← Zurück zu Hit-Dino

Datenschutzerklärung

Stand: 25.10.2026 · gilt für die Web-App Hit-Dino (mymodino.de, hitdino.de, hitdino.com)

1. Verantwortlicher

Scheid & Zwiesele, TakeTheNextStep GbR, Schlossweg 16, 69190 Walldorf, Deutschland
E-Mail: backoffice@innergenius.de · Telefon: +49 157 82310391 · Impressum

2. Grundsätze

• Wir verarbeiten nur Daten, die für die Funktionen von Hit-Dino nötig sind.
• Keine Werbung, kein Tracking, keine Analyse-Werkzeuge, kein Verkauf von Daten.
• Hit-Dino ist kostenlos.

3. Server und Hosting

Alle Dateien der App, auch die Schriftart, kommen von unserem Server; Schriftdienste wie Google Fonts nutzen wir nicht.

Hit-Dino läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und Angaben deines Browsers, um die Seite auszuliefern. Die App selbst schreibt keine Zugriffsprotokolle mit IP-Adressen. Zum Schutz vor Missbrauch merkt sich der Server fehlgeschlagene Anmeldeversuche je IP-Adresse höchstens 15 Minuten im Arbeitsspeicher. Fehlermeldungen des Servers können die aufgerufene Adresse enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

4. Anmeldung und Konto

Mit Server nutzt du Hit-Dino mit einem Konto. Die Anmeldung läuft über Firebase Authentication von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), wahlweise mit deinem Google- oder Apple-Konto (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Dafür lädt die Startseite die Firebase-Bibliothek von Google-Servern (gstatic.com); dabei erhält Google deine IP-Adresse.

Von Google bzw. Apple erhalten wir: eine Kennung (Firebase-UID), deinen Namen, deine E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse) und bei Google die Adresse deines Profilbilds. Firebase speichert dein Konto bei Google; wir melden dich direkt danach bei Firebase wieder ab und setzen ein eigenes Sitzungs-Cookie.

Auf unserem Server speichern wir zu deinem Konto:

• Kennung, Anzeigename, E-Mail-Adresse, Profilbild-Adresse, Anmeldeweg (Google oder Apple), Rolle und ob das Konto gesperrt ist;
• deinen persönlichen Einladungslink und deine Freundschaften;
• deinen Spielstand: Lernstand je Song, Statistik, Bestwerte, eigene Songlisten und Einstellungen;
• Ergebnisse abgeschlossener Live-Runden (Teilnehmer, Sieger) für die Rangliste;
• Sitzungen (nur ein Prüfwert des Sitzungs-Tokens und das Ablaufdatum).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App, die du nutzen möchtest). Die Daten bleiben gespeichert, bis du dein Konto löschen lässt; Sitzungen laufen nach 30 Tagen ab. Zum Löschen deines Kontos genügt eine E-Mail an die oben genannte Adresse; dabei löschen wir Konto, Spielstand, Freundschaften und deine Teilnahme an Live-Runden.

5. Freunde, Live-Runden und Rangliste

Deine Freunde sehen deinen Anzeigenamen, ob du gerade online bist, in welcher Live-Runde du bist und deine Platzierung in der Rangliste. Wer deinen Einladungslink öffnet, sieht deinen Anzeigenamen. In einer Live-Runde sehen alle Teilnehmer die Anzeigenamen und Spielzüge der anderen. Der Zustand laufender Runden liegt nur im Arbeitsspeicher des Servers; gespeichert werden nur abgeschlossene Runden (siehe Abschnitt 4). Administratoren sehen die Liste der Konten mit Namen und können Konten sperren oder löschen.

6. Cookies und Speicher im Browser

• Sitzungs-Cookie (nur mit Konto): hält dich angemeldet, höchstens 30 Tage, nicht per JavaScript lesbar.
• Lokaler Speicher (localStorage): Lernstand, eigene Songlisten und Einstellungen (ohne Konto), Darstellung und Sprache. Diese Daten bleiben auf deinem Gerät.
• Wenn du „Song hören“ nutzt, legt die Apple-Bibliothek MusicKit eigene Einträge im Browser an (siehe Abschnitt 7).

Alles davon ist für die Funktionen nötig, die du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG); deshalb fragen wir nicht nach einer Einwilligung. Du kannst diese Daten jederzeit in deinem Browser löschen.

7. Apple Music („Song hören“)

Songs werden über Apple Music abgespielt. Wenn du „Song hören“ nutzt oder den Konto-Dialog öffnest, lädt die App die Bibliothek MusicKit JS von Apple-Servern (js-cdn.music.apple.com). Songdaten, Cover, 30-Sekunden-Vorschauen und ganze Songs kommen direkt von Apple und werden von MusicKit abgespielt; dabei erhält Apple deine IP-Adresse und Angaben zu Browser und Gerät. Unser Server gibt deinem Browser nur einen Zugangsschlüssel für den Apple-Music-Katalog (Developer Token); Audio läuft nie über unseren Server und wird nicht gespeichert.

Wenn du „Apple Music verbinden“ wählst, meldest du dich direkt bei Apple an. Apple gibt deinem Browser dann einen Schlüssel für dein Abo (Music User Token); er bleibt in deinem Browser und wird nicht an uns übertragen. Wir erfahren nicht, welche Songs du außerhalb von Hit-Dino hörst. Mit „Trennen“ entfernst du die Verbindung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du möchtest Songs hören). Für die Verarbeitung durch Apple gilt die Datenschutzrichtlinie von Apple: apple.com/de/legal/privacy. Die in den Songdaten enthaltenen Spotify-Links werden von der App nicht aufgerufen.

8. Sprechen (Spracheingabe und -ausgabe)

Im Modus „Sprechen“ nutzt Hit-Dino die Spracherkennung und Sprachausgabe deines Browsers. Das Mikrofon wird erst nach deinem Tippen und deiner Erlaubnis im Browser eingeschaltet. Je nach Browser schickt der Browser-Hersteller die Aufnahme zur Erkennung an seine Server (zum Beispiel Google bei Chrome, Apple bei Safari); dafür gelten dessen Datenschutzbestimmungen. Hit-Dino erhält nur den erkannten Text, wertet ihn im Browser aus und speichert ihn nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Übermittlung in Drittländer

Google und Apple können Daten auch in den USA verarbeiten (Google LLC, Apple Inc.). Beide Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert; die EU-Kommission hat dafür ein angemessenes Schutzniveau festgestellt (Art. 45 DSGVO).

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Schreib dazu einfach an backoffice@innergenius.de. Den Namen änderst du selbst im Konto-Dialog.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

11. Kinder

Hit-Dino richtet sich nicht an Kinder unter 16 Jahren. Jüngere nutzen die App bitte nur mit Zustimmung ihrer Eltern.

12. Änderungen

Ändert sich die App oder die Rechtslage, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung mit dem Datum oben.

Privacy policy

Last updated: 25 October 2026 · applies to the Hit-Dino web app (mymodino.de, hitdino.de, hitdino.com). The German version is legally binding.

1. Controller

Scheid & Zwiesele, TakeTheNextStep GbR, Schlossweg 16, 69190 Walldorf, Germany
Email: backoffice@innergenius.de · Phone: +49 157 82310391 · Legal notice

2. Principles

• We only process data that Hit-Dino needs for its features.
• No ads, no tracking, no analytics tools, no sale of data.
• Hit-Dino is free.

3. Server and hosting

All files of the app, including the font, come from our server; we do not use font services such as Google Fonts.

Hit-Dino runs on a server of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Germany, under a data processing agreement (Art. 28 GDPR).

To deliver the pages, the server necessarily processes your IP address, date and time, the requested address and details of your browser. The app itself does not write access logs with IP addresses. To prevent abuse, the server keeps failed sign-in attempts per IP address in memory for at most 15 minutes. Server error messages may contain the requested address. Legal basis: Art. 6(1)(f) GDPR (secure and stable operation).

4. Sign-in and account

With the server, you use Hit-Dino with an account. Sign-in uses Firebase Authentication by Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland), with your Google or Apple account (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland). For this, the start page loads the Firebase library from Google servers (gstatic.com), which gives Google your IP address.

From Google or Apple we receive: an identifier (Firebase UID), your name, your email address (with Apple, a relay address if you choose) and, with Google, the address of your profile picture. Firebase stores your account at Google; we sign you out of Firebase right away and set our own session cookie.

On our server we store for your account:

• identifier, display name, email address, profile picture address, sign-in method (Google or Apple), role and whether the account is blocked;
• your personal invite link and your friendships;
• your progress: learning state per song, statistics, best scores, your own song lists and settings;
• results of finished live rounds (players, winner) for the ranking;
• sessions (only a check value of the session token and the expiry date).

Legal basis: Art. 6(1)(b) GDPR (providing the app you want to use). The data is kept until you have your account deleted; sessions expire after 30 days. To delete your account, send an email to the address above; we then delete your account, progress, friendships and your participation in live rounds.

5. Friends, live rounds and ranking

Your friends see your display name, whether you are online, which live round you are in and your place in the ranking. Anyone who opens your invite link sees your display name. In a live round, all players see the display names and moves of the others. Running rounds exist only in the server’s memory; only finished rounds are stored (see section 4). Administrators see the list of accounts with names and can block or delete accounts.

6. Cookies and browser storage

• Session cookie (with an account only): keeps you signed in, at most 30 days, not readable by JavaScript.
• Local storage (localStorage): learning state, own song lists and settings (without an account), appearance and language. This data stays on your device.
• If you use “Hear song”, Apple’s MusicKit library creates its own entries in the browser (see section 7).

All of this is necessary for features you explicitly use (§ 25(2) no. 2 TDDDG), so we do not ask for consent. You can delete this data in your browser at any time.

7. Apple Music (“Hear song”)

Songs are played via Apple Music. When you use “Hear song” or open the account dialog, the app loads the MusicKit JS library from Apple servers (js-cdn.music.apple.com). Song data, artwork, 30-second previews and full songs come directly from Apple and are played by MusicKit, which gives Apple your IP address and details about your browser and device. Our server only gives your browser an access key for the Apple Music catalog (developer token); audio never passes through our server and is not stored.

If you choose “Connect Apple Music”, you sign in directly with Apple. Apple then gives your browser a key for your subscription (music user token); it stays in your browser and is not sent to us. We do not learn what you listen to outside Hit-Dino. “Disconnect” removes the connection.

Legal basis: Art. 6(1)(b) GDPR (you want to listen to songs). Processing by Apple is governed by Apple’s privacy policy: apple.com/legal/privacy. The Spotify links contained in the song data are not accessed by the app.

8. Voice mode (speech input and output)

In voice mode, Hit-Dino uses your browser’s speech recognition and speech output. The microphone is only turned on after you tap and allow it in the browser. Depending on the browser, the browser vendor sends the recording to its servers for recognition (for example Google for Chrome, Apple for Safari); its privacy terms apply. Hit-Dino only receives the recognised text, evaluates it in the browser and does not store it. Legal basis: Art. 6(1)(b) GDPR.

9. Transfers to third countries

Google and Apple may also process data in the USA (Google LLC, Apple Inc.). Both are certified under the EU-US Data Privacy Framework, for which the EU Commission has found an adequate level of protection (Art. 45 GDPR).

10. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on Art. 6(1)(f) (Art. 21). Just write to backoffice@innergenius.de. You can change your name yourself in the account dialog.

You can lodge a complaint with a data protection supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, Germany.

11. Children

Hit-Dino is not aimed at children under 16. Younger users should only use the app with their parents’ consent.

12. Changes

If the app or the law changes, we update this policy. The version published here, with the date above, applies.