Spotify

Die Spotify Technology S.A., eine luxemburgische société anonyme (RCS Luxembourg B 123052), ist die Konzernmutter und seit dem 3. April 2018 unter dem Ticker SPOT an der NYSE notiert. Das operative Geschäft wird von der Spotify AB in Stockholm geführt (Bolagsverket org-nr 556703-7485, USt-IdNr. SE556703748501). Für Nutzerinnen und Nutzer im EWR und in Großbritannien ist die Spotify AB der benannte Verantwortliche, für US-Nutzer die Spotify USA Inc. (4 World Trade Center, 150 Greenwich Street, New York, NY 10007, eingetragen in Delaware). Regionale Tochtergesellschaften übernehmen den lokalen Vertrieb und das Marketing in Deutschland, Frankreich, Großbritannien, Spanien, Italien und darüber hinaus.

Spotify erklärt im 20-F für das Geschäftsjahr 2025, dass die Google Cloud Platform „the vast majority of our primary data storage (including personal data of users and audio data licensed from rights holders) and computing“ bereitstellt. Die Edge-Schicht wird über Fastly mit europäischen Points of Presence ausgeliefert (z. B. München für DACH-Traffic). Spotify nennt keine konkrete GCP-Region für EU-Nutzer und bietet keinen Tarif mit ausschließlicher EU-Datenhaltung an; internationale Datenübermittlungen stützen sich auf Standardvertragsklauseln (SCCs) mit technischen Schutzmaßnahmen wie Verschlüsselung und Pseudonymisierung.

Ja, in dreierlei Hinsicht. (1) Die luxemburgische Mutter Spotify Technology S.A. reicht als Foreign Private Issuer jährlich 20-F-Berichte bei der SEC ein und unterliegt dem US-Wertpapierrecht. (2) Die Spotify USA Inc. (Delaware) ist der benannte Verantwortliche für US-Nutzer und damit unmittelbar dem CLOUD Act, FISA 702 und weiteren US-Maßnahmen im Bereich der nationalen Sicherheit unterworfen. (3) Spotifys primärer Cloud-Anbieter (Google LLC) sowie mehrere namentlich benannte operative Unterauftragsverarbeiter (Okta Inc., Fastly Inc., OneTrust) sind in den USA eingetragen. Für EWR-Nutzer ist unmittelbar die Spotify AB in Schweden Verantwortlicher, die zugrunde liegende Speicherung und Verarbeitung läuft jedoch auf US-betriebener Infrastruktur.

Die Gründer Daniel Ek und Martin Lorentzon hielten zum 31. Dezember 2025 zusammen 69,3 % der Stimmrechte (28,8 % bzw. 40,5 %) über die zweistufige Beneficiary-Certificate-Struktur. Tencent Holdings hält über mehrere Holdinggesellschaften in Hongkong (Tencent Music Entertainment Hong Kong, Image Frame Investment, Tencent Mobility, Distribution Pool) rund 9 % am wirtschaftlichen Eigenkapital; diese Anteile unterliegen jedoch einer unwiderruflichen Stimmrechtsvollmacht zugunsten von Daniel Eks D.G.E. Investments und vermitteln daher keine Stimmrechte. Der verbleibende Streubesitz liegt bei US-amerikanischen und globalen institutionellen Investoren.

Lediglich Spotify for Backstage, die Developer-Portal-SaaS, lässt öffentlich nachvollziehbar jährlich eine SOC-2-Prüfung durch einen externen Prüfer durchführen (Bericht unter NDA erhältlich über [email protected]). Für den Hauptdienst des Consumer-Streamings veröffentlicht Spotify keine Zertifizierungsseite; Angaben von Drittanbieter-Aggregatoren zu ISO 27001, SOC 2, PCI DSS, HIPAA oder FedRAMP für das Streaming-Produkt werden durch keine von Spotify selbst veröffentlichte URL belegt. Spotifys öffentliche Zusagen für den Consumer-Dienst beziehen sich auf die Einhaltung der DSGVO und des EU Digital Services Act und nicht auf herstellerneutrale Sicherheitszertifizierungen.

Ja. Über die Datenschutzeinstellungen von Spotify stehen drei Datenexport-Pakete nach DSGVO bereit -- Kontodaten, erweiterte Streaming-Historie und technische Logs -- die innerhalb von 30 Tagen bereitgestellt werden. Die Kontolöschung erfolgt im Self-Service über denselben Ablauf. Die Datenschutzerklärung beschreibt die Aufbewahrungskriterien kategorisch und nennt kein konkretes Aufbewahrungsfenster nach der Löschung; Datenschutzkontakt ist [email protected], Verantwortlicher für den EWR ist die Spotify AB (ein gesonderter Vertreter nach Art. 27 DSGVO wird nicht benannt, da die Spotify AB innerhalb des EWR ansässig ist).