1. Verantwortlicher
Wavedash GmbHMühlenstr. 8a, 14167 Berlin, Deutschland
Geschäftsführer: Laurids Düllmann
Telefon: +49 30 233 048 19
E-Mail: app@solalachoir.com
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten in der SOLALA App und auf solalachoir.com ist die Wavedash GmbH. Wir entscheiden darüber, welche Daten die App erhebt und zu welchen Zwecken sie verarbeitet werden. Mitglieder mit erweiterten Rechten im Chor (Chorleitung, Organisation, Administration) handeln innerhalb der Funktionen, die wir vorgeben; sie sind nicht eigene Verantwortliche.
Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Für alle Anliegen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.
2. Worum es geht
Die SOLALA App organisiert die Arbeit eines Chores: Proben und Termine, Anwesenheiten, Repertoire und Noten, Übeaufnahmen, Nachrichten und Abstimmungen. Die Inhalte sind nicht öffentlich. Sie sind nur für angemeldete Mitglieder des jeweiligen Chores zugänglich, und innerhalb des Chores nur in dem Umfang, den die jeweilige Rolle und die Sichtbarkeitsstufe eines Inhalts vorsehen.
Wir setzen keine Werbung, kein Tracking und keine Analyse-Dienste ein. Wir verkaufen keine Daten. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.
3. Verwendete Begriffe
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. „Verarbeitung“ ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten, mit oder ohne Hilfe automatisierter Verfahren; der Begriff umfasst praktisch jeden Umgang mit Daten. „Verantwortlicher“ ist die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. „Auftragsverarbeiter“ ist eine Stelle, die Daten in unserem Auftrag und nach unseren Weisungen verarbeitet.
4. Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO für die Erfüllung des Nutzungsvertrags: Konto, Mitgliedschaft, alle Kernfunktionen der App.
- Art. 6 Abs. 1 lit. a DSGVO für Einwilligungen: freiwillige Profilangaben, Push-Benachrichtigungen, Zugriff auf Mikrofon, Kamera und Fotos, Veröffentlichung von Aufnahmen und Fotos.
- Art. 9 Abs. 2 lit. a DSGVO, ausdrückliche Einwilligung für besondere Kategorien personenbezogener Daten (siehe Ziffer 6).
- Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen: Sicherheit und Stabilität des Betriebs, Missbrauchs- und Angriffsabwehr, Fehlerdiagnose, Durchsetzung der Nutzungsbedingungen.
- Art. 6 Abs. 1 lit. c DSGVO für rechtliche Verpflichtungen, etwa handels- und steuerrechtliche Aufbewahrungspflichten.
5. Welche Daten wir verarbeiten
| Kategorie | Daten | Grundlage |
|---|---|---|
| Konto | Vor- und Nachname, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Bestätigungsstatus der E-Mail-Adresse, App-Sprache | lit. b |
| Anmeldung | Zugangs-Token; bei Nutzung von Passkeys der öffentliche Schlüssel und die Credential-ID; bei Anmeldung über Google oder Apple die Kennung beim jeweiligen Anbieter, Name und E-Mail-Adresse | lit. b |
| Profil (freiwillig) | Profilbild, Kurzbeschreibung, Telefonnummer, Geburtsdatum, Pronomen, Stimmlage, Gesangserfahrung, Sprachen, Instrumente | lit. a |
| Barrierefreiheit (freiwillig) | Angaben zu Stufenfreiheit, Rollstuhlnutzung, reservierter Sitzplatz, Begleitperson, Freitextfeld, siehe Ziffer 6 | Art. 9 Abs. 2 lit. a |
| Notfallkontakt (freiwillig) | Name und Telefonnummer einer von Ihnen benannten Person, siehe Ziffer 7 | lit. a |
| Mitgliedschaft | Chor, Stimmgruppe, Rolle und Rang, Beitritts- und Austrittsdatum, Einladungen | lit. b |
| Termine und Anwesenheit | Zu- und Absagen zu Proben und Terminen, Check-ins (per QR-Code oder NFC-Tag, mit Zeitstempel), Abwesenheitsgründe, Vertretungsanfragen | lit. b |
| Üben und Fortschritt | Übetage und -sitzungen, abgespielte Stücke, Ziele, Erfolge; aus dem Stimmcheck ausschließlich die Auswertung (Anzahl bewerteter und getroffener Töne, mittlere Tonhöhenabweichung, Dauer), keine Audioaufnahme, siehe Ziffer 8 | lit. b |
| Inhalte | Von Ihnen eingestellte Noten, Dokumente, Audio- und Videoaufnahmen, Bilder, Kommentare, Reaktionen, Beiträge, Abstimmungen, Notenmarkierungen und Nachrichten in Chats, jeweils mit Zeitstempel und Urheberschaft | lit. b |
| Benachrichtigungen | Push-Token des Geräts, Benachrichtigungseinstellungen, Zustellstatus, Lesebestätigungen und Online-Status soweit Sie diese freigegeben haben | lit. a / lit. b |
| Technische Daten | IP-Adresse, Datum und Uhrzeit, aufgerufener Pfad, Statuscode, User-Agent, Gerätetyp, Betriebssystem- und App-Version, Fehler- und Absturzberichte einschließlich Stacktrace | lit. f |
| Bewerbung | Bei einer Bewerbung über join.solalachoir.com: Name, E-Mail-Adresse, Ihre Antworten im Formular sowie Angaben benannter Referenzpersonen und deren Rückmeldungen | lit. b (vorvertraglich) |
| Kontakt und Feedback | Inhalt Ihrer Nachricht, Absenderangaben, Beiträge und Stimmen auf dem Feedback-Board, beigefügte Dateien sowie technische Diagnoseangaben | lit. b / lit. f |
Pflichtangaben sind in der App gekennzeichnet. Ohne Konto, Name und E-Mail-Adresse kann der Dienst nicht genutzt werden. Alle weiteren Angaben sind freiwillig; ihr Fehlen hat keine Folgen außer dem Entfallen der betreffenden Funktion.
6. Besondere Kategorien personenbezogener Daten
6.1 Wir verarbeiten diese Angaben ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, allein zu dem Zweck, Proben, Auftritte und Fahrten für Sie zugänglich zu planen.
6.2 Die Angaben sind vollständig freiwillig. Sie entscheiden außerdem in den Privatsphäre-Einstellungen, ob die Angaben für Mitglieder mit organisatorischer Rolle sichtbar sind; ist die Freigabe ausgeschaltet, bleiben sie nur für Sie sichtbar.
6.3 Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Angaben in der App löschen oder uns schreiben. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.
6.4 Soweit Ihre Mitgliedschaft in einem Chor Rückschlüsse auf religiöse oder weltanschauliche Überzeugungen zulassen könnte, verarbeiten wir derartige Angaben nicht und erheben sie nicht.
7. Notfallkontakt: Daten anderer Personen
Wenn Sie einen Notfallkontakt angeben, übermitteln Sie uns personenbezogene Daten einer anderen Person. Bitte geben Sie diese Angaben nur an, wenn die betreffende Person damit einverstanden ist, und informieren Sie sie darüber, dass Name und Telefonnummer in der App gespeichert und im Notfall von Verantwortlichen des Chores eingesehen werden können. Auf Verlangen der betroffenen Person löschen wir die Angaben.
8. Aufnahmen, Mikrofon und Tonhöhenanalyse
8.1 Der Stimmcheck arbeitet ausschließlich auf Ihrem Gerät. Die Tonhöhenerkennung läuft in einem nativen Modul lokal in der App. Es wird keine Audioaufnahme an unsere Server übertragen und keine gespeichert. An uns übermittelt und gespeichert wird nur das zusammengefasste Ergebnis einer Übung: die Anzahl bewerteter und getroffener Töne, die mittlere Abweichung in Cent und die Dauer.
8.2 Wir verwenden Stimmdaten nicht zur biometrischen Identifizierung und nicht zum Training von Modellen.
8.3 Audio- und Videoaufnahmen, die Sie bewusst in einen Chor einstellen (etwa Übeaufnahmen zu einem Stück oder Beiträge in der Galerie), werden auf unseren Servern gespeichert und den dafür berechtigten Mitgliedern zugänglich gemacht. Videos werden zur Auslieferung technisch umgewandelt. Diese Inhalte bleiben gespeichert, bis Sie oder eine berechtigte Person sie löschen.
8.4 Der Zugriff auf Mikrofon, Kamera und Fotos erfolgt nur nach Ihrer Freigabe im Betriebssystem und nur, wenn Sie die jeweilige Funktion nutzen. Sie können die Freigabe jederzeit in den Geräteeinstellungen zurücknehmen.
9. Zwecke der Verarbeitung
- Bereitstellung des Dienstes und seiner Funktionen, Verwaltung von Konto und Mitgliedschaft;
- Organisation von Proben, Terminen, Anwesenheiten und Repertoire;
- Kommunikation innerhalb des Chores und mit uns, Versand von Benachrichtigungen;
- Darstellung von Übefortschritt, Zielen und Erfolgen;
- Bearbeitung von Bewerbungen und Einladungen;
- Sicherheit des Betriebs, Erkennung und Abwehr von Missbrauch, Fehlerdiagnose und Verbesserung der Stabilität;
- Erfüllung rechtlicher Pflichten und Bearbeitung von Meldungen rechtswidriger Inhalte.
10. Empfänger und Auftragsverarbeiter
Wir geben Daten nur weiter, wenn eine gesetzliche Erlaubnis besteht, Sie eingewilligt haben, eine rechtliche Verpflichtung dies vorsieht oder es zur Wahrung unserer berechtigten Interessen erforderlich ist. Mit allen nachfolgend genannten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
| Dienstleister | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server, Datenbank, Fehler-Monitoring (selbst betrieben) | Falkenstein, Deutschland |
| Cloudflare, Inc. / Cloudflare Germany GmbH | DNS, Content-Delivery-Network, Schutz vor Angriffen, Bot-Prüfung (Turnstile) auf dem Bewerbungsformular | EU-Rechenzentren, Unternehmen USA |
| Backblaze, Inc. | Speicherung von Dateien, Noten, Bildern und Aufnahmen | Bucket in der EU (Amsterdam), Unternehmen USA |
| BunnyWay d.o.o. (bunny.net) | Auslieferung von Dateien über cdn.solalachoir.com, Videoverarbeitung und -streaming | Slowenien (EU) |
| Postmark (ActiveCampaign, LLC) | Versand von E-Mails: Bestätigung der Adresse, Einladungen, Passwort-Zurücksetzung, Benachrichtigungen | USA |
| Expo (650 Industries, Inc.) | Zustellung von Push-Benachrichtigungen; weiter an Apple (APNs) bzw. Google (FCM) | USA |
| Axiom, Inc. | Server-Protokolle zur Fehlersuche und Betriebssicherheit | USA |
| Komoot GmbH | Adresssuche über photon.komoot.io bei der Eingabe von Veranstaltungsorten; übermittelt wird nur der eingegebene Suchbegriff | Deutschland |
| Apple Inc., Google Ireland Ltd. / Google LLC | Anmeldung mit Apple bzw. Google, Verteilung der App über App Store und Play Store | EU / USA |
| Linear Orbit, Inc. | Übernahme von Beiträgen des Feedback-Boards in unsere Aufgabenverwaltung, soweit aktiviert | USA |
Fehler- und Absturzberichte werten wir mit einer von uns selbst auf dem oben genannten Server betriebenen Instanz der Software GlitchTip aus. Diese Daten verlassen unsere Infrastruktur nicht.
Für die Anzeige von Links zu Streamingdiensten rufen unsere Server Angaben zu Stücken bei Spotify und Apple Music ab. Dabei werden keine personenbezogenen Daten von Mitgliedern übermittelt; die Anfragen stellen unsere Server, nicht Ihr Gerät.
11. Übermittlung in Drittländer
Einige der in Ziffer 10 genannten Dienstleister haben ihren Sitz in den USA. Eine Übermittlung erfolgt nur, soweit sie zur Erfüllung unserer vertraglichen Pflichten, aufgrund Ihrer Einwilligung, aufgrund einer rechtlichen Verpflichtung oder aufgrund unserer berechtigten Interessen erforderlich ist, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
Grundlage ist entweder der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, oder der Abschluss der Standarddatenschutzklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO zusammen mit ergänzenden Schutzmaßnahmen. Trotz dieser Garantien kann nicht vollständig ausgeschlossen werden, dass US-Behörden auf Daten zugreifen.
12. Speicherdauer und Löschung
- Konto und Profil: solange das Konto besteht. Bei einer Löschung in der App werden die Profildaten sofort anonymisiert; bei einer Anfrage per E-Mail innerhalb von 30 Tagen.
- Inhalte: bis Sie oder eine berechtigte Person sie löschen. Inhalte, die der Chor gemeinschaftlich nutzt (Repertoire, Noten, Protokolle, Nachrichten in gemeinsamen Chats), bleiben nach einem Austritt für den Chor erhalten, soweit dies für dessen Arbeit erforderlich ist; Ihr Name wird in diesen Fällen auf Verlangen durch einen Hinweis auf ein ehemaliges Mitglied ersetzt, soweit technisch möglich.
- Mitgliedschaft, Anwesenheiten und Übedaten: bis zum Ende der Mitgliedschaft, danach längstens zwölf Monate.
- Server-Protokolle: 30 Tage.
- Fehler- und Absturzberichte: 90 Tage.
- Bewerbungen: bis zu sechs Monate nach Abschluss des Verfahrens; bei Aufnahme gehen die Daten in die Mitgliedschaft über. Eine E-Mail-Adresse, zu der ein Widerruf vorliegt, speichern wir in gehashter Form, um eine erneute Kontaktaufnahme zu verhindern.
- Sicherungskopien: bis zu 30 Tage nach der Löschung aus dem laufenden Betrieb.
- Unterlagen mit handels- oder steuerrechtlicher Relevanz: sechs bzw. zehn Jahre nach §§ 147 AO, 257 HGB. Für diese Zeit wird die Verarbeitung auf die Aufbewahrung beschränkt.
13. Ihre Rechte
Sie haben das Recht auf
- Auskunft über die zu Ihrer Person verarbeiteten Daten und eine Kopie davon (Art. 15 DSGVO);
- Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
- Löschung (Art. 17 DSGVO);
- Einschränkung der Verarbeitung (Art. 18 DSGVO);
- Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO);
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO);
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Für alle Anliegen genügt eine Nachricht an app@solalachoir.com. Wir antworten innerhalb eines Monats; ist eine Verlängerung erforderlich, teilen wir das mit.
Ferner haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Berliner Beauftragte für Datenschutz und InformationsfreiheitAlt-Moabit 59–61, 10555 Berlin
Telefon: +49 30 13889-0
E-Mail: mailbox@datenschutz-berlin.de
www.datenschutz-berlin.de
14. Website, Cookies und lokale Speicherung
14.1 Unsere Websites setzen keine Cookies zu Werbe- oder Analysezwecken. Es findet keine Reichweitenmessung statt.
14.2 Unsere Websites laden keine Schriftarten, Skripte oder Bilder von Dritten. Schriftarten liefern wir selbst aus. Die Seiten stellen keine Verbindung zu einem anderen Server her als dem, von dem Sie sie abgerufen haben.
14.3 Auf dem Bewerbungsformular setzen wir Cloudflare Turnstile ein, um automatisierte Einsendungen abzuwehren. Dabei werden technische Angaben Ihres Browsers und Ihre IP-Adresse an Cloudflare übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
14.4 Beim Aufruf unserer Server fallen technisch notwendige Zugriffsdaten an (Ziffer 5, „Technische Daten“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
14.5 In der App speichern wir auf Ihrem Gerät Ihren Anmelde-Token in der gesicherten Ablage des Betriebssystems sowie, zur Nutzung ohne Verbindung, eine Kopie der von Ihnen abgerufenen Inhalte. Diese Daten verbleiben auf dem Gerät und werden beim Abmelden gelöscht. Es handelt sich um technisch erforderliche Speicherung im Sinne des § 25 Abs. 2 TDDDG.
15. Sicherheit
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören: ausschließlich verschlüsselte Übertragung (TLS), Speicherung von Passwörtern nur als Hash mit einem modernen Verfahren, Unterstützung von Passkeys, rollenbasierte Zugriffskontrolle innerhalb des Chores, Zugriffsbeschränkungen auf Dateien über zeitlich befristete Links, Begrenzung der Zugriffsrate, Trennung von Produktions- und Entwicklungsumgebung, verschlüsselte Sicherungen sowie Protokollierung mit Unterdrückung von Zugangsdaten in Protokollen.
16. Minderjährige
Der Dienst richtet sich an Personen ab 16 Jahren. Bei jüngeren Personen verarbeiten wir Daten nur mit Einwilligung der Erziehungsberechtigten (Art. 8 DSGVO). Erhalten wir Kenntnis davon, dass ein Konto ohne die erforderliche Einwilligung angelegt wurde, löschen wir es.
17. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn Änderungen unserer Verarbeitung dies erfordern. Wird durch eine Änderung eine Mitwirkung Ihrerseits erforderlich, etwa eine Einwilligung, informieren wir Sie gesondert. Die jeweils aktuelle Fassung finden Sie stets unter solalachoir.com/privacy.
Datenschutzerklärung Version 1.0 · Stand: 13. November 2026
Vorläufige Fassung: dieses Dokument wird derzeit anwaltlich geprüft und kann sich ändern.
1. Controller
Wavedash GmbHMühlenstr. 8a, 14167 Berlin, Germany
Managing director: Laurids Düllmann
Telephone: +49 30 233 048 19
Email: app@solalachoir.com
Wavedash GmbH is the controller within the meaning of Art. 4(7) GDPR for the processing of personal data in the SOLALA app and on solalachoir.com. We decide which data the app collects and for which purposes it is processed. Members with elevated rights in a choir (choir direction, organisation, administration) act within the functions we provide; they are not separate controllers.
We have not appointed a data protection officer, as the statutory conditions for doing so are not met. For any data protection matter, please reach us at the email address above.
2. What this is about
The SOLALA app organises a choir's work: rehearsals and events, attendance, repertoire and sheet music, practice recordings, messages and votes. The content is not public. It is accessible only to signed-in members of the respective choir, and within the choir only to the extent provided for by each role and by a given item's visibility level.
We use no advertising, no tracking and no analytics services. We do not sell data. No automated decision-making, including profiling, within the meaning of Art. 22 GDPR takes place.
3. Terms used
"Personal data" means any information relating to an identified or identifiable natural person. "Processing" means any operation performed on personal data, with or without automated means; the term covers practically every handling of data. "Controller" is the body which alone or jointly with others determines the purposes and means of processing. "Processor" is a body which processes data on our behalf and on our instructions.
4. Legal bases
We process personal data on the following legal bases:
- Art. 6(1)(b) GDPR for performance of the usage contract: account, membership, all core functions of the app.
- Art. 6(1)(a) GDPR for consent: optional profile details, push notifications, access to microphone, camera and photos, publishing recordings and photos.
- Art. 9(2)(a) GDPR, explicit consent for special categories of personal data (see section 6).
- Art. 6(1)(f) GDPR for legitimate interests: security and stability of operation, defence against abuse and attacks, error diagnosis, enforcement of the terms of use.
- Art. 6(1)(c) GDPR for legal obligations, such as commercial and tax retention duties.
5. What data we process
| Category | Data | Basis |
|---|---|---|
| Account | First and last name, email address, password (stored only as a hash), email verification status, app language | (b) |
| Sign-in | Access token; when using passkeys, the public key and credential ID; when signing in with Google or Apple, the identifier at that provider, name and email address | (b) |
| Profile (optional) | Profile picture, short bio, phone number, date of birth, pronouns, voice category, singing experience, languages, instruments | (a) |
| Accessibility (optional) | Details on step-free access, wheelchair use, reserved seating, accompanying person, free-text field, see section 6 | Art. 9(2)(a) |
| Emergency contact (optional) | Name and phone number of a person you nominate, see section 7 | (a) |
| Membership | Choir, voice part, role and rank, join and leave dates, invitations | (b) |
| Events and attendance | Responses to rehearsals and events, check-ins (by QR code or NFC tag, with timestamp), reasons for absence, requests for substitutes | (b) |
| Practice and progress | Practice days and sessions, pieces played, goals, achievements; from the voice check, only the evaluation (number of notes judged and hit, median pitch deviation, duration), no audio recording, see section 8 | (b) |
| Content | Sheet music, documents, audio and video recordings, images, comments, reactions, posts, votes, score markings and chat messages you post, each with timestamp and authorship | (b) |
| Notifications | The device's push token, notification settings, delivery status, read receipts and online status to the extent you have enabled them | (a) / (b) |
| Technical data | IP address, date and time, path requested, status code, user agent, device type, operating system and app version, error and crash reports including stack traces | (f) |
| Application | If you apply via join.solalachoir.com: name, email address, your answers in the form, and the details of nominated referees and their responses | (b), pre-contractual |
| Contact and feedback | The content of your message, sender details, posts and votes on the feedback board, attached files, and technical diagnostic details | (b) / (f) |
Mandatory fields are marked in the app. The service cannot be used without an account, a name and an email address. All further details are optional; omitting them has no consequence other than the corresponding function being unavailable.
6. Special categories of personal data
6.1 We process these details solely on the basis of your explicit consent under Art. 9(2)(a) GDPR, for the sole purpose of planning rehearsals, performances and travel so that they are accessible to you.
6.2 Providing them is entirely optional. You also decide in the privacy settings whether they are visible to members with an organisational role; with sharing switched off they remain visible only to you.
6.3 You may withdraw your consent at any time with effect for the future, by deleting the details in the app or by writing to us. Withdrawal does not affect the lawfulness of processing carried out up to that point.
6.4 To the extent that membership of a choir might permit inferences about religious or philosophical beliefs, we neither collect nor process such information.
7. Emergency contact: other people's data
When you provide an emergency contact, you are giving us another person's personal data. Please provide these details only if that person agrees, and let them know that their name and phone number are stored in the app and can be viewed by those responsible in the choir in an emergency. We will delete the details at the request of the person concerned.
8. Recordings, microphone and pitch analysis
8.1 The voice check works entirely on your device. Pitch detection runs locally in a native module inside the app. No audio recording is transmitted to our servers and none is stored there. Only the summarised result of an exercise is sent to us and stored: the number of notes judged and hit, the median deviation in cents, and the duration.
8.2 We do not use voice data for biometric identification and not for training models.
8.3 Audio and video recordings that you deliberately post to a choir (such as practice recordings for a piece or contributions to the gallery) are stored on our servers and made available to the members entitled to see them. Videos are technically converted for delivery. This content remains stored until you or an authorised person deletes it.
8.4 Microphone, camera and photo access occurs only after you grant permission in the operating system, and only when you use the relevant function. You can withdraw permission at any time in your device settings.
9. Purposes of processing
- providing the service and its functions, administering account and membership;
- organising rehearsals, events, attendance and repertoire;
- communication within the choir and with us, sending notifications;
- displaying practice progress, goals and achievements;
- handling applications and invitations;
- security of operation, detecting and preventing abuse, error diagnosis and improving stability;
- complying with legal obligations and handling notices of illegal content.
10. Recipients and processors
We pass on data only where there is a statutory permission, where you have consented, where a legal obligation requires it, or where it is necessary to protect our legitimate interests. Data processing agreements under Art. 28 GDPR are in place with all the service providers named below.
| Provider | Purpose | Location |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Servers, database, error monitoring (self-hosted) | Falkenstein, Germany |
| Cloudflare, Inc. / Cloudflare Germany GmbH | DNS, content delivery network, attack protection, bot check (Turnstile) on the application form | EU data centres, company in the USA |
| Backblaze, Inc. | Storage of files, sheet music, images and recordings | Bucket in the EU (Amsterdam), company in the USA |
| BunnyWay d.o.o. (bunny.net) | Delivery of files via cdn.solalachoir.com, video processing and streaming | Slovenia (EU) |
| Postmark (ActiveCampaign, LLC) | Sending email: address verification, invitations, password resets, notifications | USA |
| Expo (650 Industries, Inc.) | Delivery of push notifications; onward to Apple (APNs) and Google (FCM) | USA |
| Axiom, Inc. | Server logs for troubleshooting and operational security | USA |
| Komoot GmbH | Address search via photon.komoot.io when entering venues; only the search term you type is transmitted | Germany |
| Apple Inc., Google Ireland Ltd. / Google LLC | Sign in with Apple and Google, distribution of the app via the App Store and Play Store | EU / USA |
| Linear Orbit, Inc. | Mirroring feedback board posts into our issue tracker, where enabled | USA |
We evaluate error and crash reports using an instance of the GlitchTip software that we run ourselves on the server named above. This data does not leave our infrastructure.
To display links to streaming services, our servers retrieve information about pieces from Spotify and Apple Music. No members' personal data is transmitted in the process; the requests come from our servers, not from your device.
11. Transfers to third countries
Some of the providers named in section 10 are based in the USA. A transfer takes place only where it is necessary for the performance of our contractual obligations, on the basis of your consent, due to a legal obligation, or on the basis of our legitimate interests, and only subject to the requirements of Art. 44 et seq. GDPR.
The basis is either the European Commission's adequacy decision of 10 July 2023 on the EU-US Data Privacy Framework, where the recipient is certified under it, or the conclusion of the European Commission's standard data protection clauses pursuant to Art. 46(2)(c) GDPR together with supplementary safeguards. Despite these guarantees, access by US authorities cannot be entirely ruled out.
12. Retention and deletion
- Account and profile: for as long as the account exists. Deleting in the app anonymises the profile data immediately; a request by email is handled within 30 days.
- Content: until you or an authorised person deletes it. Content the choir uses collectively (repertoire, sheet music, minutes, messages in shared chats) remains available to the choir after you leave, to the extent necessary for its work; in those cases your name will, on request, be replaced by a reference to a former member where technically possible.
- Membership, attendance and practice data: until membership ends, and for no more than twelve months thereafter.
- Server logs: 30 days.
- Error and crash reports: 90 days.
- Applications: up to six months after the process concludes; on admission the data passes into the membership record. An email address for which a withdrawal has been received is stored in hashed form, in order to prevent renewed contact.
- Backup copies: up to 30 days after deletion from live operation.
- Records of commercial or tax relevance: six and ten years respectively under §§ 147 AO, 257 HGB. For that period, processing is restricted to retention.
13. Your rights
You have the right to
- access the data processed about you and a copy of it (Art. 15 GDPR);
- rectification of inaccurate data and completion of incomplete data (Art. 16 GDPR);
- erasure (Art. 17 GDPR);
- restriction of processing (Art. 18 GDPR);
- data portability in a structured, commonly used and machine-readable format (Art. 20 GDPR);
- object to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR);
- withdraw consent with effect for the future (Art. 7(3) GDPR).
A message to app@solalachoir.com is enough for any of these. We respond within one month; if an extension is necessary, we will tell you.
You also have the right to lodge a complaint with a supervisory authority (Art. 77 GDPR). The authority competent for us is:
Berliner Beauftragte für Datenschutz und InformationsfreiheitAlt-Moabit 59–61, 10555 Berlin, Germany
Telephone: +49 30 13889-0
Email: mailbox@datenschutz-berlin.de
www.datenschutz-berlin.de
14. Website, cookies and local storage
14.1 Our websites set no cookies for advertising or analytics. No audience measurement takes place.
14.2 Our websites load no fonts, scripts or images from third parties; we serve fonts ourselves. The pages open no connection to any server other than the one you retrieved them from.
14.3 On the application form we use Cloudflare Turnstile to prevent automated submissions. Technical details of your browser and your IP address are transmitted to Cloudflare in the process. The legal basis is our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR).
14.4 When our servers are accessed, technically necessary access data arises (section 5, "Technical data"). The legal basis is Art. 6(1)(f) GDPR.
14.5 In the app we store your sign-in token on your device in the operating system's secure storage, and, for use without a connection, a copy of the content you have retrieved. This data stays on the device and is deleted when you sign out. This is technically necessary storage within the meaning of § 25(2) TDDDG.
15. Security
We take technical and organisational measures under Art. 32 GDPR. These include: encrypted transmission only (TLS), storage of passwords as a hash using a modern algorithm, support for passkeys, role-based access control within the choir, access restrictions on files via time-limited links, rate limiting, separation of production and development environments, encrypted backups, and logging with credentials suppressed in logs.
16. Minors
The service is intended for persons aged 16 and over. For younger persons we process data only with the consent of their legal guardians (Art. 8 GDPR). If we learn that an account was created without the necessary consent, we will delete it.
17. Changes to this policy
We update this privacy policy when changes to our processing make it necessary. If a change requires action on your part, such as consent, we will inform you separately. The current version is always available at solalachoir.com/privacy.
Privacy policy version 1.0 · As of 13 November 2026
Provisional version: currently under legal review and subject to change.