← Zurück zu Hit-Dino

Datenschutzerklärung

Stand: 25.10.2026 · gilt für die Web-App Hit-Dino (hitdino.de, hitdino.com)

1. Verantwortlicher

Scheid & Zwiesele, TakeTheNextStep GbR, Schlossweg 16, 69190 Walldorf, Deutschland
E-Mail: backoffice@innergenius.de · Telefon: +49 157 82310391 · Impressum

2. Grundsätze

3. Server und Hosting

Alle Dateien der App, auch die Schriftart, kommen von unserem Server; Schriftdienste wie Google Fonts nutzen wir nicht.

Hit-Dino läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und Angaben deines Browsers, um die Seite auszuliefern. Die App selbst schreibt keine Zugriffsprotokolle mit IP-Adressen. Zum Schutz vor Missbrauch merkt sich der Server fehlgeschlagene Anmeldeversuche je IP-Adresse höchstens 15 Minuten im Arbeitsspeicher. Fehlermeldungen des Servers können die aufgerufene Adresse enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

4. Anmeldung und Konto

Mit Server nutzt du Hit-Dino mit einem Konto. Die Anmeldung läuft über Firebase Authentication von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), wahlweise mit deinem Google- oder Apple-Konto (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Dafür lädt die Startseite die Firebase-Bibliothek von Google-Servern (gstatic.com); dabei erhält Google deine IP-Adresse.

Von Google bzw. Apple erhalten wir: eine Kennung (Firebase-UID), deinen Namen, deine E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse) und bei Google die Adresse deines Profilbilds. Firebase speichert dein Konto bei Google; wir melden dich direkt danach bei Firebase wieder ab und setzen ein eigenes Sitzungs-Cookie.

Auf unserem Server speichern wir zu deinem Konto:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App, die du nutzen möchtest). Die Daten bleiben gespeichert, bis du dein Konto löschst; Sitzungen laufen nach 30 Tagen ab. Du kannst dein Konto im Konto-Dialog selbst löschen („Konto löschen“); dabei löschen wir Konto, Spielstand, Freundschaften, Sitzungen, Lernkontingent und deine Teilnahme an Live-Runden und beenden ein bestehendes Web-Abo zum Laufzeitende. Alternativ genügt eine E-Mail an die oben genannte Adresse. Gesetzliche Aufbewahrungspflichten (etwa für Rechnungen bei Paddle) bleiben unberührt.

5. Freunde, Live-Runden und Rangliste

Deine Freunde sehen deinen Anzeigenamen, ob du gerade online bist, in welcher Live-Runde du bist und deine Platzierung in der Rangliste. Wer deinen Einladungslink öffnet, sieht deinen Anzeigenamen. In einer Live-Runde sehen alle Teilnehmer die Anzeigenamen und Spielzüge der anderen. Der Zustand laufender Runden liegt nur im Arbeitsspeicher des Servers; gespeichert werden nur abgeschlossene Runden (siehe Abschnitt 4). Administratoren sehen die Liste der Konten mit Namen und können Konten sperren oder löschen.

6. Cookies und Speicher im Browser

Sitzungs-Cookie, lokaler Speicher und MusicKit sind für Funktionen nötig, die du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG); dafür fragen wir nicht nach einer Einwilligung. Speicher und Zugriffe für Werbung setzen wir nur nach deiner Einwilligung ein (§ 25 Abs. 1 TDDDG). Du kannst diese Daten jederzeit in deinem Browser löschen.

7. Apple Music („Song hören“)

Songs werden über Apple Music abgespielt. Wenn du „Song hören“ nutzt oder den Konto-Dialog öffnest, lädt die App die Bibliothek MusicKit JS von Apple-Servern (js-cdn.music.apple.com). Songdaten, Cover, 30-Sekunden-Vorschauen und ganze Songs kommen direkt von Apple und werden von MusicKit abgespielt; dabei erhält Apple deine IP-Adresse und Angaben zu Browser und Gerät. Unser Server gibt deinem Browser nur einen Zugangsschlüssel für den Apple-Music-Katalog (Developer Token); Audio läuft nie über unseren Server und wird nicht gespeichert.

Spielen ohne Anmeldung (Gastmodus): Auf der Startseite kannst du den Single Player ohne Konto ausprobieren. Auch dann lädt die App zum Abspielen MusicKit von Apple (Apple erhält dabei deine IP-Adresse), und unser Server gibt deinem Browser den Developer Token. Gäste hören nur 30-Sekunden-Vorschauen; „Apple Music verbinden“ gibt es im Gastmodus nicht. Für Gäste speichern wir nichts: kein Konto, kein Lernstand, kein Bestwert, weder auf dem Server noch im Browser. Nur um Missbrauch zu begrenzen, zählt der Server die Token-Abrufe ohne Anmeldung kurzzeitig je IP-Adresse im Arbeitsspeicher (höchstens 30 Abrufe pro Stunde); der Zähler wird nicht dauerhaft gespeichert und verfällt nach einer Stunde bzw. mit dem Neustart des Servers (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz vor Missbrauch).

Wenn du „Apple Music verbinden“ wählst, meldest du dich direkt bei Apple an. Apple gibt deinem Browser dann einen Schlüssel für dein Abo (Music User Token); er bleibt in deinem Browser und wird nicht an uns übertragen. Wir erfahren nicht, welche Songs du außerhalb von Hit-Dino hörst. Mit „Trennen“ entfernst du die Verbindung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du möchtest Songs hören). Für die Verarbeitung durch Apple gilt die Datenschutzrichtlinie von Apple: apple.com/de/legal/privacy. Die in den Songdaten enthaltenen Spotify-Links werden von der App nicht aufgerufen.

8. Sprechen (Spracheingabe und -ausgabe)

Im Modus „Sprechen“ nutzt Hit-Dino die Spracherkennung und Sprachausgabe deines Browsers. Das Mikrofon wird erst nach deinem Tippen und deiner Erlaubnis im Browser eingeschaltet. Je nach Browser schickt der Browser-Hersteller die Aufnahme zur Erkennung an seine Server (zum Beispiel Google bei Chrome, Apple bei Safari); dafür gelten dessen Datenschutzbestimmungen. Hit-Dino erhält nur den erkannten Text, wertet ihn im Browser aus und speichert ihn nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Werbung (Google AdSense)

Ohne Werbefrei-Abo zeigt Hit-Dino im Web Werbebanner über Google AdSense (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Das Werbeskript und Googles Einwilligungsbanner laden erst, wenn du angemeldet bist, kein Werbefrei-Abo hast und eine Ansicht mit Werbeplatz offen ist; dabei erhält Google deine IP-Adresse und Angaben zu Browser und Gerät.

Zweck: Finanzierung von Hit-Dino durch Anzeigen. Googles Einwilligungsbanner („Datenschutz & Mitteilungen“) folgt dem Standard IAB Transparency & Consent Framework (TCF). Du kannst dort gleichwertig „Akzeptieren“ oder „Ablehnen“ wählen oder Einstellungen vornehmen. Nur wenn du einwilligst, setzen Google und seine Werbepartner Cookies bzw. greifen auf dein Gerät zu und zeigen personalisierte Werbung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Lehnst du ab, setzen wir keine Werbe-Cookies und bieten stattdessen das Werbefrei-Abo an; Hit-Dino bleibt voll nutzbar.

Widerruf: Du kannst deine Entscheidung jederzeit ändern oder widerrufen, über „Datenschutz-Einstellungen“ im Konto-Dialog; der Widerruf ist so einfach wie die Einwilligung. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Google verarbeitet Daten auch in den USA (Google LLC); Google ist nach dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 13). Für die Verarbeitung durch Google gelten dessen Datenschutzbestimmungen: policies.google.com/privacy. Für Konten mit Werbefrei-Abo gibt es keine Werbung, kein Einwilligungsbanner und keine Werbeskripte. Wir richten uns an Nutzer ab 16 Jahren und fragen kein Alter ab; Werbekategorien für Erwachsene sind gesperrt.

10. Zahlungsabwicklung (Paddle)

Das Werbefrei-Abo schließt du im Web über Paddle ab. Verkäufer und Zahlungsabwickler ist Paddle.com Market Ltd. (Judd House, 18-29 Mora Street, London EC1V 8BT, Vereinigtes Königreich) als Wiederverkäufer („Merchant of Record“); Paddle verkauft das Abo im eigenen Namen, erhebt die Umsatzsteuer, stellt Rechnungen aus und wickelt Zahlung, Erstattung und Widerruf ab. Paddle ist für die Daten im Bestellvorgang selbst verantwortlich; es gilt die Datenschutzerklärung von Paddle: paddle.com/legal/privacy.

Im Checkout gibst du bei Paddle deine Zahlungsdaten, Rechnungsangaben und deine E-Mail-Adresse ein; wir erhalten keine Kartendaten. An Paddle übergeben wir die Kennung deines Hit-Dino-Kontos und deine E-Mail-Adresse. Von Paddle erhalten wir Kunden- und Abo-Kennungen, den Status des Abos und das Laufzeitende, um dein Konto werbefrei zu schalten. Den Bestellvorgang öffnet die Seite „Werbefrei bestellen“ (hitdino.de/legal/bezahlen.html), auf die du nach einem Klick auf „Werbefrei werden“ geleitet wirst; nur dort lädt dein Browser das Skript Paddle.js von Paddle (cdn.paddle.com), wobei Paddle unter anderem deine IP-Adresse erhält. Die App selbst lädt kein Skript von Paddle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über das Abo). Paddle kann Daten auch außerhalb des EWR verarbeiten (Vereinigtes Königreich, USA); die Übermittlung stützt sich auf Angemessenheitsbeschlüsse bzw. das Data Privacy Framework und Standardvertragsklauseln.

Käufe in einer iPhone-App wickelt Apple ab; es gilt Apples Datenschutzrichtlinie, und wir erfahren nur den Status des Abos.

11. Daten zum Abo, Tageslimit und Statistik

12. Kündigung und Widerruf

Auf der Seite „Verträge hier kündigen“ kannst du ohne Anmeldung kündigen oder widerrufen. Dafür verarbeiten wir deinen Namen, die E-Mail-Adresse deines Kontos, deinen Hinweis und den Zeitpunkt. Wir speichern die Erklärung mit einer Referenz zum Nachweis (Art. 6 Abs. 1 lit. b und c DSGVO; Art. 6 Abs. 1 lit. f DSGVO für die Beweissicherung) und löschen sie nach Ablauf der gesetzlichen Aufbewahrungs- und Verjährungsfristen. Zum Beenden des Abos geben wir die nötigen Angaben an Paddle weiter. Die Bestätigung schicken wir dir per E-Mail (§ 312k BGB); dafür gehen Name, E-Mail-Adresse, Art, Zeitpunkt und Referenz über den Mailserver unseres E-Mail-Dienstleisters OVH (OVH GmbH, Christophstraße 19, 50670 Köln; Server in der EU), mit dem ein Vertrag zur Auftragsverarbeitung besteht (Art. 28 DSGVO), und eine Kopie an unser Postfach. Zum Schutz vor Missbrauch merkt sich der Server die Zahl der Eingaben je IP-Adresse kurzzeitig im Arbeitsspeicher.

13. Übermittlung in Drittländer

Google und Apple können Daten auch in den USA verarbeiten (Google LLC, Apple Inc.). Beide Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert; die EU-Kommission hat dafür ein angemessenes Schutzniveau festgestellt (Art. 45 DSGVO). Das gilt auch für die Werbung über Google AdSense. Zu Paddle siehe Abschnitt 10.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Schreib dazu einfach an backoffice@innergenius.de. Den Namen änderst du selbst im Konto-Dialog; dort kannst du auch dein Konto löschen und die „Datenschutz-Einstellungen“ zur Werbung ändern. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

15. Kinder

Hit-Dino richtet sich nicht an Kinder unter 16 Jahren. Jüngere nutzen die App bitte nur mit Zustimmung ihrer Eltern.

16. Änderungen

Ändert sich die App oder die Rechtslage, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung mit dem Datum oben.

Privacy policy

Last updated: 25 October 2026 · applies to the Hit-Dino web app (hitdino.de, hitdino.com). The German version is legally binding.

1. Controller

Scheid & Zwiesele, TakeTheNextStep GbR, Schlossweg 16, 69190 Walldorf, Germany
Email: backoffice@innergenius.de · Phone: +49 157 82310391 · Legal notice

2. Principles

3. Server and hosting

All files of the app, including the font, come from our server; we do not use font services such as Google Fonts.

Hit-Dino runs on a server of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Germany, under a data processing agreement (Art. 28 GDPR).

To deliver the pages, the server necessarily processes your IP address, date and time, the requested address and details of your browser. The app itself does not write access logs with IP addresses. To prevent abuse, the server keeps failed sign-in attempts per IP address in memory for at most 15 minutes. Server error messages may contain the requested address. Legal basis: Art. 6(1)(f) GDPR (secure and stable operation).

4. Sign-in and account

With the server, you use Hit-Dino with an account. Sign-in uses Firebase Authentication by Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland), with your Google or Apple account (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland). For this, the start page loads the Firebase library from Google servers (gstatic.com), which gives Google your IP address.

From Google or Apple we receive: an identifier (Firebase UID), your name, your email address (with Apple, a relay address if you choose) and, with Google, the address of your profile picture. Firebase stores your account at Google; we sign you out of Firebase right away and set our own session cookie.

On our server we store for your account:

Legal basis: Art. 6(1)(b) GDPR (providing the app you want to use). The data is kept until you delete your account; sessions expire after 30 days. You can delete your account yourself in the account dialog (“Delete account”); we then delete your account, progress, friendships, sessions, learning allowance and your participation in live rounds and end an existing web subscription at the end of its term. Alternatively, an email to the address above is enough. Statutory retention duties (for example for invoices at Paddle) remain unaffected.

5. Friends, live rounds and ranking

Your friends see your display name, whether you are online, which live round you are in and your place in the ranking. Anyone who opens your invite link sees your display name. In a live round, all players see the display names and moves of the others. Running rounds exist only in the server’s memory; only finished rounds are stored (see section 4). Administrators see the list of accounts with names and can block or delete accounts.

6. Cookies and browser storage

The session cookie, local storage and MusicKit are necessary for features you explicitly use (§ 25(2) no. 2 TDDDG), so we do not ask for consent for them. We use storage and access for advertising only with your consent (§ 25(1) TDDDG). You can delete this data in your browser at any time.

7. Apple Music (“Hear song”)

Songs are played via Apple Music. When you use “Hear song” or open the account dialog, the app loads the MusicKit JS library from Apple servers (js-cdn.music.apple.com). Song data, artwork, 30-second previews and full songs come directly from Apple and are played by MusicKit, which gives Apple your IP address and details about your browser and device. Our server only gives your browser an access key for the Apple Music catalog (developer token); audio never passes through our server and is not stored.

Playing without signing in (guest mode): On the start page you can try the single player without an account. Even then, the app loads MusicKit from Apple to play songs (which gives Apple your IP address), and our server gives your browser the developer token. Guests only hear 30-second previews; “Connect Apple Music” is not available in guest mode. We store nothing for guests: no account, no progress, no best score, neither on the server nor in the browser. Only to limit abuse, the server briefly counts token requests made without signing in per IP address in memory (at most 30 requests per hour); the counter is not stored permanently and expires after an hour or when the server restarts (Art. 6(1)(f) GDPR, legitimate interest in preventing abuse).

If you choose “Connect Apple Music”, you sign in directly with Apple. Apple then gives your browser a key for your subscription (music user token); it stays in your browser and is not sent to us. We do not learn what you listen to outside Hit-Dino. “Disconnect” removes the connection.

Legal basis: Art. 6(1)(b) GDPR (you want to listen to songs). Processing by Apple is governed by Apple’s privacy policy: apple.com/legal/privacy. The Spotify links contained in the song data are not accessed by the app.

8. Voice mode (speech input and output)

In voice mode, Hit-Dino uses your browser’s speech recognition and speech output. The microphone is only turned on after you tap and allow it in the browser. Depending on the browser, the browser vendor sends the recording to its servers for recognition (for example Google for Chrome, Apple for Safari); its privacy terms apply. Hit-Dino only receives the recognised text, evaluates it in the browser and does not store it. Legal basis: Art. 6(1)(b) GDPR.

9. Advertising (Google AdSense)

Without an ad-free subscription, Hit-Dino shows ad banners on the web through Google AdSense (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). The ad script and Google’s consent banner load only when you are signed in, have no ad-free subscription and a view with an ad slot is open; Google then receives your IP address and details about your browser and device.

Purpose: financing Hit-Dino through ads. Google’s consent banner (“Privacy & messaging”) follows the IAB Transparency & Consent Framework (TCF). You can choose “Accept” or “Reject” with equal weight, or open the settings. Only if you consent do Google and its advertising partners set cookies or access your device and show personalised ads (§ 25(1) TDDDG, Art. 6(1)(a) GDPR). If you reject, we set no advertising cookies and offer the ad-free subscription instead; Hit-Dino stays fully usable.

Withdrawal: you can change or withdraw your choice at any time via “Privacy settings” in the account dialog; withdrawing is as easy as consenting. The lawfulness of processing carried out until then remains unaffected.

Google also processes data in the USA (Google LLC); Google is certified under the EU-US Data Privacy Framework (see section 13). Google’s privacy policy applies to its processing: policies.google.com/privacy. Accounts with an ad-free subscription get no ads, no consent banner and no ad scripts. We address users aged 16 and over and do not ask for age; ad categories for adults are blocked.

10. Payment processing (Paddle)

You take out the ad-free subscription on the web through Paddle. The seller and payment processor is Paddle.com Market Ltd. (Judd House, 18-29 Mora Street, London EC1V 8BT, United Kingdom) as reseller (“merchant of record”); Paddle sells the subscription in its own name, collects VAT, issues invoices and handles payment, refunds and withdrawal. Paddle is responsible for the data in the order process itself; Paddle’s privacy policy applies: paddle.com/legal/privacy.

In the checkout you enter your payment details, billing details and email address at Paddle; we do not receive card data. We pass the ID of your Hit-Dino account and your email address to Paddle. From Paddle we receive customer and subscription IDs, the subscription status and the end of the term, so that we can switch your account to ad-free. The checkout is opened by the “Go ad-free” page (hitdino.de/legal/bezahlen.html), which you are taken to after clicking “Go ad-free”; only there does your browser load Paddle’s script Paddle.js (cdn.paddle.com), and Paddle receives your IP address, among other things. The app itself loads no script from Paddle. Legal basis: Art. 6(1)(b) GDPR (subscription contract). Paddle may also process data outside the EEA (United Kingdom, USA); transfers rely on adequacy decisions or the Data Privacy Framework and standard contractual clauses.

Purchases in an iPhone app are handled by Apple; Apple’s privacy policy applies, and we only learn the status of the subscription.

11. Subscription data, daily limit and statistics

12. Cancellation and withdrawal

On the “Cancel contracts here” page you can cancel or withdraw without signing in. For this we process your name, your account email address, your note and the time. We store the declaration with a reference as proof (Art. 6(1)(b) and (c) GDPR; Art. 6(1)(f) GDPR for securing evidence) and delete it after the statutory retention and limitation periods. To end the subscription we pass the necessary details to Paddle. We send you a confirmation by email (Section 312k German Civil Code); for this, your name, email address, the type of declaration, the time and the reference pass through the mail server of our email service provider OVH (OVH GmbH, Christophstraße 19, 50670 Cologne, Germany; servers in the EU), with whom we have a data processing agreement (Art. 28 GDPR), and a copy goes to our mailbox. To prevent abuse, the server briefly keeps the number of submissions per IP address in memory.

13. Transfers to third countries

Google and Apple may also process data in the USA (Google LLC, Apple Inc.). Both are certified under the EU-US Data Privacy Framework, for which the EU Commission has found an adequate level of protection (Art. 45 GDPR). This also applies to advertising through Google AdSense. For Paddle see section 10.

14. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on Art. 6(1)(f) (Art. 21). Just write to backoffice@innergenius.de. You can change your name yourself in the account dialog, where you can also delete your account and change the “Privacy settings” for ads. You can withdraw a consent at any time with effect for the future (Art. 7(3) GDPR).

You can lodge a complaint with a data protection supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, Germany.

15. Children

Hit-Dino is not aimed at children under 16. Younger users should only use the app with their parents’ consent.

16. Changes

If the app or the law changes, we update this policy. The version published here, with the date above, applies.