Datenschutzerklärung

Verantwortlich für die Verarbeitung im Sinne der Datenschutz-Grundverordnung ist:

Vertreten durch die Geschäftsführung: Melanie Lohse, Thorsten Lohse. Weitere Angaben im Impressum.

CultureMatch bringt Marken, Agenturen und Creator zusammen. Dazu legen Nutzerinnen und Nutzer ein Profil an, Auftraggeber schreiben Kampagnen aus, die Plattform schlägt passende Creator vor, und die Zusammenarbeit läuft anschließend über Verträge, Freigaben, Abrechnung und Auswertung im selben System.

Personenbezogene Daten entstehen dabei an drei Stellen: bei der Anmeldung und im Profil, während der Zusammenarbeit in einer Kampagne, und im Betrieb der Anwendung selbst (Protokolle, Sicherungen).

Beim Aufruf werden vom Vorschaltserver technische Angaben verarbeitet: IP-Adresse, Zeitpunkt, abgerufene Adresse, übertragene Datenmenge, Browserkennung. Das ist zum Betrieb und zur Abwehr von Angriffen erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Es gibt keine Werbe- oder Analysedienste, keine eingebundenen Schriftarten von fremden Servern, keine Zählpixel und keinen Dienst eines Dritten, der beim Seitenaufruf mitliest. Ein Zustimmungsbanner für Cookies gibt es deshalb nicht — es wäre keines nötig.

Gesetzt wird genau ein Cookie: creatorhub_session. Es enthält die Kennung der Anmeldesitzung, ist für Skripte unzugänglich (HttpOnly), wird nur über eine verschlüsselte Verbindung übertragen (Secure) und läuft nach 30 Tagen ab. Ohne dieses Cookie ist keine Anmeldung möglich; es ist damit technisch erforderlich im Sinne des § 25 Abs. 2 TDDDG und bedarf keiner Einwilligung.

Die folgende Übersicht stammt aus demselben Verzeichnis, nach dem die Anwendung Auskunft erteilt, exportiert und löscht. Sie ist damit keine Beschreibung des Gewollten, sondern des Tatsächlichen.

Die zehnjährigen Fristen bei Verträgen, Rechnungen und Prüfprotokoll folgen den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB). Ein Löschverlangen führt dort nicht zum Entfernen, sondern zur Einschränkung der Verarbeitung.

Über das Vertragsverhältnis hinaus fragen wir an einzelnen Stellen um Ihre Einwilligung. Sie ist freiwillig, und Sie können sie jederzeit unter Konto und Datenschutz widerrufen. Der Widerruf wirkt ab sofort; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt unberührt.

• Allgemeine Geschaeftsbedingungen (erforderlich) — Grundlage des Nutzungsverhaeltnisses.
• Datenschutzhinweise (erforderlich) — Kenntnisnahme der Verarbeitung nach Art. 13 DSGVO.
• Werbliche Ansprache (freiwillig) — Freiwillig. Der Widerruf gilt sofort und wirkt in Vertrieb und Automatisierung.
• Oeffentliche Sichtbarkeit des Profils (freiwillig) — Freiwillig. Ohne sie ist das Profil nur fuer Auftraggeber sichtbar, mit denen bereits eine Zusammenarbeit besteht.
• Auswertung durch KI-Agenten (freiwillig) — Freiwillig. Betrifft Profilanalysen und Vorschlaege, nicht die Sicherheitspruefungen.
• Abruf von Reichweitendaten bei Dritten (freiwillig) — Freiwillig. Erlaubt den Abruf oeffentlicher Reichweitenzahlen zu Ihren Plattformkonten bei einem Datenanbieter. Dass die Zahlen oeffentlich sind, genuegt als Grundlage nicht: Sie zusammenzufuehren und zu bewerten ist eine eigene Verarbeitung. Ohne diese Einwilligung wird nichts abgerufen; es bleibt bei Ihrer Selbstauskunft.

Personenbezogene Daten geben wir nur weiter, soweit es für den Betrieb erforderlich ist oder Sie eingewilligt haben. Eingesetzt werden:

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur — Betrieb des Servers in einem Rechenzentrum in Deutschland sowie Versand der E-Mails über ein dortiges Postfach.
• Andere Nutzerinnen und Nutzer der Plattform. Das ist kein Nebensatz: Ein Profil wird Auftraggebern gezeigt, und in einer Kampagne sehen die Beteiligten einander. Wie weit ein Creator-Profil über bestehende Zusammenarbeiten hinaus sichtbar ist, steuert die Einwilligung „Öffentliche Sichtbarkeit des Profils".
• Kein Zahlungsdienstleister. Im derzeitigen Betrieb fließt kein Geld; es werden keine Zahlungsdaten an Dritte übermittelt.
• Anthropic PBC, USA — Auswertung von Profil- und Kampagnentexten durch ein Sprachmodell, nur bei erteilter Einwilligung „Auswertung durch KI-Agenten". Die Übermittlung erfolgt in die USA auf Grundlage der Standardvertragsklauseln der EU-Kommission.
• Meta Platforms Ireland Ltd. — nur, wenn Sie auf der Startseite den Knopf „Hast du Fragen?" benutzen. Dabei wechseln Sie zu WhatsApp und teilen Meta Ihre Telefonnummer und den Nachrichteninhalt mit. Sie müssen diesen Weg nicht gehen; E-Mail und Telefon stehen im Impressum.

Hochgeladene Dateien (Profilbilder, Nachweise, Kampagnenmaterial) liegen in einem Objektspeicher auf demselben Server. Sicherungen werden verschlüsselt abgelegt.

Die Plattform berechnet, wie gut ein Creator zu einer Kampagne passt, und stellt das Ergebnis mit Teilnoten und einer Begründung dar. Diese Berechnung ist eine Entscheidungshilfe, keine Entscheidung: Wer angefragt, beauftragt und bezahlt wird, entscheidet ein Mensch beim Auftraggeber. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Sicherheitsbezogene Prüfungen — etwa Hinweise auf auffälliges Verhalten — laufen unabhängig von der Einwilligung zur KI-Auswertung; sie sind zum Schutz aller Beteiligten erforderlich (Art. 6 Abs. 1 lit. f DSGVO).

Creator können ihr Konto auf einer Plattform mit ihrem Profil verbinden. Das ist freiwillig und dient einem einzigen Zweck: Die Reichweitenzahlen im Profil stammen dann aus der Plattform selbst und nicht aus einer Selbstauskunft. Auftraggeber sehen damit belegte Zahlen, und der Creator weist nach, dass der Kanal ihm gehört.

Was wir abrufen. Bei YouTube über die Google-Schnittstelle mit der Berechtigung youtube.readonly: Kanalkennung, Kanalname, Kanalbeschreibung, Kanal-Handle, Kanalbild, Land, Erstellungsdatum des Kanals, Abonnentenzahl, Anzahl der Videos und Gesamtaufrufe. Bei Pinterest, TikTok und Instagram die entsprechenden Angaben zum Konto und dessen Reichweite.

Was wir nicht abrufen. Keine E-Mail-Adresse, keine Kontakte, keine privaten Nachrichten, keine Kommentare, keine Videoinhalte und nichts, was über die oben genannten Angaben hinausgeht. Wir schreiben nichts in Ihren Kanal und ändern dort nichts — die Berechtigung erlaubt ausschließlich Lesen.

Rechtsgrundlage. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt im Zustimmungsbildschirm der jeweiligen Plattform. Ohne Verbindung funktioniert Ihr Profil ebenso; die Zahlen tragen dann den Vermerk „Selbstauskunft".

Speicherdauer. Die abgerufenen Angaben werden bei Ihrem Profil gespeichert und regelmäßig aktualisiert, solange die Verbindung besteht. Trennen Sie die Verbindung, löschen wir die Zugangsschlüssel sofort und rufen nichts mehr ab. Die zuletzt abgerufenen Zahlen bleiben als Verlauf erhalten, solange Ihr Konto besteht — sie sind Teil Ihrer Profilhistorie; Sie können ihre Löschung verlangen (Abschnitt 10).

Weitergabe. Die Angaben erscheinen in Ihrem Profil und sind damit für Auftraggeber sichtbar, denen Ihr Profil angezeigt wird. Darüber hinaus geben wir sie nicht weiter. Wir verwenden sie nicht für Werbung, verkaufen sie nicht und nutzen sie nicht zum Trainieren von KI-Modellen.

Widerruf. Jederzeit in Ihrem Profil unter „Plattformkonten" durch Trennen der Verbindung. Zusätzlich können Sie den Zugriff bei Google unter myaccount.google.com/permissions entziehen; bei den übrigen Plattformen in deren Kontoeinstellungen.

Die Verwendung von Daten aus Google-Schnittstellen durch CultureMatch richtet sich nach der Google API Services User Data Policy einschließlich der dort geregelten Limited-Use-Anforderungen.

Sie haben uns gegenüber folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17), soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem gängigen Format (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3), mit Wirkung für die Zukunft

Auskunft, Export und Löschung können Sie unmittelbar in der Anwendung auslösen: Konto und Datenschutz. Wir antworten innerhalb eines Monats; ist ein Antrag umfangreich, kann sich die Frist um zwei Monate verlängern — darüber informieren wir Sie dann.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Die Verbindung ist durchgehend verschlüsselt (TLS). Passwörter werden nicht im Klartext gespeichert. Für Konten mit Verwaltungsrechten und für alle Vorgänge, bei denen Geld bewegt wird, ist eine Zwei-Faktor-Anmeldung verpflichtend. Jeder sicherheitsrelevante Vorgang wird in einem verketteten Prüfprotokoll festgehalten, das nachträgliche Änderungen sichtbar macht.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Das Datum oben nennt den letzten Stand. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer gesondert.