diff --git a/README.md b/README.md
index 17bd81a..a55633d 100644
--- a/README.md
+++ b/README.md
@@ -195,6 +195,49 @@ aussen — kein anderer Rechner kommt mehr direkt ran.
    Schritt 4b ab. Traffic ist ab hier durchgehend TLS-verschluesselt, kein
    SSH-Tunnel mehr noetig.
 
+## Toolsets aktivieren (Spotify & Co.)
+
+**Neu, sonst fragt Hermes nie nach Zugangsdaten und antwortet stattdessen mit
+"ich hab keinen Zugriff auf Spotify/dein Handy/etc." — kein Bug, nur
+unkonfiguriert:** Hermes' Toolsets (Spotify, Kalender, Browser, …) sind bei
+einer frischen Installation ALLE deaktiviert, komplett Opt-in pro Plugin.
+Solange nichts eingeschaltet ist, schickt Hermes gar kein `tools`-Feld an
+unseren Proxy — Claude sieht ehrlich keine Tools und antwortet entsprechend
+ehrlich "kann ich nicht", obwohl der Proxy selbst (`openai-to-cli.js`)
+technisch laengst faehig ist, `<tool_call>`-Tools zu injizieren (genau
+derselbe Mechanismus wie bei ARIA).
+
+**Toolset einschalten** (interaktives TUI im Container):
+```bash
+docker exec -it hermes-agent hermes tools
+```
+Zum gewuenschten Plugin runterscrollen (z.B. `🎵 Spotify`), mit Leertaste an,
+mit `s` speichern.
+
+**Login/OAuth fuers Toolset:**
+```bash
+docker exec -it hermes-agent hermes auth spotify
+```
+Bei Spotify z.B. keine geteilte Drittanbieter-App — Hermes fuehrt Dich durch
+das Anlegen einer eigenen minimalen Spotify-Dev-App (nur Client-ID, kein
+Secret, PKCE-Flow) auf `developer.spotify.com/dashboard` inkl. der
+einzutragenden Redirect-URI (`http://127.0.0.1:43827/spotify/callback`).
+
+Der Login-Callback-Server laeuft dabei IM Container/auf der Remote-Maschine —
+fuer den Abschluss im lokalen Browser einmalig ein SSH-Port-Forward
+aufmachen:
+```bash
+ssh -N -L 43827:127.0.0.1:43827 <user>@<hermes-maschine>
+```
+
+Hinweis: Free-Spotify-Account reicht fuer Suche/Playlists/Library, fuer
+echte Playback-Steuerung (play/pause/skip auf einem Geraet) braucht's
+Spotify Premium.
+
+Gilt analog fuer jedes andere Toolset (Kalender, Browser, etc.) — immer
+zuerst `hermes tools` (einschalten), dann `hermes auth <name>` falls das
+Plugin OAuth/Login braucht.
+
 ## Mobiler Client (Android)?
 
 Zwei GRUNDVERSCHIEDENE Richtungen, nicht verwechseln: