No cookie banner. No tracking, no ads, no analytics. If you tap a language, the hub stores the wx_lang cookie so the same language applies on the other pages. Without a tap, the address or the browser language is used.

After sign-in the hub sets a session cookie (kudulu_session) only to keep the circle open. That is strictly necessary under TDDDG section 25(2)(2) for the service you asked for. Source: TDDDG § 25, BfDI on cookies.

GPS runs only if you tap Location. The browser then asks for permission. No tap, no location access.

Without GPS the weather page guesses a place from browser language, time zone and — if access already checks the country — the connection region. Nothing of that is stored. The place you type stays binding.

Hobby, non-commercial. No promise of availability. Liability only as required by law. Sources: BfDI, TDDDG, GDPR, DDG § 5, BGB § 309.

Verantwortliche Stelle (Art. 13 Abs. 1 DSGVO)

Verantwortlich: Webmaster. Kontakt: andp@kudulu.de. Telegram: KuDuLu. Es ist kein Datenschutzbeauftragter bestellt (Art. 37 DSGVO greift hier regelmäßig nicht).

Die Informationspflichten gelten auch für Private. Quelle: BfDI, Informationspflichten; Verordnung (EU) 2016/679, EUR-Lex CELEX 32016R0679.

Welche Daten, wozu, auf welcher Grundlage

• Kreis-Konto (Pseudonym, Passwort-Hash, Rolle, Aktiv-Status, letzte Anmeldung): um den geschlossenen Kreis zu betreiben. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO (Durchführung der beantragten Mitgliedschaft).
• Freiwillige E-Mail oder Telefonnummer: nur wenn du sie angibst, damit der Webmaster dich erreichen kann. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO (Einwilligung). Du kannst sie jederzeit weglassen oder löschen lassen.
• Bewerbung als Beta-Tester oder Admin: gewünschte Rolle und die Begründung. Eine E-Mail geht an andp@kudulu.de und an Admins, die eine Kontakt-E-Mail hinterlegt haben. Admin wird erst nach persönlichem Treffen im Saalekreis oder im Umkreis von etwa 200 km vergeben (Leipzig, Berlin, wer Interesse hat). Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO.
• Sitzungs-Cookie kuludulu_session: nur nach Anmeldung, damit der Kreis offen bleibt. TDDDG § 25 Abs. 2 Nr. 2 (unbedingt erforderlich). Quelle: TDDDG § 25.
• Sprach-Cookie wx_lang: nur wenn du eine Sprache anklickst, damit dieselbe Sprache auf News, Wetter, Hitmaster und den anderen Seiten gilt. Kein Tracking. TDDDG § 25 Abs. 2 Nr. 2. Quelle: TDDDG § 25.
• Technische Verbindungsdaten (IP, Zeitpunkt) können kurz in Serverprotokollen stehen, um Missbrauch und Ausfälle zu erkennen. Löschung nach kurzer Frist, soweit nicht zur Abwehr nötig.
• Seitenstatistik (Adminzentrale): gezählte Aufrufe je Pfad, Herkunft (direkt, eigene App, Hostname der verweisenden Seite) und interne Verweispfade, ohne Query-String und ohne volle URL. Nur für Admins sichtbar. Etwa 14 Monate. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO. Quelle: EUR-Lex CELEX 32016R0679.
• Standort nur nach Klick auf „Standort“ und Browser-Erlaubnis. Ohne Klick kein GPS.
• Cloud-Dateien: Dateien, die du selbst hochlädst, liegen auf dem Server von kudulu.de, getrennt je Kreis-Konto. Die Foto-App liest dieselben Dateien (Beta). Standard und Beta 2 GB, Admin eingeschränkt 10 GB, Admin unbegrenzt. Du kannst Ordner mit bestehenden Kreis-Benutzern teilen; sie sehen die Freigabe in ihrer eigenen Cloud. Ein von dir erzeugter Zufallslink zu einer Datei ist ohne Anmeldung aufrufbar, bis die von dir gesetzte Frist endet oder du ihn zurückziehst. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO. Du kannst Dateien, Freigaben und Links selbst löschen oder die Löschung des Kontos verlangen.
• Hitmaster-Anzeige: eine öffentliche Anzeige je Kreis-Konto (Art, Instrument, Niveau, Noten, Bühnenerfahrung, Text, Ort, Umkreis, optionales Profilbild, optionale Links, Kontaktwege die du selbst einträgst: Telefon, E-Mail, WhatsApp, Telegram, Signal). Lesen ohne Anmeldung. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO. Du kannst die Anzeige selbst ändern oder löschen.
• Hitmaster-Stimmgerät (Website und Android-App): Das Mikrofon wird nur lokal im Browser bzw. in der App genutzt, um die Tonhöhe zu messen. Es findet keine Speicherung und keine Übermittlung der Audioaufnahme an den Server statt. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO (Einwilligung durch Freigabe des Mikrofons) bzw. Buchst. f (berechtigtes Interesse an der Funktion, solange die Verarbeitung lokal bleibt).
• Hitmaster-Songgenerator: Die Songidee, Genre, Akkorde und Tempo gehen an die Chat-API von Mistral AI (EU/Frankreich), damit ein Text mit Akkorden erzeugt wird. Keine Kreis-Kontodaten. Die Antwort wird in der Sitzung gehalten, bis du eine neue erzeugst. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO. Anbieter: mistral.ai.
• Kontakte: privates Telefonbuch je Kreis-Konto (Name, Telefon, E-Mail, Notiz). Nur du siehst die Cloud-Einträge. Die Android-App liest das Telefonbuch des Geräts nur (AOSP Contacts Provider) und kopiert fehlende Einträge in die Cloud oder in den eigenen Speicher der App. Die Standard-Telefon-App bleibt unverändert; Anrufe öffnen die vorhandene Wählhilfe. Quelle Lesen: Android Open Source Project, Contacts Provider. Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO. Du kannst Einträge selbst ändern oder löschen.

Kreis und E-Mail

Der Kreis-Login ist kein E-Mail-Konto. Ein Postfach unter kudulu.de oder eine Umleitung auf ein bestehendes Konto vergibt der Webmaster nur nach einem persönlichen Treffen. Beides ist freiwillig, ohne Anspruch und nicht Teil der Selbstregistrierung. Ein eigenes Postfach liegt auf mail.kudulu.de (IMAP 993 SSL, SMTP 587 STARTTLS), Webmail unter webmail.kudulu.de. Ein fremdes Konto in der Mail-App folgt den Regeln dieses Anbieters (zum Beispiel STRATO). Quelle STRATO-Server: STRATO, E-Mail-Server.

Empfänger und Drittland

Keine Werbung, kein Tracking. Hosting der öffentlichen Seite kann bei STRATO in Deutschland liegen. Eine Übermittlung in ein Drittland außerhalb der EU/des EWR ist nicht beabsichtigt.

Speicherdauer

Das Kreis-Konto bleibt, bis du die Löschung verlangst, der Admin es löscht oder — bei Standard und Beta — 6 Monate ohne Anmeldung vergehen; dann wird es automatisch gelöscht. Admin-Konten sind davon ausgenommen. Cloud-Dateien enden mit der Kontolöschung oder wenn du sie selbst entfernst. Cloud-Kontakte enden mit der Kontolöschung oder wenn du sie selbst entfernst. Eine Hitmaster-Anzeige bleibt öffentlich, bis du sie löschst oder der Admin sie entfernt; mit der Kontolöschung kann sie mitgelöscht werden. Ein nicht freigeschalteter Antrag kann nach angemessener Zeit gelöscht werden. Sitzungs-Cookies enden mit Abmeldung oder Ablauf. Serverprotokolle nur kurz. Aggregierte Seiten- und Herkunftszahlen in der Adminzentrale etwa 14 Monate.

Deine Rechte

Nach der DSGVO insbesondere: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerruf einer Einwilligung (Art. 7 Abs. 3) und Widerspruch, soweit Art. 21 greift. Die Bereitstellung von Pseudonym und Passwort ist für ein Kreis-Konto erforderlich. E-Mail und Telefon sind freiwillig. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für nicht-öffentliche Stellen in Deutschland sind das in der Regel die Landesbeauftragten. Übersicht der Aufsichtsbehörden: Datenschutzkonferenz.

Kontakt für alle Anliegen: andp@kudulu.de.