Datenschutzrichtlinie

1. Verantwortlicher und Geltungsbereich

Studiomood Ltd, Anschrift: Gon.Tagm. Dim. Pouliou & Kost. Pantelidi, MELINA COURT, 2nd floor, 8011, Paphos, Cyprus, Handelsregisternummer HE 495191.

E-Mail: [email protected]. Produktsupport: [email protected].

Diese Richtlinie gilt für die VolumeKeys-Website und die nachfolgend beschriebenen zugehörigen Kontakt-, Checkout-, Test-, Lizenz-, Mess- und Produktkanal-Funktionen. Die VolumeKeys-App verarbeitet geroutetes Audio lokal. Wenn du einen Store, Zahlungsanbieter, eine soziale Plattform oder einen anderen Dienst auswählst, können zusätzlich dessen eigene Hinweise gelten.

2. Website-Bereitstellung und Sicherheit

Die Website wird über Cloudflare bereitgestellt. Beim Abruf einer Seite können technisch erforderliche Verbindungsdaten wie IP-Adresse, Abrufzeit, angeforderte Ressource, Browserinformationen und Sicherheitssignale verarbeitet werden, um die Website auszuliefern, Missbrauch zu verhindern und Fehler zu diagnostizieren.

Rechtsgrundlage: unsere berechtigten Interessen an einer sicheren und zuverlässigen Bereitstellung der Website (Art. 6 Abs. 1 Buchst. f DSGVO). Soweit Daten zur Beantwortung einer Anfrage vor einem Vertrag erforderlich sind, gilt zusätzlich Art. 6 Abs. 1 Buchst. b DSGVO.

Wir exportieren gewöhnliche Auslieferungsprotokolle nicht absichtlich in eine Kundenprofildatenbank. Im Konto zugängliche Hosting- und Sicherheitsprotokolle werden nach dem aktiven Cloudflare-Tarif und der Konfiguration aufbewahrt und gelöscht oder aggregiert, sobald sie für Sicherheit und Fehlerdiagnose nicht mehr benötigt werden.

Wir zählen Anfragen von sich selbst identifizierenden Such-, KI-, Marketing-, SEO- und Link-Vorschau-Crawlern gesondert in Tagesaggregaten, um zu verstehen, wie öffentliche Seiten indexiert und abgerufen werden. Gespeichert werden Tag, Crawler-Anbieter und -Kategorie, ein bereinigter Pfad ohne Query-Daten, Ressourcentyp, Antwortstatus, zweistelliger Ländercode und Anfragezahl. Wir speichern in dieser Tabelle weder eine IP-Adresse noch den vollständigen User-Agent-Wert und verknüpfen die Aggregate nicht mit einem Besucherprofil. Soweit eine Zeile personenbezogene Daten sein kann, ist die Rechtsgrundlage unser berechtigtes Interesse am Verständnis automatisierter Zugriffe auf öffentliche Seiten (Artikel 6 Absatz 1 Buchstabe f DSGVO). Die konfigurierte Wartungsroutine wendet bei ihrem wöchentlich geplanten Lauf eine Frist von 400 Tagen an. Wir behandeln diese Code-Einstellung nicht als Nachweis wiederkehrender Löschung in Produktion; ein Nachweis erfolgreicher Produktionsläufe bleibt eine Prüfanforderung.

3. Datenschutzauswahl

Optionale Dienste bleiben gesperrt, solange du nicht einwilligst. Unser Auswahlfenster trennt Studiomood Intelligence, Cloudflare Web Analytics, Google Analytics 4, Werbung und externe Medien. Ablehnen ist genauso einfach wie Akzeptieren. Die Website funktioniert auch, wenn du optionale Dienste ablehnst.

Ein notwendiger Local-Storage-Eintrag namens volumekeys_privacy_choices_v6 speichert die ausgewählten Dienste, die Richtlinienversion und den Zeitpunkt für bis zu 180 Tage. Ein neuer Dienst oder eine wesentliche Zweckänderung erfordert eine neue Einwilligungsversion. Einwilligungsversion 6 aktiviert SI erst, nachdem ein Besucher SI ausdrücklich ausgewählt hat. Cloudflare-Messung, Werbung und externe Medien erfordern Einwilligungsversion 7 oder höher und können daher nicht mit einer Auswahl der Version 6 oder älter starten.

Ein Widerruf stoppt künftiges Laden. Soweit möglich, löschen wir erkennbare First-Party-Analytics-Speicherungen und laden die Seite neu, wenn ein zuvor aktivierter Dienst widerrufen wird. Rechtmäßige Verarbeitung vor dem Widerruf wird dadurch nicht rückgängig gemacht.

Das frühere First-Party-Analytics-Browserskript von VolumeKeys ist außer Betrieb und aus dem öffentlichen Build ausgeschlossen. Sein Erfassungs-Endpunkt ist standardmäßig deaktiviert. Ein zuvor ausgegebenes __Host-vk_analytics_session Cookie wird bei der nächsten Anfrage, die es noch mitsendet, zum Ablauf gebracht. Zuvor mit Einwilligung erhobene Datensätze bleiben im selben D1-Speicher und internen Bericht, bis die bestehende Aufbewahrungsroutine sie löscht. Die Aktivierung von SI startet ihre Aufbewahrungsfrist nicht neu.

Technische Speicherdetails stehen in unserer Cookie- und Speicherrichtlinie.

4. First-Party-Messung mit Studiomood Intelligence

Dieser Dienst ist für VolumeKeys aktiv. Für einen Besucher startet er erst, nachdem dieser Studiomood Intelligence im Einwilligungsfenster ausdrücklich ausgewählt hat. Ablehnen, Ignorieren oder Widerrufen dieser Auswahl verhindert künftige SI-Browsermessung.

Mit Einwilligung sendet ein lokales Skript Ereignisse an einen gleichursprünglichen VolumeKeys-Endpunkt. Dieser prüft Ursprung, JSON-Typ und Körpergröße, setzt ein begrenztes Anfragelimit durch und verlangt vom Browser die Angabe, dass die Einwilligung in Studiomood Intelligence aktiv ist. Er weist Felder außerhalb der veröffentlichten Positivliste zurück und schreibt akzeptierte Ereignisse direkt in unsere vom privaten Dashboard genutzte Cloudflare-D1-Datenbank.

Der Dienst kann eine zufällige 128-Bit-Sitzungskennung, Ereigniskennung, Zeitstempel, Seitenpfad ohne Query oder Fragment, Sprache, Viewport-Bereich, verweisenden Hostnamen, freigegebene UTM-Felder, Seitenaufrufe, Interaktion nach zehn Sekunden, Scrollmarken, Navigationsziele, konfigurierte Test- und Checkout-Klicks, konfigurierte Demo- und Video-Interaktionen, erfolgreiche Kontaktformularübermittlung ohne Inhalt sowie die derzeit implementierten Leistungskennzahlen TTFB, LCP und CLS verarbeiten. Der Website-Endpunkt liest einen auf höchstens 512 Zeichen gekürzten User-Agent-Wert ausschließlich zur Ableitung grober Browser-, Betriebssystem- und Gerätefamilien. Der User-Agent-Wert selbst wird nicht in die Analytics-Tabellen geschrieben.

Im aktiven Client bestehen Pfade für Seitenaufrufe, Interaktion, Scrollen, Navigation und Leistung. Ereignisse für Testversion, Checkout, Kontakt, Demo und Video werden nur ausgelöst, wenn die entsprechende Produktionsfunktion konfiguriert ist und tatsächlich erfolgreich ist oder genutzt wird. Die aktuellen Produktionseinstellungen für Checkout, Testversion, Kontakt und externe Videos sind leer.

Nach ausdrücklicher SI-Einwilligung unter Einwilligungsversion 6 kann der Browser studiomood_si_analytics_session_v1 mit einer zufälligen Kennung und Ablaufzeit im Local Storage speichern. Die Kennung wird höchstens 180 Tage akzeptiert. Eine spätere eingewilligte Messung ersetzt sie nach Ablauf, und ein Widerruf entfernt sie, soweit Local Storage verfügbar ist. Bei aktiviertem und ausgewähltem SI kann vk_hero_surface_180d zusätzlich bis zu 180 Tage speichern, welches von zwei Startseiten-Designs angezeigt wurde, samt Ablaufzeitpunkt. Ohne diesen aktiven Dienst und ohne Einwilligung wird das Design nur für den aktuellen Seitenaufruf gewählt und nicht gespeichert. Der Design-Eintrag enthält keine Nutzerkennung, kein Profil und keinen Verhaltensverlauf und wird beim Widerruf der SI-Einwilligung entfernt.

Der Website-Endpunkt nutzt die Verbindungs-IP nur, um ein kurzlebiges HMAC-Pseudonym für ein fünfminütiges Anfragelimit-Fenster zu bilden. Der gekürzte Ratenbegrenzungsschlüssel läuft nach zehn Minuten ab. Die rohe IP wird weder in Analytics-Tabellen geschrieben noch an einen anderen Messdienst weitergeleitet.

Eingewilligte SI-Ereignisse und -Sitzungen werden in die bestehende VolumeKeys-Cloudflare-D1-Datenbank am konfigurierten Standort Westeuropa geschrieben. In den internen Berichten erscheinen sie zusammen mit zuvor mit Einwilligung erhobenen Datensätzen. Die wöchentlich geplante Wartungsroutine wendet eine 400-Tage-Grenze an. Die Löschung erfolgt daher beim nächsten geplanten Lauf, nachdem ein Datensatz diese Grenze überschritten hat. Wir behandeln diese Code-Einstellung nicht als Nachweis wiederkehrender Löschung in Produktion. Ein Nachweis erfolgreicher wiederkehrender Produktionsläufe bleibt eine Prüfanforderung.

Das private Dashboard ist durch Cloudflare Access geschützt. SI verwendet für diese Website-Messung kein Fingerprinting, keine Kundenidentität, Namen, E-Mail-Adressen, Zahlungs- oder Lizenzdaten, Formularinhalte, Suchinhalte oder Audio.

Rechtsgrundlage: deine Einwilligung (Artikel 6 Absatz 1 Buchstabe a DSGVO und anwendbare Regeln zur Speicherung oder zum Zugriff auf deinem Endgerät). Soweit deutsches Recht gilt, umfasst dies § 25 Absatz 1 TDDDG. Die genaue territoriale Anwendung bleibt eine juristische Prüfung des jeweiligen Dienstes.

5. Cloudflare Web Analytics

In Cloudflare Web Analytics besteht ein VolumeKeys-Site-Eintrag, den das Cloudflare-Dashboard derzeit als „Automatic setup“ kennzeichnet. Die Website-Konfiguration lässt den Beacon deaktiviert, und die durchgesetzte Content Security Policy erlaubt die Beacon-Domains derzeit nicht. Vor der Aktivierung muss die automatische Einbindung ausgeschaltet oder anderweitig nachgewiesen werden, dass sie die separate Cloudflare-Web-Analytics-Auswahl nicht umgeht. Außerdem muss die Einwilligungsversion erhöht werden, bevor Cloudflare Web Analytics ausgewählt werden kann. Der genaue VolumeKeys-Site-Tag und die zwei eng begrenzten CSP-Ursprünge werden erst mit dieser getesteten Aktivierungsrevision ergänzt.

Nach der Aktivierung erhält der Cloudflare-Beacon Seiten- und Leistungssignale sowie Verbindungsdaten, die für seine Auslieferung nötig sind. Cloudflare erklärt, dass Web Analytics hierfür weder Cookies noch Local Storage verwendet und die IP-Adresse nach der ungefähren Standortbestimmung verwirft. Cloudflare hält ungesampelte Web-Analytics-Daten sieben Tage vor und stellt eine Zehn-Prozent-Stichprobe sechs Monate bereit.

Rechtsgrundlage: deine Einwilligung (Artikel 6 Absatz 1 Buchstabe a DSGVO und anwendbare ePrivacy-Regeln). Cloudflare Web Analytics bleibt von notwendiger Hosting- und Sicherheitsverarbeitung getrennt.

6. Serverseitige Dashboard-Connectoren

Das private Studiomood-Intelligence-Dashboard kann Konto- oder aggregierte Berichtsdaten serverseitig aus Diensten wie Google Analytics, Search Console, Bing, Lemon Squeezy, Werbeplattformen und Studiomoods eigenen Social-Media-Konten abrufen, wenn die jeweilige Unternehmensverbindung konfiguriert ist.

Ein Dashboard-Connector lädt für sich allein kein Skript auf VolumeKeys, setzt kein Website-Cookie und greift nicht auf das Endgerät eines Besuchers zu. Er ist daher kein eigener Website-Einwilligungsdienst. Ein bereits in die Website eingebundener Anbieter wie Google Analytics oder ein künftiger YouTube-Player unterliegt weiterhin seiner eigenen Einwilligungsauswahl und den folgenden anbieterspezifischen Hinweisen.

7. Google Analytics 4

Google Analytics 4 lädt erst, nachdem du es auswählst. Es kann Seiten-URLs, Kampagnenparameter, Browser- und Geräteinformationen, ungefähren Standort, Seitenaufrufe und aufgeführte Conversion-Ereignisse erhalten. Google erklärt, dass eine IP-Adresse zur Standortableitung verwendet und verworfen wird, bevor sie in Analytics protokolliert wird.

Google-Signale, Anzeigenpersonalisierung und Werbezielgruppen bleiben deaktiviert, solange du nicht zusätzlich Werbung auswählst. GA-Cookies laufen nach höchstens 180 Tagen ab. Nutzer- und Ereignisdaten unter der GA4-Aufbewahrungssteuerung werden höchstens 14 Monate gespeichert. Aggregierte Berichte, die dieser Steuerung nicht unterliegen, können länger bestehen bleiben.

Rechtsgrundlage: deine Einwilligung (Artikel 6 Absatz 1 Buchstabe a DSGVO und anwendbare ePrivacy-Regeln). Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

8. Werbemessung

Google Ads und das Meta Pixel sind in der Einwilligungslogik als getrennte Werbefunktionen vorbereitet. Ihre Produktionskennungen sind am unten genannten Datum jedoch nicht konfiguriert. Bei späterer Konfiguration laden sie erst nach Werbeeinwilligung und einer Erhöhung der Einwilligungsversion und können Kampagnenparameter, Browser- oder Geräteinformationen, Seiten- und Conversion-Ereignisse sowie Anbieterkennungen für Attribution oder Zielgruppen verarbeiten.

Die Werbeeinwilligung kann außerdem Google-Signale, Anzeigenpersonalisierung und Berichte zu Demografie oder Interessen aktivieren. Diese Werte können modelliert oder abgeleitet sein und sind nicht unsere First-Party-Quelle der Wahrheit.

Rechtsgrundlage: deine Einwilligung. Erkennbare First-Party-Werbecookies werden bei Widerruf zum Ablauf gebracht.

9. YouTube-Video

Das lokale Videovorschaubild kontaktiert YouTube nicht. Am unten genannten Datum ist keine produktive YouTube-Video-ID konfiguriert, daher ist der Player deaktiviert. Bei späterer Konfiguration wird er erst erstellt, nachdem die Einwilligungsversion erhöht wurde, du externe Medien erlaubt und auf Wiedergabe gedrückt hast. Wir verwenden die YouTube-Domain im erweiterten Datenschutzmodus. Google kann dennoch Verbindungsdaten erhalten und die Wiedergabe je nach Konto- und Browserstatus mit dir verknüpfen.

Rechtsgrundlage: deine Einwilligung. Eine Ablehnung wirkt sich nicht auf den Rest der Website aus. Ein Widerruf blockiert künftiges Laden, kann aber während der Wiedergabe bereits übermittelte Daten nicht zurückholen.

10. Kontakt und Support

Wenn du uns eine E-Mail sendest oder das Kontaktformular nutzt, verarbeiten wir – soweit angegeben – deinen Namen, deine E-Mail-Adresse, Thema, Nachricht, freiwillig übermittelte Anhänge, technische Zustellmetadaten und unsere Antwort. Sende keine Passwörter, Lizenzschlüssel oder sachfremde sensible Daten.

Der Kontakt-Endpunkt ist am unten genannten Datum nicht aktiviert. Das Formular übermittelt daher keine Nachricht und verweist auf die passende VolumeKeys-E-Mail-Adresse. Bei späterer Aktivierung dient Cloudflare Turnstile der Missbrauchsprävention und der konfigurierte E-Mail-Anbieter stellt die Nachricht zu.

Rechtsgrundlagen: Maßnahmen auf deine Anfrage und Vertragsunterstützung (Artikel 6 Absatz 1 Buchstabe b DSGVO), gesetzliche Pflichten (Artikel 6 Absatz 1 Buchstabe c DSGVO) und unsere berechtigten Interessen an sicherem Support und Missbrauchsprävention (Artikel 6 Absatz 1 Buchstabe f DSGVO).

Gewöhnliche Korrespondenz wird bis zur Klärung der Anfrage und danach nur so lange aufbewahrt, wie sie für Nachverfolgung, Rechtsansprüche oder Pflichtunterlagen nötig ist. Nachrichten, die dafür nicht benötigt werden, werden routinemäßig innerhalb von drei Jahren gelöscht.

11. Checkout und Zahlungen

Die Live-Kauf-URL ist am unten genannten Datum nicht konfiguriert. Wenn der Checkout aktiviert ist und du ihn öffnest, handelt Lemon Squeezy als Merchant of Record und vertraglicher Verkäufer. Das Unternehmen erhält die nötigen Angaben für Zahlung, Steuerberechnung, Belege, Betrugsprävention, Rückerstattungen sowie Streitfälle oder Chargebacks. Zahlungskartendaten werden nicht an Studiomood Ltd gesendet.

Wir erhalten begrenzte Bestell- und Lizenzinformationen, die zur Bereitstellung und Unterstützung von VolumeKeys nötig sind, etwa Kennungen für Bestellung, Produkt, Variante, Lizenz, Aktivierung, Rückerstattung, Streitfall, Chargeback und Status.

Rechtsgrundlagen: Vertragserfüllung (Artikel 6 Absatz 1 Buchstabe b DSGVO), gesetzliche Pflichten (Artikel 6 Absatz 1 Buchstabe c DSGVO) und Betrugsprävention (Artikel 6 Absatz 1 Buchstabe f DSGVO). Siehe Lemon Squeezys Datenschutzrichtlinie.

12. Test- und Lizenzdienst

Die öffentlichen Test- und Bezahlaktivierungsdienste sind am unten genannten Datum nicht aktiviert. Vor der Aktivierung wird dieser Abschnitt mit der bereitgestellten Berechtigungskonfiguration abgeglichen und bei Bedarf aktualisiert.

Der geplante Dienst ist für einen öffentlichen Geräteschlüssel und pseudonymen Geräte-Hash, Testzeitstempel, App- und Betriebssystemversion, pseudonyme Lizenzschlüssel-Korrelation, Lemon-Bestell-, Lizenz- und Instanzkennungen, Aktivierungsstatus und Sicherheitsaufzeichnungen ausgelegt. Rohe Lizenzschlüssel sollen nicht gespeichert werden. Audio wird nicht gesendet.

Geplant sind sieben Tage für Ratenbegrenzungsdaten, 180 Tage für Webhook-Wiederholungshashes und 30 Tage für einen pseudonymisierten Quell-IP-Wert in Testdatensätzen. Test-, Kauf- und Aktivierungsdaten bleiben nur, solange sie zur Bereitstellung, Absicherung, Übertragung, Sperrung oder Verteidigung der Berechtigung und für gesetzliche Aufzeichnungen nötig sind.

14. Empfänger und internationale Übermittlungen

Daten werden nur soweit nötig offengelegt: an Cloudflare für Hosting, Sicherheit und einwilligungsgesteuerte Analytics-Infrastruktur, an Lemon Squeezy und Zahlungsanbieter für den Checkout, an Google und Meta nur nach einschlägiger Einwilligung und Produktionskonfiguration, an den konfigurierten E-Mail-Anbieter für Kontaktzustellung, an Berater und an Behörden bei gesetzlicher Pflicht.

Das für VolumeKeys-SI-Analytics verwendete Cloudflare D1 ist für Westeuropa konfiguriert. Anbieter können Support-, Sicherheits-, Telemetrie- oder Kontodaten dennoch außerhalb des EWR verarbeiten. Soweit Kapitel V DSGVO für eine Übermittlung gilt, muss diese durch einen Angemessenheitsbeschluss, die EU-Standardvertragsklauseln oder einen anderen rechtmäßigen Mechanismus abgedeckt sein, erforderlichenfalls mit ergänzenden Schutzmaßnahmen. Wir prüfen den anwendbaren Mechanismus anbieterweise. Optionale Dienste, deren Mechanismus nicht bestätigt ist, bleiben deaktiviert. Für den aktuellen Stand zu einem bestimmten Anbieter wende dich an [email protected].

Kontaktiere [email protected], wenn du Informationen zu einer anwendbaren Übermittlungsgarantie oder, soweit verfügbar, eine Kopie möchtest. Rechte anderer bleiben geschützt.

15. Aufbewahrung, Löschung und Sicherheit

Die dienstspezifischen Zeiträume oben sind Höchstfristen oder Prüfkriterien und kein Grund, nicht mehr benötigte Daten aufzubewahren. Zuvor erhobene alte Analytics- und Experimentdatensätze unterliegen weiterhin der früher mitgeteilten Höchstfrist von 400 Tagen und können früher gelöscht oder aggregiert werden. Die Migration startet oder verlängert diesen Zeitraum nicht.

Wir verwenden HTTPS, zweckgebundene Dienstzugänge, Zugriffskontrollen, Produkttrennung, begrenzte Eingabe- und Ratenprüfungen sowie beschränkten Zugriff auf das private Dashboard. Kein Internetdienst ist vollständig risikofrei. Wir prüfen Zugriffe und löschen oder anonymisieren Daten, wenn ihr genannter Zweck und anwendbare Aufbewahrungspflichten enden.

16. Erforderliche Angaben, deine Rechte und Änderungen

Du bist gesetzlich nicht verpflichtet, die Website zu besuchen, optionale Messung zu akzeptieren oder eine Kontaktanfrage zu senden. Pflichtfelder für Checkout, Testversion, Lizenz und Support sind nur nötig, wenn du den jeweiligen Dienst anforderst.

Unter den Voraussetzungen der DSGVO kannst du Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit verlangen oder einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen. Du kannst Einwilligung jederzeit widerrufen, ohne frühere rechtmäßige Verarbeitung zu berühren.

Ein pseudonymer Analytics-Datensatz identifiziert dich möglicherweise nicht namentlich. Wenn du Auskunft oder Löschung von SI-Analytics-Daten verlangst, füge nach Möglichkeit die in deinem Browser-Speicher angezeigte Sitzungskennung bei. So können wir den Datensatz ohne zusätzliche Identitätsdaten finden.

Kontakt [email protected]. Du kannst dich außerdem beim Office of the Commissioner for Personal Data Protection in Zypern oder bei der Aufsichtsbehörde an deinem Wohn- oder Arbeitsort beschweren.

Wir verwenden keine ausschließlich automatisierten Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen haben.

Wir aktualisieren diese Richtlinie, wenn sich der Dienst, Anbieter oder die rechtliche Bewertung ändert. Ein wesentlicher neuer optionaler Zweck oder Dienst übernimmt keine ältere Einwilligungsauswahl. Das Datum unten kennzeichnet diese Fassung.

Zuletzt aktualisiert: 10. August 2026