Datenschutzerklärung

Melodystats wird betrieben von PE Ishtvan Komonii, einem Einzelunternehmer (фізична особа-підприємець), der in der Ukraine für Computerprogrammierung und damit verbundene Tätigkeiten registriert ist. Diese Person ist der Verantwortliche für die hier beschriebenen personenbezogenen Daten.

• Eingetragene Anschrift: Petliury Street 4, apt. 210, Lviv 79054, Ukraine.
• E-Mail: contact@melodystats.me

Es gibt keinen Datenschutzbeauftragten, und es ist auch keiner erforderlich: Melodystats überwacht niemanden in großem Umfang und hat es nicht darauf angelegt, besondere Kategorien personenbezogener Daten zu verarbeiten. Jede datenschutzrechtliche Frage geht an die vorstehende Adresse und erreicht dort die Person, die den Code geschrieben hat.

Sie gilt für die Melodystats-Website unter melodystats.me und für nichts sonst. Sie gilt nicht für Spotify – für Ihr Spotify-Konto gilt Spotifys eigene Datenschutzerklärung – und sie gilt nicht für andere Websites, die Sie über einen Link von hier aus erreichen.

Wir bitten Sie nicht, ihr zuzustimmen. Das Lesen einer Seite ist keine Einwilligung, und das Weitersurfen ist es ebenso wenig. Das meiste, was hier geschieht, beruht auf der Verbindung, die Sie mit der Autorisierung bei Spotify hergestellt haben: Das ist ein Vertrag, um den Sie gebeten haben, und Art. 6 Abs. 1 lit. b DSGVO ist seine Grundlage. Wo die Einwilligung tatsächlich die Grundlage ist – heute betrifft das Analytics und sonst nichts –, wird sie gesondert eingeholt, und Sie können sie über „Cookie-Einstellungen“ im Fußbereich jeder Seite widerrufen.

Auf dieser Website gibt es kein Registrierungsformular. Es gibt kein Konto, kein Passwort und nirgends ein Feld, das Sie zur Eingabe einer persönlichen Angabe auffordert. Alles Personenbezogene hier ist von Spotify gekommen, weil Sie es autorisiert haben.

Es gibt genau einen Weg hinein: Sie autorisieren Melodystats aus Ihrem Spotify-Konto heraus. Spotify stellt daraufhin ein Token mit einer festen Liste von Berechtigungen aus. Bei nichts davon handelt es sich um öffentliche Daten, und nichts davon geben Sie uns von sich aus – Spotify ist die Quelle jedes personenbezogenen Datums, das wir vorhalten.

Melodystats kann Folgendes lesen:

• Ihr Profil: Anzeigename, E-Mail-Adresse, Land, Abo-Typ, Anzahl der Follower und Profilbild;
• Ihre Top-Künstler und Top-Titel über die drei Zeitfenster, die Spotify berechnet (ungefähr die letzten vier Wochen, die letzten sechs Monate und mehrere Jahre);
• Ihre letzten 50 Wiedergaben;
• den Titel, bei dem Ihr Spotify-Player gerade steht;
• Ihre gespeicherten Titel – die neuesten 2 000 für die Seiten, die Sie ansehen, bis zu 10 000, wenn Sie eine Datei Ihrer Bibliothek anfordern – und Ihre gespeicherten Alben;
• die Künstler, denen Sie folgen;
• Ihre Playlists, auch die privaten.

In Ihr Spotify-Konto kann Melodystats überhaupt nichts schreiben. Jede Berechtigung, um die es bittet, ist eine Leseberechtigung.

Melodystats bittet nicht um die Berechtigung, die Wiedergabe zu steuern, und kann daher auf Ihren Geräten nichts starten, anhalten oder überspringen. Es bittet nicht um die Berechtigung, Ihre Bibliothek zu ändern, und kann daher keinen Titel zu Ihren Lieblingssongs hinzufügen oder daraus entfernen. Wo ein Titel bereits in Ihren Lieblingssongs ist, wird daneben ein Herz angezeigt, und das ist alles, was das Herz tut – es kennzeichnet die gespeicherten Titel und kann sonst nichts. Es bittet nicht um die Berechtigung, Playlists anzulegen oder zu ändern: Es kann Ihre lesen, um sie zu zählen, und kann nichts an ihnen tun. Und es schreibt niemals in Ihr Spotify-Profil.

Aus diesen Daten ermittelt die Website Auswertungen über Sie: Genres, Jahrzehnte, einen Obskuritäts-Wert, eine Hör-Persönlichkeit, eine Farbpalette, die aus Ihren Album-Covern gewonnen wird. Ein Hörverlauf kann Dinge nahelegen, die die meisten Menschen als privat bezeichnen würden – Glauben, politische Überzeugungen, wer sie sind. Diese Auswertungen sind dazu da, Ihre eigene Seite zu zeichnen. Sie werden mit niemandem geteilt, an niemanden verkauft und für nichts anderes verwendet. Was Sie exportieren oder veröffentlichen, ist Ihre Entscheidung, nicht unsere.

Sie können die erteilte Berechtigung jederzeit unter spotify.com/account/apps einsehen und widerrufen. Ab diesem Moment kann Melodystats nichts mehr lesen.

Keine automatisierte Entscheidungsfindung. Nichts hier entfaltet Ihnen gegenüber rechtliche Wirkung oder beeinträchtigt Sie in ähnlicher Weise erheblich. Die Auswertungen sind Beschreibungen, keine Entscheidungen, und weder Mensch noch Maschine handelt auf ihrer Grundlage.

Von Ihnen wird nichts verlangt. Die Bereitstellung dieser Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist schlicht das, woraus die Website besteht: Ohne die Spotify-Verbindung gibt es nichts zu berechnen und nichts zu zeigen.

Es gibt keine Datenbank. Nichts über Sie wird auf eine Festplatte, in ein Backup oder in ein Log von uns geschrieben.

Es gibt einen Cache, und er verdient eine genaue Beschreibung, denn „wir speichern nichts“ wäre nicht zutreffend. Damit eine zweite Seite nicht alles erneut abruft, was die erste bereits abgerufen hat, wird das, was Spotify zurückgibt, im Arbeitsspeicher des Server-Prozesses selbst vorgehalten. Dieser Speicher ist:

• mit einem gekürzten Einweg-SHA-256-Fingerabdruck Ihres Spotify-Refresh-Tokens indexiert – das Token selbst wird nie gespeichert und lässt sich aus dem Schlüssel nicht wiederherstellen;
• nie zwischen Hörern geteilt: Zwei Personen können nicht im selben Namensraum landen;
• auf insgesamt 200 Einträge über alle Nutzer dieses Servers hinweg begrenzt, wobei der am längsten nicht verwendete Eintrag zuerst verworfen wird;
• nie auf eine Festplatte geschrieben, nie gesichert, nie irgendwohin übermittelt;
• verschwunden, sobald der Server neu startet – und jede Bereitstellung startet ihn neu.

Wie lange jede Art von Eintrag lebt:

Eine Einschränkung, damit die Tabelle nicht enger gelesen wird, als sie ist: Ein soeben abgelaufener Eintrag kann noch einmal ausgeliefert werden, während im Hintergrund Ihrer Seite eine frische Kopie geholt wird, und zwar für höchstens noch einmal das Doppelte seiner eigenen Lebensdauer. Die äußerste Grenze für alles in dieser Tabelle beträgt daher das Dreifache des angegebenen Werts – drei Stunden für das Profil, neunzig Minuten für die Top-Listen.

Ihre Sitzung wird überhaupt nicht auf unserem Server vorgehalten. Sie lebt in einem Cookie in Ihrem eigenen Browser, und das Abmelden vernichtet sie. Siehe den nächsten Abschnitt.

Jedes Element, das diese Website setzt, wozu es dient und ob Sie es ablehnen können. Nichts davon ist ein Werbe-Cookie, und nichts davon wird mit einem Werbenetzwerk geteilt.

ms_session ist hier das einzige sicherheitskritische Objekt. Es enthält die Tokens, die Spotify für Ihr Konto ausgestellt hat, verschlüsselt mit AES-256-GCM unter einem Schlüssel, den nur der Server hat. Es ist als httpOnly gekennzeichnet, sodass kein Skript auf der Seite es lesen kann; als SameSite=Lax, sodass eine andere Website Ihren Browser nicht dazu bringen kann, es zu senden; und als Secure, sodass es im Produktivbetrieb nie über unverschlüsseltes HTTP übertragen wird. Das Abmelden vernichtet es, und ein Widerruf unter spotify.com/account/apps macht seinen Inhalt wertlos.

Die drei Präferenz-Cookies enthalten eine Einstellung und keine Kennung. Die beiden Einträge im Browser-Speicher verlassen Ihren Browser überhaupt nie.

Melodystats verwendet Google Analytics 4 – und nur, wenn Sie zustimmen.

• Das Google-Tag ist nicht in der Seite, bevor Sie zustimmen. Nicht geladen und zurückgehalten, nicht mit gesetztem Flag geladen: gar nicht vorhanden. Wenn Sie nicht geantwortet haben, gilt das als Nein.
• Zustimmen und Ablehnen stehen in derselben Zeile des Banners, jeweils ein Klick, mit demselben visuellen Gewicht. Es gibt keine Schaltfläche zum Wegklicken, denn Wegklicken ist keine Einwilligung, und das Banner blockiert die dahinterliegende Seite nie.
• Ihre Antwort wird 182 Tage lang im Cookie ms_consent aufbewahrt. Danach fragt das Banner erneut, statt anzunehmen, dass die alte Antwort noch gilt.
• Der Widerruf ist so einfach wie die Erteilung. Öffnen Sie „Cookie-Einstellungen“ im Fußbereich einer beliebigen Seite. Der Wechsel von „erteilt“ zu „verweigert“ lädt die Seite neu, sodass nichts, was zu dieser Sitzung gemessen wurde, weiterläuft.
• Wenn es läuft, ist es mit anonymize_ip konfiguriert, und Google setzt die oben aufgeführten Cookies _ga und _ga_<id>.
• Was gemessen wird. Seitenaufrufe sowie benannte Interaktionsereignisse: das An- und Abmelden, das Teilen eines Bildes, das Exportieren einer Datei, das Öffnen einer Funktion aus der Kachelübersicht der Startseite, das Wechseln von Sprache, Erscheinungsbild oder Zeitraum und das Aufrufen der Kontakt- und Spenden-Links. Ein „Nicht gefunden“-Ereignis erfasst die Adresse, die ins Leere führte, und ein Absturz-Ereignis erfasst den Referenzcode oder den Typ des Fehlers – nie seine Meldung oder seinen Inhalt. Jedes Ereignis vermerkt, ob der Besucher angemeldet oder Gast war; nichts davon enthält Ihren Namen, Ihre Spotify-Identität oder irgendetwas, das Sie gehört haben.
• Analytics läuft nur auf der Live-Website. In der Entwicklung wird es nie geladen.

Google Ireland Limited handelt für Besucher im EWR und im Vereinigten Königreich als Auftragsverarbeiter, und die Daten gelangen zu Google LLC in den Vereinigten Staaten. Wie diese Übermittlung erfolgt, steht im nächsten Abschnitt.

Jeder handelt nach seinen eigenen schriftlichen Bedingungen, als Auftragsverarbeiter oder – bei den Bild-Hosts – schlicht als Hoster einer Datei, die Ihr Browser anfordert. Keinem von ihnen geben wir Ihre Daten zur Nutzung für eigene Zwecke.

Es wird nichts verkauft. Es gibt hier kein Werbenetzwerk, keinen Datenhändler, kein Affiliate-Tracking, und es wird für niemanden außer Ihnen ein Profil gebildet. Personenbezogene Daten gehen nur dann an sonst jemanden, wenn das Gesetz es verlangt – eine gerichtliche Anordnung oder ein rechtmäßiges Ersuchen einer zuständigen Behörde – und nur so weit, wie es das verlangt.

Übermittlungen aus dem EWR und aus der Ukraine heraus. Vercel und Google sitzen in den Vereinigten Staaten. Für Leser im EWR und im Vereinigten Königreich ist das eine Übermittlung nach Art. 44–49 DSGVO, die auf das EU–US Data Privacy Framework gestützt wird, soweit der Empfänger danach zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der Europäischen Kommission. Da der Verantwortliche in der Ukraine niedergelassen ist, erfolgen dieselben Übermittlungen zugleich nach Art. 29 des Gesetzes der Ukraine „Über den Schutz personenbezogener Daten“ mit der Begründung, dass die Übermittlung zur Durchführung der von Ihnen gewünschten Verbindung erforderlich ist.

Wenn Sie Melodystats auf Patreon unterstützen und um eine Nennung bitten, erscheinen Ihr Vorname und der Anfangsbuchstabe Ihres Nachnamens auf der Unterstützer-Seite – „Oleksandr K.“ statt eines vollständigen Namens. Das geschieht mit Ihrem Einverständnis, mehr wird nicht veröffentlicht, und es wird für nichts anderes verwendet.

Schreiben Sie an contact@melodystats.me, und die Nennung wird mit der nächsten Bereitstellung der Website entfernt. Sie müssen keinen Grund angeben.

Soweit die DSGVO für Sie gilt, stehen Ihnen alle folgenden Rechte zu, und keines davon kostet etwas:

• Auskunft – eine Kopie der über Sie vorgehaltenen personenbezogenen Daten. Diese Erklärung ist bereits der größte Teil dieser Antwort: Es gibt keine Datenbank, es existiert also nur ein Cache-Eintrag, der innerhalb der Fristen unter Wo Ihre Daten liegen abläuft.
• Berichtigung – Korrektur alles Unrichtigen. Nahezu alles hier stammt von Spotify, die Korrektur gehört daher in der Regel in Ihr Spotify-Profil; sie kommt beim nächsten Abruf durch.
• Löschung – melden Sie sich ab und widerrufen Sie unter spotify.com/account/apps. Das Session-Cookie wird vernichtet, die Tokens funktionieren nicht mehr, und die zwischengespeicherten Einträge laufen von selbst ab. Schreiben Sie uns, wenn Sie das bestätigt haben möchten.
• Einschränkung und Widerspruch – einschließlich des Widerspruchs gegen die auf berechtigte Interessen gestützte Verarbeitung unter Wozu und auf welcher Rechtsgrundlage.
• Datenübertragbarkeit – die meisten Seiten, die eine Auswertung zeigen, haben eine Export-Schaltfläche: CSV, XLSX oder JSON der Daten hinter dieser Seite. Ihre gespeicherte Bibliothek und ihr Wachstum Monat für Monat kommen auf demselben Weg aus Ihrem Profil heraus. Wo die Schaltfläche vorhanden ist, müssen Sie uns nicht darum bitten; wo eine Seite keine hat, schreiben Sie uns, und wir erstellen Ihnen dieselbe Datei.
• Widerruf der Einwilligung – für Analytics, jederzeit, über „Cookie-Einstellungen“ im Fußbereich. Der Widerruf beendet die künftige Messung; er kann nicht ungeschehen machen, was bereits gemessen wurde – das ist das Einzige, was ein Widerruf nie kann.
• Keiner automatisierten Entscheidungsfindung unterworfen zu werden – hier gibt es keine, der man unterworfen sein könnte.

Schreiben Sie an contact@melodystats.me. Sie erhalten innerhalb eines Monats eine Antwort, und falls sich ein Antrag als kompliziert erweist, wird Ihnen das innerhalb dieses Monats mitgeteilt und nicht danach.

Beschwerden. Wenn Sie sich im EWR befinden, können Sie sich bei der Aufsichtsbehörde Ihres Wohnorts, Ihres Arbeitsorts oder des Orts beschweren, an dem Ihrer Ansicht nach etwas schiefgelaufen ist. In der Ukraine ist die zuständige Stelle der Menschenrechtsbeauftragte der Werchowna Rada. Sie müssen sich nicht zuerst an uns wenden, auf diesem Weg geht es aber meist schneller.

• Die Anmeldung erfolgt über OAuth 2.0 mit PKCE. Kein Passwort erreicht jemals Melodystats, denn Melodystats hat kein Passwort.
• Das Session-Cookie ist mit AES-256-GCM unter einem Schlüssel verschlüsselt, den nur der Server hat, und ist httpOnly, SameSite=Lax und Secure.
• Nichts über Sie wird auf eine Festplatte geschrieben, es gibt also keine Datenbank, in die eingebrochen werden könnte, und kein Backup, das durchsickern könnte.
• Der Cache-Schlüssel ist ein Einweg-Hash; Ihr Refresh-Token lässt sich daraus nicht wiederherstellen, und der Hashwert verlässt den Server nie.

Kein System ist vollkommen sicher, und diese Erklärung wird nichts anderes vorgeben. Wenn etwas schiefgeht, das Ihre Daten gefährdet, sagen wir das – Ihnen und, wo das Gesetz es verlangt, der Aufsichtsbehörde.

Melodystats richtet sich nicht an Kinder. Sie brauchen überhaupt erst ein Spotify-Konto, um es zu nutzen, und Spotify legt für Ihr Land ein eigenes Mindestalter fest.

Soweit die DSGVO gilt, liegt das Alter, ab dem Sie einem Online-Dienst eigenständig zustimmen können, bei 16 Jahren, sofern Ihr Land es nicht herabgesetzt hat – tiefer als 13 Jahre darf es nicht gehen. Unterhalb dieses Alters muss ein Elternteil oder Vormund für Sie zustimmen.

Es gibt hier kein Formular und kein eigenes Profil, wir haben also keine Möglichkeit, das Alter einer Person zu überprüfen. Das ist eine Regel und keine Schranke. Wenn Sie glauben, dass ein Kind Spotify mit Melodystats verbunden hat, beendet ein Widerruf der Berechtigung unter spotify.com/account/apps das sofort – es kann nichts weiter gelesen werden, und die zwischengespeicherten Einträge laufen innerhalb der Fristen unter Wo Ihre Daten liegen ab. Schreiben Sie an contact@melodystats.me, wenn Sie dabei Hilfe möchten oder eine Bestätigung, dass es erledigt ist.

Melodystats wird aus der Ukraine betrieben, daher gilt für den Verantwortlichen das Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ (Nr. 2297-VI) – einschließlich seiner Pflichten zu den Zwecken der Erhebung, zur Unterrichtung über Weitergaben an Dritte, zur Sicherheit und zu den Gründen für eine Übermittlung ins Ausland.

Die Website wird Lesern im EWR in ihren eigenen Sprachen angeboten, daher gilt die DSGVO parallel für diese Verarbeitung nach Art. 3 Abs. 2 lit. a DSGVO.

Wo beide unterschiedliche Standards setzen, wendet Melodystats den höheren an, statt den bequemeren zu wählen. Beschwerden gehen in der Ukraine an den Menschenrechtsbeauftragten der Werchowna Rada oder im EWR an Ihre eigene nationale Aufsichtsbehörde.

Diese Erklärung trägt ein Datum, oben auf der Seite, und das ist ihre Version. Es gibt keinen zweiten, widersprechenden Stempel.

• Eine Korrektur, die nichts an dem ändert, was geschieht – ein Tippfehler, ein klarerer Satz –, wird mit ihrer Veröffentlichung wirksam.
• Eine Änderung daran, was erhoben wird, wozu oder wer es erhält, wird auf der Website angekündigt, bevor sie wirksam wird, und wo die Änderung Ihre Einwilligung erfordert, werden Sie erneut gefragt statt informiert. Die weitere Nutzung von Melodystats gilt nicht als Zustimmung zu einer wesentlichen Änderung.

PE Ishtvan Komonii, Petliury Street 4, apt. 210, Lviv 79054, Ukraine.

contact@melodystats.me – für alles in dieser Erklärung, einschließlich jedes Rechts unter Ihre Rechte. Es erreicht einen Menschen, keine Warteschlange.

Für Ihre Nutzung der Website selbst gelten die Nutzungsbedingungen.