Datenschutzerklärung

Diese Erklärung gilt für die Website notes.secret.vip, die dazugehörige Schnittstelle (API) und das Plugin SecretNotes für Audio-Programme (DAWs).

1. Verantwortlicher

Sebastian Behrendt
Marienthaler Str. 145
20535 Hamburg
E-Mail: hello@secret.vip
Telefon: +49 40 37415446

2. Kurzfassung

3. Hosting

Der Dienst läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Rechenzentrum in Deutschland). Mit Hetzner besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Technische Daten beim Aufruf

Bei jedem Zugriff (Website, API, Plugin) verarbeitet der Server technisch notwendig Ihre IP-Adresse sowie Zeitpunkt, aufgerufene Adresse und Kennung des verwendeten Programms (User-Agent). Diese Daten dienen der Auslieferung der Inhalte und der Abwehr von Missbrauch. Die IP-Adresse wird zur Begrenzung von Anmeldeversuchen kurzzeitig im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert. Es wird kein Zugriffsprotokoll (Access-Log) mit IP-Adressen geführt; Fehlerprotokolle der Anwendung enthalten keine IP-Adressen. Zum Schutz vor automatisierten Anmeldungen zählt der Server Fehlversuche, Registrierungen und Passwort-Anfragen pro IP-Adresse und E-Mail-Adresse für höchstens eine Stunde im Arbeitsspeicher und verlangt bei Auffälligkeiten einen Sicherheitscode (Captcha); dieser wird auf unserem Server erzeugt und geprüft, ohne externen Dienst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Konto

Für die Nutzung ist ein Konto erforderlich. Dabei speichern wir E-Mail-Adresse, Anzeigename, Passwort (ausschließlich als Hash), Zeitpunkt der Registrierung sowie ggf. die verwendete Einladung. Die Registrierung ist offen; Einladungslinks sind optional. Nach der Registrierung senden wir eine Bestätigungs-E-Mail mit einem 24 Stunden gültigen Link (Double-Opt-in); erst nach dem Klick ist das Konto nutzbar. Nicht bestätigte Konten löschen wir nach 7 Tagen automatisch. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails (Bestätigung, Passwort vergessen): Die Bestätigungs-E-Mail nach der Registrierung sowie auf Wunsch einen einmalig nutzbaren Link zum Zurücksetzen des Passworts (eine Stunde gültig) senden wir an die hinterlegte E-Mail-Adresse. Den Versand übernimmt in unserem Auftrag Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin) als Auftragsverarbeiter nach Art. 28 DSGVO; übermittelt werden E-Mail-Adresse, Anzeigename und der Link. Ob zu einer Adresse ein Konto existiert, wird dabei nicht verraten. Beim Setzen eines neuen Passworts werden alle Sitzungen und Geräte-Zugänge des Kontos beendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Notizen und Freigaben

Notizen (Name, Text, Zeitstempel) werden auf dem Server gespeichert, damit Sie von allen Geräten und aus dem Plugin darauf zugreifen können. Notizen sind unverschlüsselt in der Datenbank abgelegt und für den Betreiber technisch einsehbar; sie werden jedoch nicht ausgewertet. Speichern Sie keine Zugangsdaten oder besonders schutzwürdige Informationen in Notizen.

Wenn Sie eine Notiz für eine andere Person freigeben, sieht diese Person den Notizinhalt sowie Ihren Anzeigenamen und Ihre E-Mail-Adresse als Eigentümer. Umgekehrt sehen Sie E-Mail-Adresse und Anzeigename von Personen, die Notizen mit Ihnen teilen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Sitzung und Geräte-Zugänge

Website

Nach der Anmeldung setzt die Website ein technisch notwendiges Sitzungs-Cookie (Gültigkeit 30 Tage, HttpOnly, nur über HTTPS). Es enthält keine Tracking-Kennung und wird nicht für andere Zwecke genutzt. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Plugin

Das Plugin meldet sich einmalig mit E-Mail-Adresse und Passwort an und erhält dafür einen Geräte-Zugangsschlüssel (API-Key). Auf dem Server wird dieser Schlüssel mit einem von Ihnen bzw. dem Plugin vergebenen Gerätenamen (z. B. Rechnername und DAW) sowie dem Zeitpunkt der letzten Verwendung gespeichert. Sie können jeden Geräte-Zugang jederzeit unter Konto auf der Website widerrufen.

Auf Ihrem Rechner legt das Plugin den Schlüssel und Ihre E-Mail-Adresse in der Datei ~/Library/Application Support/SecretNotes/config.json ab (nur für Ihren Benutzer lesbar). Ihr Passwort wird vom Plugin nie gespeichert und nie protokolliert.

8. Was das Plugin sonst noch verarbeitet

9. Sicherungen

Von der Datenbank wird täglich eine Sicherungskopie erstellt und 30 Tage aufbewahrt. Gelöschte Daten können daher bis zu 30 Tage in Sicherungen verbleiben und werden anschließend automatisch entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherheit).

10. Empfänger, Drittländer

Ihre Daten werden nicht an Dritte weitergegeben oder verkauft und nicht in Länder außerhalb der EU übertragen. Auftragsverarbeiter sind der Hosting-Anbieter (Punkt 3) und – ausschließlich für E-Mails zur Adressbestätigung und zum Zurücksetzen des Passworts – Brevo (Punkt 5), beide mit Sitz in der EU. Wir setzen keine Analyse-, Werbe- oder Social-Media-Dienste ein.

11. Speicherdauer

Zum Löschen Ihres Kontos genügt eine E-Mail an hello@secret.vip von der registrierten Adresse. Wir löschen dann Konto, Notizen, Freigaben und Geräte-Zugänge aus der Datenbank; Sicherungskopien laufen innerhalb von 30 Tagen ab.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Ihre Notizen können Sie jederzeit selbst über die Website oder die API in einem maschinenlesbaren Format abrufen. Wenden Sie sich für alle Anliegen an hello@secret.vip.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

13. Sicherheit

Alle Verbindungen sind per TLS (HTTPS) verschlüsselt. Passwörter werden ausschließlich als Hash gespeichert. Der Zugriff auf den Server ist auf den Betreiber beschränkt. Anmeldeversuche sind begrenzt (Sicherheitscode nach wiederholten Fehlversuchen, Sperre bei vielen Fehlversuchen), Passwörter müssen Mindestregeln erfüllen, und die Seiten senden Sicherheits-Header (u. a. Content-Security-Policy, HSTS).

14. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 3. September 2026