisierte Entscheidungsfindung

Der Manager leitet aus deinen Angaben Einschätzungen, Learnings und Vorschläge ab. Das sind Hilfen für dich: Entscheidungen triffst du, und nach außen geht nichts ohne deine Freigabe. Automatisierte Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO), treffen wir nicht.

Verschlüsselung und Sicherheit

Die App ist nur über eine TLS-verschlüsselte Verbindung („https://“) erreichbar. Passwörter speichern wir nur als Hash-Wert. Postfach-Zugangsschlüssel, hochgeladene Verträge, Vertragsanalysen und Zwei-Faktor-Geheimnisse liegen zusätzlich verschlüsselt auf unserem Server, die Backups ebenfalls.

Änderungen dieser Erklärung

Die App wird laufend weiterentwickelt. Kommen Funktionen hinzu, die Daten anders verarbeiten, passen wir diese Erklärung vorher an. Für neue Einwilligungen fragen wir dich in der App.