Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist Klaus Werdenich, bdrop.studio.
c/o COCENTER, Koppoldstr. 1, 86551 Aichach
Kontakt: anna@bdrop.studio

2. Verarbeitete Daten und Zweck

Zur Erstellung des personalisierten Geburtstags-Drops verarbeiten wir die Angaben, die Sie im Fragebogen eingeben (z.B. Vorname und Eigenschaften der zu beschenkenden Person, Ihre E-Mail-Adresse zur Zustellung). Die Verarbeitung erfolgt zum Zweck der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Darüber hinausgehende Verarbeitungen und ihre jeweiligen Rechtsgrundlagen sind in den folgenden Abschnitten einzeln beschrieben.

Warteliste für „bdrop /kids“. Auf der Warteliste für /kids erfassen wir Ihre E-Mail-Adresse, optional Ihren Vornamen sowie zusätzlich den Tag und Monat des Geburtstags der Legende und eine Altersgruppe (0–2, 3–5, 6–8, 9–11 oder 12–14). Es werden keine Namen Minderjähriger erfasst. Zum Nachweis und zum Schutz vor Missbrauch speichern wir außerdem die IP-Adresse der Anmeldung. Die Eingaben stammen vom kaufenden Erwachsenen (Producer); eine Einwilligung der Erziehungsberechtigten gemäß Art. 8 DSGVO wird erst im späteren Bestellprozess eingeholt. Rechtsgrundlage für die Warteliste ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

3. Dienstleister und Datenübermittlung (Sub-Processors)

Zur Bereitstellung unserer Dienste übermitteln wir Daten an ausgewählte Dienstleister. Findet eine Übermittlung in die USA oder ein anderes Drittland statt, stützen wir diese grundsätzlich auf EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Soweit ein Dienstleister zusätzlich unter dem EU-U.S. Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO), ist dies in der Tabelle vermerkt; die Standardvertragsklauseln bleiben in diesen Fällen als Rückfallebene bestehen. Bei zwei Dienstleistern (Inngest und unserem Dienstleister für KI-Audio und Cover-Artwork) liegen derzeit keine Standardvertragsklauseln vor; die Grundlage dieser Übermittlungen nennt die Tabelle, Einzelheiten der Absatz unter ihr.

Cloud-Speicher und Data-Warehouse werden von Google Cloud EMEA Ltd. (Irland) bereitgestellt; Serverstandort: Europäische Union. Der von uns betriebene Transkriptionsdienst läuft in der Google-Cloud-Region europe-west1 (Belgien); die Verarbeitung findet damit innerhalb der EU statt. Mit Vercel, Supabase, Google Cloud, Anthropic, Cloudflare, Upstash, Resend und Slack bestehen Auftragsverarbeitungsverträge, die Teil ihrer Vertragsbedingungen sind und die EU-Standardvertragsklauseln enthalten. Mit OpenRouter, OpenAI und PostHog bestehen ebenfalls Auftragsverarbeitungsverträge. Mit Inngest und mit unserem Dienstleister für KI-Audio und Cover-Artwork bestehen derzeit weder Auftragsverarbeitungsverträge noch Standardvertragsklauseln: Inngest bietet einen solchen Vertrag nur in kostenpflichtigen Tarifen an, die wir nicht nutzen; der KI-Audio-Dienstleister bietet keinen an. An Inngest übermitteln wir die Verarbeitungsaufträge der Produktion (einschließlich Ihrer Angaben aus dem Fragebogen, des Vornamens der Legende und des Songtexts als Zwischenstände), an den KI-Audio-Dienstleister den fertigen Songtext, den Songtitel und Stilangaben (§4). Diese Übermittlungen stützen wir auf Art. 49 Abs. 1 lit. b DSGVO (Erforderlichkeit zur Erfüllung des Vertrags mit Ihnen) bzw. Art. 49 Abs. 1 lit. c DSGVO (Vertrag in Ihrem Interesse, wenn der Drop ein Geschenk für Sie ist). Eine Kopie oder den Fundort der bestehenden Vertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung (anna@bdrop.studio).

4. Dienstleister für Audio-Generierung

Der fertige Songtext, der Songtitel und Stilangaben werden an einen Dienstleister der Kategorie „KI-gestützte Audiogenerierung" übermittelt; bei einer Überarbeitung des Songtexts zusätzlich das bereits erzeugte Musikstück. Für das Cover-Artwork erhält derselbe Dienstleister eine aus Ihren Angaben abgeleitete Bildbeschreibung. Songtext und Songtitel enthalten in der Regel den Vornamen der Legende sowie Einzelheiten aus Ihren Angaben im Fragebogen, die in den Text eingeflossen sind. Weitere Rohdaten des Fragebogens und E-Mail-Adressen werden nicht übermittelt. Dieser Dienstleister hat seinen Sitz in den USA; er bietet keinen Auftragsverarbeitungsvertrag und keine EU-Standardvertragsklauseln an. Die Übermittlung erfolgt auf Grundlage von Art. 49 Abs. 1 lit. b bzw. lit. c DSGVO (siehe §3).

Zur Erzeugung der zeitgenauen Textanzeige wird das fertige Musikstück anschließend an einen von uns betriebenen Transkriptionsdienst auf Google Cloud (Google Cloud EMEA Ltd., Irland) übermittelt. Dieser Dienst läuft in der Region europe-west1 (Belgien); die Verarbeitung findet innerhalb der EU statt, eine Übermittlung in ein Drittland ist damit für diesen Schritt nicht verbunden. Ist der Dienst nicht verfügbar, wird das Musikstück ersatzweise unmittelbar an OpenAI, LLC (USA) übermittelt und dort transkribiert; diese Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).

5. Foto-Upload & „Doppel-Jester“ Analyse

Wenn Sie die Funktion „Doppel-Jester" nutzen, analysiert ein KI-Dienst ein von Ihnen hochgeladenes Foto der zu beschenkenden Person (ab 18 Jahren), um Promi-Lookalikes vorzuschlagen.

Da hierbei biometrische Daten im Sinne von Art. 9 Abs. 1 DSGVO (Gesichtsmerkmale zur Ähnlichkeitsanalyse) verarbeitet werden, erfolgt die Verarbeitung ausschließlich auf Grundlage der ausdrücklichen Einwilligung der abgebildeten Person gemäß Art. 9 Abs. 2 lit. a DSGVO. Betroffene Person ist die abgebildete Person, nicht der hochladende Nutzer.

Die Einwilligung der abgebildeten Person holen wir über denjenigen Nutzer ein, der das Foto hochlädt („Producer“). Er bestätigt unmittelbar vor dem Upload ausdrücklich, dass die abgebildete Person in die Analyse eingewilligt hat; diese Bestätigung protokollieren wir mit Zeitpunkt, Nutzerkonto und Fassung des Hinweistextes. Ein Bild wird dabei nicht gespeichert.

Das Foto wird über HTTPS an unseren KI-Vermittlungsdienst OpenRouter, Inc. (USA) übertragen und von dort an das Bildanalyse-Modell Gemini weitergeleitet, das wir über unseren eigenen Google-Cloud-Vertrag (Google Cloud EMEA Ltd., Irland) ansprechen; Google verarbeitet die Daten dabei als Auftragsverarbeiter ausschließlich nach unseren Weisungen. Das Modell wird ohne regionale Festlegung aufgerufen; die Verarbeitung kann daher außerhalb der Europäischen Union, insbesondere in den USA, stattfinden. Für die USA besteht kein allgemeiner Angemessenheitsbeschluss der Europäischen Kommission. Mit beiden Dienstleistern bestehen Auftragsverarbeitungsverträge; die Übermittlung in ein Drittland stützen wir auf die in §3 genannten Garantien (EU-Standardvertragsklauseln, Art. 46 DSGVO) und ergänzend auf die ausdrückliche Einwilligung der abgebildeten Person in die Übermittlung (Art. 49 Abs. 1 lit. a DSGVO). Auf die damit verbundenen Risiken weisen wir hin: In einem Drittland ohne Angemessenheitsbeschluss ist kein mit der DSGVO vergleichbares Schutzniveau gewährleistet, staatliche Stellen können dort nach dortigem Recht auf übermittelte Daten zugreifen, und Rechtsbehelfe hiergegen können eingeschränkt sein. Bei OpenRouter haben wir eingestellt, dass übermittelte Inhalte dort nicht gespeichert (Zero Data Retention) und nicht zum Training von KI-Modellen verwendet werden. Das Foto wird ausschließlich für diese eine Anfrage verarbeitet und von bdrop.studio nicht gespeichert.

Die abgebildete Person kann ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; der hochladende Nutzer kann jederzeit auf die Funktion verzichten. Eine bereits durchgeführte Einzelanfrage lässt sich nicht rückwirkend zurückziehen, da das Foto unmittelbar nach der Analyse verworfen wird.

Sind Sie die abgebildete Person und wurde Ihre Einwilligung nicht eingeholt, wenden Sie sich bitte an anna@bdrop.studio. Wir löschen den betreffenden Nachweisdatensatz und, soweit erforderlich, das aus der Analyse hervorgegangene Ergebnis.

Was aus der Analyse entsteht. Weder das Foto noch die aus ihm abgeleitete Beschreibung der Gesichtsmerkmale werden von uns gespeichert; beides besteht nur für die Dauer der einen Anfrage und wird anschließend verworfen. Wählt der Producer einen der drei Vorschläge aus, speichern wir den ausgewählten Namen bei dem betreffenden Drop; er fließt in den Auftrag an unsere Text-KI ein und kann im fertigen Werk vorkommen. Für diese Angabe gilt die in §6 für die Rohdaten des Fragebogens genannte Frist.

6. Speicherdauer und Löschung

Da unsere Dienstleistung häufig Daten von Minderjährigen (z.B. Vornamen, Alter) enthält, wenden wir strenge Datenminimierung an. Wie lange wir etwas speichern, hängt davon ab, wozu es gehört. Wir unterscheiden vier Fälle: das bestellte Werk, die Daten Ihres Nutzerkontos, die Rohdaten des Fragebogens und Aufzeichnungen über Sicherheitsvorfälle.

Das Werk bleibt. Die Geschenk-Landingpage (der „Drop") und die dazugehörigen Mediendateien werden nicht nach einer festen Frist gelöscht. Eine automatische Löschung durch Zeitablauf findet nicht statt. Ein Drop wird gelöscht, wenn Sie als Besteller (Producer) oder die beschenkte Person (die „Legende") bzw. deren Erziehungsberechtigte dies verlangen — nicht, weil eine Frist abgelaufen ist.

Ausnahme: Videoclips. Sofern zu einem Drop ein Videoclip erzeugt wird, ist dieser eine kurzlebige Zusatzdarstellung und keine dauerhaft vorgehaltene Datei. Videodateien werden 14 Tage nach ihrer Erstellung automatisch gelöscht. Musikstück, Coverbild (J-Card) und die Drop-Seite selbst sind davon nicht betroffen.

Das bestellte Werk selbst — das gelieferte Musikstück (MP3) und die zugehörige J-Card — enthält in Audio und Gestaltung den Vornamen der Legende und wird als Vertragsleistung dauerhaft als Geschenk an den Besteller geliefert. Wir bewahren diese Werke entsprechend zur Bereitstellung über Ihre Geschenk-Landingpage auf (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung). Auf Verlangen löschen wir auch das Werk und deaktivieren die zugehörige Landingpage (Art. 17 DSGVO).

Löschung durch Sie selbst. Als angemeldeter Producer können Sie einen von Ihnen erstellten Drop in Ihrem Studio-Profil jederzeit selbst vollständig löschen; dabei werden die Mediendateien, die zugehörigen Fragebogendaten und die Geschenk-Landingpage entfernt. Ist zu einem Drop ein Eintrag in unserem Künstlerfonds-Register erfasst, den wir handels- und steuerrechtlich aufbewahren müssen (§ 147 AO, § 257 HGB), ist die Selbstlöschung gesperrt; wenden Sie sich in diesem Fall an anna@bdrop.studio, wir bearbeiten die Anfrage manuell.

Ihre E-Mail-Adresse (zur Zustellung und für Ihre Kundenbeziehung) wird separat in Ihrem Nutzerkonto gespeichert und ist von den in diesem Abschnitt beschriebenen Löschungen und Anonymisierungen nicht betroffen.

Wenn Sie einen Drop auf seiner Seite merken, speichern wir in Ihrem Nutzerkonto, welchen Drop Sie gemerkt haben, damit Sie ihn in Ihrem Studio wiederfinden (Art. 6 Abs. 1 lit. b DSGVO). Der Eintrag wird gelöscht, wenn Sie ihn entfernen, der Drop gelöscht wird oder Sie Ihr Nutzerkonto löschen lassen.

Abmeldungen bleiben bestehen. Wenn Sie sich von einer E-Mail abmelden oder der Nutzung Ihrer E-Mail-Adresse widersprechen, vermerken wir dies in einer gesonderten Sperrliste. Diese Liste enthält keine Klartext-Adressen, sondern ausschließlich nicht umkehrbare Hashwerte. Sie besteht auch dann fort, wenn Sie Ihr Nutzerkonto oder Ihre Daten später löschen lassen — andernfalls könnten wir Sie nach einer Löschung erneut anschreiben, obwohl Sie dies abgelehnt haben. Die Sperrliste dient allein dazu, Ihre Abmeldung dauerhaft zu beachten; sie wird für keinen anderen Zweck verwendet. Rechtsgrundlage sind unsere rechtlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse, Ihren Widerspruch zuverlässig umzusetzen (Art. 6 Abs. 1 lit. f DSGVO).

Rohdaten des Fragebogens. Die Angaben, die Sie im Fragebogen machen und die nicht in das Werk eingehen — Freitext, die einzelnen Antworten, die im jeweiligen Vorgang gespeicherte Kopie Ihrer E-Mail-Adresse und Ihres Namens, die angegebene Beziehung zur Legende sowie ein etwaiger Doppel-Jester-Treffer — anonymisieren wir, sobald ein Drop 18 Monate lang nicht mehr aufgerufen wurde. Maßgeblich ist der letzte Aufruf der Drop-Seite; wurde die Drop-Seite nie aufgerufen, zählt das Erstellungsdatum. Solange ein Drop weiterhin angesehen wird, läuft diese Frist nicht. Nicht erfasst sind: die E-Mail-Adresse Ihres Nutzerkontos (siehe oben) sowie etwaige im Geschenkdatensatz hinterlegte E-Mail-Adressen von Besteller und Beschenktem — sie ordnen das Geschenk seinen beiden Beteiligten zu und bestehen, wie das Geschenk selbst, ohne feste Frist fort. Eine Kopie Ihrer Angaben kann sich zusätzlich in dem unter §6c beschriebenen Qualitätssicherungs-Datensatz befinden; dort gilt die dort genannte Frist. Diese Regel ist aktiv; bislang hat jedoch kein Drop die 18-Monats-Frist erreicht, sodass auf diesem Weg noch keine Daten anonymisiert wurden.

Aufzeichnungen über Sicherheitsvorfälle (z.B. ausgelöste Inhaltsfilter) speichern wir zur Vorfallsanalyse auf Grundlage unseres berechtigten Interesses an der Sicherheit unseres Dienstes (Art. 6 Abs. 1 lit. f i.V.m. Art. 32 DSGVO). Gespeichert werden dabei der auslösende Text Ihrer Eingabe, der beanstandete Begriff, eine Kategorie- und Schwereeinstufung sowie die IP-Adresse des Aufrufs. Für Aufzeichnungen besteht derzeit keine feste automatische Löschfrist; wir speichern sie, solange dies zur Aufklärung und Abwehr von Missbrauch erforderlich ist. Aufzeichnungen aus dem Kinderbereich (/kids) werden bei künftiger Aktivierung des automatischen Bereinigungslaufs 30 Tage nach ihrer Entstehung gelöscht. Sie können die Löschung Ihrer Daten jederzeit verlangen (§9).

6a. Lineup — Persönliche Merkliste (Producer-CRM)

Als angemeldeter Nutzer (Producer) haben Sie die Möglichkeit, ausgewählte Personen, denen Sie zukünftig einen Drop schenken möchten, in Ihre persönliche Lineup-Liste aufzunehmen. Hierbei verarbeiten wir folgende Daten: Vorname, Geburtstag (Tag/Monat/ Jahr), sowie optional Beziehung, Lookalike, Outfit, Superkraft, Schwäche und Lieblingsmusik der gespeicherten Person sowie optionale Notizen („Memories"), die Sie als Producer hinzufügen.

Zweck: Die Lineup-Liste dient als Ihre persönliche Merkliste, um zukünftige Geburtstags-Drops für die gespeicherten Personen zu beschleunigen („Producer-CRM").

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Sie beauftragen uns mit dem Speichern der Liste als Teil der Studio-Funktionen, die Sie als angemeldeter Nutzer in Anspruch nehmen.

Speicherdauer: Lineup-Einträge werden so lange gespeichert, bis Sie einen einzelnen Eintrag oder die gesamte Liste über Ihr Studio-Profil löschen; mit einem Eintrag werden auch die dazu gespeicherten Memories entfernt. Löschen Sie eine einzelne Memory-Notiz, wird diese ausgeblendet und nicht mehr verwendet; vollständig entfernt wird sie mit dem zugehörigen Lineup-Eintrag oder auf Ihr Verlangen. Auf Verlangen löschen wir Ihre Lineup-Einträge einschließlich der Memories vollständig; wenden Sie sich hierfür an anna@bdrop.studio (siehe §9).

Erinnerungen per E-Mail: Nähert sich der von Ihnen gespeicherte Geburtstag eines Lineup-Eintrags, senden wir Ihnen an die in Ihrem Nutzerkonto hinterlegte E-Mail-Adresse eine Erinnerung — in der Regel sieben bis vierzehn Tage vor dem Termin und höchstens einmal jährlich je Eintrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen beauftragte Merkfunktion sowie Art. 6 Abs. 1 lit. f DSGVO, soweit die Erinnerung zugleich auf unser eigenes Angebot hinweist. Sie können dieser Nutzung Ihrer E-Mail-Adresse jederzeit widersprechen — über den Abmeldelink in jeder Erinnerung, über Ihr Studio-Profil oder formlos an anna@bdrop.studio; hierfür entstehen Ihnen keine anderen als die Übermittlungskosten nach den Basistarifen.

Trennung vom Fragebogen-Dossier: Lineup-Einträge sind technisch und datenschutzrechtlich von den unter §6 genannten Rohdaten des Fragebogens getrennt und werden unabhängig von der dortigen 18-Monats-Inaktivitätsfrist gespeichert.

6b. Empfänger-E-Mail bei Compilations (gemeinschaftliche Geschenke)

Wenn Sie als Gastgeber eine Compilation erstellen, erheben wir die von Ihnen angegebene E-Mail-Adresse des Beschenkten („der Legende"), um das fertige Werk ausschließlich auf Ihre aktive Veranlassung hin an diese Adresse zu übermitteln. Ohne Ihre ausdrückliche Freigabe erfolgt keine Kontaktaufnahme mit dem Beschenkten.

Rechtsgrundlage: Durchführung des mit Ihnen geschlossenen Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der reibungslosen Abwicklung des Geschenkversands (Art. 6 Abs. 1 lit. f DSGVO). Sie sichern uns zu, zur Angabe und Verarbeitung dieser E-Mail-Adresse berechtigt zu sein (siehe AGB).

Verarbeiter: Der Versand an den Beschenkten erfolgt über unseren E-Mail-Dienstleister Resend, Inc. (USA, Standardvertragsklauseln).

Speicherdauer: Wir speichern die E-Mail-Adresse des Beschenkten, solange die Compilation besteht. Eine feste Löschfrist besteht derzeit nicht. Auf Verlangen löschen wir die Adresse jederzeit; wenden Sie sich hierfür an anna@bdrop.studio (siehe §9). Bitte beachten Sie: Eine bereits an den Beschenkten ausgelieferte Compilation kann nicht mehr vom Gastgeber selbst gelöscht werden, damit das übergebene Geschenk erreichbar bleibt.

6c. Datensicherung und interne Qualitätssicherung

Zur Gewährleistung der Ausfallsicherheit sichern wir die Daten des Dienstes in der EU (Backup). Unser Datenbankanbieter erstellt hierzu tägliche Sicherungen, die rollierend sieben Tage vorgehalten und anschließend automatisch überschrieben werden. Löschungen und Anonymisierungen wirken nicht rückwirkend in bereits erstellte Backups; wird ein Backup eingespielt, führen wir die zwischenzeitlich erfolgten Löschungen und Anonymisierungen erneut aus, bevor der Dienst wieder allgemein erreichbar ist.

Zur Verbesserung unserer KI-Modelle speichern wir zudem Inhalte von Drops (einschließlich der von Ihnen eingegebenen Angaben) in einem zugriffsbeschränkten, ausschließlich intern genutzten Datensatz in der EU. Dieser Datensatz wird für maximal 24 Monate vorgehalten und anschließend gelöscht. In diesen Datensatz übernehmen wir automatisiert auch die an die KI-Modelle gesendeten Anfragen und deren Antworten; in unserer eigenen Datenbank werden diese Inhalte zehn Tage nach ihrer Entstehung entfernt, sobald die zugehörige Produktion abgeschlossen ist. Bleibt eine Produktion unabgeschlossen, entfernen wir die Inhalte auf Verlangen. Auf Verlangen löschen wir Ihre dort gespeicherten Daten auch vorher (Recht auf Löschung). Daten von Drops aus dem Kinderbereich (/kids) werden in diesen Datensatz nicht aufgenommen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Backup) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit und Produktverbesserung).

6e. Besonderheiten im Kinderbereich (/kids)

Für Drops, die im Kinderbereich (/kids) für minderjährige Legenden erstellt werden, gelten zusätzliche Schutzmaßnahmen gemäß den erhöhten Anforderungen des Art. 8 DSGVO sowie Erwägungsgrund 38 DSGVO:

Das Geschenk bleibt dauerhaft erhalten. Auch im Kinderbereich wird das bestellte Werk (Song, J-Card-Cover, Drop-Landingpage) als persönliches Geschenk dauerhaft bereitgestellt. Da der Vorname des Kindes im Song gesungen und auf der J-Card abgebildet ist, wird dieser im Werk nicht gelöscht. Eine Löschung des gesamten Drops erfolgt jederzeit auf Verlangen des Erziehungsberechtigten oder der Legende selbst (Art. 17 DSGVO).

Strenge Zweckbindung der Rohdaten. Die im Fragebogen gemachten Angaben werden ausschließlich zur Produktion des Drops verwendet und gelangen nicht in den allgemeinen Trainings- oder Qualitätssicherungs-Datensatz (siehe §6c). Bei künftiger Aktivierung des automatischen Löschsystems für den Kinderbereich werden die Rohdaten nach 90 Tagen anonymisiert; bis zu dieser Aktivierung bewahren wir die Daten minimiert auf und löschen sie jederzeit vorzeitig auf Verlangen der Erziehungsberechtigten.

Sicherheitsaufzeichnungen aus dem Kinderbereich werden bei Aktivierung des entsprechenden Bereinigungslaufs nach 30 Tagen gelöscht. Protokolle der KI-Anfragen (Eingabe und Antwort des Modells) werden nach Aktivierung des automatischen Bereinigungslaufs für den Kinderbereich 90 Tage nach Erstellung des Drops unwiderruflich geschwärzt; bis zu dieser Aktivierung bleiben sie gespeichert.

7. Warteliste und E-Mail-Kommunikation

Wenn Sie sich für unsere Warteliste eintragen, nutzen wir das Double-Opt-In-Verfahren, um Ihre E-Mail-Adresse zu verifizieren. Hierbei erfassen wir Ihre E-Mail-Adresse, optional Ihren Vornamen sowie zur Missbrauchsprävention und zum Nachweis der Einwilligung die IP-Adresse der Anmeldung. Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir nutzen Ihre E-Mail-Adresse, um Sie über den Launch, Neuigkeiten und Angebote zu bdrop.studio zu informieren. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (z.B. über den Abmelde-Link in jeder E-Mail).

Nachweis Ihrer Einwilligung. Zu jeder Einwilligung und zu jedem Widerspruch speichern wir einen gesonderten Nachweis: einen nicht umkehrbaren Hashwert Ihrer E-Mail-Adresse, gegebenenfalls die Kennung Ihres Nutzerkontos, den betroffenen Zweck, ob es sich um eine Erteilung oder einen Widerruf handelt, die Fassung des Ihnen angezeigten Einwilligungstextes, die Sprache, einen Hashwert der IP-Adresse sowie den Zeitpunkt. Diese Nachweise werden ausschließlich ergänzt und nie überschrieben — ein Widerruf löscht die vorherige Erteilung nicht, sondern tritt als neuer Eintrag daneben. Rechtsgrundlage ist unsere Pflicht, Einwilligungen nachweisen zu können (Art. 7 Abs. 1 DSGVO i.V.m. Art. 6 Abs. 1 lit. c DSGVO).

8. Zahlungsabwicklung

Zur Abwicklung von Zahlungen geben wir die hierfür erforderlichen Zahlungsdaten an unsere Zahlungsdienstleister weiter (insbesondere Stripe Payments Europe, Ltd., Irland bzw. Stripe, Inc., USA; abgesichert über EU-Standardvertragsklauseln gemäß Art. 46 DSGVO). Die Rechtsgrundlage für die Weitergabe der Daten ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet die Daten für die Zahlungsabwicklung als eigenständiger Verantwortlicher, nicht in unserem Auftrag; es gilt die Datenschutzerklärung von Stripe.

Welche Daten bei einem Kauf anfallen. Die Bezahlseite stellt Stripe bereit. Ihre E-Mail-Adresse und Ihre Zahlungsdaten geben Sie dort direkt bei Stripe ein; Kartendaten erreichen bdrop.studio nicht. Wir übermitteln an Stripe die Kennung Ihres Nutzerkontos, das gekaufte Produkt mit Menge und Preis sowie Ihre Bestätigung zum vorzeitigen Erlöschen des Widerrufsrechts mit Zeitpunkt und Fassung des Hinweistextes. Bei uns gespeichert werden die Kennung Ihres Nutzerkontos, die Zahlungskennung von Stripe, Betrag, Menge und Zeitpunkt des Kaufs. Die enthaltene Umsatzsteuer weist Stripe auf Ihrem Beleg aus.

Speicherdauer. Buchungs- und Zahlungsbelege: 8 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Lassen Sie Ihr Nutzerkonto vorher löschen, entfernen wir die Verbindung des Belegs zu Ihrem Konto; der Beleg selbst bleibt bis zum Ende der Frist bestehen. Rechtsgrundlage ist unsere gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO).

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie Datenübertragbarkeit (Art. 20 DSGVO). Zur Ausübung dieser Rechte wenden Sie sich bitte an: anna@bdrop.studio

Das Löschungsrecht hat gesetzliche Grenzen. Handels- und steuerrechtliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB) sind in §6, §8 und §10 beschrieben, die Sperrliste für Abmeldungen, die eine Löschung bewusst überdauert, in §6.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Verarbeitungen auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO) — insbesondere die Aufbewahrung von Sicherheitsvorfällen (§6), die Datensicherheit und interne Qualitätssicherung (§6c), die Präsentation ausgewählter Drops auf The Crate (§11), die Bearbeitung von Eskalationen (§12), die Reichweitenmessung (§13) sowie die Feedback- und Missbrauchsprävention (§14) —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Sie haben das Recht, jederzeit Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Direktwerbung einzulegen. Dies gilt insbesondere für die Geburtstagserinnerungen zu Ihren Lineup-Einträgen (§6a). Widersprechen Sie, verarbeiten wir Ihre Daten für diese Zwecke nicht mehr.

Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit eine Verarbeitung auf Ihrer Einwilligung beruht — insbesondere unsere Wartelisten- und Newsletter-E-Mails (§7) sowie die Foto-Analyse „Doppel-Jester“ (§5) — können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf ist so einfach wie die Erteilung: bei E-Mails genügt der Abmelde-Link in jeder E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Sie haben außerdem das Recht, Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde einzulegen. Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Telefon +49 (0) 981 180093-0, E-Mail poststelle@lda.bayern.de. Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

10. Künstler-Bewerbungen (Scene Drop)

Unabhängige Musikerinnen und Musiker können sich über das Formular auf /artists für das Scene-Drop-Programm von bdrop.studio bewerben.

Erhobene Daten

Im Rahmen der Bewerbung verarbeiten wir folgende Daten: Künstler- oder Bandname, Musik-URL (Spotify, Apple Music, SoundCloud, YouTube, Bandcamp oder Instagram), optionale E-Mail-Adresse, bevorzugte Shoutout-Plattform sowie die Einwilligung zur Datenspeicherung (DSGVO-Einwilligungserklärung).

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (siehe Löschung unten).

Speicherdauer

Bewerbungsdaten (Status: aktiv, zurückgezogen oder nicht ausgewählt) werden unbefristet gespeichert, bis eine explizite Löschanfrage eingeht. Datensätze geförderter Künstlerinnen und Künstler (Status: funded) unterliegen der handels- und steuerrechtlichen Aufbewahrungspflicht gemäß § 147 AO und werden 10 Jahre aufbewahrt.

Löschung / Widerruf

Zur Löschung Ihrer Bewerbungsdaten oder zum Widerruf Ihrer Einwilligung wenden Sie sich per E-Mail an anna@bdrop.studio unter Angabe Ihres Künstler- oder Bandnamens und der eingereichten Musik-URL. Eine Angabe Ihrer E-Mail-Adresse ist nicht erforderlich. Förderungsbelege (funded) sind von der Löschung ausgenommen (§ 147 AO).

Wall of Fame

Geförderte Künstlerinnen und Künstler werden auf der öffentlichen Wall of Fame auf /artists angezeigt (Name, Musik-URL, Monat/Jahr der Förderung, optionaler redaktioneller Hinweis). Eine separate Einwilligung ist nicht erforderlich, da die Veröffentlichung Teil des Sponsoringvertrags ist.

11. The Crate — Öffentliche Galerie

The Crate ist eine kuratierte Galerie auf bdrop.studio, in der ausgewählte Birthday Drops öffentlich angezeigt werden. Sie zeigt die kreativen Ergebnisse unserer Plattform und gibt neuen Besucherinnen und Besuchern einen Eindruck davon, was bdrop.studio produziert.

Welche Daten erscheinen auf The Crate?

Für jeden vorgestellten Drop können folgende Informationen öffentlich angezeigt werden: Songtitel, Vorname und Alter der beschenkten Person, die Beziehung in allgemeiner Form — gegebenenfalls einschließlich der Angabe, von wem das Geschenk stammt (z. B. „beste Freundin“, „Papa, von den Kindern“) —, J-Card-Artwork (KI-generiertes Coverbild), Genre, Sprache und Roast Level des Songs, ein Panel-Urteil (ein Satz unseres KI-Review-Panels), Sass Density und Street Cred (automatisierte Qualitätswerte 0–10) sowie ein Link zur Drop-Seite. The Crate ist öffentlich zugänglich; diese Angaben können von Suchmaschinen erfasst und in deren Ergebnissen angezeigt werden.

Was wird niemals angezeigt?

Nachname oder vollständiger Name der beschenkten Person, Name oder Kontaktdaten der erstellenden Person, die übrigen Angaben aus dem Fragebogen (Geschichten, Erinnerungen, Insider – das Dossier) sowie sonstige personenbezogene Informationen.

Rechtsgrundlage

Die Veröffentlichung erfolgt auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), die Qualität unseres Angebots gegenüber potenziellen Kunden zu demonstrieren. Drops von Kunden erscheinen auf The Crate nur, wenn der Producer sie dafür angemeldet und dabei bestätigt hat, dass die beschenkte Person mit der Veröffentlichung einverstanden ist, und das bdrop.studio-Team die Veröffentlichung bestätigt hat. Daneben zeigt The Crate Beispiel-Drops, die bdrop.studio selbst produziert hat. Vor jeder Veröffentlichung prüft das System automatisch die Voraussetzungen; Drops für Personen unter 18 Jahren werden technisch blockiert und nicht veröffentlicht.

Entfernung beantragen

Wenn Ihr Drop — oder ein Drop, in dem Sie erscheinen — auf The Crate angezeigt wird und Sie eine Entfernung wünschen, schreiben Sie an anna@bdrop.studio mit dem Betreff „Crate-Entfernungsantrag" und dem Link zur Drop-Seite. Wir bearbeiten Entfernungsanträge innerhalb von 72 Stunden. Vorgestellte Drops verbleiben auf The Crate, bis der Producer sie zurückzieht, das Team sie entfernt oder ein Entfernungsantrag bearbeitet wurde. Bereits von Suchmaschinen erfasste Inhalte können dort noch eine Zeit lang sichtbar bleiben; auf deren Aktualisierung haben wir keinen unmittelbaren Einfluss.

12. Producer-Eskalationen und Kundenservice

Wenn Sie als Drop-Ersteller (Producer) nach einem Re-Run Ihres Drops weiterhin unzufrieden sind, können Sie eine Eskalation an den Kundenservice senden. Hierbei verarbeiten wir: Ihre als Producer hinterlegte E-Mail-Adresse, Ihren Eskalationsgrund (Freitext, max. 2.000 Zeichen) sowie den Bezug zum betreffenden Drop.

Zweck & Rechtsgrundlage: Bearbeitung Ihrer Beschwerde, Servicequalität sowie technische Verbesserung unseres Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Übermittlung an Drittanbieter: Eskalationen werden zur internen Bearbeitung an unseren Kommunikationsdienstleister Slack (Slack Technologies LLC, USA) übermittelt. Außerdem versenden wir eine Benachrichtigung über unseren E-Mail-Dienstleister Resend (Resend, Inc., USA). Beide Übermittlungen erfolgen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).

Speicherdauer: Eskalationsdaten speichern wir, solange dies zur Bearbeitung Ihrer Beschwerde und zur Qualitätssicherung erforderlich ist. Eine feste Löschfrist besteht derzeit nicht; auf Verlangen löschen wir Ihre Eskalationsdaten (siehe §9).

13. Reichweitenmessung (PostHog)

Zur statistischen Auswertung der Nutzung und zur Verbesserung unseres Dienstes setzen wir den Analysedienst PostHog (PostHog, Inc., Serverstandort: EU) ein.

Bewusst datensparsam. Wir setzen hierfür keine Cookies ein und speichern keine Kennungen auf Ihrem Endgerät: Die Messung im Browser erfolgt ausschließlich im Arbeitsspeicher und endet mit dem Seitenbesuch. Eine Einwilligung nach § 25 TDDDG (ehemals TTDSG) ist deshalb nicht erforderlich. Eine Aufzeichnung von Sitzungen (Session Recording) sowie eine automatische Erfassung sämtlicher Klicks finden nicht statt. Inhalte Ihres Fragebogens, Namen, E-Mail-Adressen sowie Adresszusätze aufgerufener Links werden vor der Übermittlung technisch entfernt. IP-Adressen werden bei PostHog nicht gespeichert, sondern beim Eingang verworfen.

Ereignisse von unseren Servern. Einzelne Vorgänge (z.B. „Drop erstellt", „Bewertung abgegeben", „Compilation abgeschlossen") übermitteln wir zusätzlich unmittelbar von unseren Servern an PostHog. Sind Sie angemeldet, wird dabei die Kennung Ihres Nutzerkontos übermittelt; sind Sie nicht angemeldet, eine zufällige, sitzungsbezogene Kennung oder die Kennung des betreffenden Drops. Inhalte des Fragebogens, Namen und E-Mail-Adressen werden auch hierbei vor der Übermittlung entfernt. Diese Ereignisse werden bei PostHog gespeichert und enden nicht mit Ihrem Seitenbesuch. Alle bei PostHog gespeicherten Ereignisse werden nach spätestens 12 Monaten gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung und Reichweitenmessung unseres Dienstes). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO; siehe §9).

14. Feedback und Bewertung im Studio

Wenn Sie uns über die Feedback-Funktion eine Rückmeldung geben, verarbeiten wir Ihre Angaben: Bewertungen, ausgewählte Schlagworte sowie einen optionalen Freitext von maximal 200 Zeichen. Sofern Sie angemeldet sind, ordnen wir die Rückmeldung Ihrem Nutzerkonto zu. Zusätzlich verwenden wir eine zufällig erzeugte Kennung, die ausschließlich im Zwischenspeicher Ihres Browsers (Session Storage) abgelegt wird und mit dem Schließen des Tabs verfällt. Diese Kennung dient dazu, Mehrfacheinsendungen und automatisierten Missbrauch zu unterbinden.

Schutz vor automatisierten Einsendungen. Vor dem Absenden durchlaufen Sie eine Bot-Prüfung mit dem Dienst Turnstile der Cloudflare, Inc. Dabei werden Ihre IP-Adresse und technische Angaben Ihres Browsers an Cloudflare übermittelt (siehe §3). Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr automatisierter Zugriffe (Art. 6 Abs. 1 lit. f DSGVO).

Automatisierte Auswertung: Ihr Freitext wird nach einer technischen Bereinigung über unseren KI-Vermittlungsdienst OpenRouter, Inc. (USA) an ein Sprachmodell (Google Gemini; ersatzweise Anthropic Claude) übermittelt und dort automatisiert bewertet. Von dieser Bewertung hängt ab, ob Ihnen eine kostenfreie Kassette gutgeschrieben wird (siehe §16). Der Drittlandtransfer ist durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.

Rechtsgrundlage & Speicherdauer: Die Verarbeitung Ihres Feedbacks erfolgt auf Grundlage unseres berechtigten Interesses an der Qualitätssicherung und stetigen Verbesserung unserer Produktionen (Art. 6 Abs. 1 lit. f DSGVO). Feedback-Daten werden zusammen mit dem betreffenden Drop gespeichert und im Falle der Löschung des Drops vollständig mitgelöscht.

15. Informationen für Personen, über die ein Drop erstellt wird (Art. 14 DSGVO)

Die vorstehenden Abschnitte richten sich an den Besteller (Producer). Werden Sie in einem Drop genannt oder dargestellt, ohne selbst Besteller zu sein — etwa als beschenkte Person („Legende"), als in einer Erzählung genannter Dritter oder als Eintrag in der Lineup-Liste eines Producers —, gilt Folgendes.

Herkunft der Daten: Wir haben Ihre Daten nicht bei Ihnen selbst erhoben, sondern von dem Producer erhalten, der den Drop in Auftrag gegeben oder Sie in seine Lineup-Liste aufgenommen hat.

Kategorien: Vorname, gegebenenfalls Geburtstag, Beziehung zum Producer sowie die vom Producer gemachten freien Angaben über Sie; bei Nutzung der Funktion „Doppel-Jester" zusätzlich ein Lichtbild, das ausschließlich für eine einmalige Analyse verarbeitet und von uns nicht dauerhaft gespeichert wird.

Zwecke und Rechtsgrundlage: Herstellung und dauerhafte Bereitstellung eines persönlichen Geschenks im privaten Umfeld. Rechtsgrundlage ist unser berechtigtes Interesse und das des Producers hieran (Art. 6 Abs. 1 lit. f DSGVO). Der Producer sichert uns vertraglich zu, zur Angabe Ihrer Daten berechtigt zu sein.

Empfänger und Speicherdauer: wie in §3 und §6 beschrieben.

Ihre Rechte: Ihnen stehen die in §9 genannten Rechte zu. Insbesondere können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung widersprechen (Art. 21 Abs. 1 DSGVO) und die Löschung des Drops verlangen (Art. 17 DSGVO). Ein solches Verlangen setzen wir um, auch wenn der Producer damit nicht einverstanden ist. Wenden Sie sich hierfür an anna@bdrop.studio und geben Sie nach Möglichkeit den Link zur Drop-Seite an. Handelt es sich um eine minderjährige Legende, können auch die Erziehungsberechtigten dieses Verlangen stellen.

Warum wir Sie nicht unmittelbar informieren: Uns liegen in der Regel keine Kontaktdaten von Ihnen vor; deren Beschaffung wäre mit unverhältnismäßigem Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO). Diese Erklärung ist die an ihre Stelle tretende öffentliche Information.

16. Automatisierte Entscheidungen

Zwei Vorgänge unseres Dienstes laufen automatisiert ab.

(a) Sicherheits- und Jugendschutzprüfung: Ein KI-gestützter Filter kann die Produktion eines Drops abbrechen, wenn Eingaben oder Zwischenergebnisse gegen unsere Sicherheits- und Jugendschutzvorgaben verstoßen. In diesem Fall wird eine bereits erfolgte Zahlung erstattet bzw. die eingesetzte Kassette nicht verbraucht.

(b) Bewertung von Feedback: Geben Sie im Studio Feedback ab, wird Ihr Freitext automatisiert bewertet; von dieser Bewertung hängt ab, ob Ihnen eine kostenfreie Kassette gutgeschrieben wird.

In beiden Fällen können Sie das Eingreifen einer Person unsererseits erwirken, Ihren Standpunkt darlegen und die Entscheidung anfechten. Wenden Sie sich hierfür an anna@bdrop.studio.