Verantwortlicher und Datenschutzkontakt
CreatorOffice, vertreten durch HeereHaase Partners FZCO, IFZA Properties, Dubai Silicon Oasis, Vereinigte Arabische Emirate, diese vertreten durch ihre Geschäftsführung (Angaben im Impressum).
Für alle Fragen zum Datenschutz und für Anfragen zu Ihren Rechten erreichen Sie uns unter datenschutz@creatoroffice.de (bitte mit dem Betreff „Datenschutz“) oder per Post an die oben genannte Anschrift.
Ansprechpartner für alle Datenschutzfragen, auch für Personen in der Europäischen Union, ist CreatorOffice selbst unter dieser Adresse. Wir beantworten Anfragen auf Deutsch und Englisch.
Zwei Bereiche, zwei Rollen
Eigene Daten des Kunden. Für die Daten, die wir für den Vertrag mit unseren Kunden und für ihre Konten brauchen (Account, Login, Vertrag, Zahlung, Nutzung, Abrechnung und Supportkommunikation), sowie für die Website ist die HeereHaase Partners FZCO Verantwortlicher.
Daten, die der Kunde in CreatorOffice verarbeitet. Für die Daten, die ein Kunde in CreatorOffice über andere Personen führt, etwa über Talents und Creator, Marken und ihre Ansprechpartner, eigene Kunden, Vertragspartner, Rechnungsempfänger und sonstige Dritte, ist der jeweilige Kunde Verantwortlicher. CreatorOffice verarbeitet diese Daten als Auftragsverarbeiter nach dem Vertrag zur Auftragsverarbeitung.
Wer gemeint ist
„Kunde“ bezeichnet sowohl Talent-/Influencer-Agenturen und Managements als auch selbständig tätige Creator, soweit diese CreatorOffice im Rahmen ihrer gewerblichen oder selbständigen beruflichen Tätigkeit nutzen. „Account-Nutzer“ sind alle Personen mit eigenem Zugang: die Kontoinhaber, die Mitglieder des Teams eines Kunden und eingeladene Creator. „Creator“ oder „Talent“ ist eine Person, die ein Kunde betreut oder die ein eigenes Creator-Konto hat. „Markenansprechpartner“ sind Personen bei Marken und Unternehmen, mit denen ein Kunde zusammenarbeitet; sie unterschreiben etwa Verträge oder geben Inhalte über einen Link frei, meist ohne eigenen Zugang. „Rechnungsempfänger“ erhalten Rechnungen und Mahnungen aus CreatorOffice. „Sonstige Betroffene“ sind alle weiteren Personen, deren Daten ein Kunde einträgt.
Eigene Daten des Kunden
Als Verantwortlicher verarbeiten wir: Kontodaten der Account-Nutzer (Name, E-Mail-Adresse, Sprache, Anmeldezeitpunkte, Einstellungen zum zweiten Faktor) und, wenn die Person die Anmeldung mit Google wählt, Name, E-Mail-Adresse und Kennung des Google-Kontos; Vertrags- und Abrechnungsdaten des Kunden (Firma, Anschrift, Sitzland, Umsatzsteuer-Identifikationsnummer, Tarif, Laufzeit, Zahlungsweg und Zahlungsstand); die Zustimmungen zu AGB, Vertrag zur Auftragsverarbeitung und Nutzungsbedingungen mit Fassung und Zeitpunkt; Nutzungs- und technische Daten (Protokolle des Betriebs, technische Fehler, App-Version, Browser); Supportkommunikation (Support-Tickets, Fehlerberichte, E-Mails); Angaben aus Enterprise-Anfragen.
Daten, die der Kunde in CreatorOffice verarbeitet
Im Auftrag unserer Kunden verarbeiten wir die Inhalte, die Kunden und ihre Account-Nutzer anlegen: Stamm-, Kontakt-, Steuer- und Bankdaten von Creatorn, Daten zu Marken und Ansprechpartnern, Kooperationen, Verträge und Nachweise der elektronischen Unterschrift (Name, Zeitpunkt, IP-Adresse, Gerät, Prüfsumme), Rechnungen, Gutschriften, Zahlungen und Auszahlungen, Nachrichten, Termine, Inhalte der Content-Ablage und Belege. Welche Daten das im Einzelnen sind und auf welcher Rechtsgrundlage sie verarbeitet werden, bestimmt der jeweilige Kunde. Die Einzelheiten der Auftragsverarbeitung regelt der Vertrag zur Auftragsverarbeitung.
Zwecke und Rechtsgrundlagen
Für die eigenen Daten des Kunden: Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Abo, Abrechnung und Support; rechtliche Pflichten (lit. c) für unsere Rechnungs- und Aufbewahrungspflichten; berechtigtes Interesse (lit. f) für Sicherheit, Missbrauchsschutz, Fehleranalyse und den Betrieb von CreatorOffice; Einwilligung (lit. a), wo wir sie erfragen, jederzeit widerrufbar.
Für die Daten, die der Kunde in CreatorOffice verarbeitet, handeln wir auf seine Weisung; die Rechtsgrundlage bestimmt der Kunde als Verantwortlicher. Das gilt auch für Instagram-Auswertungen und WhatsApp-Hinweise, die auf der Einwilligung des jeweiligen Creators beruhen.
Betrieb und Support, auch mit KI
Wir greifen auf Daten in einem Konto nur zu, soweit das im konkreten Fall für Betrieb, Fehlersuche, Wartung, Sicherheit oder technischen Support erforderlich ist, und nur auf die Daten, die der jeweilige Vorgang braucht. Zugreifen dürfen nur wir selbst und von uns befugte Personen, die zur Vertraulichkeit verpflichtet sind.
Dabei setzen wir auch das KI-Modell Claude der Anthropic, PBC, San Francisco, USA, ein. Die Anfragen stellen wir; Datenbankabfragen laufen nur lesend, Änderungen nur über geprüfte Betriebsfunktionen. Antworten an Kunden erstellt Claude nur als Entwurf, den wir prüfen und freigeben, bevor er versendet wird. Jeder Zugriff über dieses Werkzeug wird mit Zeitpunkt, Werkzeug, Angaben zum Aufruf (ohne Inhalte) und Ergebnis protokolliert; das Protokoll löschen wir nach 365 Tagen. Die Daten werden nicht zum Training von KI-Modellen verwendet. Die Verarbeitung durch Anthropic findet in den USA statt; zur Grundlage siehe Übermittlung in Drittländer.
Für eigene Daten des Kunden stützen wir das auf unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO), für Daten, die der Kunde verarbeitet, auf seine Weisung nach dem Vertrag zur Auftragsverarbeitung.
Empfänger und Unterauftragsverarbeiter
Die vollständige Liste mit Sitz, Zweck, Datenkategorien, Speicherort und Grundlage der Übermittlung steht zentral im Vertrag zur Auftragsverarbeitung (Stand der Liste: 07.10.2026). Unterauftragsverarbeiter sind Supabase, Inc. (Datenbank, Speicherort Frankfurt am Main), Cloudflare, Inc. (Auslieferung, Turnstile, Content-Ablage, E-Mail-Weiterleitung), Resend, Inc. (E-Mail-Versand), Anthropic, PBC (KI-gestützter Betrieb und Support), GitHub, Inc. (Ausführung der nächtlichen Datensicherung) und Meta Platforms Ireland Limited (Instagram und WhatsApp). Sie arbeiten auch für die eigenen Daten des Kunden in unserem Auftrag.
Nur eigene Daten des Kunden erhalten außerdem: Stripe für die Zahlung der Tarife, PayPal, wenn der Kunde mit PayPal zahlt, und Google, wenn eine Person sich mit ihrem Google-Konto anmeldet, jeweils über die für den Kunden zuständige Gesellschaft des Anbieters. Diese Anbieter verarbeiten die Daten auch nach ihren eigenen Bedingungen.
Nur mit Einwilligung im Cookie-Banner erhalten außerdem Google Ireland Limited, als eigener Verantwortlicher, und Meta Platforms Ireland Limited, für das Erheben und Übermitteln gemeinsam mit uns verantwortlich, Daten zur Messung unserer Anzeigen und für Remarketing (siehe Google Ads: Conversion-Tracking und Remarketing und Meta-Pixel).
Übermittlung in Drittländer
Die Datenbank und die Dateien von CreatorOffice liegen in der EU. Wir betreiben CreatorOffice von den Vereinigten Arabischen Emiraten aus und greifen von dort auf Daten zu, soweit das für die oben genannten Zwecke erforderlich ist. Für die Vereinigten Arabischen Emirate besteht kein Angemessenheitsbeschluss der EU-Kommission. Für Daten, die wir im Auftrag unserer Kunden verarbeiten, sind dafür die Standardvertragsklauseln der EU-Kommission (Modul 2) Bestandteil des Vertrags zur Auftragsverarbeitung.
Einige Unterauftragsverarbeiter haben ihren Sitz in den USA; Anthropic verarbeitet die Daten dort, GitHub während des nächtlichen Sicherungslaufs. Die Übermittlung erfolgt auf Grundlage der Datenverarbeitungsbedingungen der Anbieter mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln); Einzelheiten stehen in der zentralen Liste im Vertrag zur Auftragsverarbeitung.
Zur Übermittlung bei der Messung unserer Anzeigen in die USA (EU-US Data Privacy Framework) siehe Google Ads: Conversion-Tracking und Remarketing und Meta-Pixel.
Personen in der Schweiz und in Liechtenstein
Für Personen in der Schweiz gilt zusätzlich das Bundesgesetz über den Datenschutz (DSG). Die Grundsätze, Zwecke, Speicherfristen und Rechte in diesen Hinweisen gelten für sie entsprechend. Wo diese Hinweise auf eine Bestimmung der DSGVO verweisen, ist für Personen in der Schweiz die entsprechende Bestimmung des DSG gemeint.
Die Datenbank und die Dateien von CreatorOffice liegen in der EU, deren Datenschutz der Schweizerische Bundesrat als angemessen anerkennt. Für den Zugriff aus den Vereinigten Arabischen Emiraten und für Übermittlungen an Unterauftragsverarbeiter in den USA gelten die Standardvertragsklauseln der EU-Kommission mit den Anpassungen für das Schweizer Recht, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) anerkennt; sie stehen im Vertrag zur Auftragsverarbeitung.
Personen in der Schweiz können sich beim EDÖB beschweren (www.edoeb.admin.ch). Liechtenstein gehört zum Europäischen Wirtschaftsraum; dort gilt die DSGVO unmittelbar, zuständige Aufsichtsbehörde ist die Datenschutzstelle Liechtenstein (www.datenschutzstelle.li).
Instagram-Anbindung
Creator können ihr eigenes professionelles Instagram-Konto mit CreatorOffice verbinden: im Creator-Portal, wenn ihre Agentur das freigeschaltet hat, oder in ihrem eigenen Creator-Konto. Die Anmeldung läuft direkt bei Instagram; CreatorOffice erhält nur die Berechtigungen instagram_business_basic und instagram_business_manage_insights, nie das Passwort und keine Nachrichten.
Abgerufen und gespeichert werden Profilangaben (Benutzername, Name, Biografie, Website, Kontotyp, Zahl der Follower und Beiträge) und das Profilbild, Kennzahlen des Kontos je Tag und über Zeiträume, die Beiträge der letzten 90 Tage mit Link, Vorschaubild und Kennzahlen sowie die Zielgruppe der Follower, nur zusammengefasst nach Alter, Geschlecht, Land und Stadt. Profilbild und Vorschaubilder liegen unter zufällig erzeugten Adressen, damit auch Marken sie über einen freigegebenen Link sehen können. Der Zugangsschlüssel von Instagram liegt verschlüsselt und ist nur für den automatischen Abgleich lesbar.
Zweck ist die Auswertung für den Creator und, wenn er mit einer Agentur arbeitet, für diese Agentur, etwa für Media-Kits und Berichte zu Kooperationen. Rechtsgrundlage ist die Einwilligung des Creators (Art. 6 Abs. 1 lit. a DSGVO), die er jederzeit widerrufen kann. Verantwortlich ist der Kunde, in dessen Konto die Verbindung besteht; wir verarbeiten die Daten in seinem Auftrag. Empfänger sind Meta Platforms Ireland Limited als Anbieter der Schnittstelle sowie Marken, aber nur, wenn der Creator ihnen Kennzahlen ausdrücklich freigibt, und nur im freigegebenen Umfang.
Rohdaten bewahren wir höchstens 90 Tage auf, danach nur Monatssummen. Trennt der Creator die Verbindung, löschen wir sofort den Zugangsschlüssel und alle Instagram-Daten zu seinem Profil, auch die Bilder. Entfernt er CreatorOffice in Instagram, löschen wir sofort Zugangsschlüssel, Rohdaten und Bilder; eine Löschanfrage über Instagram oder per E-Mail löscht zusätzlich die Monatssummen. Alle Wege und Fristen stehen unter Instagram-Daten löschen.
WhatsApp-Hinweise
Agenturen können ihre eigene WhatsApp-Business-Nummer über die offizielle WhatsApp-Business-Plattform von Meta verbinden und ihren Creatorn Hinweise schicken, etwa zu Rechnungen, Verträgen, Terminen oder Nachrichten im Portal. Eine Nachricht geht nur an Creator, die ihre Handynummer selbst im Profil hinterlegt und zugestimmt haben, und nur von ihrer eigenen Agentur. Übermittelt werden die Handynummer, der Vorname und die Angaben der jeweiligen Nachricht. Den Zugang zur Nummer der Agentur speichern wir verschlüsselt.
Rechtsgrundlage ist die Einwilligung des Creators (Art. 6 Abs. 1 lit. a DSGVO); er kann sie jederzeit im Profil oder mit der Antwort STOP widerrufen. Verantwortlich ist die Agentur als Kunde; wir verarbeiten die Daten in ihrem Auftrag. Meta Platforms Ireland Limited verarbeitet die Nachrichten als Anbieter der WhatsApp-Business-Plattform. Antworten der Creator per WhatsApp speichern wir nicht; wir vermerken nur den Zeitpunkt (90 Tage), um höchstens einmal täglich auf das Portal zu verweisen.
Enterprise-Anfrage über das Formular
Wenn Sie über „Gespräch vereinbaren“ eine Enterprise-Anfrage stellen, verarbeiten wir die Angaben aus dem Formular (Name, geschäftliche E-Mail-Adresse, Firma, Land, Größenangaben zu Team, Creatorn und Standorten, freiwillig Rolle, Telefon, Website, bisherige Werkzeuge und Ihre Nachricht), um Ihre Anfrage zu beantworten und ein Angebot vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Die Anfrage wird in unserer Datenbank bei Supabase gespeichert und per E-Mail (Resend) an unseren Support weitergeleitet. Zum Schutz vor automatisierten Anfragen lädt das Formular erst beim Öffnen die Sicherheitsprüfung Cloudflare Turnstile (Cloudflare, Inc., USA); dabei verarbeitet Cloudflare technische Daten wie IP-Adresse und Browsermerkmale (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz vor Missbrauch). Dieselbe Prüfung nutzt die Registrierung. Die gespeicherte Anfrage löschen wir zwölf Monate nach ihrem Eingang.
Demo anfragen und Demo-Termin buchen
Wenn Sie auf creatoroffice.de/demo-anfrage eine Demo anfragen, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihre Firma, freiwillig Ihre Website oder Ihr Instagram-Profil, die Zahl der von Ihnen betreuten Creator, Ihren Wunschzeitraum und Ihre Nachricht, dazu die Sprache und die Herkunft der Anfrage (über welchen Knopf und von welcher unserer Seiten Sie kamen, Kampagnenangaben in der Adresse, bei einer fremden Seite nur deren Domain), um Ihnen Termine vorzuschlagen und das Gespräch vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Sie erhalten eine Eingangsbestätigung, wir eine Benachrichtigung per E-Mail; die Termine schicken wir Ihnen danach per E-Mail mit einem Link zur Buchungsseite. Speicherung, E-Mail-Versand, der Abgleich mit bestehenden Kundenkonten und die Sicherheitsprüfung laufen wie unten für die Buchung beschrieben. Die Anfrage löschen wir 180 Tage nach Eingang.
Wenn Sie auf creatoroffice.de/demo eine Demo buchen, verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihre Firma, freiwillig Ihre Nachricht, den gewählten Termin und die Sprache, um den Termin zu vereinbaren, Ihnen Bestätigung, Kalendereintrag und eine Erinnerung zu schicken und das Gespräch vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Die Buchung wird in unserer Datenbank bei Supabase gespeichert; die E-Mails versenden wir über Resend. Zum Verschieben oder Absagen erhalten Sie einen persönlichen Link; wir speichern davon nur einen nicht umkehrbaren Prüfwert. Wir gleichen Ihre E-Mail-Adresse mit bestehenden Kundenkonten ab, um zu erkennen, ob Sie CreatorOffice bereits testen, und das Gespräch darauf abzustimmen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer passenden Beratung). Zum Schutz vor automatisierten Buchungen nutzt das Formular die Sicherheitsprüfung Cloudflare Turnstile wie unter Enterprise-Anfrage über das Formular beschrieben. Die Buchung löschen wir 90 Tage nach dem Termin, auch wenn er abgesagt wurde.
Interessenten und Kundenbetreuung
Wenn Sie eine Demo anfragen oder buchen, eine Enterprise-Anfrage stellen, ein Konto bei CreatorOffice anlegen oder uns auf eine Nachricht antworten (etwa per E-Mail oder Instagram), führen wir Sie in unserem internen Vertriebssystem. Dort speichern wir Firma, Name der Kontaktperson, geschäftliche E-Mail-Adresse, freiwillig Telefon, Website oder Instagram-Profil, Land und Zahl der betreuten Creator, die Herkunft des Kontakts (Formular, Kampagnenangaben, Empfehlung), den Stand der Gespräche, Notizen zu Gesprächen, E-Mails und Terminen, Aufgaben und die zuständige Person in unserem Team. Angaben aus Demo-Anfragen, Demo-Buchungen und Enterprise-Anfragen übernehmen wir dafür in das Vertriebssystem; dort gelten die Fristen dieses Abschnitts. Besteht ein Kundenkonto, ergänzen wir die Angaben, die wir für die Betreuung brauchen: Ende der Testphase, letzte Anmeldung, ob erste Schritte wie das Anlegen eines Creators, der Versand eines Vertrags, das Erstellen einer Rechnung oder die Verbindung mit Instagram erfolgt sind, Zahl offener Support-Anfragen, Zahlungsprobleme und Kündigungswünsche. Inhalte Ihres Kontos (etwa Creator, Marken, Verträge oder Rechnungen) liest das Vertriebssystem nicht. Zweck ist, Ihre Anfrage zu beantworten, Sie im Test und als Kunde zu betreuen und Ihnen unser Angebot passend vorzustellen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen und Vertrag; soweit es darüber hinausgeht, Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Betreuung von Interessenten und Kunden). Zugriff haben nur unsere Mitarbeiter in Vertrieb und Verwaltung, jeweils mit zweitem Faktor bei der Anmeldung; Zugriffe werden protokolliert. Die Daten liegen in unserer Datenbank bei Supabase. Adresslisten aus fremden Quellen übernehmen wir nicht in das Vertriebssystem.
Sie können der Verarbeitung für diese Zwecke jederzeit widersprechen, etwa unter datenschutz@creatoroffice.de. Dann löschen wir Ihre Kontaktdaten und die Notizen im Vertriebssystem sofort und behalten nur eine nicht umkehrbare Prüfsumme Ihrer E-Mail-Adresse, damit wir Sie nicht erneut automatisch aufnehmen. Ohne Widerspruch löschen wir die Angaben 24 Monate nach dem letzten Kontakt, solange kein Kundenkonto besteht; besteht ein Konto, gelten die Fristen für Konten und Kundendaten.
Fehler melden und Support
Über „Melden“ an einer Fehlermeldung oder unter „Hilfe & Support“ können angemeldete Nutzer uns einen Fehler melden. Beim Klick auf „Melden“ wird ein Bild der aktuellen Seite erstellt. Eingabefelder werden automatisch geschwärzt. Die Person sieht das Bild vor dem Absenden und kann es abwählen; dann wird es nicht übertragen. Mitgeschickt werden außerdem die Meldung, die betroffene Seite ohne Kennungen und Parameter, die letzten Schritte im Portal (Seitenwechsel und die Beschriftung geklickter Knöpfe, nie eingegebene Werte), technische Fehlerangaben, App-Version, Browser und Bildschirmgröße sowie eine freiwillige Beschreibung. E-Mail-Adressen, IBANs, Zugangsschlüssel und lange Zahlen entfernen wir vor dem Speichern automatisch. Zweck ist die Behebung von Fehlern (Art. 6 Abs. 1 lit. b DSGVO; für Daten, die ein Kunde verantwortet, in seinem Auftrag). Fehlerberichte bewahren wir bis zur Fehlerbehebung und anschließend für einen begrenzten Nachweiszeitraum auf, längstens 180 Tage.
Agenturen und andere Kunden können außerdem Support-Tickets mit Anhängen anlegen. Wir speichern Betreff, Nachrichten, Anhänge und den Verlauf des Tickets, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO), und benachrichtigen per E-Mail über Antworten. Gelöste und geschlossene Tickets löschen wir zwei Jahre nach der letzten Änderung samt Nachrichten und Anhängen; offene Tickets bleiben bis zu ihrem Abschluss. Mit der endgültigen Löschung des Kundenkontos entfallen Tickets auch früher.
Speicherdauer
Konten und Kundendaten. Kontodaten der Account-Nutzer speichern wir, solange der Zugang besteht; nach einem Löschantrag löschen wir das Anmeldekonto spätestens nach 14 Tagen. Nach dem Ende eines Kundenvertrags ist das Portal gesperrt; mindestens 90 Tage lang kann der Kunde seine Daten und Belege exportieren (Export-Phase). Danach bleiben nur Rechnungen, Gutschriften, Stornos, Zahlungs- und Buchungsdaten und unterschriebene Verträge bis zum Ende der Aufbewahrungsdauer, die sich nach dem Sitzland des Kunden richtet; Einzelheiten stehen im Vertrag zur Auftragsverarbeitung. Unsere eigenen Vertrags- und Abrechnungsdaten zu einem Kunden (Vertrag, Rechnungen, Zahlungen und die dazugehörige Korrespondenz) bewahren wir sieben Jahre nach Ende des Geschäftsjahres auf, auf das sie sich beziehen, weil das Körperschaftsteuerrecht der Vereinigten Arabischen Emirate das vorschreibt (Art. 56 Bundesdekret-Gesetz Nr. 47/2022), während einer laufenden Steuerprüfung oder eines Rechtsstreits bis zu deren Abschluss. Schreibt ein anderes Recht, dem wir unterliegen, eine längere Frist vor, gilt diese.
Protokolle und Betrieb. Betreiber- und KI-Protokoll 365 Tage; Fehlerberichte bis zur Fehlerbehebung und anschließend für einen begrenzten Nachweiszeitraum, längstens 180 Tage; automatisch erfasste technische Fehler ohne Meldung 30 Tage; Support-Tickets zwei Jahre nach Abschluss (gelöst oder geschlossen), samt Nachrichten und Anhängen; Postausgang und Zustellereignisse von E-Mails 6 Monate; versendete Mails zu Rechnungen, Gutschriften, Stornos, Zahlungen und Mahnungen so lange wie die Rechnung (Aufbewahrungspflicht für Geschäftsbriefe nach dem Sitzland des Kunden), nach einer Kündigung zusammen mit den aufbewahrten Belegen; erledigte Benachrichtigungen 12 Monate; Aufrufe von Freigabelinks, Media-Kits und Berichten 180 Tage; Enterprise-Anfragen 12 Monate. Zugriffs- und Anmeldeprotokolle unserer Hosting-Anbieter: Supabase speichert die Protokolle der Datenbank- und API-Zugriffe und die Anmeldeprotokolle jeweils 7 Tage (Vorgaben des Tarifs). Bei Cloudflare ist eine Speicherung der HTTP-Zugriffsprotokolle (Logpull) für creatoroffice.de nicht eingeschaltet; die Reichweitenmessung liefert nur zusammengefasste Zahlen ohne IP-Adressen.
Einzelne Funktionen. Demo-Anfragen 180 Tage nach Eingang; Demo-Buchungen 90 Tage nach dem Termin; Angaben zu Interessenten im Vertriebssystem 24 Monate nach dem letzten Kontakt, solange kein Kundenkonto besteht, nach einem Widerspruch die Kontaktdaten sofort; Instagram-Rohdaten 90 Tage, danach nur Monatssummen, Vermerk über einen Löschwunsch 12 Monate; Zeitpunkt der letzten WhatsApp-Antwort 90 Tage; beim Abgleich mit dem Kontoauszug Name, Verwendungszweck und Konto des Auftraggebers nach 180 Tagen (vom Kunden einstellbar zwischen 30 und 730 Tagen).
Datensicherungen. Die Datenbank und die gespeicherten Belegdateien sichern wir jede Nacht in einen getrennten Speicher in der EU (Cloudflare R2). Gelöschte Daten liegen dort noch bis zu 30 Tage vor und werden dann mit der jeweiligen Sicherung gelöscht. Auf die Sicherungen greifen wir nur zurück, um den Betrieb nach einem Ausfall oder Fehler wiederherzustellen.
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, das Recht, Einwilligungen jederzeit zu widerrufen, und das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Soweit wir Daten auf unser berechtigtes Interesse stützen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.
Diese Rechte haben auch Personen ohne eigenen Zugang zu CreatorOffice, etwa Markenansprechpartner, Rechnungsempfänger oder Unterzeichner. Für Daten, die ein Kunde in CreatorOffice über Sie führt, ist dieser Kunde Verantwortlicher, also die Agentur, das Management oder der selbständige Creator, mit dem Sie zu tun haben. Wenden Sie sich am besten direkt an ihn. Sie können sich auch an uns wenden: Wir leiten Ihre Anfrage unverzüglich an den zuständigen Kunden weiter und unterstützen ihn bei der Antwort. Wissen Sie nicht, welcher Kunde Ihre Daten führt, nennen Sie uns den Zusammenhang, etwa die Agentur, die Marke oder die Rechnung.
Für die eigenen Daten des Kunden und die Website wenden Sie sich direkt an uns: datenschutz@creatoroffice.de. Account-Nutzer können Daten, die über sie geführt werden, zum Teil selbst herunterladen; Creator etwa im Creator-Portal unter Konto.
Reichweitenmessung
Auf der Website creatoroffice.de und im Portal app.creatoroffice.de nutzen wir Cloudflare Web Analytics, einen Dienst unseres Hosting-Anbieters Cloudflare, Inc. Er zählt Seitenaufrufe ohne Cookies und ohne Speicherung im Browser und bildet keine Nutzerprofile. Erfasst werden die aufgerufene Seite, die verweisende Seite, Browser- und Gerätetyp, das aus der IP-Adresse abgeleitete Land sowie Ladezeiten der Seite; die IP-Adresse selbst wird dafür nicht gespeichert. Wir sehen nur zusammengefasste Zahlen, mit denen wir erkennen, welche Inhalte gelesen werden und wie schnell die Seiten laden. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Website (Art. 6 Abs. 1 lit. f DSGVO). Sitz von Cloudflare und Grundlage der Übermittlung stehen in der Liste der Unterauftragsverarbeiter. Inhalte aus dem Portal, etwa Kooperationen, Rechnungen oder Nachrichten, werden dabei nicht übertragen.
Besuche über Kampagnen-Links. Ruft jemand creatoroffice.de über einen Link mit Kampagnen-Parametern auf (etwa utm_source oder utm_medium aus unseren E-Mails), zählen wir diesen Besuch zusätzlich selbst. Gespeichert werden nur Tageszahlen: Tag, aufgerufene Seite, die Kampagnen-Parameter, die Art der verweisenden Seite (zum Beispiel Suchmaschine oder E-Mail) und das aus der IP-Adresse abgeleitete Land, ohne Cookies, ohne Kennung und ohne Speicherung im Browser. Zum Schutz vor gefälschten Zählungen begrenzen wir die Zählungen je Herkunft; dafür wird die IP-Adresse nur in gehashter (pseudonymisierter), gekürzter Form mit einem täglich wechselnden Zufallswert verarbeitet und nach spätestens einer Stunde gelöscht. Die IP-Adresse selbst speichern wir nicht. Zweck ist zu erkennen, welche Kampagnen Besuche bringen, und Missbrauch der Zählung zu verhindern. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Tageszahlen enthalten keinen Personenbezug.
Klicks auf „Kostenlos testen“. Klickt jemand auf creatoroffice.de auf einen Knopf, der zur Registrierung führt, zählen wir das selbst: Tag, aufgerufene Seite, die Art der verweisenden Seite (zum Beispiel Suchmaschine oder eine unserer Seiten) und das aus der IP-Adresse abgeleitete Land. Das geschieht ohne Cookies, ohne Kennung und ohne Speicherung im Browser; für den Schutz vor gefälschten Zählungen gilt dasselbe wie bei Kampagnen-Links. Zweck ist zu erkennen, welche Seiten zu Registrierungen führen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Herkunft bei der Registrierung. Registrieren Sie sich über die Website, speichern wir zu Ihrem Konto, auf welcher unserer Seiten Sie auf „Registrieren“ geklickt haben, den Domainnamen der Seite, von der Sie zuvor kamen (etwa google.com), und Kampagnen-Parameter aus dem Link. Kamen Sie über einen Link mit Kampagnen-Parametern auf die Website (etwa aus einer E-Mail oder als Empfehlungslink eines bestehenden Kunden), reicht die Website diese Parameter beim Klick auf „Registrieren“ an die Registrierung weiter, ohne sie in Ihrem Browser zu speichern; bei einem Empfehlungslink gehört dazu eine Kennung des empfehlenden Kontos, damit wir die Empfehlung zuordnen und dem empfehlenden Kunden die Gratismonate des Empfehlungsprogramms gutschreiben können. Zweck ist zu erkennen, über welche Seiten und Kampagnen Kunden zu uns finden. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Angabe bleibt gespeichert, solange das Konto besteht.
Google Ads: Conversion-Tracking und Remarketing
Wir schalten Anzeigen bei Google. Um zu messen, ob ein Klick auf eine unserer Anzeigen zu einem neuen Konto, einem abgeschlossenen Abo oder einer Demo-Anfrage bei CreatorOffice führt, und um Besuchern unserer Website später wieder Anzeigen von CreatorOffice zeigen zu können, nutzen wir mit Ihrer Einwilligung das Conversion-Tracking und die Remarketing-Funktion von Google Ads. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).
Was dabei passiert. Erst wenn Sie im Cookie-Banner „Akzeptieren“ wählen, laden creatoroffice.de und die Anmelde-, Registrierungs- und Einrichtungsseiten von app.creatoroffice.de das Google-Tag (gtag.js) von Google, außerdem die Seite, auf die Sie nach dem Hinterlegen einer Zahlungsart oder dem Abschluss eines Abos bei Stripe oder PayPal zurückkehren. Dabei setzt das Google-Tag das Cookie „_gcl_au“ auf creatoroffice.de; sind Sie über eine Google-Anzeige zu uns gekommen, speichert es zusätzlich eine Klick-Kennung im Cookie „_gcl_aw“. Legen Sie danach ein neues Konto an, melden wir Google einmal das Ereignis „Registrierung“. Hinterlegen Sie für den Testzeitraum eine Zahlungsart, melden wir Google einmal das Ereignis „Test mit Karte“; schließen Sie ein Abo ohne Testzeitraum ab, melden wir einmal das Ereignis „Abo abgeschlossen“ mit dem Preis des ersten Abrechnungszeitraums. Fragen Sie auf creatoroffice.de eine Demo an, melden wir Google einmal das Ereignis „Demo-Anfrage“ (ohne Name, E-Mail-Adresse oder Inhalte der Anfrage). Dabei erhält Google von Ihrem Browser insbesondere die Klick-Kennung, die aufgerufene Seite, den Zeitpunkt, Ihre IP-Adresse und Angaben zu Browser und Gerät, dazu die technische Kennung des neuen Kontos (eine zufällige Zeichenfolge), damit Google eine Registrierung oder ein Abo nicht doppelt zählt. Name, E-Mail-Adresse, Zahlungsdaten und Inhalte aus dem Portal übermitteln wir nicht. Wir erhalten von Google nur zusammengefasste Zahlen, etwa wie viele Registrierungen, Abos und Demo-Anfragen auf eine Anzeige folgten; einzelne Personen erkennen wir daraus nicht. Für das Remarketing nimmt Google Besucher unserer Seiten in eine Zielgruppe auf, der wir in der Google-Suche, auf YouTube und auf Partnerseiten von Google bis zu 180 Tage lang wieder Anzeigen von CreatorOffice zeigen können; wer zu dieser Zielgruppe gehört, sehen wir nicht. Dafür nutzt Google außerdem eigene Cookies auf Google-Domains (etwa doubleclick.net), die Sie in Ihrem Browser oder unter adssettings.google.com verwalten können. Google Analytics ist dabei ausgeschaltet.
Zweck und Rechtsgrundlage. Zweck ist, den Erfolg unserer Anzeigen zu messen, unser Werbebudget danach auszurichten und Besuchern unserer Website später wieder Anzeigen von CreatorOffice zu zeigen. Rechtsgrundlage für das Speichern und Auslesen der Cookies auf Ihrem Gerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die weitere Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung lädt kein Google-Skript und es entsteht kein Google-Cookie; Website und Portal funktionieren genauso.
Google als eigener Verantwortlicher. Google verarbeitet die Daten auch für eigene Zwecke in eigener Verantwortung, etwa zur Personalisierung von Werbung. Dafür gelten die Datenschutzbedingungen von Google für Verantwortliche bei Google Ads (Google Ads Controller-Controller Data Protection Terms) und die Datenschutzerklärung von Google unter policies.google.com/privacy.
Übermittlung in die USA. Google kann die Daten an Google LLC in den USA übermitteln. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Für Personen in der Schweiz gilt entsprechend das Swiss-US Data Privacy Framework.
Speicherdauer. Ihre Wahl im Cookie-Banner speichern wir im Cookie „co_einwilligung“ für 6 Monate; danach fragen wir erneut. Die Google-Cookies „_gcl_aw“ und „_gcl_au“ bleiben bis zu 90 Tage gespeichert. Damit eine Registrierung nicht doppelt gemeldet wird, merkt sich die App nach Ihrer Einwilligung im lokalen Speicher Ihres Browsers, für welches Konto sie schon gemeldet wurde; ebenso beim Test mit Karte und beim Abo. Wie lange Google die erhaltenen Daten aufbewahrt, legt Google fest.
Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ in der Fußzeile der Website und der Anmelde-, Registrierungs- und Einrichtungsseiten der App, dort „Ablehnen“ wählen. Dabei löschen wir die Google-Cookies auf creatoroffice.de; Cookies auf Google-Domains löschen Sie in Ihrem Browser. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Meta-Pixel
Wir schalten auch Anzeigen bei Instagram und Facebook. Um zu messen, ob ein Klick auf eine dieser Anzeigen zu einem neuen Konto, einem abgeschlossenen Abo oder einer Demo-Anfrage bei CreatorOffice führt, und um Besuchern unserer Website dort später wieder Anzeigen von CreatorOffice zeigen zu können, nutzen wir mit Ihrer Einwilligung das Meta-Pixel. Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“).
Was dabei passiert. Erst wenn Sie im Cookie-Banner „Akzeptieren“ wählen, laden creatoroffice.de und die Anmelde-, Registrierungs- und Einrichtungsseiten von app.creatoroffice.de das Meta-Pixel (fbevents.js) von Meta, außerdem die Seite, auf die Sie nach dem Hinterlegen einer Zahlungsart oder dem Abschluss eines Abos bei Stripe oder PayPal zurückkehren. Es meldet Meta den Aufruf der Seite („PageView“) und speichert eine Kennung im Cookie „_fbp“ auf creatoroffice.de; sind Sie über eine Anzeige bei Instagram oder Facebook zu uns gekommen, zusätzlich die Klick-Kennung im Cookie „_fbc“. Legen Sie danach ein neues Konto an, melden wir Meta einmal das Ereignis „CompleteRegistration“. Hinterlegen Sie für den Testzeitraum eine Zahlungsart, melden wir Meta einmal das Ereignis „StartTrial“; schließen Sie ein Abo ohne Testzeitraum ab, melden wir einmal das Ereignis „Subscribe“ mit dem Preis des ersten Abrechnungszeitraums. Fragen Sie auf creatoroffice.de eine Demo an, melden wir Meta einmal das Ereignis „Lead“ (ohne Name, E-Mail-Adresse oder Inhalte der Anfrage). Dabei erhält Meta von Ihrem Browser insbesondere diese Kennungen, die aufgerufene Seite, den Zeitpunkt, Ihre IP-Adresse und Angaben zu Browser und Gerät, dazu die technische Kennung des neuen Kontos (eine zufällige Zeichenfolge), damit Meta eine Registrierung oder ein Abo nicht doppelt zählt. Sind Sie bei Instagram oder Facebook angemeldet, kann Meta diese Daten Ihrem Konto dort zuordnen. Name, E-Mail-Adresse, Zahlungsdaten und Inhalte aus dem Portal übermitteln wir nicht. Wir erhalten von Meta nur zusammengefasste Zahlen, etwa wie viele Registrierungen, Abos und Demo-Anfragen auf eine Anzeige folgten; einzelne Personen erkennen wir daraus nicht. Für das Remarketing können wir Besucher unserer Seiten bei Meta in eine Zielgruppe aufnehmen (Custom Audience), der wir bei Instagram und Facebook bis zu 180 Tage lang wieder Anzeigen von CreatorOffice zeigen; wer zu dieser Zielgruppe gehört, sehen wir nicht. Dafür nutzt Meta außerdem eigene Cookies auf Meta-Domains (etwa facebook.com), die Sie in Ihrem Browser oder in den Werbepräferenzen bei Instagram oder Facebook verwalten können.
Zweck und Rechtsgrundlage. Zweck ist, den Erfolg unserer Anzeigen bei Instagram und Facebook zu messen, unser Werbebudget danach auszurichten und Besuchern unserer Website später wieder Anzeigen von CreatorOffice zu zeigen. Rechtsgrundlage für das Speichern und Auslesen der Cookies auf Ihrem Gerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die weitere Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung lädt kein Meta-Skript und es entsteht kein Meta-Cookie; Website und Portal funktionieren genauso.
Gemeinsame Verantwortung mit Meta. Für das Erheben der Daten auf unseren Seiten und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Dafür gilt die Vereinbarung von Meta für gemeinsam Verantwortliche (Controller Addendum), abrufbar unter facebook.com/legal/controller_addendum. Danach ist Meta dafür zuständig, Ihnen die Rechte nach Art. 15 bis 20 DSGVO für die bei Meta gespeicherten Daten zu gewähren; Sie können sich aber auch an uns wenden. Die weitere Verarbeitung nach der Übermittlung, auch für eigene Zwecke von Meta wie die Personalisierung von Werbung, verantwortet Meta allein; dafür gilt die Datenschutzrichtlinie von Meta unter facebook.com/privacy/policy.
Übermittlung in die USA. Meta kann die Daten an Meta Platforms, Inc. in den USA übermitteln. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Für Personen in der Schweiz gilt entsprechend das Swiss-US Data Privacy Framework.
Speicherdauer. Die Meta-Cookies „_fbp“ und „_fbc“ bleiben bis zu 90 Tage gespeichert. Wie lange Meta die erhaltenen Daten aufbewahrt, legt Meta fest.
Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ in der Fußzeile der Website und der Anmelde-, Registrierungs- und Einrichtungsseiten der App, dort „Ablehnen“ wählen. Dabei teilen wir Meta den Widerruf mit und löschen die Meta-Cookies auf creatoroffice.de; Cookies auf Meta-Domains löschen Sie in Ihrem Browser. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Stand, Änderungen und frühere Fassungen
Fassung vom 27.10.2026, Stand 27.10.2026. Neu gegenüber der Fassung vom 24.10.2026: Cookie-Banner mit Einwilligung, Messung unserer Anzeigen bei Google, Instagram und Facebook und Remarketing (Abschnitte „Google Ads: Conversion-Tracking und Remarketing“ und „Meta-Pixel“), dazu angepasst die Abschnitte „Cookies und lokale Speicherung“, „Empfänger“ und „Übermittlung in Drittländer“. Neu in der Fassung vom 24.10.2026 gegenüber der Fassung vom 23.10.2026: feste Speicherdauer unserer eigenen Vertrags- und Abrechnungsdaten (sieben Jahre nach Ende des Geschäftsjahres) und Geltung der Export-Phase für Bestandskunden erst mit ihrer Zustimmung zur neuen AGB-Fassung. Neu in der Fassung vom 23.10.2026 gegenüber der Fassung vom 20.10.2026: Nach dem Ende eines Kundenvertrags ist das Portal gesperrt; statt der Nur-Lesen-Phase gilt eine Export-Phase von mindestens 90 Tagen (Speicherdauer). Neu in der Fassung vom 20.10.2026 gegenüber der Fassung vom 16.10.2026: Abschnitt „Demo-Termin buchen“ (Buchung einer Demo auf creatoroffice.de/demo) und die Speicherdauer der Demo-Buchungen. Neu in der Fassung vom 16.10.2026 gegenüber der Fassung vom 07.10.2026: Speicherdauer der Zugriffs- und Anmeldeprotokolle bei Supabase jetzt jeweils 7 Tage (Wechsel in den Tarif Pro), eigene Zählung von Besuchen über Kampagnen-Links (Reichweitenmessung) und ein eigener Abschnitt für Personen in der Schweiz und in Liechtenstein (Schweizer Datenschutzgesetz, EDÖB). Neu in der Fassung vom 07.10.2026 gegenüber der Fassung vom 06.10.2026: nächtliche Datensicherung mit 30 Tagen Aufbewahrung (Speicherdauer) und Speicherort der Zustelldaten bei Resend (Liste der Unterauftragsverarbeiter). Neu in der Fassung vom 06.10.2026 gegenüber der Fassung vom 25.09.2026: Trennung zwischen eigenen Daten des Kunden und Daten, die der Kunde verarbeitet; Creator-Konten; Betrieb und Support mit KI-Unterstützung; Übermittlung in Drittländer; einheitliche Speicherfristen; Fehler melden und Support. Wesentliche Änderungen dieser Hinweise kündigen wir den Kontoinhabern vorher per E-Mail und im Produkt an.
Frühere Fassungen: Fassung vom 25.09.2026 (mit den Ergänzungen vom 01.10. und 02.10.2026, abgelöst durch die Fassung vom 06.10.2026); Fassung vom 06.10.2026 (abgelöst durch die Fassung vom 07.10.2026); Fassung vom 07.10.2026 (abgelöst durch die Fassung vom 16.10.2026); Fassung vom 16.10.2026 (abgelöst durch die Fassung vom 20.10.2026); Fassung vom 20.10.2026 (abgelöst durch die Fassung vom 23.10.2026); Fassung vom 23.10.2026 (abgelöst durch die Fassung vom 24.10.2026); Fassung vom 24.10.2026 (abgelöst durch die Fassung vom 27.10.2026).
Fassung vom 27.10.2026 · Stand 27.10.2026 · Zum Sichern als PDF: Seite drucken und „Als PDF sichern“ wählen.