Datenschutzerklärung

Stand: 19. Oktober 2026
Diese Erklärung beschreibt den Betrieb von Website, Kauf und Lizenzdienst sowie den Newsletter. Eine vollständige englische Fassung folgt unten (Privacy notice, English).

1. Verantwortlicher

Vinzenz van Dyck · Nebelwerk Audio
c/o POSTFLEX PFX-891-590
Emsdettener Straße 10
48268 Greven, Deutschland
E-Mail: [email protected]
Telefon: +49 176 64086121

Ein Datenschutzbeauftragter ist nach den gesetzlichen Vorgaben nicht zu benennen. Post an unsere Anschrift wird von einem Empfangsdienst (Postflex, Greven) angenommen, gelagert und uns zugestellt; Absenderangaben auf Briefen werden dabei von diesem Dienst verarbeitet.

2. Besuch der Produktseite

Die Produktseite setzt keine Analyse- oder Werbe-Cookies ein und verwendet keine Tracking-Dienste. Um zu verstehen, welche Wege auf der Seite genutzt werden, ruft die Seite beim Laden und beim Klick auf einzelne Knöpfe (etwa „Try free“) eine leere Zähladresse auf unserem eigenen Server auf (z. B. /e/try-hero). Diese Aufrufe erscheinen nur zusammengezählt in der Verkehrsstatistik von Cloudflare (Abschnitt 3); es werden dafür keine Cookies gesetzt, keine Kennungen gespeichert, keine Profile gebildet und keine Daten an weitere Dienste übermittelt. Schriften, Bilder und Hörbeispiele werden von unserem Website-Server geladen; Installationsdateien werden aus unserem Download-Speicher bei Cloudflare (R2) unter downloads.nebelwerk.audio ausgeliefert. Inhalte Dritter werden für das Kauffenster von Paddle (Abschnitt 5.1) und die Sicherheitsprüfung Cloudflare Turnstile für die Probelizenz oder eine Newsletter-Anmeldung (Abschnitte 5.3 und 5.5) eingebunden. Beim bloßen Aufruf der Seite lädt Ihr Browser von diesen Anbietern nichts; das Programm von Paddle wird erst geladen, wenn Sie auf „Buy" klicken. Cloudflare Turnstile wird erst geladen, wenn Sie das Formular für die Probelizenz öffnen, auf „Subscribe" klicken oder die Newsletter-Checkbox auswählen. Ab diesem Zeitpunkt werden technische Verbindungsdaten an den jeweiligen Anbieter übermittelt. Technisch notwendige Speicherzugriffe (etwa ein Sitzungsmerkmal während des Kaufvorgangs) sind für diese Funktionen erforderlich; sie sind in den jeweiligen Abschnitten beschrieben. Ein Programm oder Formular von Brevo wird auf der Produktseite nicht eingebunden.

3. Hosting, Schutz und technische Protokolle

Für die Bereitstellung und Absicherung von Website und Lizenzdienst werden technische Anfragedaten verarbeitet, etwa IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und sicheren Angebot (Art. 6 Abs. 1 lit. f DSGVO). Diese Angaben sind für den Aufruf der Seite technisch erforderlich.

Hosting: Fly.io, Inc., 2045 W Grand Ave Ste B PMB 51302, Chicago, IL 60612, USA; Serverstandort Frankfurt am Main. Fly.io verarbeitet die Daten in unserem Auftrag.

Schutz und Auslieferung: Aufrufe von nebelwerk.audio, license.nebelwerk.audio und downloads.nebelwerk.audio laufen über das Netzwerk von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare wehrt Angriffe ab, beantwortet die Namensauflösung der Domain, liefert Downloads aus und leitet Anfragen an unsere Server weiter. Dabei verarbeitet Cloudflare in unserem Auftrag die technischen Anfragedaten und kann für die Abwehr automatisierter Zugriffe technisch notwendige Cookies setzen.

Unsere Anwendungsprotokolle enthalten keine IP-Adressen und keine Lizenzschlüssel im Klartext, sondern pseudonyme, mit einem geheimen Schlüssel gebildete Kurzkennungen (HMAC), die täglich neu gebildet werden, sowie Zeitpunkt, aufgerufene Funktion und Ergebnis. Sie dienen der Fehlersuche und der Missbrauchserkennung. Sie werden nicht bei uns gespeichert, sondern von unserem Hosting-Anbieter Fly.io sieben Tage vorgehalten und danach automatisch gelöscht; wir exportieren oder archivieren sie nicht. Zur Begrenzung massenhafter Anfragen verwenden wir kurzlebige Zähler im Arbeitsspeicher. Für Anfragen nach einer Probelizenz oder Newsletter-Anmeldung speichern wir zusätzlich eine mit einem geheimen Schlüssel gebildete Anschlusskennung mit einem gleitenden Stundenfenster; abgelaufene Einträge entfernen wir im nächsten minütlichen Bereinigungslauf. Davon getrennt bestehen Empfänger- und globale Versandkontingente. Abgeschlossene Kontingenteinträge entfernen wir im minütlichen Bereinigungslauf, sobald sowohl die Reservierung als auch ein gegebenenfalls späterer Versandversuch mindestens 31 Tage zurückliegen. Offene Versandreservierungen bleiben bis zum Versand oder zur Klärung erhalten und werden anschließend nach dieser Regel bereinigt.

4. Kontakt per E-Mail

Wir verarbeiten Kontaktdaten und Nachrichteninhalt, um Ihre Anfrage zu beantworten. Bei Vertragsfragen dient dies der Anbahnung oder Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO); bei anderen Anfragen unserem berechtigten Interesse an der Bearbeitung Ihrer Nachricht (Art. 6 Abs. 1 lit. f DSGVO).

Nachrichten an [email protected] werden derzeit bei INWX GmbH, Prinzessinnenstraße 30, 10969 Berlin, entgegengenommen und an ein Postfach bei Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, weitergeleitet. Diese Anbieter erhalten die für Empfang, Speicherung und Bearbeitung erforderlichen E-Mail-Daten. Ein Umzug auf ein Postfach bei INWX ist geplant; diese Erklärung wird dann angepasst.

Anfragen löschen wir spätestens zwölf Monate nach Abschluss der Bearbeitung. Geschäftliche Korrespondenz, die einen Vertrag betrifft, bewahren wir nach den handels- und steuerrechtlichen Vorschriften auf (Art. 6 Abs. 1 lit. c DSGVO).

5. Kauf, Lizenzmail und Probelizenz

5.1 Kauf über Paddle

Verkäufer der Lizenz ist die im Kauffenster genannte Paddle-Gesellschaft, für Käufer außerhalb der USA und Kanadas Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich (USA: Paddle.com Inc.; Kanada: Paddle.com (Canada) Ltd.). Paddle wickelt Bestellung, Zahlung, Steuern, Rechnung, Widerruf und Erstattungen als eigener Verantwortlicher ab; es gilt die Datenschutzerklärung von Paddle. Wenn Sie auf „Buy" klicken, lädt Ihr Browser das Programm und das Kauffenster von Paddle; ab diesem Zeitpunkt verarbeitet Paddle Ihre Eingaben und kann technisch notwendige Cookies und Speicherzugriffe für den Kaufvorgang und die Betrugsvermeidung nutzen. Wir haben die optionale Funktion, mit der Paddle Kaufabbrecher anschreibt, nicht aktiviert.

Paddle meldet unserem Lizenzdienst, dass eine Bestellung bezahlt oder erstattet wurde. Wir erhalten dabei Ihre E-Mail-Adresse, gegebenenfalls Ihren Namen, Bestell- und Kundenkennung, Betrag, Währung, die Sprache des Kauffensters und den Erstattungsstatus. Wir nutzen diese Daten, um Ihnen den Lizenzschlüssel zuzuordnen, die Lizenzmail zu senden und Erstattungen umzusetzen (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben sind für die Bereitstellung der Lizenz erforderlich. Paddle und wir sind dafür jeweils eigene Verantwortliche und haben die Datenweitergabe vertraglich geregelt. Die von Paddle übermittelte Meldung speichern wir als strukturierten Nachweis der Bestellung und Erstattung. Den vollständigen Inhalt verarbeiteter oder verworfener Paddle-Meldungen entfernen wir im nächsten minütlichen Bereinigungslauf, sobald seit ihrem Eingang 24 Stunden vergangen sind. Noch ungeklärte Rohmeldungen entfernen wir im täglichen Löschlauf nach zwölf Kalendermonaten ab Eingang. Ereigniskennung, Prüfsumme, Status und erforderliche Bestell-/Erstattungsbezüge unterliegen den in Abschnitt 6.3 beschriebenen Nachweisfristen.

Die Bestellseite ruft Ihren Lizenzschlüssel mit der Bestellkennung von Paddle bei unserem Lizenzdienst ab. Die Kennung wird dafür aus der Adresszeile entfernt, bevor die Abfrage startet.

5.2 Versand des Lizenzschlüssels über Resend

Lizenzmails und Bestätigungsmails für Probelizenzen versenden wir über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA); unsere Versanddomain ist dort auf die Region Irland (EU) eingestellt. Dafür werden Empfängeradresse, gegebenenfalls Name, Betreff und Text einschließlich des Lizenzschlüssels an den Maildienst übermittelt. Zweck ist die Zustellung der Lizenz (Art. 6 Abs. 1 lit. b DSGVO). Öffnungs- oder Klickverfolgung nutzen wir nicht. Nach erfolgreichem Versand entfernen wir den Mailinhalt aus unserer Versandwarteschlange. Technische Zustelleinträge löschen wir im täglichen Löschlauf nach 30 Tagen ab Versand; gescheiterte, stornierte oder zur Klärung zurückgestellte Einträge nach 90 Tagen ab diesem Statuswechsel. Noch offene Zustellaufträge bleiben bis zur Klärung gespeichert. Erforderliche Vertragsnachweise werden davon getrennt aufbewahrt (Abschnitt 6.3). Wie lange der Maildienst eigene Zustellprotokolle vorhält, richtet sich nach dessen Bedingungen. Ein Umzug auf INWX (Deutschland) ist geplant.

5.3 Probelizenz („Try free for 14 days")

Wenn Sie eine kostenlose Probelizenz anfordern, übermitteln Sie Ihre E-Mail-Adresse an unseren Lizenzdienst. Zum Schutz des Formulars vor automatisierten Anfragen verwenden wir Cloudflare Turnstile: Ihr Browser führt eine Sicherheitsprüfung durch, bei der Cloudflare Browser- und Verbindungsmerkmale auswertet, und unser Server lässt das Prüfergebnis zusammen mit der IP-Adresse der Anfrage von Cloudflare bestätigen. Cloudflare verwendet diese Merkmale nach eigenen Angaben auch in eigener Verantwortung zur Verbesserung seiner Bot-Erkennung (Turnstile-Datenschutzhinweise von Cloudflare). Ihre E-Mail-Adresse ist nicht Teil dieser Prüfung. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Wir senden Ihnen einen Bestätigungslink, der sieben Tage gültig ist. Nach Ihrer Bestätigung erzeugen wir den Probelizenzschlüssel und zeigen ihn auf der Bestätigungsseite an; per E-Mail wird er nicht versandt, bitte speichern Sie ihn. Die Probe beginnt mit der Schlüsselausstellung und endet mit Ablauf des UTC-Kalendertags, dessen Datum vierzehn Kalendertage nach dem Ausgabedatum liegt. Bestätigungsanfragen und ihre Token entfernen wir im nächsten minütlichen Bereinigungslauf nach acht Tagen ab der Anfrage. Den abgelaufenen Lizenzdatensatz entfernen wir im täglichen Löschlauf nach 30 Tagen ab Ende seines Ablauftags in UTC. Die Bereitstellung der Probe erfolgt auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

Damit pro Adresse nur eine Probelizenz ausgestellt wird, speichern wir danach einen pseudonymen Abgleichwert Ihrer Adresse (mit einem geheimen Schlüssel gebildeter Hash) ohne die Adresse selbst. Für diesen Abgleich behandeln wir Varianten derselben Adresse als eine: ein Zusatz nach „+“ im Namensteil wird nicht berücksichtigt, bei Gmail-Adressen auch Punkte im Namensteil und die Schreibweise „googlemail.com“. Rechtsgrundlage ist unser berechtigtes Interesse, die einmalige Probe nicht durch Mehrfachanmeldungen aushöhlen zu lassen (Art. 6 Abs. 1 lit. f DSGVO); wir prüfen regelmäßig, ob dieser Abgleich weiterhin erforderlich ist. Sie können dem Abgleich aus Gründen Ihrer besonderen Situation widersprechen und die Löschung des Abgleichwerts verlangen; er wird dann entfernt.

5.4 Erforderliche und freiwillige Angaben

Für die Probelizenz benötigen wir eine erreichbare E-Mail-Adresse und die Bestätigung über den zugesandten Link; ohne diese Angaben und Bestätigung können wir keine Probe bereitstellen. Eine Namensangabe für unsere Lizenzverwaltung ist freiwillig. Für die Online-Aktivierung benötigen wir den Lizenzschlüssel und die technisch erforderlichen Verbindungsdaten. Ohne erfolgreiche Prüfung ist keine Erstaktivierung möglich; die Offline-Nutzung einer bereits geprüften Vollversion richtet sich nach dem in Abschnitt 6.1 beschriebenen 90-Tage-Zeitraum. Welche Angaben Paddle für den Kauf benötigt, erläutert Paddle im Checkout.

Zweck und Einwilligung: Wenn Sie sich gesondert anmelden, verwenden wir Ihre E-Mail-Adresse für „Letters from the fog", den Newsletter von Vinzenz van Dyck, handelnd unter Nebelwerk Audio. Er informiert etwa einmal im Monat über Sessions, neue Welten und darüber, was Menschen mit Der Hall gestalten; er dient auch der Werbung für unser Angebot. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für E-Mail-Werbung § 7 Abs. 2 Nr. 2 UWG). Die Anmeldung ist freiwillig und unabhängig von Kauf und Probelizenz. Käufer und Personen mit einer Probelizenz werden nicht automatisch angemeldet.

Bestätigung und Nachweis: Zunächst erhalten Sie eine gesonderte E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst nach Ihrer Bestätigung erhalten Sie den Newsletter. Ohne Bestätigung wird Ihre Adresse nicht für Newsletter-Versand freigegeben; wir schicken keine Erinnerungsmails zur Anmeldung. Für Versand und Einwilligungsnachweis werden Ihre E-Mail-Adresse, der Anmelde- und Bestätigungszeitpunkt, der zugehörige Einwilligungstext und technische Zustell- und Abmeldeinformationen gespeichert. Beim Aufruf des Bestätigungs- oder Abmeldelinks erhält der Versanddienst auch Ihre IP-Adresse und technische Browserinformationen. Unser Lizenzdienst übermittelt Ihre IP-Adresse nicht an Brevo; seine Missbrauchsschutzdaten sind kein Beleg für Ihre Newsletter-Einwilligung.

Versanddienst: Für den Versand setzen wir Brevo als Auftragsverarbeiter ein. Die Nutzungsbedingungen für Kunden in Deutschland nennen die Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland, als Vertragspartner. Zur beteiligten Brevo-Gruppe gehört auch Sendinblue SAS in Paris, Frankreich. Die Verarbeitung ist durch einen Vertrag nach Art. 28 DSGVO geregelt. Nach Brevos Angaben liegen die Datenbanken in der EU (Frankreich, Deutschland und Belgien). Unterauftragnehmer für Infrastruktur und Support sind insbesondere OVH, Google Cloud Platform, Cloudflare und Zendesk sowie Unternehmen der Brevo-Gruppe. Zugriffe aus Drittländern, insbesondere den USA und Indien, sind möglich. Die Garantien umfassen Standardvertragsklauseln mit ergänzenden Maßnahmen und, soweit anwendbar, Angemessenheitsbeschlüsse einschließlich des EU-US Data Privacy Framework. Einzelheiten enthält der Auftragsverarbeitungsvertrag mit Unterauftragnehmerliste (Anhang 3 der Brevo-Nutzungsbedingungen); Kopien der einschlägigen Garantien können Sie bei uns anfordern.

Missbrauchsschutz: Die Newsletter-Anmeldung nutzt die in Abschnitt 5.3 beschriebene Sicherheitsprüfung durch Cloudflare Turnstile mit einer eigenen Prüfung für den Newsletter. Cloudflare erhält dabei keine E-Mail-Adresse von uns. Unser Lizenzdienst speichert keine Newsletter-Abonnentenliste. Er verarbeitet die Adresse für die Weiterleitung der Anmeldung und speichert anschließend nur pseudonyme, mit einem geheimen Schlüssel gebildete Kennungen (HMAC) für Empfängerquoten und die Zuordnung zu Anfragelimits sowie globale Versandzähler. Die Quoten werden im nächsten minütlichen Bereinigungslauf nach 31 Tagen ab dem Versuch gelöscht; Anschlusskennungen und Adresszuordnungen zu Anfragelimits nach Ablauf ihres gleitenden Stundenfensters. Diese Kennungen sind pseudonym, nicht anonym. Rechtsgrundlage ist unser berechtigtes Interesse, unerwünschte Mails und automatisierten Missbrauch zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO). Für technische Anwendungsprotokolle gilt Abschnitt 3, für Sicherungen und die erneute Anwendung von Löschanträgen Abschnitt 6.3.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jedem Newsletter oder durch eine Nachricht an [email protected] widerrufen, ohne zusätzliche Kosten außer den üblichen Übermittlungskosten. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ihre Probelizenz oder gekaufte Lizenz bleibt davon unberührt.

Aufbewahrung: Es gelten folgende Fristen: Die Versandadresse wird bis zur Abmeldung genutzt. Danach wird sie für Newsletter-Versand gesperrt. Nur die erforderliche Adresse und der Sperrvermerk bleiben erhalten, solange wir den Newsletter anbieten und die Sperre zur Beachtung Ihres Widerrufs benötigen; wir prüfen dies jährlich. Einwilligungsnachweise werden während des Abonnements und anschließend bis zum Ende des dritten Kalenderjahres nach dem Jahr des letzten Newsletter-Versands oder des Widerrufs aufbewahrt, je nachdem, welches Ereignis später liegt. Sie werden nach Abmeldung ausschließlich zum Nachweis und zur Rechtsverteidigung verwendet (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO). Die Versandsperre beruht auf unserem berechtigten Interesse, weitere unerwünschte Zusendungen zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Bei einem konkreten Rechtsstreit bleiben nur die dafür nötigen Belege bis zur abschließenden Klärung erhalten.

Unbestätigte Anmeldungen werden nach Ablauf der 30-tägigen Bestätigungsfrist zur Löschung gegeben. Für technische Transaktionsprotokolle und Mailvorschauen gilt eine Speicherdauer von einem Kalendermonat; ihre automatische Löschung kann anschließend bis zu 24 Stunden dauern. Bei angeforderter Einzellöschung von Protokollen kann die technische Umsetzung durch Brevo bis zu 72 Stunden dauern. Erforderliche Einwilligungsnachweise werden vor einer solchen Protokolllöschung gesondert gesichert und nach den vorstehenden Fristen gelöscht. Löschanfragen werden sowohl bei uns als auch beim Versanddienst bearbeitet. Eine Abmeldung beendet den Versand, ist aber keine sofortige Löschung sämtlicher Nachweise oder des notwendigen Sperrvermerks.

6. Lizenzverwaltung

6.1 Aktivierung, Prüfung und Offline-Nutzung

Auf dem Lizenzserver liegen Name (soweit angegeben), E-Mail-Adresse, Lizenzschlüssel, Anlagedatum, Lizenzart und -status sowie gegebenenfalls die Zuordnung zur Bestellung. Der lokal gespeicherte Schlüssel wird beim Start des Plug-ins und danach regelmäßig über eine verschlüsselte Verbindung geprüft; der Server liefert Gültigkeit und Lizenznamen zurück. Dies dient der Bereitstellung und Zuordnung der Lizenz (Art. 6 Abs. 1 lit. b DSGVO). Das Plug-in übermittelt außer der Lizenzprüfung keine Daten.

Nach einer erfolgreichen Prüfung funktioniert die Vollversion bis zu 90 Tage ohne Internetverbindung; zwei Wochen vor Ablauf weist das Plug-in darauf hin. Ist der Dienst nur vorübergehend nicht erreichbar, bleibt die Lizenz in diesem Zeitraum nutzbar. Meldet der Server eine Lizenz als gesperrt, etwa nach einer endgültigen vollständigen Erstattung, endet die Nutzung mit der nächsten Prüfung.

6.2 Erkennung missbräuchlicher Nutzung

Bei Lizenzprüfungen speichert der Dienst den ersten und letzten Prüfzeitpunkt, die Anzahl der Prüfungen und bis zu zehn pseudonyme Kurzkennungen der anfragenden Internetanschlüsse. Diese Kurzkennungen werden mit einem geheimen Schlüssel gebildet (HMAC), täglich neu, und lassen sich ohne diesen Schlüssel nicht in eine IP-Adresse zurückrechnen; IP-Adressen im Klartext speichern wir dabei nicht. Zweck ist die Erkennung unberechtigt weitergegebener Schlüssel; Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Lizenzen (Art. 6 Abs. 1 lit. f DSGVO). Die Anschlusskennungen entfernen wir im täglichen Löschlauf, sobald seit der letzten Prüfung mehr als 30 Tage vergangen sind. Die Anzahl sowie der erste und letzte Prüfzeitpunkt bleiben im Lizenzdatensatz gespeichert; ihre weitere Erforderlichkeit prüfen wir gesondert. Ein zusätzlicher Puffer dieser Prüfdaten im Arbeitsspeicher wird im minütlichen Bereinigungslauf entfernt, sobald mehr als ein Tag ohne weitere Prüfung vergangen ist; bei einem Neustart des Dienstes wird er verworfen. Eine Sperre erfolgt nicht automatisch aufgrund dieser Kennungen, sondern nur nach Prüfung durch uns; wechselnde Anschlüsse allein gelten nicht als Missbrauch. Zugriff hat ausschließlich der Betreiber.

6.3 Aufbewahrung und Löschung

Die Vollversion ist zeitlich unbefristet; den Lizenzdatensatz speichern wir deshalb, solange die Lizenz besteht (Art. 6 Abs. 1 lit. b DSGVO). Wird eine Lizenz gesperrt, etwa nach vollständiger Erstattung, entfernen wir im täglichen Löschlauf nach zwölf Kalendermonaten ab der Sperrung Name, E-Mail-Adresse und Kundenkennung; Lizenzschlüssel, Sperrstatus, Sperrdatum und Bestellkennung bleiben gespeichert, damit der Schlüssel nicht erneut verwendet werden kann und Rückfragen zur Erstattung geklärt werden können (Art. 6 Abs. 1 lit. f DSGVO) sowie, soweit einschlägig, zur Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

Sie können jederzeit die Löschung Ihrer Daten über [email protected] verlangen. Ein Löschantrag führt nicht automatisch zur Sperrung Ihrer Lizenz. Wir prüfen, welche Daten gelöscht werden können und welche zur Erfüllung der fortbestehenden Lizenz oder aufgrund gesetzlicher Pflichten weiterhin erforderlich sind; über Umfang und Gründe einer verbleibenden Verarbeitung informieren wir Sie. Möchten Sie die Lizenz beenden, sagen Sie uns das bitte ausdrücklich.

Vom Lizenzbestand erstellen wir stündlich verschlüsselte Sicherungen und speichern sie bei Cloudflare im Rechtsraum der Europäischen Union. Im stündlichen Bereinigungslauf dünnen wir mehr als sieben Tage alte Sicherungen auf eine pro UTC-Kalendertag aus und löschen Sicherungen, die mehr als 30 Tage alt sind. Gelöschte Kontaktdaten können bis zu dieser Bereinigung noch in älteren Sicherungen enthalten sein. Bei einer Wiederherstellung wenden wir zwischenzeitlich erledigte Löschanträge erneut an, bevor die Datenbank für den Betrieb bereitgestellt wird. Dafür halten wir ein gesondertes pseudonymes Löschjournal mindestens 31 Tage und so lange vor, wie ältere Sicherungen die jeweilige Löschentscheidung benötigen. Das Journal enthält keine Klartext-E-Mail-Adressen; seine Lizenz-, Transaktions- und Abgleichkennungen können weiterhin zuordenbar sein.

7. Empfänger und Übermittlungen außerhalb des EWR

Die in den Abschnitten 1–6 genannten Anbieter erhalten Daten für die dort beschriebenen Zwecke:

Fly.io, Inc. (USA)	Hosting von Website und Lizenzdienst, Serverstandort Frankfurt; Auftragsverarbeiter
Cloudflare, Inc. (USA)	Schutz und Auslieferung, Namensauflösung, Download-Speicher, Speicher für verschlüsselte Sicherungen im Rechtsraum EU; Auftragsverarbeiter — Turnstile teilweise in eigener Verantwortung von Cloudflare
Paddle.com Market Ltd (UK) / Paddle.com Inc. (USA) / Paddle.com (Canada) Ltd.	Verkauf, Zahlung, Steuern, Rechnung, Widerruf, Erstattung; eigener Verantwortlicher
Resend / Plus Five Five, Inc. (USA)	Versand von Lizenz- und Bestätigungsmails; Auftragsverarbeiter
Brevo GmbH (Deutschland), mit Unternehmen der Brevo-Gruppe	Newsletter-Versand und Einwilligungsnachweis; Auftragsverarbeiter, Unterauftragnehmer und Drittlandzugriffe siehe Abschnitt 5.5
INWX GmbH (Deutschland)	Domain und Empfang der Kontakt-E-Mail
Google Ireland Limited (Irland)	Postfach für weitergeleitete Kontakt-E-Mail
Postflex (Greven, Deutschland)	Annahme und Zustellung von Briefpost an unsere Geschäftsanschrift

Ein Serverstandort in Frankfurt schließt einen Zugriff aus einem Drittland nicht automatisch aus. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Übermittlungen an Fly.io, Cloudflare und Resend in den USA stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework; diese drei Anbieter sind in der Liste des US-Handelsministeriums als aktive Teilnehmer geführt (Stand 24. September 2026). Paddle.com Inc. (USA) ist dort nicht zertifiziert; der Datenaustausch mit Paddle ist durch die Standardvertragsklauseln der Europäischen Kommission in den Anhängen des Paddle Data Sharing Addendum abgesichert. Kopien der Vereinbarungen erhalten Sie auf Anfrage.

8. Ihre Rechte

Nach Maßgabe der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes.

Widerspruchsrecht: Gegen Verarbeitungen aufgrund unserer berechtigten Interessen können Sie aus Gründen Ihrer besonderen Situation jederzeit Widerspruch einlegen. Schreiben Sie dazu an [email protected]. Wir prüfen Ihren Widerspruch und teilen Ihnen das Ergebnis sowie gegebenenfalls die Gründe einer fortgesetzten Verarbeitung mit.

Automatisierte Abläufe: Die Anschlusskennungen lösen keine automatische Missbrauchssperre aus. Eine Sperre wegen vermuteter Weitergabe prüfen wir persönlich. Bestätigte vollständige Erstattungen und das Ende einer Probelizenz werden vom Lizenzdienst technisch automatisch umgesetzt. Bei einer aus Ihrer Sicht unzutreffenden Sperre erreichen Sie uns unter [email protected].

Grundlage: DSGVO, insbesondere Art. 6, 13, 15–22, 44 ff., § 327q BGB.

Privacy notice

Version 19 October 2026. This notice describes how the website, the purchase and the licence service operate, and the newsletter.

1. Controller

Vinzenz van Dyck · Nebelwerk Audio, c/o POSTFLEX PFX-891-590, Emsdettener Straße 10, 48268 Greven, Germany, e-mail [email protected], phone +49 176 64086121. No data protection officer is required by law. Letters to our address are received, stored and forwarded to us by a mail-handling service (Postflex, Greven), which processes the sender details on the letters.

2. Visiting the product page

The product page uses no analytics or advertising cookies and no tracking services. To understand which paths on the page are used, the page requests an empty counting address on our own server when it loads and when you click individual buttons (for example “Try free”), such as /e/try-hero. These requests appear only as totals in Cloudflare’s traffic statistics (section 3); no cookies are set, no identifiers stored, no profiles built and no data passed to other services. Fonts, images and audio examples are served from our own web server; installers are delivered from our download storage at Cloudflare (R2) under downloads.nebelwerk.audio. Third-party content is embedded for Paddle's checkout window (section 5.1) and the Cloudflare Turnstile security check for the trial or a newsletter signup (sections 5.3 and 5.5). Merely opening the page loads nothing from these providers; Paddle's program is loaded only when you click "Buy". Cloudflare Turnstile is loaded only when you open the trial form, press "Subscribe" or select the newsletter checkbox. From that moment technical connection data is transmitted to the respective provider. Technically necessary storage access (for example a session marker during checkout) is required for these functions and is described in the respective sections. No Brevo program or form is embedded on the product page.

3. Hosting, protection and technical logs

To provide and secure the website and the licence service we process technical request data such as IP address, time, requested address and browser identifier, based on our legitimate interest in a functioning and secure service (Art. 6(1)(f) GDPR). Providing this data is technically necessary to access the site. Hosting: Fly.io, Inc., 2045 W Grand Ave Ste B PMB 51302, Chicago, IL 60612, USA; servers located in Frankfurt am Main; Fly.io processes data on our behalf. Protection and delivery: requests to nebelwerk.audio, license.nebelwerk.audio and downloads.nebelwerk.audio pass through the network of Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, which blocks attacks, resolves the domain name, serves downloads and forwards requests to our servers; Cloudflare processes the technical request data on our behalf and may set technically necessary cookies to fend off automated access. Our application logs contain no IP addresses and no licence keys in clear text, only pseudonymous short identifiers derived with a secret key (HMAC) and regenerated daily, plus time, requested function and result; they serve troubleshooting and abuse detection. We do not store them ourselves; our hosting provider Fly.io keeps them for seven days and then deletes them automatically; we do not export or archive them. To limit mass requests, we use short-lived counters in memory. For trial or newsletter signup requests we also store a connection identifier derived with a secret key and a rolling one-hour window; expired entries are removed in the next minute-by-minute cleanup. Separate recipient and global sending quotas also apply. Completed quota entries are removed in the minute-by-minute cleanup once both the reservation and any later sending attempt are at least 31 days old. Outstanding sending reservations remain until sending or resolution and are then cleaned up under this rule.

4. Contact by e-mail

We process contact details and message content to answer your enquiry: for contract matters to initiate or perform the contract (Art. 6(1)(b) GDPR), otherwise based on our legitimate interest in handling your message (Art. 6(1)(f) GDPR). Messages to [email protected] are currently received by INWX GmbH, Prinzessinnenstraße 30, 10969 Berlin, Germany, and forwarded to a mailbox at Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland; these providers receive the e-mail data needed to receive, store and handle the message. A move to an INWX mailbox is planned; this notice will then be updated. We delete enquiries no later than twelve months after they are dealt with; business correspondence relating to a contract is retained as required by commercial and tax law (Art. 6(1)(c) GDPR).

5. Purchase, licence e-mail and trial licence

5.1 Purchase via Paddle

The seller of the licence is the Paddle entity named in the checkout: for buyers outside the USA and Canada, Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, United Kingdom (USA: Paddle.com Inc.; Canada: Paddle.com (Canada) Ltd.). Paddle handles the order, payment, taxes, invoice, withdrawal and refunds as an independent controller under its own privacy notice. When you click "Buy", your browser loads Paddle's program and checkout window; from that moment Paddle processes your input and may use technically necessary cookies and storage for the checkout and fraud prevention. We have not enabled Paddle's optional feature that e-mails customers who abandon a checkout.

Paddle notifies our licence service that an order was paid or refunded. We receive your e-mail address, your name where given, order and customer identifiers, amount, currency, the checkout language and the refund status. We use this data to assign your licence key, send the licence e-mail and implement refunds (Art. 6(1)(b) GDPR); it is necessary to provide the licence. Paddle and we are separate controllers and have contractually regulated the data sharing. We keep Paddle's notification as a structured record of the order and refund. The full content of processed or discarded Paddle notifications is removed in the next minute-by-minute cleanup once 24 hours have passed since receipt. Unresolved raw notifications are removed in the daily cleanup after twelve calendar months from receipt. Event identifier, checksum, status and necessary order/refund references are subject to the record-retention rules in section 6.3. The confirmation page fetches your licence key from our licence service using Paddle's order identifier, which is removed from the address bar before the request starts.

5.2 Sending the licence key via Resend

We send licence e-mails and trial confirmation e-mails via Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA); our sending domain there is set to the Ireland (EU) region. The recipient address, name where given, subject and text including the licence key are transmitted to the mail service to deliver the licence (Art. 6(1)(b) GDPR). We use no open or click tracking. After successful sending, we remove the message content from our delivery queue. Technical delivery records are deleted in the daily cleanup after 30 days from sending; failed, cancelled or reconciliation records after 90 days from that status change. Outstanding delivery requests remain until resolved. Necessary contractual records are retained separately (section 6.3). How long the mail service keeps its own delivery logs is governed by its terms. A move to INWX (Germany) is planned.

5.3 Trial licence ("Try free for 14 days")

When you request a free trial licence you send your e-mail address to our licence service. To protect the form against automated requests we use Cloudflare Turnstile: your browser performs a security check in which Cloudflare evaluates browser and connection characteristics, and our server has Cloudflare confirm the result together with the IP address of the request. According to Cloudflare, it also uses these characteristics under its own responsibility to improve its bot detection (Cloudflare Turnstile privacy notice). Your e-mail address is not part of this check. The legal basis is our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR). We send a confirmation link valid for seven days. After you confirm, we create your trial key and show it on the confirmation page; it is not sent by e-mail, so please save it. The trial begins when the key is issued and ends at the end of the UTC calendar date fourteen calendar days after its issue date. Confirmation requests and their tokens are removed in the next minute-by-minute cleanup after eight days from the request. The expired licence record is removed in the daily cleanup after 30 days from the end of its UTC expiry date. The trial is provided at your request (Art. 6(1)(b) GDPR). To issue only one trial per address, we then keep a pseudonymous matching value of your address (a keyed hash) without the address itself (variants of the same address count as one: anything after “+” in the local part is ignored, and for Gmail addresses also dots in the local part and the “googlemail.com” spelling), based on our legitimate interest in keeping the one-time trial from being circumvented (Art. 6(1)(f) GDPR); we regularly review whether this matching is still necessary. You may object to it on grounds relating to your particular situation and request deletion of the matching value; if you request deletion of this matching value, we remove it.

5.4 Required and optional information

The trial requires a reachable e-mail address and confirmation using the link we send; without these we cannot provide a trial. Providing a name for our licence management is optional. Online activation requires the licence key and the connection data technically needed for verification. Initial activation is not possible without a successful check; offline use of an already verified full licence follows the 90-day period described in section 6.1. Paddle explains the information it requires for the purchase during checkout.

Purpose and consent: If you sign up separately, we use your e-mail address for Letters from the fog, the newsletter from Vinzenz van Dyck, trading as Nebelwerk Audio. About once a month, it covers sessions, new worlds and what people create with Der Hall; it also promotes our offering. The legal basis is your consent (Art. 6(1)(a) GDPR; for e-mail advertising, section 7(2) no. 2 of the German Act against Unfair Competition, UWG). Signing up is optional and independent of a purchase or trial. Buyers and trial users are not subscribed automatically.

Confirmation and evidence: First we send a separate e-mail with a confirmation link (double opt-in). You receive the newsletter only after confirming. Without confirmation, your address is not enabled for newsletter delivery; we send no signup reminders. The data stored for delivery and consent records includes your e-mail address, signup and confirmation times, the corresponding consent wording, and technical delivery and unsubscribe information. When you open the confirmation or unsubscribe link, the delivery provider also receives your IP address and technical browser information. Our licence service does not send your IP address to Brevo; its abuse-prevention records are not evidence of newsletter consent.

Delivery provider: We use Brevo as our processor. Its terms for customers in Germany name Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Germany, as the contracting entity. The participating Brevo group also includes Sendinblue SAS in Paris, France. Processing is covered by an agreement under Art. 28 GDPR. Brevo states that its databases are located in the EU (France, Germany and Belgium). Infrastructure and support subprocessors include OVH, Google Cloud Platform, Cloudflare, Zendesk and Brevo group companies. Access from third countries, particularly the USA and India, is possible. The safeguards include standard contractual clauses with additional measures and, where applicable, adequacy decisions including the EU-US Data Privacy Framework. Details are in Brevo's data processing agreement and subprocessor list (Appendix 3 to its terms of service); you can request copies of the applicable safeguards from us.

Abuse prevention: Newsletter signup uses the Cloudflare Turnstile security check described in section 5.3, with a separate check for the newsletter. We do not send your e-mail address to Cloudflare. Our licence service keeps no newsletter subscriber list. It processes the address to forward the signup and then stores only pseudonymous identifiers derived with a secret key (HMAC) for recipient quotas and associations with request limits, together with global sending counters. Quota records are deleted in the next minute-by-minute cleanup after 31 days from the attempt; connection identifiers and address associations with request limits expire after their rolling one-hour window. These identifiers are pseudonymous, not anonymous. The legal basis is our legitimate interest in limiting unwanted e-mails and automated abuse (Art. 6(1)(f) GDPR). Section 3 applies to technical application logs; section 6.3 applies to backups and re-applying erasure requests.

Withdrawal: You can withdraw your consent at any time with effect for the future using the unsubscribe link in every newsletter or by writing to [email protected], at no additional cost beyond ordinary transmission charges. Withdrawal does not affect the lawfulness of processing before withdrawal, or your trial or purchased licence.

Retention: The following periods apply. We use your address for delivery until you unsubscribe, then block it from newsletter delivery. Only the address needed for suppression and its blocked status remain for as long as we offer the newsletter and need the block to respect your withdrawal; we review this annually. We retain consent evidence during the subscription and subsequently until the end of the third calendar year after the year of the last newsletter delivery or withdrawal, whichever is later. After you unsubscribe, it is used solely as evidence and to defend legal claims (Art. 6(1)(c) in conjunction with Art. 5(2) and Art. 7(1) GDPR, and Art. 6(1)(f) GDPR). Suppression is based on our legitimate interest in preventing further unwanted messages (Art. 6(1)(f) GDPR). If there is a specific legal dispute, we retain only the evidence needed for it until the dispute is finally resolved.

We submit unconfirmed signups for deletion after the 30-day confirmation period ends. Technical transactional logs and e-mail previews are retained for one calendar month; automatic deletion may then take up to 24 hours. Where individual log deletion is requested, Brevo may take up to 72 hours to complete it. Necessary consent evidence is secured separately before such log deletion and deleted under the periods stated above. Erasure requests are handled both by us and by the delivery provider. Unsubscribing stops delivery but does not immediately erase all evidence or the necessary suppression record.

6. Licence management

6.1 Activation, verification and offline use

The licence server stores name (where given), e-mail address, licence key, creation date, licence type and status and, where applicable, the link to the order. The locally stored key is verified over an encrypted connection when the plug-in starts and periodically thereafter; the server returns validity and licence name. This serves to provide and assign the licence (Art. 6(1)(b) GDPR). The plug-in transmits nothing beyond the licence check. After a successful check the full version works for up to 90 days without an internet connection; the plug-in warns two weeks before expiry. If the service is only temporarily unavailable, the licence remains usable during that period. If the server reports a licence as blocked, for example after a final full refund, use ends at the next check.

6.2 Detecting abusive use

During licence checks the service stores the first and last check time, the number of checks and up to ten pseudonymous short identifiers of the requesting internet connections. These identifiers are derived with a secret key (HMAC), regenerated daily, and cannot be converted back into an IP address without that key; we do not store IP addresses in clear text. The purpose is to detect keys that have been passed on without authorisation; the legal basis is our legitimate interest in protecting the licences (Art. 6(1)(f) GDPR). Connection identifiers are removed in the daily cleanup once more than 30 days have passed since the last check. The number of checks and the first and last check times remain in the licence record; we separately review whether they are still needed. An additional in-memory buffer of these check data is removed in the minute-by-minute cleanup once more than a day has passed without another check; it is discarded when the service restarts. No licence is blocked automatically on the basis of these identifiers; blocking only follows a review by us, and changing connections alone are not treated as abuse. Only the operator has access.

6.3 Retention and deletion

The full version is perpetual, so we keep the licence record for as long as the licence exists (Art. 6(1)(b) GDPR). If a licence is blocked, for example after a full refund, we remove name, e-mail address and customer identifier in the daily cleanup after twelve calendar months from blocking; licence key, blocked status, blocking date and order identifier remain so that the key cannot be reused and refund queries can be resolved (Art. 6(1)(f) GDPR) and, where applicable, to meet statutory retention duties (Art. 6(1)(c) GDPR). You may request deletion of your data at any time via [email protected]. A deletion request does not automatically block your licence. We check which data can be deleted and which remains necessary to perform the continuing licence or to meet legal obligations, and we inform you about the scope and reasons of any remaining processing. If you wish to end the licence, please tell us so expressly. We create encrypted backups of the licence database hourly and store them with Cloudflare within the European Union. The hourly cleanup thins backups older than seven days to one per UTC calendar day and deletes backups older than 30 days. Deleted contact data may remain in older backups until that cleanup. On restoration, we re-apply erasure requests completed in the meantime before making the database available for operation. For this purpose, we keep a separate pseudonymous erasure journal for at least 31 days and for as long as older backups require the respective erasure decision. The journal contains no clear-text e-mail addresses; its licence, transaction and matching identifiers may still be linkable.

7. Recipients and transfers outside the EEA

The providers named in sections 1–6 receive data for the purposes described there: Fly.io, Inc. (USA; hosting in Frankfurt; processor), Cloudflare, Inc. (USA; protection and delivery, DNS, download storage, encrypted backup storage in the EU; processor, Turnstile partly under Cloudflare's own responsibility), Paddle.com Market Ltd (UK) / Paddle.com Inc. (USA) / Paddle.com (Canada) Ltd. (sale, payment, taxes, invoice, withdrawal, refund; independent controller), Resend / Plus Five Five, Inc. (USA; licence and confirmation e-mails; processor), INWX GmbH (Germany; domain and receipt of contact e-mail), Google Ireland Limited (Ireland; mailbox for forwarded contact e-mail), Postflex (Greven, Germany; receipt and forwarding of letters). A server location in Frankfurt does not by itself exclude access from a third country. An adequacy decision of the European Commission exists for the United Kingdom. Transfers to Fly.io, Cloudflare and Resend in the USA rely on the adequacy decision for the EU-US Data Privacy Framework; these three providers are listed as active participants by the US Department of Commerce (as of 24 September 2026). Paddle.com Inc. (USA) is not certified there; data exchange with Paddle is safeguarded by the European Commission's standard contractual clauses in the annexes to the Paddle Data Sharing Addendum. Copies of the agreements are available on request.

Brevo GmbH (Germany), with Brevo group companies, is our processor for newsletter delivery and consent records. Section 5.5 describes its subprocessors and the safeguards for access from outside the EEA.

8. Your rights

Under the GDPR you may request access, rectification, erasure, restriction of processing and data portability. You may withdraw any consent with effect for the future. You may lodge a complaint with a supervisory authority, in particular where you habitually reside, work or where the alleged infringement occurred.

Right to object: You may object at any time, on grounds relating to your particular situation, to processing based on our legitimate interests. Contact [email protected]. We will assess your objection and explain the outcome, including any grounds for continued processing.

Automated processes: Connection identifiers do not trigger an automatic block for suspected abuse. We personally review suspected sharing. The licence service automatically implements confirmed full refunds and trial expiry. If you believe a block is incorrect, contact us at [email protected].