Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten über die Website trupa.app, die App unter app.trupa.app (Web, Android, iOS), das Betreiber-Dashboard admin.trupa.app und den Telegram-Bot ist:

⟨VOR- UND NACHNAME / FIRMA⟩
⟨STRASSE UND HAUSNUMMER⟩
⟨PLZ ORT⟩
⟨LAND⟩

E-Mail: ⟨KONTAKT-E-MAIL⟩

Datenschutzbeauftragter: Es ist keine/r bestellt; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor.

Für alle Anliegen zum Datenschutz — Auskunft, Löschung, Widerspruch — genügt eine formlose Nachricht an die oben genannte Adresse.

2. Was Trupa ist und welche Daten dabei überhaupt anfallen

Trupa ist ein Organisationswerkzeug für Bands: Songs und Akkordblätter, Setlists, Proben und Auftritte, Abstimmungen, Kontakte, Gagen-Abrechnungen und Dateianhänge — geteilt innerhalb einer Band, getrennt von jeder anderen Band. Dazu kommt eine optionale Pressemappe, die eine Band per Link mit Veranstaltern und Presse teilt (§3.20–3.24).

Drei Dinge prägen alles Folgende:

1. Ein Konto ist eine E-Mail-Adresse und ein Anzeigename — mehr nicht. Es gibt kein Passwort (Login per Einmalcode), keine Adress- oder Zahlungsdaten, keine Profilbilder, keine Werbe-IDs.
2. Bandinhalte sind gemeinsame Inhalte. Was du für eine Band anlegst — ein Song, eine Setlist, eine Umfrage, ein Anhang —, sehen alle Mitglieder dieser Band, und es bleibt der Band erhalten, auch wenn du gehst (dann ohne deinen Namen, siehe §8).
3. Es gibt kein Tracking. Keine Analyse-Tools, keine Werbenetzwerke, keine Profilbildung, keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO. Auf der öffentlichen Website läuft kein Analyseskript und keine externe Schriftart; sie setzt keine Cookies.

3. Verarbeitungen im Einzelnen — Zweck, Daten, Rechtsgrundlage, Dauer

3.1 Konto und Anmeldung (E-Mail-Einmalcode)

• Daten: E-Mail-Adresse, Anzeigename (beim ersten Login aus dem lokalen Teil der E-Mail-Adresse vorbelegt), optional eine gewählte Sprache, Zeitpunkt der Kontoerstellung und der E-Mail-Bestätigung.
• Ablauf: Du gibst deine E-Mail-Adresse ein, wir senden einen sechsstelligen Code. Gespeichert wird nur ein Hash des Codes, nie der Code selbst, dazu Ablaufzeit und Fehlversuchszähler. Der Code ist 10 Minuten gültig.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags — ohne Konto keine App).
• Dauer: Kontodaten bis zur Löschung des Kontos (§8). Einmalcodes werden einen Tag nach Ablauf gelöscht.

3.2 Sitzungen und Geräte

• Daten: Pro angemeldetem Gerät ein Sitzungsdatensatz mit Nutzer-ID, Ablaufdatum und dem HMAC-Hash des Sitzungstokens. Das Token im Klartext liegt nur bei dir — im Web als httpOnly-Cookie trupa_session (Secure, SameSite=Lax, 30 Tage), in der mobilen App im verschlüsselten Gerätespeicher (expo-secure-store) als Bearer-Token.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Speicherung auf dem Endgerät § 25 Abs. 2 Nr. 2 TDDDG — das Cookie ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich, deshalb gibt es kein Einwilligungs- Banner.
• Dauer: 30 Tage ab Anmeldung, bei Abmeldung sofort; abgelaufene Sitzungen räumt ein stündlicher Aufräumlauf ab.

3.3 Gerätekopplung über Telegram

Wer die App auf einem neuen Gerät ohne E-Mail freischalten will, kann sie über den Telegram-Bot koppeln.

• Daten: Ein kurzlebiger Kopplungsdatensatz (öffentliche ID, Hash eines Geheimnisses, Zeitstempel), verknüpft mit der Telegram-Nutzer-ID, die den Vorgang bestätigt. Lebensdauer ca. 3 Minuten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Löschung einen Tag nach Ablauf.

3.4 Bands, Mitgliedschaften, Einladungen, Beitrittsanfragen

• Daten: Bandname, Kürzel (Slug), Land, Währung, Zeitzone, Sprache und Einstellungen der Band; je Mitglied Rolle (member/admin/owner) und Beitrittsdatum; Einladungen mit Hash des Einladungscodes, optionaler Empfänger-E-Mail, Ablauf, Nutzungszähler und Ersteller; Beitrittsanfragen mit Antragsteller, Status, Entscheider und Zeitpunkt.
• Zweck: Zugriffssteuerung — die gesamte Mandantentrennung hängt daran, wer in welcher Band welche Rolle hat.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Einladungs-E-Mails an Dritte zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Band daran, ihre Mitglieder zu erreichen — die Einladung ist eine einmalige, angeforderte Nachricht, kein Newsletter).
• Dauer: Bis zum Ende der Mitgliedschaft bzw. Löschung der Band; abgelaufene oder widerrufene Einladungen werden nach 60 Tagen gelöscht.

3.5 Songs, Akkordblätter, Setlists, Bühnenansicht

• Daten: Titel, Interpret, Text und Akkorde (ChordPro), Tonart, Tempo, Notizen, Dauer sowie Urheberrechtsangaben (Komponist, Texter, Arrangeur, Verlag) — Letztere für Meldungen an Verwertungsgesellschaften. Setlists mit Reihenfolge, Sets und Übergangsnotizen. Jeweils mit der ID des Mitglieds, das den Eintrag angelegt hat.
• Personenbezug: Entsteht über den Urheber-/Bearbeiterbezug und über frei eingegebene Namen in Notizen und Metadaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Bis zur Löschung durch die Band; danach bleibt der Datensatz noch 30 Tage als Wiederherstellungsfenster bestehen und wird dann endgültig entfernt. Bei Kontolöschung bleibt der Inhalt der Band erhalten, die Urheberschaft wird anonymisiert (§8).

3.6 Anhänge — Links und hochgeladene Dateien

Ein Anhang ist entweder ein Link auf ein fremdes Angebot (YouTube, SoundCloud, Drive, Dropbox …) oder eine hochgeladene Datei.

• Daten (beide Fälle): Titel, Art (audio/document), Notizen, hochladendes Mitglied, Zeitstempel.
• Nur Upload: Dateiname, MIME-Typ, Größe, der Objektschlüssel im Speicher und die Datei selbst. Zulässig sind ausschließlich audio/mpeg, audio/mp4, audio/x-m4a, audio/m4a und application/pdf; pro Band gilt ein Speicherkontingent (derzeit 1 GiB). Inhalte von Aufnahmen können personenbezogen sein — eine Probenaufnahme enthält Stimmen.
• Nur Link: Wir speichern die URL. Beim Öffnen eines Links verlässt du Trupa; der jeweilige Anbieter erhält dann deine IP-Adresse und setzt ggf. eigene Cookies. Darauf haben wir keinen Einfluss; es gibt keine eingebetteten Player und keine Vorschau-Abrufe durch uns.
• Kein öffentlicher Dateilink: Hochgeladene Dateien werden nicht über vorsignierte URLs ausgeliefert, sondern bei jedem Abruf durch den Server, der vorher die Bandmitgliedschaft prüft. Eine einmal geteilte URL kann also nicht an der Zugriffskontrolle vorbei weiterleben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Beim Löschen eines Anhangs wird die Datei sofort im Objektspeicher gelöscht; der Metadatensatz folgt nach 30 Tagen (Wiederherstellungsfenster für versehentliches Löschen).

3.7 Proben, Anwesenheit, Erinnerungen

• Daten: Titel, Ort, Start (Wanduhrzeit in der Bandzeitzone), Notizen, Serienangaben, Erinnerungszeitpunkt und Versandzeitpunkt; je Mitglied die Zu-/Absage inkl. Kommentar.
• Zweck: Terminplanung; ein stündlicher Job versendet fällige Erinnerungen an die gebundenen Telegram-Chats und als Push an registrierte Geräte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Bis zur Löschung durch die Band, danach 30 Tage Wiederherstellungsfenster; die Zu-/Absagen der Mitglieder werden mit dem Termin entfernt.

3.8 Auftritte (Gigs), Zu-/Absagen und der öffentliche Terminfeed

• Interne Daten: Titel, Veranstaltungsort und -adresse, Beginn und Dauer, Status, interne Notizen, Ticket-Link, Zu-/Absagen der Mitglieder.
• Öffentlicher Feed (optional, standardmäßig aus): Eine Band-Administration kann einen Feed freischalten. Dabei entsteht ein zufälliges Token (im Klartext einmalig angezeigt, gespeichert wird nur der SHA-256-Hash), über das zwei anonyme Endpunkte erreichbar sind: eine JSON-Liste und ein ICS-Kalender zum Abonnieren; die Website kann daraus eine einbettbare Terminseite rendern.
• Was öffentlich wird: ausschließlich Titel, Beginn (mit Zeitzone), Dauer, Veranstaltungsort als Freitext, öffentliche Notizen, Ticket-Link und Status — niemals Zu-/Absagen (auch nicht als Zahl), interne Notizen, Kontakte oder IDs. Nicht öffentlich markierte Auftritte erscheinen nie.
• Wichtig: Wer die Feed-URL kennt, kann sie lesen — sie ist ein Fähigkeitsschlüssel, keine Anmeldung. Sie lässt sich jederzeit rotieren oder abschalten; beides beendet den Zugriff über alle zuvor geteilten URLs sofort.
• Rechtsgrundlage: intern Art. 6 Abs. 1 lit. b DSGVO; für die Veröffentlichung Art. 6 Abs. 1 lit. f DSGVO (Interesse der Band, ihre Termine zu bewerben) — die Freischaltung ist eine bewusste Entscheidung der Band.

3.9 Umfragen und Terminfindung

• Daten: Frage, Beschreibung, Optionen (auch Terminvorschläge), wer welche Option vorgeschlagen hat, wer wie abgestimmt hat, Öffnungs-/Schlusszeit. Abstimmungen sind innerhalb der Band nicht anonym.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Bis zur Löschung durch die Band, danach 30 Tage Wiederherstellungsfenster; die abgegebenen Stimmen werden mit der Umfrage entfernt und bei Kontolöschung ohnehin mitgelöscht.

3.10 Gagen-Splits (gemeinsame Kasse)

• Daten: Titel, Währung, Einnahmen und Ausgaben mit Beschreibung, Betrag, wer bezahlt hat, Anteilsgewichte bzw. Fixbeträge, Ausgleichszahlungen und deren Status; Teilnehmende sind Mitglieder oder frei eingetragene Gäste (dann nur ein Name).
• Personenbezug: Finanzbezogene Angaben zu benannten Personen — bewusst sparsam gehalten: keine Kontonummern, keine Zahlungsabwicklung, kein Zahlungsdienstleister.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für eingetragene Gäste Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer nachvollziehbaren Abrechnung).
• Dauer: Bis zur Löschung durch die Band, danach 30 Tage Wiederherstellungsfenster.

3.11 Kontakte (Daten Dritter)

Bands können ein kleines Adressbuch führen: Name, Rolle (z. B. Veranstalter, Techniker), E-Mail, Telefon, Notizen.

• Diese Personen sind nicht bei uns angemeldet. Die Daten stammen aus der Band, nicht von der betroffenen Person — Art. 14 DSGVO. Die Band entscheidet, was sie einträgt, und ist dafür verantwortlich, die betroffene Person zu informieren und eine Rechtsgrundlage zu haben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Organisation von Auftritten und Zusammenarbeit).
• Auskunft/Löschung: Auf Anfrage an ⟨KONTAKT-E-MAIL⟩ helfen wir betroffenen Personen und leiten das Anliegen an die verantwortliche Band weiter.
• Dauer: Bis zur Löschung durch die Band. Danach bleibt der Datensatz noch 30 Tage als Wiederherstellungsfenster bestehen und wird anschließend automatisch und vollständig aus der Datenbank entfernt — Name, E-Mail, Telefon und Notizen inbegriffen.

3.12 Push-Benachrichtigungen

• Daten: Pro Gerät ein Expo-Push-Token und die Plattform (ios/android), verknüpft mit deinem Konto.
• Ablauf: Die App fragt vorher die Systemberechtigung ab; ohne Zustimmung wird kein Token erzeugt. Beim Abmelden wird das Token dieses Geräts entfernt; von der Push-Plattform als ungültig gemeldete Tokens löscht der Erinnerungs-Job automatisch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage), technisch getragen von Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Bis zur Abmeldung des Geräts, zum Widerruf der Berechtigung oder zur Kontolöschung.

3.13 Telegram-Bot und Gruppenanbindung

Der Bot ist eine ältere, eingefrorene Oberfläche; neue Funktionen entstehen nur in der App.

• Daten: Telegram-Nutzer-ID und Chat-/Gruppen-ID, die Zuordnung einer Gruppe zu einer Band, der Zustand laufender Dialoge (Schritt und Zwischeneingaben) und IDs versendeter Umfragenachrichten.
• Wichtig: Sobald du den Bot nutzt, verarbeitet Telegram die Kommunikation nach seinen eigenen Bedingungen (§5). Wer den Bot nicht nutzt, wird dort nicht verarbeitet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dauer: Bis zur Trennung der Gruppenanbindung bzw. Kontolöschung; Dialogzustände sind kurzlebig.

3.14 Missbrauchsschutz (Rate-Limiting)

• Daten: Für Anmelde-, Kopplungs-, Einladungs- und Feed-Endpunkte sowie für Pressemappen-Seiten und das Meldeformular (§3.23) speichern wir einen Zähler je Zeitfenster. Der Schlüssel enthält die vom Cloudflare-Edge gelieferte IP-Adresse des Aufrufs — beim Meldeformular bei IPv6 nur das /64-Präfix — bzw. ersatzweise einen SHA-256-Hash des Feed-Tokens oder des Link-Tokens der Pressemappe, wenn keine Besucher-IP vorliegt. Der Schlüssel enthält nie den Token selbst.
• Pressefotos: Abrufe von Pressefotos zählt jede Serverinstanz nur im Arbeitsspeicher, je IP-Adresse (ersatzweise je Hash des Link-Tokens) und Zeitfenster von 10 Minuten. Dieser Zähler wird nie in die Datenbank geschrieben; jeder Eintrag wird verworfen, sobald sein 10-Minuten-Fenster abgelaufen ist, spätestens mit der Serverinstanz.
• Zweck: Schutz vor Brute-Force- und Missbrauchsversuchen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).
• Dauer: Maximal 24 Stunden — ältere Zählerzeilen löscht der stündliche Aufräumlauf. Darüber hinaus werden IP-Adressen in der Anwendungsdatenbank nicht gespeichert; insbesondere enthält das Protokoll sicherheitsrelevanter Ereignisse (§3.15) bewusst weder IP-Adressen noch User-Agents.

3.15 Sicherheitsprotokoll (Audit-Log)

• Daten: Anmeldungen, Erstellen/Einlösen/Widerrufen von Einladungen, Rollenwechsel, Beitritte und Entfernungen, Gruppenbindungen, Freischalten und Rotieren des Terminfeeds, Löschen einer Band, Veröffentlichen, Nicht-mehr-Veröffentlichen, neuer Link und Adressänderung der Pressemappe sowie Moderationsmaßnahmen der Betreiber (§3.24) — jeweils mit handelnder Person, Band, Art des Ereignisses, Zeitpunkt und einem datenarmen subject-Feld (IDs, maskierte Werte).
• Eine Ausnahme von „IDs und maskierte Werte“: Beim Löschen einer Band entsteht ein zweiter, bandunabhängiger Eintrag, der neben der ID auch den Namen der gelöschten Band enthält. Er existiert, damit den übrigen Inhaberinnen und Inhabern auch dann noch gesagt werden kann, wer die Band wann gelöscht hat, wenn die Band selbst — und mit ihr jeder daran hängende Eintrag — 30 Tage später endgültig gelöscht ist. Es ist damit der einzige Audit-Eintrag, der die Band überdauert, für bis zu die unten genannten 365 Tage.
• Kein Freitext: Beim Sperren einer Pressemappe und beim Verwerfen einer Meldung enthält der Eintrag die IDs und nur die Länge der Begründung bzw. Notiz des Betreibers, nie deren Text; beim Aufheben einer Sperre nur IDs (§3.24).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit sicherheitsrelevanter Vorgänge, Art. 32 DSGVO).
• Dauer: 365 Tage, danach automatische Löschung. Bei Kontolöschung bleibt das Ereignis als Bandhistorie bestehen, die handelnde Person wird anonymisiert.

3.16 Betreiber-Dashboard

Ein sehr kleiner, per Konfiguration festgelegter Kreis von Betreiberkonten kann unter admin.trupa.app Bands, Nutzerkonten (E-Mail, Anzeigename, Status) und Tarifstände einsehen, um Support zu leisten und Missbrauch zu verhindern, sowie Meldungen zu Pressemappen bearbeiten (§3.24). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Zugriffe erfolgen nur anlassbezogen.

3.17 Öffentliche Website und Downloadseite

trupa.app liefert vorgerenderte Seiten aus: Startseite, Downloadseite (der QR-Code wird lokal im Browser erzeugt), Impressum, diese Erklärung, Sitemap und die eingebettete Terminseite (§3.8); Pressemappen (§3.20) und ihr Meldeformular werden bei jedem Abruf erzeugt. Keine Cookies, keine Analyse, keine externen Schriftarten oder Skripte. Beim Abruf fallen die üblichen Server-Verbindungsdaten beim Hoster an (§3.18).

3.18 Server- und Betriebsprotokolle

Cloudflare protokolliert als Betreiber der Infrastruktur Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, angefragter Pfad, Statuscode, User-Agent) zur Auslieferung, Abwehr von Angriffen und Fehlersuche; die Worker-Beobachtbarkeit (Laufzeit-Logs) ist aktiviert. Kann eine E-Mail nicht versendet werden, vermerkt das Laufzeit-Log die Art der E-Mail und den Statuscode des Anbieters — nicht die Adresse der Empfänger:in. Wir werten diese Daten nicht personenbezogen aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: nach Vorgabe des Anbieters (⟨LOG-AUFBEWAHRUNG⟩).

3.19 Daten auf deinem Gerät

Damit die App ohne Netz nutzbar bleibt, legt sie eine Kopie der zuletzt gelesenen Bandinhalte im Gerätespeicher ab (expo-file-system), im Klartext. Das Sitzungstoken liegt im verschlüsselten Schlüsselspeicher des Systems. Der Akkordblatt-Editor speichert Entwürfe im localStorage des Browsers. Diese Daten verlassen dein Gerät nicht durch uns; Abmelden bzw. Deinstallation entfernt sie. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den gewünschten Dienst) i. V. m. Art. 6 Abs. 1 lit. b DSGVO.

3.20 Pressemappe (EPK)

Eine Band kann eine Pressemappe anlegen — eine Seite für Veranstalter und Presse.

• Daten: Anzeigename der Band, Kurzbeschreibung, Genres, Herkunftsort, „Für Fans von“, Kurz- und Langbiografie, Links zu Musik- und Social-Media- Plattformen, bis zu drei Videos (nur Anbieter und Video-ID von YouTube oder Vimeo), neueste Veröffentlichung, Pressefotos (§3.22), Line-up (§3.21), Kontakte (Rolle, Name, E-Mail und/oder Telefon), Reihenfolge und Sichtbarkeit der Abschnitte sowie Gestaltung. Dazu Zeitpunkt der letzten Veröffentlichung und das Mitglied, das veröffentlicht hat.
• Entwurf und veröffentlichter Stand: Band-Admins bearbeiten einen Entwurf, den alle Mitglieder der Band in der App sehen. Öffentlich wird nur, was beim Veröffentlichen als Kopie festgehalten wird; spätere Änderungen erscheinen erst mit der nächsten Veröffentlichung. Ausgeblendete Abschnitte werden nicht ausgeliefert — mit zwei Ausnahmen: ein Titelfoto und ein Hauptkontakt (Booking, sonst der erste Kontakt) erscheinen immer.
• Wer die Seite sieht: Veröffentlichen erzeugt einen Link der Form trupa.app/b/<kürzel>?k=<token>. Wer diesen Link hat, kann die Seite ohne Anmeldung ansehen und die Fotos herunterladen — er ist ein Fähigkeitsschlüssel wie die Feed-URL (§3.8). Die Seite ist nicht gelistet: kein Verzeichnis, keine Suche, keine Sitemap, noindex für Suchmaschinen, Referrer-Policy: no-referrer. Eine öffentlich auffindbare Pressemappe gibt es derzeit nicht. Gespeichert wird nur der SHA-256-Hash des Tokens; der Link wird einmalig angezeigt.
• Zugriff beenden: Nicht mehr veröffentlichen oder Neuer Link macht alle zuvor geteilten Links sofort ungültig (Browser können Seite und Bilder bis zu 60 Sekunden zwischenspeichern); ebenso das Löschen der Band. Endet der Tarif der Band, wird die Seite nicht mehr ausgeliefert, bleibt aber gespeichert.
• Kontakte in der Pressemappe sind Daten Dritter (Art. 14 DSGVO) und getrennt vom Adressbuch der Band (§3.11), das nie öffentlich wird. Die Band entscheidet, wen sie einträgt, und ist dafür verantwortlich, die Person zu informieren.
• Videos: Der Player von YouTube (youtube-nocookie.com) bzw. Vimeo wird erst geladen, wenn Besucher:innen auf Video abspielen klicken; erst dann erhält der Anbieter ihre IP-Adresse und Gerätedaten. Links zu anderen Plattformen führen aus Trupa hinaus (§3.6).
• Rechtsgrundlage: Bearbeitung in der App Art. 6 Abs. 1 lit. b DSGVO; die Veröffentlichung Art. 6 Abs. 1 lit. f DSGVO (Interesse der Band, sich bei Veranstaltern und Presse zu präsentieren) — sie ist eine bewusste Entscheidung eines Band-Admins; das Laden eines Videoplayers Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Klick nach Hinweis).
• Dauer: Der Entwurf bis zur Löschung der Band, danach 30 Tage. Der veröffentlichte Stand bis Nicht mehr veröffentlichen: Das löscht den Link und den gespeicherten veröffentlichten Stand (samt Kontakten und Line-up) sofort — der Entwurf bleibt, erneutes Veröffentlichen veröffentlicht ihn neu. Während einer Sperrung durch Betreiber (§3.24) bleibt der veröffentlichte Stand bis zur Aufhebung erhalten, längstens bis zur endgültigen Löschung der Band. Sonst ersetzt ihn die nächste Veröffentlichung, und er wird mit der Band nach 30 Tagen gelöscht.

3.21 Deine Zeile im Line-up

• Daten: Jedes Mitglied kann für sich selbst eine Zeile anlegen: einen frei gewählten Namen und bis zu sechs Instrumente bzw. Rollen. Nur du schreibst deine Zeile; niemand sonst — auch kein Admin — kann deinen Namen in die Pressemappe setzen.
• Ablauf: Die Zeile sehen die Mitglieder der Band in der App. Öffentlich wird sie mit der nächsten Veröffentlichung und bleibt dann bis zur folgenden unverändert. Die veröffentlichte Kopie enthält deine Nutzer-ID — nie ausgeliefert —, damit sie gezielt entfernt werden kann.
• Sofort entfernt wird deine Zeile aus der App und von der veröffentlichten Seite, wenn du dich aus dem Line-up entfernst, die Band verlässt, aus ihr entfernt wirst oder dein Konto löschst — ohne dass die Band neu veröffentlichen muss.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — das Anlegen der Zeile ist die Einwilligung. Widerruf jederzeit über Mich aus dem Line-up entfernen, auch wenn die Band keinen aktiven Tarif hat.
• Dauer: Bis zum Widerruf, zum Ende der Mitgliedschaft oder zur Kontolöschung.

3.22 Pressefotos

• Daten: Das Foto in drei Größen (längste Kante bis 4000, 2048 und 640 Pixel; höchstens 12 Fotos je Band, höchstens 10 MB je Datei), Bildnachweis (Pflichtangabe), Alternativtext, Pixelmaße, hochladendes Mitglied und Zeitpunkt der Rechtebestätigung; je gespeicherter Größe Dateityp, Größe, Speicherort und eine SHA-256-Prüfsumme der Datei (für die Sperrliste, §3.24).
• Keine Kamera-Metadaten: Die App kodiert jedes Foto vor dem Hochladen auf dem Gerät neu als JPEG. Dabei entfallen EXIF-Daten, einschließlich der GPS-Position. Der Server nimmt nur JPEG an und lehnt jede Datei ab, die noch EXIF- oder XMP-Daten enthält; andere Formate (z. B. PNG, WebP), deren Metadaten er nicht prüft, lehnt er grundsätzlich ab. Auf dem Server wird nichts umgerechnet.
• Rechtebestätigung: Vor jedem Upload bestätigt das hochladende Mitglied, die Rechte am Foto zu haben und die Einwilligung aller abgebildeten Personen (§ 22 KUG). Abgebildete Personen sind Dritte im Sinne von Art. 14 DSGVO; die Band ist für diese Einwilligung verantwortlich.
• Speicherung und Auslieferung: Im Objektspeicher von Cloudflare R2 (§5). Besucher:innen erhalten Fotos nur über trupa.app, und nur Fotos des veröffentlichten Stands; jeder Abruf prüft den Link erneut. Nach Nicht mehr veröffentlichen gehört ein Foto zu keinem veröffentlichten Stand mehr, und die Band kann es sofort löschen. Ein veröffentlichtes Foto ist unveränderlich — ein anderes Bild ist ein neues Foto.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Veröffentlichung wie §3.20 Art. 6 Abs. 1 lit. f DSGVO, für abgebildete Personen deren Einwilligung, deren Vorliegen die Band bestätigt.
• Dauer: Bis zum Löschen durch die Band; Datei und Datensatz werden dann sofort entfernt. Ein Foto, das der veröffentlichte Stand zeigt, lässt sich erst löschen, nachdem die Band ohne es neu veröffentlicht hat. Nicht abgeschlossene Uploads werden nach einem Tag automatisch gelöscht. Nach dem Löschen einer Band werden ihre Fotos mit ihr nach 30 Tagen entfernt.

3.23 Meldungen zu Pressemappen

• Daten: Wer den Link einer Pressemappe hat, kann sie oder ein einzelnes Foto melden: Grund (Auswahl), Text der Meldung (10 bis 1000 Zeichen), optional eine E-Mail-Adresse für Rückfragen, Zeitpunkt. Keine IP-Adresse (nur der Rate-Limit-Zähler aus §3.14). Bearbeitet ein Betreiber die Meldung, kommen Ergebnis, Notiz bzw. Begründung, bearbeitende Person und Zeitpunkt hinzu. Veröffentlicht eine Band nach einer Sperrung (§3.24) erneut, legt das System selbst eine Meldung ohne personenbezogene Angaben an.
• Benachrichtigung: Es gibt keine E-Mail je Meldung. Höchstens einmal am Tag erhalten die Betreiber eine Zusammenfassung per E-Mail (Brevo, §5): Anzahl, und je Meldung Bandname, Adresse der Pressemappe, Grund, ob ein Foto betroffen ist, und Zeitpunkt — weder Text noch E-Mail-Adresse der meldenden Person. Diese stehen nur im Betreiber-Dashboard.
• Begrenzung: Je Band werden höchstens 50 offene Meldungen gespeichert; darüber hinaus wird eine Meldung bestätigt, aber nicht gespeichert.
• Zweck und Rechtsgrundlage: Prüfung durch das Trupa-Team und Maßnahmen gegen rechtswidrige Inhalte (Art. 16 DSA); Art. 6 Abs. 1 lit. c und f DSGVO.
• Dauer: Bis zur Bearbeitung, danach 180 Tage. Eine Meldung, die 180 Tage offen bleibt, wird als abgelaufen geschlossen; ihr Text und die E-Mail-Adresse werden sofort gelöscht, der Rest 180 Tage später. Mit der endgültigen Löschung einer Band entfallen auch ihre Meldungen.

3.24 Moderation von Pressemappen

• Ablauf: Betreiber (§3.16) prüfen Meldungen anhand des veröffentlichten Stands einschließlich Fotos und Line-up. Jeder Abruf eines Fotos durch einen Betreiber wird mit dessen Konto-ID in den Laufzeit-Logs (§3.18) protokolliert. Eine Meldung kann verworfen werden (optional mit Notiz), ein einzelnes Foto entfernt oder die ganze Pressemappe gesperrt werden.
• Sperrung einer Pressemappe: Die Seite geht offline, der Link wird ungültig. Gespeichert werden Zeitpunkt, Begründung und der sperrende Betreiber. Der veröffentlichte Stand bleibt als Grundlage der Entscheidung unverändert erhalten — auch wenn die Band zwischenzeitlich nicht mehr veröffentlicht —, damit der Betreiber prüfen kann, was gesperrt wurde. Solange die Sperre besteht, kann die Band den Entwurf bearbeiten, aber nicht veröffentlichen. Fotos kann sie weiterhin löschen; ein gelöschtes Foto wird dann vollständig — Dateien, Bildnachweis und Alternativtext — auch aus dem aufbewahrten veröffentlichten Stand entfernt. Nur ein Betreiber hebt sie auf; die Aufhebung löscht die Begründung und den aufbewahrten veröffentlichten Stand, danach entscheidet die Band, ob sie neu veröffentlicht.
• Entfernen eines Fotos: Die Dateien werden gelöscht, das Foto verschwindet aus Entwurf und veröffentlichtem Stand. Die SHA-256-Prüfsummen seiner Dateien kommen auf eine Sperrliste der Band, damit genau dieselbe Datei nicht erneut hochgeladen werden kann. Die Sperrliste enthält nur Prüfsummen, kein Bild.
• Begründung an die Band: Die Inhaber:innen der Band erhalten die Begründung per E-Mail (Brevo, §5) und können darauf antworten (Art. 17 DSA).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 und 17 DSA; Art. 6 Abs. 1 lit. f DSGVO (Schutz Betroffener und des Dienstes).
• Dauer: Die Sperre, ihre Begründung und der aufbewahrte veröffentlichte Stand bis zur Aufhebung, längstens bis zur endgültigen Löschung der Band; die Sperrliste bis zur endgültigen Löschung der Band. Eine an einer Meldung vermerkte Notiz oder Begründung wird mit der Meldung gelöscht (§3.23). Sperren, Aufheben und Verwerfen werden im Sicherheitsprotokoll festgehalten (§3.15, 365 Tage) — ohne Text, nur mit IDs und, bei Sperren und Verwerfen, der Textlänge.

4. Datenexport (Recht auf Datenübertragbarkeit) direkt in der App

Unter Konto kannst du jederzeit einen vollständigen Export als JSON abrufen (GET /api/account/export). Enthalten sind: Profil, verknüpfte Identitäten, Bandmitgliedschaften, deine Stimmen, Zu-/Absagen zu Proben und Auftritten, von dir angelegte Songs, Setlists, Anhänge (Metadaten und Links), Umfragen, Split-Beiträge, registrierte Push-Geräte, deine Zeilen im Line-up von Pressemappen, die Metadaten der von dir hochgeladenen Pressefotos (Bildnachweis, Alternativtext, Zeitpunkt der Rechtebestätigung; nicht die Bilddateien) und die dich betreffenden Audit-Ereignisse.

5. Empfänger und Auftragsverarbeiter

Wir geben keine Daten zu Werbezwecken weiter und verkaufen keine Daten. Eingesetzt werden ausschließlich Dienstleister, die für den Betrieb nötig sind:

Es findet keine Zahlungsabwicklung statt: Trupa bindet keinen Zahlungsdienstleister ein und speichert keine Zahlungsdaten.

Drittlandübermittlung: Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. — soweit der Anbieter zertifiziert ist — des EU-US Data Privacy Framework (Art. 45 DSGVO). Für die Nutzung von Telegram (VAE, kein Angemessenheitsbeschluss) gilt: Sie ist vollständig freiwillig; ohne Bot findet dort keine Verarbeitung statt.

6. Speicherdauern auf einen Blick

7. Sicherheit der Verarbeitung (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) auf allen Verbindungen; Verschlüsselung der Daten im Ruhezustand bei Datenbank- und Objektspeicheranbieter.
• Kein Klartext bei Geheimnissen: Sitzungstokens werden HMAC-gehasht, Einmalcodes, Einladungscodes, Kopplungsgeheimnisse, Feed-Tokens und Links von Pressemappen als Hash gespeichert. Ein Datenbankleck gibt keine funktionierenden Zugangsmittel preis.
• Mandantentrennung im Code: Jeder bandbezogene Zugriff läuft durch eine zentrale Prüfung von Mitgliedschaft und Rolle — es gibt keinen Pfad daran vorbei.
• Uploads: strikte MIME-Allowlist, serverseitige Größen- und Kontingentprüfung, Auslieferung nur nach Mitgliedschaftsprüfung (keine vorsignierten URLs). Pressefotos: nur JPEG; Kamera-Metadaten werden auf dem Gerät entfernt und vom Server geprüft; Auslieferung nur über trupa.app nach Prüfung des Links.
• Sicherheits-HTTP-Header je Host, authentifizierter Telegram-Webhook, Ratenbegrenzung an allen Anmeldepfaden.
• Datensparsamkeit als Voreinstellung: keine IP-Adressen im Audit-Log, keine Zahlungs- oder Standortdaten, keine Analyse-Skripte.

8. Deine Rechte

Dir stehen zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

So setzt Trupa das um:

• Auskunft und Übertragbarkeit: Selbstbedienung über den Export (§4).
• Berichtigung: Anzeigename und Sprache jederzeit in den Kontoeinstellungen; Bandinhalte in der jeweiligen Ansicht.
• Löschung: In den Kontoeinstellungen (Konto löschen, DELETE /api/account/me). Dabei werden sofort und endgültig gelöscht: Profil, verknüpfte Identitäten, Sitzungen, Mitgliedschaften, Stimmen, Zu-/Absagen, Push-Tokens, Telegram-Dialogzustände und deine Zeilen im Line-up von Pressemappen — auch von bereits veröffentlichten Seiten. Gemeinsam genutzte Bandinhalte (Songs, Setlists, Anhänge, Pressefotos, Umfragen, Splits, Audit-Ereignisse) bleiben der Band erhalten; die Urheberschaft wird auf einen anonymen Platzhalter („[deleted user]“) umgeschrieben, der kein Konto ist, sich nie anmelden kann und in keiner Mitgliederliste erscheint. Wer als Eigentümer:in einer Band geht, muss die Band vorher übergeben oder löschen. Diese Anonymisierung ist unumkehrbar und die Umsetzung von Art. 17 DSGVO im Rahmen gemeinsam erzeugter Inhalte.
• Widerspruch/Widerruf: Push-Berechtigung im Betriebssystem entziehen, Telegram-Bot blockieren bzw. Gruppenanbindung trennen, Terminfeed abschalten, dich aus dem Line-up einer Pressemappe entfernen — jeweils sofort wirksam.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Zuständig für uns ist ⟨AUFSICHTSBEHÖRDE⟩.

9. Erforderlichkeit der Bereitstellung

Ohne E-Mail-Adresse und Anzeigename ist kein Konto und damit keine Nutzung möglich — das ist vertraglich erforderlich, nicht gesetzlich. Alles Weitere (Telegram, Push, Uploads, öffentlicher Terminfeed, Pressemappe, Kontakte, Splits) ist freiwillig; wer es nicht nutzt, hinterlässt dort keine Daten.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen oder eingesetzte Dienste ändern. Es gilt die jeweils auf trupa.app/privacy veröffentlichte Fassung.

Stand dieser Erklärung: 29.09.2026.