Datenschutzerklärung (DSGVO-Hinweis)

1. Verantwortlicher und Kontakt

Für Datenschutzfragen, Betroffenenanfragen oder Fragen zu dieser Erklärung erreichen Sie uns unter der oben genannten E-Mail-Adresse. Solange wir keinen anderen Datenschutzkontakt veröffentlichen, ist diese Adresse unsere Datenschutz-Kontaktstelle.

Die Ciberdime GmbH hat derzeit keinen separaten Kontakt eines Datenschutzbeauftragten veröffentlicht. Falls ein Datenschutzbeauftragter bestellt wird oder eine Veröffentlichungspflicht besteht, aktualisieren wir diese Erklärung mit den entsprechenden Kontaktdaten. Bis dahin nutzen Sie bitte die oben genannten Kontaktdaten für Datenschutzanfragen.

2. Welche Daten wir verarbeiten

• Konto- und Identitätsdaten: Name, E-Mail-Adresse, Profilbild, Login-Anbieter, Teammitgliedschaften, Rollen, Berechtigungen, Kontoeinstellungen und Authentifizierungsdaten.
• Daten verbundener Social Accounts: Konto-IDs, Nutzernamen, Profilinformationen, erteilte Berechtigungen, Tokens, verbundene Seiten oder Kanäle, Content-Metadaten, Captions, Thumbnails, Post- und Videometriken, Zielgruppen- oder Demografiedaten, soweit die jeweilige Plattform sie bereitstellt, sowie Medieninhalte, deren Zugriff Sie von verbundenen Plattformen wie TikTok, Instagram, Facebook, Threads, YouTube, Twitch, Kick, X, Bluesky, LinkedIn und Pinterest autorisieren. Je nach Plattform umfasst das: eigene X-Posts, deren öffentliche Engagement-Metriken und, soweit Ihr X-Projekt dazu berechtigt ist, nicht-öffentliche Impression- und Engagement-Metriken; öffentliche Bluesky-Posts mit Likes, Reposts, Antworten und Zitaten; LinkedIn-Mitgliedsprofil- Analysen, Analysen von Ihnen verwalteter LinkedIn-Seiten sowie bekannte Posts mit ihren Statistiken; Threads-Posts, Post- und Konto-Insights sowie Follower-Demografien; Pinterest-Boards, Pins, Pin- und Konto-Analysen und bei Business-Konten Audience-Insights.
• Kommentare und Antworten: Kommentare, Antworten und Antwort-Threads zu Ihren verbundenen Posts (Instagram, Facebook, TikTok, YouTube, X, Bluesky, LinkedIn und Threads) sowie Livestream-Chatnachrichten, einschließlich des öffentlichen Anzeigenamens und der Profilreferenz der kommentierenden Person, die wir für Kommentar-Insights und Sentiment-Analysen für die Creator und Teams nutzen, mit denen Sie Inhalte teilen.
• Medienkopien und abgeleitete Daten: Kopien von Post-Bildern, Thumbnails und Videos, die wir zu Kampagnenberichten aufbewahren, damit vereinbarte Berichte nachprüfbar bleiben, aus Bildern extrahierter Text (OCR), Video-Transkripte sowie KI-Auswertungen zur Erkennung von Kampagnen-Erwähnungen.
• Kampagnen- und Workspace-Daten: Teams, Creator, Creator-Verzeichnisse, Einladungen, Kampagneneinstellungen, Deliverables, getrackte Medien, Reports, Freigaben, Löschungen, Entscheidungen im Mention Review, Kommentare und interne Notizen.
• Livestream- und Clipping-Daten: Twitch- und Kick-Stream-Metadaten, getrackte Stream-Zeiträume, erkannte Kampagnen-Erwähnungen, Zuschauer-Kontext, Transkripte, kurze Clips, Thumbnails, Review-Status und KI-Auswertungen, soweit Livestream-Tracking oder Clipping aktiviert ist.
• Link-Tracking-Daten: Short-Link-Einstellungen, Custom Domains, Slugs, UTM-Werte, Klickzeitpunkte, Referrer, User-Agent-Informationen, ungefähre aus Anfrage-Daten abgeleitete Standorte, Unique Clicks und weitere technische Analysedaten zur Link-Performance.
• Website-, Log- und Gerätedaten: IP-Adresse, Browser, Gerät, Betriebssystem, Referrer, abgerufene Seiten, Zeitstempel, Sicherheitslogs und Nutzungsereignisse.
• Abrechnungs- und Supportdaten: Tarif, Billing- Status eines Teams, Paddle-Kunden- oder Transaktionsreferenzen, Rechnungen, Kündigungen, Erstattungsanfragen und Supportnachrichten.

3. Zwecke und Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontoerstellung, Login, Dashboard-Zugriff, Analytics, Reporting, Link-Tracking, Abrechnungssupport, Kundensupport und KI-gestützte Kampagnenfunktionen wie Mention Detection, Transkription, Clip-Auswertung und abgeleitete Metadaten, soweit diese Funktionen als Teil des angefragten Dienstes aktiviert sind.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): optionale Analyse-Cookies, Social-Account-Verbindungen, soweit ein Plattform- oder OAuth-Flow eine Einwilligung erfordert, und optionale Kampagnenfreigaben durch Creator.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit, Missbrauchsprävention, Diagnosen, Produktverbesserung, Audit-Logs, Betrugsprävention und begrenzte B2B-Kommunikation wie vertragsbezogene Servicemitteilungen, Produkt- oder Sicherheitsupdates für Geschäftskontakte und Customer-Success- Kontaktaufnahme. Marketing-Newsletter oder vergleichbare werbliche E-Mail-Kampagnen versenden wir nur, wenn dafür eine separate Rechtsgrundlage besteht. Sie können der Verarbeitung auf dieser Grundlage widersprechen.
• Rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Steuer-, Handels-, Verbraucher- und Compliance-Pflichten, rechtmäßige Auskunftsersuchen und gesetzliche Aufbewahrung.

4. Weitergabe und Empfänger

Wir verkaufen keine personenbezogenen Daten und nutzen Daten von Google, YouTube, TikTok, Meta, Twitch, Kick, X, LinkedIn, Pinterest oder Bluesky nicht für Werbung, nicht zum Targeting von Werbung und nicht zum Aufbau von Zielgruppen außerhalb des Dienstes. Wir kombinieren Plattformdaten einer Person nicht mit Daten anderer Dienste, außer soweit dies zur Bereitstellung der angeforderten Funktionen erforderlich ist, und verknüpfen ein X-Konto ohne ausdrückliche Einwilligung der Kontoinhaberin oder des Kontoinhabers nicht mit anderen Identitäten. Eine Weitergabe erfolgt nur, soweit sie für den Dienst erforderlich ist:

• an Brands, Agenturen oder Teams, wenn ein Creator Zugriff gewährt oder ein Teammitglied den Workspace nutzt;
• an Infrastruktur-, Analyse-, E-Mail-, Zahlungs-, Speicher-, KI-, Transkriptions- und Supportanbieter auf unserer Unterauftragsverarbeiter-Seite;
• an verbundene Plattformanbieter, soweit dies für Authentifizierung, Datenabruf, Token-Widerruf oder Plattform-Compliance erforderlich ist;
• an Behörden, Gerichte oder Berater, soweit dies rechtlich erforderlich ist.

Plattformspezifische Beschränkungen für Empfänger und Verwendungszwecke gelten für alle API-Daten, auch bei Weitergaben an Dienstleister und autorisierte Workspaces. Die Plattformhinweise in unserer API-Datenschutzerklärung haben Vorrang; die Nennung eines Empfängers erlaubt keine untersagte Übermittlung. Für B2B-Kunden, einschließlich Brands und Agenturen, steht unser Auftragsverarbeitungsvertrag für Vereinbarungen nach Art. 28 DSGVO bereit, soweit Shinra Metrics Kampagnendaten im Auftrag des Kunden verarbeitet.

5. Kontrolle durch Creator und Widerruf

Creator können auswählen, welche Konten mit einem Team oder einer Kampagne geteilt werden, geteilte Kampagnenmedien prüfen, unerwünschte Posts entfernen und Zugriffe widerrufen. Ein Widerruf stoppt den zukünftigen Zugriff des jeweiligen Teams oder der Kampagne. Plattformautorisierungen können zusätzlich direkt in den Einstellungen der jeweiligen Plattform widerrufen werden: bei YouTube über die Google-Sicherheitseinstellungen, bei Facebook, Instagram und Threads über die Facebook-Einstellungen (Threads: Einstellungen, Konto, Website-Berechtigungen), bei X unter Sicherheit und Kontozugriff, Apps und Sitzungen, bei LinkedIn unter Datenschutz, Zugelassene Dienste, bei Pinterest unter Sicherheit, Verbundene Apps, bei Bluesky in den Kontoeinstellungen für verbundene Apps und bei Kick in den Kontoeinstellungen für verbundene Anwendungen. Sie können uns außerdem per E-Mail an info@ciberdime.com kontaktieren, wenn Sie Unterstützung beim Widerruf oder bei Löschanfragen benötigen.

Das Trennen eines Social Accounts in Shinra Metrics stoppt jede weitere Synchronisierung und löscht die gespeicherten Zugriffs- und Refresh-Tokens. Daten für Kampagnenberichte dürfen nur verfügbar bleiben, solange sie für einen autorisierten Bericht benötigt werden und die jeweilige Plattform dies erlaubt. Medien und andere Inhalte sind nicht deshalb von der Löschung ausgenommen, weil eine Kampagne sie nutzt. Sie können jederzeit die Löschung der in Ihrem Auftrag erhobenen Inhalte verlangen. Bei Schließung Ihres Shinra-Metrics-Kontos werden alle verbundenen Social Accounts sofort getrennt und die in Ihrem Auftrag erhobenen Plattforminhalte innerhalb der allgemeinen Frist von höchstens 30 Tagen gelöscht; kürzere Fristen und plattformspezifische Regeln aus Abschnitt 6 haben Vorrang. Meta (Facebook, Instagram und Threads) übermittelt uns beim Entfernen der App zusätzlich automatisch eine Löschanfrage; Sie erhalten einen Bestätigungscode und können den Status auf unserer Löschstatus-Seite prüfen.

Ein Widerruf stoppt grundsätzlich zukünftigen Zugriff und zukünftige Verarbeitung für das jeweilige Team, die Kampagne oder Verbindung. Er entfernt jedoch nicht zwingend Daten, die eine Brand, Agentur oder ein anderer Dritter bereits außerhalb von Shinra Metrics heruntergeladen, exportiert oder kopiert hat. Für solche Kopien müssen Sie sich gegebenenfalls direkt an die jeweilige Organisation wenden.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die oben genannten Zwecke erforderlich ist. Die allgemeine Löschfrist nach Kontoschließung beträgt höchstens 30 Tage. Unabhängige Geschäftsunterlagen können länger aufbewahrt werden, soweit dies für Abrechnung, gesetzliche Pflichten oder Rechtsansprüche erforderlich und zulässig ist. Kürzere Speicherfristen und strengere Lösch-, Nutzungs- oder Zugriffsbeschränkungen der jeweiligen Plattform haben Vorrang vor den allgemeinen Fristen und Ausnahmen für Kampagnenberichte. Anonymisierung oder Aggregation ersetzt keine vorgeschriebene Löschung.

• OAuth-Tokens werden nach Trennung widerrufen oder gelöscht.
• Plattforminhalte (Posts, Metriken, Kommentare, Medienkopien, OCR-Text und Transkripte) bewahren wir nur auf, solange sie für einen autorisierten Dienst benötigt werden und die Speichergrenzen der Plattform dies erlauben. Kampagnenberichte verlängern keine Speicherfrist und haben keinen Vorrang vor Löschanfragen, Kontoschließung oder Löschanforderungen der Plattform.
• LinkedIn: LinkedIn-Verbindungen sind derzeit deaktiviert. Für die Freischaltung gelten folgende Anforderungen: Kampagnenberichte dürfen nur Daten aufbewahren, deren Speicherung LinkedIn für den genehmigten API-Zugang, Zweck und Zeitraum erlaubt. Medien und andere Inhalte sind zu entfernen, sobald sie nicht mehr benötigt werden oder ihre zulässige Speicherfrist endet. Aus API-Daten abgeleitete Metriken und aggregierte Auswertungen sind nicht pauschal von diesen Grenzen ausgenommen. Auf Ihre Löschanfrage oder bei Schließung Ihres Shinra-Metrics-Kontos werden die in Ihrem Auftrag erhobenen LinkedIn-API-Daten einschließlich abgeleiteter Daten und Tokens unverzüglich gelöscht, sofern keine gesetzliche oder behördliche Pflicht entgegensteht. Die Nutzung in Kampagnenberichten allein rechtfertigt keine weitere Aufbewahrung. Unabhängige Verträge, Rechnungen und von Ihnen separat bereitgestellte Daten, die nicht aus der LinkedIn-API stammen, unterliegen den allgemeinen Aufbewahrungsregeln.
• X: X verlangt, gespeicherte Inhalte bei Löschungen, Änderungen und geänderter Verfügbarkeit auf X zu aktualisieren oder zu entfernen. Das betrifft auch geschützte, gesperrte oder zurückgehaltene Inhalte. Dies muss so schnell wie zumutbar erfolgen; entsprechende Anfragen von X oder der Kontoinhaberin bzw. dem Kontoinhaber sind innerhalb von 24 Stunden umzusetzen. Kampagnenberichte begründen keine Ausnahme. Die automatischen Prüfungen während der Beta decken noch nicht alle Änderungen der Verfügbarkeit oder Inhalte getrennter Konten ab. Das Trennen eines Kontos beendet diese Prüfungen und löscht gespeicherte Inhalte nicht automatisch. Löschanfragen können Sie an info@ciberdime.com richten.
• Abrechnungs-, Rechnungs- und Steuerunterlagen können für die gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert bleiben.
• Kampagnenverträge, Rechnungen, unabhängig bereitgestellte Reporting-Daten und Audit-Unterlagen des Dienstes können aufbewahrt werden, soweit dies für Reporting, Betrugsprävention oder Rechtsansprüche erforderlich und zulässig ist. Aus Plattform-APIs abgeleitete Berichte und aggregierte Auswertungen unterliegen weiterhin den Lösch- und Speicherregeln der Plattform. Das Entfernen von Medien oder Kennungen allein begründet keine Ausnahme für API-Daten.
• Website-Serverlogs und Sicherheitslogs werden grundsätzlich bis zu 90 Tage aufbewahrt, sofern keine längere Speicherung für Sicherheitsvorfälle, Missbrauchsprävention oder Rechtsansprüche erforderlich ist.
• Optionale Website-Analysen werden gemäß den Anbietereinstellungen aggregiert oder pseudonymisiert gespeichert und grundsätzlich innerhalb von 12 Monaten gelöscht oder aggregiert. Aggregierte Trenddaten, die keinen Besucher mehr identifizieren, können für Website-Performance-Vergleiche länger aufbewahrt werden.
• Link-Klick- und Kampagnenanalysen bleiben verfügbar, solange das jeweilige Team, die Kampagne oder der Report besteht, soweit die jeweiligen Plattformregeln dies erlauben. Nach Löschung werden sie entfernt oder nur dann anonymisiert, wenn Anonymisierung zulässig ist; eine weitere Aufbewahrung für Abrechnung oder Rechtsansprüche benötigt eine Rechtsgrundlage und darf plattformspezifische Beschränkungen nicht umgehen.
• Backup-Kopien werden in regulären Backup-Zyklen überschrieben und nicht für aktive Verarbeitung genutzt.

7. Internationale Übermittlungen

Einige Anbieter verarbeiten Daten außerhalb der EU/des EWR. In diesen Fällen nutzen wir geeignete Garantien wie Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework, soweit anwendbar, Standardvertragsklauseln, UK-Transfermechanismen und erforderliche Risikoabschätzungen. Details zu Empfängern, Ländern und Garantien finden Sie auf unserer Unterauftragsverarbeiter-Seite.

8. Cookies und Analytics

Wir nutzen essenzielle Cookies und Local Storage für Kernfunktionen von Website und Plattform. Der Zugriff auf Informationen auf Ihrem Endgerät und deren Speicherung richtet sich, soweit anwendbar, nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, ehemals TTDSG). Optionale Analysen, einschließlich Vercel Analytics und des datenschutzfreundlichen Statistik-Skripts unter /stats, laden erst, wenn Sie im Cookie-Banner „Alle akzeptieren“ wählen. Ihre Auswahl wird im Local Storage unter shinra-metrics.cookieConsent.v1 gespeichert. Sie können Ihre Auswahl über den Cookie-Einstellungslink im Footer ändern.

9. Ihre Rechte nach DSGVO

Sie können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen und Widerruf einer Einwilligung verlangen. Sie können diese Rechte per E-Mail an info@ciberdime.com oder über die Postanschrift in Abschnitt 1 ausüben. Soweit eine Verarbeitung auf Einwilligung beruht, können Sie die Einwilligung jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung. Außerdem haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Für die Ciberdime GmbH in Schleswig-Holstein ist in der Regel das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) zuständig; Sie können sich aber auch an Ihre lokale Aufsichtsbehörde wenden.

10. Automatisierte Entscheidungen und Profiling

Shinra Metrics trifft keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ausschließlich durch automatisierte Verarbeitung im Sinne von Art. 22 DSGVO. KI-gestützte Funktionen können helfen, Kampagnen-Erwähnungen zu erkennen, Transkripte zu erstellen, Clips zu bewerten oder Metadaten abzuleiten. Kampagnenteams können relevante Ergebnisse jedoch prüfen und eigene Entscheidungen über Einbeziehung, Reporting und Freigabe treffen.

11. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, darunter TLS-Verschlüsselung, Zugriffskontrollen, Least-Privilege-Prinzip, sichere Authentifizierung, Logging, Backups, getrennte Umgebungen, Token-Widerruf und Anbieterprüfungen. Kein Internetdienst kann absolute Sicherheit garantieren; wir schützen Daten jedoch risikogerecht.

12. Kinder

Shinra Metrics ist für Nutzer bestimmt, die das jeweils geltende Mindestalter für eine datenschutzrechtliche Einwilligung erreicht haben (mindestens 16 Jahre oder ein höheres Alter, wenn lokales Recht dies verlangt). Nutzer unterhalb dieser Altersgrenze dürfen den Dienst nur mit Einwilligung und unter Aufsicht eines Elternteils oder gesetzlichen Vertreters nutzen. Wir verarbeiten wissentlich keine personenbezogenen Daten von Minderjährigen entgegen diesen Anforderungen. Wenn Sie glauben, dass uns Daten eines Minderjährigen ohne wirksame Einwilligung übermittelt wurden, kontaktieren Sie uns bitte unter info@ciberdime.com; wir ergreifen angemessene Löschmaßnahmen.

13. Änderungen

Wir können diese Erklärung aktualisieren, wenn sich Dienste, Anbieter oder rechtliche Pflichten ändern. Wesentliche Änderungen kommunizieren wir je nach Fall über Website, Plattform oder E-Mail.