Stand: 19. Oktober 2026 · Version 1.5
1020.dev e.U., Lichtenauergasse 4/1/8, 1020 Wien, Österreich, E-Mail: hallo@1020.dev. Einen Datenschutzbeauftragten müssen wir nicht bestellen. Impressum: spin.1020.dev/impressum.
Spin ist eine soziale Musik-App: Du teilst Songs mit Freunden, folgst ihnen und siehst ihre Beiträge. Wir verarbeiten nur die Daten, die für diese Funktion nötig sind. Wir verkaufen keine Daten, betreiben kein Werbe-Tracking und schalten keine Werbung. In der App steckt kein Werbe- oder Tracking-SDK (etwa von Meta, TikTok oder Google) und kein Dienst zur Messung von Werbekampagnen; Spin fragt deshalb auch nicht nach der iOS-Erlaubnis für App-Tracking. Zur Verbesserung der App werten wir Nutzungsereignisse und Absturzberichte aus (Abschnitt 5b). Wie wir zählen, über welche Wege Spin gefunden wird, steht in Abschnitt 5d.
Anmeldung mit Apple (optional statt E-Mail und Passwort): Apple übermittelt uns eine eindeutige Nutzerkennung, deine E-Mail-Adresse (auf Wunsch die von Apple erzeugte Weiterleitungsadresse „E-Mail-Adresse verbergen“) und beim ersten Mal deinen Namen. Wir speichern Kennung und E-Mail-Adresse als Login. Zusätzlich hinterlegen wir ein von Apple ausgestelltes Refresh-Token. Es dient ausschließlich dazu, beim Löschen deines Accounts die Verknüpfung bei Apple ebenfalls aufzuheben; Apple schreibt das vor. Die Anmeldung läuft nativ über iOS. Apple erfährt dabei, dass du Spin nutzt; für diesen Schritt gelten Apples Datenschutzhinweise.
Anmeldung mit Google (optional): Die Anmeldung läuft in einem Browserfenster des Systems direkt bei Google; Spin bindet kein Google-SDK ein. Google übermittelt uns eine eindeutige Nutzerkennung, deine E-Mail-Adresse und deinen Namen. Wir speichern Kennung und E-Mail-Adresse als Login. Beim Löschen des Accounts entfernen wir die Verknüpfung bei uns; die Freigabe in deinem Google-Konto kannst du unter myaccount.google.com/permissions selbst aufheben. Google erfährt, dass du dich bei Spin anmeldest; für diesen Schritt gelten Googles Datenschutzhinweise.
Profilbild aus der Kamera: Neben deinen Fotos kannst du das Profilbild direkt mit der Kamera aufnehmen. Das Bild wird auf deinem Gerät zugeschnitten und verkleinert. Hast du in iOS die Warnung vor sensiblen Inhalten aktiviert, prüft die App das Bild vor dem Hochladen auf deinem Gerät mit dieser Systemfunktion (SensitiveContentAnalysis); das Bild verlässt dafür dein Gerät nicht, und ein als sensibel erkanntes Bild wird nicht hochgeladen. Wir speichern nur das fertige Profilbild, keine Rohaufnahme. Den Zugriff auf die Kamera erlaubst du über iOS und kannst ihn dort jederzeit entziehen.
Wie du von Spin erfahren hast. Nach der Registrierung fragen wir einmal, wie du auf Spin gekommen bist. Die Antwort ist freiwillig. Wir speichern sie mit deinem Konto und werten sie nur zusammengefasst aus, um zu verstehen, welche Wege zu Spin führen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Sie wird mit deinem Konto gelöscht.
Wir erfassen keinen Standort und keine Werbe-IDs. Dein Adressbuch verlässt dein Gerät nur als Prüfsummen und wird nicht gespeichert (Abschnitt 5a).
E-Mails und Mitteilungen. E-Mails schicken wir dir nur, wenn es um deinen Account geht (Bestätigung, Passwort, Hinweis vor dem Löschen eines lange inaktiven Accounts), um eine Moderationsentscheidung oder um eine Anfrage von dir. Werbung oder Aufforderungen, wieder zu posten, schicken wir per E-Mail nur mit deiner ausdrücklichen Einwilligung, und eine solche holen wir derzeit nicht ein. Push-Mitteilungen bekommst du nur, wenn du sie erlaubt hast. Sie können dich auch erinnern, wenn du länger nicht gepostet hast, etwa mit dem Hinweis, dass Freunde von dir heute gepostet haben. Welche Mitteilungen du bekommst, stellst du in der App ein; ganz abschalten kannst du sie in den iOS-Einstellungen.
Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten. Mit allen, die personenbezogene Daten für uns speichern, besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
| Dienst | Wofür | Wo | Übermittlung in Drittländer |
|---|---|---|---|
| Supabase (Supabase Inc.) | Backend, Login, Datenbank, Dateispeicher, Server-Logs, Zählung der Web-Aufrufe | Frankfurt, EU | Anbieter mit Sitz in den USA; Daten bleiben in Frankfurt. Support-Zugriff abgesichert durch EU-Standardvertragsklauseln. |
| Apple (APNs, App Store) | Auslieferung der App, Zustellung von Push-Mitteilungen und Live-Aktivitäten, zusammengefasste Download-Zahlen pro Kampagne (Abschnitt 5d) | USA | EU-US Data Privacy Framework (Apple ist zertifiziert). An Apple geht das Push-Token und der Text der Mitteilung. |
| Apple (Anmeldung mit Apple) | Optionaler Login; Apple bestätigt deine Identität und übermittelt Kennung, E-Mail-Adresse und Name | USA | EU-US Data Privacy Framework. Apple erfährt, dass du dich bei Spin anmeldest. |
| Google (Google Ireland Ltd., Anmeldung mit Google) | Optionaler Login über den System-Browser; Google übermittelt Kennung, E-Mail-Adresse und Name | Irland / USA | EU-US Data Privacy Framework (Google LLC ist zertifiziert). Google erfährt, dass du dich bei Spin anmeldest. |
| Resend (Resend Inc.) | Versand unserer E-Mails: Bestätigung der Registrierung, Passwort zurücksetzen, Moderationsmitteilungen | USA | EU-Standardvertragsklauseln. Resend erhält deine E-Mail-Adresse und den Mailtext. |
| PostHog (PostHog Inc.) | Produktanalyse (Abschnitt 5b) | EU-Cloud (Frankfurt) | Anbieter mit Sitz in den USA; Daten bleiben in der EU. EU-Standardvertragsklauseln. |
| Sentry (Functional Software Inc.) | Absturzberichte (Abschnitt 5b) | EU-Region (Deutschland) | Anbieter mit Sitz in den USA; Daten bleiben in der EU. EU-US Data Privacy Framework. |
| Spotify | Track-Metadaten und Cover ruft Spin serverseitig über die Spotify Web API ab; der Zugriffsschlüssel bleibt auf unserem Server | Schweden / weltweit | Spin überträgt dabei keine personenbezogenen Daten — nur Suchbegriffe und Track-IDs ohne Nutzerbezug. Beim Antippen eines Songs öffnest du die Spotify-App; ab dann gelten deren Datenschutzbestimmungen. |
| Anthropic (Anthropic Ireland, Limited; verarbeitet wird bei Anthropic, PBC) | Bewertung, wie gut ein Song zum Motto des Tages passt (Abschnitt 5e) | Irland / USA | Wir übermitteln nur Titel, Künstler und Album von Songs und das Motto des Tages, keine Angaben über Personen; personenbezogene Daten gelangen dabei nicht in ein Drittland. Vertraglich gelten zusätzlich die Datenverarbeitungsvereinbarung von Anthropic mit EU-Standardvertragsklauseln. Kein Training mit diesen Daten, Löschung nach spätestens 30 Tagen (Abschnitt 5e). |
| Vercel (Vercel Inc.) | Hosting der Website spin.1020.dev, der Share-Vorschauen, der Kampagnen-Links und der Web-Formulare | weltweit (Edge) | EU-US Data Privacy Framework. Vercel sieht IP-Adresse und Browserdaten von Seitenaufrufen. |
| Cloudflare (Turnstile) | Bot-Schutz auf den Web-Formularen (Feedback, Meldungen) | weltweit | EU-US Data Privacy Framework. Cloudflare erhält deine IP-Adresse und Browserdaten für den Bot-Check. |
| Meta (Meta Platforms Ireland Ltd., Instagram) | Unser Instagram-Kanal (Abschnitt 5e); Story-Karten, die du selbst in Instagram teilst (Abschnitt 5d) | Irland / USA | EU-US Data Privacy Framework (Meta ist zertifiziert). Meta erhält nur, was wir auf unserem Kanal veröffentlichen bzw. was du selbst teilst. |
An andere Empfänger geben wir Daten nur weiter, wenn wir rechtlich dazu verpflichtet sind (etwa Behörden oder Gerichte, Art. 18 DSA) oder du es ausdrücklich verlangst.
Wenn du im Onboarding „Kontakte durchsuchen“ wählst, fragen wir um Zugriff auf deine Kontakte. Wir lesen dabei ausschließlich die E-Mail-Adressen; sie werden auf deinem Gerät mit SHA-256 in Prüfsummen umgewandelt, und nur diese Prüfsummen senden wir an unsere Abgleich-Funktion, die sie mit den Prüfsummen registrierter Nutzer vergleicht. Wir speichern weder deine Kontakte noch die Prüfsummen — der Abgleich passiert im Arbeitsspeicher und wird sofort verworfen. Personen aus deinem Adressbuch, die Spin nicht nutzen, werden dabei nicht gespeichert und nicht kontaktiert. Die Telefonnummern deiner Kontakte lesen wir nicht mehr aus.
Telefonnummern haben wir gelöscht. Bis zum 6. September 2026 war bei der Registrierung eine Telefonnummer anzugeben; sie diente allein dem Kontaktabgleich und war für andere Nutzer nie sichtbar. Am 6. September 2026 haben wir diese Funktion abgeschafft und den gesamten Bestand gelöscht — den Klartext ebenso wie die daraus gebildeten Prüfsummen und die Tabelle, in der sie lagen. Wir fragen keine Nummern mehr ab, weder bei der Registrierung noch im Profil, und wir haben keine mehr gespeichert. Du musst dafür nichts tun; ein Widerruf deiner damaligen Angabe erübrigt sich.
Der Grund für die Löschung: Die Nummern waren nie per SMS verifiziert, und eine Prüfsumme über eine Telefonnummer schützt sie kaum — der Nummernraum eines Landes ist klein genug, um durchgerechnet zu werden. Für eine Funktion, die den gleichen Zweck über E-Mail-Adressen erfüllt, war das keine angemessene Datenverarbeitung mehr (Art. 5 Abs. 1 lit. c und e DSGVO).
Rechtsgrundlage für den Kontaktabgleich: Zugriff auf dein Adressbuch (freiwillig) — deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch den Berechtigungsdialog erteilst und in den iOS-Einstellungen jederzeit widerrufen kannst. Die Verarbeitung der früher gespeicherten Telefonnummern bis zu ihrer Löschung bleibt rechtmäßig; sie stützte sich, solange die Angabe bei der Registrierung Pflicht war, auf die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Damit wir sehen, welche Funktionen genutzt werden und woran die App scheitert, setzen wir zwei Dienste ein. Beide verarbeiten in der EU.
PostHog (Produktanalyse), EU-Cloud. Spin meldet einzelne Ereignisse — etwa „Onboarding abgeschlossen“, „Song gepostet“, „Song geteilt“ oder „Streaming-Link geöffnet“. Mitgesendet werden nur die zum jeweiligen Ereignis gehörenden Angaben (zum Beispiel die ISRC des geposteten Songs, die Quelle eines Teilen-Vorgangs, ob der Beitrag im Zeitfenster lag oder von welcher Stelle der App aus ein Song in Spotify geöffnet wurde), dazu technische Messwerte zum Start der App, etwa wie lange das Laden gedauert hat oder ob ein Start abgebrochen wurde, sowie ein Zeitstempel und eine Kennung. Inhalte wie Captions oder Kommentare senden wir nicht mit. Die Kennung ist zunächst eine zufällige, auf deinem Gerät erzeugte Zeichenfolge; sobald du angemeldet bist, verknüpfen wir sie mit deiner Nutzer-ID. Die Analysedaten sind damit pseudonym, nicht anonym. Meldest du dich ab, beginnt eine neue zufällige Kennung. Wir binden kein SDK ein, sondern senden die Ereignisse direkt per HTTPS. Deine IP-Adresse erreicht dabei technisch bedingt den Server — PostHog verwirft sie jedoch sofort, speichert sie nicht und leitet daraus auch keinen Standort ab (Projekteinstellung „IP-Daten verwerfen“, auf der EU-Cloud der Standard). Ereignisdaten bewahren wir 12 Monate auf.
Sentry (Absturzberichte), EU-Region. Stürzt die App ab oder reagiert sie nicht mehr, übermitteln wir einen technischen Fehlerbericht: Aufrufliste des Fehlers, Gerätemodell, iOS-Version und App-Version. Dazu gehören auch die Diagnosen, die iOS selbst über Abstürze, Hänger und übermäßigen Energie- oder Speicherverbrauch erstellt (Apple MetricKit). In den Berichten der App wird kein Nutzerbezug gesetzt, und die Übermittlung personenbezogener Standardangaben ist abgeschaltet — insbesondere wird keine IP-Adresse übertragen. Eine laufende Aufzeichnung der Nutzung (Performance-Tracing) findet nicht statt. Melden unsere Server-Funktionen einen Fehler an Sentry, kann der Bericht deine interne Nutzer-ID enthalten (nicht deinen Namen oder deine E-Mail-Adresse), damit wir den Fehler einem Vorgang zuordnen können. Fehlerberichte bewahren wir 90 Tage auf.
Beides dient allein der Stabilität und Verbesserung von Spin. Wir betreiben kein Werbe-Tracking, verwenden keine Werbe-IDs und geben diese Daten nicht zu Werbezwecken an Dritte weiter. Die App ist im App Store entsprechend deklariert.
Rechtsgrundlage: unser berechtigtes Interesse an einer stabilen und verständlichen App (Art. 6 Abs. 1 lit. f DSGVO). Du kannst die Analyse jederzeit selbst abschalten: Profil → Einstellungen → Privatsphäre → „Nutzungsanalyse“. Ist der Schalter aus, verlässt kein Ereignis mehr dein Gerät und die Verknüpfung mit deiner Nutzer-ID wird auf dem Gerät gelöst. Alternativ genügt eine E-Mail an hallo@1020.dev.
Spin speichert Inhalte, die du teilst, und ist damit ein Hostingdienst nach der Verordnung (EU) 2022/2065 (DSA). Dazu verarbeiten wir:
Name und E-Mail-Adresse eines Melders geben wir dem Betroffenen nicht bekannt. Rechtsgrundlagen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA) und berechtigtes Interesse an einer sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Abschnitt 6.
Share-Links und Profilkarten. Teilst du einen Beitrag oder dein Profil über „Teilen“, erzeugt Spin einen Link (spin.1020.dev/s/… bzw. /u/…). Wer diesen Link hat, sieht ohne Login eine Vorschau: beim Beitrag Titel, Künstler, Cover, Caption, Datum, deinen Username, Anzeigenamen und dein Profilbild sowie die Anzahl der Likes und Kommentare; bei der Profilkarte Username, Anzeigename und Profilbild. Share-Links laufen nicht ab; sie verschwinden, wenn du den Beitrag zurückziehst, ihn löschst oder deinen Account löschst. Die Profilkarte unter /u/dein-username ist für jeden abrufbar, der deinen Username kennt — unabhängig davon, ob dein Profil privat ist. Dein Profilbild liegt unter einer nicht erratbaren Adresse, ist aber für jeden abrufbar, der diese Adresse kennt. Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) — du löst das Teilen selbst aus.
Story-Karten. Teilst du eine Story-Karte (ein Bild mit Song, Username und QR-Code) in Instagram oder über das Teilen-Menü, erzeugt die App das Bild auf deinem Gerät und übergibt es an die App, die du auswählst. Bei Instagram gibt die App dabei eine Kennung unserer App mit, damit Instagram die Karte annimmt; Angaben über dich übermitteln wir an Meta nicht. Was danach mit dem Bild geschieht, bestimmt der jeweilige Dienst.
Zählung der Web-Aufrufe. Ruft jemand eine Vorschau (spin.1020.dev/s/… oder /u/…), die Startseite, einen Kampagnen-Link (spin.1020.dev/go/…) oder die Android-Seite auf oder tippt dort auf „Spin laden“ bzw. „Ich will Spin für Android“, zählen wir das in einer Tagesstatistik. Gespeichert werden nur das Datum, die Seite bzw. der Knopf, eine grobe Geräteklasse (iPhone, Android, Computer, automatisierter Abruf, sonstige) und, falls der Link eine enthält, eine Kampagnenkennung wie „invite“ oder die Kennung einer Werbeanzeige. Die Geräteklasse leiten wir beim Aufruf aus der Browserkennung ab. Die Browserkennung selbst speichern wir nicht, ebenso wenig die IP-Adresse, den aufgerufenen Link, einen Username, ein Cookie oder eine andere Kennung. Jeder Eintrag ist nur eine Zahl pro Tag und lässt sich keiner Person zuordnen. Damit sehen wir, über welche Wege Spin gefunden wird (etwa Anzeigen, Einladungen oder Events) und ob sich eine Android-Version lohnt. Führt ein Kampagnen-Link in den App Store, enthält die Adresse die Kampagnenkennung. Apple ordnet Downloads damit der Kampagne zu und stellt uns dazu nur zusammengefasste Zahlen bereit. Wir verwenden dafür kein Tracking-SDK, keinen Werbe-Pixel und keine Cookies, und auf deinem Gerät wird dafür nichts gespeichert oder ausgelesen. Rechtsgrundlage, soweit dabei überhaupt personenbezogene Daten verarbeitet werden: unser berechtigtes Interesse, die Reichweite von Spin zu verstehen (Art. 6 Abs. 1 lit. f DSGVO).
Auswahl. Jeden Tag wählt Spin automatisch einen Song des Tages, jede Woche einen User der Woche (Nutzungsbedingungen, Abschnitt 2a). In die Auswahl kommen nur Beiträge von Accounts mit öffentlichem Profil, keine Accounts von Spin selbst, keine gesperrten Accounts und keine ausgeblendeten Beiträge. Dafür verarbeiten wir die Beiträge des Spin-Tags bzw. der Woche, die Zahl der Likes und Reaktionen darauf und ob ein Beitrag im Zeitfenster lag, beim User der Woche außerdem die Zahl seiner Beiträge in der Woche und, bei Gleichstand, seinen Streak. Wir speichern den ausgewählten Beitrag bzw. Account mit Punktzahl und Zeitpunkt, beim Song des Tages auch die nächsten Plätze, aus denen unser Team die Vorstellung auf Instagram vorbereitet.
Bewertung des Mottos mit KI. Um zu bewerten, wie gut ein Song zum Motto des Tages passt, schicken wir einmal am Tag Titel, Künstler und Album von bis zu 30 Songs zusammen mit dem Motto an das KI-Modell Claude Haiku von Anthropic. Angaben über Personen übermitteln wir dabei nicht: keine Nutzer-ID, keinen Username, keine Caption, keine Zahl von Likes. Das Modell gibt für jeden Song eine Zahl zurück. Sie zählt zur Hälfte, die andere Hälfte sind die Reaktionen anderer Nutzer. Fällt das Modell aus oder gibt es kein Motto, zählen nur die Reaktionen. Anthropic verwendet diese Angaben nach seinen Vertragsbedingungen nicht zum Training seiner Modelle und löscht sie nach spätestens 30 Tagen, außer bei einem Verstoß gegen seine Nutzungsrichtlinien oder wenn das Gesetz eine längere Aufbewahrung verlangt. Die Mottos selbst entstehen außerhalb der App, teils mit Hilfe von KI, und enthalten keine Nutzerdaten. Eine andere KI setzt Spin im Betrieb nicht ein.
Die Auswahl hat für dich keine rechtliche oder ähnlich erhebliche Wirkung (Art. 22 DSGVO): Sie entscheidet nur über ein Abzeichen und eine mögliche Vorstellung auf Instagram.
Abzeichen in der App. Ein ausgewählter Beitrag bekommt ein Abzeichen, das nur dort erscheint, wo der Beitrag ohnehin sichtbar ist. Der User der Woche bekommt sieben Tage lang ein Abzeichen im Profil, danach einen Eintrag in seiner Profil-Historie. Wenn du Mitteilungen erlaubt hast, sagen wir dir Bescheid, sobald du ausgewählt wurdest.
Trendsetter. Hast du einen Song als Erstes in Spin gepostet und haben danach mindestens drei andere Accounts denselben Song gepostet, vermerken wir an deinem Beitrag „Trendsetter“. Dafür vergleichen wir, welcher Song wann gepostet wurde; versteckte Beiträge und gesperrte Accounts zählen nicht. Den Vermerk sieht nur, wer den Beitrag ohnehin sehen kann; die Zahl solcher Songs steht in deinem Profil. Der Vermerk bleibt, solange der Beitrag besteht. Rechtsgrundlage ist wie bei der Auswahl die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Vorstellung auf Instagram. Wir stellen den Song des Tages und den User der Woche auf dem offiziellen Spin-Kanal bei Instagram vor, nur bei öffentlichem Profil. Beim Song des Tages veröffentlichen wir Titel und Künstler des Songs, deinen Username und gegebenenfalls deine Caption, beim User der Woche nur deinen Username — kein Profilbild, keine weiteren Daten. Instagram wird von Meta Platforms Ireland Ltd. betrieben; Daten können dabei in die USA gelangen (Meta ist nach dem EU-US Data Privacy Framework zertifiziert). Ab der Veröffentlichung gelten für den Beitrag dort die Datenschutzbestimmungen von Meta, und andere Instagram-Nutzer können ihn sehen und teilen. Auf Kopien, die andere Instagram-Nutzer bereits geteilt haben, haben wir keinen Einfluss.
Rechtsgrundlagen und Widerspruch. Auswahl und Abzeichen in der App gehören zu den Spielregeln (Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO, in Verbindung mit Abschnitt 2a der Nutzungsbedingungen). Die Vorstellung auf Instagram stützen wir auf unser berechtigtes Interesse, Spin und die Musik unserer Nutzer bekannt zu machen (Art. 6 Abs. 1 lit. f DSGVO, in Verbindung mit Abschnitt 5 der Nutzungsbedingungen). Du kannst jederzeit widersprechen, vorab oder nachträglich, per E-Mail an hallo@1020.dev. Wir nehmen den Beitrag dann von unserem Kanal und nehmen dich auf Wunsch ganz aus der Auswahl. Stellst du dein Profil auf privat, kommst du ebenfalls nicht mehr in die Auswahl.
Was du siehst. Am Ende deines Feeds liegen verdeckte Karten. Deckst du eine auf, zeigt sie einen früheren Song (Titel, Künstler, Cover, nie den des laufenden Spin-Tags) eines öffentlichen Profils, dem du noch nicht folgst, zusammen mit dessen Username, Anzeigenamen und Profilbild und einem „Folgen“-Knopf. Solange du weniger als drei Personen folgst, können solche früheren Songs auch als „Vorschläge für dich“ im Feed und beim Einrichten deines Accounts erscheinen. Ausgewählt werden sie danach, wem deine Freunde folgen oder was bei Spin gerade beliebt ist. Liken, reagieren oder teilen kannst du dort nicht, den Song in Spotify öffnen schon.
Wann deine Songs so gezeigt werden. Umgekehrt können deine früheren Songs anderen auf diese Weise gezeigt werden, aber nur, wenn du dem ausdrücklich zugestimmt hast („Mitmachen“ unter den Karten oder in den Einstellungen unter Privatsphäre; Standard: aus), nur bei öffentlichem Profil und nur im Rahmen deiner Einstellung zur Sichtbarkeit des Verlaufs. Gezeigt werden nur Daten, die dein öffentliches Profil ohnehin zeigt, und der Song, keine Caption. Gesperrte Konten und Personen, die dich blockiert haben oder die du blockiert hast, erscheinen nie. Den Zeitpunkt deiner Zustimmung speichern wir; beendest du sie, wird er gelöscht.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft über den Schalter in den Einstellungen widerrufen kannst. Hast du schon vor App-Version 1.5 zugestimmt, gilt deine Zustimmung auch für die Vorschläge im Feed und beim Einrichten neuer Accounts. Darauf weisen wir dich in der App hin; beenden kannst du sie jederzeit über den Schalter.
Bietet Spin ein Einladungsprogramm an (Nutzungsbedingungen, Abschnitt 5a), speichern wir, wer wen eingeladen hat, mit welchem Code (bei Codes für Aktionen, etwa an Hochschulen oder bei Events, auch die Kennung der Aktion), wann der Code eingelöst wurde und ob die Einladung die Bedingungen für die Belohnung erfüllt hat. Dafür zählen wir die Spin-Tage, an denen die eingeladene Person gepostet hat. Die einladende Person erfährt, dass ihre Einladung angenommen wurde, und sieht den Account der eingeladenen Person. Die eingeladene Person folgt ihr automatisch, außer sie wählt das beim Einlösen ab. Die Einladungsseite spin.1020.dev/i/… zeigt jedem, der den Link hat, den Username der einladenden Person und den Code.
Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Verknüpfung bleibt gespeichert, bis einer der beiden Accounts gelöscht wird.
Was Communities sind. In Spin gibt es Communities, etwa für Hochschulen, Vereine oder Firmen. Sie werden ausschließlich von uns angelegt. Communities sind Angebote von Spin, keine offiziellen Angebote der jeweiligen Hochschule, des Vereins oder der Firma; diese erhalten von uns keine Daten über dich. Der offenen „Spin Community“ kann jeder ohne Code beitreten, allen anderen nur mit dem Code der Community. Ohne Code kannst du den Beitritt anfragen; darüber entscheiden wir. Wir legen keine Communities an, deren Zugehörigkeit etwas über Gesundheit, Religion, Weltanschauung, politische Meinung, Gewerkschaftszugehörigkeit oder sexuelle Orientierung verrät.
Wer was sieht. In einer Community kannst du pro Woche einen Song teilen. Diesen Wochen-Song sehen alle Mitglieder dieser Community, auch solche, die dir nicht folgen, auch wenn dein Profil privat ist: Titel, Künstler und Cover des Songs, dein Username, Anzeigename und Profilbild und die Zahl der Likes. Wer deinen Song geliked hat, zeigen wir niemandem; nur du erfährst es per Mitteilung, wenn du Mitteilungen für Likes eingeschaltet hast. Gezeigt werden die laufende und die vorige Woche. Die Mitgliederliste einer Community ist nicht einsehbar; Mitglieder sehen nur, wie viele es sind. Dass du Mitglied bist, erfahren andere deshalb erst, wenn du dort einen Song teilst. Personen, die dich blockiert haben oder die du blockiert hast, und gesperrte Konten sehen deine Wochen-Songs nicht und erscheinen nicht.
Charts und Wochen-Krone. Öffnest du den Wochen-Song eines anderen Mitglieds in Spotify, speichern wir das; eigene Songs zählen nicht. Die Charts einer Community ordnen die Wochen-Songs danach, wie viele Mitglieder sie geöffnet haben; jeder Account zählt einmal. Mitglieder sehen nur diese Zahl; wer welchen Song geöffnet hat, zeigen wir niemandem. Ist dein Wochen-Song auf Platz 1, bekommt er die Wochen-Krone: Eine Woche lang zeigen wir ihn allen Mitgliedern dieser Community über den Charts, mit deinem Username, Anzeigenamen und Profilbild und der Zahl der Öffnungen, und neben deinem Namen steht eine kleine Krone. Hast du Mitteilungen erlaubt, sagen wir dir Bescheid.
Uni-Liga. In der Uni-Liga treten die Communities der Hochschulen gegeneinander an. Dafür zählen wir je Woche die Beiträge, Wochen-Songs, Öffnungen von Songs anderer in Spotify, Likes und Kommentare der Mitglieder jeder Hochschul-Community zusammen. Wir zeigen nur Summen je Hochschule und Punkte pro Mitglied, nie Angaben zu einzelnen Personen; bei Hochschulen mit weniger als 5 Mitgliedern zeigen wir keine Zahlen. Willst du nicht mitgezählt werden, kannst du aus der Community deiner Hochschule austreten.
Was wir dafür verarbeiten. Deine Mitgliedschaften (seit wann, auf welchem Weg), deine Wochen-Songs, Likes, Öffnungen, Wochen-Kronen und deine Mitteilungs-Einstellungen je Community. Stellst du eine Beitrittsanfrage, sehen wir deinen Username, die Community oder den Namen der gewünschten Community und deine Nachricht.
Mitteilungen. Hast du Push-Mitteilungen erlaubt, melden wir dir einmal pro Woche, dass eine neue Woche in deiner Community beginnt (Standard: an), und auf Wunsch Likes auf deinen Wochen-Song (Standard: aus). Beides stellst du pro Community in den Einstellungen unter Communities ein.
Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), auch für Charts, Wochen-Krone und Uni-Liga; der Beitritt ist freiwillig, und du kannst jederzeit austreten (Einstellungen → Communities).
Speicherdauer. Wochen-Songs löschen wir 8 Wochen nach Ende ihrer Woche, beim Austritt aus der Community sofort; Öffnungen und Wochen-Kronen löschen wir mit dem jeweiligen Wochen-Song. Mitgliedschaften bestehen bis zum Austritt. Beitrittsanfragen löschen wir 6 Monate nach unserer Entscheidung.
Wir speichern deine Daten grundsätzlich, solange dein Account besteht. Du kannst deinen Account jederzeit in der App löschen (Profil → Einstellungen → Account löschen). Damit werden Login, Profil, Profilbild, Beiträge, Kommentare, Likes, Reaktionen, gespeicherte Songs, Follows, Blockierungen, Push- und Live-Aktivitäts-Token, Einladungen, Community-Mitgliedschaften, Wochen-Songs, Beitrittsanfragen, Auszeichnungen, Streak-Gutschriften, dein Feedback und deine Zustimmungsprotokolle entfernt. Im Einzelnen:
Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).
Umfang des Datenexports. Der Export enthält alles, was wir zu deinem Account gespeichert haben: Profil und Einstellungen; alle Beiträge samt Songs und Captions; Kommentare, Likes, Reaktionen, gespeicherte Songs; Follows in beide Richtungen (auch Anfragen); Blockierungen, die du gesetzt hast; von dir abgegebene Meldungen (ohne das Prüfergebnis); deine Zustimmungen zu den Nutzungsbedingungen; Zeitpunkt und Gerätetyp gespeicherter Push- und Live-Aktivitäts-Token (nicht das Token selbst); Share-Links; Einladungen; Songs, die du aus Spin in Spotify geöffnet hast; deine Community-Daten (Mitgliedschaften samt Mitteilungs-Einstellungen, Wochen-Songs, deine Likes auf Wochen-Songs und welche du geöffnet hast, Wochen-Kronen, Beitrittsanfragen); deine Antwort auf die Frage, wie du von Spin erfahren hast; der Vermerk „Trendsetter“ an deinen Beiträgen; Zähler der Mitteilungs-Bündelung und der Kontaktabgleiche; ob eine Prüfsumme deiner E-Mail-Adresse für den Kontaktabgleich gespeichert ist (nicht die Prüfsumme) und ob ein Apple-Refresh-Token hinterlegt ist (nicht das Token). Nicht enthalten sind Meldungen anderer über dich (Art. 15 Abs. 4 DSGVO), Beiträge und Kommentare anderer sowie Passwort-Hashes und Sitzungs-Token. Der Export wird auf Anfrage erzeugt, nicht gespeichert, und dir als JSON-Datei zum Teilen übergeben.
Für alle Anliegen: hallo@1020.dev. Wir antworten innerhalb eines Monats.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at — oder bei der Aufsichtsbehörde deines Wohnsitzes.
Spin richtet sich nicht an Kinder unter 16 Jahren. Mit der Registrierung bestätigst du, mindestens 16 zu sein; eine Altersprüfung nehmen wir nicht vor. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren. Erfahren wir davon, löschen wir den Account. Eltern und Erziehungsberechtigte erreichen uns unter hallo@1020.dev.
Alle Verbindungen sind TLS-verschlüsselt. Passwörter werden nur als Hash gespeichert. Der Zugriff auf Daten anderer Nutzer ist in der Datenbank selbst beschränkt (Row-Level-Security), nicht nur in der App. Zugriffsschlüssel zu Drittdiensten liegen ausschließlich auf dem Server.
Wir aktualisieren diese Erklärung bei Bedarf, etwa bei neuen Funktionen oder geänderter Rechtslage. Die jeweils aktuelle Version ist in der App (Einstellungen → Datenschutz) und unter spin.1020.dev/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir dich in der App.