Art. 13 DSGVO

Datenschutzerklärung

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.

2. Hosting und Server-Logfiles

Diese Website wird bei Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) auf der Plattform Cloudflare Pages betrieben. Cloudflare handelt dabei als Auftragsverarbeiter nach Art. 28 DSGVO; die Auftragsverarbeitung ist im Data Processing Addendum von Cloudflare geregelt, das Bestandteil der dortigen Nutzungsbedingungen ist. Für die Übermittlung in die USA gelten die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), die dort einbezogen sind. Die Auslieferung erfolgt über das weltweite Servernetz von Cloudflare; für Aufrufe aus Europa in der Regel über Standorte innerhalb der EU.

Beim Aufruf der Seiten verarbeitet Cloudflare automatisch übermittelte Informationen in sogenannten Server-Logfiles:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• übertragene Datenmenge und Meldung über den Erfolg des Abrufs
• Browsertyp und -version, Betriebssystem, Referrer-URL

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im technisch fehlerfreien Betrieb und in der Sicherheit der Website. Die Logfiles werden von Cloudflare nach dessen Aufbewahrungsfrist automatisch gelöscht.

3. Schriftarten

Die auf dieser Website verwendeten Schriftarten werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Drittanbieter, und es werden hierbei keine Daten an Dritte übermittelt.

4. Cookies und lokale Speicherung

Diese Website setzt keine Cookies und speichert keinerlei Informationen auf Ihrem Endgerät — weder im lokalen Speicher (localStorage) noch im Sitzungsspeicher. Ein Zugriff auf Informationen in Ihrer Endeinrichtung im Sinne des § 25 TDDDG findet damit nicht statt, und ein Einwilligungsbanner ist nicht erforderlich.

Ausnahme ist die Kontoseite für Kerf (account.neverfoundaudio.com): Sie setzt für die Anmeldung technisch notwendige Cookies, siehe Abschnitt 13.2.

Das Umschalten der Farbthemen auf der EEQ-8-Seite wechselt nur das angezeigte Bildschirmfoto und wird nicht gespeichert.

Auch die unter Abschnitt 5 beschriebene Reichweitenmessung setzt keine Cookies und legt keinerlei Daten auf Ihrem Endgerät ab.

Das Werkzeug „Audio to MIDI“ liest die Audiodatei, die Sie auswählen, ausschließlich in Ihrem Browser. Die Datei wird weder hochgeladen noch gespeichert oder an Dritte übermittelt; mit dem Schließen der Seite sind Datei und Noten verworfen. Das Anmeldeformular für MG-Mini auf derselben Seite ist vom Werkzeug getrennt: Es bekommt die Datei nie zu sehen und ist in Abschnitt 8 beschrieben.

5. Reichweitenmessung

Um zu verstehen, wie oft diese Seiten aufgerufen werden, setzen wir Cloudflare Web Analytics ein (Cloudflare, Inc., Anschrift wie unter Abschnitt 2). Erhoben werden ausschließlich zusammengefasste Werte: Seitenaufrufe, ungefähre Besucherzahl, verweisende Website, Land und Gerätetyp.

Cloudflare Web Analytics setzt keine Cookies, speichert nichts auf Ihrem Endgerät und liest nichts von dort aus. Es findet kein Fingerprinting statt, und es werden keine seiten- oder geräteübergreifenden Profile gebildet. Ein Zugriff auf Informationen in Ihrer Endeinrichtung im Sinne des § 25 TDDDG erfolgt damit nicht; eine Einwilligung ist hierfür nicht erforderlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, die Reichweite und die technische Funktion der Website beurteilen zu können. Die erhobenen Werte lassen keinen Rückschluss auf einzelne Personen zu.

6. Videos (YouTube)

Auf der EEQ-8-Seite und auf der LF-Pro-Seite ist je ein Video eingebunden, das bei YouTube gespeichert ist (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).

Die Videos werden nicht automatisch geladen. Solange Sie die Wiedergabe nicht anklicken, wird keine Verbindung zu YouTube oder Google hergestellt; das angezeigte Vorschaubild liegt auf unserem eigenen Server.

Erst wenn Sie auf die Wiedergabe klicken, wird der Player von youtube-nocookie.com nachgeladen. Dabei werden Ihre IP-Adresse sowie Angaben zu Browser und Endgerät an Google übermittelt, unter Umständen auch in die USA. Google kann dabei Cookies oder vergleichbare Techniken einsetzen. Sind Sie gleichzeitig bei Google angemeldet, kann Google den Abruf Ihrem Konto zuordnen.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie durch das Anklicken der Wiedergabe erteilen. Ohne diesen Klick findet keine Übermittlung statt. Sie können die Einwilligung jederzeit widerrufen, indem Sie die Seite neu laden und das Video nicht erneut starten.

7. Kontaktaufnahme per E-Mail und über die Formulare

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben ausschließlich zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Anfragen werden nach abschließender Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Dasselbe gilt für die beiden Formulare dieser Website — Kontakt und Earn with us. Ihre Eingaben werden in keiner Datenbank gespeichert, keiner Liste hinzugefügt und nicht für Werbung verwendet. Sie werden in eine E-Mail umgewandelt und an uns versendet; danach liegen sie nur noch in unserem Postfach. Den Versand übernimmt Resend (Plus Five Five, Inc., 2261 Market Street, San Francisco, CA 94114, USA) als Auftragsverarbeiter in unserem Auftrag. Ihre Adresse wird dabei als Antwortadresse dieser E-Mail gesetzt, damit wir Ihnen direkt antworten können.

Öffnen Sie das Kontaktformular über einen Link aus unserem Newsletter, zeigt es zusätzlich ein Kästchen, mit dem Sie einen 15-%-Rabattcode für EEQ-8 anfordern können. Nur wenn Sie es anhaken, wird Ihre E-Mail-Adresse mit unserer Newsletter-Liste bei Resend abgeglichen. Steht sie darauf und ist nicht abgemeldet, wird der Code an diese Adresse gesendet; andernfalls wird nichts versendet. Damit jede Adresse den Code nur einmal erhält, wird ein nicht umkehrbarer Hashwert Ihrer Adresse — nicht die Adresse selbst — für 60 Tage in Cloudflare Workers KV gespeichert und danach automatisch gelöscht. Rechtsgrundlage ist Ihre Anforderung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse, den Code nur an Abonnenten zu geben (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz vor Missbrauch wird eine kurzlebige technische Angabe gespeichert: Ihre IP-Adresse für fünf Minuten, um zu begrenzen, wie viele Nachrichten über eine Verbindung abgeschickt werden können. Sie liegt in Cloudflare Workers KV, löscht sich selbsttätig und dient weder Ihrer Identifizierung noch der Bildung eines Profils. Rechtsgrundlage ist unser berechtigtes Interesse an funktionierenden und nicht missbrauchbaren Kontaktformularen (Art. 6 Abs. 1 lit. f DSGVO).

Beim Absenden entsteht außerdem ein kurzer technischer Logeintrag darüber, dass eine Nachricht versendet wurde oder der Versand fehlgeschlagen ist. Beim Kontaktformular enthält er den von Ihnen gewählten Grund und, falls Sie das Rabatt-Kästchen angehakt haben, ob der Code versendet wurde, nicht jedoch Ihre Nachricht. Scheitert der Versand, wird zusätzlich die Fehlermeldung unseres E-Mail-Dienstleisters festgehalten; diese kann Ihre E-Mail-Adresse enthalten. Die Einträge dienen dazu, eine nicht angekommene Nachricht nachvollziehen zu können, und werden nach Cloudflares Aufbewahrungsfrist für Workers Logs automatisch gelöscht.

8. Newsletter und kostenloser Download

Sie können sich auf dieser Website für einen Newsletter eintragen, mit dem wir gelegentlich über VT-Pro, EEQ-8 und weitere Veröffentlichungen von NEVER FOUND informieren, auch über den Einführungspreis eines neuen Plug-ins. Dafür verarbeiten wir als personenbezogene Angabe ausschließlich Ihre E-Mail-Adresse.

Zusätzlich werden drei kurzlebige technische Einträge gespeichert, allein zum Schutz des Formulars vor Missbrauch. Ihre IP-Adresse wird für 60 Sekunden gespeichert, um zu begrenzen, wie viele Anmeldungen pro Minute von einer Verbindung ausgehen können. Ein verkürzter Einweg-Hash Ihrer Adresse wird für eine Stunde gespeichert, damit ein zweimal abgeschicktes Formular Ihnen nicht zwei Bestätigungsmails schickt; ein zweiter solcher Hash für 24 Stunden, damit ein mehrfach geöffneter Bestätigungslink – durch Sie oder durch den Link-Scanner Ihres E-Mail-Anbieters – Ihnen nicht denselben Download erneut zusendet; für einen Testschlüssel gilt derselbe Schutz zehn Minuten. Beides liegt in Cloudflare Workers KV, beides löscht sich automatisch, und keines davon dient dazu, Sie zu identifizieren oder ein Profil zu bilden. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden und missbrauchssicheren Anmeldeformular (Art. 6 Abs. 1 lit. f DSGVO).

Adressen von Wegwerf-Mail-Anbietern werden abgelehnt, und offensichtliche Tippfehler werden benannt statt stillschweigend akzeptiert. Dazu laufen drei Prüfungen: eine feste Liste bekannter Wegwerf-Domains auf unserem eigenen Server; eine DNS-Abfrage des Domain-Teils Ihrer Adresse — nie des Teils vor dem @ — über den öffentlichen Resolver von Cloudflare, um den zuständigen Mailserver zu ermitteln; und ein Abgleich mit den Domains, die erfahrungsgemäß vertippt werden. Ein abgelehnter Versuch wird in unseren technischen Logs allein mit der Domain vermerkt, nicht mit Ihrer vollständigen Adresse.

Der Betrieb des Anmeldeformulars erzeugt außerdem kurzlebige technische Log-Einträge — dass eine Bestätigungsmail versendet wurde, dass ein Versand fehlgeschlagen ist, dass eine Dopplung unterdrückt wurde. Diese können Ihre E-Mail-Adresse und die IP-Adresse enthalten, von der das Formular abgeschickt wurde. Sie dienen ausschließlich dazu, eine fehlgeschlagene Anmeldung nachvollziehen und beheben zu können, werden nach der Aufbewahrungsfrist von Cloudflare für Workers Logs automatisch gelöscht und werden nicht zur Profilbildung verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einem Anmeldeverfahren, das sich im Fehlerfall reparieren lässt (Art. 6 Abs. 1 lit. f DSGVO).

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach dem Absenden des Formulars erhalten Sie eine E-Mail mit einem Bestätigungslink. Ihre Adresse wird erst gespeichert, wenn Sie diesen Link anklicken. Der Link ist sieben Tage gültig. Klicken Sie ihn nicht an, wird Ihre Adresse nicht gespeichert und Sie erhalten keine weitere Nachricht.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Newsletter-E-Mail und in jeder anderen E-Mail, die eines unserer Produkte empfiehlt, oder formlos per E-Mail an uns. Nach dem Widerruf wird Ihre Adresse bei Resend als abgemeldet markiert und erhält keinen Newsletter mehr. Diese Markierung bewahren wir auf, damit die Adresse nicht versehentlich erneut angeschrieben wird und der Widerruf nachweisbar bleibt (Art. 6 Abs. 1 lit. f DSGVO). Auf Wunsch löschen wir die Adresse vollständig.

Für den Versand und die Speicherung der Adressen nutzen wir Resend (Resend, Inc., USA). Resend verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO in der Region Irland. Ein Auftragsverarbeitungsvertrag wurde am 19. August 2026 geschlossen.

Die kostenlosen Plug-ins VT-Mini und MG-Mini werden auf dieser Website über die Anmeldung zu diesem Newsletter abgegeben; die Anmeldung ist hier Voraussetzung für den kostenlosen Bezug (VT-Mini gibt es außerdem über MuseHub). Mit dem Klick auf den Bestätigungslink geschieht zweierlei: Ihre Adresse wird in den Verteiler aufgenommen, und Sie erhalten eine zweite E-Mail mit dem Download-Link für das Plug-in, für das Sie sich angemeldet haben — MG-Mini, wenn Sie sich auf der MG-Mini-Seite oder der Seite „Audio to MIDI“ angemeldet haben, sonst VT-Mini. Sie können sich unmittelbar danach wieder abmelden und die Software behalten — sie benötigt kein Konto, hat keinen Lizenzschlüssel und stellt zu keinem Zeitpunkt eine Verbindung zu uns her.

Die Testversion von EEQ-8 wird auf dieselbe Weise abgegeben. Die Anmeldung auf der Testversions-Seite läuft im selben Double-Opt-in-Verfahren und nimmt Sie in denselben Verteiler auf. Mit dem Klick auf den Bestätigungslink erhalten Sie statt VT-Mini einen Testschlüssel für EEQ-8 samt Download-Link, und Ihre Adresse wird innerhalb des Verteilers einer eigenen Gruppe zugeordnet, damit wir erkennen, dass Sie über die Testversion gekommen sind. Sie können sich jederzeit abmelden; die Testversion läuft bis zu ihrem Ende weiter.

Verarbeitet wird für alle diese Zwecke ausschließlich Ihre E-Mail-Adresse.

9. Lizenzprüfung in der Software

Die Software EEQ-8 prüft ihre Lizenz über das Internet. Dabei werden Ihr Lizenzschlüssel sowie eine Geräte-Kennung an den Lizenzserver übermittelt, um festzustellen, ob die Lizenz gültig und auf diesem Gerät aktiviert ist. Wird das Plugin-Fenster bei bestehender Internetverbindung geöffnet, geschieht das höchstens einmal täglich; ohne Verbindung bleibt EEQ-8 bis zu 45 Tage nutzbar.

Bis zum 10. September 2026 ließ sich die Testversion auch direkt im Plugin starten. Dabei übermittelte EEQ-8 eine Geräte-Kennung — einen auf Ihrem Computer berechneten Einweg-Hashwert — an unseren Server, der bei Keygen eine Testlizenz anforderte; Name, E-Mail-Adresse oder sonstige Kontaktdaten wurden nicht übermittelt. Ältere Versionen von EEQ-8 zeigen diese Schaltfläche noch, unser Server vergibt darüber aber keine Testversionen mehr. Testlizenzen und Geräte-Kennungen bleiben bei Keygen auch nach Ablauf der Testphase gespeichert, weil nur so verhindert werden kann, dass derselbe Computer eine zweite Testversion startet. Rechtsgrundlage ist unser berechtigtes Interesse an einer Testversion, die sich auf demselben Gerät nicht beliebig wiederholen lässt (Art. 6 Abs. 1 lit. f DSGVO).

Eine über den Newsletter angeforderte Testversion (siehe Abschnitt 8) wird erst erstellt, nachdem Sie Ihre Adresse bestätigt haben. Keygen erhält dann mit der Testlizenz einen mit einem Schlüssel gebildeten Einweg-Hashwert Ihrer Adresse — nie die Adresse selbst —, der eine zweite Testversion für dieselbe Adresse verhindert und sich nicht in die Adresse zurückverwandeln lässt. Testschlüssel und Download-Link werden über Resend versandt. Die Logeinträge, die unser Code bei der Ausgabe des Schlüssels schreibt, enthalten nur die ersten zwölf Zeichen dieses Hashwerts; die Anmeldung selbst wird wie in Abschnitt 8 beschrieben protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Übersendung der angeforderten Testversion sowie unser berechtigtes Interesse an einer Testversion pro Computer und E-Mail-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

Ein Testschlüssel, der nie aktiviert wird, wird nach 24 Stunden wieder gelöscht, zusammen mit dem Hashwert Ihrer Adresse, der bei ihm gespeichert war. Von dieser Anfrage bleibt dann bei Keygen nichts zurück, und Sie können erneut eine Testversion anfordern. Ist eine Testversion aktiviert worden, bleiben Lizenz und Geräte-Kennung gespeichert, weil nur das verhindert, dass derselbe Computer eine zweite Testversion startet.

Damit niemand mit mehreren Adressen mehrere Testversionen sammelt, laufen bei der Anmeldung auf der Testversions-Seite zwei weitere Prüfungen. Adressen werden so verglichen, wie E-Mail-Anbieter sie zustellen: Alles nach einem Pluszeichen im Teil vor dem @ bleibt unberücksichtigt, bei Gmail zusätzlich die Punkte. Außerdem können über einen Internetanschluss innerhalb von 30 Tagen höchstens zwei verschiedene Adressen eine Testversion anfordern. Dazu wird ein mit einem Schlüssel gebildeter Einweg-Hashwert der IP-Adresse, von der das Formular abgeschickt wurde, für 30 Tage gespeichert, zusammen mit verkürzten Einweg-Hashwerten von höchstens zwei Adressen; weder die IP-Adresse noch eine Adresse wird lesbar gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer Testversion pro Person (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Prüfung ist zur Erfüllung des Lizenzvertrags erforderlich — sowie Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, unlizenzierte Nutzung zu verhindern.

Die Prüfprotokolle werden nur so lange gespeichert, wie es für die Missbrauchskontrolle erforderlich ist.

Für die Verwaltung und Prüfung der Lizenzen setzen wir Keygen (Keygen LLC, 1606 Headway Cir STE 9246, Austin, TX 78754, USA) als Auftragsverarbeiter nach Art. 28 DSGVO ein. Dort werden Ihr Lizenzschlüssel, die Geräte-Kennung sowie die zur Zuordnung des Kaufs erforderlichen Angaben gespeichert. Die Auftragsverarbeitung ist in Abschnitt 12 der Nutzungsbedingungen von Keygen geregelt, die mit der Nutzung des Dienstes verbindlich vereinbart sind. Für die Übermittlung in die USA gelten die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die dort ausdrücklich einbezogen sind.

Der Versand des Lizenzschlüssels per E-Mail erfolgt über Resend (Resend, Inc., USA) als Auftragsverarbeiter. Mit Resend besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (geschlossen am 19. August 2026); die Verarbeitung erfolgt in der Region Irland.

Dies betrifft ausschließlich EEQ-8. VT-Mini und MG-Mini sind kostenlos und unlizenziert und stellen zu keinem Zeitpunkt eine Netzwerkverbindung her. Die Hilfe von MG-Mini kann neverfoundaudio.com in Ihrem eigenen Browser öffnen, aber nur, wenn Sie auf den Link klicken.

Bei LF-Pro ist es anders: LF-Pro wird über MuseHub verkauft, und die Lizenz wird vom System von MuseHub auf Ihrem Rechner geprüft. Das Plug-in selbst baut keinerlei Verbindung auf – es sendet nichts an uns, und wir erhalten keine Daten über Ihre Nutzung. Was MuseHub dabei verarbeitet, steht in deren Datenschutzerklärung.

10. Kauf und Lizenzierung

Der Verkauf von EEQ-8 erfolgt über Lemon Squeezy (Sold through Link, LLC, vormals Lemon Squeezy LLC, 222 South Main Street, Suite 500, Salt Lake City, UT 84101, USA), der als Merchant of Record eigenständig Vertragspartner der Käuferinnen und Käufer wird. Zahlungs- und Rechnungsdaten werden dort erhoben und verarbeitet; es gilt die Datenschutzerklärung von Lemon Squeezy. Zahlungsdaten erhalten wir zu keinem Zeitpunkt.

Nach dem Kauf übermittelt Lemon Squeezy an uns Ihre E-Mail-Adresse, Ihren Namen und die Bestellnummer. Damit erstellen wir Ihre Lizenz und senden Ihnen den Lizenzschlüssel per E-Mail zu. Bestellnummer und E-Mail-Adresse werden mit der Lizenz bei Keygen gespeichert, damit sich der Kauf später zuordnen lässt, etwa bei einer Supportanfrage oder einer Rückerstattung; den Namen verwenden wir nur für die Anrede in dieser E-Mail. Keygen und Resend sind in Abschnitt 9 beschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Instagram-Nachrichten (ManyChat)

Wenn Sie unter einem unserer Instagram-Beiträge ein Stichwort kommentieren oder uns eine Direktnachricht schicken, wird die automatische Antwort mit dem gewünschten Link über ManyChat (ManyChat, Inc., 8605 Santa Monica Blvd #64372, West Hollywood, CA 90069, USA) versendet. ManyChat verarbeitet die Unterhaltung in unserem Auftrag auf Grundlage seines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). ManyChat erhält Ihren Instagram-Benutzernamen und Ihre Nutzer-ID, Ihren öffentlichen Profilnamen und Ihr Profilbild sowie den Inhalt dieser Unterhaltung. Wir nutzen diese Angaben nur, um Ihre Anfrage zu beantworten. In Instagram-Nachrichten erheben wir keine E-Mail-Adressen: Eine Anmeldung findet auf unserer Website statt, dafür gilt Abschnitt 8.

ManyChat ist nach dem EU-US Data Privacy Framework zertifiziert, das die Übermittlung in die USA abdeckt (Art. 45 DSGVO). Instagram selbst wird von Meta Platforms Ireland Limited nach dessen eigener Datenschutzerklärung betrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung von Nachrichten, die Sie uns schicken. Auf Anfrage löschen wir die Daten der Unterhaltung.

12. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen (Art. 21 DSGVO).

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

13. Kerf (Video-Editor) und Kerf-Konto

Dieser Abschnitt gilt für das Programm Kerf und für das Kerf-Konto unter account.neverfoundaudio.com. Verantwortlicher ist derselbe wie in Abschnitt 1. Anders als die übrigen Seiten dieser Website setzt die Kontoseite technisch notwendige Cookies (13.2).

13.1 Konto anlegen und anmelden

Für ein Kerf-Konto verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort speichern wir nur als gesalzenen Hashwert (scrypt), nie im Klartext. Zur Bestätigung Ihrer Adresse, zur Anmeldung per Code und zum Zurücksetzen des Passworts schicken wir sechsstellige Codes per E-Mail; sie gelten zehn Minuten und werden nur als Hashwert gespeichert. Adressen von Wegwerf-Mail-Anbietern werden abgelehnt.

Melden Sie sich mit Google oder Apple an (soweit angeboten), leitet Sie die Kontoseite zum jeweiligen Anbieter weiter (Google Ireland Limited, Anschrift wie in Abschnitt 6; Apple Distribution International Ltd., Irland). Von dort erhalten wir Ihren Namen, Ihre E-Mail-Adresse, die Kennung Ihres Kontos bei diesem Anbieter und bei Google den Link zu Ihrem Profilbild; die vom Anbieter ausgestellten Anmelde-Token werden mit Ihrem Konto gespeichert. Ihr Profilbild laden die Kontoseite und die Anmeldeseite für Kerf direkt von den Servern von Google; dabei erhält Google Ihre IP-Adresse. Was die Anbieter selbst verarbeiten, regeln deren Datenschutzerklärungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Kontodaten bleiben gespeichert, bis Sie Ihr Konto löschen.

13.2 Cookies auf account.neverfoundaudio.com

Die Kontoseite setzt ein Sitzungs-Cookie (__Secure-better-auth.session_token, 30 Tage gültig), das Sie angemeldet hält, außerdem während einer Anmeldung über Google oder Apple für fünf Minuten ein Cookie, das diesen Vorgang absichert (__Secure-better-auth.state), und nur während einer Anmeldung, die Kerf gestartet hat, für eine Stunde ein Cookie (kerf_app, Inhalt nur „1“), das vermerkt, dass die Anmeldung aus Kerf kommt, damit Ihre Willkommens-E-Mail den Download weglässt, den Sie schon haben. Alle drei sind für den von Ihnen gewünschten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Weitere Cookies, Tracking oder Werbung gibt es dort nicht.

13.3 Sicherheit

Zu jeder Anmeldesitzung speichern wir die IP-Adresse und die Browserkennung (User-Agent), von der aus Sie sich angemeldet haben; Sie sehen beides in Ihrem Datenexport. Diese Angaben bleiben gespeichert, bis Sie sich abmelden, Ihr Passwort zurücksetzen oder Ihr Konto löschen, und werden spätestens 30 Tage nach der letzten Nutzung der Sitzung gelöscht. Um Anfragen zu begrenzen, wird Ihre IP-Adresse etwa eine Minute gespeichert, auf der Kündigungsseite ein Einweg-Hashwert davon bis zu einem Tag; um die Zahl der Code-E-Mails je Adresse zu begrenzen, ein Einweg-Hashwert Ihrer E-Mail-Adresse für 24 Stunden; um Bezahlvorgänge und Links zum Abo-Portal zu begrenzen, Ihre Konto-Kennung je Anfrage bis zu einem Tag. Auf Wunsch schützen Sie Ihr Konto mit einem zweiten Faktor (Authenticator-App); das Geheimnis dafür wird verschlüsselt, die Ersatzcodes werden nur als Hashwert gespeichert. Technische Log-Einträge können Ihre Konto-Kennung oder E-Mail-Adresse enthalten und werden nach der Aufbewahrungsfrist von Cloudflare für Workers Logs gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz Ihres Kontos und unseres Dienstes vor Missbrauch.

13.4 Kerf auf Ihrem Computer

Bei der ersten Anmeldung in Kerf wird der Computer Ihrem Konto zugeordnet. Kerf übermittelt dafür den Gerätenamen, wie er in Windows bzw. macOS eingestellt ist (er enthält oft einen Vornamen), das Betriebssystem und einen Einweg-Hashwert der Systemkennung des Computers, der sich nicht zurückrechnen lässt. Ein Konto kann mit bis zu zwei Computern gleichzeitig verbunden sein; auf Ihrer Kontoseite sehen Sie sie und können einen trennen, etwa bevor Sie Kerf auf einem dritten nutzen.

Kerf prüft Ihr Abo beim Start, alle sechs Stunden und wenn das Fenster wieder aktiv wird; übermittelt werden dabei dieser Hashwert, die Kerf-Version und ein Geräte-Token. Ohne Internetverbindung arbeitet Kerf bis zu 7 Tage weiter (in der Testphase und nach einer fehlgeschlagenen Zahlung 3 Tage). Ein Computer, der 90 Tage nicht geprüft hat, wird abgemeldet. Wenn Sie Ihr Passwort zurücksetzen oder den zweiten Faktor einschalten, wird Kerf auf allen Ihren Computern abgemeldet. Wir speichern, wann ein Computer zuletzt geprüft hat und mit welcher Version, und für jedes Konto die Tage, an denen Kerf geprüft hat; diese Tage werden nach 400 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Prüfung des Abos und Art. 6 Abs. 1 lit. f DSGVO für die Nutzungstage (zu verstehen, wie Kerf genutzt wird, und Missbrauch zu erkennen).

13.5 Testphase, Abo und Zahlung

Abos werden über Lemon Squeezy abgeschlossen (Anschrift wie in Abschnitt 10), das als Merchant of Record Ihr Vertragspartner für die Zahlung ist und Zahlungsdaten nach seiner eigenen Datenschutzerklärung verarbeitet. Beim Öffnen des Bezahlvorgangs übermitteln wir Lemon Squeezy Ihre E-Mail-Adresse, Ihren Namen und Ihre von uns signierte Konto-Kennung. Lemon Squeezy meldet uns zurück: Abo- und Kundenkennung, E-Mail-Adresse, Tarif, Status, Verlängerungs-, End- und Testphasendatum, einen Link zum Kundenportal sowie je Zahlung Betrag, Währung und ob sie erstattet wurde. Karten- und Adressdaten erhalten wir nicht.

Die Testphase gibt es einmal pro Computer und pro E-Mail-Adresse. Dafür speichern wir einen Einweg-Hashwert der Systemkennung und einen Einweg-Hashwert Ihrer E-Mail-Adresse (Zusätze nach einem Pluszeichen und bei Gmail die Punkte bleiben dabei unberücksichtigt). Diese Hashwerte bleiben auch nach der Löschung Ihres Kontos gespeichert, weil sonst jede Löschung eine neue Testphase eröffnen würde.

Löschen Sie Ihr Konto, kündigen wir ein laufendes Abo bei Lemon Squeezy zum Ende des bezahlten Zeitraums und löschen danach die Abo-Datensätze; wir behalten nur die Abo-Kennung von Lemon Squeezy, damit eine verspätete Nachricht dazu nicht erneut gespeichert wird. Zahlungsdatensätze (Betrag, Währung, Datum, ob erstattet) bleiben ohne Verbindung zu Ihnen für unsere Umsatzzahlen erhalten und werden nach drei Jahren gelöscht. Die Buchhaltungsunterlagen führt Lemon Squeezy als Verkäufer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Hashwerte der Testphase, die Abo-Kennungen und die Umsatzzahlen Art. 6 Abs. 1 lit. f DSGVO.

Kündigen ohne Anmeldung. Unter account.neverfoundaudio.com/cancel können Sie ein Abo ohne Anmeldung kündigen. Wir verarbeiten dabei Namen, E-Mail-Adresse, Art der Kündigung, bei einer außerordentlichen Kündigung den Grund und das angegebene Datum und senden zuerst einen Link an diese Adresse, damit niemand fremde Abos kündigen kann; bis der Link genutzt wird, bewahren wir das höchstens 24 Stunden als offene Anfrage auf. Klicken Sie auf der Seite des Links auf „Jetzt kündigen“, suchen wir das Abo über die E-Mail-Adresse, kündigen es bei Lemon Squeezy und senden Ihnen eine Bestätigung per E-Mail; eine Kopie geht an unser Support-Postfach. Den Kündigungsdatensatz bewahren wir drei Jahre als Nachweis auf und löschen ihn danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312k BGB, für die Aufbewahrung als Nachweis Art. 6 Abs. 1 lit. f DSGVO.

13.6 E-Mails

Für das Konto senden wir E-Mails über Resend (siehe Abschnitt 8; Region Irland, Auftragsverarbeitungsvertrag vom 19. August 2026): Codes, eine Willkommensmail mit den Download-Links, auf Ihren Wunsch den Download-Link erneut, Antworten auf Ihre Berichte und Bestätigungen von Kündigungen. Ein Kerf-Konto trägt Sie nicht in unseren Newsletter ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13.7 Help & feedback in Kerf

Über „Help & feedback“ können Sie uns aus Kerf schreiben. Übermittelt werden das Thema, Ihre Nachricht und eine Kontaktadresse. Ist „Include diagnostics“ eingeschaltet (voreingestellt; vor dem Senden sehen Sie genau, was mitgeht), kommen Kerf-Version, Betriebssystem, Sprache, das Ende der Protokolldatei von Kerf (höchstens 64 KB; sie kann Dateipfade mit Ihrem Benutzernamen in Windows bzw. macOS enthalten), der letzte Absturz und der Zusammenhang eines Fehlers hinzu.

Bildschirmfoto (F7): Nur wenn Sie einen Bericht mit F7 bzw. der Schaltfläche „Report“ öffnen, nimmt Kerf ein Bild seines eigenen Fensters auf – nicht Ihres übrigen Bildschirms. Sie sehen das Bild vor dem Senden und können es abwählen („Include a screenshot of Kerf“). Ein Bericht, den Sie ohne F7 öffnen, enthält nie ein Bild. Das Bild zeigt, was in diesem Moment in Kerf geöffnet war, etwa Bilder aus Ihrem Video, Datei- und Projektnamen oder Ihre E-Mail-Adresse auf der Kontoseite.

Berichte werden mit Ihrem Konto gespeichert – der Text in der Datenbank, das Bildschirmfoto im Dateispeicher (Cloudflare R2) –, bis Sie Ihr Konto löschen, und uns per E-Mail über Resend zugestellt, mit Protokoll und Bildschirmfoto als Anhang; diese E-Mails bewahren wir auf, solange die Bearbeitung es erfordert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Ihre Anfrage zu beantworten und Fehler zu beheben). Ihr Datenexport verlinkt Ihre eigenen Bildschirmfotos.

13.8 Updates und Downloads

Kerf fragt beim Start und alle sechs Stunden nach einer neuen Version. Updates und das Installationsprogramm werden von account.neverfoundaudio.com geladen und vor der Installation auf Echtheit geprüft. Downloads zählen wir nur als Tagessumme und speichern dabei keine personenbezogenen Daten; technisch übertragen wird Ihre IP-Adresse (Abschnitt 2).

13.9 KI-Modelle von Hugging Face

Für Untertitel und Transkript, die Bedeutungssuche, die Musikerkennung und das Trennen von Stimme und Musik lädt Kerf beim ersten Gebrauch das jeweilige Modell von Hugging Face (Hugging Face, Inc., USA). Dabei werden Ihre IP-Adresse und technische Angaben zum Programm übermittelt, keine Inhalte. Die Modelle laufen danach ausschließlich auf Ihrem Computer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13.10 Schriften für Texte im Video

Eine Schrift für Texte in Ihren Videos lädt Kerf von Google Fonts (Google Ireland Limited, Anschrift wie in Abschnitt 6) oder Fontshare (Indian Type Foundry, Indien), wenn ein Projekt sie verwendet oder Sie die Schriftliste öffnen; die Schriften der Programmoberfläche liefert Kerf selbst mit. Dabei werden Ihre IP-Adresse, technische Angaben zum Programm und die Namen der Schriften übermittelt, unter Umständen in die USA bzw. nach Indien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine große Auswahl an Schriften für Ihre Videos.

13.11 Freistellen („Cut out“)

Das Freistellen von Personen nutzt die Bibliothek MediaPipe von Google, die auf Ihrem Computer läuft. Die Bibliothek würde Nutzungsstatistiken an Google senden; Kerf blockiert das, sodass nichts über Ihre Nutzung der Funktion Ihren Computer verlässt.

13.12 Claude

Kerf kann mit Claude zusammenarbeiten, dem KI-Assistenten von Anthropic. Kerf selbst sendet dabei nichts an Anthropic: Kerf stellt Claude nur auf Ihrem Computer eine Schnittstelle bereit (Model Context Protocol, ausschließlich unter 127.0.0.1 erreichbar). Wenn Sie Claude mit Kerf verwenden, übermittelt Ihre Claude-App bzw. Claude Code das, was Claude über Kerf liest – etwa Projektaufbau, Datei- und Projektnamen samt Speicherort, Transkripte, einzelne Bilder aus Ihrem Video und die Namen installierter Plug-ins – unter Ihrem eigenen Konto an Anthropic; dafür ist Anthropic nach seiner eigenen Datenschutzerklärung verantwortlich. Damit Claude Kerf findet, trägt Kerf sich in die Einstellungen der Claude-App und von Claude Code ein; im Claude-Bereich von Kerf lässt sich das für jede App einzeln und insgesamt („Allow Claude to edit“) abschalten. Alle Funktionen von Kerf lassen sich auch ohne Claude nutzen.

13.13 Was auf Ihrem Computer bleibt

Spracherkennung, Musikerkennung, das Trennen von Stimme und Musik, die Gesichtserkennung für automatische Zooms und die Assist Bar laufen vollständig auf Ihrem Computer. Ihre Projekte und Kopien der Medien, die Sie importieren, speichert Kerf in seinem Datenordner auf Ihrem Computer. Protokolldateien verlassen den Computer nur mit einem Bericht (13.7).

13.14 Statistik auf den Kontoseiten

Auf account.neverfoundaudio.com zählen wir nur Tagessummen: Seitenaufrufe, die verweisende Domain (höchstens 200 neue Domains pro Tag; der Rest wird zusammengezählt), das Land, begonnene Bezahlvorgänge und Downloads. Dafür werden keine Cookies gesetzt und keine IP-Adressen gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

13.15 Wer Kontodaten sieht

Zugriff auf Kontodaten hat nur der Betreiber, über einen geschützten Verwaltungsbereich mit zweitem Faktor, etwa um Anfragen zu beantworten, Abos abzugleichen oder Missbrauch zu sperren. Ein Geschäftspartner, der bei Kerf mitarbeitet, hat einen eigenen, ebenfalls mit zweitem Faktor geschützten Bereich: Er zeigt Summen (Konten, Umsatz, Nutzung, Besuche) und von Problemberichten nur Thema, Kerf-Version, Betriebssystem, Datum und eine gekürzte Kontaktadresse (etwa k•••@g•••.com); keine Kontodaten, keine Berichtsinhalte, keine Bildschirmfotos. Änderungen im Verwaltungsbereich werden mit Zeitpunkt und IP-Adresse protokolliert; das Protokoll wird nach 12 Monaten gelöscht und hält bei einem gelöschten Konto nur eine gekürzte Adresse fest.

13.16 Speicherorte, Empfänger und Ihre Rechte

Das Kerf-Konto läuft auf Cloudflare Workers, mit Datenbank (D1) und Dateispeicher (R2) bei Cloudflare (siehe Abschnitt 2). Weitere Empfänger sind Resend (E-Mails), Lemon Squeezy (Zahlung, als eigener Verantwortlicher) sowie, wenn Sie die jeweilige Funktion nutzen, Google bzw. Apple (Anmeldung), Hugging Face (Modelle), Google und Indian Type Foundry (Schriften).

Auf Ihrer Kontoseite können Sie Ihre Daten herunterladen („Download my data“: Konto, Anmeldewege, Sitzungen, Computer, Testphase, Tarif, Abos, Zahlungen, gesendete E-Mails, Berichte mit Bildschirmfotos und unseren Antworten, die Tage, an denen Kerf genutzt wurde, kostenloser Zugang oder eine Sperre, der zweite Faktor und Verwaltungsaktionen zu Ihrem Konto) und Ihr Konto löschen. Nach der Löschung bleiben nur erhalten: die Hashwerte der Testphase, die Abo-Kennungen von Lemon Squeezy, Zahlungsdatensätze ohne Verbindung zu Ihnen für drei Jahre und Kündigungsdatensätze für drei Jahre (13.5) sowie Einträge im Verwaltungsprotokoll mit gekürzter Adresse für bis zu 12 Monate (13.15). Name oder E-Mail-Adresse berichtigen wir auf Anfrage per E-Mail. Im Übrigen gilt Abschnitt 12.

Kerf richtet sich nicht an Kinder unter 16 Jahren.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die beschriebenen Verarbeitungen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.