Datenschutzerklärung

English version below

Stand: September 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Janko Breden
Freiligrathstr. 4
10967 Berlin, Deutschland
E-Mail: mgmt@ndacompany.de

Siehe auch Impressum.

2. Übersicht der Verarbeitungen

Diese Website stellt Musik-Samples (Beats/Loops) zum Anhören und Herunterladen bereit. Für den kostenlosen mp3-Download ist kein Konto nötig. Für den Download der Original-WAV-Dateien ist ein kostenloses Konto erforderlich. Konto und Newsletter sind gekoppelt: Ein Konto entsteht nur zusammen mit der Newsletter-Anmeldung, ein Konto ohne Newsletter bieten wir nicht an. Den Newsletter kannst du jederzeit abbestellen, dein Konto und der WAV-Download bleiben davon unberührt.

3. Welche Daten wir verarbeiten

a) Kontodaten

• E-Mail-Adresse
• Passwort, ausschließlich als kryptographischer Hash gespeichert (bcrypt) — wir haben zu keinem Zeitpunkt Zugriff auf dein Klartext-Passwort
• Bei Login über Google: E-Mail-Adresse, die uns Google nach deiner Zustimmung übermittelt (kein Passwort, kein Profilbild, keine weiteren Daten)
• Beim Anmelden per E-Mail-Link ("Magic Link") ein Einmal-Token zu deiner E-Mail-Adresse, das mit dem Klick verbraucht wird und spätestens nach 7 Tagen (beim reinen Einloggen nach 30 Minuten) verfällt. Es wird dabei kein Passwort gespeichert.
• Zeitpunkt des letzten Besuchs mit eingeloggtem Konto (höchstens stündlich aktualisiert), damit wir sehen, ob ein Konto noch genutzt wird

b) Nutzungsdaten

• Eine zufällig erzeugte, anonyme Session-ID (im Browser gespeichert), über die wir Höraktivität und Downloads zuordnen, um dir passende Empfehlungen ("Recommended") anzuzeigen — ohne diese ID lassen sich keine Rückschlüsse auf deine Identität ziehen
• Für die eigene Statistik (Plays, Suchen, Downloads) speichern wir diese Session-ID nicht im Klartext, sondern nur als gekürzten Hash mit einem Geheimnis, das täglich wechselt und überschrieben wird. Dadurch lässt sich eine Sitzung nur innerhalb eines Tages nachvollziehen und nicht über Tage hinweg oder mit einer Person verknüpfen. Dieselbe Technik nutzen wir für die Besucherzählung (Hash aus IP-Adresse und Browser-Kennung, ebenfalls mit täglich wechselndem Geheimnis).
• Bei eingeloggten Nutzern die Konto-Kennung an Play-, Such- und Download-Ereignissen
• IP-Adresse, ausschließlich zur Begrenzung kostenloser Downloads auf 5 pro Tag (Missbrauchsschutz), tageweise gezählt und nur als Hash gespeichert
• Welche Samples heruntergeladen wurden (zur Anzeige von "Top Downloaded" und zur Tantiemen-/Lizenzabwicklung gemäß unseren Lizenzbedingungen)
• Welche Schritte im Anmeldefenster jemand geht (Fenster geöffnet und aus welchem Anlass, Klick auf den Google-Knopf, Aufklappen des E-Mail-Wegs, abgeschickte Anfrage für den Anmeldelink, fertig angelegtes Konto). Wir speichern nur diese Schritte als Ereignis, ohne E-Mail-Adresse, und nutzen dafür dieselben tageweise wechselnden Hashes wie oben. Zweck ist allein, zu erkennen, an welcher Stelle die Anmeldung scheitert.
• Die aktive Verweildauer, also die Zeit, in der der Tab sichtbar ist und es eine Eingabe (Maus, Tastatur, Scrollen) oder einen laufenden Player gab. Gemessen wird nur eine Dauer in Sekunden, in Abständen zusammengefasst und an denselben tageweise wechselnden Hash gebunden. Weder Mausbewegungen noch Tastenanschläge selbst werden übertragen oder gespeichert, und es gibt keine Bildschirmaufzeichnung.

c) Cookies

• Ein technisch notwendiges Login-Cookie (httpOnly, verschlüsselt signiert), das dich eingeloggt hält
• Bei Google-Login ein kurzlebiges Cookie (10 Minuten) zum Schutz gegen Manipulation während des Login-Vorgangs

Wir setzen aktuell keine Marketing- oder Analyse-Cookies Dritter ein (z. B. kein Google Analytics, kein Facebook-Pixel).

Cookie	Zweck	Speicherdauer
Login-Cookie	Session-Erhalt (eingeloggt bleiben)	30 Tage
Google-Login-Statuscookie	Manipulationsschutz während OAuth-Login	10 Minuten

d) Favoriten, Hörhistorie und geladene Loops

Ohne Konto merkt sich nur dein eigener Browser (localStorage), welche Loops du als Favorit markiert, angehört oder geladen hast. Diese Listen erreichen unseren Server nicht und gehen verloren, wenn du die Websitedaten löschst oder das Gerät wechselst.

Mit einem Konto speichern wir dieselben drei Listen zusätzlich bei uns, damit sie dir auf jedem Gerät erhalten bleiben. Gespeichert werden ausschließlich die Kennungen der Samples und die Kennung deines Kontos, keine Zeitpunkte zu einzelnen Einträgen und keine IP-Adresse. Die Listen sind begrenzt auf 500 Favoriten, 500 geladene Loops und die letzten 100 angehörten Loops, Älteres fällt automatisch heraus. Beim Einloggen führen wir den Stand aus deinem Browser einmalig mit dem Stand im Konto zusammen, damit nichts verloren geht.

Löschen: Diese Listen löschen wir zusammen mit deinem Konto. Du kannst sie auch einzeln löschen lassen, ohne dein Konto aufzugeben, dafür genügt eine E-Mail an mgmt@ndacompany.de. Den Stand in deinem Browser entfernst du selbst, indem du die Websitedaten dieser Seite löschst.

4. Newsletter

Konto und Newsletter hängen zusammen. Im Anmeldefenster steht eine einzige Checkbox, die nicht vorausgewählt ist und beide Einwilligungen trägt: ‚Ich stimme der Datenschutzerklärung zu und möchte den Newsletter erhalten (Opt-in, jederzeit abbestellbar)‘. Ohne diesen Haken lässt sich kein Konto anlegen. Ein Konto ohne Newsletter bieten wir nicht an, und es gibt dafür auch keine zweite, getrennte Checkbox. Beim Anmelden über Google fragen wir nicht noch einmal nach: Wer dort ein neues Konto anlegt, wird mit derselben Kopplung in den Newsletter eingetragen. Der Versand erfolgt über den Dienstleister Mailjet. Du kannst dich jederzeit über den Abmeldelink in jeder Newsletter-E-Mail oder per E-Mail an uns wieder abmelden, dein Konto und der WAV-Download bleiben dabei bestehen.

Bestätigungsverfahren (Double-Opt-in): Bei der Anmeldung per E-Mail-Link schicken wir dir eine E-Mail mit einem Bestätigungslink. Erst mit dem Klick entstehen dein Konto und deine Newsletter-Anmeldung zusammen. Ohne Bestätigung wird die Vormerkung nach 7 Tagen gelöscht. Beim Anmelden über Google entfällt diese Mail, weil Google uns deine E-Mail-Adresse bereits als bestätigt übermittelt.

Nachweis der Einwilligung: Zum Nachweis nach Art. 7 Abs. 1 DSGVO speichern wir zu Anmeldung und Bestätigung jeweils Zeitpunkt, E-Mail-Adresse, IP-Adresse, Browser-Kennung und den Wortlaut, dem du zugestimmt hast. Rechtsgrundlage ist unsere rechtliche Verpflichtung zur Nachweisbarkeit sowie unser berechtigtes Interesse an der Abwehr unberechtigter Ansprüche (Art. 6 Abs. 1 lit. c und f DSGVO). Diese Nachweise löschen wir, wenn die Einwilligung widerrufen wurde und keine Ansprüche mehr zu erwarten sind, spätestens nach drei Jahren.

5. Rechtsgrundlagen

• Kontoerstellung, Login, WAV-Download: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
• Newsletter: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar. Sie wird zusammen mit der Kontoerstellung erteilt und ist dafür Voraussetzung, der Widerruf beendet nur den Newsletter, nicht das Konto
• IP-basiertes Download-Limit, Missbrauchs- und Betrugsschutz: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

6. Empfänger und Dienstleister

• Hetzner Online GmbH (Deutschland): Speicherung der Audiodateien
• Oracle Cloud Infrastructure, Rechenzentrum Frankfurt am Main (EU): Hosting des Servers
• Google LLC: nur falls du dich per "Mit Google fortfahren" anmeldest (OAuth-Login)
• Mailjet: Newsletter-Versand, nur bei erteilter Einwilligung
• Spotify AB: für Künstlerbilder bei Artist-Seiten, es werden nur öffentliche Bild-URLs abgerufen, keine personenbezogenen Daten von dir übermittelt
• Google Ireland Limited (YouTube): Auf den Loop-Kit-Seiten zeigen wir das passende YouTube-Video. Bis du auf Play klickst, laden wir nur ein Vorschaubild von unserem eigenen Server, YouTube erfährt nichts von deinem Besuch. Erst mit deinem Klick wird das Video im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen, dabei werden deine IP-Adresse und technische Daten an YouTube übermittelt, auch in die USA (EU-US Data Privacy Framework). Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Mit allen Dienstleistern, die Daten in unserem Auftrag verarbeiten, bestehen bzw. gelten die jeweiligen Auftragsverarbeitungs- und Standardvertragsbedingungen der Anbieter. Bei Google als US-Unternehmen erfolgt die Datenübermittlung auf Grundlage von Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

7. Speicherdauer

Kontodaten speichern wir, solange dein Konto besteht. Nach Löschung deines Kontos (siehe Kontakt unten) werden deine Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. IP-basierte Download-Zähler werden tageweise geführt und regelmäßig nicht länger als für den Zweck nötig aufbewahrt. Ereignisse der eigenen Statistik (Plays, Suchen, Downloads, Schritte im Anmeldefenster, aktive Verweildauer) löschen wir nach 6 Monaten. Das tägliche Geheimnis für die Hash-Bildung wird beim Tageswechsel überschrieben, ältere Hashes sind danach nicht mehr zuzuordnen. Nicht eingelöste Anmelde- und Login-Links werden nach Ablauf gelöscht. Favoriten, Hörhistorie und die Liste der geladenen Loops speichern wir, solange dein Konto besteht, und löschen sie mit dem Konto.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Wende dich dazu einfach an mgmt@ndacompany.de.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

9. Minderjährige

Unser Angebot richtet sich an Personen ab 16 Jahren. Wir erheben nicht wissentlich Daten von Kindern unter 16 Jahren.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich unsere Datenverarbeitung ändert (z. B. neue Funktionen, neue Dienstleister). Die jeweils aktuelle Version findest du immer unter dieser Adresse, das Datum oben zeigt den letzten Stand.

11. Kontakt

Bei Fragen zum Datenschutz erreichst du uns unter mgmt@ndacompany.de.

---

Privacy Policy

This is a translation for convenience. In case of doubt, the German version above is the legally binding one.

Last updated: September 2026

1. Controller

The controller responsible for data processing on this website is:

Janko Breden
Freiligrathstr. 4
10967 Berlin, Germany
Email: mgmt@ndacompany.de

See also our legal notice.

2. Overview of processing

This website provides music samples (beats/loops) for listening and downloading. No account is needed for the free mp3 download. Downloading the original WAV files requires a free account. Account and newsletter are tied together: an account is only created together with the newsletter sign-up, we do not offer an account without the newsletter. You can unsubscribe from the newsletter at any time, your account and the WAV download stay as they are.

3. What data we process

a) Account data

• Email address
• Password, stored only as a cryptographic hash (bcrypt). We never have access to your password in plain text.
• For login via Google: the email address that Google sends us after you agree (no password, no profile picture, no other data)
• When you sign in via email link ("magic link"), a one-time token tied to your email address. It is used up by the click and expires after 7 days at the latest (after 30 minutes for a plain log-in). No password is stored in this case.
• The time of the last visit with a logged-in account (updated at most once per hour), so that we can tell whether an account is still in use

b) Usage data

• A randomly generated, anonymous session ID (stored in your browser), which we use to link listening activity and downloads in order to show you suitable recommendations ("Recommended"). This ID does not allow any conclusions about your identity.
• For our own statistics (plays, searches, downloads) we do not store this session ID in the clear. We store only a shortened hash created with a secret that changes and is overwritten every day. A session can therefore only be followed within one day, not across days and not back to a person. We use the same technique for counting visitors (a hash of IP address and browser identifier, also with a secret that changes daily).
• For logged-in users, the account identifier attached to play, search and download events
• IP address, used only to limit free downloads to 5 per day (abuse prevention), counted per day and stored only as a hash
• Which samples were downloaded (to display "Top Downloaded" and for royalty and license administration under our license terms)
• Which steps someone takes in the sign-up window (window opened and what triggered it, click on the Google button, opening the email path, a submitted request for the sign-up link, account created). We store only these steps as events, without the email address, and use the same daily changing hashes as above. The only purpose is to see where sign-up fails.
• Active time on site, meaning the time during which the tab is visible and there was some input (mouse, keyboard, scrolling) or a running player. We only measure a duration in seconds, bundled into intervals and tied to the same daily changing hash. Neither mouse movements nor keystrokes themselves are transmitted or stored, and there is no session recording.

c) Cookies

• A technically necessary login cookie (httpOnly, cryptographically signed) that keeps you logged in
• For Google login, a short-lived cookie (10 minutes) that protects against manipulation during the login process

We currently do not use any third-party marketing or analytics cookies (e.g. no Google Analytics, no Facebook Pixel).

Cookie	Purpose	Storage period
Login cookie	Keeping the session (staying logged in)	30 days
Google login state cookie	Protection against manipulation during OAuth login	10 minutes

d) Favorites, listening history and downloaded loops

Without an account, only your own browser (localStorage) remembers which loops you marked as favorites, listened to or downloaded. Those lists never reach our server, and they are gone once you clear the site data or switch devices.

With an account we additionally store the same three lists on our side, so they stay with you on every device. We store only the sample identifiers and your account identifier, no timestamps for individual entries and no IP address. The lists are capped at 500 favorites, 500 downloaded loops and the last 100 loops you listened to; older entries drop out automatically. When you log in, we merge the state from your browser with the state in your account once, so nothing is lost.

Deletion: We delete these lists together with your account. You can also have them deleted on their own without giving up your account; an email to mgmt@ndacompany.de is enough. The state in your browser is yours to remove by clearing this site's data.

4. Newsletter

Account and newsletter belong together. The sign-up window has a single checkbox, not pre-ticked, that carries both consents: ‘I agree to the Privacy Policy and want to receive the newsletter (opt-in, you can unsubscribe anytime)’. Without that tick no account can be created. We do not offer an account without the newsletter, and there is no second, separate checkbox for it. When you sign in with Google we do not ask again: creating a new account there signs you up with the same coupling. The newsletter is sent via the service provider Mailjet. You can unsubscribe at any time via the unsubscribe link in every newsletter email or by emailing us, and your account and the WAV download remain in place.

Confirmation procedure (double opt-in): When you sign up with an email link, we send you an email with a confirmation link. Only that click creates your account and your newsletter subscription together. Without confirmation the pending sign up is deleted after 7 days. When you sign in with Google this email is not needed, because Google already passes us your email address as verified.

Proof of consent: To meet the accountability requirement of Art. 7(1) GDPR we store, for both the sign up and the confirmation, the time, the email address, the IP address, the browser identification and the exact wording you agreed to. The legal basis is our legal obligation to demonstrate consent and our legitimate interest in defending against unfounded claims (Art. 6(1)(c) and (f) GDPR). We delete these records once consent has been withdrawn and no claims are to be expected, at the latest after three years.

5. Legal bases

• Account creation, login, WAV download: performance of a contract under GDPR (Art. 6(1)(b))
• Newsletter: consent under GDPR (Art. 6(1)(a)), which you can withdraw at any time. It is given together with the account creation and is a precondition for it; withdrawing it ends the newsletter only, not the account
• IP-based download limit, abuse and fraud prevention: legitimate interest under GDPR (Art. 6(1)(f))

6. Recipients and service providers

• Hetzner Online GmbH (Germany): storage of the audio files
• Oracle Cloud Infrastructure, data centre in Frankfurt am Main (EU): server hosting
• Google LLC: only if you sign in via "Continue with Google" (OAuth login)
• Mailjet: newsletter delivery, only if you have given consent
• Spotify AB: for artist images on artist pages; only public image URLs are retrieved, no personal data about you is transmitted
• Google Ireland Limited (YouTube): On the loop kit pages we show the matching YouTube video. Until you click play, we only load a preview image from our own server, and YouTube learns nothing about your visit. Only when you click is the video loaded in privacy-enhanced mode (youtube-nocookie.com); at that point your IP address and technical data are transmitted to YouTube, including to the USA (EU-US Data Privacy Framework). The legal basis is the consent you give by clicking, under GDPR (Art. 6(1)(a)) and Section 25(1) TDDDG.

With all service providers that process data on our behalf, the providers' respective data processing agreements and standard contractual terms are in place or apply. For Google, as a US company, data is transferred on the basis of standard contractual clauses or the EU-US Data Privacy Framework.

7. Storage period

We store account data for as long as your account exists. After your account is deleted (see Contact below), your data will be deleted unless statutory retention obligations prevent this. IP-based download counters are kept per day and, as a rule, are not stored longer than necessary for their purpose. Events used for our own statistics (plays, searches, downloads, steps in the sign-up window, active time on site) are deleted after 6 months. The daily secret used for hashing is overwritten when the day changes, so older hashes can no longer be matched to anything. Unredeemed sign-up and login links are deleted once they expire. Favorites, listening history and the list of downloaded loops are stored for as long as your account exists and are deleted together with it.

8. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and objection (Art. 21), as well as the right to withdraw any consent you have given at any time with effect for the future. To do so, simply contact mgmt@ndacompany.de.

You also have the right to lodge a complaint with a data protection supervisory authority, e.g. the Berlin Commissioner for Data Protection and Freedom of Information.

9. Minors

Our service is intended for persons aged 16 and over. We do not knowingly collect data from children under 16.

10. Changes to this policy

We update this policy whenever our data processing changes (e.g. new features, new service providers). You can always find the current version at this address; the date at the top shows when it was last updated.

11. Contact

If you have any questions about data protection, you can reach us at mgmt@ndacompany.de.