Datenschutzerklärung Kasalla App und Website

Stand: 15.10.2026 · gilt für die aktuelle Version der Kasalla App (iPhone und Android) und für die Website kasallamusik.de

Hier erklären wir dir, welche personenbezogenen Daten wir verarbeiten, wenn du die Kasalla App oder unsere Website nutzt: wozu, auf welcher Rechtsgrundlage, an wen sie gehen, wie lange wir sie speichern und welche Rechte du hast.

1. Verantwortlicher und Kontakt

Kasalla GbR
Aachener Straße 24
50674 Köln
vertreten durch die Gesellschafter Bastian Campmann, Florian Peil, Sebastian Wagner, Nils Plum und René Schwiers

Für alle Fragen zum Datenschutz in der App und für deine Rechte: app@kasallamusik.de
Für die Website: band@kasallamusik.de · Telefon +49 (0) 221 500 544 72

2. Das Wichtigste in Kürze

• Viele Bereiche der App nutzt du ohne Konto. Eine Nutzungsstatistik sendet die App nur, wenn du ausdrücklich zustimmst. Gefragt wirst du frühestens beim zweiten Start. Ohne Zustimmung funktioniert die App genauso (Abschnitte 5 und 6).
• Bei Abstürzen sendet die App einen Fehlerbericht. Ohne deine Zustimmung enthält er keine Geräte-ID (Abschnitt 7).
• Wenn du Push-Nachrichten erlaubst, kommt dein Push-Token hinzu (Abschnitt 8).
• Abstimmen kannst du auch ohne Konto. Damit jede Person nur so oft abstimmt, wie es die Abstimmung erlaubt, legt die App dafür eine eigene zufällige Abstimm-Kennung auf deinem Gerät ab. Andere sehen nur das Gesamtergebnis (Abschnitt 9.2).
• Arena-Merch kannst du mit einem kostenlosen Konto reservieren, ein Abo brauchst du dafür nicht. Am Stand sieht das Personal nur Code, Vorname mit Anfangsbuchstabe des Nachnamens, Artikel und Größe. Gekauft und bezahlt wird erst am Stand (Abschnitt 13a).
• Für den AAA-Bereich (Backstage) brauchst du ein Konto und ein Abo. Dann verarbeiten wir zusätzlich deine Kontodaten und das, was du dort tust, z. B. deine Tipps im Setliss-Tippspiel (Abschnitte 10 bis 12).
• Autogramm-Selfies, Fotos der Selfie-Cam und deine Wunsch-Setliss entstehen nur auf deinem Gerät und werden nicht an uns übertragen (Abschnitte 12.6 bis 12.8).
• Wir nutzen keine Werbe-Kennung, kein Tracking über andere Apps und Websites hinweg und keine Werbenetzwerke. Wir verkaufen keine Daten.
• Kamera, Standort und Push nutzt die App nur, wenn du sie freigibst. In deiner Galerie speichert sie Bilder nur, wenn du auf „Sichern“ tippst, und sie liest deine Mediathek nicht. Deinen Standort speichern wir nicht. Den YouTube-Player lädt die App erst, wenn du ihn antippst.
• Bist du unter 16, bleiben Nutzungsstatistik, Geschlechtsangabe und Konzert-Check-in mit Standort aus (Abschnitt 22).
• Dein Konto kannst du jederzeit in der App löschen, auch ohne Abo (Abschnitt 19).

3. Website kasallamusik.de und App-Download-Links

Beim Besuch unserer Website werden automatisch technische Daten verarbeitet (z. B. IP-Adresse, Browsertyp, Betriebssystem, Datum und Uhrzeit des Zugriffs sowie aufgerufene Seiten). Wir verarbeiten sie, damit die Website fehlerfrei und sicher bereitsteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Auf unserer Website sind Videos von YouTube eingebunden. Die Einbindung erfolgt, soweit technisch möglich, im erweiterten Datenschutzmodus von YouTube. Beim Aufruf entsprechender Inhalte können dennoch personenbezogene Daten (z. B. IP-Adresse oder technische Verbindungsdaten) an YouTube bzw. Google übertragen werden. Sofern hierfür eine Einwilligung erforderlich ist, holen wir diese vorab über ein Consent-Banner oder eine vergleichbare technische Lösung ein.

App-Download-Links und QR-Codes. Unsere Download-Links für die App, z. B. auf Plakaten, Stickern oder in Social Media, laufen über eine Weiterleitung auf unserem Webserver unter hedel.de. Sie erkennt an der Browserkennung, ob du ein iPhone, ein Android-Gerät oder einen Computer nutzt, und schickt dich in den App Store, zu Google Play oder auf unsere Website. Dabei hängt sie den Namen des Kanals an (z. B. „Plakat“), damit Apple und Google uns zusammengefasst anzeigen können, über welche Kanäle die App geladen wurde. Für unsere eigene Statistik zählen wir nur, wie oft ein Link je Kanal, Plattform und Stunde aufgerufen wurde. IP-Adresse, Browserkennung und andere Kennungen speichern wir dafür nicht.

Unser Webserver wird von der domainfactory GmbH, Oskar-Messter-Straße 33, 85737 Ismaning, Deutschland, betrieben. Alle Aufrufe laufen vorher durch die Website-Firewall Sucuri (Sucuri, Inc., ein Unternehmen der GoDaddy-Gruppe, USA), die Angriffe abwehrt. Webhoster und Firewall protokollieren wie jeder Webserver die Zugriffe mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserangaben. Beim Webhoster werden diese Protokolle nach 7 Tagen gelöscht. Wie lange Sucuri seine Protokolle aufbewahrt, legt Sucuri selbst fest; eine feste Frist nennt Sucuri nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere Weiterleitung und zu wissen, welche Kanäle wirken.

4. Bereitstellung der App

Download. Die App lädst du über den Apple App Store oder Google Play. Die dafür nötigen Daten (z. B. dein Store-Konto, deine Zahlungsdaten, dein Gerät) verarbeiten Apple bzw. Google in eigener Verantwortung nach ihren Datenschutzbestimmungen. Von Apple und Google erhalten wir nur zusammengefasste Statistiken ohne Angaben zu einzelnen Personen, z. B. Downloads je Kanal, Abstürze und Nutzungszahlen.

Verbindung zu unserem Server. Wenn die App Inhalte lädt, verbindet sie sich mit unserem Server bei Supabase. Dabei fallen technisch nötige Verbindungsdaten an: IP-Adresse, Zeitpunkt, abgerufene Adresse, App-Kennung und Betriebssystem. Sie dienen der Auslieferung, der Sicherheit und der Fehlersuche und werden vom Anbieter nach kurzer Zeit automatisch gelöscht. Anmeldevorgänge (z. B. Anmelden, Abmelden, Passwort zurücksetzen) protokolliert der Server mit Zeitpunkt und IP-Adresse, damit wir Missbrauch erkennen können. Diese Einträge löschen wir nach 90 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

App-Updates. Kleinere Updates lädt die App beim Start vom Update-Dienst Expo (650 Industries, Inc.). Dabei werden IP-Adresse, App-Version, Plattform, Update-Kanal und eine zufällige Installationskennung übermittelt, die die App beim ersten Start erzeugt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil wir dir eine funktionsfähige App bereitstellen. Daneben stützen wir uns auf lit. f, damit wir Fehler und Sicherheitslücken schnell korrigieren können.

5. Speicherung auf deinem Gerät und Geräte-ID

Die App speichert einige Informationen auf deinem Gerät, zum Beispiel:

• deine Anmeldung und deine Einstellungen,
• deine Antwort auf die Frage nach der Nutzungsstatistik mit Zeitpunkt und Textversion sowie deine Freigabe für YouTube-Videos,
• Hinweise, die du schon gesehen hast, und deine „Ich bin dabei“-Markierungen,
• ob du an einem Gewinnspiel schon teilgenommen hast,
• deine Wunsch-Setliss und einen noch nicht abgegebenen Tipp im Setliss-Tippspiel,
• die Abholcodes deiner Merch-Reservierungen, damit du sie am Stand auch ohne Netz zeigen kannst,
• die zuletzt geladenen Inhalte (z. B. Startseite, Songkatalog, Merch-Angebot, Tippspiel-Übersicht), damit die App sie auch ohne Netz zeigen kann,
• noch nicht gesendete Statistik- oder Fehlermeldungen.

Das Speichern und Auslesen dieser Informationen erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, weil es nötig ist, damit die App die von dir genutzten Funktionen bereitstellen kann. Meldest du dich ab oder löschst du dein Konto, entfernt die App die Abholcodes und die Tipp-Übersicht von deinem Gerät.

Geräte-ID. Nur wenn du der Nutzungsstatistik zustimmst (Abschnitt 6), legt die App eine zufällige Geräte-ID auf deinem Gerät ab. Sie ist eine reine Zufallszahl, keine Hardware-Kennung und keine Werbe-Kennung von Apple oder Google, und andere Apps können sie nicht lesen. Auf iPhones liegt sie im geschützten Speicher des Geräts und bleibt deshalb auch nach einer Neuinstallation der App erhalten. Auf Android wird sie bei einer Neuinstallation gelöscht. Ohne deine Zustimmung legt die App für die Statistik keine Geräte-ID an. Widerrufst du deine Zustimmung oder löschst du dein Konto, verwirft die App die Geräte-ID. Rechtsgrundlage für das Ablegen und Auslesen der Geräte-ID ist deine Einwilligung (§ 25 Abs. 1 TDDDG).

Abstimm-Kennung. Stimmst du ohne Anmeldung ab (Abschnitt 9.2), legt die App bei deiner ersten Stimme eine eigene zufällige Kennung auf deinem Gerät ab. Auch sie ist eine reine Zufallszahl, keine Hardware- oder Werbe-Kennung. Sie ist von der Geräte-ID der Nutzungsstatistik getrennt und wird nie zusammen mit ihr gesendet. Die App braucht sie aus zwei Gründen: Von deinem Gerät soll nicht öfter abgestimmt werden, als es die Abstimmung erlaubt (meist einmal am Tag), und die App soll dir deine eigene Stimme anzeigen können. Bist du angemeldet, zählt dein Konto, und die App legt dafür keine Kennung an. Auf iPhones bleibt die Abstimm-Kennung auch nach einer Neuinstallation der App erhalten, auf Android nicht. Löschst du dein Konto, verwirft die App sie. Rechtsgrundlage für das Ablegen und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, weil eine Abstimmung, an der du teilnehmen willst, ohne diesen Schutz vor Mehrfachstimmen nicht fair funktionieren kann.

6. Nutzungsstatistik

Die App sendet eine Nutzungsstatistik nur, wenn du zustimmst. Dafür legt sie eine zufällige Geräte-ID auf deinem Gerät ab und übermittelt mit ihr, an welchen Tagen du die App öffnest und welche Bereiche du aufrufst. Bist du angemeldet, wird zusätzlich deine Konto-ID übermittelt. Zweck ist die Verbesserung der App. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Zustimmung funktioniert die App uneingeschränkt. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, auf der Startseite unter „Datenschutz & Statistik“ oder im Profil.

Was genau gesendet wird. Mit deiner Zustimmung meldet die App unserem Server:

• einmal pro Tag, dass die App geöffnet wurde: Geräte-ID, Datum und Plattform,
• bestimmte Ereignisse, nämlich:
• welche Bereiche der App du öffnest, z. B. die Reiter unten, die Bereiche im AAA-Bereich oder die Merch-Ansicht,
• welche Elemente der Startseite angezeigt wurden (je Element höchstens einmal am Tag) und welche du antippst, mit dem Ziel des Tipps (z. B. Tickets, Shop, Video, Info-Seite),
• Paywall angezeigt, Abo oder Probezeit gestartet,
• Tourpass-Check-in, mit Konzert und Veranstaltungsort, nicht mit deinem Standort,
• deine Antwort auf die Frage nach Push-Nachrichten,
• Foto auf die Fan Wall geladen, Foto mit der Cam aufgenommen oder geteilt,
• Autogramm-Selfie begonnen und gesichert oder geteilt, mit Bildformat, ob das Foto aus der Kamera oder der Galerie kam, und Dauer,
• Download gesichert oder geteilt (mit der Art der Datei) und Hinweis auf die Downloads angetippt,
• Wunsch-Setliss erstellt, gesichert oder geteilt, mit der Zahl der Songs, nicht welche,
• Tipp im Setliss-Tippspiel abgegeben, mit Konzert, Zahl der Songs und Zugaben, und Rangliste angesehen,
• Merch-Reservierung angelegt oder storniert, mit Artikel und Größe.

Dazu kommen Geräte-ID, Plattform, App-Version, Zeitpunkt und die Version des Einwilligungstexts, dem du zugestimmt hast.

Bist du angemeldet, kommt deine Konto-ID dazu. Namen, E-Mail-Adressen und dein Standort sind nie enthalten. Wir werten die Daten nur zusammengefasst aus, z. B. als Wiederkehrrate oder als Anteil der Paywall-Aufrufe, aus denen ein Abo wird. Wir löschen sie nach 13 Monaten.

Wann gefragt wird. Beim ersten Start fragt die App nicht und sendet keine Nutzungsstatistik. Ab dem zweiten Start, auch nach einem Update, zeigt sie auf der Startseite einen kurzen Hinweis mit „Ja“ und „Nein“. „Ja“ und „Nein“ sind gleichwertig. Über „Mehr“ kommst du zu „Datenschutz & Statistik“ mit allen Einzelheiten und einem Link zu dieser Datenschutzerklärung.

Der Hinweis erscheint bei höchstens drei Starts. Ändern wir den Text der Einwilligung, erscheint er erneut. Danach kannst du die Nutzungsstatistik jederzeit unter „Datenschutz & Statistik“ auf der Startseite oder im Profil einschalten. Solange du nicht antwortest, den Hinweis übergehst oder „Nein“ wählst, sendet die App keine Nutzungsstatistik. Deine Zustimmung speichern wir mit Zeitpunkt und Version des Hinweistexts.

Bist du unter 16, wähle bitte „Nein“. Für Konten, bei denen angegeben ist, dass die Person unter 16 ist, ist die Nutzungsstatistik immer aus.

Widerruf. Schaltest du die Nutzungsstatistik unter „Datenschutz & Statistik“ oder im Profil aus, sendet die App ab sofort nichts mehr und verwirft noch nicht gesendete Daten und die Geräte-ID. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Bereits gesendete Daten können wir nach dem Widerruf in der Regel niemandem mehr zuordnen (Abschnitt 20). Sie werden nach der oben genannten Frist gelöscht. Du kannst uns auch an app@kasallamusik.de schreiben.

Ältere App-Versionen und frühere Daten. App-Versionen ohne diese Frage senden keine Nutzungsstatistik mehr, und unser Server verwirft solche Meldungen. Die bis zum 01.10.2026 erhobene Nutzungsstatistik haben wir vollständig anonymisiert. Geräte- und Konto-Kennungen sind entfernt. Übrig sind nur Zählungen, die sich keiner Person und keinem Gerät mehr zuordnen lassen.

7. Fehler- und Absturzberichte

Stürzt die App ab oder tritt ein schwerer Fehler auf, speichert die App einen Fehlerbericht auf deinem Gerät und sendet ihn beim nächsten Start an unseren Server. Er enthält die Fehlermeldung, technische Angaben dazu, an welcher Stelle im Programm der Fehler aufgetreten ist, App-Version, Plattform und Zeitpunkt. Vor dem Senden entfernt die App E-Mail-Adressen, Push-Tokens und Zugangsschlüssel aus dem Bericht. Eine Konto-ID ist nie dabei.

• Mit deiner Zustimmung zur Nutzungsstatistik enthält der Bericht deine Geräte-ID (Abschnitt 5), damit wir erkennen, ob ein Fehler bei einem Gerät wiederholt auftritt.
• Ohne Zustimmung enthält er stattdessen eine Einmal-Kennung, die nur für diesen einen Bericht erzeugt und nirgends gespeichert wird. Eine Geräte-ID wird dafür nicht angelegt.

Wir löschen Fehlerberichte nach 90 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine fehlerfreie und stabile App. Du kannst dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Abschnitt 20).

8. Push-Benachrichtigungen

Push-Nachrichten bekommst du nur, wenn du sie erlaubst. Dann erhält dein Gerät von Apple (Apple Push Notification Service) bzw. Google (Firebase Cloud Messaging) eine Kennung, über die Nachrichten genau an dieses Gerät zugestellt werden können. Diese Kennung geht an den Push-Dienst Expo (650 Industries, Inc.), der daraus ein Push-Token für unsere App erzeugt. Wir speichern das Push-Token mit der Plattform. Solange du angemeldet bist, speichern wir es auch mit deiner Konto-ID. Unsere Nachrichten verschicken wir über Expo, das sie an Apple bzw. Google zur Zustellung weitergibt.

Mit einem Konto kannst du im Profil einzelne Themen ein- und ausschalten, z. B. neue Releases, neue Termine, Konzert-Erinnerungen, Tourstempel und Neues in der Galerie.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du widerrufst sie jederzeit in den Einstellungen deines Geräts. Melden Apple oder Google ein Push-Token als ungültig (z. B. weil du die App gelöscht hast), löschen wir es. Ist es mit deinem Konto verknüpft, löschen wir es spätestens, wenn du dein Konto löschst.

9. „Ich bin dabei“ und Abstimmungen

9.1 „Ich bin dabei“ bei Live-Terminen

Wenn du bei einem Termin auf „Ich bin dabei“ tippst, merkt sich die App das auf deinem Gerät. Hast du Push-Nachrichten erlaubt, speichern wir zusätzlich auf unserem Server dein Push-Token mit dem Termin, und wenn du angemeldet bist, auch deine Konto-ID. So können wir dir Nachrichten zu genau diesem Konzert schicken, z. B. eine Erinnerung vor Beginn. Ohne Push-Freigabe bleibt die Markierung nur auf deinem Gerät.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du widerrufst sie, indem du die Markierung beim Termin wieder entfernst. Wir löschen die Einträge auf dem Server 30 Tage nach dem Konzert.

9.2 Abstimmungen

Auf der Startseite gibt es zeitweise Abstimmungen, z. B. über Songs. Mitmachen kannst du mit und ohne Konto. Wenn du abstimmst, speichern wir deine Stimme, also die Abstimmung, die gewählte Antwort, den Tag und den Zeitpunkt. Dazu speichern wir

• ohne Anmeldung die Abstimm-Kennung deines Geräts (Abschnitt 5),
• mit Anmeldung deine Konto-ID. Die Abstimm-Kennung wird dann nicht gespeichert.

So erkennt die App, ob von deinem Gerät oder Konto schon abgestimmt wurde, und zeigt dir deine eigene Stimme an. Wie oft du abstimmen kannst (z. B. einmal am Tag), steht bei der Abstimmung. Andere Nutzer sehen nur das Gesamtergebnis, also wie viele Stimmen auf jede Antwort entfallen. Je nach Abstimmung sehen sie es sofort, erst nach der eigenen Stimme oder erst nach dem Ende. Wer wie abgestimmt hat, sehen andere Nutzer nie. Wir werten Abstimmungen nur zusammengefasst aus. Namen, E-Mail-Adressen und dein Standort werden dabei nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme an der Abstimmung nach unseren AGB). Die Kennung bzw. Konto-ID entfernen wir aus den Stimmen 30 Tage nach dem Ende der Abstimmung. Danach bleibt nur die Zahl der Stimmen je Antwort. Mit Anmeldung abgegebene Stimmen löschen wir spätestens mit deinem Konto.

10. Konto

Ein Konto brauchst du für den AAA-Bereich und für die Merch-Reservierung (Abschnitt 13a). Für die Merch-Reservierung reicht ein kostenloses Konto ohne Abo. Beim Konto verarbeiten wir:

• E-Mail-Adresse und Passwort. Das Passwort speichern wir nicht im Klartext, sondern nur in einer Form, aus der es sich nicht zurückrechnen lässt. Deine E-Mail-Adresse bestätigst du über einen Link in einer Mail. An deine E-Mail-Adresse schicken wir:
• die Bestätigungs-Mail und Mails zum Zurücksetzen des Passworts,
• Antworten auf deine Meldungen,
• die Gewinnbenachrichtigung, falls du gewinnst.
• Altersangabe (Pflichtangabe). Bei der Registrierung beantwortest du die Frage „Ich bin 16 oder älter“ mit Ja oder Nein. Wir speichern nur Ja oder Nein, kein Geburtsdatum. Wir brauchen die Angabe, um Funktionen, die erst ab 16 Jahren möglich sind, für jüngere Nutzer auszuschalten (Abschnitt 22). Für Konten, die vor dieser Frage angelegt wurden, gilt:
• Die App fragt beim ersten Konzert-Check-in mit Standort nach, bevor sie den Standort abfragt.
• Antwortest du dort mit Nein, löschen wir eine vorhandene Geschlechtsangabe.
• Solange keine Antwort vorliegt, richtet sich die Nutzungsstatistik nur nach deiner Zustimmung auf dem Gerät, und eine Geschlechtsangabe wird nicht gespeichert.
• Vorname (freiwillig). Wir verwenden ihn nur für die persönliche Anrede in der App und schlagen ihn bei einer Merch-Reservierung als Abholnamen vor. Er erscheint nicht in Ranglisten und ist für andere Nutzer nicht sichtbar.
• Anzeigename. Beim ersten Besuch im AAA-Bereich wählst du einen Anzeigenamen. Er erscheint bei deinen Kommentaren, auf der Fan Wall und in den Ranglisten. Wähle bitte keinen Namen, der dich gegenüber Fremden erkennbar macht, wenn du das nicht möchtest.
• Geschlecht (freiwillig, nur ab 16 Jahren, voreingestellt ist „Keine Angabe“). Wählst du eine Angabe aus, willigst du ausdrücklich ein, dass wir sie für anonyme Auswertungen verarbeiten, wer unsere Fans sind, z. B. als Anteil je Angabe. Sie erscheint nirgends in der App und ist für andere nicht sichtbar.
• Als Nachweis speichern wir den Zeitpunkt deiner Einwilligung und die Version des Hinweistexts.
• Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Soweit die Angabe als besonders geschütztes Datum anzusehen ist, gilt zusätzlich Art. 9 Abs. 2 lit. a DSGVO.
• Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft per E-Mail an app@kasallamusik.de widerrufen. Dann löschen wir die Angabe.
• Geschlechtsangaben aus der Zeit vor dem 01.10.2026, als das Feld noch Pflicht war, haben wir gelöscht.
• Einstellungen, z. B. Push-Themen und „In Ranglisten zeigen“.

Rechtsgrundlage für E-Mail, Passwort, Altersangabe, Vorname, Anzeigename und Einstellungen: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über die App). Das Konto bleibt bestehen, bis du es löschst, auch wenn du kein Abo abschließt oder dein Abo endet.

Freischaltung ohne Abo. Einzelnen Personen schalten wir den AAA-Bereich ohne Abo frei, z. B. Team, Crew oder Gewinnern. Dafür speichern wir ihre E-Mail-Adresse in einer Freischaltliste, die nur wir einsehen können, bis die Freischaltung endet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Testerliste. Einzelne Personen laden wir ein, neue Funktionen vor allen anderen auszuprobieren. Dafür speichern wir ihre E-Mail-Adresse in einer Testerliste, die nur wir einsehen können. Die App schaltet die Funktionen frei, wenn die bestätigte E-Mail-Adresse deines Kontos auf der Liste steht. Wir löschen den Eintrag, wenn der Test endet, du uns darum bittest oder du dein Konto löschst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. AAA-Abo

Das AAA-Abo schließt du über den Apple App Store oder Google Play ab. Bezahlung und Rechnung laufen vollständig über Apple bzw. Google. Wir erhalten keine Zahlungsdaten.

Für die Prüfung der Käufe nutzen wir RevenueCat (RevenueCat, Inc.). Die App übermittelt RevenueCat den Kaufbeleg des Stores, eine zufällige Kennung, die RevenueCat für deine App-Installation vergibt, und technische Angaben wie App-Version, Betriebssystem und Store-Land. Deine Konto-ID, deine E-Mail-Adresse und deinen Namen bekommt RevenueCat nicht. RevenueCat teilt der App mit, ob auf deinem Store-Konto ein Abo aktiv ist.

Bist du angemeldet, meldet die App unserem Server, ob bei dir ein Abo aktiv ist (ja oder nein) und wann sie das geprüft hat. Wir speichern diesen Abo-Status zu deinem Konto, damit der AAA-Bereich funktioniert. Von RevenueCat erhalten wir außerdem zusammengefasste Kennzahlen, z. B. die Zahl der aktiven Abos, ohne Bezug zu einzelnen Personen.

Erinnerungen vor dem Ende einer Probezeit erzeugt die App nur auf deinem Gerät, und nur, wenn du Mitteilungen erlaubt hast.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abo-Vertrag).

12. Funktionen im AAA-Bereich (Backstage)

12.1 Backstage-Stories: Likes und Kommentare

Wenn du einen Beitrag likest oder kommentierst, speichern wir den Like bzw. den Kommentar mit deiner Konto-ID und dem Zeitpunkt. Andere angemeldete Mitglieder sehen deinen Kommentar mit deinem Anzeigenamen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12.2 Fan Wall

Du kannst Fotos aus deiner Mediathek auf die Fan Wall laden. Das läuft über die Fotoauswahl deines Geräts. Die App erhält nur das Foto, das du auswählst, und liest deine Mediathek nicht. Vor dem Hochladen entfernt sie Standort- und andere Metadaten aus dem Foto. Das Foto wird zugeschnitten, verkleinert und mit deiner Konto-ID und dem Zeitpunkt gespeichert.

Es erscheint in der Regel sofort und ohne vorherige Prüfung für alle angemeldeten Mitglieder, die es auch liken können. Zeitweise können wir die Fan Wall so einstellen, dass Fotos erst nach unserer Prüfung erscheinen. Das zeigt dir die App beim Hochladen an. Die Übersicht der Fotos gibt es nur nach Anmeldung. Die Bilddatei selbst liegt in einem Speicher, aus dem sie über ihre genaue Adresse auch ohne Anmeldung abgerufen werden kann. Wer die Adresse kennt, z. B. weil ein Mitglied sie weitergegeben hat, kann das Foto also sehen.

Rechtsgrundlage für die Verarbeitung deiner eigenen Daten und deines Fotos: Art. 6 Abs. 1 lit. b DSGVO.

Andere Personen auf Fotos. Auf Konzertfotos sind oft andere Menschen zu sehen. Ihre Daten verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Fans Erinnerungen an Konzerte teilen zu lassen. Dabei berücksichtigen wir die Wertungen des Kunsturhebergesetzes: Bilder von Versammlungen und ähnlichen Ereignissen dürfen ohne Einwilligung der abgebildeten Teilnehmer gezeigt werden. Nahaufnahmen fremder Personen, besonders von Kindern, sind auf der Fan Wall nicht erlaubt.

Bist du auf einem Foto zu sehen und möchtest das nicht, kannst du jederzeit widersprechen: auch ohne Konto per E-Mail an app@kasallamusik.de, mit Konto auch über „Melden“ am Foto. Wir entfernen das Foto dann, außer es liegen ausnahmsweise überwiegende Gründe für die Anzeige vor. Bei Kindern entfernen wir es immer.

12.3 Melden, Prüfen und Blockieren

Wenn du ein Foto meldest, speichern wir die Meldung mit deiner Konto-ID, dem Grund und dem Zeitpunkt. Das Foto wird sofort für alle ausgeblendet. Offensichtlich rechtswidrige Inhalte, insbesondere Darstellungen von Minderjährigen, sperren wir sofort. Alle anderen Meldungen prüft ein Mensch aus unserem Team, in der Regel innerhalb von 24 Stunden.

Kommentare und andere Inhalte meldest du per E-Mail an app@kasallamusik.de, das können auch Personen ohne Konto. Wir bestätigen dir den Eingang einer Meldung und teilen dir unsere Entscheidung mit. Beides schicken wir an die E-Mail-Adresse deines Kontos oder an die Adresse, von der du uns geschrieben hast. Entfernen oder sperren wir einen Inhalt, nennen wir der Person, die ihn eingestellt hat, den Grund. Die Einzelheiten stehen in unseren AGB (§ 7).

Wenn du ein Mitglied blockierst, speichern wir das, damit du dessen Fotos nicht mehr siehst. Bearbeitete Meldungen löschen wir 6 Monate nach Eingang. Eine noch nicht bearbeitete Meldung bleibt bis zur Bearbeitung gespeichert. Blockierungen bleiben bestehen, bis du dein Konto löschst.

Rechtsgrundlage für das Meldeverfahren ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 der Verordnung (EU) 2022/2065 (Digital Services Act). Daneben stützen wir uns auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere Community ohne rechtswidrige Inhalte.

Besteht der Verdacht einer Straftat, die eine Gefahr für das Leben oder die Sicherheit von Personen darstellt, geben wir die nötigen Informationen an die zuständigen Strafverfolgungsbehörden weiter (Art. 18 Digital Services Act, Art. 6 Abs. 1 lit. c DSGVO).

12.4 Tourpass und Konzert-Check-in

Den Konzert-Check-in mit Standort gibt es erst ab 16 Jahren. Hast du bei deinem Konto noch nicht angegeben, ob du 16 oder älter bist, fragt die App beim ersten Check-in danach, bevor sie den Standort abfragt (Abschnitt 10).

Beim Check-in prüft die App, ob du wirklich beim Konzert bist. Dafür ermittelt sie einmal, im Moment des Check-ins, deinen Standort, und nur, wenn du den Standortzugriff erlaubt hast. Die Koordinate geht an unseren Server, wird dort mit dem Veranstaltungsort verglichen und nicht gespeichert. Ein Bewegungsprofil entsteht nicht. Einchecken kannst du in diesen Fällen:

• bei Konzerten am Konzerttag, wenn du innerhalb von 1 km um den Veranstaltungsort bist,
• am festen Ort „Marie & Johann“ einmal pro Kalendermonat, wenn du innerhalb von 50 m bist.

Gespeichert wird der Stempel mit Konzert, Ort und Zeitpunkt zu deinem Konto.

Die Zahl deiner Stempel erscheint in der Tourpass-Rangliste mit deinem Anzeigenamen. Solange du keinen gewählt hast, erscheint sie unter einem neutralen Namen (z. B. „Anonym“). Dein Vorname erscheint dort nie. Die Rangliste sehen nur angemeldete Mitglieder. Im Profil kannst du „In Ranglisten zeigen“ ausschalten.

Rechtsgrundlage für die Standortprüfung: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du in den Einstellungen deines Geräts jederzeit widerrufen kannst. Rechtsgrundlage für Stempel und Rangliste: Art. 6 Abs. 1 lit. b DSGVO.

12.5 Starschnitt

Beim Starschnitt sammelst du Puzzleteile und setzt das Poster zusammen. Wir speichern zu deinem Konto, welche Teile du wann gesammelt hast, deine Puzzle-Runden und deine Bestzeit.

Die Bestzeiten erscheinen in einer Rangliste mit deinem Anzeigenamen. Solange du keinen gewählt hast, erscheinst du unter einem neutralen Namen mit einer zufälligen Kennung (z. B. „Spieler·3f9a1c“). Dein Vorname erscheint dort nie. Die Rangliste sehen nur angemeldete Mitglieder, und mit „In Ranglisten zeigen“ im Profil blendest du dich aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12.6 Selfie-Cam

Die Cam nutzt die Kamera nur, wenn du sie erlaubst. Fotos mit Rahmen entstehen nur auf deinem Gerät und werden nicht an uns übertragen. Speicherst du ein Foto, legt die App es in deiner Galerie ab. Teilst du es, läuft das über die Teilen-Funktion deines Geräts an die App, die du auswählst. Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir nur, dass ein Foto aufgenommen oder geteilt wurde (Abschnitt 6), nie das Foto selbst.

12.7 Autogramm-Selfie

Mit dem Autogramm-Selfie machst du ein Foto mit der Kamera oder wählst eines aus deiner Mediathek, und ein Bandmitglied kann direkt auf deinem Gerät darauf unterschreiben. Die Kamera nutzt die App nur, wenn du sie erlaubst. Ein Foto aus der Mediathek wählst du über die Fotoauswahl deines Geräts. Die App erhält nur dieses Foto und liest deine Mediathek nicht. Das fertige Autogramm-Bild enthält keine Standortangaben.

Foto und Unterschrift bleiben auf deinem Gerät. Sie werden nicht an uns übertragen. Wir erfahren weder, was auf dem Foto zu sehen ist, noch welches Bandmitglied unterschrieben hat.

• Sichern: Das fertige Bild legt die App erst in deiner Galerie ab, wenn du auf „In Fotos sichern“ tippst. Dafür fragt sie nur nach der Erlaubnis, Bilder hinzuzufügen.
• Teilen: läuft über die Teilen-Funktion deines Geräts an die App, die du auswählst.
• Ohne Sichern: Das Bild liegt nur vorübergehend im Zwischenspeicher der App und nicht in deiner Galerie.

Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir nur, dass ein Autogramm begonnen und gesichert oder geteilt wurde. Dazu kommen das Bildformat, ob das Foto aus der Kamera oder der Galerie kam, und wie lange es gedauert hat (Abschnitt 6). Das Bild selbst erfahren wir nie.

Wer außer dir auf dem Foto zu sehen ist, entscheidest du, und das Bild bleibt bei dir. Wenn du es teilst, beachte bitte die Rechte der abgebildeten Personen (AGB § 9b).

12.8 Wunsch-Setliss

In der Wunsch-Setliss stellst du aus unserem Songkatalog deine Traum-Setliste zusammen. Deine Auswahl speichert die App nur auf deinem Gerät, an uns geht sie nicht. Von unserem Server lädt die App nur den Songkatalog. Als Bild kannst du deine Wunsch-Setliss in deiner Galerie sichern (nur mit der Erlaubnis, Bilder hinzuzufügen), oder du teilst sie über die Teilen-Funktion deines Geräts. Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir nur, dass eine Wunsch-Setliss erstellt, gesichert oder geteilt wurde und wie viele Songs sie hat, nicht welche (Abschnitt 6). Übernimmst du sie als Tipp ins Setliss-Tippspiel, gilt Abschnitt 12.9.

12.9 Setliss-Tippspiel

Im Setliss-Tippspiel tippst du vor einem Konzert, welche Songs die Band spielt, in welcher Reihenfolge und welche als Zugabe. Bis du ihn abgibst, liegt dein Tipp als Entwurf nur auf deinem Gerät. Mit der Abgabe speichern wir zu deinem Konto:

• die getippten Songs mit Reihenfolge und Zugaben,
• ob du mit deinem Anzeigenamen in der Rangliste erscheinen möchtest,
• wann du den Tipp angelegt und zuletzt geändert hast und wie oft du ihn geändert hast.

Nach dem Konzert tragen wir die gespielte Setliste ein, berechnen deine Punkte, Treffer und deinen Platz und speichern sie ebenfalls zu deinem Konto.

Rangliste. Jedes Konzert hat eine eigene Rangliste mit Platz, Punkten und Treffern. Sie sehen nur angemeldete Mitglieder mit AAA-Zugang. Mit deinem Anzeigenamen erscheinst du dort nur, wenn zwei Schalter an sind: beim Tippen „Mit meinem Anzeigenamen in der Rangliste“ und im Profil „In Ranglisten zeigen“. Sonst, oder wenn du keinen Anzeigenamen hast, erscheinst du als „Anonym“, weiter mit Platz und Punkten. Dein Vorname und deine E-Mail-Adresse erscheinen nie. Deinen Tipp sieht niemand außer dir. Nach dem Konzert zeigt die App ihn dir neben der gespielten Setliste. Einen anstößigen Anzeigenamen können wir in der Rangliste ausblenden.

Außer Konkurrenz. Band, Crew und unser Team kennen die Setliste vorher. Ihre Tipps werden gewertet, bekommen aber keinen Platz. Wer dazu gehört, erkennen wir an unserer Freischaltliste (Abschnitt 10). In der Rangliste ist das für andere nicht zu sehen.

Es gibt beim Setliss-Tippspiel nichts zu gewinnen, keine Preise und keine Verlosung. Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir außerdem, dass du einen Tipp abgegeben und die Rangliste angesehen hast (Abschnitt 6). Zum Tipp gehören dabei Konzert, Zahl der Songs und Zugaben und ob du neu getippt oder aus der Wunsch-Setliss übernommen hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wir löschen Tipps, Punkte und Platzierungen 13 Monate nach dem Konzert, bei Löschung deines Kontos sofort.

12.10 Downloads

Im AAA-Bereich bieten wir Dateien zum Herunterladen an, z. B. Handy-Hintergründe, Setlisten und Liedtexte zum Ausdrucken, Autogrammkarten und Poster. Die Dateien liegen in einem geschützten Speicher bei unserem Dienstleister Supabase (Abschnitt 16). Die App ruft sie über Links ab, die nur für Mitglieder mit AAA-Zugang erzeugt werden und nach einer Stunde ablaufen.

Sicherst du eine Datei, legt die App sie in deiner Galerie ab (nur mit der Erlaubnis, Bilder hinzuzufügen). Du kannst sie auch über die Teilen-Funktion deines Geräts weitergeben, z. B. an die Dateien-App oder zum Drucken. Wir speichern nicht, wer welche Datei heruntergeladen hat. Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir nur, dass eine Datei einer bestimmten Art (z. B. Hintergrund oder PDF) gesichert oder geteilt wurde (Abschnitt 6).

Ohne AAA-Zugang zeigt die Startseite nur einen Hinweis mit einem stark verwischten Vorschaubild. Rechtsgrundlage für den Abruf: Art. 6 Abs. 1 lit. b DSGVO. Was du mit den Dateien machen darfst, steht in unseren AGB (§ 11).

13. Gewinnspiele

Für jedes Gewinnspiel gelten eigene Teilnahmebedingungen, die du vor der Teilnahme in der App siehst. Dort stehen auch, wer das Gewinnspiel veranstaltet, und eine eventuelle Altersgrenze. Die Teilnahme ist kostenlos und hängt nicht von einem Abo ab. Du kannst immer auch ohne Abo und ohne Konto mit deiner E-Mail-Adresse teilnehmen.

• Mit Konto speichern wir deine Teilnahme mit deiner Konto-ID.
• Ohne Konto speichern wir deine E-Mail-Adresse und das Gewinnspiel.

Wir verwenden die Daten nur, um das Gewinnspiel durchzuführen, die Gewinner zu ermitteln und zu benachrichtigen. Werbung schicken wir an diese Adresse nicht.

Ziehungsprotokoll. Damit jede Ziehung nachprüfbar fair ist, ziehen wir die Gewinner per Zufall aus allen gültigen Teilnahmen und protokollieren jede Ziehung mit diesen Angaben:

• Zeitpunkt und Zahl der Teilnahmen,
• eine Prüfsumme über die Liste der Teilnahmen,
• bei einer erneuten Ziehung die Begründung,
• die gezogene Person mit E-Mail-Adresse und, falls vorhanden, Konto-ID.

Ist ein anderes Unternehmen Veranstalter, geben wir ihm die Daten der Gewinner nur, soweit es sie für die Übergabe des Gewinns braucht.

Teilnahmen löschen wir 30 Tage nach dem Ende des Gewinnspiels. Daten der Gewinner und das Ziehungsprotokoll löschen wir 6 Monate nach dem Ende, weil wir sie für die Abwicklung und eventuelle Rückfragen brauchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme nach den Teilnahmebedingungen).

Apple und Google sind weder Veranstalter noch Sponsor der Gewinnspiele und in keiner Weise daran beteiligt.

13a. Merch-Reservierung

Bei ausgewählten Konzerten kannst du in der App Fanartikel kostenlos und unverbindlich zur Abholung an einem Stand reservieren. Gekauft und bezahlt wird erst am Stand. Verkäuferin ist die Baumwollkontor CCAA GmbH, Hansestraße 91, 51149 Köln. In der App findet keine Zahlung statt. Wann und wo du abholen kannst und wie viele Artikel du reservieren kannst, zeigt dir die App bei der jeweiligen Aktion.

Voraussetzung. Du brauchst ein Konto mit bestätigter E-Mail-Adresse (Abschnitt 10). Ein Abo brauchst du nicht. Reservieren kannst du nur für dich selbst, nicht für andere.

Welche Daten wir speichern:

• deine Konto-ID,
• deinen Vornamen und den ersten Buchstaben deines Nachnamens als Namen für die Abholung, so wie du sie bei der Reservierung eingibst (den Vornamen schlägt die App aus deinem Profil vor),
• Artikel, Größe und Abholcode,
• den Status (reserviert, abgeholt, storniert, verfallen) mit den Zeitpunkten,
• bei der Abholung, über welches Stand-Konto ausgegeben wurde.

Zusätzlich protokollieren wir Reservierungen, Stornierungen, Ausgaben und Suchen am Stand ohne deinen Namen, damit wir Fehler und doppelte Ausgaben aufklären können.

Wer was sieht. Das Personal am Stand meldet sich mit eigenen Zugängen an, die wir anlegen. Es sieht deine Daten nur, wenn es deinen Abholcode eingibt oder deinen QR-Code scannt, und dann nur Code, Vorname mit Anfangsbuchstabe, Artikel, Größe, Preis und Status. Eine Übersicht der Reservierungen gibt es am Stand nur ohne Namen und mit gekürzten Codes. Deine E-Mail-Adresse und deine Konto-ID sieht das Personal nie. Für den Fall, dass die Technik ausfällt, kann am Stand eine ausgedruckte Liste der offenen Reservierungen liegen (Code, Vorname mit Anfangsbuchstabe, Artikel, Größe). Sie wird nach dem letzten Abholtag vernichtet. Den QR-Code erzeugt die App auf deinem Gerät, dafür wird kein externer Dienst genutzt.

Gemeinsam Verantwortliche. Für die Reservierung und die Ausgabe am Stand sind wir (Kasalla GbR, Abschnitt 1) und die Baumwollkontor CCAA GmbH gemeinsam verantwortlich (Art. 26 DSGVO). In einer Vereinbarung haben wir festgelegt, wer welche Aufgaben übernimmt:

• Wir betreiben die Reservierung in der App und die Datenbank. Wir sind deine Anlaufstelle und beantworten deine Anfragen zu deinen Rechten (app@kasallamusik.de).
• Die Baumwollkontor CCAA GmbH stellt das Personal am Stand, das die reservierten Artikel ausgibt, und verpflichtet es auf Vertraulichkeit.

Deine Rechte kannst du gegenüber beiden geltend machen. Das Wesentliche dieser Vereinbarung stellen wir dir auf Anfrage zur Verfügung. Für den Verkauf selbst (Kaufvertrag, Bezahlung, Rechnung und steuerliche Pflichten) ist die Baumwollkontor CCAA GmbH allein verantwortlich. Dafür gelten ihre Bedingungen und ihre Datenschutzerklärung.

Zweck und Rechtsgrundlage. Wir verarbeiten die Daten, um auf deinen Wunsch deine Reservierung anzulegen, den Artikel bis zur Abholzeit zurückzulegen und ihn dir am Stand zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der App nach unseren AGB und Maßnahme vor einem Kaufvertrag). Das gilt auch dafür, dass das Standpersonal der Baumwollkontor CCAA GmbH die Angaben bei der Abholung sieht. Die Begrenzung der Artikel je Konto und das Protokoll dienen dazu, Missbrauch und doppelte Ausgaben zu verhindern. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist eine faire Verteilung der begrenzten Ware.

Stornieren, Verfall und Speicherdauer. Bis zur Abholzeit kannst du eine Reservierung in der App stornieren. Holst du nicht bis zur angegebenen Uhrzeit ab, verfällt die Reservierung automatisch. Alle Reservierungsdaten und das Protokoll löschen wir 14 Tage nach dem letzten Abholtag der Aktion, bei Löschung deines Kontos sofort. Übrig bleiben nur Zahlen ohne Personenbezug, z. B. wie viele Artikel je Größe reserviert und abgeholt wurden.

14. Feedback

Über „Feedback geben“ kannst du uns eine Nachricht schicken. Wir speichern die Nachricht. Bist du angemeldet, speichern wir dazu deine Konto-ID und die E-Mail-Adresse deines Kontos. Ohne Anmeldung speichern wir die E-Mail-Adresse, wenn du freiwillig eine angibst. Wir nutzen das, um dir zu antworten und die App zu verbessern. Bitte schreib keine sensiblen Daten hinein. Wir löschen Feedback nach 6 Monaten, bei Löschung deines Kontos sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dein Anliegen zu bearbeiten und die App zu verbessern.

15. Startseite, Info-Seiten, Videos, Shop und externe Links

Startseite. Die Inhalte der Startseite (z. B. Termine, Neuigkeiten, Videos, Merch, Hinweise auf Funktionen im AAA-Bereich) stellen wir in unserer Redaktionsoberfläche zusammen. Die App lädt sie von unserem Server. Ob du einzelne Inhalte siehst, hängt davon ab, ob du AAA-Zugang hast oder als Tester freigeschaltet bist (Abschnitt 10). Dabei speichern wir nichts über dich. Die zuletzt geladene Startseite merkt sich die App auf deinem Gerät, damit sie auch ohne Netz etwas zeigen kann. Mit deiner Zustimmung zur Nutzungsstatistik erfahren wir, welche Elemente der Startseite angezeigt und welche angetippt wurden (Abschnitt 6). Ohne Zustimmung merkt sich die App dafür nichts.

Info-Seiten. Besucherinfos, z. B. zu unseren Konzerten in der LANXESS arena, zeigt die App als eigene Seiten. Die Inhalte kommen von unserem Server und enthalten keine Daten über dich. Links auf diesen Seiten öffnen sich so:

• Webseiten wie die der Veranstaltungshalle, des Ticketanbieters oder Google Maps für die Anfahrt öffnen sich in einem Browserfenster innerhalb der App.
• Eine Telefonnummer öffnet die Telefon-App deines Geräts.

YouTube-Vorschaubilder. Auf der Startseite, im Bereich Musik und im AAA-Bereich zeigt die App Vorschaubilder von YouTube-Videos. Sie werden beim Öffnen dieser Bereiche direkt von Servern von Google geladen (Google Ireland Limited, Irland; Google LLC, USA), noch bevor du ein Video antippst. Dabei erhält Google deine IP-Adresse, technische Angaben zu Gerät und App sowie die Adresse des Vorschaubilds. Cookies werden dabei nicht gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine ansprechende und verständliche Darstellung unserer Videos. Du kannst dem widersprechen (Abschnitt 20).

YouTube-Player. Statt des Players zeigt die App zunächst nur einen Platzhalter mit dem Hinweis, welche Dienste beim Abspielen geladen werden. Erst wenn du darauf tippst, lädt die App eine Player-Seite, die bei GitHub (GitHub, Inc., USA) liegt, und darin den Player von YouTube (Google). Ab dann werden Daten wie deine IP-Adresse, Geräteinformationen und das angesehene Video an GitHub und YouTube übertragen. YouTube kann dabei Cookies oder ähnliche Kennungen setzen und die Daten in eigener Verantwortung verarbeiten, auch in den USA: https://policies.google.com/privacy. Für GitHub gilt: https://docs.github.com/site-policy/privacy-policies.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Antippen erteilst. Die App merkt sich deine Einwilligung auf deinem Gerät und spielt weitere Videos dann direkt ab. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: Schalte dazu „YouTube-Videos“ unter „Datenschutz & Statistik“ auf der Startseite oder im Profil aus. Vor dem nächsten Video fragt die App dann wieder.

Cloudflare Stream. Andere Videos spielen wir über Cloudflare Stream (Cloudflare, Inc.) ab, erst wenn du sie antippst. Ihre Vorschaubilder lädt die App von Cloudflare, sobald sie angezeigt werden, z. B. auf der Startseite. Cloudflare verarbeitet dabei in unserem Auftrag IP-Adresse und Geräteinformationen, um Video und Vorschaubild auszuliefern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Shop. Der Bereich „Shop“ zeigt die Website kasalla-shop.de in der App an. Einige Karten auf der Startseite, z. B. für Vorbestellungen, öffnen direkt ein Produkt dieses Shops in einem Browserfenster innerhalb der App. Betreiberin und für die Daten dort verantwortlich ist die Baumwollkontor CCAA GmbH, Hansestraße 91, 51149 Köln. Sie betreibt den Shop über den Dienst Shopify. Was dort verarbeitet wird (z. B. Cookies, Bestellungen), steht in der Datenschutzerklärung des Shops. Wir erhalten dabei keine Daten von dir und geben keine Daten aus der App an den Shop weiter. Für die Merch-Reservierung gilt Abschnitt 13a.

Externe Links. Links zu Streamingdiensten (z. B. Spotify, Apple Music), Ticketanbietern (z. B. ticket.io), Kartendiensten (z. B. Google Maps), Social-Media-Kanälen und anderen Websites öffnen die jeweilige App oder Website. Von der Startseite und den Info-Seiten aus öffnen sie sich teilweise in einem Browserfenster innerhalb der App. Ab dort gelten die Datenschutzbestimmungen des jeweiligen Anbieters, auch für Cookies, die er dort setzt. Daten aus deinem Konto übermitteln wir dabei nicht.

16. Empfänger und Auftragsverarbeiter

Technischer Betrieb. Die App wird in unserem Auftrag von Christian Hedel, Köln, technisch betrieben und weiterentwickelt. Dazu gehören die Redaktionsoberfläche, über die wir Inhalte, Push-Nachrichten, Gewinnspiele und Merch-Aktionen verwalten, und die Seite für das Standpersonal. Christian Hedel ist unser Auftragsverarbeiter (Art. 28 DSGVO). Er setzt mit unserer Zustimmung folgende Unterauftragsverarbeiter ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung besteht:

Empfänger in eigener Verantwortung. Daten verarbeiten in eigener Verantwortung:

• Apple (Apple Distribution International Ltd., Irland; Apple Inc., USA) und Google (Google Ireland Limited; Google LLC, USA) für Store-Konto, Download, Kauf und Zahlung,
• YouTube (Google) und GitHub, Inc. (USA), sobald du ein Video abspielst, und Google für die Vorschaubilder (Abschnitt 15),
• die Baumwollkontor CCAA GmbH als Betreiberin des Shops (Abschnitt 15) und für den Kauf am Merch-Stand; für Reservierung und Ausgabe am Stand ist sie mit uns gemeinsam verantwortlich (Abschnitt 13a),
• die Anbieter von Websites und Apps, die du über Links öffnest (Abschnitt 15), und von Apps, an die du Bilder oder Dateien über die Teilen-Funktion deines Geräts weitergibst (Abschnitte 12.6 bis 12.10),
• der jeweilige Veranstalter eines Gewinnspiels für die Gewinnerdaten, die er zur Übergabe braucht (Abschnitt 13).

Sichtbar für andere Nutzer ist nur, was die App ausdrücklich zeigt:

• dein Anzeigename bei Kommentaren, auf der Fan Wall und in den Ranglisten (im Setliss-Tippspiel sonst „Anonym“),
• deine Fan-Wall-Fotos und Kommentare,
• die Gesamtergebnisse von Abstimmungen.

Innerhalb unseres Teams haben nur die Personen Zugriff, die die App betreiben und betreuen. An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. Abschnitt 12.3).

17. Übermittlung in Drittländer

Einige Dienstleister sitzen in den USA oder können von dort auf Daten zugreifen. Die Datenbank der App liegt in London (Vereinigtes Königreich). Eine Übermittlung findet nur statt, wenn eine dieser Garantien besteht:

• Angemessenheitsbeschluss Vereinigtes Königreich: Für das Vereinigte Königreich hat die EU-Kommission festgestellt, dass dort ein angemessenes Datenschutzniveau besteht (Art. 45 DSGVO). Das gilt für die Server von Supabase in London.
• Angemessenheitsbeschluss USA: Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert (Durchführungsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO). Das gilt für: 650 Industries, Inc. (Expo), Cloudflare, Inc., Google LLC und Sucuri (GoDaddy Media Temple, Inc., zertifiziert über GoDaddy Operating Company, LLC). Die Zertifizierung kannst du unter https://www.dataprivacyframework.gov/list einsehen.
• Standardvertragsklauseln: Mit dem Anbieter sind die Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Sie beruhen auf dem Durchführungsbeschluss (EU) 2021/914, Modul 3: Übermittlung von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter. Das gilt für: Supabase, Inc. und RevenueCat, Inc.

Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage per E-Mail an app@kasallamusik.de. Geschäftsgeheimnisse darin dürfen wir schwärzen.

Für die Anbieter, die in eigener Verantwortung handeln (Abschnitt 16), gelten deren eigene Garantien. Google LLC und GitHub, Inc. sind nach dem Data Privacy Framework zertifiziert. Für Apple (Vertragspartner in der EU: Apple Distribution International Ltd., Irland) erfolgt die Übermittlung an Apple Inc. in den USA auf Grundlage von Standardvertragsklauseln.

18. Speicherdauer

Wir speichern Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen oder gesetzlich aufbewahren müssen. Abgelaufene Daten löscht ein täglicher Vorgang automatisch.

19. Konto löschen

Du kannst dein Konto jederzeit in der App löschen, auch wenn du kein Abo hast: im Profil unter „Konto löschen“. Ohne Abo erreichst du das Profil über „Profil & Konto“. Die Löschung passiert sofort und lässt sich nicht rückgängig machen. Gelöscht werden:

• das Konto selbst (E-Mail-Adresse, Passwort, Altersangabe, Vorname, Geschlecht mit Einwilligungsnachweis, Anzeigename) und deine Einstellungen,
• Fan-Wall-Fotos einschließlich der Bilddateien, Likes und Kommentare,
• Stempel und Starschnitt-Fortschritt einschließlich deiner Ranglisteneinträge,
• deine Tipps im Setliss-Tippspiel mit Punkten und Platzierungen,
• deine Merch-Reservierungen; noch offene Reservierungen verfallen damit, und der Artikel geht zurück in den Verkauf,
• Stimmen in Abstimmungen, die du angemeldet abgegeben hast,
• Push-Token und Push-Themen zu deinem Konto und deine „Ich bin dabei“-Einträge mit Konto,
• deine Meldungen, Meldungen zu deinen Fotos und deine Blockierungen,
• Abo-Status, Gewinnspiel-Teilnahmen und Gewinnerdaten; im Ziehungsprotokoll entfernen wir deine E-Mail-Adresse und Konto-ID,
• Feedback, Gewinnspiel-Teilnahmen und Einträge in der Freischalt- oder Testerliste, die unter der E-Mail-Adresse deines Kontos gespeichert sind, auch wenn du dabei nicht angemeldet warst.

Nutzungsstatistik und Fehlerberichte trennen wir von dir: Die Verknüpfung mit deinem Konto wird entfernt, und die App verwirft die Geräte-ID auf deinem Gerät. Danach können wir diese Daten niemandem mehr zuordnen. Sie werden nach den Fristen in Abschnitt 18 gelöscht.

Stimmen ohne Anmeldung hängen nicht an deinem Konto, sondern an der Abstimm-Kennung. Die App verwirft die Kennung bei der Kontolöschung. Danach können wir diese Stimmen niemandem mehr zuordnen. Sie werden nach der Frist in Abschnitt 18 bereinigt.

Autogramm-Selfies, Fotos der Selfie-Cam, Bilder deiner Wunsch-Setliss und gesicherte Downloads liegen nur auf deinem Gerät. Die Kontolöschung entfernt sie nicht aus deiner Galerie, das machst du selbst.

Kann die Löschung nicht vollständig durchgeführt werden (z. B. ohne Netz), zeigt dir die App eine Fehlermeldung. Dein Konto bleibt dann bestehen, und du kannst es erneut versuchen oder uns an app@kasallamusik.de schreiben.

Dein Abo wird durch die Löschung nicht gekündigt. Kündige es vorher in den Einstellungen deines Apple-Kontos (Abonnements) bzw. bei Google Play (Zahlungen und Abos). Die Kaufdaten bei Apple, Google und RevenueCat bleiben nach deren Bestimmungen und den gesetzlichen Aufbewahrungspflichten bestehen. Hast du am Merch-Stand gekauft, gelten für die Kaufdaten die Bestimmungen der Baumwollkontor CCAA GmbH.

Wenn du einzelne Inhalte löschen lassen willst, ohne dein Konto zu löschen, oder wenn du ohne Konto teilgenommen hast (z. B. an einem Gewinnspiel per E-Mail), schreib an app@kasallamusik.de.

20. Deine Rechte

Du hast das Recht auf

• Auskunft über die Daten, die wir zu dir speichern (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO), z. B. deiner Altersangabe,
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. So widerrufst du:
• die Nutzungsstatistik und die YouTube-Freigabe direkt in der App auf der Startseite unter „Datenschutz & Statistik“ oder im Profil,
• Push und Standort in den Einstellungen deines Geräts,
• „Ich bin dabei“ beim Termin,
• die Angabe deines Geschlechts per E-Mail an app@kasallamusik.de.

Widerspruchsrecht (Art. 21 DSGVO): Manche Daten verarbeiten wir auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), z. B. bei Fehlerberichten, YouTube-Vorschaubildern, Feedback, dem Protokoll der Merch-Reservierung oder Fotos, auf denen du zu sehen bist. Dieser Verarbeitung kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Für alle Anfragen genügt eine E-Mail an app@kasallamusik.de. Damit wir dich zuordnen können, nenne bitte die E-Mail-Adresse deines Kontos. Daten, die nur zu einer Geräte-ID, einer Abstimm-Kennung oder einer Einmal-Kennung gespeichert sind, können wir dir in der Regel nicht zuordnen (Art. 11 DSGVO). Wir antworten innerhalb eines Monats.

21. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
https://www.ldi.nrw.de

22. Kinder und Jugendliche

Bei der Registrierung fragen wir, ob du 16 oder älter bist. Gespeichert wird nur Ja oder Nein, kein Geburtsdatum. Bist du unter 16, kannst du ein Konto anlegen, brauchst dafür aber die Zustimmung deiner Eltern. Das AAA-Abo kannst du unter 18 nur mit Zustimmung deiner Eltern abschließen.

Für Konten unter 16 gilt außerdem:

• Die Nutzungsstatistik ist immer aus (Abschnitt 6). Ohne Konto bitten wir dich, im Hinweis zur Nutzungsstatistik „Nein“ zu wählen, wenn du unter 16 bist.
• Eine Geschlechtsangabe ist nicht möglich (Abschnitt 10).
• Der Konzert-Check-in mit Standort ist gesperrt (Abschnitt 12.4).
• In Ranglisten erscheint nie dein Vorname, sondern dein Anzeigename oder ein neutraler Name. Mit „In Ranglisten zeigen“ blendest du dich in Tourpass und Starschnitt ganz aus. Im Setliss-Tippspiel erscheinst du dann als „Anonym“ (Abschnitt 12.9).

Abstimmungen, Merch-Reservierung, Autogramm-Selfie, Wunsch-Setliss, Setliss-Tippspiel und Downloads brauchen keine Einwilligung von dir und stehen deshalb auch unter 16 offen. Was die App dabei für die Nutzungsstatistik melden würde, ist unter 16 aus.

Die Teilnahmebedingungen eines Gewinnspiels können eine eigene Altersgrenze festlegen. Erfahren wir, dass ein Konto ohne die nötige Zustimmung der Eltern angelegt wurde, löschen wir es.

23. Datensicherheit

Alle Verbindungen zwischen App und Server sind verschlüsselt. Passwörter speichern wir nie im Klartext. Der Zugriff auf die Datenbank ist durch Zugriffsregeln beschränkt:

• Du siehst nur deine eigenen Konto- und Profildaten. Andere Mitglieder sehen von dir nur, was in der App ausdrücklich sichtbar ist, z. B. Anzeigename, Kommentare, Fan-Wall-Fotos und Ranglisteneinträge.
• Tipps, Stimmen, Merch-Reservierungen und die Ergebnisse von Tippspiel und Abstimmungen liest die App nur über geprüfte Serverfunktionen, die nie E-Mail-Adressen oder Konto-IDs anderer herausgeben.
• Das Standpersonal am Merch-Stand hat eigene, zeitlich begrenzte Zugänge ohne Zugriff auf die Redaktionsoberfläche. Es kann nur einzelne Reservierungen über den genauen Abholcode aufrufen, und die Zahl der Abrufe ist begrenzt.
• Downloads ruft die App über Links ab, die nach einer Stunde ablaufen.
• Den Zugang zur Redaktionsoberfläche haben nur berechtigte Personen.

24. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Du bist nicht verpflichtet, uns Daten zu geben. Ohne bestimmte Daten oder Freigaben gehen aber einzelne Funktionen nicht:

• Ohne Konto kannst du den AAA-Bereich nicht nutzen und keinen Merch reservieren. Am Stand kaufen kannst du trotzdem, solange Ware da ist.
• Ohne Standortfreigabe kannst du nicht einchecken.
• Ohne Kamerafreigabe kannst du keine Selfies aufnehmen. Ein Foto aus der Galerie geht trotzdem.
• Ohne die Erlaubnis, Bilder hinzuzufügen, kannst du nichts in deiner Galerie sichern. Teilen geht trotzdem.
• Ohne Push-Freigabe bekommst du keine Benachrichtigungen.

Ohne Zustimmung zur Nutzungsstatistik funktioniert die App uneingeschränkt. Automatisierte Entscheidungen im Einzelfall oder Profiling im Sinne von Art. 22 DSGVO finden nicht statt.

25. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir dich, z. B. über eine Neuigkeit in der App. Ändert sich der Text der Einwilligung zur Nutzungsstatistik, fragt die App dich erneut.