1. Controller

The controller within the meaning of the General Data Protection Regulation is Hasanbaba KG, Kirchenbühl 562, 6952 Hittisau, Austria, FN 645893 v (Regional Court of Feldkirch), email [email protected], phone +43 664 1822552.

No data protection officer has been appointed. Please direct data protection enquiries to the address above.

2. Whose data is processed

• Customers requesting or concluding a booking: account and contact details, billing and payment data, the content of the request and the brief.
• Creators offering services: account and contact details, profile information including photos and work samples, information on reach, date of birth, tax identification number with the issuing country, tax status, payout method and payout data (bank details or PayPal address), self-uploaded videos, and the documents evidencing identity and address (point 5a).
• Both sides: messages and files relating to an order, timestamps within the booking process, usage and log data.
• Visitors without an account: the technical data that arises when a page is requested.

3. Purposes and legal bases

• Creating and maintaining the account, displaying profiles, concluding and handling bookings including payment protection and payout — Art 6(1)(b) GDPR (contract and pre-contractual steps).
• Invoicing, accounting and tax record-keeping obligations — Art 6(1)(c) GDPR in conjunction with fiscal legislation.
• Reporting sellers and their remuneration to the tax office under the Austrian Digital Platforms Reporting Act (DAC7, point 5b) — Art 6(1)(c) GDPR.
• Referral programmes: assigning referred creators and customers to the referring creator and calculating their share (point 9b) — Art 6(1)(b) GDPR towards the referring creator, Art 6(1)(f) GDPR towards those referred.
• Assessing and deciding a dispute, including reviewing the messages of the order concerned — Art 6(1)(b) GDPR, supplemented by (f) (fraud prevention, handling refunds).
• Operational security, prevention of abuse, logging of access — Art 6(1)(f) GDPR.
• Sending messages about the progress of a booking (request received, acceptance, delivery, deadlines) — Art 6(1)(b) GDPR. These messages are part of processing the booking and are not advertising.
• Storing consent to non-essential cookies and evaluating the relevant categories — Art 6(1)(a) GDPR; recording the choice itself rests on Art 6(1)(c) GDPR (duty to demonstrate consent).

4. Messages on the platform and review in a dispute

Customer and creator can exchange messages and files for each order. These messages belong firmly to that order. Three further routes produce messages, and this point does not apply to them: messages between two accounts that have connected through the connect feature, messages in group chats of connected accounts, and messages you address directly to creatordeal. What applies to those is set out at the end of this point.

In normal operation the operator has no read access to the messages relating to an order. Only when a dispute is reported for an order is that one thread made readable for the responsible support role.

• Purpose: assessing and deciding the reported dispute, handling refunds, fraud prevention.
• Legal basis: Art 6(1)(b) GDPR — payment protection and the resolution of complaints are part of the service booked — supplemented by Art 6(1)(f) GDPR.
• Scope: only the messages and files of the order concerned, not other conversations of the same people.
• Type of access: read access. To mediate, support may additionally write its own messages into the thread; these are clearly marked as messages from creatordeal. Messages written by the parties can neither be altered nor deleted.
• Logging: every access is recorded with person, time and order.
• Duration: until the case is closed, plus a reasonable period for traceability.
• Transparency: both parties are informed that access has been granted. A permanent notice to this effect is shown in the header of the messages area.

If, to assess the dispute, a party involves a lawyer working through the platform, the messages and files of that one order also become readable for that lawyer. The recipient and each access are logged and shown to the parties. The legal basis is Art 6(1)(b) and (f) GDPR; lawyers are additionally bound by professional secrecy.

On the connect feature: whoever requests a connection may attach a short message to the request; once it is accepted, both sides can write to each other. What is stored is who requested whom and when, in which role, how it was decided, and the content of those messages. The operator sees the connections together with the message attached to the request; the thread after acceptance is not visible to the operator. The legal basis is Art 6(1)(b) GDPR — putting people in contact is part of the platform service.

On group chats: accounts that are connected can create a group and add connected contacts. We store the group name, who created it, who joined, left or was removed and when, each member's read status, and the content, sender, time and file attachments of the messages. Only current members can see the messages, each from the time they joined. We notify members of new messages by push notification (if enabled) and by e-mail at most once an hour, without showing the content. creatordeal does not see the conversations in normal operation; we only look at a conversation if a member reports it to us, in a dispute, or where a legal obligation requires it. Messages are kept until the group or your own account is deleted. If your account is deleted, your messages in all groups, together with their file attachments, and your memberships are deleted with it; they no longer appear in the other members' conversation. If you created a group, the longest-standing member takes over its management; if you are the last member, the group is deleted. A deleted group – deleted by its creator or because the last member left – is no longer visible to anyone; after 90 days the group, its messages and file attachments are permanently deleted. The legal basis is Art 6(1)(b) GDPR — exchanging messages between connected accounts is part of the platform service; for looking at a conversation after a report or in a dispute additionally Art 6(1)(f) GDPR, and where a legal obligation applies Art 6(1)(c) GDPR.

Messages you address directly to creatordeal are, in the nature of things, read by creatordeal; they are not tied to any order and serve to support your account. The legal basis is Art 6(1)(b) GDPR.

5. Payment processing

Customer payments are processed via Stripe (Stripe Payments Europe, Limited, Dublin, Ireland, with the involvement of Stripe, Inc., United States) or by bank transfer as prepayment to our account with Revolut Bank UAB, Vilnius, Lithuania. Payouts to creators and agencies are made, depending on the chosen method, via Stripe, by bank transfer (through Revolut) or to PayPal (see below). For payments via Stripe, payment and identification data is transmitted to Stripe; for a bank transfer we receive through our bank the payer’s name and account details, the amount and the payment reference, which we use to allocate the payment.

Full card details are not stored on creatordeal’s servers; they are entered in an environment provided by Stripe. creatordeal receives from the payment the information needed for allocation, invoicing and accounting.

Where a creator chooses payout via Stripe, Stripe Connect is used. Stripe processes the information required for identity verification and anti-money-laundering compliance under its own responsibility.

Where a creator or an agency chooses payout by bank transfer or to PayPal, creatordeal stores the details entered for this itself: account holder and address, IBAN or account number and bank codes, bank, country and account currency, or the PayPal address, plus the time of every change and the review note. In overviews these details are shown only in shortened form. To execute a transfer, we transmit name, address, account details, amount and payment reference to the payment institution through which we transfer (currently Revolut Bank UAB, Vilnius, Lithuania); for transfers abroad these details reach the recipient’s bank via intermediary banks, where applicable also outside the European Union. For a payout to PayPal we transmit the PayPal address, the amount and a payment identifier to PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg. Revolut, PayPal and the banks involved process these data as controllers in their own right, in particular to meet their anti-money-laundering obligations.

The legal basis is Art 6(1)(b) GDPR (payment of the agreed remuneration). We store the payout details until they are changed or the account is deleted; details of payments already made are kept with the accounting records (point 12). After a change we make no payout to the new details for 72 hours, to prevent misuse by third parties.

Payment processing rests on Art 6(1)(b) GDPR and is necessary to perform the contract. No consent is sought for it, because without payment no booking comes about.

5a. Identity verification before the first payout

Before a creator or an agency is paid out for the first time, creatordeal verifies identity and residence itself — in addition to the check the payment service provider carries out under its own responsibility (point 5). To that end you upload one document per category in the creator area: an official photo ID, proof of address and, for companies, proof of registration.

What is processed is the uploaded files themselves and the information in them, together with the file name, file size and file type, the time of submission, the outcome of the review with its time and the reviewing person, and, where a document is rejected, the reason. Where the operator recorded them when confirming the document, the last four characters of the document number are stored as well.

The files are held apart from public content and are not retrievable via a link. Only the creatordeal team has access, for the review; every access is logged with the person and the time. The documents are not passed on to the payment service provider or to any other recipient.

The purpose is to establish who receives a payout — fraud prevention and compliance with the duties creatordeal has as the party instructing the payout. The legal basis is Art 6(1)(c) and (f) GDPR, and Art 6(1)(b) GDPR as regards carrying out the payout. Without these documents no payout can be made; they are not required for using the platform otherwise.

Identity documents and proof of residence are deleted 30 days after the check has been confirmed. Only the audit record remains: who carried out the check, when, what kind of document it was, and the last four characters of the document number. Proof of company authority is kept for the duration of the business relationship, because it evidences the authority to act for a company.

5b. Reporting to the tax office (DAC7)

As the operator of a digital platform, creatordeal is required under the Austrian Digital Platforms Reporting Act (Digitale Plattformen-Meldepflichtgesetz, DPMG), which implements EU Directive 2021/514 (DAC7), to collect and verify information on creators and agencies receiving remuneration through the platform and to report it once a year to the Austrian tax office. The tax office may pass the information on to the tax authorities of the member state in which you are resident.

Collected and reported are in particular: name, address, date of birth (for natural persons), tax identification number with the issuing country, VAT ID and company register number where applicable, the bank account, the remuneration paid per quarter, the number of services and the commissions and fees retained by creatordeal. Without these details no payout is made. You receive the information reported about you before or with the report.

The legal basis is Art 6(1)(c) GDPR in conjunction with the DPMG. The information is kept for as long as the law requires and deleted afterwards.

6. Email delivery

Messages about the progress of a booking are sent using Google’s email service; if that route is unavailable, delivery falls back to the SendGrid service of Twilio Inc. The email address and the content of the message are processed in doing so. Delivery also runs through systems in the United States; the transfer is safeguarded by standard contractual clauses.

6a. Signing in with Google

You may choose to sign in with a Google account. If you use this route, you are redirected to Google’s sign-in page; in doing so Google learns that and when you sign in to creatordeal, along with the technical details it receives with any request. In this respect Google does not act as a processor for us but as a recipient in its own right. The provider is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

We receive from Google only the following details, and only once you have confirmed them there: your Google account identifier, your email address, the statement whether Google holds that address as verified, and the first and last name from your Google profile. We do not receive your Google password. We request only the scopes “openid”, “email” and “profile”; no access to your content at Google — such as YouTube, contacts, calendar or your mailbox — takes place, nor is it possible with those scopes.

If Google does not hold your email address as verified, we create no account and link no existing one. If an account already exists for that address, it is linked to your Google account — no second account is created. If the address is new, the account is only created after you have agreed to the terms on an intermediate page.

The legal basis is Art 6(1)(b) GDPR: signing in and creating the account happen at your initiative and serve the performance of the user relationship. Using this route is voluntary; you may sign in or register with an email address and password instead at any time. The link is stored with your account and ends when the account is deleted (point 12). Google also processes data outside the European Union; see point 11 on that.

7. Website operation, server location, log files

The platform runs on a dedicated server at Hetzner Online GmbH. The server is located in Helsinki, Finland, and therefore within the European Union. A data processing agreement is in place with the provider.

Requesting a page necessarily generates log data: IP address, time, the address requested, the volume of data transferred, the status code, and details of the browser and operating system. This serves secure operation and troubleshooting and is deleted after seven days. The legal basis is Art 6(1)(f) GDPR.

Outside the payment process, as a rule no content is loaded from third-party servers. The exceptions are signing in with Google, if you use it (point 6a), and — only on the creator registration page and only with your consent — the TikTok Pixel (point 8a). At checkout, Stripe’s payment environment is loaded from Stripe’s servers (point 5); in doing so Stripe learns your IP address and technical details of your device. Fonts are hosted on our own server. We use tracking pixels and advertising networks only at the place named in point 8a and only with your consent. Work samples and delivered videos from video platforms and storage services are shown as a preview image with a play symbol. This preview image is stored on, or fetched by, our own server; merely viewing the page makes no connection to the video provider. Only when you click the preview image is the video loaded and played from the provider, or opened with the provider in a new tab (for example YouTube, TikTok, Instagram, Vimeo, Google Drive, Dropbox, OneDrive, WeTransfer or the server hosting the video file); videos uploaded by creators themselves, by contrast, come from our own storage (see below). In doing so, data is transmitted to the provider, including your IP address and technical details of your device; the provider may process data outside the European Union as well and is itself responsible for its processing. The legal basis is Art 6(1)(a) GDPR — the click on the preview image is the consent; without it nothing happens.

Creators can upload an intro video and, where the feature is enabled, videos for their work samples themselves. We store these videos and process them technically on our own server: we convert them into a uniform format, reduce their size and create a preview image. In doing so we remove embedded additional information such as the recording location and the device. No external service is involved. The videos are stored on our server at Hetzner Online GmbH in Helsinki, Finland. The original is kept only until the conversion is complete. Such a video plays in our own player and is loaded only when you tap the preview image; no connection to a third party is made. For the intro video we create a short title and description for search engines from the profile details (name, tagline, about me, niches, channels, location); the creator can change both. For the creator, the legal basis is Art 6(1)(b) GDPR (creator agreement); for persons shown and for visitors it is Art 6(1)(f) GDPR; our legitimate interest is showing brands the creators’ introductions and work samples.

Visitors outside the euro area also see prices in their local currency, as a non-binding estimate. Which currency is shown depends solely on the country address of the page (for example creatordeal.eu/us). Our server fetches the exchange rates from the European Central Bank; your browser makes no connection to third parties for this, and no personal data is processed or transmitted in the process.

8. Cookies and your consent

On your first visit you are asked which cookies may be set. The notice offers three equally weighted options: accept all, allow only the necessary ones, or open the settings in detail. Nothing is pre-selected, and declining is exactly as easy as agreeing.

There are three categories:

• Necessary — always active and not deselectable. This covers signing in, matching your session to the right cart, and payment processing via Stripe. This processing is required to perform the contract and does not rest on your consent.
• Statistics — for anonymous analysis of usage. This category is currently empty: no service is integrated, and nothing is loaded even if you agree.
• Marketing — for advertising and reach measurement. This category holds the TikTok Pixel; see point 8a for details.

As long as the statistics category remains empty, nothing is loaded there from third-party servers regardless of your choice. If a service is added later, it will only load once consent exists for the relevant category. The same applies to the marketing category: without your consent the TikTok Pixel is not loaded and nothing is sent to TikTok.

Your choice is stored with a timestamp and a version number, exclusively in your browser’s local storage on your device. It is not transmitted to our server and is not held there: if you clear your browser data, the choice is gone and you are asked again. If the categories change, the version number increases and you are likewise asked again. The legal basis for cookies requiring consent is Art 6(1)(a) GDPR in conjunction with § 165(3) of the Austrian Telecommunications Act 2021.

You can change or withdraw your choice at any time via the "Cookie settings" link in the footer. Withdrawal takes effect for the future; processing carried out until then remains lawful.

The consent notice is operated by creatordeal itself. No third-party consent service is integrated to which data would be transmitted.

8a. TikTok Pixel and Events API

We advertise creatordeal on TikTok in order to attract creators. To see which advertisement led to a completed creator registration, the TikTok Pixel is embedded on ONE single page: the creator registration form at creatordeal.eu/seller/register. It is not embedded on any other page of creatordeal. The provider for users in the European Economic Area is TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, D02 T380, Ireland; the data may also reach TikTok affiliates outside the European Economic Area.

The measurement runs along two routes that describe the same event and are joined through a shared event identifier so that it is not counted twice: in the browser via the TikTok Pixel, and additionally from our server via the TikTok Events API. The second route is necessary because the first is regularly blocked by ad blockers.

The following and nothing else is transmitted:

• the fact that the registration form was opened;
• the completed creator registration, marked as "creator";
• a random event identifier and the point in time, solely to deduplicate the two routes;
• the address of the registration page and, where applicable, the referring page;
• the identifiers TikTok assigns itself: the click identifier from the advertisement link (ttclid) and the browser identifier from TikTok’s own cookie (_ttp);
• the technical details that arise with every request in any case: IP address and browser identification.

Nothing beyond this is transmitted. In particular, we send TikTok NO email address, no telephone number, no name, no shop or company name and no customer number — not even in encrypted or hashed form. The TikTok features that would read such details automatically out of forms on the site ("automatic advanced matching" and "enhanced data postback") are switched off in our TikTok account. Only the registration is measured: no purchase, no cart, no amount, no search, no wishlist and no view of a creator profile.

The legal basis is exclusively your consent under Art 6(1)(a) GDPR, and for the storing of and access to information on your device in conjunction with § 165(3) of the Austrian Telecommunications Act 2021. What counts is the choice you made in the cookie notice. Without your consent to the marketing category, TikTok’s script is not loaded at all, no TikTok cookie is set, and our server does not send any event to TikTok for you either. If you have not decided at all yet, the same applies: nothing is loaded and nothing is sent.

You can withdraw your consent at any time with effect for the future — via the "Cookie settings" link in the footer. Withdrawal stops the measurement immediately; from that point on no further events are sent to TikTok. Processing carried out until then remains lawful.

Where data is thereby transferred to the United States or to other countries outside the European Economic Area, this takes place on the basis of the European Commission’s standard contractual clauses. Those countries do not offer a level of data protection equivalent to European law; in particular it cannot be ruled out that authorities access the data and that no effective legal remedies are available to you against this.

creatordeal and TikTok are joint controllers (Art 26 GDPR) for collecting the data listed on the registration page and transmitting it to TikTok; the joint controller arrangement that TikTok provides for its advertisers applies. Under it, creatordeal informs you about this processing and obtains your consent; TikTok is responsible for the subsequent processing under its own responsibility and answers requests about its data. You can exercise your rights under point 14 against creatordeal and against TikTok.

For the data TikTok processes beyond this under its own responsibility, please see TikTok’s privacy policy at https://www.tiktok.com/legal/page/eea/privacy-policy/en.

9. Figures from your social media channels

Creator profiles show figures on reach. Those figures come either from the creator’s own statements or directly from the platform the channel is on. There are two stages to the route via the platform; they have to be looked at separately, because they go different distances and rest on different legal bases.

Stage 1 — publicly visible figures, without a connection. You enter the address of your channel in your creator profile yourself. For that address, creatordeal retrieves the figures that are visible to anyone on the channel page in any case — on YouTube the number of subscribers, the total number of views and the number of published videos, together with the name and the identifier of the channel. This requires neither a login with your account nor any other action on your part. One value per channel and day is stored so that the development over time can be shown.

The figures retrieved in this way take the place of the ones you entered yourself. You can end this processing at any time by removing the channel from your profile. Deleting only the link is not enough: if the channel name remains in the profile, the channel is found through that as well.

The legal basis for the first stage is Art 6(1)(f) GDPR (legitimate interests). The interest is that brands can rely on the reach shown: a self-reported figure cannot be checked, and anyone who reports honestly is put at a disadvantage against exaggerated claims. We expressly do not rely on Art 6(1)(b) GDPR for this retrieval — your profile and your bookings work without it, so it is not necessary for the performance of the contract but improves its quality. In the balancing exercise it weighs that we process only publicly visible, professional figures of a channel that you yourself specified for precisely this purpose, and that neither content nor data about other people is collected. You may object to the processing under Art 21 GDPR (point 14); the simplest way to do so is to remove the channel from your profile.

Stage 2 — a connected account. You can connect your account on YouTube, Instagram or TikTok to creatordeal. To do so you log in with the platform using your own credentials and grant the authorisation there; we never learn the credentials themselves. Once an account is connected, the following is added to the public figures: reach and engagement (views, likes, comments, shares), aggregated statistics on your audience (age groups, gender, countries) and the figures of the post you delivered for an order. As long as you have not connected an account, this processing does not take place.

The access tokens used to retrieve data from a connected account are stored encrypted. They are not displayed, not included in access requests and not passed on to third parties.

The legal basis for the second stage is Art 6(1)(a) GDPR (consent). You give it in the platform’s authorisation dialogue and may withdraw it at any time with effect for the future — with creatordeal by disconnecting the connection in the creator area, and with the platform itself in its settings under connected apps. After withdrawal no further data is retrieved; the lawfulness of the processing carried out until then is unaffected. Connecting is voluntary: without a connection you simply do not receive the badge for verified figures.

The platforms are themselves responsible for their own processing. What Google (YouTube), Meta (Instagram) and TikTok do with your login, the authorisation granted and the retrievals is governed by their own privacy policies; creatordeal has no influence over that. For the retrievals, data is transmitted to systems of these providers which may also be located outside the European Union; point 11 applies to such transfers.

No data about third parties is collected in the process. We learn nothing about individual viewers, followers or commenters; we do not retrieve comments, messages or other content from your channel. Audience information reaches us only as an aggregated value — for example “34 % of the audience is between 25 and 34 years old” — from which no individual person can be identified.

The retrieved figures are visible where the self-reported ones used to be: in the public creator profile, together with a badge stating where the figures come from. No one but you gets to see the history over several days; it is intended to be shown in your creator area, and how far back it goes depends on your package. In the operator area it is visible when a channel was last retrieved and which figures came back (point 13). The figures of a post you delivered for an order are additionally visible to the customer who paid for that order.

The daily measurements are retained for as long as the channel is listed in your profile. If you remove the channel, or if the profile is deleted, they are deleted with it; otherwise the periods in point 12 apply. How to request deletion, and what happens to an existing connection in that case, is set out on the “Data deletion” page (creatordeal.eu/en/datenloeschung) — this policy does not describe that route a second time.

9a. Web app and notifications

On a phone, creatordeal can be saved to the home screen as a web app. For this, your browser registers a small program of our site (service worker). It does not store any content and does not redirect any page requests. If you close the “creatordeal as an app” notice, we remember this for seven days in your browser’s local storage (entry cd_app_weg); nothing is sent to our server. Both are technically necessary for the function you requested (section 165(3) TKG 2021).

If you expressly turn them on — in the customer account under settings or with your messages, in the creator panel with your messages — we notify you on this device about new messages addressed to you. The notification only reads “New message” or “New message from <name>”; the content of the message is never included. System notices do not trigger a notification. The app icon may additionally show the number of unread messages.

For this we store with your account: the push address and the associated keys that your browser generates for it, the interface language, a rough device name (such as “iPhone · Safari”) and the times the notifications were turned on and last successfully delivered. The legal basis is your consent under Art 6(1)(a) GDPR.

Delivery takes place via the push service of your browser’s manufacturer: Google (Chrome and Android), Apple (Safari, iPhone and iPad), Mozilla (Firefox) or Microsoft (Edge on Windows). The service receives the encrypted notification and the push address; it cannot read the content of the notification. These providers may also process the data in the United States (point 11).

You can withdraw your consent at any time: with the same button, in your browser or device settings, or by signing out on the device. We delete the stored details when you turn notifications off, when you sign out, and as soon as the push service reports that the address is no longer valid.

9b. Referral programmes

Creators can refer other creators and brands to creatordeal (creator agreement § 7a). If a creator registers with another creator’s code or through their link, we store who referred whom and when, the rates and periods applying at that time and the shares calculated from them.

If a customer sends a request through a creator’s bio page, we note on their customer account which creator they came through; coming through another creator later replaces this note until the customer books for the first time. With the first booking the assignment becomes final, together with its time. For the duration of the programme we calculate the referring creator’s share from the customer’s bookings.

The referring creator never sees those referred by name, only under a neutral identifier, together with the status of the booking and their share. They do not see the content of bookings, briefings or messages.

The legal basis towards the referring creator is Art 6(1)(b) GDPR (creator agreement), towards referred creators and customers Art 6(1)(f) GDPR; our legitimate interest is settling the programme correctly. You can object to the assignment under Art 21 GDPR (point 14). The assignment is deleted with the customer account; the settlement of shares is kept with the accounting records (point 12).

10. Recipients and processors

Data is only passed on where this is necessary to handle a booking or where there is a legal obligation. Agreements under Art 28 GDPR are in place with service providers that process on our behalf.

• Hetzner Online GmbH — operation of the server, including storage of videos uploaded by creators.
• Stripe — payment processing and payout.
• Revolut Bank UAB (Lithuania) and the banks involved in a transfer — payout by bank transfer (point 5). As controllers in their own right.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg) — payout to PayPal (point 5). As a controller in its own right.
• TikTok Technology Limited (Ireland) — only with your consent and only on the creator registration page (point 8a).
• Tax office — reporting under the Austrian Digital Platforms Reporting Act (point 5b).
• Google — sending emails.
• Google — signing in with Google, where you use that route (point 6a). Here not as a processor but as a recipient in its own right.
• Google, Apple, Mozilla or Microsoft — delivery of notifications via your browser’s push service, where you have turned them on (point 9a).
• Twilio (SendGrid) — sending emails (fallback if delivery via Google fails).
• Tax advisors and accounting — within statutory record-keeping obligations.
• Odoo invoicing and accounting system — planned, for invoices and self-billed credit notes. Not yet in use.
• Authorities and courts — only where there is a legal obligation.

Between customer and creator, only the data needed to handle their shared booking is visible. Data is passed on for advertising purposes only within point 8a and only with your consent; the content of bookings, briefings, messages and files is never passed on for advertising purposes.

11. Transfers to third countries

Operations take place within the European Union. In individual cases, data is transferred to service providers established in or operating systems in the United States, namely Stripe, Google and Twilio (SendGrid), and, where notifications are turned on, the push service of your browser (Google, Apple, Mozilla or Microsoft, point 9a), and, with your consent, TikTok (point 8a).

These transfers are based on the European Commission’s standard contractual clauses, where applicable in conjunction with the recipient’s certification under the EU-US Data Privacy Framework. A copy of the safeguards can be requested at the address given above.

If, at your request, we pay out to an account outside the European Union, the details needed for the transfer reach the recipient’s bank and intermediary banks in that country. This transfer is necessary to perform the contract with you (Art 49(1)(b) GDPR).

12. Retention periods

• Invoices, self-billed credit notes and the associated records: seven years from the end of the calendar year in which they arose (fiscal retention obligation).
• Account data: for as long as the account exists. After deletion of the account it is removed, unless a retention obligation stands in the way.
• Messages and files relating to an order: until the periods within which claims from the booking can be asserted have elapsed.
• Messages and files in group chats (point 4): until the group or your own account is deleted; a deleted group together with its messages and file attachments is permanently deleted after 90 days, your own messages and their file attachments together with your account.
• Server log data: seven days.
• Payout details (bank details, PayPal address): until changed or until the account is deleted; details of payments made are kept like invoices and self-billed credit notes.
• Information for the report to the tax office (point 5b): for as long as the Digital Platforms Reporting Act requires.
• Self-uploaded videos with their preview image: until the creator removes the video from their profile, replaces their intro video with a new one or their account is deleted; the files are deleted then. The unprocessed original is kept only until the conversion is complete, usually a few minutes; if the conversion fails, it is deleted after the third attempt at the latest.
• Assignments in referral programmes (point 9b): for as long as the account exists; the settlement of shares like invoices and self-billed credit notes.
• Daily measurements for a social media channel (reach, views, engagement): for as long as the channel is listed in the profile; they are deleted with the channel or with the profile.
• Records of consent (terms, the creator agreement, the management agreement, self-billing, the withdrawal declarations given at checkout): with a timestamp and version, for as long as the record is needed as evidence; the previous version is kept alongside as a history.
• Your cookie choice: in your browser’s local storage, until you change it or clear your browser data (point 8). It is not held by us.
• Notification details (push address, keys, device, language): until you turn notifications off, sign out on the device or the push service declares the address invalid (point 9a). Your browser remembers the “creatordeal as an app” notice for seven days.

13. Access within the company

Access to personal data is limited to the people who need it for their task. Two levels are distinguished.

• Application access: support and administration see, within the application, the data needed for bookings, invoices and payouts. For messages relating to an order, the restriction in section 4 applies in addition.
• Administrative access: technical maintenance of the server and the database. It is limited to a small number of people, is used only for maintenance, troubleshooting and backups, and does not serve to inspect content.

Technical access to the database cannot be ruled out, because it is required to operate the service. It is restricted organisationally and is not used to circumvent the restriction described in section 4.

14. Your rights

You have the right to obtain information about the data processed about you, to have inaccurate data corrected, to erasure, to restriction of processing, to data portability, and to object to processing based on a legitimate interest.

Where processing rests on consent, you may withdraw it at any time with effect for the future. The lawfulness of processing carried out until then is unaffected.

A message to [email protected] is sufficient to exercise these rights. For security, verification of your identity may be required.

Independently of this, you may lodge a complaint with the supervisory authority. The competent authority is the Austrian Data Protection Authority, Barichgasse 40–42, 1030 Vienna, dsb.gv.at.

15. Whether providing data is required

The information marked as mandatory in the account and at checkout is required for the contract or by law. Without it a booking cannot be handled and no payout can be made. All other information is voluntary.

16. No automated decision-making

There is no automated decision-making, including profiling, producing legal effects. Disputes are always decided by a person.

17. Changes to this policy

This policy is updated when the processing changes — for example because a service provider is added or removed. The version published on this page applies; the date is stated at the top.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung ist die Hasanbaba KG, Kirchenbühl 562, 6952 Hittisau, Österreich, FN 645893 v (Landesgericht Feldkirch), E-Mail [email protected], Telefon +43 664 1822552.

Ein Datenschutzbeauftragter ist nicht bestellt. Anfragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Wessen Daten verarbeitet werden

• Kunden, die eine Buchung anfragen oder abschließen: Konto- und Kontaktdaten, Rechnungs- und Zahlungsdaten, Inhalt der Anfrage und des Briefings.
• Creator, die Leistungen anbieten: Konto- und Kontaktdaten, Profilangaben einschließlich Fotos und Arbeitsproben, Angaben zu Reichweite, Geburtsdatum, Steuer-Identifikationsnummer samt ausstellendem Staat, Steuerstatus, Auszahlungsweg und Auszahlungsdaten (Bankverbindung oder PayPal-Adresse), selbst hochgeladene Videos sowie die Nachweise zur Identität und zum Wohnsitz (Punkt 5a).
• Beide Seiten: Nachrichten und Dateien zu einer Bestellung, Zeitpunkte im Ablauf einer Buchung, Nutzungs- und Protokolldaten.
• Besucher ohne Konto: die technischen Daten, die beim Abruf einer Seite anfallen.

3. Zwecke und Rechtsgrundlagen

• Anlegen und Führen des Kontos, Anzeige von Profilen, Zustandekommen und Abwicklung von Buchungen einschließlich Zahlungsschutz und Auszahlung — Art 6 Abs 1 lit b DSGVO (Vertrag und vorvertragliche Maßnahmen).
• Rechnungslegung, Buchhaltung, steuerliche Aufzeichnungspflichten — Art 6 Abs 1 lit c DSGVO in Verbindung mit den abgabenrechtlichen Vorschriften.
• Meldung von Anbietern und ihren Vergütungen an das Finanzamt nach dem Digitale Plattformen-Meldepflichtgesetz (DAC7, Punkt 5b) — Art 6 Abs 1 lit c DSGVO.
• Empfehlungsprogramme: Zuordnung geworbener Creator und Kunden zum werbenden Creator und Berechnung seines Anteils (Punkt 9b) — Art 6 Abs 1 lit b DSGVO gegenüber dem werbenden Creator, Art 6 Abs 1 lit f DSGVO gegenüber den Geworbenen.
• Prüfung und Entscheidung im Streitfall, einschließlich der Einsicht in die Nachrichten der betroffenen Bestellung — Art 6 Abs 1 lit b DSGVO, ergänzend lit f (Betrugsprävention, Abwicklung von Erstattungen).
• Sicherheit des Betriebs, Abwehr von Missbrauch, Protokollierung von Zugriffen — Art 6 Abs 1 lit f DSGVO.
• Versand von Nachrichten zum Ablauf einer Buchung (Anfrage eingegangen, Zusage, Lieferung, Fristen) — Art 6 Abs 1 lit b DSGVO. Diese Nachrichten gehören zur Abwicklung und sind keine Werbung.
• Speichern einer Einwilligung zu nicht notwendigen Cookies und Auswerten der zugehörigen Kategorien — Art 6 Abs 1 lit a DSGVO; das Festhalten der Wahl selbst beruht auf Art 6 Abs 1 lit c DSGVO (Nachweispflicht).

4. Nachrichten auf der Plattform und Einsicht im Streitfall

Kunde und Creator können sich zu jeder Bestellung Nachrichten und Dateien schicken. Diese Nachrichten gehören fest zu der jeweiligen Bestellung. Daneben gibt es drei weitere Wege, auf denen Nachrichten entstehen, und für sie gilt dieser Punkt nicht: Nachrichten zwischen zwei Konten, die sich über die Vernetzen-Funktion verbunden haben, Nachrichten in Gruppen-Chats vernetzter Konten und Nachrichten, die Sie unmittelbar an creatordeal richten. Was für sie gilt, steht am Ende dieses Punktes.

Im Regelbetrieb hat der Betreiber keinen Lesezugriff auf die Nachrichten zu einer Bestellung. Erst wenn zu einer Bestellung ein Streitfall gemeldet wird, wird genau dieser eine Verlauf für die zuständige Rolle im Support lesbar gemacht.

• Zweck: Prüfung und Entscheidung des gemeldeten Streitfalls, Abwicklung von Erstattungen, Betrugsprävention.
• Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO — der Zahlungsschutz und die Klärung von Beanstandungen sind Teil der gebuchten Leistung —, ergänzend Art 6 Abs 1 lit f DSGVO.
• Umfang: nur die Nachrichten und Dateien der betroffenen Bestellung, nicht andere Unterhaltungen derselben Personen.
• Art des Zugriffs: lesend. Zur Vermittlung kann der Support zusätzlich eigene Nachrichten in den Verlauf schreiben; sie sind deutlich als Nachrichten von creatordeal gekennzeichnet. Nachrichten der Beteiligten können weder verändert noch gelöscht werden.
• Protokollierung: jeder Zugriff wird mit Person, Zeitpunkt und Bestellung festgehalten.
• Dauer: bis zum Abschluss des Falls zuzüglich einer angemessenen Frist zur Nachvollziehbarkeit.
• Transparenz: beide Beteiligten werden darüber informiert, dass Einsicht besteht. Im Kopf des Nachrichtenbereichs steht dauerhaft ein entsprechender Hinweis.

Zieht eine Partei zur Beurteilung des Streitfalls einen über die Plattform tätigen Rechtsanwalt hinzu, werden die Nachrichten und Dateien dieser einen Bestellung auch für diesen Rechtsanwalt lesbar. Empfänger und Zugriffe werden protokolliert und den Beteiligten angezeigt. Rechtsgrundlage ist Art 6 Abs 1 lit b und f DSGVO; Rechtsanwälte unterliegen zusätzlich ihrer berufsrechtlichen Verschwiegenheit.

Zur Vernetzen-Funktion: Wer eine Verbindung anfragt, kann der Anfrage eine kurze Nachricht beilegen; nach der Annahme können beide Seiten einander schreiben. Gespeichert werden dabei, wer wen wann angefragt hat, in welcher Rolle, wie entschieden wurde und der Inhalt dieser Nachrichten. Der Betreiber sieht die Verbindungen samt der Nachricht, die der Anfrage beilag; den Verlauf nach der Annahme sieht er nicht. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO — das Herstellen von Kontakten ist Teil der Plattformleistung.

Zu Gruppen-Chats: Wer mit anderen Konten vernetzt ist, kann eine Gruppe anlegen und vernetzte Kontakte hinzufügen. Gespeichert werden der Name der Gruppe, wer sie angelegt hat, wer wann beigetreten, ausgetreten oder entfernt wurde, der Lesestand je Mitglied sowie Inhalt, Absender, Zeitpunkt und Dateianhänge der Nachrichten. Die Nachrichten sehen nur die aktuellen Mitglieder, jeweils ab ihrem Beitritt. Über neue Nachrichten informieren wir per Push-Mitteilung (wenn eingeschaltet) und höchstens einmal je Stunde per E-Mail, ohne den Inhalt zu zeigen. creatordeal sieht die Verläufe im Regelbetrieb nicht; Einsicht nehmen wir nur, wenn uns ein Mitglied einen Verlauf meldet, in einem Streitfall oder wenn eine gesetzliche Pflicht es verlangt. Die Nachrichten bleiben gespeichert bis zur Löschung der Gruppe oder des eigenen Kontos. Wird Ihr Konto gelöscht, werden Ihre Nachrichten in allen Gruppen samt Dateianhängen und Ihre Mitgliedschaften mitgelöscht; im Verlauf der übrigen Mitglieder erscheinen sie nicht mehr. Haben Sie eine Gruppe angelegt, übernimmt das am längsten dabei befindliche Mitglied ihre Verwaltung; sind Sie das letzte Mitglied, wird die Gruppe gelöscht. Wird eine Gruppe gelöscht – durch den Ersteller oder weil das letzte Mitglied ausgetreten ist –, ist sie für niemanden mehr sichtbar; nach 90 Tagen werden die Gruppe, ihre Nachrichten und Dateianhänge endgültig gelöscht. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO — der Austausch zwischen vernetzten Konten ist Teil der Plattformleistung; für die Einsicht nach einer Meldung oder im Streitfall ergänzend Art 6 Abs 1 lit f DSGVO, bei einer gesetzlichen Pflicht Art 6 Abs 1 lit c DSGVO.

Nachrichten, die Sie unmittelbar an creatordeal richten, liest naturgemäß creatordeal; sie sind an keine Bestellung gebunden und dienen der Betreuung Ihres Kontos. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO.

5. Zahlungsabwicklung

Zahlungen der Kunden werden über Stripe (Stripe Payments Europe, Limited, Dublin, Irland, mit Beteiligung der Stripe, Inc., Vereinigte Staaten) oder per Banküberweisung als Vorkasse auf unser Konto bei der Revolut Bank UAB, Vilnius, Litauen, abgewickelt. Auszahlungen an Creator und Agenturen erfolgen je nach gewähltem Weg über Stripe, per Banküberweisung (über Revolut) oder an PayPal (siehe unten). Bei Zahlungen über Stripe werden Zahlungs- und Identifizierungsdaten an Stripe übermittelt; bei einer Überweisung erhalten wir über unsere Bank Name und Kontoangaben des Zahlers, Betrag und Verwendungszweck, die wir zur Zuordnung der Zahlung verwenden.

Vollständige Kartendaten werden nicht auf den Servern von creatordeal gespeichert; die Eingabe erfolgt in einer von Stripe bereitgestellten Umgebung. creatordeal erhält von der Zahlung die Angaben, die für die Zuordnung, die Rechnung und die Buchhaltung erforderlich sind.

Wählt ein Creator die Auszahlung über Stripe, wird Stripe Connect verwendet. Stripe verarbeitet dabei die für die Identitätsprüfung und für die Einhaltung geldwäscherechtlicher Vorschriften erforderlichen Angaben in eigener Verantwortung.

Wählt ein Creator oder eine Agentur die Auszahlung per Banküberweisung oder an PayPal, speichert creatordeal die dafür eingegebenen Angaben selbst: Kontoinhaber und Anschrift, IBAN beziehungsweise Kontonummer und Bankleitdaten, Bank, Land und Kontowährung oder die PayPal-Adresse, dazu den Zeitpunkt jeder Änderung und den Prüfvermerk. In Übersichten werden diese Angaben nur gekürzt angezeigt. Zur Ausführung einer Überweisung übermitteln wir Name, Anschrift, Kontoangaben, Betrag und Verwendungszweck an das Zahlungsinstitut, über das wir überweisen (derzeit Revolut Bank UAB, Vilnius, Litauen); bei Überweisungen ins Ausland gelangen diese Angaben über zwischengeschaltete Banken zur Bank des Empfängers, gegebenenfalls auch außerhalb der Europäischen Union. Für eine Auszahlung an PayPal übermitteln wir die PayPal-Adresse, den Betrag und eine Zahlungskennung an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Revolut, PayPal und die beteiligten Banken verarbeiten diese Daten als eigene Verantwortliche, insbesondere zur Erfüllung ihrer geldwäscherechtlichen Pflichten.

Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO (Auszahlung der vereinbarten Vergütung). Die Auszahlungsdaten speichern wir, bis sie geändert werden oder das Konto gelöscht wird; Angaben zu bereits ausgeführten Zahlungen bewahren wir mit den Buchhaltungsunterlagen auf (Punkt 12). Nach einer Änderung zahlen wir 72 Stunden lang nicht auf die neuen Daten aus, um Missbrauch durch Dritte zu verhindern.

Die Zahlungsabwicklung beruht auf Art 6 Abs 1 lit b DSGVO und ist zur Erfüllung des Vertrags erforderlich. Eine Einwilligung ist dafür nicht vorgesehen, weil ohne Zahlung keine Buchung zustande kommt.

5a. Identitätsprüfung vor der Auszahlung

Bevor an einen Creator oder eine Agentur zum ersten Mal ausgezahlt wird, prüft creatordeal Identität und Wohnsitz selbst — zusätzlich zu der Prüfung, die der Zahlungsdienstleister in eigener Verantwortung durchführt (Punkt 5). Dafür laden Sie im Creator-Bereich je Kategorie ein Dokument hoch: einen amtlichen Lichtbildausweis, einen Wohnsitznachweis und bei Firmen einen Nachweis der Eintragung.

Verarbeitet werden die hochgeladenen Dateien selbst und die Angaben darin, dazu Dateiname, Dateigröße und Dateiart, der Zeitpunkt der Einreichung, das Ergebnis der Prüfung mit Zeitpunkt und prüfender Person und im Fall einer Ablehnung deren Grund. Hat der Betreiber sie beim Bestätigen erfasst, werden zusätzlich die letzten vier Zeichen der Dokumentnummer gespeichert.

Die Dateien liegen getrennt von den öffentlichen Inhalten und sind nicht über einen Verweis abrufbar. Zugriff hat allein das creatordeal-Team zur Prüfung; jede Einsicht wird mit Person und Zeitpunkt protokolliert. An den Zahlungsdienstleister oder an andere Empfänger werden die Dokumente nicht weitergegeben.

Zweck ist die Prüfung, wer eine Auszahlung erhält — Betrugsvermeidung und die Einhaltung der Pflichten, die creatordeal als Auftraggeber der Auszahlung treffen. Rechtsgrundlage ist Art 6 Abs 1 lit c und lit f DSGVO, hinsichtlich der Abwicklung der Auszahlung Art 6 Abs 1 lit b DSGVO. Ohne diese Nachweise kann nicht ausgezahlt werden; für die Nutzung der Plattform im Übrigen sind sie nicht erforderlich.

Ausweis und Wohnsitznachweis werden 30 Tage nach der bestätigten Prüfung gelöscht. Erhalten bleibt allein der Prüfvermerk: wer geprüft hat, wann, welche Art von Dokument und die letzten vier Zeichen der Dokumentnummer. Der Firmennachweis bleibt für die Dauer der Geschäftsbeziehung erhalten, weil er die Berechtigung belegt, für ein Unternehmen zu handeln.

5b. Meldung an das Finanzamt (DAC7)

creatordeal ist als Betreiber einer digitalen Plattform nach dem Digitale Plattformen-Meldepflichtgesetz (DPMG), das die EU-Richtlinie 2021/514 (DAC7) umsetzt, verpflichtet, Angaben über Creator und Agenturen, die über die Plattform Vergütungen erhalten, zu erheben, zu prüfen und einmal jährlich an das österreichische Finanzamt zu melden. Das Finanzamt kann die Angaben an die Steuerbehörden des Mitgliedstaats weitergeben, in dem Sie ansässig sind.

Erhoben und gemeldet werden insbesondere: Name, Anschrift, Geburtsdatum (bei natürlichen Personen), Steuer-Identifikationsnummer samt ausstellendem Staat, gegebenenfalls UID-Nummer und Firmenbuch- oder Registernummer, die Kontoverbindung, die je Quartal gezahlte Vergütung, die Zahl der Leistungen sowie die von creatordeal einbehaltenen Provisionen und Gebühren. Ohne diese Angaben wird nicht ausgezahlt. Sie erhalten die über Sie gemeldeten Angaben vor oder mit der Meldung zur Kenntnis.

Rechtsgrundlage ist Art 6 Abs 1 lit c DSGVO in Verbindung mit dem DPMG. Die Angaben werden so lange aufbewahrt, wie es das Gesetz verlangt, und danach gelöscht.

6. E-Mail-Versand

Nachrichten zum Ablauf einer Buchung werden über den E-Mail-Dienst von Google versendet; steht dieser Weg nicht zur Verfügung, erfolgt der Versand ersatzweise über den Dienst SendGrid der Twilio Inc. Dabei werden die E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Der Versand erfolgt auch über Systeme in den Vereinigten Staaten; die Übermittlung ist durch Standardvertragsklauseln abgesichert.

6a. Anmeldung mit Google

Sie können sich wahlweise mit einem Google-Konto anmelden. Nutzen Sie diesen Weg, werden Sie zur Anmeldeseite von Google weitergeleitet; Google erfährt dabei, dass und wann Sie sich bei creatordeal anmelden, sowie die technischen Angaben, die es bei jedem Aufruf erhält. Google ist insoweit nicht Auftragsverarbeiter für uns, sondern eigener Empfänger. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Wir erhalten von Google ausschließlich die folgenden Angaben, und nur mit Ihrer dortigen Bestätigung: die Kennung Ihres Google-Kontos, Ihre E-Mail-Adresse, die Auskunft, ob Google diese Adresse als bestätigt führt, sowie Vor- und Nachnamen aus Ihrem Google-Profil. Ihr Google-Passwort erhalten wir nicht. Wir fragen bei Google nur die Bereiche „openid", „email" und „profile" ab; ein Zugriff auf Ihre Inhalte bei Google — etwa YouTube, Kontakte, Kalender oder Ihr Postfach — findet nicht statt und ist mit diesen Bereichen auch nicht möglich.

Führt Google Ihre E-Mail-Adresse nicht als bestätigt, legen wir kein Konto an und verknüpfen auch kein bestehendes. Gibt es zu der Adresse bereits ein Konto bei uns, wird dieses mit Ihrem Google-Konto verknüpft — es entsteht kein zweites. Ist die Adresse neu, entsteht das Konto erst, nachdem Sie auf einer Zwischenseite den Nutzungsbedingungen zugestimmt haben.

Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO: Anmeldung und Kontoanlage geschehen auf Ihre Veranlassung und dienen der Durchführung des Nutzungsverhältnisses. Die Nutzung dieses Weges ist freiwillig; Sie können sich jederzeit stattdessen mit E-Mail-Adresse und Passwort anmelden oder registrieren. Die Verknüpfung wird zu Ihrem Konto gespeichert und endet mit dessen Löschung (Punkt 12). Google verarbeitet Daten auch außerhalb der Europäischen Union; dazu Punkt 11.

7. Betrieb der Website, Serverstandort, Protokolldateien

Die Plattform läuft auf einem eigenen Server bei der Hetzner Online GmbH. Der Serverstandort ist Helsinki, Finnland, und damit innerhalb der Europäischen Union. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

Beim Abruf einer Seite fallen technisch bedingt Protokolldaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode sowie Angaben zu Browser und Betriebssystem. Sie dienen dem sicheren Betrieb und der Fehlersuche und werden nach sieben Tagen gelöscht. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO.

Außerhalb des Bezahlvorgangs werden grundsätzlich keine Inhalte von fremden Servern nachgeladen. Ausnahmen sind die Anmeldung mit Google, wenn Sie sie nutzen (Punkt 6a), und — nur auf der Registrierungsseite für Creator und nur mit Ihrer Einwilligung — der TikTok Pixel (Punkt 8a). Beim Bezahlen wird die Zahlungsumgebung von Stripe von deren Servern geladen (Punkt 5); dabei erfährt Stripe die IP-Adresse und technische Angaben Ihres Geräts. Schriften liegen auf dem eigenen Server. Zählpixel und Werbenetzwerke setzen wir nur an der in Punkt 8a genannten Stelle und nur mit Ihrer Einwilligung ein. Arbeitsproben und gelieferte Videos von Videoplattformen und Speicherdiensten werden als Vorschaubild mit Abspielsymbol gezeigt. Dieses Vorschaubild liegt auf unserem eigenen Server oder wird von ihm abgerufen; beim bloßen Ansehen der Seite wird keine Verbindung zum Videoanbieter hergestellt. Erst wenn Sie auf das Vorschaubild klicken, wird das Video beim Anbieter geladen und abgespielt oder in einem neuen Tab bei ihm geöffnet (etwa YouTube, TikTok, Instagram, Vimeo, Google Drive, Dropbox, OneDrive, WeTransfer oder der Server, auf dem die Videodatei liegt); selbst hochgeladene Videos der Creator kommen dagegen aus unserem eigenen Speicher (siehe unten). Dabei werden Daten an den Anbieter übertragen, darunter Ihre IP-Adresse und technische Angaben Ihres Geräts; der Anbieter kann Daten auch außerhalb der Europäischen Union verarbeiten und ist für seine Verarbeitung selbst verantwortlich. Rechtsgrundlage ist Art 6 Abs 1 lit a DSGVO — der Klick auf das Vorschaubild ist die Einwilligung; ohne ihn geschieht nichts.

Creator können ein Vorstellungsvideo und, soweit die Funktion freigeschaltet ist, Videos für ihre Arbeitsproben selbst hochladen. Wir speichern diese Videos und bereiten sie auf unserem eigenen Server technisch auf: Wir wandeln sie in ein einheitliches Format um, verkleinern sie und erzeugen ein Vorschaubild. Dabei entfernen wir eingebettete Zusatzangaben wie Aufnahmeort und Gerät. Ein externer Dienst ist daran nicht beteiligt. Die Videos liegen auf unserem Server bei der Hetzner Online GmbH in Helsinki, Finnland. Das Original liegt nur so lange bei uns, bis die Umwandlung abgeschlossen ist. Ein solches Video läuft in unserem eigenen Player und wird erst geladen, wenn Sie auf das Vorschaubild tippen; dabei entsteht keine Verbindung zu einem Dritten. Zum Vorstellungsvideo erzeugen wir aus den Profilangaben (Name, Einzeiler, Über mich, Nischen, Kanäle, Ort) einen kurzen Titel und eine Beschreibung für Suchmaschinen; der Creator kann beides ändern. Rechtsgrundlage für den Creator ist Art 6 Abs 1 lit b DSGVO (Creator-Vereinbarung), für abgebildete Personen und für Besucher Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist, Marken die Vorstellung und die Arbeitsproben der Creator zu zeigen.

Besucher außerhalb des Euroraums sehen Preise zusätzlich in ihrer Landeswährung, als unverbindlichen Richtwert. Welche Währung angezeigt wird, richtet sich allein nach der Länderadresse der Seite (etwa creatordeal.eu/us). Die Umrechnungskurse ruft unser Server bei der Europäischen Zentralbank ab; Ihr Browser stellt dafür keine Verbindung zu Dritten her, und es werden dabei keine personenbezogenen Daten verarbeitet oder übermittelt.

8. Cookies und Ihre Einwilligung

Beim ersten Besuch werden Sie gefragt, welche Cookies gesetzt werden dürfen. Der Hinweis bietet drei gleichrangige Möglichkeiten: alle annehmen, nur die notwendigen zulassen oder die Einstellungen im Einzelnen öffnen. Nichts ist vorausgewählt, und Ablehnen ist genauso einfach wie Zustimmen.

Es gibt drei Kategorien:

• Notwendig — immer aktiv und nicht abwählbar. Dazu gehören die Anmeldung, die Zuordnung Ihrer Sitzung zum richtigen Warenkorb und die Zahlungsabwicklung über Stripe. Diese Verarbeitung ist zur Erfüllung des Vertrags erforderlich und beruht nicht auf Ihrer Einwilligung.
• Statistik — für die anonyme Auswertung der Nutzung. Diese Kategorie ist derzeit leer: Es ist kein Dienst eingebunden, und es wird auch dann nichts geladen, wenn Sie zustimmen.
• Marketing — für Werbung und Reichweitenmessung. In dieser Kategorie steht der TikTok Pixel; Einzelheiten dazu in Punkt 8a.

Solange die Kategorie Statistik leer ist, wird dort unabhängig von Ihrer Wahl nichts von fremden Servern geladen. Kommt später ein Dienst hinzu, wird er erst geladen, wenn für die betreffende Kategorie eine Einwilligung vorliegt. Dasselbe gilt für die Kategorie Marketing: Ohne Ihre Zustimmung wird der TikTok Pixel nicht geladen und es wird nichts an TikTok gesendet.

Ihre Wahl wird mit Zeitpunkt und einer Versionsnummer gespeichert, und zwar ausschließlich im lokalen Speicher Ihres Browsers auf Ihrem Gerät. Sie wird nicht an unseren Server übertragen und liegt dort auch nicht: Löschen Sie die Daten Ihres Browsers, ist die Wahl weg und Sie werden erneut gefragt. Ändern sich die Kategorien, erhöht sich die Versionsnummer und Sie werden ebenfalls erneut gefragt. Rechtsgrundlage für einwilligungsbedürftige Cookies ist Art 6 Abs 1 lit a DSGVO in Verbindung mit § 165 Abs 3 TKG 2021.

Sie können Ihre Wahl jederzeit ändern oder widerrufen — über den Verweis „Cookie-Einstellungen" in der Fußzeile. Der Widerruf wirkt für die Zukunft; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Der Einwilligungshinweis wird von creatordeal selbst betrieben. Es ist kein fremder Einwilligungsdienst eingebunden, dem dabei Daten übermittelt würden.

8a. TikTok Pixel und Ereignisse-API

Wir bewerben creatordeal auf TikTok, um Creator zu gewinnen. Um zu sehen, welche Anzeige zu einer abgeschlossenen Creator-Registrierung geführt hat, ist auf EINER einzigen Seite der TikTok Pixel eingebunden: dem Registrierungsformular für Creator unter creatordeal.eu/seller/register. Auf keiner anderen Seite von creatordeal ist er eingebunden. Anbieter ist TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, D02 T380, Irland, für Nutzer im Europäischen Wirtschaftsraum; die Daten können dabei auch an verbundene Unternehmen von TikTok außerhalb des Europäischen Wirtschaftsraums gelangen.

Die Messung läuft auf zwei Wegen, die dasselbe Ereignis beschreiben und über eine gemeinsame Ereigniskennung zusammengeführt werden, damit es nicht doppelt gezählt wird: im Browser über den TikTok Pixel und zusätzlich von unserem Server über die TikTok-Ereignisse-API. Der zweite Weg ist nötig, weil der erste von Werbeblockern regelmäßig unterbunden wird.

Übermittelt werden ausschließlich:

• der Aufruf des Registrierungsformulars;
• die abgeschlossene Creator-Registrierung, gekennzeichnet als „creator";
• eine zufällige Ereigniskennung und der Zeitpunkt, allein zur Entdoppelung der beiden Wege;
• die Adresse der Registrierungsseite und gegebenenfalls die verweisende Seite;
• die Kennungen, die TikTok selbst vergibt: der Klick-Kennwert aus dem Anzeigen-Link (ttclid) und der Browser-Kennwert aus dem eigenen Cookie von TikTok (_ttp);
• die technischen Angaben, die bei jedem Aufruf ohnehin anfallen: IP-Adresse und Browserkennung.

Darüber hinaus wird nichts übermittelt. Wir senden TikTok insbesondere KEINE E-Mail-Adresse, keine Telefonnummer, keinen Namen, keinen Shop- oder Firmennamen und keine Kundennummer — auch nicht in verschlüsselter oder gehashter Form. Die Funktionen von TikTok, die solche Angaben automatisch aus Formularen der Seite auslesen würden („automatischer erweiterter Abgleich" und „verbessertes Daten-Postback"), sind in unserem TikTok-Konto abgeschaltet. Gemessen wird ausschließlich die Registrierung: kein Kauf, kein Warenkorb, kein Betrag, keine Suche, keine Merkliste und kein Aufruf eines Creator-Profils.

Rechtsgrundlage ist ausschließlich Ihre Einwilligung nach Art 6 Abs 1 lit a DSGVO, für das Speichern und Auslesen von Informationen auf Ihrem Gerät in Verbindung mit § 165 Abs 3 TKG 2021. Maßgeblich ist die Wahl, die Sie im Cookie-Hinweis getroffen haben. Ohne Ihre Einwilligung in die Kategorie Marketing wird das Skript von TikTok gar nicht erst geladen, es wird kein Cookie von TikTok gesetzt, und auch unser Server sendet für Sie kein Ereignis an TikTok. Haben Sie noch gar nicht entschieden, gilt dasselbe: Es wird nichts geladen und nichts gesendet.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Verweis „Cookie-Einstellungen" in der Fußzeile. Mit dem Widerruf wird die Messung sofort angehalten; es werden ab diesem Zeitpunkt keine weiteren Ereignisse mehr an TikTok gesendet. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Soweit dabei Daten in die Vereinigten Staaten oder in andere Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden, geschieht das auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. In diesen Ländern besteht kein dem europäischen Recht gleichwertiges Datenschutzniveau; es ist insbesondere nicht auszuschließen, dass Behörden auf die Daten zugreifen und dass Ihnen dagegen keine wirksamen Rechtsbehelfe zur Verfügung stehen.

Für die Erhebung der genannten Daten auf der Registrierungsseite und ihre Übermittlung an TikTok sind creatordeal und TikTok gemeinsam verantwortlich (Art 26 DSGVO); dafür gilt die Vereinbarung über die gemeinsame Verantwortlichkeit, die TikTok für seine Werbekunden bereitstellt. Danach informiert creatordeal Sie über diese Verarbeitung und holt Ihre Einwilligung ein; TikTok ist für die anschließende Verarbeitung in eigener Verantwortung zuständig und beantwortet Anfragen zu seinen Daten. Ihre Rechte nach Punkt 14 können Sie gegenüber creatordeal und gegenüber TikTok geltend machen.

Welche Daten TikTok darüber hinaus in eigener Verantwortung verarbeitet, entnehmen Sie der Datenschutzerklärung von TikTok unter https://www.tiktok.com/legal/page/eea/privacy-policy/de-DE.

9. Zahlen aus Ihren Social-Media-Kanälen

Creator-Profile zeigen Zahlen zur Reichweite. Diese Zahlen stammen entweder aus den Angaben des Creators selbst oder unmittelbar von der Plattform, auf der der Kanal liegt. Für den Weg über die Plattform gibt es zwei Stufen; sie sind getrennt zu betrachten, weil sie unterschiedlich weit reichen und auf unterschiedlichen Grundlagen beruhen.

Stufe 1 — öffentlich sichtbare Werte ohne Verbindung. Sie tragen die Adresse Ihres Kanals selbst in Ihr Creator-Profil ein. Zu dieser Adresse ruft creatordeal die Werte ab, die auf der Kanalseite ohnehin für jeden sichtbar sind — bei YouTube die Zahl der Abonnenten, die Gesamtzahl der Aufrufe und die Zahl der veröffentlichten Videos sowie den Namen und die Kennung des Kanals. Dafür ist weder eine Anmeldung mit Ihrem Konto noch eine sonstige Mitwirkung von Ihnen erforderlich. Je Kanal und Tag wird ein Wert gespeichert, damit sich die Entwicklung über die Zeit darstellen lässt.

Die so abgerufenen Werte treten im Profil an die Stelle der von Ihnen selbst eingetragenen. Sie beenden diese Verarbeitung jederzeit, indem Sie den Kanal aus Ihrem Profil entfernen. Es genügt nicht, nur die verlinkte Adresse zu löschen: Steht der Kanalname weiter im Profil, wird der Kanal auch darüber gefunden.

Rechtsgrundlage der ersten Stufe ist Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse). Das Interesse besteht darin, dass Marken sich auf die angezeigte Reichweite verlassen können: Eine Selbstauskunft lässt sich nicht überprüfen, und wer ehrlich angibt, gerät gegenüber übertriebenen Angaben ins Hintertreffen. Auf Art 6 Abs 1 lit b DSGVO stützen wir diesen Abruf ausdrücklich nicht — Ihr Profil und Ihre Buchungen funktionieren auch ohne ihn; er ist für die Erfüllung des Vertrags also nicht erforderlich, sondern verbessert dessen Qualität. Bei der Abwägung fällt ins Gewicht, dass ausschließlich öffentlich sichtbare, berufsbezogene Werte eines Kanals verarbeitet werden, den Sie selbst und zu genau diesem Zweck angegeben haben, und dass weder Inhalte noch Daten anderer Personen erhoben werden. Sie können der Verarbeitung nach Art 21 DSGVO widersprechen (Punkt 14); der einfachste Weg dazu ist, den Kanal aus dem Profil zu entfernen.

Stufe 2 — verbundenes Konto. Sie können Ihr Konto bei YouTube, Instagram oder TikTok mit creatordeal verbinden. Dazu melden Sie sich bei der jeweiligen Plattform mit Ihren eigenen Zugangsdaten an und erteilen dort die Berechtigung; die Zugangsdaten selbst erfahren wir nicht. Ist ein Konto verbunden, kommen zu den öffentlichen Werten hinzu: Reichweite und Interaktionen (Aufrufe, Likes, Kommentare, geteilte Beiträge), eine zusammengefasste Statistik zu Ihrer Zielgruppe (Altersgruppen, Geschlecht, Länder) sowie die Werte des Beitrags, den Sie zu einem Auftrag geliefert haben. Solange Sie kein Konto verbunden haben, findet diese Verarbeitung nicht statt.

Die Zugangs-Token, mit denen ein Abruf aus einem verbundenen Konto erfolgt, werden verschlüsselt gespeichert. Sie werden nicht angezeigt, nicht in Auskünfte aufgenommen und nicht an Dritte weitergegeben.

Rechtsgrundlage der zweiten Stufe ist Art 6 Abs 1 lit a DSGVO (Einwilligung). Sie erteilen sie im Berechtigungsdialog der Plattform und können sie jederzeit mit Wirkung für die Zukunft widerrufen — bei creatordeal, indem Sie die Verbindung im Creator-Bereich trennen, und bei der Plattform selbst in deren Einstellungen unter den verbundenen Apps. Nach dem Widerruf werden keine weiteren Daten abgerufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Das Verbinden ist freiwillig: Ohne Verbindung entfällt lediglich das Abzeichen für bestätigte Zahlen.

Die Plattformen sind für ihre eigene Verarbeitung selbst verantwortlich. Was Google (YouTube), Meta (Instagram) und TikTok mit Ihrer Anmeldung, der erteilten Berechtigung und den Abrufen machen, richtet sich nach deren eigenen Datenschutzerklärungen; darauf hat creatordeal keinen Einfluss. Für die Abrufe werden Daten an Systeme dieser Anbieter übermittelt, die auch außerhalb der Europäischen Union liegen können; für solche Übermittlungen gilt Punkt 11.

Daten Dritter werden dabei nicht erhoben. Über einzelne Zuschauer, Follower oder Kommentierende erfahren wir nichts; Kommentare, Nachrichten und sonstige Inhalte Ihres Kanals rufen wir nicht ab. Angaben zur Zielgruppe erreichen uns ausschließlich als zusammengefasster Wert — etwa „34 % der Zuschauerschaft ist zwischen 25 und 34 Jahre alt“ —, aus dem sich keine einzelne Person ergibt.

Sichtbar sind die abgerufenen Werte dort, wo bisher die selbst eingetragenen standen: im öffentlichen Creator-Profil, zusammen mit einem Abzeichen, das sagt, woher die Zahlen kommen. Den Verlauf über mehrere Tage bekommt außer Ihnen niemand zu sehen; er ist für die Anzeige in Ihrem Creator-Bereich bestimmt, und wie weit er zurückreicht, hängt von Ihrem Paket ab. Im Betreiber-Bereich ist einsehbar, wann zu einem Kanal zuletzt abgerufen wurde und welche Werte dabei kamen (Punkt 13). Die Werte eines Beitrags, den Sie zu einem Auftrag geliefert haben, sieht zusätzlich der Kunde, der diesen Auftrag bezahlt hat.

Die täglichen Messwerte bleiben gespeichert, solange der Kanal in Ihrem Profil steht. Entfernen Sie den Kanal, oder wird das Profil gelöscht, werden sie mit gelöscht; im Übrigen gelten die Fristen in Punkt 12. Wie Sie eine Löschung verlangen und was dabei mit einer bestehenden Verbindung geschieht, steht auf der Seite „Datenlöschung“ (creatordeal.eu/de/datenloeschung) — diese Erklärung beschreibt den Weg kein zweites Mal.

9a. Web-App und Benachrichtigungen

creatordeal lässt sich auf dem Handy als Web-App auf dem Home-Bildschirm speichern. Dafür meldet Ihr Browser ein kleines Programm unserer Seite an (Service Worker). Es speichert keine Inhalte und leitet keine Seitenaufrufe um. Schließen Sie den Hinweis „creatordeal als App“, merken wir uns das sieben Tage lang im lokalen Speicher Ihres Browsers (Eintrag cd_app_weg); an unseren Server geht dabei nichts. Beides ist für die gewünschte Funktion technisch erforderlich (§ 165 Abs 3 TKG 2021).

Wenn Sie es ausdrücklich einschalten — im Kundenkonto unter Einstellungen oder bei den Nachrichten, im Creator-Panel bei den Nachrichten —, benachrichtigen wir Sie auf diesem Gerät über neue Nachrichten an Sie. Die Benachrichtigung lautet nur „Neue Nachricht“ oder „Neue Nachricht von <Name>“; der Inhalt der Nachricht steht nie darin. Systemmeldungen lösen keine Benachrichtigung aus. Auf der App kann zusätzlich die Zahl ungelesener Nachrichten erscheinen.

Dafür speichern wir zu Ihrem Konto: die Push-Adresse und die zugehörigen Schlüssel, die Ihr Browser dafür erzeugt, die Sprache der Oberfläche, eine grobe Gerätebezeichnung (etwa „iPhone · Safari“) sowie die Zeitpunkte des Einschaltens und der letzten erfolgreichen Zustellung. Rechtsgrundlage ist Ihre Einwilligung nach Art 6 Abs 1 lit a DSGVO.

Zugestellt wird über den Push-Dienst des Herstellers Ihres Browsers: Google (Chrome und Android), Apple (Safari, iPhone und iPad), Mozilla (Firefox) oder Microsoft (Edge unter Windows). Der Dienst erhält die verschlüsselte Benachrichtigung und die Push-Adresse; den Inhalt der Benachrichtigung kann er nicht lesen. Diese Anbieter können die Daten auch in den Vereinigten Staaten verarbeiten (Punkt 11).

Sie können die Einwilligung jederzeit widerrufen: mit demselben Knopf, in den Einstellungen Ihres Browsers oder Geräts, oder indem Sie sich auf dem Gerät abmelden. Wir löschen die gespeicherten Angaben beim Ausschalten, beim Abmelden und sobald der Push-Dienst meldet, dass die Adresse nicht mehr gilt.

9b. Empfehlungsprogramme

Creator können andere Creator und Marken für creatordeal werben (Creator-Vereinbarung § 7a). Registriert sich ein Creator mit dem Code oder über den Link eines anderen Creators, speichern wir, wer wen wann geworben hat, die dabei geltenden Sätze und Laufzeiten sowie die daraus berechneten Anteile.

Sendet ein Kunde über die Bio-Seite eines Creators eine Anfrage, merken wir an seinem Kundenkonto vor, über welchen Creator er gekommen ist; ein späterer Weg über einen anderen Creator ersetzt diese Vormerkung, bis der Kunde zum ersten Mal bucht. Mit der ersten Buchung wird die Zuordnung endgültig, samt Zeitpunkt. Für die Dauer des Programms berechnen wir aus den Buchungen des Kunden den Anteil des werbenden Creators.

Der werbende Creator sieht Geworbene nie mit Namen, sondern nur unter einer neutralen Kennung, zusammen mit dem Stand der Buchung und seinem Anteil. Inhalte von Buchungen, Briefings und Nachrichten sieht er nicht.

Rechtsgrundlage ist gegenüber dem werbenden Creator Art 6 Abs 1 lit b DSGVO (Creator-Vereinbarung), gegenüber geworbenen Creatorn und Kunden Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist, das Programm korrekt abzurechnen. Sie können der Zuordnung nach Art 21 DSGVO widersprechen (Punkt 14). Die Zuordnung wird mit dem Kundenkonto gelöscht; die Abrechnung der Anteile bewahren wir mit den Buchhaltungsunterlagen auf (Punkt 12).

10. Empfänger und Auftragsverarbeiter

Daten werden nur weitergegeben, soweit das für die Abwicklung erforderlich ist oder eine rechtliche Pflicht besteht. Mit Dienstleistern, die im Auftrag verarbeiten, bestehen Verträge nach Art 28 DSGVO.

• Hetzner Online GmbH — Betrieb des Servers einschließlich der Speicherung der von Creatorn hochgeladenen Videos.
• Stripe — Zahlungsabwicklung und Auszahlung.
• Revolut Bank UAB (Litauen) und die an einer Überweisung beteiligten Banken — Auszahlung per Überweisung (Punkt 5). Als eigene Verantwortliche.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) — Auszahlung an PayPal (Punkt 5). Als eigener Verantwortlicher.
• TikTok Technology Limited (Irland) — nur mit Ihrer Einwilligung und nur auf der Registrierungsseite für Creator (Punkt 8a).
• Finanzamt — Meldung nach dem Digitale Plattformen-Meldepflichtgesetz (Punkt 5b).
• Google — Versand von E-Mails.
• Google — Anmeldung mit Google, sofern Sie diesen Weg nutzen (Punkt 6a). Hier nicht als Auftragsverarbeiter, sondern als eigener Empfänger.
• Google, Apple, Mozilla oder Microsoft — Zustellung von Benachrichtigungen über den Push-Dienst Ihres Browsers, sofern Sie sie eingeschaltet haben (Punkt 9a).
• Twilio (SendGrid) — Versand von E-Mails (Ausweichweg, falls der Versand über Google scheitert).
• Steuerberatung und Buchhaltung — im Rahmen der gesetzlichen Aufzeichnungspflichten.
• Rechnungs- und Buchhaltungssystem Odoo — künftig, für Rechnungen und Gutschriften. Derzeit noch nicht im Einsatz.
• Behörden und Gerichte — nur, soweit dazu eine rechtliche Verpflichtung besteht.

Zwischen Kunde und Creator werden nur die Daten sichtbar, die für die Abwicklung der gemeinsamen Buchung erforderlich sind. Eine Weitergabe zu Werbezwecken findet nur im Rahmen von Punkt 8a und nur mit Ihrer Einwilligung statt; Inhalte von Buchungen, Briefings, Nachrichten und Dateien geben wir nie zu Werbezwecken weiter.

11. Übermittlung in Drittländer

Der Betrieb findet innerhalb der Europäischen Union statt. In Einzelfällen werden Daten an Dienstleister mit Sitz oder Systemen in den Vereinigten Staaten übermittelt, namentlich an Stripe, an Google und an Twilio (SendGrid), sowie bei eingeschalteten Benachrichtigungen an den Push-Dienst Ihres Browsers (Google, Apple, Mozilla oder Microsoft, Punkt 9a) und mit Ihrer Einwilligung an TikTok (Punkt 8a).

Grundlage dieser Übermittlungen sind die Standardvertragsklauseln der Europäischen Kommission, gegebenenfalls in Verbindung mit der Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework. Eine Kopie der Garantien kann unter der oben genannten Adresse angefordert werden.

Zahlen wir auf Ihren Wunsch an ein Konto außerhalb der Europäischen Union aus, gelangen die für die Überweisung nötigen Angaben an die Bank des Empfängers und an zwischengeschaltete Banken in diesem Land. Diese Übermittlung ist zur Erfüllung des Vertrags mit Ihnen erforderlich (Art 49 Abs 1 lit b DSGVO).

12. Speicherdauer

• Rechnungen, Gutschriften und die dazugehörigen Belege: sieben Jahre ab Ende des Kalenderjahres, in dem sie entstanden sind (abgabenrechtliche Aufbewahrungspflicht).
• Kontodaten: solange das Konto besteht. Nach der Löschung des Kontos werden sie entfernt, soweit keine Aufbewahrungspflicht entgegensteht.
• Nachrichten und Dateien zu einer Bestellung: bis zum Ablauf der Fristen, innerhalb derer Ansprüche aus der Buchung geltend gemacht werden können.
• Nachrichten und Dateien in Gruppen-Chats (Punkt 4): bis zur Löschung der Gruppe oder des eigenen Kontos; eine gelöschte Gruppe samt Nachrichten und Dateianhängen wird nach 90 Tagen endgültig gelöscht, die eigenen Nachrichten samt Dateianhängen zusammen mit dem Konto.
• Protokolldaten des Servers: sieben Tage.
• Auszahlungsdaten (Bankverbindung, PayPal-Adresse): bis zur Änderung oder bis zur Löschung des Kontos; Angaben zu ausgeführten Zahlungen wie Rechnungen und Gutschriften.
• Angaben für die Meldung an das Finanzamt (Punkt 5b): so lange, wie das Digitale Plattformen-Meldepflichtgesetz es verlangt.
• Selbst hochgeladene Videos samt Vorschaubild: bis der Creator das Video aus seinem Profil entfernt, sein Vorstellungsvideo durch ein neues ersetzt oder sein Konto gelöscht wird; danach werden die Dateien gelöscht. Das unbearbeitete Original liegt nur bis zum Abschluss der Umwandlung bei uns, in der Regel wenige Minuten; scheitert die Umwandlung, wird es spätestens nach dem dritten Versuch gelöscht.
• Zuordnung in Empfehlungsprogrammen (Punkt 9b): solange das Konto besteht; die Abrechnung der Anteile wie Rechnungen und Gutschriften.
• Tägliche Messwerte zu einem Social-Media-Kanal (Reichweite, Aufrufe, Interaktionen): solange der Kanal im Profil steht; sie werden mit dem Kanal oder mit dem Profil gelöscht.
• Zustimmungen (Nutzungsbedingungen, Creator-Vereinbarung, Management-Vereinbarung, Gutschriftsverfahren, Erklärungen zum Widerrufsrecht beim Bezahlen): mit Zeitpunkt und Fassung, solange der Nachweis erforderlich ist; die vorige Fassung bleibt als Verlauf daneben stehen.
• Ihre Cookie-Wahl: im lokalen Speicher Ihres Browsers, bis Sie sie ändern oder die Daten Ihres Browsers löschen (Punkt 8). Bei uns liegt sie nicht.
• Angaben zu Benachrichtigungen (Push-Adresse, Schlüssel, Gerät, Sprache): bis Sie sie ausschalten, sich auf dem Gerät abmelden oder der Push-Dienst die Adresse für ungültig erklärt (Punkt 9a). Den Hinweis „creatordeal als App“ merkt sich Ihr Browser sieben Tage.

13. Zugriff innerhalb des Unternehmens

Der Zugriff auf personenbezogene Daten ist auf die Personen beschränkt, die ihn für ihre Aufgabe benötigen. Dabei wird zwischen zwei Ebenen unterschieden.

• Anwendungszugriff: Support und Verwaltung sehen in der Anwendung die Daten, die für Buchungen, Rechnungen und Auszahlungen nötig sind. Für Nachrichten zu einer Bestellung gilt zusätzlich die Beschränkung nach Punkt 4.
• Administrationszugriff: technische Wartung von Server und Datenbank. Er ist auf wenige Personen beschränkt, erfolgt nur zur Instandhaltung, Fehlersuche und Sicherung und dient nicht dazu, Inhalte einzusehen.

Ein technischer Zugang zur Datenbank lässt sich nicht ausschließen, weil er für den Betrieb erforderlich ist. Er ist organisatorisch beschränkt und wird nicht dazu verwendet, die in Punkt 4 beschriebene Beschränkung zu umgehen.

14. Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person verarbeiteten Daten, auf Berichtigung unrichtiger Daten, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht.

Beruht eine Verarbeitung auf einer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Zur Ausübung genügt eine Nachricht an [email protected]. Zur Sicherheit kann eine Überprüfung Ihrer Identität erforderlich sein.

Unabhängig davon können Sie sich bei der Aufsichtsbehörde beschweren. Zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

15. Erforderlichkeit der Angaben

Die Angaben, die im Konto und beim Bezahlen als Pflichtfelder gekennzeichnet sind, werden für den Vertrag oder aufgrund rechtlicher Vorschriften benötigt. Ohne sie kann eine Buchung nicht abgewickelt und keine Auszahlung vorgenommen werden. Alle übrigen Angaben sind freiwillig.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung mit rechtlicher Wirkung findet nicht statt. Über Streitfälle entscheidet stets ein Mensch.

17. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert — etwa weil ein Dienstleister hinzukommt oder wegfällt. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum steht am Anfang.