Datenschutzerklärung

Stand: 15. November 2026 · gilt für die App bandAgent (iOS/iPadOS), den bandAgent-MCP-Server und die Website bandagent.app.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

bandAgent wird von einer Privatperson betrieben. Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht (weniger als 20 Personen sind mit der Verarbeitung personenbezogener Daten beschäftigt, § 38 BDSG).

2. Kurzfassung

• Kein Tracking, keine Werbung. Weder App noch Website enthalten Analyse-, Werbe- oder Crash-Reporting-Dienste. Es gibt keine Profilbildung und keinen Verkauf von Daten.
• Dein Gerät ist die Hauptablage. Songs, Setlists und Noten liegen lokal auf deinem Gerät; der Server dient nur dazu, sie zwischen den Mitgliedern deiner Band zu verteilen.
• Server in der EU. Die Datenbank liegt bei Supabase in der Region Irland (EU), der MCP-Server bei Microsoft Azure in der Region Nordeuropa (Irland).
• Mikrofon nur auf dem Gerät. Stimmgerät und Tempo-Erkennung werten den Ton direkt auf dem Gerät aus. Es wird nichts aufgenommen, gespeichert oder übertragen.
• Anmeldung nur mit Apple. Wir bekommen von Apple eine Kennung und eine E-Mail-Adresse, die du auf Wunsch über Apple verbergen kannst.
• Keine Cookies auf dieser Website.

3. Diese Website

Die Website bandagent.app wird über Azure Static Web Apps von Microsoft (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) ausgeliefert. Beim Aufruf verarbeitet der Hosting-Dienst technisch notwendige Daten, damit die Seite angezeigt werden kann: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer und Browser-Kennung (User-Agent). Diese Daten nutzen wir nicht für Auswertungen und führen sie nicht mit anderen Daten zusammen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Auslieferung der Website (Art. 6 Abs. 1 lit. f DSGVO). Wir selbst erhalten und speichern keine Zugriffsprotokolle der Website und werten keine aus. Microsoft verarbeitet diese Daten als unser Auftragsverarbeiter nur, um die Seiten auszuliefern und den Dienst zu schützen, und löscht sie nach seinen Vorgaben. Die Seiten werden über das weltweite Auslieferungsnetz von Microsoft verteilt (die Verwaltungsressource liegt in der Azure-Region Central US); ein Abruf kann deshalb über Server außerhalb der EU laufen (siehe Übermittlung in Drittländer).

Die Website setzt keine Cookies, nutzt keinen lokalen Speicher, enthält kein JavaScript und lädt keine Inhalte von fremden Servern (keine externen Schriften, keine eingebetteten Dienste). Deshalb ist auch kein Cookie-Banner nötig.

4. Die App: Daten je Funktion

Die folgende Übersicht nennt, welche Daten bei welcher Funktion anfallen, wo sie gespeichert werden und wofür. „Server“ heißt: unser Backend bei Supabase in der EU-Region Irland. Inhalte einer Band sehen nur die aktiven Mitglieder dieser Band; das wird in der Datenbank selbst durchgesetzt (Row Level Security).

5. Was nur auf deinem Gerät bleibt

• Mikrofon (Stimmgerät, Tempo-Erkennung): Der Ton wird nur im Arbeitsspeicher ausgewertet, solange die Funktion offen ist. Es wird nichts aufgenommen, gespeichert oder gesendet. Gespeichert werden höchstens die gemessenen Tempowerte als Vorschlag am Song. Zugriff nur mit deiner Erlaubnis in iOS.
• Kamera und Fotos: nur, wenn du ein Bandlogo auswählst oder aufnimmst. Übertragen wird nur das gewählte, zugeschnittene Bild. Zugriff nur mit deiner Erlaubnis in iOS.
• Texterkennung beim Import: PDFs werden auf dem Gerät mit Apples Vision-Framework gelesen. Die erkannten Felder siehst du vor dem Speichern.
• Gesprochene Ansagen: werden mit der Sprachausgabe von iOS auf dem Gerät erzeugt.
• Klick, MIDI, Fußpedale: laufen vollständig lokal.
• Exporte (Setlist-PDF, GEMA-Liste, MobileSheets-Paket): entstehen auf dem Gerät. Ob und an wen du sie weitergibst, entscheidest du.
• Lokale Datenbank: Eine SQLite-Datenbank und heruntergeladene Dateien im App-Speicher halten deine Bands offline verfügbar. Sie werden beim Löschen der App entfernt.

6. KI-Assistent (MCP-Connector)

Optional kannst du einen KI-Assistenten wie Claude (Anthropic) oder ChatGPT (OpenAI) über den bandAgent-MCP-Server unter https://mcp.bandagent.app/mcp mit deinem bandAgent-Konto verbinden. Das passiert nur, wenn du selbst den Connector in deinem eigenen KI-Konto einrichtest und auf unserer Zustimmungsseite zustimmst.

• Der Assistent erhält über die Schnittstelle Daten der Bands, in denen du Mitglied bist, soweit deine Rechte reichen: Songs, Abläufe, Songtexte, Setlists, Termine und den Änderungsverlauf. Er kann nur lesen und ändern, was du auch in der App darfst. Löschfunktionen gibt es nicht.
• Was du dem Assistenten schreibst und was er von bandAgent abruft, verarbeitet der jeweilige Anbieter nach seinen Bedingungen und Datenschutzhinweisen im Rahmen deines Vertrags mit ihm. Der Anbieter ist dafür selbst verantwortlich; er ist nicht unser Auftragsverarbeiter.
• Der MCP-Server läuft bei Microsoft Azure in der Region Nordeuropa (Irland). Er speichert keine Inhalte dauerhaft, sondern reicht dein Zugriffstoken an unsere Datenbank weiter; dort gelten dieselben Rechte wie in der App. Für das Rückgängigmachen speichern wir jede Änderung im Änderungsverlauf (siehe oben).
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewünschten Funktion). Du kannst den Zugriff jederzeit widerrufen, indem du den Connector in deinem KI-Konto entfernst; siehe Support.

Bitte gib dem Assistenten nur Daten, die du mit dem Anbieter teilen darfst – insbesondere bei Daten anderer Bandmitglieder.

7. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Konto, Bandfunktionen, Synchronisation, Noten, Termine, Live-Session, KI-Connector.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): technische Protokolle, Sicherheit und Missbrauchsabwehr, Auslieferung der Website.
• Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung): Mitteilungen; Zugriff auf Mikrofon, Kamera, Fotos und lokales Netzwerk, jeweils über die Abfrage von iOS. Ohne Einwilligung funktioniert die App weiter, nur die jeweilige Funktion nicht. Widerruf jederzeit in den iOS-Einstellungen mit Wirkung für die Zukunft.

8. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die wir für den Betrieb brauchen. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 – Datenbank, Anmeldung, Dateispeicher und Echtzeitkanal. Hosting-Region: EU (Irland, auf Amazon Web Services, Region eu-west-1).
• Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland – Microsoft Azure: MCP-Server, Notenerkennung (Beta) und Container-Registry in der Region Nordeuropa (Irland); Website-Hosting über Azure Static Web Apps.
• Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland – „Mit Apple anmelden“ und Apple Push Notification Service (Zustellung von Mitteilungen), TestFlight und App Store. Apple handelt hierbei teils als eigener Verantwortlicher.
• 650 Industries, Inc. (Expo), 624 University Ave FL1, Palo Alto, CA 94301, USA – Expo-Push-Dienst: leitet Mitteilungen samt Geräte-Token an Apple weiter.

Andere Mitglieder deiner Band sehen die Inhalte der Band, deinen Anzeigenamen, deine Rolle, dein Instrument und deine Rückmeldungen zu Terminen. Eine Weitergabe an sonstige Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

9. Übermittlung in Drittländer

Die Daten der App liegen in der EU. Einige Dienstleister haben ihren Sitz außerhalb der EU (Supabase, Expo) oder gehören zu Konzernen mit Sitz in den USA (Microsoft, Apple). Soweit dabei Daten in ein Drittland übermittelt werden können, gilt je Anbieter:

• Supabase (Singapur): Die Daten werden in der EU (Irland) gespeichert. Für Zugriffe aus Drittländern, etwa bei Betrieb und Support, gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags von Supabase sind.
• Microsoft (USA als Konzernsitz): Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO); zusätzlich enthält der Auftragsverarbeitungsvertrag von Microsoft die Standardvertragsklauseln. Das gilt auch für die weltweite Auslieferung der Website.
• Expo (USA): 650 Industries, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).
• Apple: Bei „Mit Apple anmelden“ und beim Push-Dienst verarbeitet Apple Daten auch in eigener Verantwortung nach seiner Datenschutzrichtlinie, einschließlich etwaiger Übermittlungen in die USA.

10. Speicherdauer

• Konto und Profil: bis zur Löschung deines Kontos.
• Inhalte einer Band (Songs, Setlists, Noten, Termine): solange die Band besteht. Inhalte gehören der Band und bleiben für die übrigen Mitglieder erhalten, wenn du austrittst. Gelöschte Einträge werden sofort entfernt; eine Löschmarkierung (nur Kennung und Zeitpunkt) bleibt, damit die Löschung auf allen Geräten ankommt.
• Private Notizen: bis du sie löschst oder dein Konto gelöscht wird.
• Push-Token: bis zur Abmeldung auf dem Gerät, bis Apple den Token ungültig meldet oder bis zur Kontolöschung.
• Änderungsverlauf des KI-Assistenten: 90 Tage; ältere Einträge werden täglich automatisch gelöscht. Danach lassen sich diese Änderungen nicht mehr rückgängig machen.
• Technische Protokolle: bei Supabase höchstens 7 Tage. Für den MCP-Server und die Notenerkennung bei Microsoft Azure haben wir keine Protokollablage eingerichtet; deren Ausgaben werden nicht dauerhaft gespeichert. Zur Website siehe Abschnitt 3.
• Daten auf deinem Gerät: bis du die App löschst oder dich abmeldest.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Band verlassen, Konto löschen

Band verlassen: In der App unter Bands → Band → Einstellungen → „Band verlassen“. Danach siehst du die Inhalte der Band nicht mehr und andere sehen dich nicht mehr als Mitglied.

Konto löschen: In der App unter Konto → „Konto löschen“. Dabei werden sofort gelöscht: dein Konto und dein Name, deine Band- und Gruppenmitgliedschaften, private Notizen, deine Zeichnungen, Texte und eigenen Bearbeitungen in den Noten, deine Rückmeldungen zu Terminen, deine Push-Token und alle Daten deines Kontos auf dem Gerät. Bands, in denen du das einzige aktive Mitglied bist, werden mit allen Inhalten gelöscht. Was anderen Mitgliedern deiner Bands gehört (Songs, Setlists, Noten, Termine, Notizen für alle, Änderungsverlauf), bleibt erhalten, aber ohne Bezug zu dir. Bist du der letzte Admin einer Band mit weiteren Mitgliedern, ernenne vorher ein anderes Mitglied zum Admin.

Du kannst uns auch von der E-Mail-Adresse deines Kontos an support@bandagent.app schreiben. Wir löschen dein Konto dann innerhalb von 30 Tagen und bestätigen dir die Löschung.

Zusätzlich kannst du die Verbindung zu „Mit Apple anmelden“ in iOS trennen: Einstellungen → dein Name → Anmelden mit Apple → bandAgent.

12. Deine Rechte

Du hast gegenüber uns das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreib uns dafür an support@bandagent.app. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel bei der für deinen Wohnort oder für uns zuständigen Behörde. Für uns zuständig ist:

13. Sonstiges

• Keine automatisierte Entscheidung: Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt.
• Pflicht zur Bereitstellung: Ohne Konto kannst du die App nicht nutzen; alle weiteren Angaben (Anzeigename, Instrument, Bandlogo usw.) sind freiwillig.
• Mindestalter: Die App richtet sich an Personen ab 16 Jahren.
• Sicherheit: Alle Verbindungen sind per TLS verschlüsselt. Zugriffsrechte werden in der Datenbank je Band durchgesetzt.
• Änderungen: Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.