Stand: 6. September 2026 · Version 1.3
1020.dev e.U., Lichtenauergasse 4/8, 1020 Wien, Österreich, E-Mail: hallo@1020.dev. Einen Datenschutzbeauftragten müssen wir nicht bestellen. Impressum.
Spin ist eine soziale Musik-App: Du teilst einen Song pro Tag, folgst Freunden und siehst deren Beiträge. Wir verarbeiten nur die Daten, die für diese Funktion nötig sind. Wir verkaufen keine Daten, betreiben kein Werbe-Tracking und schalten keine Werbung. Zur Verbesserung der App werten wir Nutzungsereignisse und Absturzberichte aus — Einzelheiten in Abschnitt 5b.
Wir erfassen keinen Standort und keine Werbe-IDs. Dein Adressbuch verlässt dein Gerät nur als Prüfsummen und wird nicht gespeichert (Abschnitt 5a).
Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten. Mit allen, die personenbezogene Daten für uns speichern, besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
| Dienst | Wofür | Wo | Übermittlung in Drittländer |
|---|---|---|---|
| Supabase (Supabase Inc.) | Backend, Login, Datenbank, Dateispeicher, Server-Logs | Frankfurt, EU | Anbieter mit Sitz in den USA; Daten bleiben in Frankfurt. Support-Zugriff abgesichert durch EU-Standardvertragsklauseln. |
| Apple (APNs, App Store) | Auslieferung der App, Zustellung von Push-Mitteilungen und Live-Aktivitäten | USA | EU-US Data Privacy Framework (Apple ist zertifiziert). An Apple geht das Push-Token und der Text der Mitteilung. |
| Resend (Resend Inc.) | Versand unserer E-Mails: Bestätigung der Registrierung, Passwort zurücksetzen, Moderationsmitteilungen | USA | EU-Standardvertragsklauseln. Resend erhält deine E-Mail-Adresse und den Mailtext. |
| PostHog (PostHog Inc.) | Produktanalyse (Abschnitt 5b) | EU-Cloud (Frankfurt) | Anbieter mit Sitz in den USA; Daten bleiben in der EU. EU-Standardvertragsklauseln. |
| Sentry (Functional Software Inc.) | Absturzberichte (Abschnitt 5b) | EU-Region (Deutschland) | Anbieter mit Sitz in den USA; Daten bleiben in der EU. EU-US Data Privacy Framework. |
| Spotify | Track-Metadaten und Cover ruft Spin serverseitig über die Spotify Web API ab; der Zugriffsschlüssel bleibt auf unserem Server | Schweden / weltweit | Spin überträgt dabei keine personenbezogenen Daten — nur Suchbegriffe und Track-IDs ohne Nutzerbezug. Beim Antippen eines Songs öffnest du die Spotify-App; ab dann gelten deren Datenschutzbestimmungen. |
| Vercel (Vercel Inc.) | Hosting der Website spin.1020.dev, der Share-Vorschauen und der Web-Formulare | weltweit (Edge) | EU-US Data Privacy Framework. Vercel sieht IP-Adresse und Browserdaten von Seitenaufrufen. |
| Cloudflare (Turnstile) | Bot-Schutz auf den Web-Formularen (Feedback, Meldungen) | weltweit | EU-US Data Privacy Framework. Cloudflare erhält deine IP-Adresse und Browserdaten für den Bot-Check. |
An andere Empfänger geben wir Daten nur weiter, wenn wir rechtlich dazu verpflichtet sind (etwa Behörden oder Gerichte, Art. 18 DSA) oder du es ausdrücklich verlangst.
Wenn du im Onboarding „Kontakte durchsuchen" wählst, fragen wir um Zugriff auf deine Kontakte. Wir lesen dabei ausschließlich die E-Mail-Adressen; sie werden auf deinem Gerät mit SHA-256 in Prüfsummen umgewandelt, und nur diese Prüfsummen senden wir an unsere Abgleich-Funktion, die sie mit den Prüfsummen registrierter Nutzer vergleicht. Wir speichern weder deine Kontakte noch die Prüfsummen — der Abgleich passiert im Arbeitsspeicher und wird sofort verworfen. Personen aus deinem Adressbuch, die Spin nicht nutzen, werden dabei nicht gespeichert und nicht kontaktiert. Die Telefonnummern deiner Kontakte lesen wir nicht mehr aus.
Telefonnummern haben wir gelöscht. Bis zum 6. September 2026 war bei der Registrierung eine Telefonnummer anzugeben; sie diente allein dem Kontaktabgleich und war für andere Nutzer nie sichtbar. Am 6. September 2026 haben wir diese Funktion abgeschafft und den gesamten Bestand gelöscht — den Klartext ebenso wie die daraus gebildeten Prüfsummen und die Tabelle, in der sie lagen. Wir fragen keine Nummern mehr ab, weder bei der Registrierung noch im Profil, und wir haben keine mehr gespeichert. Du musst dafür nichts tun; ein Widerruf deiner damaligen Angabe erübrigt sich.
Der Grund für die Löschung: Die Nummern waren nie per SMS verifiziert, und eine Prüfsumme über eine Telefonnummer schützt sie kaum — der Nummernraum eines Landes ist klein genug, um durchgerechnet zu werden. Für eine Funktion, die den gleichen Zweck über E-Mail-Adressen erfüllt, war das keine angemessene Datenverarbeitung mehr (Art. 5 Abs. 1 lit. c und e DSGVO).
Rechtsgrundlage für den Kontaktabgleich: Zugriff auf dein Adressbuch (freiwillig) — deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch den Berechtigungsdialog erteilst und in den iOS-Einstellungen jederzeit widerrufen kannst. Die Verarbeitung der früher gespeicherten Telefonnummern bis zu ihrer Löschung bleibt rechtmäßig; sie stützte sich, solange die Angabe bei der Registrierung Pflicht war, auf die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Damit wir sehen, welche Funktionen genutzt werden und woran die App scheitert, setzen wir zwei Dienste ein. Beide verarbeiten in der EU.
PostHog (Produktanalyse), EU-Cloud. Spin meldet einzelne Ereignisse — etwa „Onboarding abgeschlossen", „Song gepostet", „Song geteilt" oder „Streaming-Link geöffnet". Mitgesendet werden nur die zum jeweiligen Ereignis gehörenden Angaben (zum Beispiel die ISRC des geposteten Songs, die Quelle eines Teilen-Vorgangs oder ob der Beitrag im Zeitfenster lag), ein Zeitstempel und eine Kennung. Diese Kennung ist zunächst eine zufällige, auf deinem Gerät erzeugte Zeichenfolge; sobald du angemeldet bist, verknüpfen wir sie mit deiner Nutzer-ID. Die Analysedaten sind damit pseudonym, nicht anonym. Meldest du dich ab, beginnt eine neue zufällige Kennung. Wir binden kein SDK ein, sondern senden die Ereignisse direkt per HTTPS. Deine IP-Adresse erreicht dabei technisch bedingt den Server — PostHog verwirft sie jedoch sofort, speichert sie nicht und leitet daraus auch keinen Standort ab (Projekteinstellung „IP-Daten verwerfen", auf der EU-Cloud der Standard). Ereignisdaten bewahren wir 12 Monate auf.
Sentry (Absturzberichte), EU-Region. Stürzt die App ab, übermitteln wir einen technischen Fehlerbericht: Aufrufliste des Absturzes, Gerätemodell, iOS-Version und App-Version. Ein Nutzerbezug wird nicht gesetzt, und die Übermittlung personenbezogener Standardangaben ist abgeschaltet — insbesondere wird keine IP-Adresse übertragen. Eine Performance-Aufzeichnung findet nicht statt. Absturzberichte bewahren wir 90 Tage auf.
Beides dient allein der Stabilität und Verbesserung von Spin. Wir betreiben kein Werbe-Tracking, verwenden keine Werbe-IDs und geben diese Daten nicht zu Werbezwecken an Dritte weiter. Die App ist im App Store entsprechend deklariert.
Rechtsgrundlage: unser berechtigtes Interesse an einer stabilen und verständlichen App (Art. 6 Abs. 1 lit. f DSGVO). Du kannst die Analyse jederzeit selbst abschalten: Profil → Einstellungen → Privatsphäre → „Nutzungsanalyse". Ist der Schalter aus, verlässt kein Ereignis mehr dein Gerät und die Verknüpfung mit deiner Nutzer-ID wird auf dem Gerät gelöst. Alternativ genügt eine E-Mail an hallo@1020.dev.
Spin speichert Inhalte, die du teilst, und ist damit ein Hostingdienst nach der Verordnung (EU) 2022/2065 (DSA). Dazu verarbeiten wir:
Name und E-Mail-Adresse eines Melders geben wir dem Betroffenen nicht bekannt. Rechtsgrundlagen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA) und berechtigtes Interesse an einer sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Abschnitt 6.
Teilst du einen Beitrag oder dein Profil über „Teilen", erzeugt Spin einen Link (spin.1020.dev/s/… bzw. /u/…). Wer diesen Link hat, sieht ohne Login eine Vorschau: beim Beitrag Titel, Künstler, Cover, Caption, Datum, deinen Username, Anzeigenamen und dein Profilbild sowie die Anzahl der Likes und Kommentare; bei der Profilkarte Username, Anzeigename und Profilbild. Share-Links laufen nicht ab; sie verschwinden, wenn du den Beitrag zurückziehst, ihn löschst oder deinen Account löschst. Die Profilkarte unter /u/dein-username ist für jeden abrufbar, der deinen Username kennt — unabhängig davon, ob dein Profil privat ist. Dein Profilbild liegt unter einer nicht erratbaren Adresse, ist aber für jeden abrufbar, der diese Adresse kennt. Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) — du löst das Teilen selbst aus.
Wir stellen ausgewählte Beiträge als „Song des Tages" auf dem offiziellen Spin-Kanal bei Instagram vor. Veröffentlicht werden Titel und Künstler des Songs, dein Username und gegebenenfalls deine Caption — kein Profilbild, keine weiteren Daten. Instagram wird von Meta Platforms Ireland Ltd. betrieben; Daten können dabei in die USA gelangen (Meta ist nach dem EU-US Data Privacy Framework zertifiziert). Ab der Veröffentlichung gelten für den Beitrag dort die Datenschutzbestimmungen von Meta, und andere Instagram-Nutzer können ihn sehen und teilen. Rechtsgrundlage: unser berechtigtes Interesse, Spin und die Musik unserer Nutzer bekannt zu machen (Art. 6 Abs. 1 lit. f DSGVO), in Verbindung mit Abschnitt 5 der Nutzungsbedingungen. Du kannst jederzeit widersprechen — vorab oder nachträglich — per E-Mail an hallo@1020.dev; wir nehmen den Beitrag dann von unserem Kanal. Auf Kopien, die andere Instagram-Nutzer bereits geteilt haben, haben wir keinen Einfluss.
Wir speichern deine Daten grundsätzlich, solange dein Account besteht. Du kannst deinen Account jederzeit in der App löschen (Profil → Einstellungen → Account löschen). Damit werden Login, Profil, Profilbild, Beiträge, Kommentare, Likes, Reaktionen, gespeicherte Songs, Follows, Blockierungen, Push- und Live-Aktivitäts-Token, dein Feedback und deine Zustimmungsprotokolle entfernt. Im Einzelnen:
Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).
Für alle Anliegen: hallo@1020.dev. Wir antworten innerhalb eines Monats.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at — oder bei der Aufsichtsbehörde deines Wohnsitzes.
Spin richtet sich nicht an Kinder unter 16 Jahren. Mit der Registrierung bestätigst du, mindestens 16 zu sein; eine Altersprüfung nehmen wir nicht vor. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren. Erfahren wir davon, löschen wir den Account. Eltern und Erziehungsberechtigte erreichen uns unter hallo@1020.dev.
Alle Verbindungen sind TLS-verschlüsselt. Passwörter werden nur als Hash gespeichert. Der Zugriff auf Daten anderer Nutzer ist in der Datenbank selbst beschränkt (Row-Level-Security), nicht nur in der App. Zugriffsschlüssel zu Drittdiensten liegen ausschließlich auf dem Server.
Wir aktualisieren diese Erklärung bei Bedarf, etwa bei neuen Funktionen oder geänderter Rechtslage. Die jeweils aktuelle Version ist in der App (Einstellungen → Datenschutz) und unter spin.1020.dev/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir dich in der App.