Datenschutzerklärung

1. Verantwortlicher

Für alle Fragen zum Datenschutz und um deine Rechte geltend zu machen, genügt eine formlose E-Mail an diese Adresse. Ein Datenschutzbeauftragter ist nicht bestellt, weil dafür keine gesetzliche Pflicht besteht.

2. Das Wichtigste in Kürze

• Wir verarbeiten nur Daten, die wir brauchen, um Creator und gastronomische Betriebe zusammenzubringen.
• Keine Werbe- oder Analyse-Tracker, keine Social-Media-Plugins, keine eingebundenen Inhalte Dritter.
• Höchstens ein Cookie, und nur, wenn sich ein Betrieb oder der Admin anmeldet.
• Server, Datenbank und Dateispeicher stehen in Frankfurt am Main.
• Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

3. Besuch der Website

Die Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, auf Servern in Frankfurt am Main betrieben. Bei jedem Aufruf verarbeitet Vercel automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Browser und Betriebssystem. Diese Daten landen kurzzeitig in Server-Protokollen.

Zweck und Rechtsgrundlage: Ohne diese Verarbeitung kann die Seite nicht ausgeliefert werden. Die Protokolle brauchen wir außerdem, um Fehler zu finden und Angriffe zu erkennen. Das ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Vercel löscht die Protokolle nach kurzer Zeit automatisch. Wir führen sie nicht mit anderen Daten zusammen.

Schriftarten und alle anderen Dateien liefern wir selbst aus. Beim Besuch werden also keine Daten an Google Fonts oder andere Dritte übertragen.

4. Cookies

Wenn sich ein Betrieb oder der Admin anmeldet, setzen wir ein einziges Cookie namens mcp_session. Es enthält verschlüsselt, wer angemeldet ist, und läuft nach sieben Tagen oder beim Abmelden ab. Ohne dieses Cookie funktioniert der Login nicht. Es ist deshalb unbedingt erforderlich und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung der darin enthaltenen Daten stützen wir auf Art. 6 Abs. 1 lit. b DSGVO.

Creator und alle Besucher ohne Login bekommen kein Cookie. Wir nutzen auch keinen lokalen Speicher deines Browsers.

5. Registrierung als Creator

Welche Daten: Plattform, Handle, Anzahl der Follower, E-Mail-Adresse, Postleitzahl, Küchen, Sprachen, Beispiel-Posts und ein Screenshot deiner Insights, also der Statistik deines Accounts. Freiwillig sind Telefonnummer, Preis pro Post und ein Text über dich. Aus der Postleitzahl ermitteln wir Ort und ungefähre Lage, um die Entfernung zu Betrieben zu berechnen.

Wofür: Wir prüfen anhand deiner Angaben, deines öffentlichen Profils und des Screenshots, ob dein Account echt ist und zu uns passt. Danach schlagen wir dich für passende Kampagnen vor und schicken dir Anfragen per E-Mail.

Mindestalter: Wir vermitteln nur Creator ab 18 Jahren, weil Kooperationen Vereinbarungen sind, für die Minderjährige die Zustimmung ihrer Eltern bräuchten. Das bestätigst du bei der Registrierung.

Wenn wir dein Profil ablehnen: Wir löschen sofort dein Profil mit allen Kontaktdaten, dem Insights-Screenshot, deinen Anfragen und deinem persönlichen Link. Für zwölf Monate behalten wir nur Plattform, Handle, den Grund der Ablehnung und das Datum. So erkennen wir eine erneute Registrierung desselben Accounts und können unsere Entscheidung nachvollziehen (Art. 6 Abs. 1 lit. f DSGVO). Danach löschen wir auch diese Angaben automatisch, und du kannst dich neu registrieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Du registrierst dich, damit wir dir Kooperationen vermitteln, und dafür brauchen wir diese Daten.

Wer deine Daten sieht:

• Der Admin sieht alle Angaben einschließlich des Insights-Screenshots. Den Screenshot sieht nur er.
• Ein Betrieb sieht nur Creator, die für eine seiner Kampagnen angefragt wurden, und von ihnen Handle, Plattform, Follower, den Text über dich und die Beispiel-Posts.
• E-Mail-Adresse und Telefonnummer sieht ein Betrieb erst, wenn du seiner Anfrage zugesagt und er dich bestätigt hat, damit ihr den Besuch absprechen könnt.

Dein persönlicher Link: Statt eines Passworts bekommst du einen Link per E-Mail. Gib ihn nicht weiter: Wer ihn hat, kann deine Anfragen sehen und beantworten. Wenn er in falsche Hände geraten ist, schreib uns. Wir sperren ihn dann sofort und schicken dir einen neuen.

6. Registrierung als Betrieb

Welche Daten: Name, Art und Küche des Betriebs, Adresse, Name und Telefonnummer der Ansprechperson sowie E-Mail-Adresse und Passwort für den Login. Freiwillig sind Kurzbeschreibung, Instagram, Website und Google-Maps-Link. Das Passwort speichern wir nur als nicht umkehrbaren Hash. Niemand, auch nicht der Admin, kann es lesen.

Wofür und Rechtsgrundlage: Um dein Konto zu führen, Kampagnen anzulegen und dir passende Creator zu vermitteln (Art. 6 Abs. 1 lit. b DSGVO).

Wer deine Daten sieht: Creator, die eine Anfrage bekommen, sehen Name, Postleitzahl und Ort, Beschreibung und Instagram des Betriebs. Adresse, Ansprechperson und Telefonnummer sehen nur Creator, die du für eine Kampagne bestätigt hast.

7. Kampagnen und Anfragen

Zu jeder Anfrage speichern wir, wann sie verschickt, beantwortet und bestätigt wurde, die berechnete Entfernung und den Grund, falls ein Betrieb absagt. Nach dem Besuch kommen der Link zum veröffentlichten Beitrag und die Angabe hinzu, ob er geliefert wurde. So können beide Seiten den Ablauf nachvollziehen (Art. 6 Abs. 1 lit. b DSGVO).

Sobald ein Betrieb die Kontaktdaten eines Creators erhalten hat oder umgekehrt, ist jede Seite für die eigene Nutzung dieser Daten selbst verantwortlich. Sie dürfen sie nur nutzen, um den Besuch abzusprechen.

8. E-Mails

Wir schicken nur E-Mails, die zum Ablauf gehören: den persönlichen Link nach der Registrierung, Anfragen, Zusagen und Absagen, Hinweise zu Beiträgen sowie Benachrichtigungen an den Admin über neue Registrierungen und Kampagnen. Keinen Newsletter und keine Werbung.

Für den Versand nutzen wir Resend (Plus Five Five, Inc., USA). Resend erhält dafür Empfängeradresse, Betreff und Inhalt der Mail und speichert diese Daten in den USA. Wir werten nicht aus, ob oder wann eine Mail geöffnet oder ein Link darin angeklickt wird.

9. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Adresse und deine Nachricht, um dir zu antworten. Geht es um deine Registrierung oder eine Kampagne, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Nachricht, sobald die Sache erledigt ist.

10. Schutz vor Missbrauch

Mehrfach-Registrierungen: Bei jeder Registrierung als Creator oder Betrieb speichern wir zu deinem Profil einen mit einem geheimen Schlüssel gebildeten Prüfwert (Hash) deiner IP-Adresse, nicht die IP-Adresse selbst. Kommen mehrere Registrierungen von derselben Internetverbindung, sieht der Admin einen Hinweis und kann genauer prüfen, ob es sich um Spam oder Fake-Accounts handelt. Der Hinweis führt nie automatisch zu einer Ablehnung, denn auch gemeinsames WLAN kann der Grund sein. Nach 30 Tagen löschen wir den Prüfwert automatisch.

Zu viele Versuche: Damit niemand Passwörter durchprobiert, massenhaft Konten anlegt oder über unser Formular fremde Postfächer mit Mails flutet, zählen wir Login- und Registrierungsversuche: pro IP-Adresse, pro E-Mail-Adresse und pro Creator-Profil. Gespeichert wird dabei weder die IP- noch die E-Mail-Adresse, sondern nur ein mit einem geheimen Schlüssel gebildeter Prüfwert (Hash). Die Einträge gelten höchstens eine Stunde und werden danach automatisch gelöscht.

Rechtsgrundlage für beides ist unser berechtigtes Interesse an einem sicheren Betrieb ohne Spam und am Schutz unserer Nutzer (Art. 6 Abs. 1 lit. f DSGVO).

11. Dienstleister und Übermittlung in die USA

Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO):

• Vercel Inc. (USA): Hosting der Website und Speicherung der Insights-Screenshots, Standort Frankfurt am Main.
• Neon, Inc. (USA): Datenbank, Standort Frankfurt am Main (Amazon Web Services).
• Plus Five Five, Inc. (Resend) (USA): Versand von E-Mails, Speicherung in den USA.

Alle drei Unternehmen haben ihren Sitz in den USA. Auch wenn die Daten in Frankfurt liegen, ist ein Zugriff aus den USA nicht ausgeschlossen. Die Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO). Zusätzlich gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Andere Empfänger gibt es nicht, außer wir sind gesetzlich verpflichtet, Daten an Behörden herauszugeben.

12. Wie lange wir Daten speichern

• Profile und Konten: solange du dabei bist. Auf Wunsch löschen wir dein Profil oder Konto mit allen Angaben und dem Insights-Screenshot.
• Abgelehnte Creator-Profile: Profil sofort gelöscht, Plattform, Handle, Grund und Datum nach zwölf Monaten (siehe Abschnitt 5).
• Anfragen und Kampagnen: solange das Konto des Betriebs besteht. Löscht ein Creator sein Profil, löschen wir auch seine Anfragen.
• Prüfwert der IP-Adresse bei der Registrierung: 30 Tage.
• Server-Protokolle und Zähler gegen zu viele Versuche: wie in Abschnitt 3 und 10 beschrieben.

Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.

13. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Passwörter speichern wir nur als Hash, Insights-Screenshots sind nicht öffentlich abrufbar, und auf die Verwaltung hat nur der Admin Zugriff.

14. Keine automatisierten Entscheidungen

Die App schlägt passende Creator anhand von Entfernung, Küche, Followern und Preis vor. Wer angefragt wird, entscheidet immer ein Mensch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

15. Musst du deine Daten angeben?

Gesetzlich bist du dazu nicht verpflichtet. Die Pflichtfelder in den Formularen und die Bestätigung, dass du mindestens 18 Jahre alt bist, brauchen wir aber, um dich zu prüfen und zu vermitteln. Ohne sie ist eine Registrierung nicht möglich. Freiwillige Angaben kannst du weglassen, ohne Nachteile.

16. Deine Rechte

Du hast jederzeit das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Schreib uns dafür einfach eine E-Mail. Die Auskunft schicken wir dir mit allen gespeicherten Angaben, deinen hochgeladenen Bildern und einer maschinenlesbaren Datei. Zu deinem Schutz geht sie immer an die E-Mail-Adresse, die bei uns hinterlegt ist, damit niemand sich als dich ausgeben und deine Daten anfordern kann.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

17. Änderungen

Wenn sich die Website oder unsere Dienstleister ändern, passen wir diese Erklärung an. Es gilt die Fassung, die hier zum Zeitpunkt deines Besuchs steht.