Verantwortlicher und Datenschutzkontakt
HeereHaase Partners FZCO, IFZA Properties, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, vertreten durch den Manager Yannik Heere.
Für alle Fragen zum Datenschutz und für Anfragen zu Ihren Rechten erreichen Sie uns unter datenschutz@creatoroffice.de (bitte mit dem Betreff „Datenschutz“) oder per Post an die oben genannte Anschrift.
Vertreter in der Europäischen Union gemäß Art. 27 DSGVO
Die HeereHaase Partners FZCO hat ihren Sitz außerhalb der Europäischen Union. Name und Anschrift des Vertreters in der Europäischen Union nach Art. 27 DSGVO: [WIRD VOR PRODUKTIVSTART ERGÄNZT]
Zwei Bereiche, zwei Rollen
Eigene Daten des Kunden. Für die Daten, die wir für den Vertrag mit unseren Kunden und für ihre Konten brauchen (Account, Login, Vertrag, Zahlung, Nutzung, Abrechnung und Supportkommunikation), sowie für die Website ist die HeereHaase Partners FZCO Verantwortlicher.
Daten, die der Kunde in CreatorOffice verarbeitet. Für die Daten, die ein Kunde in CreatorOffice über andere Personen führt, etwa über Talents und Creator, Marken und ihre Ansprechpartner, eigene Kunden, Vertragspartner, Rechnungsempfänger und sonstige Dritte, ist der jeweilige Kunde Verantwortlicher. CreatorOffice verarbeitet diese Daten als Auftragsverarbeiter nach dem Vertrag zur Auftragsverarbeitung.
Wer gemeint ist
„Kunde“ bezeichnet sowohl Talent-/Influencer-Agenturen und Managements als auch selbständig tätige Creator, soweit diese CreatorOffice im Rahmen ihrer gewerblichen oder selbständigen beruflichen Tätigkeit nutzen. „Account-Nutzer“ sind alle Personen mit eigenem Zugang: die Kontoinhaber, die Mitglieder des Teams eines Kunden und eingeladene Creator. „Creator“ oder „Talent“ ist eine Person, die ein Kunde betreut oder die ein eigenes Creator-Konto hat. „Markenansprechpartner“ sind Personen bei Marken und Unternehmen, mit denen ein Kunde zusammenarbeitet; sie unterschreiben etwa Verträge oder geben Inhalte über einen Link frei, meist ohne eigenen Zugang. „Rechnungsempfänger“ erhalten Rechnungen und Mahnungen aus CreatorOffice. „Sonstige Betroffene“ sind alle weiteren Personen, deren Daten ein Kunde einträgt.
Eigene Daten des Kunden
Als Verantwortlicher verarbeiten wir: Kontodaten der Account-Nutzer (Name, E-Mail-Adresse, Sprache, Anmeldezeitpunkte, Einstellungen zum zweiten Faktor) und, wenn die Person die Anmeldung mit Google wählt, Name, E-Mail-Adresse und Kennung des Google-Kontos; Vertrags- und Abrechnungsdaten des Kunden (Firma, Anschrift, Sitzland, Umsatzsteuer-Identifikationsnummer, Tarif, Laufzeit, Zahlungsweg und Zahlungsstand); die Zustimmungen zu AGB, Vertrag zur Auftragsverarbeitung und Nutzungsbedingungen mit Fassung und Zeitpunkt; Nutzungs- und technische Daten (Protokolle des Betriebs, technische Fehler, App-Version, Browser); Supportkommunikation (Support-Tickets, Fehlerberichte, E-Mails); Angaben aus Enterprise-Anfragen.
Daten, die der Kunde in CreatorOffice verarbeitet
Im Auftrag unserer Kunden verarbeiten wir die Inhalte, die Kunden und ihre Account-Nutzer anlegen: Stamm-, Kontakt-, Steuer- und Bankdaten von Creatorn, Daten zu Marken und Ansprechpartnern, Kooperationen, Verträge und Nachweise der elektronischen Unterschrift (Name, Zeitpunkt, IP-Adresse, Gerät, Prüfsumme), Rechnungen, Gutschriften, Zahlungen und Auszahlungen, Nachrichten, Termine, Inhalte der Content-Ablage und Belege. Welche Daten das im Einzelnen sind und auf welcher Rechtsgrundlage sie verarbeitet werden, bestimmt der jeweilige Kunde. Die Einzelheiten der Auftragsverarbeitung regelt der Vertrag zur Auftragsverarbeitung.
Zwecke und Rechtsgrundlagen
Für die eigenen Daten des Kunden: Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Abo, Abrechnung und Support; rechtliche Pflichten (lit. c) für unsere Rechnungs- und Aufbewahrungspflichten; berechtigtes Interesse (lit. f) für Sicherheit, Missbrauchsschutz, Fehleranalyse und den Betrieb von CreatorOffice; Einwilligung (lit. a), wo wir sie erfragen, jederzeit widerrufbar.
Für die Daten, die der Kunde in CreatorOffice verarbeitet, handeln wir auf seine Weisung; die Rechtsgrundlage bestimmt der Kunde als Verantwortlicher. Das gilt auch für Instagram-Auswertungen und WhatsApp-Hinweise, die auf der Einwilligung des jeweiligen Creators beruhen.
Betrieb und Support, auch mit KI
Wir greifen auf Daten in einem Konto nur zu, soweit das im konkreten Fall für Betrieb, Fehlersuche, Wartung, Sicherheit oder technischen Support erforderlich ist, und nur auf die Daten, die der jeweilige Vorgang braucht. Zugreifen dürfen nur wir selbst und von uns befugte Personen, die zur Vertraulichkeit verpflichtet sind.
Dabei setzen wir auch das KI-Modell Claude der Anthropic, PBC, San Francisco, USA, ein. Die Anfragen stellen wir; Datenbankabfragen laufen nur lesend, Änderungen nur über geprüfte Betriebsfunktionen. Antworten an Kunden erstellt Claude nur als Entwurf, den wir prüfen und freigeben, bevor er versendet wird. Jeder Zugriff über dieses Werkzeug wird mit Zeitpunkt, Werkzeug, Angaben zum Aufruf (ohne Inhalte) und Ergebnis protokolliert; das Protokoll löschen wir nach 365 Tagen. Die Daten werden nicht zum Training von KI-Modellen verwendet. Die Verarbeitung durch Anthropic findet in den USA statt; zur Grundlage siehe Übermittlung in Drittländer.
Für eigene Daten des Kunden stützen wir das auf unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO), für Daten, die der Kunde verarbeitet, auf seine Weisung nach dem Vertrag zur Auftragsverarbeitung.
Empfänger und Unterauftragsverarbeiter
Die vollständige Liste mit Sitz, Zweck, Datenkategorien, Speicherort und Grundlage der Übermittlung steht zentral im Vertrag zur Auftragsverarbeitung (Stand der Liste: 06.10.2026). Unterauftragsverarbeiter sind Supabase, Inc. (Datenbank, Speicherort Frankfurt am Main), Cloudflare, Inc. (Auslieferung, Turnstile, Content-Ablage, E-Mail-Weiterleitung), Resend, Inc. (E-Mail-Versand), Anthropic, PBC (KI-gestützter Betrieb und Support) und Meta Platforms Ireland Limited (Instagram und WhatsApp). Sie arbeiten auch für die eigenen Daten des Kunden in unserem Auftrag.
Nur eigene Daten des Kunden erhalten außerdem: Stripe für die Zahlung der Tarife (zuständige Vertragsgesellschaft: [WIRD VOR PRODUKTIVSTART ERGÄNZT]), PayPal, wenn der Kunde mit PayPal zahlt (zuständige Vertragsgesellschaft: [WIRD VOR PRODUKTIVSTART ERGÄNZT]), und Google, wenn eine Person sich mit ihrem Google-Konto anmeldet (zuständige Gesellschaft: [WIRD VOR PRODUKTIVSTART ERGÄNZT]). Diese Anbieter verarbeiten die Daten auch nach ihren eigenen Bedingungen.
Übermittlung in Drittländer
Die Datenbank und die Dateien von CreatorOffice liegen in der EU. Wir betreiben CreatorOffice von den Vereinigten Arabischen Emiraten aus und greifen von dort auf Daten zu, soweit das für die oben genannten Zwecke erforderlich ist. Für die Vereinigten Arabischen Emirate besteht kein Angemessenheitsbeschluss der EU-Kommission. Für Daten, die wir im Auftrag unserer Kunden verarbeiten, sollen dafür die Standardvertragsklauseln der EU-Kommission (Modul 2) Bestandteil des Vertrags zur Auftragsverarbeitung werden; die Angaben dafür sind vorbereitet, abgeschlossen sind sie noch nicht: [WIRD VOR PRODUKTIVSTART ERGÄNZT].
Einige Unterauftragsverarbeiter haben ihren Sitz in den USA, Anthropic verarbeitet die Daten dort. Die Grundlage der jeweiligen Übermittlung steht in der zentralen Liste im Vertrag zur Auftragsverarbeitung; wo dort ein Platzhalter steht, ist sie noch nicht abschließend geprüft.
Instagram-Anbindung
Creator können ihr eigenes professionelles Instagram-Konto mit CreatorOffice verbinden: im Creator-Portal, wenn ihre Agentur das freigeschaltet hat, oder in ihrem eigenen Creator-Konto. Die Anmeldung läuft direkt bei Instagram; CreatorOffice erhält nur die Berechtigungen instagram_business_basic und instagram_business_manage_insights, nie das Passwort und keine Nachrichten.
Abgerufen und gespeichert werden Profilangaben (Benutzername, Name, Biografie, Website, Kontotyp, Zahl der Follower und Beiträge) und das Profilbild, Kennzahlen des Kontos je Tag und über Zeiträume, die Beiträge der letzten 90 Tage mit Link, Vorschaubild und Kennzahlen sowie die Zielgruppe der Follower, nur zusammengefasst nach Alter, Geschlecht, Land und Stadt. Profilbild und Vorschaubilder liegen unter zufällig erzeugten Adressen, damit auch Marken sie über einen freigegebenen Link sehen können. Der Zugangsschlüssel von Instagram liegt verschlüsselt und ist nur für den automatischen Abgleich lesbar.
Zweck ist die Auswertung für den Creator und, wenn er mit einer Agentur arbeitet, für diese Agentur, etwa für Media-Kits und Berichte zu Kooperationen. Rechtsgrundlage ist die Einwilligung des Creators (Art. 6 Abs. 1 lit. a DSGVO), die er jederzeit widerrufen kann. Verantwortlich ist der Kunde, in dessen Konto die Verbindung besteht; wir verarbeiten die Daten in seinem Auftrag. Empfänger sind Meta Platforms Ireland Limited als Anbieter der Schnittstelle sowie Marken, aber nur, wenn der Creator ihnen Kennzahlen ausdrücklich freigibt, und nur im freigegebenen Umfang.
Rohdaten bewahren wir höchstens 90 Tage auf, danach nur Monatssummen. Trennt der Creator die Verbindung, löschen wir sofort den Zugangsschlüssel und alle Instagram-Daten zu seinem Profil, auch die Bilder. Entfernt er CreatorOffice in Instagram, löschen wir sofort Zugangsschlüssel, Rohdaten und Bilder; eine Löschanfrage über Instagram oder per E-Mail löscht zusätzlich die Monatssummen. Alle Wege und Fristen stehen unter Instagram-Daten löschen.
WhatsApp-Hinweise
Agenturen können ihre eigene WhatsApp-Business-Nummer über die offizielle WhatsApp-Business-Plattform von Meta verbinden und ihren Creatorn Hinweise schicken, etwa zu Rechnungen, Verträgen, Terminen oder Nachrichten im Portal. Eine Nachricht geht nur an Creator, die ihre Handynummer selbst im Profil hinterlegt und zugestimmt haben, und nur von ihrer eigenen Agentur. Übermittelt werden die Handynummer, der Vorname und die Angaben der jeweiligen Nachricht. Den Zugang zur Nummer der Agentur speichern wir verschlüsselt.
Rechtsgrundlage ist die Einwilligung des Creators (Art. 6 Abs. 1 lit. a DSGVO); er kann sie jederzeit im Profil oder mit der Antwort STOP widerrufen. Verantwortlich ist die Agentur als Kunde; wir verarbeiten die Daten in ihrem Auftrag. Meta Platforms Ireland Limited verarbeitet die Nachrichten als Anbieter der WhatsApp-Business-Plattform. Antworten der Creator per WhatsApp speichern wir nicht; wir vermerken nur den Zeitpunkt (90 Tage), um höchstens einmal täglich auf das Portal zu verweisen.
Enterprise-Anfrage über das Formular
Wenn Sie über „Gespräch vereinbaren“ eine Enterprise-Anfrage stellen, verarbeiten wir die Angaben aus dem Formular (Name, geschäftliche E-Mail-Adresse, Firma, Land, Größenangaben zu Team, Creatorn und Standorten, freiwillig Rolle, Telefon, Website, bisherige Werkzeuge und Ihre Nachricht), um Ihre Anfrage zu beantworten und ein Angebot vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Die Anfrage wird in unserer Datenbank bei Supabase gespeichert und per E-Mail (Resend) an unseren Support weitergeleitet. Zum Schutz vor automatisierten Anfragen lädt das Formular erst beim Öffnen die Sicherheitsprüfung Cloudflare Turnstile (Cloudflare, Inc., USA); dabei verarbeitet Cloudflare technische Daten wie IP-Adresse und Browsermerkmale (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz vor Missbrauch). Dieselbe Prüfung nutzt die Registrierung. Die gespeicherte Anfrage löschen wir zwölf Monate nach ihrem Eingang.
Fehler melden und Support
Über „Melden“ an einer Fehlermeldung oder unter „Hilfe & Support“ können angemeldete Nutzer uns einen Fehler melden. Beim Klick auf „Melden“ wird ein Bild der aktuellen Seite erstellt. Eingabefelder werden automatisch geschwärzt. Die Person sieht das Bild vor dem Absenden und kann es abwählen; dann wird es nicht übertragen. Mitgeschickt werden außerdem die Meldung, die betroffene Seite ohne Kennungen und Parameter, die letzten Schritte im Portal (Seitenwechsel und die Beschriftung geklickter Knöpfe, nie eingegebene Werte), technische Fehlerangaben, App-Version, Browser und Bildschirmgröße sowie eine freiwillige Beschreibung. E-Mail-Adressen, IBANs, Zugangsschlüssel und lange Zahlen entfernen wir vor dem Speichern automatisch. Zweck ist die Behebung von Fehlern (Art. 6 Abs. 1 lit. b DSGVO; für Daten, die ein Kunde verantwortet, in seinem Auftrag). Fehlerberichte bewahren wir bis zur Fehlerbehebung und anschließend für einen begrenzten Nachweiszeitraum auf, längstens 180 Tage.
Agenturen und andere Kunden können außerdem Support-Tickets mit Anhängen anlegen. Wir speichern Betreff, Nachrichten, Anhänge und den Verlauf des Tickets, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO), und benachrichtigen per E-Mail über Antworten. Gelöste und geschlossene Tickets löschen wir zwei Jahre nach der letzten Änderung samt Nachrichten und Anhängen; offene Tickets bleiben bis zu ihrem Abschluss. Mit der endgültigen Löschung des Kundenkontos entfallen Tickets auch früher.
Speicherdauer
Konten und Kundendaten. Kontodaten der Account-Nutzer speichern wir, solange der Zugang besteht; nach einem Löschantrag löschen wir das Anmeldekonto spätestens nach 14 Tagen. Nach dem Ende eines Kundenvertrags bleibt das Konto mindestens 90 Tage lesbar (Nur-Lesen-Phase). Danach bleiben nur Rechnungen, Gutschriften, Stornos, Zahlungs- und Buchungsdaten und unterschriebene Verträge bis zum Ende der Aufbewahrungsdauer, die sich nach dem Sitzland des Kunden richtet; Einzelheiten stehen im Vertrag zur Auftragsverarbeitung. Unsere eigenen Vertrags- und Abrechnungsdaten zu einem Kunden bewahren wir für die gesetzlichen Aufbewahrungsfristen auf, die für uns gelten: [WIRD VOR PRODUKTIVSTART ERGÄNZT].
Protokolle und Betrieb. Betreiber- und KI-Protokoll 365 Tage; Fehlerberichte bis zur Fehlerbehebung und anschließend für einen begrenzten Nachweiszeitraum, längstens 180 Tage; automatisch erfasste technische Fehler ohne Meldung 30 Tage; Support-Tickets zwei Jahre nach Abschluss (gelöst oder geschlossen), samt Nachrichten und Anhängen; Postausgang und Zustellereignisse von E-Mails 6 Monate; erledigte Benachrichtigungen 12 Monate; Aufrufe von Freigabelinks, Media-Kits und Berichten 180 Tage; Enterprise-Anfragen 12 Monate. Zugriffs- und Anmeldeprotokolle unserer Hosting-Anbieter speichern diese nach ihren Vorgaben; die Fristen: [WIRD VOR PRODUKTIVSTART ERGÄNZT].
Einzelne Funktionen. Instagram-Rohdaten 90 Tage, danach nur Monatssummen, Vermerk über einen Löschwunsch 12 Monate; Zeitpunkt der letzten WhatsApp-Antwort 90 Tage; beim Abgleich mit dem Kontoauszug Name, Verwendungszweck und Konto des Auftraggebers nach 180 Tagen (vom Kunden einstellbar zwischen 30 und 730 Tagen).
Datensicherungen. Datensicherungen (Backups) der Datenbank erstellen wir derzeit nicht. Gelöschte Daten sind deshalb nicht wiederherstellbar und liegen auch nicht in Sicherungen weiter vor.
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, das Recht, Einwilligungen jederzeit zu widerrufen, und das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Soweit wir Daten auf unser berechtigtes Interesse stützen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.
Diese Rechte haben auch Personen ohne eigenen Zugang zu CreatorOffice, etwa Markenansprechpartner, Rechnungsempfänger oder Unterzeichner. Für Daten, die ein Kunde in CreatorOffice über Sie führt, ist dieser Kunde Verantwortlicher, also die Agentur, das Management oder der selbständige Creator, mit dem Sie zu tun haben. Wenden Sie sich am besten direkt an ihn. Sie können sich auch an uns wenden: Wir leiten Ihre Anfrage unverzüglich an den zuständigen Kunden weiter und unterstützen ihn bei der Antwort. Wissen Sie nicht, welcher Kunde Ihre Daten führt, nennen Sie uns den Zusammenhang, etwa die Agentur, die Marke oder die Rechnung.
Für die eigenen Daten des Kunden und die Website wenden Sie sich direkt an uns: datenschutz@creatoroffice.de. Account-Nutzer können Daten, die über sie geführt werden, zum Teil selbst herunterladen; Creator etwa im Creator-Portal unter Konto.
Stand, Änderungen und frühere Fassungen
Fassung vom 06.10.2026, Stand 06.10.2026. Neu gegenüber der Fassung vom 25.09.2026: Trennung zwischen eigenen Daten des Kunden und Daten, die der Kunde verarbeitet; Creator-Konten; Betrieb und Support mit KI-Unterstützung; Vertreter nach Art. 27 DSGVO; Übermittlung in Drittländer; einheitliche Speicherfristen; Fehler melden und Support. Wesentliche Änderungen dieser Hinweise kündigen wir den Kontoinhabern vorher per E-Mail und im Produkt an.
Frühere Fassungen: Fassung vom 25.09.2026 (mit den Ergänzungen vom 01.10. und 02.10.2026, abgelöst durch die Fassung vom 06.10.2026).
Fassung vom 06.10.2026 · Stand 06.10.2026 · Zum Sichern als PDF: Seite drucken und „Als PDF sichern“ wählen.