Datenschutzerklärung

Lyd steuert dein Sonos-System von iPhone, iPad und Apple Watch aus. Hier steht alles, was deine Geräte verlässt, und wer es erhält.

Die Kurzfassung

Sechs Dinge, die man vor den Details wissen sollte.

  • Bei uns gibt es kein Konto.

    Kein Name, keine E-Mail-Adresse, kein Standort, keine Kennung, die auf dich zeigt. Das einzige beteiligte Konto ist dein Sonos-Konto, und das verwaltet Sonos.

  • Deine Musik bleibt deine.

    Die Wiedergabe läuft zwischen deinen Geräten, deinen Lautsprechern und Sonos. Die Ausnahme ist die Suche nach einem Coverbild; dabei geht ein Titel- oder Sendername raus und sonst nichts.

  • Unser Server hat fünf eng umrissene Aufgaben.

    Die Sonos-Anmeldung, die Anmeldung auf der Watch, Schlaf-Timer, Cover und Sprachnachrichten. Jede steht unten mit dem, was sie erhält.

  • Sprachnachrichten, weg in Minuten.

    Sie liegen im Arbeitsspeicher unseres Servers hinter einem zufälligen 256-Bit-Passwort und werden gelöscht, sobald der Lautsprecher sie abgespielt hat.

  • Absturzberichte und zwei Nutzungszahlen.

    Nur aus der iPhone-App, über Firebase, ohne deinen Namen. Die Apple-Watch-App sendet beides nicht.

  • Diese Website zählt Besuche.

    Google Analytics zählt Seitenaufrufe. Cookies nur, wenn du sie im Banner akzeptierst; lehnst du ab, wird ohne Cookies und ohne gespeicherte Kennung gezählt.

Wer wir sind

Lyd für Sonos („Lyd“ oder „die App“) ist eine App für iPhone, iPad und Apple Watch der App Lane OÜ, Ahtri tn 12, 15551 Tallinn, Estonia, Registriernummer 17207691, Verantwortliche für alles auf dieser Seite im Sinne der DSGVO.

Fragen gehen an lyd@app-lane.com.

Wie Lyd deine Lautsprecher erreicht

Lyd steuert dein System über zwei Wege. Die meisten Befehle laufen über die Cloud-API von Sonos. Dafür ist die Anmeldung bei Sonos da. Daneben spricht die App direkt über dein lokales Netzwerk mit deinen Lautsprechern: um sie zu finden, um schneller zu reagieren, um Dinge zu erreichen, die die Cloud-API nicht abdeckt, und um Cover zu holen, die der Lautsprecher selbst bereithält. iOS fragt beim ersten Mal nach der Berechtigung für das lokale Netzwerk.

So oder so läuft dieser Verkehr zwischen deinem Gerät, deinen Lautsprechern und Sonos, und zu uns gelangt er nicht. Deine Räume und Lautsprecher, was gerade läuft, Warteschlangen, Playlists, Favoriten, Lautstärken, Gruppen und Einstellungen liegen auf deinem Gerät und in deinem Sonos-Konto. Einige Funktionen laufen allerdings über einen kleinen eigenen Server; die Abschnitte unten führen sie vollständig auf.

Manches verlässt das Gerät gar nicht. Widgets, Live-Aktivitäten, Dynamic Island, Komplikationen, Kurzbefehle und Siri-Sätze verarbeiten iOS und watchOS auf deinem Gerät. Die Lautstärketasten am iPhone liest Lyd über Apples eigene Medienbedienung aus und schickt die neue Lautstärke an deine Lautsprecher, mehr nicht. Auf deine Apple-Music- oder iTunes-Mediathek greift Lyd nie zu; die App hat dafür keine Berechtigung und ruft nichts auf, was es könnte.

Anmeldung bei Sonos

Du meldest dich auf der Seite von Sonos selbst an, in deinem Browser. Dein Sonos-Passwort wird nie in Lyd eingegeben, und wir bekommen es nie zu sehen. Der Abschluss dieser Anmeldung braucht den vertraulichen Schlüssel von Sonos für Lyd, und der liegt auf einem kleinen Server, den wir bei Heroku unter backend.lyd-for-sonos.app betreiben, statt in der App, wo ihn jeder auslesen könnte. Deshalb laufen die Anmeldung und jede spätere Token-Erneuerung über diesen Server. Er reicht die Token direkt an dein Gerät zurück und speichert keines davon.

Wie jeder Webserver führt er ein gewöhnliches Anfrage-Protokoll, in dem die Anmelde- und Erneuerungsanfragen auftauchen. Als Statistik werten wir diese Protokolle nicht aus, und Heroku löscht sie nach eigenem Zeitplan.

Eines wird bei einer Token-Erneuerung mitgezählt: Eine Zahl in einer Datenbank von uns steigt um eins, damit wir wissen, wie viele Menschen Lyd an dem Tag ungefähr genutzt haben. In der Zeile stehen ein Datum, eine Zahl und um welche App es ging. Etwas über dich wird dabei nicht gespeichert. Rechtsgrundlage: unser berechtigtes Interesse zu wissen, wie stark die App genutzt wird, Art. 6 Abs. 1 lit. f DSGVO.

Auf deinem Gerät liegt das Token im Schlüsselbund von iOS oder watchOS, bis du dich abmeldest oder die App löschst. Dein Sonos-Konto verarbeitet Sonos nach seiner eigenen Erklärung.

Anmeldung auf der Apple Watch

Die Apple-Watch-App kann sich ohne die iPhone-App bei Sonos anmelden. Sie zeigt einen QR-Code, den du mit der Kamera deines Telefons scannst, und du meldest dich auf der Seite an, die sich öffnet. Im QR-Code stehen ein Link und eine zufällige, einmalige Kennung für diese Anmeldung, sonst nichts: kein Token, kein Passwort, kein Kontoname.

Was in der Zwischenzeit mit dem Token passiert

  • Deine Watch erzeugt vorab einen zufälligen 256-Bit-Schlüssel und schickt ihn an unseren Server.
  • Unser Server erhält das Sonos-Token, verschlüsselt es mit diesem Schlüssel und hält es im Arbeitsspeicher. Auf eine Festplatte oder in eine Datenbank kommt es nicht.
  • Deine Watch fragt es ab, entschlüsselt es und fordert unseren Server danach auf, es zu löschen. Diese Anfrage wird wiederholt, bis sie klappt.

Rechtsgrundlage: Durchführung der von dir angeforderten Anmeldung, Art. 6 Abs. 1 lit. b DSGVO.

Was unser Server erhält

Neben der Anmeldung und der Watch-Anmeldung oben übernimmt unser Server drei Aufgaben, die auf deinem Gerät allein nicht laufen können. Was er dafür erhält:

  • Für einen Schlaf-Timer: die Lautsprechergruppe, die Uhrzeit und ein Sonos-Zugriffstoken, weil man sich nicht darauf verlassen kann, dass die App in dem Moment noch läuft, in dem die Wiedergabe stoppen soll. Das Token liegt im Arbeitsspeicher, bis der Timer auslöst, danach wird es verworfen.
  • Für das Cover: Titel und Interpret eines Stücks. Dazu gibt es gleich einen eigenen Abschnitt.
  • Für eine Sprachnachricht: die Aufnahme, ein Sonos-Zugriffstoken und ein Passwort, beschrieben zwei Abschnitte weiter.

Alles wird nur für diese eine Aufgabe genutzt und danach verworfen. Nichts davon landet in einer Datenbank.

Cover und Senderlogos

Die meisten Coverbilder kommen vom Lautsprecher selbst über dein lokales Netzwerk oder von einer Adresse bei Sonos. Klappt beides nicht, was in der Praxis Radio und unterwegs heißt, sucht Lyd das Bild. Das ist der einzige Moment, in dem etwas darüber, was gerade läuft, dein Gerät verlässt.

  • Titel und Interpret gehen an unseren Server, der im Apple-Music-Katalog sucht und mit einer Bildadresse antwortet. Die Anfrage trägt überhaupt keine Kennung, lässt sich also weder dir noch deinen anderen Anfragen zuordnen, und Apple sieht sie von unserem Server kommen, nicht von dir.
  • Bei einem Radiosender geht der Name des Senders an radio.net und an TuneIn, um dessen Logo zu finden. Diese beiden Anfragen gehen direkt von deinem Gerät aus, beide Dienste sehen also deine IP-Adresse. Wir sind daran nicht beteiligt und erhalten von dort nichts.

Die Apple-Music-Abfrage läuft nur auf iPhone und iPad; die Apple Watch stellt sie nie, um Akku und Datenvolumen zu schonen. Die Abfrage des Senderlogos läuft auf allen Geräten.

Rechtsgrundlage: unser berechtigtes Interesse daran, dir das richtige Bild zu zeigen, Art. 6 Abs. 1 lit. f DSGVO.

Sprachnachrichten

Sprachnachrichten nimmt auf deiner Apple Watch bis zu 30 Sekunden auf und spielt die Aufnahme auf einem Lautsprecher ab. Die Funktion braucht den Mikrofonzugriff, nach dem watchOS beim ersten Mal fragt und den du jederzeit in der Watch-App unter Datenschutz wieder entziehen kannst.

Ein Sonos-Lautsprecher kann Audio nur von einer Adresse abspielen, die er selbst erreicht. Deshalb wandert die Aufnahme auf unseren Server, und die Sonos-Cloud holt sie von dort und reicht sie an den Lautsprecher weiter. Mit dem Upload geht außerdem ein Sonos-Zugriffstoken mit, denn es ist unser Server, der Sonos bittet, die Aufnahme abzuspielen.

Wie die Aufnahme geschützt ist

  • HTTPS, hinter einem 256-Bit-Passwort, das deine Watch für genau diese eine Nachricht zufällig erzeugt. Ohne dieses Passwort und die zufällige Adresse der Nachricht liefert die Anfrage nichts.
  • Sie liegt nur im Arbeitsspeicher des Servers. Auf eine Festplatte oder in eine Datenbank kommt sie nicht.
  • Gelöscht, sobald jeder angesprochene Lautsprecher sie geholt hat, und in etwa zehn Minuten auch dann aus dem Speicher geräumt, wenn das nie passiert.
  • Von uns nie angehört, nie transkribiert, nie ausgewertet.
  • Kein Konto, kein Name, keine Kennung hängt daran, abgesehen von der Bundle-Kennung der App.
  • Die Kopie auf deiner Watch wird gelöscht, sobald der Upload geklappt hat, und sofort, wenn du die Aufnahme abbrichst.

Rechtsgrundlage: Erbringung der von dir angeforderten Funktion, Art. 6 Abs. 1 lit. b DSGVO. Der Mikrofonzugriff beruht auf deiner Einwilligung, Art. 6 Abs. 1 lit. a, die du jederzeit widerrufen kannst.

Szenen und iCloud

Szenen sind das Einzige, was dein Gerät planmäßig verlässt. Hast du Lyd gekauft oder bist in der Testphase, werden sie über deine eigene private iCloud-Datenbank synchronisiert, damit dein iPad und Menu Bar Controller für Sonos auf einem Mac denselben Stand sehen. Das ist Apples Speicher unter deinem Apple-Account, nicht unserer. Wir können ihn nicht lesen, und die Synchronisierung lässt sich in den Einstellungen der App abschalten, wo sie standardmäßig an ist.

Eine Szene trägt das, was sie zum Wiederherstellen eines Moments braucht: ihren Namen, die Kennungen deines Systems, deiner Lautsprecher und Gruppen, Lautstärke und Klangeinstellung je Lautsprecher, welcher Favorit oder welche Playlist startet, eine Schlaf-Timer-Dauer, falls du eine gesetzt hast, und wann sie zuletzt geändert wurde.

Zwei kleinere Dinge nutzen deinen privaten iCloud-Speicher ebenfalls. Dein Kaufstatus liegt dort, damit ein neues Gerät sich freischaltet, ohne dich etwas zu fragen. Eine Markierung hält fest, welche unserer beiden Apps die Szenen-Datenbank zuletzt genutzt hat; daran erkennt Lyd, ob ein Hinweis auf die Mac-App überhaupt sinnvoll ist. Beides verlässt deinen Apple-Account nicht.

Die Apple-Watch-App rührt die Szenen-Datenbank nie an. Sie erhält Szenen von deinem iPhone über Apples Watch-Konnektivität, auf der lokalen Verbindung zwischen den beiden Geräten; das Einzige, was sie in iCloud legt, ist derselbe Kaufstatus.

Rechtsgrundlage: Erbringung der von dir angeforderten Funktion, Art. 6 Abs. 1 lit. b DSGVO.

Gastmodus

Der Gastmodus ist der lokale Weg. Lyd findet die Lautsprecher in dem WLAN, in dem du gerade bist, und schickt jeden Befehl über dein lokales Netzwerk direkt an sie. Es gibt kein Sonos-Konto und keinen Aufruf der Sonos-Cloud. Genau deshalb sind Streaming-Dienste, Sonos-Favoriten und Playlists darin nicht verfügbar: Die liegen in einem Konto, bei dem du dich nicht angemeldet hast.

Was die App sendet

Zwei Dinge verlassen die iPhone- und iPad-App von sich aus, beide ohne deinen Namen. Absturzberichte über Firebase Crashlytics: Stack-Trace, App- und iOS-Version, dein Gerätemodell und eine zufällige Kennung pro Installation, die Berichte derselben Installation zusammenfasst. Nutzungsereignisse über Google Analytics für Firebase.

Eigene Ereignisse gibt es genau zwei, beide zum Kauf-Bildschirm: dass er gezeigt wurde und dass ein Kauf zustande kam, jeweils mit einem Vermerk, in welchem Zustand der Bildschirm war. Alles andere ist Firebases eigene automatische Messung: ein erstes Öffnen, der Beginn einer Sitzung, ein angezeigter Bildschirm, ein abgeschlossener Kauf. Zu deinen Räumen, deinen Lautsprechern und dem, was du hörst, protokollieren wir nichts.

Die Apple-Watch-App enthält keines der beiden SDKs. Sie sendet keine Nutzungsereignisse und keine Absturzberichte.

Google erhält mit der Anfrage deine IP-Adresse und leitet daraus ein ungefähres Land ab; wir sehen sie nie. Die App fragt nie um Erlaubnis, dich zu tracken, iOS gibt ihr also keine Werbekennung, und wir nutzen keine der Werbefunktionen von Firebase. Absturzberichte werden bis zu 90 Tage aufbewahrt, Nutzungsereignisse bis zu 14 Monate. Rechtsgrundlage für beides: unser berechtigtes Interesse an einer stabilen App und daran zu wissen, welche Funktionen unsere Zeit wert sind, Art. 6 Abs. 1 lit. f DSGVO.

Eine weitere Anfrage verlässt die App von sich aus. Öffnest du das kurze Vorschauvideo in der App, wird es aus einem Speicher gestreamt, den wir bei Cloudflare mieten; der sieht deine IP-Adresse und welche der beiden Sprachfassungen du angefordert hast.

Dein Kauf

Lyd wird über den App Store verkauft. Apple wickelt Kauf, Beleg, Rückerstattung und Lizenz ab; wir sehen nie deinen Namen, deine Adresse, deine Zahlungsdaten oder deinen Apple-Account, sondern nur aggregierte Verkaufsberichte ohne einzelne Personen. Die 14-tägige Testphase braucht überhaupt kein Konto.

Wenn du uns schreibst

Schreibst du an den Support, erhalten wir deine Adresse und alles, was du sendest, und nutzen es, um dir zu antworten, für nichts sonst. Einen Verteiler gibt es nicht. Unsere E-Mail hostet Gandi in Frankreich.

Das ist die eine Stelle, an der wir dich identifizierende Daten haben. Nach höchstens 24 Monaten werden sie gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Diese Website

Das hier sind statische Dateien, und die Schriften werden von dieser Domain ausgeliefert, nicht von Google Fonts. Ein Messskript läuft hier: Google Analytics. Es zeigt uns, welche Seiten gelesen werden, woher Besucher kommen und ob sie ein Telefon oder einen Desktop nutzen.

Ein kleines Banner fragt, bevor ein Cookie gesetzt wird. Stimmst du zu, setzt Google Analytics Cookies, die einen wiederkehrenden Browser erkennen. Lehnst du ab oder ignorierst das Banner, wird ohne Cookies und ohne gespeicherte Kennung gezählt. Deine IP-Adresse erhält Google in beiden Fällen und leitet daraus eine grobe Verortung ab; wir sehen sie nie, Werbefunktionen sind aus, und Berichte lesen wir nur aggregiert. Die Daten werden bis zu 14 Monate aufbewahrt. Deine Wahl liegt auf deinem Gerät, und du kannst sie hier jederzeit ändern.

Rechtsgrundlage: deine Einwilligung für Cookies, Art. 6 Abs. 1 lit. a DSGVO; unser berechtigtes Interesse zu wissen, wie die Website genutzt wird, für das Zählen ohne Cookies, Art. 6 Abs. 1 lit. f.

Bindet ein Leitfaden ein Video ein, kommt es von YouTube im erweiterten Datenschutzmodus: Die Seite stellt keine Verbindung zu YouTube her, bis du auf Abspielen drückst. Ab diesem Klick erhält YouTube (Google) deine IP-Adresse, und es gilt dessen eigene Erklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, da du die Wiedergabe anforderst.

Gehostet wird die Website von Netlify, das übliche Server-Protokolle führt (IP-Adresse, Zeitpunkt, Seite, Browserkennung), um auszuliefern und Angriffe abzuwehren, für einen kurzen, von Netlify festgelegten Zeitraum; als Statistik werten wir sie nicht aus. Links, die von hier wegführen, sind gewöhnliche Links; danach gilt die Erklärung des anderen Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wer für uns Daten verarbeitet

Die vollständige Liste aller, die davon etwas zu sehen bekommen. Die Auftragsverarbeiter, die für uns tätig werden, sind durch einen Auftragsverarbeitungsvertrag gebunden und dürfen die Daten nur nutzen, um ihre Leistung für uns zu erbringen; die Dienste in den USA arbeiten auf Grundlage der Standardvertragsklauseln, Google zusätzlich über das EU-US Data Privacy Framework. Sonos, radio.net und TuneIn sind keine Auftragsverarbeiter von uns: Das sind Dienste, mit denen dein Gerät direkt spricht, nach deren eigenen Erklärungen. Wir verkaufen keine personenbezogenen Daten und geben sie nie für Werbung weiter.

  • Verkauft und vertreibt die App, speichert deine Szenen, sofern du sie synchronisierst, und hält den Musikkatalog, den unsere Cover-Abfrage durchsucht.

    Daten
    Kauf-, Beleg- und Lizenzdaten, gehalten von Apple. Wir erhalten nur aggregierte Berichte. Deine Szenen und dein Kaufstatus, in deiner eigenen privaten iCloud-Datenbank. Titel und Interpret, wenn ein Cover gesucht wird, ankommend von unserem Server statt von dir.

  • Authentifiziert dein Sonos-Konto und stellt die Lautsprecher-Schnittstellen bereit.

    Daten
    Deine Sonos-Zugangsdaten, eingegeben auf der Anmeldeseite von Sonos selbst. Jeder Befehl, den Lyd über die Cloud-API schickt, und die Adresse, von der eine Sprachnachricht geholt wird.

  • Heroku (Salesforce)

    Datenschutzerklärung ↗

    Betreibt unseren eigenen Server: Weitergabe der Sonos-Anmeldung, Kopplung der Watch, Schlaf-Timer, Cover-Abfragen und kurzzeitig bereitgestellte Sprachaufnahmen. Der Postgres-Dienst hält den täglichen Nutzungszähler.

    Daten
    Sprachaufnahmen für etwa zehn Minuten; ein Sonos-Zugriffstoken, solange ein Schlaf-Timer aussteht oder eine Watch-Kopplung läuft; Titel und Interpret für Cover-Abfragen; eine Tageszahl je App; Anfrage-Metadaten in Server-Protokollen.

  • Google (Firebase)

    Datenschutzerklärung ↗

    Absturzberichte und Nutzungszahlen aus der iPhone- und iPad-App; Besuchsstatistiken für diese Website.

    Daten
    Absturzberichte, zwei Ereignisse zum Kauf-Bildschirm, Seitenaufrufe dieser Website, eine zufällige Kennung pro Installation, Geräte- und Systemversion, IP-Adresse (grobe Verortung; von uns nicht gespeichert). Analyse-Cookies auf dieser Website nur mit deiner Einwilligung.

  • Speichert das kurze Vorschauvideo, das die App abspielen kann.

    Daten
    Deine IP-Adresse und die angeforderte Sprachfassung, wenn du dieses Video öffnest.

  • radio.net und TuneIn

    Datenschutzerklärung ↗

    Liefern die Logos von Radiosendern.

    Daten
    Der Name des Senders, den du hörst, und deine IP-Adresse, gesendet von deinem Gerät.

  • Hostet diese Website.

    Daten
    Server-Protokolle: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung.

  • Hostet unsere E-Mail und damit alles, was du an den Support schickst.

    Daten
    Deine E-Mail-Adresse und der Inhalt deiner Nachrichten an uns.

Deine Rechte

Das Gesetz gibt dir eine Reihe von Rechten an deinen eigenen Daten. Im Klartext kannst du von uns verlangen, dass wir:

  • dir sagen, was wir über dich haben, und dir eine Kopie geben
  • korrigieren, was falsch ist
  • deine Daten löschen
  • sie nicht mehr oder nur noch eingeschränkt verwenden
  • sie dir so herausgeben, dass du sie woanders hin mitnehmen kannst

In der Praxis gibt es dabei wenig zu tun. Die App sendet nichts, was dich identifiziert. Wir können dich in Absturzberichten oder Nutzungszahlen also nicht nachschlagen, dort steckt kein „du“ drin. Die Ausnahme sind E-Mails, die du uns geschickt hast; die können wir jederzeit auf deine Bitte hin finden, ändern oder löschen.

Löschst du die App, endet auf deiner Seite alles. Meldest du dich in der App von Sonos ab, verschwindet das Token aus deinem Schlüsselbund; du kannst Lyd den Zugriff auch in deinem Sonos-Konto entziehen.

Wenn du findest, dass wir etwas schlecht gehandhabt haben, kannst du dich bei einer Datenschutzbehörde beschweren: Bei uns ist das die estnische Andmekaitse Inspektsioon, oder die Behörde an deinem Wohnort.

Daten von Kindern

Lyd richtet sich nicht an Kinder, und wir erheben wissentlich keine Daten von Personen unter 16 Jahren. Hat uns ein Kind geschrieben, sag Bescheid, und wir löschen es.

Änderungen dieser Erklärung

Ändert sich etwas, ändern sich diese Seite und das Datum oben mit. Alles Wesentliche steht zusätzlich in den Versionshinweisen der App.

Anwendbares Recht

Diese Erklärung unterliegt dem Recht von St. Gallen, Schweiz.

Noch eine Frage zu deinen Daten?

Stell sie. Sie geht an dieselbe Adresse wie alles andere, und der Entwickler antwortet.

Schreib uns