1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten auf den Websites kiraliga.de und wirsindkira.de, in der K.I.R.A App sowie in den zugehörigen Verwaltungs- und Teilnehmerbereichen ist:
Marco Ivelj, Am Hohnersberg 6, 54646 Brimingen, Deutschland. Kontakt: marco.ivelj@gmail.com.
2. Geltungsbereich und Rechtsgrundlagen
Diese Erklärung gilt für die öffentliche Website, die K.I.R.A App, das Teilnehmerportal sowie das K.I.R.A Control Center. Verarbeitet werden nur Daten, die für den technischen Betrieb, die Verwaltung der K.I.R.A-Inhalte, die Durchführung der Liga, die Kommunikation oder ausdrücklich freigegebene Zusatzfunktionen erforderlich sind.
Je nach Verarbeitung stützen wir uns auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Durchführung oder Vorbereitung des Teilnahme- beziehungsweise Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) oder unser berechtigtes Interesse an einem sicheren, zuverlässigen und verständlichen Betrieb der Angebote (Art. 6 Abs. 1 lit. f DSGVO).
3. Hosting und technische Serverdaten
Die öffentliche Website wird bei Hostinger bereitgestellt. Beim Aufruf können technisch notwendige Zugriffsdaten verarbeitet werden, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Datei, Browsertyp, Betriebssystem, Referrer-URL und Statuscode.
Die Verarbeitung dient der sicheren Auslieferung, Stabilität und Fehleranalyse. Hosting-Anbieter ist Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
4. Bewerbung und Organisation der Liga
Bei einer Bewerbung oder Teilnahme verarbeiten wir insbesondere Künstlername, TikTok-Name beziehungsweise Profil-Link, E-Mail-Adresse, Song- und Battleangaben, Einwilligungen, Liga- und Gruppenzuordnung, Ergebnisse, Abgabefristen sowie den Bearbeitungsstatus.
Die Daten werden zur Prüfung, Kommunikation, Einteilung, Durchführung und Dokumentation der Liga sowie zur Vermeidung doppelter Datensätze verwendet. Frühere Interessenbekundungen können anhand von E-Mail-Adresse oder Profil mit einer späteren Bewerbung verknüpft werden; sie bewirken keine automatische Aufnahme.
Ligaeinteilungen und Ergebnisse werden durch die Orga beziehungsweise die dafür vorgesehenen Wertungsverfahren festgelegt. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.
5. Konten, Teilnehmerportal und K.I.R.A Control Center
Für geschützte Zugänge verarbeiten wir unter anderem E-Mail-Adresse, Anmeldenamen, verschlüsselte beziehungsweise vom Authentifizierungsdienst verwaltete Zugangsdaten, Rollen, Berechtigungen, Einladungs- und Aktivierungsstatus, verknüpfte Künstler- oder Teilnehmerprofile sowie sicherheitsrelevante Anmeldeinformationen.
Teilnehmer, Mitglieder, Juroren und Administratoren sehen nur die Bereiche, die für ihr Konto und ihre Rolle freigegeben sind. Bearbeitungen können mit Benutzerkennung und Zeitstempel protokolliert werden, um Änderungen nachvollziehen und Missbrauch untersuchen zu können.
Zugangscodes und Einladungslinks sind vertraulich zu behandeln. Passwörter werden nicht im Klartext angezeigt oder von uns per E-Mail versendet.
6. Öffentliche Profile, Releases, News und Ligaangaben
Für bestätigte K.I.R.A-Mitglieder, Musikprojekte und Ligateilnehmer können die zur Veröffentlichung bestimmten Angaben öffentlich erscheinen. Dazu gehören insbesondere Künstler- oder Projektname, Profilbild, Kurzbeschreibung, Genres, Social- und Streaming-Links, Releases sowie Liga-, Gruppen-, Spielplan-, Ranking- und Ergebnisangaben.
Hauptprojekte und Unterprojekte werden öffentlich als eigenständige Künstleridentitäten dargestellt. Die interne Zuordnung eines Unterprojekts zu einem Mitglied wird nicht öffentlich offengelegt.
E-Mail-Adressen, Zugangsdaten, interne Notizen, private Battleclips und nicht freigegebene Verwaltungs- oder Juryangaben werden nicht öffentlich angezeigt. Veröffentlichte Profildaten können über das zuständige Portal beziehungsweise durch die Orga berichtigt werden.
7. Supabase als Backend und Speicher
Für Datenbank, Authentifizierung, Rollen- und Rechteprüfung, serverseitige Funktionen und verschiedene Dateiablagen nutzen wir Supabase. Anbieter ist Supabase Pte. Ltd. Das Projekt ist in der Region eu-west-1 (Irland) angelegt; dort werden die primären Projektdaten gespeichert.
In Supabase werden je nach Funktion unter anderem Konto- und Profildaten, Liga- und Inhaltsdaten, Datei- und Medienmetadaten, interne Bearbeitungsstände, technische Protokolle sowie die in Abschnitt 13 beschriebenen Analyseereignisse verarbeitet. Zugriffe werden durch Rollen, serverseitige Prüfungen und Row Level Security beschränkt.
Supabase verarbeitet diese Daten als Auftragsverarbeiter. Soweit Unterauftragnehmer oder Supportvorgänge eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfordern, werden die hierfür vorgesehenen vertraglichen Schutzmechanismen, insbesondere Standardvertragsklauseln, verwendet.
8. Datei-Uploads, Medienbibliothek und Google Drive
In den vorgesehenen Bereichen können Profil- und Inhaltsbilder, Release-Cover, Newsbilder und optionale Newsvideos, Audio-Dateien und Battlevideos hochgeladen werden. Dabei verarbeiten wir die Datei selbst sowie je nach Funktion Dateiname, Dateityp, Dateigröße, Abmessungen oder Dauer, Speicherkennung, Zuordnung zum Profil, Beitrag oder Battle, Uploadstatus und Zeitstempel.
Öffentlich vorgesehene Profil- und Inhaltsmedien können über die Website und App abrufbar sein. Unveröffentlichte Livestream-Songs, private Verwaltungsdateien und Battleclips sind dagegen nur für die jeweils berechtigten Konten und die Orga bestimmt.
Battleclips, neu eingereichte private Livestream-MP3s und Newsvideos werden über geschützte Supabase-Funktionen in getrennte, nicht öffentlich freigegebene Ordner des Google-Drive-Kontos des Verantwortlichen übertragen. Supabase speichert dafür die Zuordnung und technische Dateimetadaten, nicht jedoch eine zusätzliche öffentliche Kopie der Audio- oder Videodatei. Hierfür werden Google Drive und die zugehörigen Google-Schnittstellen eingesetzt. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung durch Google LLC in den USA oder auf globaler Infrastruktur kann nicht ausgeschlossen werden.
Newsvideos sind nach Freigabe des zugehörigen Beitrags öffentlich abspielbar. Die Wiedergabe startet erst nach Betätigung des Players und wird über eine Supabase-Funktion aus Google Drive übertragen. Dein Browser beziehungsweise die App lädt dabei keinen Google-Drive-Iframe und erhält keine Drive-Zugangsdaten. Nicht veröffentlichte Newsvideos können berechtigte Redakteure über zeitlich begrenzte Vorschau-Links prüfen.
9. E-Mail-Versand mit Resend
Für Aktivierungslinks, Ligaeinladungen, Fristerinnerungen und andere erforderliche Service-Nachrichten nutzen wir Resend, einen Dienst der Plus Five Five, Inc. Dabei werden insbesondere Empfängeradresse, Empfängername, Betreff, Nachrichteninhalt, Aktionslink sowie technische Versand-, Zustell- und Fehlerdaten verarbeitet.
Resend verarbeitet Daten auch in den USA. Der Versand erfolgt zur Durchführung und Organisation des jeweiligen Teilnahme- oder Nutzungsverhältnisses sowie zur verlässlichen Zustellung sicherheits- und fristrelevanter Nachrichten.
10. Externe Links und Plattformen
Website und App können Links zu TikTok, YouTube, Spotify, Apple Music, SoundCloud, Deezer, Instagram oder anderen Plattformen enthalten. Erst wenn du einen solchen Link öffnest, wird eine Verbindung zum jeweiligen Anbieter hergestellt; dann gelten dessen eigene Datenschutzbestimmungen.
Externe Musik- oder Social-Media-Inhalte werden nach aktuellem Stand verlinkt und nicht automatisch als Drittanbieter-Player geladen.
Im Bereich K.I.R.A Arcade können Spiele von K.I.R.A-Mitgliedern eingebettet werden, die technisch bei externen Anbietern liegen. Die derzeit angebotenen Spiele von Rock the Wild und Clara Wilder werden von Netlify bereitgestellt und erst geladen, nachdem du auf „Spiel laden“ klickst. Dann stellt dein Browser eine direkte Verbindung zum jeweiligen Spielehost her; dabei können insbesondere IP-Adresse, Browser- und Geräteinformationen, Zeitpunkt sowie technisch notwendige lokale Speicher- oder Spieldaten verarbeitet werden. Alternativ kannst du das Spiel in einem neuen Tab öffnen.
11. Freiwillige Push-Benachrichtigungen
In der App kannst du Push-Benachrichtigungen freiwillig aktivieren. Dafür verwenden wir Firebase Cloud Messaging von Google. Verarbeitet werden insbesondere eine Firebase-Installationskennung, ein Push-Token, Geräteplattform, gewählte Themenkategorien sowie technische Zustellinformationen.
Wenn du dich als Ligist in der App anmeldest und Push-Nachrichten aktiviert hast, wird das Push-Token in Supabase deinem geschützten Teilnehmerkonto zugeordnet. Dadurch können ausschließlich die für dich bestimmten Erinnerungen zum Öffnen und zum bevorstehenden Ende deiner Battleclip-Uploadfrist zugestellt werden. Der Token wird nicht öffentlich angezeigt und beim Abmelden oder Deaktivieren der Push-Nachrichten aus dieser persönlichen Zuordnung gelöscht.
Die Systemberechtigung wird erst im Zusammenhang mit deiner Aktivierung abgefragt. Du kannst Push-Nachrichten jederzeit in der App oder in den Geräteeinstellungen deaktivieren. Beim Deaktivieren meldet sich die App von den Themen ab und fordert die Löschung des Push-Tokens an. Google gibt an, die zugehörige Firebase-Installationskennung nach einer Löschanforderung innerhalb von bis zu 180 Tagen aus Live- und Sicherungssystemen zu entfernen.
Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
12. Fehlerdiagnose mit Firebase Crashlytics
In veröffentlichten Android- und iOS-Versionen verwenden wir Firebase Crashlytics, um Abstürze und technische Fehler zu erkennen und die Stabilität der App zu verbessern. Dabei können Crash- und Stack-Traces, Fehlermeldungen, App-Version, Betriebssystem- und Geräteinformationen, Zeitpunkt und App-Zustand sowie Crashlytics- und Firebase-Installationskennungen verarbeitet werden. Bei ausgewählten Uploadfehlern können zusätzlich technische Angaben wie Battle-Slot und Dateigröße übermittelt werden; Namen, E-Mail-Adressen oder Passwörter werden nicht bewusst als Diagnoseparameter gesetzt.
Die Verarbeitung beruht auf unserem berechtigten Interesse an Sicherheit und Fehlerfreiheit gemäß Art. 6 Abs. 1 lit. f DSGVO. Google gibt für Crash-Stack-Traces und zugehörige Kennungen eine Aufbewahrung von 90 Tagen an, bevor die Löschung aus Live- und Sicherungssystemen beginnt. Crashlytics ist in Entwicklungs- und Debug-Versionen deaktiviert.
13. Optionale Nutzungsanalyse
Nur nach deiner ausdrücklichen Zustimmung erfassen wir pseudonyme Nutzungsereignisse für die Bereiche Liga, Releases, News und Mitglieder. Dazu gehören zum Beispiel Seiten- oder Bildschirmaufrufe, verwendete Filter, Aufrufe bestimmter Inhalte, Interaktionen, Verweildauer-Kategorien, Upload-Erfolg oder -Fehler und Klicks zu externen Musikplattformen.
Für die standardisierte App- und Webanalyse verwenden wir Google Analytics for Firebase beziehungsweise Google Analytics. Zusätzlich speichern wir eine begrenzte Kopie fest definierter Ereignisse in Supabase, damit ausdrücklich berechtigte Personen aggregierte Kennzahlen im K.I.R.A Control Center sehen können. Web, Android und iOS werden als getrennte Oberflächen ausgewertet. Neue Website-Ereignisse werden zusätzlich anhand der geprüften Herkunft für kiraliga.de und wirsindkira.de getrennt; ältere Web-Ereignisse ohne geprüfte Domain bleiben als historische Webdaten gekennzeichnet.
Unsere eigene Analysetabelle enthält eine zufällig erzeugte Browser- oder Installationskennung, eine Sitzungskennung, Ereignistyp, Bereich, bereinigten Seitenpfad, gegebenenfalls eine technische Inhaltskennung, App-Version, Sprachcode, Zeitpunkt und ausschließlich freigegebene Metadaten. Sie enthält keine Namen, E-Mail-Adressen, Zugangscodes, Passwörter oder Freitexte und wird nicht mit deinem Teilnehmer-, Mitglieder- oder Admin-Konto verknüpft. Die Supabase-Funktion speichert in dieser Analysetabelle keine IP-Adresse; bei der technischen Übertragung können beteiligte Infrastruktur-Dienste Verbindungsdaten vorübergehend verarbeiten.
Google kann im Rahmen der Analyse zusätzlich Geräte-, App-, Browser- und technische Verbindungsinformationen sowie eigene pseudonyme Kennungen verarbeiten. Werbe- und Personalisierungsfreigaben sind deaktiviert. Einzelereignisse in unserer Supabase-Analysetabelle werden nach 180 Tagen gelöscht. Für Google Analytics gilt die im Firebase-/Analytics-Projekt eingestellte Aufbewahrungsdauer; zusammengefasste Berichte können länger erhalten bleiben.
Die Analyse ist standardmäßig deaktiviert. Rechtsgrundlagen sind deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit Informationen auf deinem Endgerät gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Auf der Website werden deine Auswahl und nach Zustimmung eine zufällige Kennung lokal im Browser gespeichert; in der App werden Auswahl und Kennung in den App-Einstellungen auf dem Gerät gespeichert. Die Einträge bleiben erhalten, bis du deine Auswahl änderst, die Website- beziehungsweise App-Daten löschst oder die App deinstallierst.
Du kannst deine Entscheidung jederzeit über „Analyse-Einstellungen“ im Seitenfuß oder in den App-Einstellungen ändern. Ein Widerruf wirkt für die Zukunft und berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht. Vorhandene Rohereignisse werden spätestens mit Ablauf der genannten Aufbewahrungsfrist gelöscht. Die im Dashboard angezeigten Prognosen sind ausschließlich erklärbare statistische Hinweise und treffen keine automatisierten Entscheidungen.
14. Datenverarbeitung durch Google und Drittlandtransfers
Google Analytics, Firebase Cloud Messaging und Firebase Crashlytics werden für Nutzer im Europäischen Wirtschaftsraum über Google Ireland Limited bereitgestellt; Google LLC und weitere Google-Unternehmen können Daten auf globaler Infrastruktur verarbeiten. Google erklärt, für Übermittlungen aus dem EWR in die USA am EU-U.S. Data Privacy Framework teilzunehmen. Ergänzend gelten die jeweiligen Datenverarbeitungsbedingungen von Google.
Auch bei Supabase, Resend und eingebundenen Unterauftragnehmern können technisch notwendige Übermittlungen in Drittländer stattfinden. Dabei werden – soweit erforderlich – Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere nach Kapitel V DSGVO zulässige Garantien herangezogen.
15. Speicherdauer, Betroffenenrechte und Beschwerde
Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck, die sichere Durchführung der Liga, die Kontoverwaltung, die Nachvollziehbarkeit von Entscheidungen oder gesetzliche Aufbewahrungs- und Anspruchsfristen erforderlich sind. Nicht mehr benötigte Konten, Dateien und Datensätze werden gelöscht oder anonymisiert. Spezifische Fristen für Analyse-, Push- und Crashdaten stehen in den jeweiligen Abschnitten.
Du hast nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen richtest du an marco.ivelj@gmail.com.
Du hast außerdem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Zuständig ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, E-Mail: poststelle@datenschutz.rlp.de.
16. Sicherheit und Änderungen dieser Erklärung
Wir setzen technische und organisatorische Maßnahmen ein, um Daten vor Verlust, Missbrauch und unberechtigtem Zugriff zu schützen. Dazu gehören verschlüsselte Übertragung, rollenbasierte Zugriffe, serverseitige Prüfungen und getrennte private beziehungsweise öffentliche Speicherbereiche. Kein Übertragungs- oder Speichersystem kann jedoch absolute Sicherheit garantieren.
Wenn weitere Dienste wie Livestream-Analyse, direkte Social-Media-Logins, eingebettete Drittanbieter-Player oder öffentliche Voting-Funktionen aktiviert werden, wird diese Erklärung vor beziehungsweise mit der Aktivierung angepasst. Das am Seitenanfang angegebene Datum zeigt den Stand der Erklärung.
Einstellungen dieser Website
Das gewählte helle oder dunkle Design wird lokal gespeichert. Öffentliche Inhalte werden für kurze Zeit im Browser zwischengespeichert, um wiederholte Datenübertragungen zu vermeiden. Spiele und Newsvideos laden erst nach deiner bewussten Auswahl. Ohne Analyse-Zustimmung werden keine Nutzungsereignisse erfasst.