Datenschutzerklärung

Kurz gefasst

Volta ist ein kostenloses, persönliches Projekt. Ihre Daten werden nie verkauft, vermietet oder für Werbung genutzt — es gibt keine Werbung, kein Werbenetzwerk und kein Geschäftsmodell hinter diesem Dienst.

Verarbeitet werden nur die Daten, die für den Betrieb der Anwendung erforderlich sind.

Wer Ihre Daten verarbeitet

Verantwortlicher ist der Herausgeber von Volta, eine Privatperson, die nicht gewerblich veröffentlicht. Für Fragen oder zur Ausübung Ihrer Rechte: [email protected].

Diese Website

Diese Website hat kein Formular, kein Konto und keine Analysewerkzeuge. Es werden keine Cookies gesetzt.

Die angezeigte Sprache wird bei jedem Besuch aus der Sprache abgeleitet, die Ihr Browser angibt. Ein Umschalter am Seitenende erlaubt es, sie zu ändern: Diese Wahl gilt nur für den Besuch, sie wird weder gespeichert noch übermittelt, und beim nächsten Neuladen übernimmt wieder die Erkennung.

Die Seite volta-music.com/social ist die Ausnahme, weil sie keine eigene Adresse je Sprache hat: Die dort getroffene Wahl wird im lokalen Speicher Ihres Browsers unter dem Schlüssel „volta:social-lang“ abgelegt, der nichts als „fr“ oder „en“ enthält. Es ist das Einzige, was diese Website in Ihren Browser schreibt, es bleibt auf Ihrem Gerät und wird an niemanden gesendet. Das Löschen der Website-Daten entfernt es, und die Erkennung übernimmt wieder. Keine andere Seite dieser Website schreibt etwas in Ihren Browser.

Diese Website setzt kein eigenes Cookie. Wenn Sie in Ihrem Volta-Konto angemeldet sind, fragt sie account.volta-music.com ab, um Ihren Benutzernamen und Ihr Profilbild im Kopfbereich anzuzeigen; das dafür verwendete Sitzungs-Cookie gehört zum Kontobereich und ist für diese Website nie lesbar. Ohne Sitzung werden keine Daten über Sie abgefragt.

Schriften liefert diese Website selbst aus: Es geht keine Anfrage an Google Fonts, Ihre IP-Adresse wird also nie dorthin gesendet.

Das Songtext-Panel auf der Startseite aktualisiert sich von unseren eigenen Servern, ohne ihnen etwas über Sie zu senden. Das Cover des angezeigten Titels wird jedoch je nach Quelle vom Bild-CDN von Spotify oder Deezer ausgeliefert: Die Anzeige dieses Bildes sendet Ihre IP-Adresse an den betreffenden CDN-Betreiber.

Ihre IP-Adresse wird außerdem von Cloudflare verarbeitet, das die Website hostet, um die Seiten auszuliefern und den Dienst abzusichern.

Die Anwendung Volta

Die Anwendung, die auf einer eigenen Domain gehostet wird, verarbeitet die für ihren Betrieb erforderlichen Daten:

• Konto: Benutzername, E-Mail-Adresse und Passwort — das Passwort wird nie im Klartext gespeichert, sondern nur als Hash;
• Profilbild, sofern Sie eines hinzufügen;
• Nutzung: Bibliothek, Playlists, Favoriten, Verlauf und Wiedergabeposition — nötig für die Synchronisierung zwischen Geräten;
• Teilen: Wenn Sie eine gemeinsame Playlist oder eine gemeinsame Hörsession öffnen, wird die Verknüpfung zwischen Ihrem Konto und den Konten der Teilnehmenden gespeichert, solange das Teilen andauert;
• Empfehlungen: Wenn jemand sein Konto mit Ihrem Code eröffnet, wird die Verknüpfung zwischen Ihrem Konto und seinem samt Datum gespeichert. Diese Verknüpfung besteht, solange beide Konten bestehen. Die geworbene Person sieht, wer sie geworben hat, und Sie sehen immer nur deren Benutzernamen;
• Vorabzugang: Wenn Sie darum bitten, die vorab ausgelieferten Versionen zu erhalten, die Adresse oder Adressen, die Sie zu diesem Zweck angeben — eine je Plattform, da eine Apple-ID und das Postfach, das Sie auf Ihrem Android-Telefon abrufen, selten dasselbe sind. Sie sind von der Adresse Ihres Kontos getrennt, Sie geben sie selbst an, und Sie können sie jederzeit entfernen. Sie werden ausschließlich an Apple für TestFlight und an Google für Firebase App Distribution weitergegeben, die Ihnen die Einladungen zusenden;
• technische Daten: Gerätetyp und Verbindungsprotokolle, für Sicherheit und Fehlersuche.

Ihre IP-Adresse dient dazu, Anfragen zu begrenzen und Missbrauch zu verhindern. Sie wird nie in die Datenbank geschrieben: Sie bleibt einige Minuten im Arbeitsspeicher und verschwindet dann.

Authentifizierung

Die Kontoverwaltung läuft über Zitadel, eine quelloffene Identitätslösung, die wir selbst hosten. Ihre Zugangsdaten werden also keinem Drittanbieter anvertraut: Sie bleiben auf derselben Infrastruktur wie der übrige Dienst.

Sie können sich auch mit einem Google-, Apple- oder Discord-Konto anmelden. Nur in diesem Fall wird der betreffende Anbieter bei der Anmeldung kontaktiert: Er erfährt, dass Sie sich bei Volta anmelden, und übermittelt uns die zur Kontoerstellung nötigen Angaben — Kennung, E-Mail-Adresse, Anzeigename und gegebenenfalls Profilbild. Diese Anbieter haben ihren Sitz in den Vereinigten Staaten und wenden ihre eigenen Datenschutzerklärungen an.

Import aus einem anderen Dienst

Der Import von Spotify läuft über eine Datei: Sie exportieren Ihre Bibliothek bei Spotify und senden uns diese Datei. Volta greift nie auf Ihr Spotify-Konto zu und bewahrt keine darauf bezogene Berechtigung auf.

Bei Apple Music, YouTube, Last.fm und Tidal läuft der Import über eine Berechtigung: Sie erlauben Volta den Zugriff auf Ihr Konto bei diesem Dienst, und Volta bewahrt dann das vom Anbieter ausgestellte Zugriffstoken samt zugehörigem Refresh-Token auf.

Das ist mehr als eine Kopie Ihrer Playlists: Solange es gültig ist, gewährt dieses Token echten Zugriff auf Ihr Konto bei dem betreffenden Dienst. Es wird aufbewahrt, damit der Import fortgesetzt oder aufgefrischt werden kann, ohne jedes Mal erneut Ihre Berechtigung einzuholen.

Sie können es jederzeit in Ihrem Kontobereich entfernen. Volta löscht es dann von seinen Servern und verlangt, sofern der Anbieter einen Widerrufsmechanismus anbietet — YouTube tut das —, seine sofortige Ungültigmachung.

Apple Music, Tidal und Last.fm bieten keinen solchen Mechanismus: Das Token verschwindet von unseren Servern und Volta verwendet es nicht mehr, aber nur ein Widerruf in Ihrem Konto beim Anbieter beendet es mit Sicherheit. Der entsprechende Link wird in Ihrem Kontobereich angezeigt.

API-Schlüssel

Wenn Sie in Ihrem Kontobereich Schlüssel erstellen, bewahrt Volta deren Namen, Beschreibung, öffentliche Kennung, erteilte Berechtigungen sowie das Datum der Erstellung und der letzten Verwendung auf. Dieses letzte Datum erlaubt es uns, Sie auf Schlüssel hinzuweisen, die Sie nicht mehr nutzen.

Das zugehörige Geheimnis wird nie im Klartext aufbewahrt: Gespeichert wird nur ein Einweg-Fingerabdruck, dazu die ersten Zeichen, damit Sie den Schlüssel in der Liste wiedererkennen. Es erscheint daher weder in Ihrem Datenexport noch sonst irgendwo.

Diese Angaben werden aufbewahrt, solange der Schlüssel besteht. Mit dem Löschen des Schlüssels werden sie gelöscht, zusammen mit allen daraus ausgestellten Token.

Fehlermeldungen

Wenn Sie aus der Anwendung heraus ein Problem melden, enthält die Meldung Ihre Beschreibung, den Gerätetyp und die verwendete Version, einen Auszug der Server- und Client-Protokolle zum Zeitpunkt des Sendens sowie den Screenshot, den Sie optional anhängen können.

Ein Screenshot erfasst alles, was in diesem Moment angezeigt wird. Prüfen Sie vor dem Senden, was darauf zu sehen ist: Er kann Informationen zeigen, die mit dem gemeldeten Problem nichts zu tun haben.

Nach Freigabe durch eine Administratorin oder einen Administrator wird die Meldung — samt Screenshot — an GitHub in die Vereinigten Staaten übermittelt, um dort einen Vorgang anzulegen. Eine nicht freigegebene Meldung wird nie übermittelt.

Wozu, und auf welcher Grundlage

Jede Verarbeitung beruht auf einer Rechtsgrundlage:

• Bereitstellung des Dienstes und Synchronisierung: Erfüllung des von Ihnen angeforderten Dienstes;
• Sicherheit und Missbrauchsprävention: berechtigtes Interesse des Herausgebers;
• Anmeldung mit Google, Apple oder Discord: Ihre Einwilligung, erteilt durch die Wahl dieser Schaltfläche;
• Import aus einem Drittdienst und Aufbewahrung des entsprechenden Tokens: Ihre Einwilligung, jederzeit widerrufbar;
• Senden einer Fehlermeldung: Ihre Einwilligung, erteilt im Moment des Sendens;
• gesetzlich vorgeschriebene Aufbewahrung: rechtliche Verpflichtung.

Wer sonst Zugriff hat

Niemand, über das technisch Unerlässliche hinaus. Da Zitadel selbst gehostet wird, hält kein externer Identitätsanbieter Ihre Zugangsdaten.

Bleiben Cloudflare, das die Website hostet, das unten beschriebene E-Mail-Relay, die Identitätsanbieter, die Sie nutzen möchten, GitHub nur für freigegebene Fehlermeldungen und — wenn Sie Vorabzugang beantragen — Apple und Google, die dann die von Ihnen angegebene Adresse erhalten, um Sie einzuladen, die vorab ausgelieferten Versionen auszuprobieren. Ihre Daten können Behörden offengelegt werden, wo das Gesetz es verlangt.

Dienst-E-Mails — Adressbestätigung, Passwort-Zurücksetzung — werden von einem selbst gehosteten Proxmox Mail Gateway versendet und dann über das SMTP-Relay von Google zugestellt. Google verarbeitet daher bei der Zustellung die Empfängeradresse und den Inhalt der Nachricht.

Mehrere dieser Parteien haben ihren Sitz in den Vereinigten Staaten: Cloudflare für das Hosting, Google für die E-Mail-Zustellung, GitHub für freigegebene Fehlermeldungen sowie Google, Apple oder Discord, wenn Sie sich darüber anmelden. Diese Übermittlungen außerhalb der Europäischen Union sind durch die in der DSGVO vorgesehenen Garantien abgedeckt.

Wie lange

Kontodaten werden aufbewahrt, solange das Konto besteht. Ein Löschantrag eröffnet eine Frist von dreißig Tagen: In dieser Zeit wird nichts gelöscht, und Sie können den Antrag in Ihrem Kontobereich zurückziehen. Danach wird die Löschung ausgeführt und ist unumkehrbar. Technische Protokolle werden dreißig Tage aufbewahrt.

Ein Konto, bei dem drei Jahre lang keine Anmeldung erfolgt ist, wird samt der dazugehörigen Daten gelöscht. Dreißig Tage vorher geht eine Warn-E-Mail an die hinterlegte Adresse: Eine einfache Anmeldung in diesem Zeitraum setzt den Zähler zurück.

Zugriffstoken für Drittdienste werden aufbewahrt, bis Sie die Berechtigung widerrufen. Eine an GitHub übermittelte Fehlermeldung besteht so lange wie der entsprechende Vorgang.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit Ihrer Daten sowie das Recht, Anweisungen zu deren Verbleib nach Ihrem Tod zu erteilen.

Die meisten dieser Rechte können Sie unmittelbar in Ihrem Kontobereich unter account.volta-music.com ausüben: Ihre Angaben einsehen und ändern, Ihre Daten exportieren — Bibliothek, Playlists, verbundene Dienste und API-Schlüssel, ohne jedes Geheimnis —, verbundene Drittdienste widerrufen, Ihr Konto löschen. Das Löschen des Kontos löscht auch Ihre Anmeldeidentität, nicht nur die Daten Ihres Volta-Kontos.

Für alles Weitere schreiben Sie an [email protected]; die Anfrage wird so bald wie möglich bearbeitet. Sie können außerdem Beschwerde bei der französischen Datenschutzbehörde CNIL (www.cnil.fr) oder bei Ihrer zuständigen Aufsichtsbehörde einlegen.

Sicherheit

Es sind angemessene Maßnahmen getroffen, um Ihre Daten vor Verlust und unbefugtem Zugriff zu schützen. Da kein System unfehlbar ist, sind sie keine absolute Garantie — hinterlegen Sie in Volta nichts, dessen Offenlegung Ihnen schaden würde.

Änderungen

Diese Erklärung kann sich ändern. Das Datum der letzten Aktualisierung steht am Anfang der Seite; über wesentliche Änderungen werden Kontoinhaber benachrichtigt.