Datenschutzerklärung

Stand: 12. August 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Yannick Stein
Auf’m Bruch 6
59929 Brilon
E-Mail: [email protected]

2. Überblick der Verarbeitungen

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung der Website notenarchiv.com sowie der webbasierten Plattform und Mobile App „Notenarchiv" (nachfolgend gemeinsam „Dienst").

3. Erhobene Daten

3.1 Besuch der Website (notenarchiv.com)

Diese Website ist eine statische Informationsseite. Es werden keine Formulare zur Datenerhebung eingesetzt. Beim Besuch werden technisch bedingt Server-Log-Dateien erfasst (siehe Abschnitt 4).

Darüber hinaus setzen wir auf dieser Website Google Ads ein, um zu messen, wie wirksam unsere Werbeanzeigen sind (siehe Abschnitt 6.5). Dabei werden Cookies gesetzt und Daten an Google übermittelt. Das geschieht ausschließlich nach deiner ausdrücklichen Einwilligung, die wir über ein Einwilligungsbanner einholen. Erteilst du sie nicht, werden keine Werbe-Cookies gesetzt und keine Kennungen an Google übermittelt.

Zur Reichweitenmessung setzen wir Umami ein — eine Analyse-Software, die wir selbst auf einem Server in Deutschland betreiben (siehe Abschnitt 6.2). Erfasst werden die aufgerufene Seite, die verweisende Seite, die ungefähre Herkunft (Land, Region und Stadt, abgeleitet aus der IP-Adresse), Gerätetyp, Bildschirmgröße und Browsersprache. Umami setzt keine Cookies und legt nichts dauerhaft auf deinem Gerät ab. Deine IP-Adresse wird nicht gespeichert, sondern nur flüchtig verwendet, um zusammen mit deiner Browserkennung und einem täglich wechselnden Zufallswert einen Zählwert zu bilden — sobald dieser Zufallswert wechselt, ist eine Wiedererkennung nicht mehr möglich. Es werden keine Daten an Dritte übermittelt; die Auswertung verlässt unseren eigenen Server nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung unseres Angebots). Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 10).

In der webbasierten Plattform und der Mobile App findet weder Werbe- noch Reichweitenmessung statt.

3.2 Registrierung und Kontoverwaltung (App)

• Vereinsname
• Vorname, Nachname und E-Mail-Adresse des Ansprechpartners
• IP-Adresse und User-Agent bei der Registrierung (Nachweis der AGB-Zustimmung)
• Rolle innerhalb des Vereins (Admin, Notenwart, Mitglied)
• Zugeordnete Instrumente

3.3 Nutzung des Dienstes (App)

• Hochgeladene Dateien (Musiknoten als PDF)
• Metadaten der Noten (Titel, Komponist, Kategorie, etc.)
• Zugriffsprotokolle (Zeitstempel, aufgerufene Seiten)

3.4 Authentifizierung (App)

• WebAuthn/Passkey-Credentials (öffentlicher Schlüssel, Credential-ID)
• Magic-Link-Tokens (temporär, max. 15 Minuten gültig)
• JWT-Tokens (im Browser-Speicher des Nutzers)

3.5 Abonnement und Abrechnung (App)

• Gewählter Tarif und Abonnementstatus
• Rechnungsadresse (falls angegeben)
• Zahlungsinformationen (Rechnungsnummer, Zahlungsstatus)

4. Server-Log-Dateien

Der Hostinganbieter (Cloudflare) erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die dein Browser automatisch übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• IP-Adresse
• Uhrzeit der Serveranfrage

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und Bereitstellung seiner Website.

Die Analyse-Instanz stats.notenarchiv.com läuft auf einem eigenen Server bei Hetzner in Deutschland (siehe Abschnitt 6.2). Auch dort entstehen beim Abruf des Zählskripts und beim Übermitteln der Messwerte Server-Log-Dateien mit denselben Angaben, insbesondere mit deiner IP-Adresse. Diese Protokolle dienen ausschließlich dem sicheren Betrieb und der Fehlersuche. Sie werden nicht mit den Auswertungsdaten aus Abschnitt 3.1 zusammengeführt und nach der in Abschnitt 8 für Zugriffsprotokolle genannten Frist gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Rechtsgrundlagen der Verarbeitung

6. Auftragsverarbeiter und eingebundene Drittanbieter

Wir setzen folgende Dienstleister ein:

6.1 Cloudflare, Inc.

• Zweck: Hosting der Website, Bot-Schutz bei der Registrierung (Cloudflare Turnstile)
• Daten: IP-Adresse, Browser-Informationen (anonymisiert)
• Speicherung: Keine dauerhafte Speicherung personenbezogener Daten
• Standort: Weltweit, Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• Info: https://www.cloudflare.com/privacypolicy

6.2 Hetzner Online GmbH

• Zweck: Hosting der Anwendung und Speicherung der Daten (Server und S3-Objektspeicher) sowie Betrieb unserer selbst gehosteten Analyse-Instanz (stats.notenarchiv.com)
• Standort: Deutschland (Rechenzentren in Nürnberg und Falkenstein)
• Datenschutz: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen
• Info: https://www.hetzner.com/legal/privacy-policy

6.3 Resend Inc. (sofern aktiviert)

• Zweck: Versand von E-Mails (Login-Links, Benachrichtigungen)
• Daten: E-Mail-Adresse, Vorname
• Standort: USA, Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• Info: https://resend.com/legal/privacy-policy

6.4 OpenAI, LLC (nur bei aktivierter KI-Erkennung)

• Zweck: KI-gestützte Instrumentenerkennung auf PDF-Seiten
• Daten: Einzelne PDF-Seitenbilder werden temporär an die OpenAI API übermittelt
• Speicherung: OpenAI speichert über die API übermittelte Daten gemäß eigener Data Usage Policy nicht dauerhaft zu Trainingszwecken (bei API-Nutzung)
• Standort: USA, Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• Hinweis: Die KI-Erkennung ist standardmäßig deaktiviert und wird nur auf Wunsch des Kunden aktiviert. Der Kunde kann die Nutzung jederzeit in den Einstellungen deaktivieren.
• Info: https://openai.com/policies/privacy-policy

6.5 Google Ireland Limited (nur nach Einwilligung, nur Website)

• Zweck: Messung der Wirksamkeit unserer Werbeanzeigen (Google Ads Conversion-Tracking und Remarketing) auf notenarchiv.com
• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Daten: IP-Adresse, Browser- und Geräteinformationen, aufgerufene Seiten, Referrer-URL, Werbe-Klick-Kennungen (z. B. gclid), Cookie-Kennungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG
• Rolle: Google verarbeitet einen Teil dieser Daten nicht als Auftragsverarbeiter, sondern als eigenständig Verantwortlicher. Näheres regeln die Google Ads Datenverarbeitungsbedingungen.
• Drittlandtransfer: Eine Übermittlung in die USA an Google LLC ist nicht ausgeschlossen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Consent Mode: Wir setzen den Google Consent Mode v2 ein. Solange du nicht eingewilligt hast, sind alle Einwilligungssignale (ad_storage, ad_user_data, ad_personalization, analytics_storage) auf „denied" gesetzt. Google erhält dann keine Kennungen, sondern allenfalls anonyme, cookielose Signale.
• Widerruf: jederzeit über „Cookie-Einstellungen" im Fußbereich jeder Seite
• Info: https://policies.google.com/privacy und https://policies.google.com/technologies/ads

7. Datenweitergabe

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur:

• an die unter Abschnitt 6 genannten Dienstleister
• an Google im Rahmen der in Abschnitt 6.5 beschriebenen Werbemessung, sofern du eingewilligt hast
• wenn wir gesetzlich dazu verpflichtet sind (z. B. auf Anordnung eines Gerichts)

Eine darüber hinausgehende Weitergabe zu Werbezwecken findet nicht statt. Insbesondere werden Inhalte deines Notenarchivs sowie Konto- und Nutzungsdaten aus der App niemals an Werbenetzwerke übermittelt.

8. Speicherdauer

9. Cookies und lokaler Speicher

9.1 Technisch notwendige Speicherung (ohne Einwilligung)

• Lokaler Speicher (localStorage): JWT-Authentifizierungstokens und die gewählte Organisation werden im Browser-Speicher abgelegt. Diese Daten sind technisch notwendig für die Funktionalität des Dienstes.
• Einwilligungs-Cookie na_consent: Speichert deine Entscheidung zum Einwilligungsbanner (Wert granted oder denied, Laufzeit 6 Monate). Ohne dieses Cookie müssten wir dich bei jedem Seitenaufruf erneut fragen. Es ist daher nach § 25 Abs. 2 TDDDG erforderlich und selbst einwilligungsfrei. Es enthält keine Kennung, die dich wiedererkennbar macht.
• Reichweitenmessung (Umami): setzt kein Cookie und legt von sich aus keinen Eintrag im Browser-Speicher an. Ausgelesen wird lediglich ein Wert umami.disabled. Hat dein Browser „Do Not Track" aktiviert, zählen wir dich gar nicht erst. Unabhängig davon kannst du dich dauerhaft ausnehmen, indem du in der Entwicklerkonsole dieser Seite localStorage.setItem('umami.disabled', 1) ausführst — dieser Eintrag bleibt in deinem Browser und wird von uns nie ausgelesen oder übertragen.

9.2 Cookies nach Einwilligung (Google Ads, nur Website)

Willigst du ein, setzt Google Ads Cookies zur Messung von Werbeerfolgen:

Vor deiner Einwilligung werden diese Cookies nicht gesetzt.

9.3 Widerruf

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen" im Fußbereich jeder Seite. Bereits gesetzte Cookies kannst du zusätzlich in den Einstellungen deines Browsers löschen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

10. Betroffenenrechte

Jede betroffene Person hat folgende Rechte:

• Auskunft (Art. 15 DSGVO): Du kannst Auskunft über deine gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• Einschränkung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem gängigen, maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten widersprechen.

Zur Ausübung deiner Rechte wende dich bitte an die unter Abschnitt 1 genannte E-Mail-Adresse.

11. Beschwerderecht

Im Falle von Verstößen gegen die DSGVO steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu. Die zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
https://www.ldi.nrw.de

12. Sicherheitsmaßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz deiner Daten:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Passwortloses Login via WebAuthn/Passkeys (phishing-resistent)
• Mandantentrennung (Multi-Tenant-Architektur mit strikter Datenisolierung)
• Regelmäßige Sicherheitsupdates
• Zugriffskontrollen und rollenbasierte Berechtigungen

13. Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, wird deine Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, E-Mail-Adresse, Inhalt der Anfrage) zum Zwecke der Bearbeitung deines Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne deine Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern deine Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite und in der App einsehbar.