Auftragsverarbeitungsvertrag

Parteien, Rollen und Rangfolge

Ihr seid Verantwortlicher (Art. 4 Nr. 7 DSGVO; Art. 5 lit. j DSG) für die personenbezogenen Daten, die über euer Bewerbungspostfach und über die Direktnachrichten an euer Instagram-Konto bei euch eingehen. Das Postfach und das Konto gehören euch; ihr entscheidet, ob und wie lange die Plattform darauf zugreift.

Castgigs ist euer Auftragsverarbeiter (Art. 28 DSGVO; im Wortlaut des DSG: Auftragsbearbeiter, Art. 9 DSG — die Datenschutzerklärung und die Nutzungsbedingungen verwenden diesen Begriff; gemeint ist dasselbe) — ausschließlich für das Lesen, Speichern, Einstufen, Zuordnen (Abschnitt „Art und Zweck der Verarbeitung“) und Beantworten dieser Nachrichten in eurem Namen, wie in diesem Vertrag beschrieben. Nicht Gegenstand dieses Vertrags ist, was Castgigs in eigener Verantwortung tut: das Creator-Profil, das ein Bewerber über den Link in der Antwort selbst anlegt und besitzt, und die Verbindung zwischen einem Creator-Profil und eurer Firma, die der Creator über diesen Link selbst bestätigt. Dafür ist Castgigs selbst Verantwortlicher; die Einzelheiten stehen in der Datenschutzerklärung. Creator sind nicht Partei dieses Vertrags; ihnen gegenüber gilt die Datenschutzerklärung.

Dieser Vertrag ergänzt die Nutzungsbedingungen. Soweit er die Verarbeitung im Auftrag betrifft, geht er ihnen bei Widersprüchen vor. Er wird elektronisch geschlossen: bei der Anfrage als Firma, indem die anfragende Person bestätigt, dass sie für das Unternehmen handeln darf, und den Vertrag ankreuzt — er gilt dann ab der Freigabe der Anfrage —, oder durch eine Person in der Rolle „Inhaber“ oder „Admin“ eures Kontos unter „Einstellungen → Auftragsverarbeitung". Eine neue Fassung bestätigt eine Person in einer dieser beiden Rollen im Konto. Castgigs hält fest, wer ihn wann in welcher Fassung abgeschlossen hat, und zeigt euch das im Konto an. Die Schriftform ist nicht erforderlich (Art. 28 Abs. 9 DSGVO); ein auf Papier unterzeichnetes Exemplar kann Castgigs auf Wunsch im Konto vermerken.

Eure Pflichten

Verbindet nur Postfächer und Ordner, für die ihr berechtigt seid. Informiert betroffene Beschäftigte und beachtet Mitbestimmungsrechte. Private oder nicht kampagnenbezogene Nachrichten dürfen nicht importiert werden. Die Zustimmung des Administrators eurer Microsoft-365-Organisation (etwa „Für die ganze Firma genehmigen“) ersetzt keine Prüfung des Beschäftigtendatenschutzes.

Den Posteingang oder das Archiv wählt ihr nur, wenn das Postfach ausschließlich Bewerbungen und Kooperationsanfragen erhält — das bestätigt ihr beim Wählen mit dem Satz „Dieses Postfach dient nur Bewerbungen und Kooperationsanfragen.“ Was trotzdem nicht hierher gehört, entfernt ihr mit „Aus Castgigs entfernen“.

Als Verantwortlicher seid ihr für die Rechtmäßigkeit der Verarbeitung zuständig, insbesondere für die Rechtsgrundlage gegenüber den Absendern (Art. 6 DSGVO) und für deren Information (Art. 13 und 14 DSGVO; Art. 19 DSG). Die Instagram-Antwort über die Plattform — automatisch oder von euch freigegeben — nennt in Kopf- und Fußzeile, dass sie über Castgigs geht, und verlinkt die Datenschutzerklärung von Castgigs; eure E-Mail-Antworten gehen mit den Vorlagen, die ihr bestimmt — eigene Hinweise für eure Bewerber ergänzt ihr dort. Ihr stellt sicher, dass das Postfach und das Instagram-Konto euch gehören und ihr Castgigs den Zugriff erteilen dürft; dass eure Weisungen rechtmäßig sind und rechtzeitig kommen; und dass die Personen in den Rollen „Inhaber“ und „Admin“ eures Kontos erreichbar sind — an ihre E-Mail-Adressen gehen die Meldungen aus diesem Vertrag (Verletzungen, neue Unterauftragsverarbeiter, neue Fassungen).

Gegenstand und Dauer

Gegenstand ist die Verarbeitung der Nachrichten, die in den von euch gewählten Ordnern eures verbundenen Bewerbungspostfachs eingehen, und der Direktnachrichten an euer verbundenes Instagram-Konto — für den Zweck, Kooperationsanfragen von Creatorn zu erkennen, sie Creatorn zuzuordnen, die mit euch verbunden sind oder die ihr gesperrt habt, und sie in eurem Namen zu beantworten.

Der Vertrag gilt ab dem Abschluss — bei der Anfrage geschlossen ab der Freigabe der Anfrage — für die Dauer eures Nutzungsverhältnisses mit Castgigs. Die Verarbeitung im Auftrag beginnt, sobald ihr den ersten Kanal (Postfach oder Instagram-Konto) verbindet, und endet, wenn ihr den letzten Kanal trennt oder das Nutzungsverhältnis endet. Nach dem Ende bleiben nur die Pflichten aus dem Abschnitt „Löschung und Rückgabe". Ihr könnt jeden Kanal jederzeit in den Einstellungen trennen oder pausieren; damit endet der Abruf sofort. Zugangstoken (Microsoft 365, Instagram) werden beim Trennen gelöscht. Ein hinterlegtes Postfach-Passwort könnt ihr jederzeit bei eurem Anbieter ändern — damit endet der Zugriff; das gespeicherte Chiffrat löscht Castgigs auf Verlangen und spätestens mit der Löschung nach dem Abschnitt „Löschung und Rückgabe".

Art und Zweck der Verarbeitung, Daten, Betroffene

Art und Zweck

1. Abruf und Speicherung. Die Plattform liest aus dem verbundenen Postfach (IMAP oder Microsoft 365) nur die Ordner, die ihr wählt. Sie ruft aus jedem gewählten Ordner die Nachrichten der letzten 12 Monate ab — oder den kürzeren Zeitraum, den ihr für diesen Ordner wählt —, danach jede Nachricht, die neu in einen gewählten Ordner kommt; ältere Nachrichten ruft sie nicht ab. Wählt ihr weitere Ordner oder muss die Plattform einen Ordner neu einlesen, gilt dieselbe Grenze. Ordner für gesendete Nachrichten, Entwürfe, Papierkorb und Spam — die der Mailserver als solche kennzeichnet oder die auf oberster Ebene so heißen — könnt ihr nicht wählen. Die Plattform empfängt neue Direktnachrichten des verbundenen Instagram-Kontos über die Schnittstelle von Meta. Sie speichert Absender, Empfänger, Betreff, Text, Zeitpunkte (Versand und Eingang beim Mailserver), Ordner und Anhänge; die unveränderte Rohfassung einer Mail liegt im Objektspeicher. Bei automatischen Antworten, Zustellberichten und Spam nur bis zur Löschung nach Punkt 2.
2. Einstufung. Regeln erkennen, ob eine Nachricht eine Bewerbung bzw. Kooperationsanfrage ist. Nachrichten, die sie nicht als Anfrage einstufen (etwa automatische Antworten, Mails aus eurem eigenen Unternehmen, Instagram-Nachrichten ohne Anfrage), bearbeitet die Plattform nicht weiter — keine Antwort und, außer im Gespräch mit einem verbundenen Creator (Punkt 4), keine Zuordnung. Von automatischen Antworten (Abwesenheitsnotizen, als Massenversand gekennzeichnete Mails), Zustellberichten und Mails, die euer Mailserver als Spam markiert hat, löscht die Plattform den Inhalt (Absendername, Empfänger, Betreff, Text, Anhänge, Rohfassung) spätestens 24 Stunden nach dem Abruf; es bleibt eine technische Kennung (Nachrichten-Kennungen, Postfach und Ordner, Zeitpunkte, Einstufung, Absenderadresse, Absenderprüfung, Prüfsumme), damit ihr eine Fehleinordnung korrigieren könnt. Stuft ihr eine solche Mail als Anfrage ein, ruft die Plattform sie erneut aus eurem Postfach ab, sofern sie dort noch in dem Ordner liegt, aus dem sie abgerufen wurde — auch wenn ihr diesen Ordner inzwischen abgewählt habt; das Original verändert, verschiebt oder löscht sie nie. Andere Nachrichten, die keine Anfrage sind (Antworten auf frühere Nachrichten, Mails mit sehr wenig Text, Mails über einen Verteiler, Weiterleitungen aus eurem Unternehmen), sind oft doch Bewerbungen und bleiben wie Bewerbungsmails gespeichert. Ebenso bleiben Mails, die zu einer Bewerbung gehören (Mails eines Absenders, dessen Bewerbung noch keinem Creator-Profil zugeordnet ist, Nachrichten in einem Verlauf mit einer Bewerbung, Mails im Gespräch mit einem verbundenen Creator). Die Löschung nach 24 Stunden gilt für Mails, die ab dem 29. September 2026 abgerufen werden.
3. Keine inhaltliche Auswertung. Der Text einer Nachricht wird gespeichert und euch gezeigt, aber von keinem Programm inhaltlich ausgewertet: keine Werte, kein Profil, kein Sprachmodell — die Einstufung (Punkt 2) prüft nur, ob es eine Anfrage ist. Kein Dienstleister liest Bewerbungsmails oder Direktnachrichten, kein Creator-Profil wird aus einer Nachricht angelegt oder vorbelegt, und der Inhalt einer Nachricht wird an keinen Dienstleister zur Auswertung gegeben.
4. Zuordnung innerhalb eurer Firma. Die Plattform prüft nur, ob ein Absender ein Creator ist, der mit euch verbunden ist oder den ihr gesperrt habt — bei E-Mails über die bestätigte Adresse dieses Creators oder die Adresse, mit der er euren Link eingelöst hat, zusammen mit dem Ergebnis der Absenderprüfung eures Mailservers (SPF, DKIM, DMARC); bei Instagram über die Absender-Kennung aus einer solchen Einlösung oder einer früheren Nachricht im Gespräch. Mit allen übrigen Creator-Profilen der Plattform gleicht sie nicht ab. Mails verbundener Creator zeigt sie euch im Gespräch mit ihnen; Nachrichten gesperrter Creator beantwortet sie nicht.
5. Antwort nach eurer Weisung. Je nach eingestelltem Modus geht keine automatische Antwort hinaus („Aus"), schlägt die Plattform eine Antwort vor, die ein Mitglied eures Kontos mit einem Klick freigibt („Vorschlag"), oder verschickt sie automatisch („Automatisch") — aus eurem Postfach bzw. eurem Instagram-Konto, mit den Vorlagen, die ihr bestimmt. Die Antwort enthält einen Link, über den sich der Absender selbst anmelden oder registrieren und der Verbindung mit eurer Firma zustimmen kann (ohne Geheimnis, 14 Tage gültig) — auch ein Absender, der schon ein Creator-Profil hat. Beim Verbinden eures Postfachs bzw. Instagram-Kontos bestätigt ihr, dass die automatischen Antworten an Bewerber diesen Link enthalten; wer ihn nutzt und zustimmt, verbindet sein Profil mit euch. Ein Klick von euch verbindet niemanden. E-Mail-Antworten gehen mit eurem Absendernamen aus eurem Postfach; automatische Instagram-Antworten nennen, dass sie automatisch in eurem Auftrag gesendet wurden.
6. Aus Castgigs entfernen. Eine einzelne E-Mail, die nicht hierher gehört, entfernt ihr selbst mit „Aus Castgigs entfernen“: Die Plattform löscht sofort Text, Anhänge und Rohfassung, noch nicht verschickte Antworten darauf, dieselbe Mail in einem zweiten Postfach eurer Firma und eine Weiterleitung, die sie als Weiterleitung dieser Nachricht erkennt (ist diese selbst eine eigene Nachricht, etwa eine Anfrage oder im Gespräch, nur ihre Rohfassung). Steht die Mail im Gespräch mit einem Creator oder hat sich ein Creator über ihren Link verbunden, bleibt eine Zeile ohne Inhalt mit Absenderadresse und Kennung, weil sie die Verbindung trägt; ihr und der Creator seht dort „Vom Unternehmen aus Castgigs entfernt“. In eurem Postfach ändert sich nichts. Eine Instagram-Direktnachricht, die nicht hierher gehört, löscht Castgigs auf eure Weisung (Abschnitt „Weisungen“).
7. Löschung nach den Fristen im Abschnitt „Löschung und Rückgabe".

Datenarten

• Absendername, E-Mail-Adresse, Instagram-Kennung und -Benutzername;
• Betreff, Nachrichtentext, Zeitpunkte; bei E-Mails dazu Empfänger, Eingang beim Mailserver, Ordner und Anhänge;
• Angaben, die der Absender im Nachrichtentext mitteilt (Kanäle, Reichweiten, Zielgruppen, Ort, Themen, Konditionen, Links) — als Teil des Textes, nicht als ausgelesene Werte;
• technische Kopfzeilen der E-Mail (Nachrichten-Kennung, Absender-Server, Weg, Ergebnis der Absenderprüfung SPF/DKIM/DMARC);
• eure Antworten und der Zeitpunkt ihres Versands.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Enthält eine Nachricht solche Angaben, weil der Absender sie freiwillig mitteilt, werden sie wie der übrige Text behandelt und nach denselben Fristen gelöscht. Private Nachrichten, Gesundheitsdaten und Personalakten Dritter dürfen nicht importiert werden: Wählt Ordner, in denen solche Nachrichten nicht liegen, und entfernt mit „Aus Castgigs entfernen“ jede E-Mail, die trotzdem hereinkommt; eine solche Instagram-Nachricht löscht Castgigs auf eure Weisung.

Betroffene

• Bewerber und Creator, die euch schreiben;
• Mitarbeitende eures Unternehmens, deren Nachrichten im Postfach liegen oder die Nachrichten weiterleiten;
• sonstige Absender an das Postfach oder das Instagram-Konto.

Weisungen

Castgigs verarbeitet die Daten nur nach euren dokumentierten Weisungen. Dieser Vertrag ist die erste Weisung; die weiteren erteilt ihr über die Einstellungen eures Kontos, die Castgigs protokolliert:

• das Verbinden und Trennen eines Postfachs oder Instagram-Kontos, beim Postfach mit den gewählten Ordnern und Zeiträumen und jeder späteren Änderung daran (beim Posteingang oder Archiv mit eurer Bestätigung, dass das Postfach nur Bewerbungen und Kooperationsanfragen dient), und die Angabe, ab welchem Zeitpunkt Nachrichten beantwortet werden;
• eure Bestätigung beim Verbinden, dass automatische Antworten an Bewerber einen Castgigs-Link enthalten;
• der Modus je Kanal — „Aus", „Vorschlag" oder „Automatisch";
• die Vorlagen für automatische Antworten (Mail-Vorlagen, Instagram-Antworttext) und die Absenderangaben;
• die Freigabe oder das Verwerfen eines einzelnen Vorschlags, das Blockieren eines Absenders und das Entfernen einer einzelnen E-Mail aus Castgigs.

Weisungen außerhalb des Kontos richtet ihr in Textform an datenschutz@castgigs.com. Hält Castgigs eine Weisung für rechtswidrig, teilen wir euch das unverzüglich mit und dürfen die Ausführung aussetzen, bis ihr die Weisung bestätigt oder ändert. Castgigs verarbeitet die Daten nicht für eigene Zwecke — mit der einen Ausnahme, die der Abschnitt „Parteien" benennt und die Datenschutzerklärung beschreibt (Creator-Profil und die vom Creator selbst bestätigte Verbindung in eigener Verantwortung).

Ohne eure Weisung verarbeitet Castgigs die Daten nur, soweit das Recht der Union, eines Mitgliedstaats oder der Schweiz Castgigs dazu verpflichtet — etwa bei einer Herausgabe an Behörden oder Gerichte, zu der Castgigs gesetzlich verpflichtet ist. In diesem Fall teilt Castgigs euch die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Vertraulichkeit

Castgigs behandelt die Daten vertraulich. Zugriff haben nur Personen, die ihn für die Leistung brauchen und die zur Vertraulichkeit verpflichtet sind; diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus. Nachrichteninhalte sieht der Betreiber nur, soweit es für die Prüfung einer unsicheren Zuordnung, die Behebung einer Störung, die Bearbeitung eines gemeldeten Missbrauchs oder eine von euch erbetene Unterstützung nötig ist; Betreiberzugänge sind nur mit zweitem Faktor möglich, und ihre Eingriffe stehen im Prüfprotokoll eurer Firma (Anhang 1).

Technische und organisatorische Maßnahmen

Castgigs trifft die Maßnahmen nach Art. 32 DSGVO und Art. 8 DSG, die in Anhang 1 beschrieben sind, und hält sie auf dem Stand der Technik. Castgigs darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen werden in der Datenschutzerklärung und in Anhang 1 nachgezogen.

Unterauftragsverarbeiter

Ihr genehmigt die in Anhang 2 genannten Unterauftragsverarbeiter. Sie sind die einzigen Dienstleister, die Daten aus eurem Postfach oder euren Direktnachrichten berühren. Castgigs schließt mit jedem einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag Castgigs, und bleibt euch gegenüber für ihn verantwortlich.

Nicht Unterauftragsverarbeiter von Castgigs sind Microsoft (Microsoft Ireland Operations Limited) und Meta (Meta Platforms Ireland Limited): Das Postfach bei Microsoft 365 und das Instagram-Konto gehören euch, und ihr habt Castgigs den Zugriff darauf erteilt. Beide handeln auf Grundlage eurer eigenen Verträge mit ihnen — Microsoft als euer Auftragsverarbeiter, Meta nach seinen Plattformbedingungen und Datenschutzhinweisen —, nicht in unserem Auftrag.

Will Castgigs einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, kündigen wir das mindestens 30 Tage vorher im Konto und per E-Mail an die Personen in den Rollen „Inhaber“ und „Admin“ eures Kontos an. Ihr könnt innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; finden wir dann keine Abhilfe, könnt ihr den betroffenen Kanal trennen oder das Nutzungsverhältnis beenden.

Unterstützung: Betroffenenrechte, Verletzungen, Folgenabschätzung

Betroffenenrechte

Verlangt ein Absender Auskunft, Berichtigung, Löschung oder Einschränkung, unterstützt Castgigs euch mit den Angaben und Funktionen der Plattform: Ihr seht jede Nachricht und jede Antwort im Posteingang, könnt einen Absender blockieren, eine einzelne E-Mail selbst aus Castgigs entfernen und eine Löschung verlangen. Wendet sich ein Betroffener direkt an Castgigs, leiten wir das Ersuchen unverzüglich an euch weiter, soweit es eure Verarbeitung betrifft — und beantworten es selbst, soweit es die Verarbeitung in unserer eigenen Verantwortung betrifft.

Verletzungen des Schutzes personenbezogener Daten

Castgigs meldet euch jede Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, an die E-Mail-Adressen der Personen in den Rollen „Inhaber“ und „Admin“ eures Kontos — mit den Angaben, die Art. 33 Abs. 3 DSGVO verlangt, soweit sie zu diesem Zeitpunkt bekannt sind, und ergänzt sie, sobald weitere vorliegen. Castgigs unterstützt euch bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der Betroffenen.

Datenschutz-Folgenabschätzung

Braucht ihr für die Verarbeitung eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO; Art. 22 DSG) oder eine vorherige Konsultation, liefert Castgigs die Angaben zur Verarbeitung, die diesem Vertrag, der Datenschutzerklärung und den Anhängen zu entnehmen sind, und beantwortet weitergehende Fragen in angemessener Frist.

Nachweise und Kontrolle

Castgigs stellt euch alle Informationen zur Verfügung, die ihr braucht, um die Einhaltung dieses Vertrags zu prüfen: Anhang 1 und 2 in der jeweils geltenden Fassung, die Datenschutzerklärung, auf Anfrage die Verträge mit den Unterauftragsverarbeitern (soweit sie keine Geschäftsgeheimnisse Dritter enthalten) und Auszüge aus dem Prüfprotokoll, die eure Firma betreffen.

Ihr könnt die Einhaltung selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren — nach Ankündigung mit angemessener Frist (in der Regel 14 Tage), höchstens einmal im Jahr, es sei denn, ein konkreter Anlass verlangt mehr. Die Prüfung findet zu den üblichen Geschäftszeiten statt, stört den Betrieb nicht und beschränkt sich auf die Verarbeitung im Auftrag. Castgigs darf eine Prüfung durch den Nachweis einer anerkannten Zertifizierung oder einen aktuellen Prüfbericht ersetzen, soweit er die Fragen der Prüfung beantwortet.

Löschung und Rückgabe

Die Daten werden nach den Fristen der Datenschutzerklärung gelöscht — sie gelten unverändert auch im Auftrag:

• Bewerbungsmails samt Rohfassung und Anhängen: höchstens 24 Monate nach Eingang. Die Löschung dieser Frist erfolgt heute auf Anfrage und in Prüfläufen des Betreibers; ein automatischer Lauf ist vorgesehen.
• Automatische Antworten, Zustellberichte und Spam: der Inhalt (Absendername, Empfänger, Betreff, Text, Anhänge, Rohfassung) spätestens 24 Stunden nach dem Abruf, automatisch (Lauf alle 10 Minuten); die Kennung wie Bewerbungsmails. Gilt für Mails, die ab dem 29. September 2026 abgerufen werden. Die übrigen Mails, die keine Anfrage sind, wie Bewerbungsmails.
• Aus Castgigs entfernte E-Mails: Text, Anhänge, Rohfassung und noch nicht verschickte Antworten sofort mit dem Entfernen; von verschickten Antworten bleiben nur Empfänger, Zeitpunkt und Zustellstatus. Außerhalb eines Gesprächs und ohne Verbindung über ihren Link bleibt eine Prüfsumme der Nachrichten-Kennung, damit die Mail nicht erneut gespeichert wird, bis zwölf Monate und einen Tag nach ihrem Eingang; sonst eine Zeile ohne Inhalt wie eine Bewerbungsmail. Die Mail in eurem Postfach berührt das nicht.
• Instagram-Direktnachrichten: Nachrichten, die keine Anfrage sind, nach 24 Stunden; Anfragen ohne Verbindung zu einem Creator-Profil: Text, Benutzername und Zuordnung nach 90 Tagen, die Absender-Kennung wird durch ihren Hash ersetzt; der Nachweis (Nachrichten-Kennung, Hash, Zeitpunkte) nach 12 Monaten; Nachrichten, die Teil einer Verbindung mit einem Creator-Profil geworden sind, nach 24 Monaten; das Protokoll der Zustellungen nach 14 Tagen. Diese Fristen wendet ein stündlicher Lauf automatisch an.
• Zugangstoken (Microsoft 365, Instagram): sofort beim Trennen des Kanals. Ein gespeichertes Postfach-Passwort auf Verlangen, spätestens mit der Löschung nach Ende des Nutzungsverhältnisses; bis dahin könnt ihr es bei eurem Anbieter ändern, womit der Zugriff endet.
• Datenbanksicherungen: 30 Tage rollierend; eine gelöschte Angabe kann bis zu 30 Tage nach der Löschung noch in einer Sicherung enthalten sein. Sicherungen werden nicht ausgewertet, sondern nur zur Wiederherstellung nach einem Ausfall benutzt.

Trennt ihr einen Kanal, endet der Abruf sofort; die bereits gespeicherten Nachrichten bleiben im Posteingang lesbar und werden spätestens mit Ablauf der genannten Fristen gelöscht (Instagram automatisch, Bewerbungsmails in den Prüfläufen des Betreibers) — früher, wenn ihr es verlangt.

Endet das Nutzungsverhältnis, löscht Castgigs alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen nach dem Ende — ohne dass ihr es gesondert verlangen müsst —, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht, und bestätigt euch die Löschung auf Anfrage. Wollt ihr die Daten stattdessen vorher erhalten, sagt ihr das vor dem Ende: Castgigs stellt dann eine Kopie der gespeicherten Nachrichten und Antworten bereit und löscht danach. Eine Rückgabe im Übrigen ist nicht nötig, weil die Originale bei euch bleiben: Castgigs liest die Mails in eurem Postfach und die Nachrichten in eurem Instagram-Konto, verschiebt oder löscht sie dort aber nicht.

Nicht von der Löschung erfasst sind die Daten, die Castgigs in eigener Verantwortung hält (Creator-Profile und die vom Creator bestätigten Verbindungen); für sie gilt die Datenschutzerklärung.

Übermittlung in Drittländer

Die Daten liegen in Deutschland (Server und Datenbank) und in der EU (Objektspeicher mit verbindlicher Jurisdiktion EU). Castgigs verarbeitet sie von der Schweiz aus, die aus Sicht der DSGVO ein Land mit angemessenem Schutzniveau ist; aus Sicht des DSG gilt das für die EU- und EWR-Staaten.

In die USA gelangen Daten aus eurem Postfach nur bei einem Unterauftragsverarbeiter: Cloudflare (Verwaltung des Objektspeichers; die Objekte selbst — Rohmails, Anhänge, Sicherungen — bleiben in der EU). Kein Dienstleister erhält den Inhalt einer Nachricht zur Auswertung. Grundlage sind das EU-U.S. Data Privacy Framework bzw. das Swiss-U.S. Data Privacy Framework, soweit der Dienstleister dort zertifiziert ist, und ergänzend die Standardvertragsklauseln der Europäischen Kommission in der vom EDÖB für die Schweiz anerkannten Fassung. Eine andere Übermittlung in ein Drittland findet ohne eure Weisung nicht statt — vorbehaltlich einer gesetzlichen Pflicht, wie sie der Abschnitt „Weisungen" beschreibt.

Haftung

Für die Haftung gilt der Abschnitt „Haftung" der Nutzungsbedingungen. Unberührt bleibt die Haftung gegenüber Betroffenen nach Art. 82 DSGVO: Castgigs haftet ihnen gegenüber für Schäden, die durch eine Verarbeitung entstehen, bei der Castgigs seine Pflichten als Auftragsverarbeiter nicht erfüllt oder gegen eure rechtmäßigen Weisungen verstoßen hat. Im Innenverhältnis haftet jede Partei für den Anteil, der auf sie entfällt.

Anwendbares Recht, Gerichtsstand, Schlussbestimmungen

Es gilt schweizerisches Recht unter Ausschluss der kollisionsrechtlichen Bestimmungen. Gerichtsstand ist Zürich, Schweiz. Zwingende Bestimmungen des Datenschutzrechts, das auf eure Verarbeitung anwendbar ist — namentlich die DSGVO für Unternehmen in der EU und im EWR —, bleiben von dieser Rechtswahl unberührt; wo sie mehr verlangen als dieser Vertrag, gelten sie.

Castgigs kann diesen Vertrag ändern, wenn sich die Verarbeitung, die Dienstleister oder die Rechtslage ändern. Eine neue Fassung wird im Konto angezeigt; euer bestehender Abschluss bleibt gültig, und eine Person in der Rolle „Inhaber“ oder „Admin“ bestätigt die neue Fassung im Konto. Verlangt eine Änderung zwingend eure erneute Zustimmung, sagt Castgigs das bei der Ankündigung und nennt eine Frist.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam; an die Stelle der unwirksamen tritt die Regelung, die den Anforderungen von Art. 28 DSGVO und Art. 9 DSG am nächsten kommt. Maßgeblich ist die deutsche Fassung. Fragen zu diesem Vertrag beantworten wir unter datenschutz@castgigs.com.

Anhang 1: Technische und organisatorische Maßnahmen

Die Maßnahmen entsprechen dem Abschnitt „Datensicherheit" der Datenschutzerklärung:

• Verschlüsselte Übertragung. Alle Verbindungen zur Plattform laufen über HTTPS; der Abruf und Versand über euer Postfach über TLS nach eurer Einstellung (Vorgabe: ein; bei Microsoft 365 immer); die Schnittstellen von Microsoft und Meta werden ausschließlich über HTTPS angesprochen.
• Verschlüsselte Zugangsdaten. Postfach-Passwörter, Zugangstoken (Microsoft, Instagram) und Zweitfaktor-Geheimnisse liegen mit Umschlagverschlüsselung in der Datenbank; der Schlüssel dazu liegt nicht in der Datenbank. Sie werden nur vom Abruf- und Versandprozess gelesen und nie in der Oberfläche angezeigt.
• Mandantentrennung in der Datenbank. Jede Abfrage läuft unter der Rolle der handelnden Person mit zeilenweisen Sicherheitsregeln (Row-Level Security). Eure Nachrichten sind für andere Unternehmen auch bei einem Fehler in der Anwendung nicht lesbar; Betreiberzugriffe laufen über eine eigene Datenbankrolle mit Begründung.
• Rollenbasierte Berechtigungen. Innerhalb eurer Firma bestimmen feste Rollen, wer Postfach und Instagram-Konto verbinden, den Modus setzen, Vorschläge freigeben, das Team verwalten oder nur lesen darf.
• Zweiter Faktor. Betreiberzugänge sind nur mit zweitem Faktor (TOTP) möglich; für eure Konten steht er wahlweise bereit. Nach wiederholt falscher Anmeldung wird ein Konto vorübergehend gesperrt.
• Prüfprotokoll. Sicherheitsrelevante Handlungen — darunter das Verbinden und Trennen eines Kanals samt gewählten Ordnern und Zeiträumen und ihrer späteren Änderung, jeder Moduswechsel, jede Freigabe, jede aus Castgigs entfernte E-Mail (ohne Inhalt), jeder Betreibereingriff und der Abschluss dieses Vertrags — stehen in einem Protokoll, dessen Einträge kryptografisch verkettet sind und das nachträglich weder geändert noch gekürzt werden kann.
• Sicherungen. Tägliche Datenbanksicherungen, 30 Tage rollierend, im Objektspeicher mit Schutz gegen Löschung und mit getrennten Zugangsdaten für Anwendung und Sicherung.
• Dateien. Anhänge und Rohmails liegen im privaten Objektspeicher und werden nur über kurzlebige signierte Adressen ausgeliefert; Anhänge werden auf Viren geprüft und erst danach freigegeben.
• Standort. Server und Datenbank bei Hetzner in Falkenstein, Deutschland; Objektspeicher bei Cloudflare mit verbindlicher Jurisdiktion EU.
• Minimierung. IP-Adressen und Browser-Kennungen werden nur als Hash gespeichert; der Inhalt einer Nachricht wird an keinen Dienstleister zur Auswertung gegeben (kein Sprachmodell); Instagram-Beiträge werden nicht abgerufen, Direktnachrichten nur für das verbundene und eingeschaltete Konto.

Anhang 2: Unterauftragsverarbeiter

Nur die Dienstleister, die Daten aus eurem Postfach oder euren Direktnachrichten berühren — die vollständige Liste aller Dienstleister der Plattform steht in der Datenschutzerklärung:

Microsoft und Meta stehen bewusst nicht in dieser Liste (Abschnitt „Unterauftragsverarbeiter"). Der Virenscan läuft auf dem eigenen Server der Plattform; dabei verlässt keine Datei die Plattform.