Datenschutzerklärung

Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf castgigs.com ist:

Für alle Anliegen zum Datenschutz — Auskunft, Berichtigung, Löschung, Widerruf einer Einwilligung, Fragen — genügt eine E-Mail an diese Adresse. Weitere Angaben zum Betreiber stehen im Impressum.

Vertreter in der Europäischen Union

Weil die Plattform auch Personen in der EU Dienste anbietet, hat der Betreiber nach Art. 27 DSGVO einen Vertreter in der Union benannt. Personen in der EU und im EWR sowie die dortigen Aufsichtsbehörden können sich in allen Fragen zur Verarbeitung ihrer Daten auch an ihn wenden — per Post oder E-Mail; der Vertreter leitet Anliegen an den Betreiber weiter, der sie beantwortet:

Geltungsbereich und anwendbares Recht

Der Betreiber hat seinen Sitz in der Schweiz. Für die Verarbeitung gilt deshalb das schweizerische Bundesgesetz über den Datenschutz (DSG) in der seit 1. September 2023 geltenden Fassung. Da die Plattform auch Personen in der Europäischen Union und im Europäischen Wirtschaftsraum — insbesondere in Deutschland und Österreich — Dienste anbietet, gilt daneben die Datenschutz-Grundverordnung (DSGVO, Art. 3 Abs. 2). Wo diese Erklärung Rechtsgrundlagen der DSGVO nennt, gelten sie für Personen in der EU und im EWR; das DSG kennt keine abschließende Liste von Rechtsgrundlagen, verlangt aber dieselbe Zweckbindung, Verhältnismäßigkeit und Transparenz, an die sich diese Erklärung hält.

Die Erklärung gilt für die Webseite castgigs.com mit allen Unterseiten, für die Anwendung nach der Anmeldung und für die E-Mails, die die Plattform verschickt. Sie gilt nicht für Webseiten Dritter, auf die verlinkt wird (Firmen-Webseiten, Instagram, TikTok, YouTube, Microsoft, Meta) — dort gelten deren eigene Datenschutzhinweise.

Für wen diese Erklärung gilt

Die Plattform kennt sieben Gruppen von Personen, deren Daten sie verarbeitet:

• Besucher — wer die öffentlichen Seiten aufruft (Startseite, Firmenverzeichnis, diese Rechtsseiten), ohne sich anzumelden. Abschnitt „Besuch der Webseite".
• Absender der Kontakt- und Agenturformulare — wer uns über das Kontaktformular oder das Anfrageformular für Agenturen schreibt. Abschnitt „Kontakt- und Agenturanfragen über die Webseite“.
• Creator — Content-Creator, die sich über das Formular bewerben oder über einen Link aus einer Antwortmail ein Profil anlegen, und die die Plattform danach mit ihrem Profil nutzen. Abschnitte „Bewerbung und Anfrage über die Formulare“ sowie „Creator-Profil“ bis „Instagram-Verbindung“.
• Bewerber per E-Mail oder Instagram — wer einem Unternehmen, das die Plattform nutzt, eine Bewerbungs- oder Kooperationsanfrage an dessen Postfach oder als Instagram-Direktnachricht an dessen verbundenes Instagram-Konto schickt. Abschnitte „Bewerbungen per E-Mail" und „Instagram-Direktnachrichten an Unternehmen".
• Mitarbeiter von Unternehmen („Kunden") — Personen, die für eine Marke oder Agentur ein Konto führen, Creator sichten und mit ihnen kommunizieren, Personen, die ein Unternehmen in sein Konto einlädt, sowie Personen, die über „Als Marke anfragen" für ein Unternehmen anfragen oder darin als Geschäftsführung genannt sind. Abschnitte „Bewerbung und Anfrage über die Formulare", „Postfach-Verbindung" und „Kundenkonten und Firmendaten".
• Abgebildete Personen — wer auf einem Foto unserer Webseite zu sehen ist. Abschnitt „Personen auf Bildern der Webseite".
• Meldende und Gemeldete — wer uns einen Inhalt nach dem DSA meldet, und wessen Inhalt gemeldet ist. Abschnitt „Meldungen nach dem DSA“.

„Unternehmen" oder „Kunde" meint in dieser Erklärung eine Marke oder Agentur mit einem Konto auf der Plattform. Erziehungsberechtigte minderjähriger Creator werden im Abschnitt „Creator-Profil" behandelt.

Besuch der Webseite

Serverprotokolle

Beim Aufruf jeder Seite verarbeitet der Server die IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Verweis (Referrer, soweit der Browser ihn sendet) und die Browser-Kennung. Diese Angaben stehen in Serverprotokollen, die der Betrieb und die Fehlersuche brauchen — etwa um einen Angriff oder einen Absturz nachzuvollziehen. Die Protokolle werden nach Größe rotiert und dabei laufend überschrieben; sie werden nicht ausgewertet, um Personen zu verfolgen. Zugriffe auf Anmeldelinks aus E-Mails werden bewusst nicht protokolliert, weil der Link ein Geheimnis enthält.

Rechtsgrundlage: berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG).

Sprache der Startseite

Rufen Sie die Startseite castgigs.com von ausserhalb unserer Webseite auf, liest der Server die Sprache, die Ihr Browser bei jedem Aufruf mitschickt (Accept-Language), und den Verweis (Referrer). Nennt Ihr Browser Englisch vor Deutsch und ist die Startseite ganz oder teilweise ins Englische übersetzt, leiten wir Sie auf die englische Startseite /en weiter; was dort noch nicht übersetzt ist, steht auf Deutsch. Gespeichert wird dabei nichts — kein Cookie, keine Kennung; mit dem Sprachschalter „DE“ oben rechts oder in der Fusszeile kommen Sie jederzeit zurück. Rechtsgrundlage: berechtigtes Interesse an einer Webseite in Ihrer Sprache (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG).

Hosting

Die Plattform läuft auf einem Server der Hetzner Online GmbH am Standort Falkenstein, Deutschland; dort liegt auch die Datenbank. Hochgeladene Dateien (Fotos, Videos, Dokumente) und die Rohfassungen eingegangener Mails liegen im Objektspeicher Cloudflare R2 mit verbindlicher Jurisdiktion EU. Beide Anbieter arbeiten als Auftragsbearbeiter für uns (Abschnitt „Empfänger").

Zählung auf der Startseite

Oben auf der Startseite steht ein Einstieg aus Überschrift, Satz und Knopf. Um herauszufinden, welcher Einstieg verständlicher ist, zeigen wir zeitweise mehrere davon zu gleichen Teilen (ein Test). Nur solange ein Test läuft, zählen wir: welcher Einstieg in welcher Sprache angezeigt wurde und ob danach auf seinen Knopf, auf einen der Wege zum Kontakt (etwa „Kontakt aufnehmen" oder „Schreib uns") oder auf „Mehr für Marken" bzw. „Mehr für Creator" geklickt wurde, und ob ein Kontakt- oder Agenturformular auf der Startseite abgeschickt wurde. Nicht gezählt wird, wer angemeldet ist, die Seite über eine Vorschau sieht oder ein Cookie dieser Webseite mitschickt, das für die Startseite gilt, etwa das der Anmeldung (Abschnitt „Cookies").

Auf Ihrem Gerät wird dafür nichts gespeichert — weder ein Cookie noch etwas im lokalen Speicher. Welcher Einstieg erscheint, lost der Server bei jedem Aufruf neu aus; Sie werden nicht wiedererkannt. Nach dem Anzeigen und nach einem dieser Klicks schickt Ihr Browser eine kurze Meldung an unseren Server. Sie enthält nur einen signierten Vermerk — Test, Einstieg, Sprache, Tag und einen Zufallswert, damit nichts doppelt zählt — und die Art des Ereignisses. Der Zufallswert ist eine Kennung dieses einen Seitenaufrufs. Er kommt mit der Seite zu Ihrem Browser, wird auf Ihrem Gerät nicht gespeichert, und wir merken ihn uns höchstens 24 Stunden im Arbeitsspeicher, nur um doppelte Meldungen zu verwerfen. Mit den Summen speichern wir ihn nie. Schicken Sie ein Formular auf der Startseite ab, nennt ein verstecktes Feld darin nur den angezeigten Einstieg und seine Sprache — ohne Zufallswert und ohne Kennung. Wir zählen das beim Eingang Ihrer Anfrage und speichern es nicht mit Ihrer Anfrage. Ihre IP-Adresse geht nicht in die Zählung ein: Sie wird nur kurz zur Abwehr von Missbrauch im Arbeitsspeicher verarbeitet, und zwar gehasht mit einem Zufallswert, der täglich wechselt und nirgends gespeichert wird. Die Browser-Kennung (User-Agent), die jede Anfrage mitbringt, wird nur kurz mit einer Liste bekannter Maschinen verglichen und nicht gespeichert. Diese Meldungen werden nicht protokolliert; fällt unser Server kurz aus, kann eine Fehlerzeile entstehen, die weder Ihre IP-Adresse noch Ihre Browser-Kennung enthält. Der Aufruf der Seite selbst steht wie jeder Seitenaufruf im Serverprotokoll (oben).

Gespeichert werden nur Tagessummen je Test, Tag, Einstieg, Sprache und Ereignis, also Zahlen wie „Einstieg B, Deutsch, an einem Tag: 412 Aufrufe, 9 Klicks" — keine Angaben zu einzelnen Besuchern. Zweck ist eine verständliche Startseite. Rechtsgrundlage: berechtigtes Interesse an einer verständlichen, wirksamen Webseite (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Die Summen löschen wir 24 Monate nach dem Ende des Tests.

Sie können widersprechen, ohne etwas einzustellen, das wir speichern müssten: Sendet Ihr Browser das Signal „Global Privacy Control" oder „Do Not Track", zählt die Seite Sie nicht. Ohne JavaScript zählen wir keine Aufrufe und Klicks; das Absenden eines Formulars auf der Startseite zählen wir auch ohne JavaScript. Sie können der Zählung zudem aus Gründen Ihrer besonderen Situation über datenschutz@castgigs.com widersprechen.

Analysedienste von Dritten, Werbe- oder Tracking-Cookies, Social-Media-Plugins und eingebettete Schriften oder Bibliotheken von fremden Servern verwendet die Webseite nicht. Was der Browser lädt, kommt von unserem eigenen Server. Dateien aus unserem Objektspeicher Cloudflare R2 (Jurisdiktion EU; Abschnitt „Empfänger und Auftragsbearbeiter") — hochgeladene Bilder, Videos und Dokumente, Firmenlogos und Bilder aus verbundenen Instagram-Konten — lädt er über eine kurzlebige, signierte Adresse direkt von dort, und beim Hochladen schickt er eine Datei direkt dorthin; Cloudflare erhält dabei Ihre IP-Adresse und die Browser-Kennung. Von einem fremden Dienst lädt die Webseite nur eines: den Bot-Schutz auf den Formularen für Bewerbung, Anfrage und „Passwort vergessen" (unten).

Bot-Schutz (Cloudflare Turnstile)

Auf den Formularen „Als Creator bewerben", „Als Marke anfragen" und „Passwort vergessen" läuft Cloudflare Turnstile, ein Bot-Schutz, der automatisierte Massenanfragen abwehren soll (etwa massenhafte Bewerbungen oder Mails zum Zurücksetzen des Passworts). Sobald Sie eine dieser Seiten öffnen, lädt Ihr Browser ein Skript direkt von Cloudflare. Das Skript führt in Ihrem Browser kleine Prüfaufgaben aus und liest dabei technische Informationen aus Ihrem Browser (Zugriff auf Ihr Endgerät). Cloudflare erhält Ihre IP-Adresse, technische Merkmale von Browser und Verbindung (etwa die Browser-Kennung) und die Angabe, auf welcher Webseite die Prüfung läuft, und erkennt daran, ob ein Mensch das Formular ausfüllt. Beim Absenden fragt unser Server bei Cloudflare nach, ob die Prüfung bestanden ist, und gibt dabei Ihre IP-Adresse mit. Unsere Webseite setzt für den Bot-Schutz kein Cookie; welche Cookies Cloudflare in seinem eigenen Prüffenster verwendet, beschreibt Cloudflare in seinen Cookie-Hinweisen. Sie können das Laden des Skripts verhindern, etwa mit einem Inhaltsblocker in Ihrem Browser; dann lässt sich das Formular allerdings nicht absenden.

Cloudflare verwendet diese Daten in zwei Rollen. Für den Schutz unserer Formulare ist Cloudflare unser Auftragsbearbeiter. Zusätzlich verwendet Cloudflare sie, um seine Bot-Erkennung zu verbessern; dafür ist Cloudflare eigenständig Verantwortlicher und stützt sich auf sein eigenes berechtigtes Interesse („Turnstile Privacy Addendum" von Cloudflare: www.cloudflare.com/turnstile-privacy-policy). Dass Ihre Daten beim Öffnen der Seite überhaupt zu Cloudflare gelangen, veranlassen wir, indem wir das Skript einbinden; dafür sind wir verantwortlich. Anbieter ist Cloudflare, Inc., USA (Abschnitte „Empfänger und Auftragsbearbeiter" und „Bekanntgabe ins Ausland").

Rechtsgrundlage für die Verarbeitung Ihrer Daten durch uns ist unser berechtigtes Interesse, die Formulare vor automatisierten Massenanfragen zu schützen (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Den Zugriff auf Ihr Endgerät halten wir für unbedingt erforderlich, um das Formular, das Sie absenden wollen, vor Missbrauch zu schützen (§ 25 Abs. 2 Nr. 2 TDDDG; § 165 Abs. 3 TKG 2021); eine Einwilligung holen wir dafür nicht ein. Ohne bestandene Prüfung weist unser Server das Formular ab.

Personen auf Bildern der Webseite

Auf unserer Webseite zeigen wir Bilder, um das Angebot von Castgigs zu veranschaulichen. Ein Teil davon zeigt von einer KI erzeugte Beispielpersonen; jedes dieser Bilder trägt den Hinweis „KI-generierte Beispielperson". Zeigen wir Fotos echter, erkennbarer Personen — etwa von Creatorn, Mitarbeitenden oder Models —, gilt dieser Abschnitt.

Welche Daten. Das Bild selbst (das Aussehen der Person), eine kurze Bildbeschreibung (Alternativtext) und, wo das Bild einen Namen zeigt, der Vorname oder ein Kürzel. Beim Hochladen entfernen wir Kamera- und Standortangaben (EXIF); erhalten bleibt nur die Angabe zur Herkunft der Datei (etwa „mit KI erzeugt"). Trägt eine Datei einen Herkunftsnachweis (C2PA), bewahren wir das unveränderte Original intern auf; es wird nie ausgeliefert.

Zweck und Rechtsgrundlage. Wir zeigen ein Foto einer erkennbaren Person nur mit ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Art. 31 Abs. 1 DSG) oder auf Grundlage eines Vertrags mit ihr, der die Veröffentlichung auf unserer Webseite ausdrücklich umfasst (Art. 6 Abs. 1 lit. b DSGVO). Zweck ist die Darstellung unseres Angebots. Ohne Einwilligung oder Vertrag zeigen wir keine erkennbaren Personen; Bilder von Minderjährigen zeigen wir nicht.

Widerruf. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, formlos per E-Mail an datenschutz@castgigs.com. Wir nehmen das Bild dann innert 7 Tagen von der Webseite und aus unserer Bildersammlung; gelöscht wird es wie unter „Speicherdauer" beschrieben.

Empfänger. Die Bilddateien liegen bei unserem Speicher-Dienstleister und werden über unsere Server ausgeliefert (Abschnitt „Empfänger"). Auf der Webseite sind sie für jeden abrufbar; Suchmaschinen können sie erfassen, Dritte können sie kopieren. Nach dem Entfernen können solche Kopien und Zwischenspeicher (Browser, Suchmaschinen) noch eine Zeit lang bestehen; auf sie haben wir keinen Einfluss.

Speicherdauer. Solange das Bild auf der Webseite oder in unserer Bildersammlung (Mediathek) steht. Nach dem Entfernen liegt es 30 Tage im Papierkorb und wird dann automatisch gelöscht, länger nur, solange eine ausdrücklich benannte frühere Fassung der Webseite es noch zeigt. Frühere Fassungen der Webseite bewahren wir höchstens 12 Monate auf, benannte, bis ihr Name entfernt ist (Tabelle „Speicherdauer", Zeilen „Bilder der Webseite" und „Frühere Fassungen der Webseite").

Ihre weiteren Rechte — etwa Auskunft, Berichtigung, Löschung und Beschwerde bei einer Aufsichtsbehörde — stehen im Abschnitt „Ihre Rechte".

Bewerbung und Anfrage über die Formulare

Creator: „Als Creator bewerben"

Das Bewerbungsformular fragt ab: Künstlername oder Handle, Vor- und Nachname, E-Mail-Adresse, Mobilnummer, Geburtsdatum, Geschlecht, Anschrift, Sprachen, Reisebereitschaft, die Kanäle mit ungefähren Reichweiten, die gewünschte Sichtbarkeit, die freiwilligen Einwilligungen (Bildrechte, Kampagnenhinweise) und Ihre Bestätigung, dass Sie die Nutzungsbedingungen akzeptieren und die Datenschutzhinweise zur Kenntnis genommen haben. Aus dem Formular entsteht zunächst nur eine Anfrage; ein Mensch beim Betreiber entscheidet über die Freigabe. Erst mit der Freigabe entsteht ein Profil.

Unternehmen: „Als Marke anfragen"

Das Anfrageformular fragt ab: Firma, Firmierung, Anschrift, optional USt-IdNr., Webseite, Registergericht und -nummer, Geschäftsführung, dazu Vor- und Nachname, E-Mail-Adresse und Mobilnummer des Ansprechpartners sowie die Bestätigung, dass die Firma die Nutzungsbedingungen akzeptiert und die Datenschutzhinweise zur Kenntnis genommen hat, und die Erklärung, dass die Person für die Firma handeln darf und den Auftragsverarbeitungsvertrag abschliesst — mit Fassung, Zeitpunkt, Name und E-Mail-Adresse der erklärenden Person (auch bei einer weiteren Firma aus einem bestehenden Konto). Auch hier entscheidet ein Mensch über die Freigabe; danach werden aus der Anfrage die Firma und das erste Nutzerkonto angelegt, und der Abschluss des Auftragsverarbeitungsvertrags wird mit diesen Angaben im Verlauf der Firma festgehalten.

Sprache wechseln beim Ausfüllen

Wechseln Sie beim Ausfüllen der Bewerbung oder Anfrage in der Registrierung mit dem Sprachschalter „DE | EN“ die Sprache, merkt sich Ihr Browser Ihre bisherigen Eingaben kurz im Sitzungsspeicher dieses Browser-Tabs (sessionStorage); die Seite in der anderen Sprache setzt sie wieder ein, damit nichts verloren geht. Nie gemerkt werden Passwörter, Bestätigungscodes, die Daten des Bot-Schutzes und die Häkchen bei Einwilligungen und Bestätigungen — diese setzen Sie in der neuen Sprache neu. Ihre Eingaben verlassen dabei Ihren Browser nicht; an uns gehen sie erst, wenn Sie das Formular absenden. Die Seite in der anderen Sprache löscht sie, sobald sie sie eingesetzt hat; Eingaben, die älter als 10 Minuten sind, setzt sie nicht mehr ein und löscht sie. Mit dem Schliessen des Tabs verwirft Ihr Browser den Sitzungsspeicher ohnehin. Wer das nicht möchte, wählt die Sprache vor dem Ausfüllen. Den Speicher Ihres Browsers nutzen wir dafür nur nach Ihrem Klick auf den Schalter; das halten wir für unbedingt erforderlich, um den gewünschten Sprachwechsel ohne Verlust Ihrer Eingaben anzubieten (§ 25 Abs. 2 Nr. 2 TDDDG; § 165 Abs. 3 TKG 2021); eine Einwilligung holen wir dafür nicht ein. Rechtsgrundlage für das kurze Merken ist unser berechtigtes Interesse, dass Ihre Eingaben beim Sprachwechsel erhalten bleiben (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG).

Bestätigung von Mobilnummer und E-Mail-Adresse

Nach dem Absenden schicken wir einen Code per SMS an die Mobilnummer und einen Code per E-Mail. Die SMS versendet Twilio (Twilio Inc., USA) über den Dienst Twilio Verify; Twilio erhält dafür die Mobilnummer und erzeugt und prüft den Code. Ohne bestätigte Mobilnummer und E-Mail-Adresse wird keine Anfrage bearbeitet. Anfragen, die nicht innerhalb von 48 Stunden bestätigt werden, werden automatisch gelöscht.

Bestätigte Anfragen bleiben bis zu unserer Entscheidung. Eine abgelehnte Anfrage löschen wir 6 Monate nach der Ablehnung. Eine freigegebene Anfrage bewahren wir als Beleg der Registrierung auf, solange das daraus entstandene Creator-Profil bzw. Firmenkonto besteht, und löschen sie mit ihm. Gelöscht wird jeweils automatisch.

Schutz vor Missbrauch

Je Absender (E-Mail-Adresse bzw. IP-Adresse) nehmen wir höchstens drei Anfragen am Tag an, je Anfrage höchstens drei SMS pro Stunde. Dafür speichern wir einen Hash der IP-Adresse — nicht die Adresse selbst — und löschen ihn nach 24 Stunden. Die Formulare enthalten außerdem ein verstecktes Feld, das nur automatische Programme ausfüllen (Honeypot), und den Bot-Schutz aus dem Abschnitt „Besuch der Webseite".

Adressvorschläge

Beim Eintippen der Anschrift schlägt das Formular Adressen vor und kennzeichnet eine übernommene Anschrift als geprüft. Die Vorschläge kommen von HERE (HERE Europe B.V., Niederlande); HERE erhält dafür den eingetippten Adressteil und das gewählte Land, nicht Ihren Namen. Ist HERE nicht eingerichtet, kommen die Vorschläge von Photon (komoot GmbH, Deutschland, auf Basis von OpenStreetMap). Die Anfrage geht in beiden Fällen über unseren Server, Ihre IP-Adresse wird dem Anbieter nicht übermittelt.

Rechtsgrundlage: Bewerben Sie sich als Creator oder fragen Sie über „Als Marke anfragen" als Einzelunternehmerin oder Einzelunternehmer für Ihr eigenes Unternehmen an, ist es für die dafür nötigen Angaben die Anbahnung und Durchführung des Nutzungsvertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Fragen Sie für ein anderes Unternehmen an, etwa als Mitarbeiterin oder Mitarbeiter einer Gesellschaft, ist es unser berechtigtes Interesse, mit dem Unternehmen einen Vertrag anzubahnen und dafür mit Ihnen als Ansprechperson in Kontakt zu treten (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Nennt die Anfrage Sie in der Geschäftsführung, verarbeiten wir nur Ihren Namen als Angabe des Unternehmens, das wir bei der Freigabe damit anlegen (ebenfalls lit. f). Für freiwillige Angaben ist es unser berechtigtes Interesse, sie für die angebahnte Zusammenarbeit zu verwenden, für den Schutz vor Missbrauch unser berechtigtes Interesse an einem sicheren Betrieb der Formulare (jeweils lit. f); für den Bot-Schutz gilt, was unter „Bot-Schutz (Cloudflare Turnstile)" im Abschnitt „Besuch der Webseite" steht. Die freigegebene Anfrage als Beleg aufzubewahren, stützen wir auf unser berechtigtes Interesse, die Registrierung und die Zustimmung zu den Nutzungsbedingungen nachweisen zu können (lit. f); den Abschluss des Auftragsverarbeitungsvertrags festzuhalten, auf unser berechtigtes Interesse, ihn nachweisen zu können, wie es das Datenschutzrecht für diesen Vertrag verlangt (lit. f).

Kontakt- und Agenturanfragen über die Webseite

Auf einzelnen Seiten unserer Webseite stehen zwei Formulare, mit denen Sie uns ohne Registrierung schreiben können: ein Kontaktformular für allgemeine Nachrichten und ein Anfrageformular für Agenturen, die mehrere Marken betreuen. Die Bewerbung als Creator und die Anfrage als Marke laufen über die Registrierung mit eigenen Formularen (Abschnitt „Bewerbung und Anfrage über die Formulare“); dieser Abschnitt gilt für sie nicht.

Welche Daten. Beim Kontaktformular: Ihr Name, Ihre E-Mail-Adresse, Ihre Nachricht und, wenn Sie ihn angeben, ein Betreff. Beim Anfrageformular für Agenturen: der Name der Agentur, die Ansprechperson, die E-Mail-Adresse, die Nachricht und, wenn Sie sie angeben, die Webseite der Agentur und die Anzahl betreuter Marken. Dazu speichern wir, auf welcher Seite und in welcher Sprache das Formular stand, wann die Anfrage einging, wann Sie Ihre E-Mail-Adresse bestätigt haben und wann wir die Anfrage abgeschlossen haben. Bitte schreiben Sie keine besonders schützenswerten Angaben (etwa zur Gesundheit) in die Nachricht — wir brauchen sie nicht.

Bestätigung per Link. Nach dem Absenden speichern wir die Anfrage und schicken Ihnen eine E-Mail mit einem Link. Beantworten werden wir die Anfrage erst, wenn Sie Ihre Adresse damit bestätigt haben — so bleibt eine Anfrage, die jemand ohne Zugang zu Ihrem Postfach unter Ihrer Adresse abgeschickt hat, unbeantwortet; Sie erhalten dann nur diese E-Mail. Der Link gilt 48 Stunden; ohne Bestätigung löschen wir die Anfrage danach automatisch.

Schutz vor Missbrauch. Wir setzen dafür keinen Dienst eines Dritten ein. Je E-Mail-Adresse und je IP-Adresse nehmen wir höchstens drei Anfragen in 24 Stunden an; was darüber hinausgeht, speichern wir nicht und beantworten es nicht mit einer E-Mail. Dafür speichern wir Prüfsummen (Hashes) der E-Mail-Adresse und der IP-Adresse, nicht die IP-Adresse selbst; die Prüfsumme der IP-Adresse löschen wir nach 24 Stunden, die der E-Mail-Adresse zusammen mit der Anfrage. Zusätzlich zählt der Server Anfragen je IP-Adresse kurz im Arbeitsspeicher, ohne sie zu speichern. Wie jeder Seitenaufruf steht auch das Absenden im Serverprotokoll (Abschnitt „Besuch der Webseite“). Das Formular enthält ausserdem ein verstecktes Feld, das nur automatische Programme ausfüllen; eine Anfrage mit ausgefülltem Feld bekommt keine E-Mail und wird nach 48 Stunden gelöscht.

Zweck und Rechtsgrundlage. Wir verwenden die Angaben, um Ihre Anfrage zu beantworten und, wenn Sie es wünschen, eine Zusammenarbeit anzubahnen. Bahnen Sie als Privatperson oder als Einzelunternehmerin bzw. Einzelunternehmer selbst einen Vertrag mit uns an, ist die Rechtsgrundlage für die dafür nötigen Angaben die Anbahnung dieses Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Im Übrigen — insbesondere, wenn Sie als Mitarbeiterin oder Mitarbeiter einer Agentur oder eines anderen Unternehmens schreiben, für freiwillige Angaben und für allgemeine Nachrichten — ist es unser berechtigtes Interesse, Anfragen an uns zu beantworten und geschäftliche Kontakte zu pflegen (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Für den Schutz vor Missbrauch und die Bestätigung per Link ist es unser berechtigtes Interesse an einem sicheren Betrieb der Formulare (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Für Werbung verwenden wir die Angaben nicht, und an Unternehmen der Plattform geben wir sie nicht weiter.

Empfänger. Die Anfrage lesen nur wir als Betreiber. Sie liegt in unserer Datenbank auf dem Server bei Hetzner in Deutschland; die Datenbanksicherungen, in denen sie bis zu 30 Tage enthalten sein kann, liegen im Objektspeicher Cloudflare R2 mit verbindlicher Jurisdiktion EU. Die E-Mails — den Bestätigungslink an Sie und unsere Antwort — versenden wir über unser Postfach bei MXroute (USA). Mehr dazu in den Abschnitten „Empfänger und Auftragsbearbeiter“ und „Bekanntgabe ins Ausland“. Die E-Mail mit dem Bestätigungslink enthält Ihre Nachricht nicht, und über eine neue Anfrage benachrichtigen wir uns intern ohne ihren Inhalt.

Speicherdauer. Eine unbestätigte Anfrage löschen wir samt der E-Mail mit dem Link nach 48 Stunden, die Prüfsumme der IP-Adresse nach 24 Stunden — beides automatisch. Eine bestätigte Anfrage bewahren wir auf, bis wir sie abgeschlossen haben, und danach 6 Monate; spätestens 12 Monate nach Eingang löschen wir sie, zusammen mit den E-Mails der Plattform dazu (automatisch, täglicher Lauf). Antworten wir Ihnen per E-Mail, liegt dieser Austausch in unserem Postfach bei MXroute. Dort löschen wir ihn von Hand spätestens 6 Monate nach Abschluss der Anfrage und spätestens 12 Monate nach ihrem Eingang; wir prüfen das monatlich. Entsteht aus der Anfrage ein Vertrag, bewahren wir den Austausch auf, solange der Vertrag läuft, und danach nur, soweit er als Beleg aufbewahrt werden muss. Eine gelöschte Angabe kann noch bis zu 30 Tage in einer Datenbanksicherung enthalten sein (Abschnitt „Speicherdauer“).

Ihre weiteren Rechte — etwa Auskunft, Berichtigung, Löschung, Widerspruch und Beschwerde bei einer Aufsichtsbehörde — stehen im Abschnitt „Ihre Rechte“. Eine Anfrage löschen wir auf Wunsch auch vor Ablauf der Frist, samt den E-Mails der Plattform dazu; eine E-Mail an datenschutz@castgigs.com genügt.

Meldungen nach dem DSA

Über das Formular „Inhalt melden“ oder per E-Mail an kontakt@castgigs.com kann jede Person uns einen Inhalt auf Castgigs melden, den sie für rechtswidrig oder für einen Verstoss gegen unsere Nutzungsbedingungen hält (Art. 16 der Verordnung (EU) 2022/2065, „DSA“). Meldungen aus dem Formular speichern wir in einer Liste, die nur wir als Betreiber sehen; Meldungen per E-Mail und Einsprüche bearbeiten wir in unserem Postfach. Dieser Abschnitt gilt für die meldende Person und für die Person, deren Inhalt gemeldet ist.

Welche Daten. Von der meldenden Person: worum es geht, wo der Inhalt steht, die Begründung, Name und E-Mail-Adresse (bei einer Meldung zu sexuellem Missbrauch von Kindern freiwillig), auf Wunsch, für wen sie meldet, die Erklärung zum guten Glauben, die Sprache und die Stelle, von der aus sie das Formular geöffnet hat, die Meldenummer und die Zeitpunkte von Eingang, Prüfung, Entscheidung und Mitteilung. Von der gemeldeten Person: der gemeldete Inhalt, die Angaben aus ihrem Profil oder Konto, die wir für die Prüfung brauchen, unsere Entscheidung samt Begründung und ein allfälliger Einspruch. Zu beiden: unsere Vermerke zur Bearbeitung. Diese Angaben stammen von der meldenden Person und aus dem Profil oder Konto der gemeldeten Person. Bitte schreiben Sie nur, was für die Meldung nötig ist, und schicken Sie keine Kopien des Inhalts.

Schutz vor Missbrauch. Wir setzen dafür keinen Dienst eines Dritten ein. Von der IP-Adresse speichern wir nur eine Prüfsumme (Hash), nicht die Adresse selbst, und löschen sie nach 24 Stunden. Von einem Anschluss nehmen wir höchstens zehn Meldungen in 24 Stunden an; an dieselbe E-Mail-Adresse schicken wir höchstens drei Eingangsbestätigungen in 24 Stunden automatisch. Zusätzlich zählt der Server Meldungen je IP-Adresse kurz im Arbeitsspeicher, ohne sie zu speichern. Wie jeder Seitenaufruf steht auch das Absenden im Serverprotokoll (Abschnitt „Besuch der Webseite“). Das Formular enthält ein verstecktes Feld, das nur automatische Programme ausfüllen; eine Meldung mit ausgefülltem Feld speichern wir mit einem Vermerk, schicken keine automatische E-Mail und prüfen sie von Hand. Gehen ungewöhnlich viele Meldungen auf einmal ein, speichern wir weitere ebenfalls mit einem Vermerk und ohne automatische E-Mail. Gehen innert 24 Stunden mehr als tausend Meldungen ein, nimmt das Formular vorübergehend keine weiteren an und verweist auf die E-Mail.

Zweck und Rechtsgrundlage. Wir verwenden die Angaben, um die Meldung zu bearbeiten, den Eingang zu bestätigen, die Entscheidung mitzuteilen, der betroffenen Person die Gründe zu nennen, Einsprüche zu prüfen und, wenn nötig, Behörden zu informieren. Dazu verpflichtet uns der DSA (Art. 16 bis 18 und 20); Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Angaben zu möglichen Straftaten verarbeiten wir nur, soweit Art. 16 und 18 DSA es verlangen (Art. 10 DSGVO). Enthält eine Meldung besondere Kategorien personenbezogener Daten, etwa zu Gesundheit, Sexualleben oder Herkunft, verarbeiten wir sie nur, soweit es für die Bearbeitung nach dem DSA nötig ist (Art. 9 Abs. 2 lit. g DSGVO). Bei Meldungen zu unseren Nutzungsbedingungen und für den Schutz vor Missbrauch ist es unser berechtigtes Interesse an einer sicheren und rechtmässigen Plattform (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG).

Empfänger. Die Meldung lesen nur wir als Betreiber. Der betroffenen Person nennen wir Namen und E-Mail-Adresse der meldenden Person nicht, ausser es ist für die Entscheidung unbedingt nötig; dann sagen wir es der meldenden Person vorher. Besteht der Verdacht einer Straftat, die das Leben oder die Sicherheit von Menschen bedroht, informieren wir die zuständigen Strafverfolgungsbehörden oder, wenn der betroffene Staat nicht feststeht, Europol (Art. 18 DSA); eine Behörde, die uns eine Anordnung nach Art. 9 oder 10 DSA schickt, erhält die dafür nötigen Angaben. Die Meldung liegt in unserer Datenbank auf dem Server bei Hetzner in Deutschland; die Datenbanksicherungen, in denen sie bis zu 30 Tage enthalten sein kann, liegen im Objektspeicher Cloudflare R2 mit verbindlicher Jurisdiktion EU. E-Mails versenden und empfangen wir über unser Postfach bei MXroute (USA). Die Eingangsbestätigung enthält die Meldung nicht, und über eine neue Meldung benachrichtigen wir uns intern ohne ihren Inhalt. Mehr in den Abschnitten „Empfänger und Auftragsbearbeiter“ und „Bekanntgabe ins Ausland“.

Speicherdauer. Eine Meldung aus dem Formular bewahren wir bis zu unserer Entscheidung auf und danach 6 Monate ab unserer letzten Mitteilung dazu – so lange kann man Einspruch einlegen –, zuzüglich zwei Wochen für Einsprüche, die am letzten Tag eingehen. Lässt sich eine Mitteilung nicht zustellen, zählt der Tag, an dem wir das feststellen. Dann löschen wir die Meldung samt den E-Mails der Plattform dazu automatisch. Geht ein Einspruch ein oder läuft ein Verfahren bei einer Behörde, einem Gericht oder einer Streitbeilegungsstelle, bewahren wir die Meldung bis zu dessen Abschluss auf; danach beginnt die Frist neu. Die Prüfsumme der IP-Adresse löschen wir nach 24 Stunden. Meldungen per E-Mail, Einsprüche, Begründungen für Einschränkungen ohne Meldung und den übrigen E-Mail-Austausch dazu in unserem Postfach löschen wir von Hand nach denselben Fristen; wir prüfen das monatlich. Ohne Namen, Adressen und Inhalt behalten wir als Nachweis im Prüfprotokoll bis zu 36 Monate nur, dass eine Meldung welcher Art über das Formular einging und wie wir entschieden haben (Abschnitt „Speicherdauer“). Eine gelöschte Angabe kann noch bis zu 30 Tage in einer Datenbanksicherung enthalten sein.

Ihre weiteren Rechte stehen im Abschnitt „Ihre Rechte“. Solange wir über eine Meldung noch nicht entschieden haben, kann die meldende Person sie zurückziehen; dann löschen wir sie, ausser wir müssen sie wegen eines Verfahrens aufbewahren. Nach unserer Entscheidung bleibt die Meldung bis zum Ablauf ihrer Frist, auch auf Wunsch einer Seite nicht kürzer: So lange können beide Seiten Einspruch einlegen, und wir müssen ihn prüfen können (Art. 17 Abs. 3 lit. b und e DSGVO). Für Ihre Anfrage genügt eine E-Mail an datenschutz@castgigs.com.

Creator-Profil

Welche Daten das Profil enthält

Nach der Freigabe füllt der Creator sein Profil in Schritten aus. Es enthält, je nachdem, was er angibt:

• Identität: Künstlername, Vor- und Nachname, Geburtsdatum, Geschlecht (mit optionaler Selbstbeschreibung), Pronomen, Anschrift, Nationalität, Sprachen, Reisebereitschaft, Kurzvorstellung, Führerschein.
• Kontakt: E-Mail-Adressen und Mobilnummern mit Bestätigungsstand.
• Kanäle und Reichweite: Plattform, Handle, Follower, Beiträge, durchschnittliche Aufrufe, Interaktionsrate, Zielgruppenverteilung nach Alter, Geschlecht und Herkunft — aus eigener Angabe oder, bei verbundenem Instagram-Konto, von Instagram.
• Inhalte und Themen: Formate, Themen, ausgeschlossene Branchen, bisherige Kooperationen.
• Konditionen: Preisliste je Format, Nutzungsrechte, Exklusivität.
• Medien: Profilbild, Fotos und Videos (Abschnitt „Fotos, Videos und Bildrechte").
• Herkunft jedes Wertes: Zu jedem Feld speichern wir, woher der Wert stammt — eigene Eingabe, Instagram oder Betreiber — und wann er zuletzt geändert wurde. Aus einer Bewerbungsmail wird kein Wert in ein Profil übernommen.

Nicht Teil des Profils sind Bankverbindung, Steuernummer und Versandangaben (Lieferadresse, Konfektionsgrößen, Allergien, Haustiere im Haushalt): Der Schritt „Abrechnung" ist noch nicht in Betrieb und fragt heute nichts ab. Geht er in Betrieb, wird diese Erklärung vorher ergänzt.

Wofür

Das Profil ist die Leistung der Plattform: Es zeigt Unternehmen, wer der Creator ist, welche Reichweite er hat und zu welchen Bedingungen er arbeitet, damit sie ihn anfragen und buchen können. Der Betreiber nutzt dieselben Daten, um das Profil zu prüfen, Creator und Unternehmen bei Rückfragen zu unterstützen und Missbrauch zu erkennen.

Wer was sieht

Unternehmen sehen das Profil nur, wenn es für sie sichtbar ist (nächster Abschnitt) — und auch dann nicht alles: Sie sehen das Alter, nicht das Geburtsdatum; sie sehen Ort und Land, nicht die vollständige Anschrift; Ausweisdokumente, Passwort- und Sicherheitsangaben sehen sie nie. Der Betreiber sieht das vollständige Profil, weil er es prüft und Löschanfragen ausführt. Die Trennung ist nicht nur eine Regel der Oberfläche, sondern in der Datenbank selbst hinterlegt (Abschnitt „Datensicherheit").

Minderjährige Creator

Ist der Creator nach dem Geburtsdatum unter 18 Jahre alt, wird sein Profil nicht automatisch freigeschaltet und Unternehmen nicht sichtbar. Ein Verfahren, mit dem die Plattform die Zustimmung eines Erziehungsberechtigten selbst einholt, gibt es derzeit nicht; das Profil fragt auch keine Angaben zu Erziehungsberechtigten ab. Soll ein solches Profil freigeschaltet werden, klärt der Betreiber die Zustimmung im Einzelfall außerhalb der Plattform per E-Mail mit dem Erziehungsberechtigten und hält sie mit Datum fest. Die dabei genannten Angaben (Name und E-Mail-Adresse des Erziehungsberechtigten) dienen ausschließlich diesem Nachweis.

Rechtsgrundlagen

• Erfüllung des Nutzungsvertrags mit dem Creator — Profil, Vermittlung, Kommunikation (Art. 6 Abs. 1 lit. b DSGVO).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die Sichtbarkeit gegenüber allen Unternehmen, die Anzeige von Fotos und Videos und Kampagnenhinweise per E-Mail — je einzeln und jederzeit widerrufbar: Sichtbarkeit und Kampagnenhinweise im Schritt „Sichtbarkeit" des Profils, die Anzeige von Fotos und Videos per E-Mail an datenschutz@castgigs.com (Abschnitt „Fotos, Videos und Bildrechte"). Jede erteilte oder widerrufene Einwilligung speichern wir mit Zeitpunkt, Textfassung und Weg (Formular oder Betreiber), damit wir sie nachweisen können (Art. 7 Abs. 1 DSGVO).
• Berechtigtes Interesse (lit. f) an der Prüfung von Angaben und an der Verhinderung von Missbrauch — etwa daran, dass niemand fremde Kanäle als eigene ausgibt.
• Bei Minderjährigen die Zustimmung des Erziehungsberechtigten als Voraussetzung des Vertrags — eingeholt im Einzelfall durch den Betreiber, wie oben beschrieben.

Sichtbarkeit des Profils und Verbindungen

Ein Creator-Profil wird einem Unternehmen auf genau drei Wegen sichtbar:

1. Verbindung durch Bewerbung. Bewirbt sich ein Creator bei einem Unternehmen — per Klick auf der Plattform, oder per E-Mail an dessen Postfach bzw. Instagram-Direktnachricht, sobald er sich über den Link in der Antwort anmeldet oder registriert und der Verbindung zustimmt —, entsteht eine Verbindung zu diesem Unternehmen, und das Unternehmen sieht das Profil. Das ist keine Voreinstellung, sondern die Wiedergabe der Handlung „ich habe dieser Firma geschrieben". Der Creator kann jede Verbindung jederzeit unter „Firmen → Meine Firmen" beenden; das Unternehmen sieht das Profil dann nicht mehr und kann nicht mehr schreiben. Auch das Unternehmen kann eine Verbindung beenden; der Creator sieht dann nur „Verbindung beendet — von der Firma" und kann sich erneut bewerben. Der bisherige Gesprächsverlauf bleibt für beide Seiten lesbar.
2. Freigabe für alle Unternehmen („offener Pool"). Nur mit ausdrücklicher Einwilligung im Schritt „Sichtbarkeit". Das Profil erscheint dann in der Suche aller Unternehmen der Plattform. Jederzeit widerrufbar an derselben Stelle; danach gilt wieder nur die Sichtbarkeit aus Verbindungen und Freigaben.
3. Einzelne Freigabe. Eine gezielte Freigabe für ein bestimmtes Unternehmen, etwa im Rahmen einer Kampagneneinladung. Sie gilt, bis der Creator sie zurücknimmt.

Voreingestellt ist die enge Variante: sichtbar nur für Unternehmen, bei denen sich der Creator beworben hat oder die er freigegeben hat. Ein Unternehmen kann umgekehrt einen Creator für sich sperren („Blockieren"); der Creator erscheint dann in dessen Suche nicht mehr, seine Bewerbungsmails und Instagram-Nachrichten an dieses Unternehmen werden nicht automatisch beantwortet, und Nachrichten zwischen beiden sind nicht möglich. Das Unternehmen hält dazu einen kurzen Grund fest, den nur das Unternehmen selbst und wir als Betreiber sehen (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Unternehmens, unerwünschte Kontakte fernzuhalten); der Creator erfährt davon nur, dass die Verbindung beendet wurde. Hebt das Unternehmen die Sperre auf, bleibt der Vermerk in dessen Verlauf.

Das öffentliche Firmenverzeichnis unter /firmen zeigt keine Creator-Profile — nur Unternehmen, die ihr Firmenprofil selbst freigeschaltet haben.

Fotos, Videos und Bildrechte

Creator laden Profilbilder, Fotos und Videos hoch. Jede Datei wird beim Upload auf Schadsoftware geprüft (ClamAV, auf unserem eigenen Server) und im Objektspeicher Cloudflare R2 (Jurisdiktion EU) abgelegt. Der Speicher ist nicht öffentlich: Jede Anzeige läuft über eine signierte Adresse, die fünf Minuten gilt und nur für die Person ausgestellt wird, die das Profil sehen darf.

Die Anzeige von Fotos und Videos gegenüber Unternehmen setzt die Einwilligung des Creators voraus („Ich erlaube die Anzeige meiner Fotos und Videos im Profil") — nach Art. 6 Abs. 1 lit. a DSGVO und, für Creator in Deutschland, §§ 22 f. Kunsturhebergesetz (Recht am eigenen Bild); in der Schweiz nach Art. 28 ZGB. Sie wird im Schritt „Sichtbarkeit" des Profils erteilt und ist dort ein Pflichtfeld: Ein Profil mit Fotos und Videos, die niemand sehen darf, hat für die Vermittlung keinen Zweck. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar — per E-Mail an datenschutz@castgigs.com; der Betreiber hält den Widerruf mit Zeitpunkt fest. Nach dem Widerruf werden die Dateien Unternehmen nicht mehr angezeigt und nicht mehr ausgeliefert; sie bleiben im Speicher des Creators, bis er sie selbst im Schritt „Fotos & Dateien" entfernt oder ihre Löschung verlangt. Wer keine Fotos und Videos zeigen möchte, lädt einfach keine hoch — die Einwilligung betrifft nur Dateien, die es gibt.

Unternehmen dürfen die Medien innerhalb der Plattform ansehen, um den Creator zu beurteilen. Jede Verwendung außerhalb der Plattform — in Kampagnen, auf eigenen Kanälen, in Präsentationen — bedarf einer gesonderten Vereinbarung mit dem Creator (Nutzungsbedingungen).

Bewerbungen per E-Mail an ein Unternehmen

Was geschieht

Unternehmen können ein eigenes Postfach mit der Plattform verbinden — die Adresse, an die Creator ihre Bewerbungen und Kooperationsanfragen schicken. Dabei wählt das Unternehmen einen oder mehrere Ordner (bei Gmail: Labels), etwa einen Ordner nur für Bewerbungen; nur diese Ordner liest die Plattform. Den Posteingang oder das Archiv kann es nur wählen, wenn es bestätigt, dass das Postfach nur Bewerbungen und Kooperationsanfragen dient. Ordner für gesendete Nachrichten, Entwürfe, Papierkorb und Spam — die der Mailserver als solche kennzeichnet oder die auf oberster Ebene so heißen — kann das Unternehmen nicht wählen. Die Namen der übrigen Ordner zeigt sie nur zur Auswahl an; gespeichert werden die gewählten und früher gewählten Ordner (Name, Zeitraum, Abrufstand). Beim Verbinden ruft die Plattform aus jedem gewählten Ordner die Nachrichten der letzten 12 Monate ab — auf Wunsch des Unternehmens einen kürzeren Zeitraum —, danach jede Nachricht, die neu in einen gewählten Ordner kommt; ältere Nachrichten ruft sie nicht ab. Dieselbe Grenze gilt, wenn das Unternehmen weitere Ordner wählt oder die Plattform einen Ordner neu einlesen muss (etwa nach einer Umstellung beim Mailanbieter). Jede abgerufene Nachricht speichert sie zunächst vollständig: Absenderadresse und -name, Empfänger, Betreff, Text, Zeitpunkte (Versand und Eingang beim Mailserver), Ordner und Anhänge sowie das Ergebnis der Absenderprüfung, das der empfangende Mailserver in die Kopfzeilen schreibt (SPF, DKIM, DMARC); die unveränderte Rohfassung der Mail liegt im Objektspeicher (R2, EU). Feste Regeln stufen dabei jede Nachricht ein: Bewerbung oder nicht. Weitere Mails desselben Absenders ordnen wir seiner Anfrage zu und zeigen sie im selben Verlauf.

Nachrichten, die keine Bewerbung sind

Nachrichten, die die Regeln nicht als Bewerbung einstufen, bearbeitet die Plattform nicht weiter: keine Antwort, keine Zuordnung zu einem Profil. Wie lange ihr Inhalt gespeichert bleibt, hängt davon ab, wie sicher die Einstufung ist:

• Automatische Antworten (etwa Abwesenheitsnotizen und als Massenversand gekennzeichnete Mails), Zustellberichte und Mails, die der empfangende Mailserver als Spam markiert hat: Ihren Inhalt löschen wir spätestens 24 Stunden nach dem Abruf — Absendername, Empfänger, Betreff, Text, Anhänge und die Rohfassung im Objektspeicher. Es bleibt eine technische Kennung: die Nachrichten-Kennung und die Kennungen der Nachrichten, auf die sie antwortet, Postfach und Ordner, Eingangs- und Sendezeitpunkt, die Einstufung, die Absenderadresse, das Ergebnis der Absenderprüfung und eine Prüfsumme, aus der sich der Inhalt nicht zurückgewinnen lässt. Damit kann das Unternehmen eine Fehleinordnung korrigieren: Stuft es eine solche Nachricht als Bewerbung ein, ruft die Plattform sie erneut aus seinem Postfach ab, sofern sie dort noch in dem Ordner liegt, aus dem sie abgerufen wurde — auch wenn das Unternehmen diesen Ordner inzwischen abgewählt hat.
• Antworten auf frühere Nachrichten, Mails mit sehr wenig Text oder ohne erkennbaren Absender, Mails über einen Verteiler (Mailingliste) und Weiterleitungen aus dem eigenen Unternehmen: Darunter sind oft Bewerbungen — etwa die Antwort auf einen Aufruf des Unternehmens, eine Bewerbung an eine Gruppenadresse oder eine weitergeleitete Anfrage. Sie bleiben deshalb gespeichert wie Bewerbungsmails (Abschnitt „Speicherdauer"), und das Unternehmen kann sie als Bewerbung einstufen.

Eine Nachricht, die die Regeln für eine Bewerbung halten — das kann auch eine Rechnung oder ein Newsletter sein —, behandelt die Plattform wie eine Bewerbung. Ebenso behandeln wir Nachrichten, die zu einer Bewerbung gehören: Mails eines Absenders, von dem eine Bewerbung vorliegt, die noch keinem Creator-Profil zugeordnet ist; Nachrichten in einem Verlauf, zu dem eine Bewerbung gehört; und Mails im Gespräch mit einem verbundenen Creator. Das Original im Postfach des Unternehmens verändert, verschiebt oder löscht die Plattform nie. In den Datenbanksicherungen kann ein gelöschter Inhalt noch bis zu 30 Tage enthalten sein; danach laufen sie aus. Die Löschung nach 24 Stunden gilt für Nachrichten, die ab dem 29. September 2026 abgerufen werden.

Aus Castgigs entfernen

Ist eine Nachricht abgerufen worden, die nicht auf die Plattform gehört — etwa eine private Nachricht, eine Nachricht mit Gesundheitsangaben oder eine Personalakte —, kann das Unternehmen sie mit „Aus Castgigs entfernen" löschen. Die Plattform löscht dann sofort Text, Anhänge samt Vorschaubildern und die Rohfassung im Objektspeicher sowie noch nicht verschickte Antworten darauf; von einer schon verschickten Antwort bleiben nur Empfänger, Zeitpunkt und Zustellstatus als Nachweis. Dieselbe Nachricht in einem zweiten Postfach des Unternehmens wird mit entfernt, ebenso eine Weiterleitung, die die Plattform als Weiterleitung dieser Nachricht erkennt; ist diese Weiterleitung selbst eine eigene Nachricht (etwa eine Anfrage oder eine Nachricht im Gespräch), löscht die Plattform nur ihre Rohfassung. Gehört die Nachricht zu keinem Gespräch und hat sich niemand über den Link in der Antwort darauf verbunden, bleiben von ihr nur eine Prüfsumme ihrer Nachrichten-Kennung, damit dieselbe Nachricht nicht erneut gespeichert wird (bis zwölf Monate und einen Tag nach ihrem Eingang), und im Prüfprotokoll des Unternehmens der Vermerk, wer sie wann entfernt hat — ohne Absender, Betreff oder Inhalt. Steht die Nachricht im Gespräch mit einem Creator oder hat sich ein Creator über den Link in der Antwort darauf verbunden, bleibt eine Zeile ohne Inhalt mit Absenderadresse und Nachrichten-Kennung stehen: Sie trägt die Verbindung, die bestehen bleibt, und die Zuordnung späterer Mails dieses Creators; im Gespräch sehen Unternehmen und Creator an ihrer Stelle „Vom Unternehmen aus Castgigs entfernt". Diese Zeile wird gelöscht wie eine Bewerbungsmail (Abschnitt „Speicherdauer"). Im Postfach des Unternehmens bleibt die Nachricht unverändert. In den Datenbanksicherungen kann sie noch bis zu 30 Tage enthalten sein; danach laufen sie aus.

Mit einer Bewerbung geschieht zweierlei — ähnlich wie mit einer Instagram-Direktnachricht (Abschnitt „Instagram-Direktnachrichten an Unternehmen"):

1. Zuordnung innerhalb des Unternehmens. Die Plattform prüft nur, ob die Absenderadresse zu einem Creator gehört, der mit diesem Unternehmen verbunden ist oder den es gesperrt hat — über dessen bestätigte E-Mail-Adresse oder die Adresse, mit der er den Link dieses Unternehmens selbst eingelöst hat. Mit den Profilen aller übrigen Creator gleicht sie nicht ab. Mehr wird nicht gelesen: Kein Programm wertet den Text der Mail aus, kein Profil wird aus ihr angelegt oder vorbelegt, kein Wert wird aus ihr in ein Profil übernommen. Eine Mail, deren Absenderprüfung gescheitert ist, gilt nie als Nachricht dieses Creators.
2. Antwort. Je nachdem, was das Unternehmen für sein Postfach eingestellt hat, geht keine automatische Antwort hinaus (das Unternehmen antwortet selbst), die Plattform schlägt eine Antwort vor, die ein Mitarbeiter mit einem Klick aus dem Postfach des Unternehmens schickt, oder die Antwort geht automatisch hinaus. Sie enthält einen Link auf eine Seite, auf der der Absender sich selbst anmelden oder ein Profil registrieren und der Verbindung mit dem Unternehmen zustimmen kann — ohne Geheimnis und ohne Anmelde-Token; der Link gilt 14 Tage. Das gilt auch für Absender, die schon ein Profil haben. Gehört die Absenderadresse zu einem Creator, der schon mit dem Unternehmen verbunden ist, und ist ihre Absenderprüfung nicht gescheitert, geht keine neue Antwort hinaus; die Mail kommt ins gemeinsame Gespräch (unten). Antwortet die Plattform einem solchen Creator doch — etwa wenn das Unternehmen eine zurückgehaltene Mail nachfasst —, nennt die Antwort die bestehende Verbindung und führt auf die Anmeldemaske. Beim Verbinden seines Postfachs bestätigt das Unternehmen, dass die automatischen Antworten an Bewerber diesen Link enthalten und dass sich verbindet, wer ihn nutzt und zustimmt.

Eine Verbindung zwischen Creator und Unternehmen (Abschnitt „Sichtbarkeit des Profils und Verbindungen") entsteht erst, wenn der Absender sich über den Link in der Antwort anmeldet oder registriert und zustimmt — die Absenderadresse wird dann als unbestätigte weitere Adresse an seinem Profil vermerkt. Ein Klick des Unternehmens verbindet niemanden. Ab dann gehört die Mail zum gemeinsamen Gespräch auf der Plattform, und spätere Mails von der Adresse eines verbundenen Creators gehören ohne neue Antwort ebenfalls dazu, sofern ihre Absenderprüfung nicht gescheitert ist. Hat ein Unternehmen einen Creator gesperrt, ordnet die Plattform seine Mails diesem Profil nicht mehr zu und beantwortet sie nicht automatisch; die Mail selbst liegt weiterhin im Postfach des Unternehmens.

Wer wofür verantwortlich ist

Das Postfach gehört dem Unternehmen. Für das Lesen der Mails aus den gewählten Ordnern, ihre Einstufung, die Zuordnung zu Creatorn, die mit ihm verbunden sind oder die es gesperrt hat, und die Antwort in seinem Namen ist das Unternehmen der Verantwortliche; Castgigs handelt dabei als sein Auftragsbearbeiter (Art. 28 DSGVO; Art. 9 DSG) auf Grundlage des Vertrags mit dem Unternehmen. Für das Creator-Profil und für die Verbindung, die der Creator über den Link selbst bestätigt, ist Castgigs selbst verantwortlich.

Rechtsgrundlagen und Dauer

Für die Bearbeitung der Bewerbung: berechtigtes Interesse des Unternehmens und des Absenders an einer Antwort auf eine Anfrage, die er selbst gestellt hat (Art. 6 Abs. 1 lit. f DSGVO), und die Anbahnung einer Zusammenarbeit (lit. b). Für die Verbindung mit dem Creator-Profil: der Nutzungsvertrag mit dem Creator (lit. b). Wer eine Bewerbung geschickt hat, den Link aber nicht nutzen will, muss nichts tun: Es bleibt bei der Mail beim Unternehmen; für sie gilt die Höchstfrist von 24 Monaten nach Eingang (Abschnitt „Speicherdauer"), der nicht genutzte Link verfällt nach 14 Tagen und wird 30 Tage danach gelöscht. Bei automatischen Antworten, Zustellberichten und Spam ist der Inhalt spätestens 24 Stunden nach dem Abruf gelöscht; für ihre Kennung und für die übrigen Nachrichten, die keine Bewerbung sind, gilt dieselbe Höchstfrist wie für eine Bewerbungsmail. Eine Löschung kann jederzeit beim Unternehmen oder bei uns verlangt werden; das Unternehmen kann eine einzelne Nachricht auch selbst aus Castgigs entfernen (oben).

Identitäts- und Kanalprüfung

Die Plattform prüft Angaben auf mehreren Stufen — jede mit eigenem Nachweis:

• Mobilnummer: Code per SMS über Twilio Verify (Abschnitt „Bewerbung und Anfrage"). Twilio verwahrt und prüft den Code; wir speichern nur, dass und wann die Nummer bestätigt wurde.
• E-Mail-Adresse: Code oder Link per E-Mail, verschickt von unserem Server.
• Anschrift: Kennzeichnung als geprüft, wenn ein Adressvorschlag übernommen wurde (HERE).
• Kanal: Nachweis durch die Verbindung des Kontos beim Netzwerk (heute Instagram, nächster Abschnitt).
• Verifizierung („blauer Haken"): Auf Antrag des Creators sichtet der Betreiber das Profil persönlich — gehört der Kanal dieser Person, stimmen die Zahlen, ist das Profil vollständig — und vergibt oder verweigert das Abzeichen. Antrag, Entscheidung und Zeitpunkt werden protokolliert.

Rechtsgrundlagen: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse aller Beteiligten daran, dass Profile echt sind (lit. f).

Instagram-Verbindung

Creator können ihr Instagram-Konto (Creator- oder Business-Konto) mit ihrem Profil verbinden. Dazu meldet sich der Creator bei Instagram an und stimmt dort zu; die Plattform erhält von Meta ein Zugangstoken. Anbieter ist Meta Platforms Ireland Limited, Dublin, Irland („Instagram API with Instagram Login"). Die Verbindung ist freiwillig; ohne sie bleiben die Kanalangaben Selbstauskunft.

Welche Daten wir von Instagram erhalten

• Benutzername, Profilname, die Konto-Kennungen (app-bezogene Nutzer-ID und Konto-ID), Kontotyp;
• die Profilbeschreibung (Bio), die im Profil hinterlegte Website und das Profilbild;
• Zahl der Follower, der abonnierten Konten und der Beiträge;
• die letzten zwölf Beiträge: Kennung, Art (Bild, Video, Karussell, Reel), Link zum Beitrag, Zeitpunkt, Bildunterschrift (gekürzt auf 300 Zeichen), Vorschaubild sowie die Kennzahlen des Beitrags (Likes, Kommentare, Aufrufe, Reichweite, Speicherungen, Teilungen, Interaktionen);
• von Stories nur Kennzahlen (Kennung, Art (Bild oder Video), Zeitpunkt, Aufrufe, Reichweite, Antworten) — nicht den Inhalt, kein Bild, keinen Text;
• ab 100 Followern die Verteilung der Follower nach Alter, Geschlecht, Land und Stadt (Zielgruppen-Demografie, als Anteile; die fünf stärksten Länder und Städte einzeln);
• das Zugangstoken mit Ablaufdatum und den erteilten Berechtigungen.

Berechtigungen: instagram_business_basic (Profil und Beiträge) und instagram_business_manage_insights (Kennzahlen der Beiträge und Stories, Zielgruppen-Demografie). Über diese Verbindung lesen wir keine Nachrichten, Kommentare oder Kontakte und veröffentlichen nichts im Namen des Creators. (Direktnachrichten an ein Unternehmen, das sein eigenes Instagram-Konto dafür verbunden hat, behandelt der Abschnitt „Instagram-Direktnachrichten an Unternehmen".)

Wofür

Zweierlei: der Nachweis, dass der Kanal dem Creator gehört (wer bei Instagram zustimmt, besitzt das Konto), und ein aussagekräftiges Profil mit echten Zahlen — Follower, Bio, Website, Profilbild, die letzten Beiträge und die Zielgruppe kommen dann von Instagram statt aus der Selbstauskunft. Aus den Kennzahlen der Beiträge und Stories rechnen wir die Engagement-Rate (Ø Likes, Kommentare, Speicherungen und Teilungen je Beitrag geteilt durch Follower), die durchschnittlichen Aufrufe je Beitrag und die durchschnittlichen Story-Aufrufe der letzten 30 Tage; diese Werte tragen für Unternehmen die Kennzeichnung „von Instagram" mit dem Tag des Abgleichs. Profil, Beiträge und Zielgruppe werden alle drei Tage aktualisiert, die Story-Kennzahlen täglich; das Token gilt 60 Tage und wird vor Ablauf automatisch verlängert, solange die Verbindung besteht.

Wie wir sie speichern

Das Zugangstoken liegt verschlüsselt in der Datenbank (Umschlagverschlüsselung mit einem Schlüssel, der nur dem Server bekannt ist). Benutzername, Konto-Kennungen, Kontotyp und Berechtigungen stehen im Verbindungseintrag. Bio, Website, Profilname und die Kennzahlen werden am Kanal gespeichert; Profilbild und Vorschaubilder der Beiträge laden wir einmal von Instagram, kodieren sie neu (höchstens 480 Pixel, ohne Metadaten) und legen sie in unserem Speicher in der EU ab — die Bildadressen von Instagram selbst speichern wir nicht. Follower, abonnierte Konten, Beiträge und die Zielgruppenverteilung werden als Messwerte mit Datum und Quelle „Instagram" am Kanal gespeichert. Alles davon zeigen wir Unternehmen im Profil — im Rahmen der Sichtbarkeit aus dem Abschnitt „Sichtbarkeit"; die Zahl der abonnierten Konten wird gespeichert, aber nicht angezeigt.

Speicherdauer: Von den Beiträgen bleiben nur die zwölf jüngsten — ein Beitrag, der aus diesen zwölf fällt, wird beim nächsten Abgleich samt Vorschaubild gelöscht. Story-Kennzahlen bewahren wir 90 Tage auf. Bio, Website, Profilname und Profilbild werden bei jedem Abgleich ersetzt. Die Messwerte (Follower, Kennzahlen, Zielgruppe) bleiben als Zeitreihe mit Datum bestehen, solange der Kanal besteht.

Trennen

Der Creator kann die Verbindung jederzeit unter „Profil bearbeiten → Kanäle & Zielgruppe" mit „Trennen" beenden. Dann wird das Zugangstoken sofort gelöscht, es findet kein Abgleich mehr statt, und der Kanalnachweis erlischt. Bio, Website, Profilname, Profilbild, die gespeicherten Beiträge mit ihren Vorschaubildern und die Story-Kennzahlen werden dabei sofort gelöscht. Die bis dahin gemessenen Zahlen (Follower, Engagement-Rate, Aufrufe, Zielgruppe) bleiben mit ihrem Datum als Momentaufnahme im Profil stehen, bis der Creator sie ändert oder ihre Löschung verlangt. Entfernt der Creator die App stattdessen in seinen Instagram-Einstellungen, meldet Meta uns das, und wir trennen die Verbindung auf dieselbe Weise.

Löschung der Instagram-Daten

Die Löschung der von Instagram übernommenen Daten gibt es auf zwei Wegen:

1. Über Instagram: In den Instagram-Einstellungen unter „Apps und Websites" die App „Castgigs" entfernen und dort die Löschung der Daten verlangen. Meta ruft daraufhin unsere Löschschnittstelle auf. Wir trennen die Verbindung, löschen das Zugangstoken, Bio, Website, Profilname und Profilbild, die gespeicherten Beiträge samt Vorschaubildern und Story-Kennzahlen sowie alle Messwerte (Follower, abonnierte Konten, Beiträge, Engagement-Rate, Aufrufe) und Zielgruppenverteilungen mit Quelle Instagram, leeren die daraus abgeleiteten Angaben im Profil und antworten Meta mit einem Bestätigungscode. Unter https://castgigs.com/api/instagram/loeschung?code=… kann der Stand der Löschanfrage mit diesem Code jederzeit nachgesehen werden; die Seite ist ohne Anmeldung erreichbar. Damit diese Statusseite antworten kann und der Widerruf nachweisbar bleibt, behält der Verbindungseintrag Benutzername, Konto-Kennungen und Kontotyp mit dem Vermerk „getrennt" — ohne Token, ohne Zahlen, ohne weiteren Abgleich. Auch diese Kennungen löschen wir auf Anfrage per E-Mail und spätestens mit dem Profil.
2. Per E-Mail: Eine Nachricht an datenschutz@castgigs.com mit dem Instagram-Benutzernamen genügt. Wir führen die Löschung aus — auf Wunsch einschließlich der Kennungen im Verbindungseintrag — und bestätigen sie.

Der vom Creator selbst eingetragene Kanal (Handle) bleibt in beiden Fällen als seine eigene Angabe erhalten, bis er ihn selbst entfernt. Jede Verbindung, Trennung und Löschung wird im Prüfprotokoll festgehalten — mit dem Instagram-Benutzernamen (dem öffentlichen Handle), ohne Token, Kennungen oder Zahlen. Das Prüfprotokoll kann nachträglich nicht geändert werden (Abschnitt „Datensicherheit"); sein Eintrag ist der Nachweis, dass die Löschung stattgefunden hat.

Rechtsgrundlagen: Einwilligung gegenüber Meta beim Verbinden und der Nutzungsvertrag mit dem Creator (Art. 6 Abs. 1 lit. a und b DSGVO). Für die Verarbeitung durch Meta selbst gelten die Datenschutzhinweise von Meta.

Postfach-Verbindung der Unternehmen

Ein Unternehmen verbindet sein Bewerbungspostfach auf einem von zwei Wegen. Bei Microsoft 365 meldet sich ein berechtigter Mitarbeiter bei Microsoft an und erteilt der Plattform Zugriff auf genau dieses Postfach (OAuth); die Plattform erhält Zugangstoken von Microsoft (Microsoft Ireland Operations Limited, Dublin, Irland). Bei anderen Anbietern hinterlegt das Unternehmen Servername, Benutzername und Passwort für IMAP und SMTP. Tokens und Passwörter liegen verschlüsselt in der Datenbank; Microsoft-Tokens werden automatisch erneuert, solange die Verbindung besteht.

Beide Wege erlauben technisch den Zugriff auf das ganze Postfach; die Plattform liest daraus nur die Ordner, die das Unternehmen gewählt hat. Mit dem Zugriff ruft sie beim Verbinden die Nachrichten der letzten 12 Monate aus diesen Ordnern und danach neu eingehende Nachrichten ab und verschickt die Antworten aus diesem Postfach (Abschnitt „Bewerbungen per E-Mail"). Das Unternehmen kann die Verbindung jederzeit in den Einstellungen trennen; die Tokens werden dann gelöscht. Während der Anmeldung bei Microsoft setzt die Plattform ein kurzlebiges Cookie, das den Rückweg absichert (Abschnitt „Cookies"). Rechtsgrundlage ist der Nutzungsvertrag mit dem Unternehmen (Art. 6 Abs. 1 lit. b DSGVO; Nutzungsbedingungen); die Verarbeitung der Nachrichten im Auftrag des Unternehmens regelt der Auftragsverarbeitungsvertrag. Microsoft handelt dabei als Auftragsbearbeiter des Unternehmens.

Instagram-Direktnachrichten an Unternehmen

Was geschieht

Unternehmen können ihr Instagram-Professional-Konto mit der Plattform verbinden — das Konto, an das Creator ihre Kooperationsanfragen als Direktnachricht schicken. Dazu meldet sich ein berechtigter Mitarbeiter bei Instagram an und stimmt dort zu; die Plattform erhält von Meta ein Zugangstoken (Berechtigungen instagram_business_basic und instagram_business_manage_messages; Anbieter Meta Platforms Ireland Limited, Dublin, Irland). Beim Verbinden wird noch nichts gelesen: Erst wenn das Unternehmen den Modus „Vorschlag" oder „Automatisch" einschaltet, meldet Meta neue Direktnachrichten an die Plattform (Webhook), und ein regelmäßiger Abgleich holt nach, was der Webhook nicht zugestellt hat. Gespeichert werden je Nachricht nur die Nachrichten-Kennung, die von Meta vergebene Absender-Kennung (und ihr Hash), der Text, der Zeitpunkt und die Art etwaiger Anhänge (Bild, Video — nicht die Anhänge selbst). Kein Profilbild, kein Name, keine Followerzahl. Daneben merken wir uns je Absender und Unternehmenskonto den Zeitpunkt seiner letzten Nachricht und der letzten Antwort des Unternehmens — nur dafür, ob eine Antwort nach Metas 24-Stunden-Regel noch möglich ist.

Mit jeder Nachricht geschieht dreierlei:

1. Einstufung. Feste Regeln — kein KI-Sprachmodell — prüfen am Text, ob es eine Kooperationsanfrage ist. Beim Abgleich wird nur gespeichert, was eine Anfrage ist; eine Nachricht aus dem Webhook, die keine Anfrage ist (Bestellfragen, Reklamationen, private Nachrichten), wird dem Unternehmen nicht als Anfrage vorgelegt und nach 24 Stunden gelöscht, sofern sie nicht zu einer offenen Anfrage desselben Absenders gehört. Das Unternehmen kann eine Fehleinordnung innerhalb dieser Frist korrigieren.
2. Absender. Nur für Anfragen fragt die Plattform bei Meta den Benutzernamen des Absenders ab (sonst nichts vom Profil). Mit Instagram-Verbindungen oder Handles der Creator auf der Plattform gleicht sie nicht ab. Sie prüft nur, ob die Nachricht von einem Creator stammt, den das Unternehmen gesperrt hat — über die Absender-Kennung, mit der dieser Creator früher den Link dieses Unternehmens eingelöst hat, oder über eine frühere Nachricht im gemeinsamen Gespräch.
3. Antwort. Im Auftrag des Unternehmens schlägt die Plattform eine Antwort vor, die ein Mitarbeiter mit einem Klick aus dem Instagram-Konto des Unternehmens schickt — oder die im Modus „Automatisch" ohne Klick hinausgeht, wenn das Unternehmen das ausdrücklich eingestellt und der Betreiber es für dieses Konto freigeschaltet hat. Jede solche Nachricht nennt, dass sie automatisch im Auftrag des Unternehmens gesendet wurde, wie der Absender einen Menschen erreicht, dass „STOP" weitere automatische Nachrichten beendet, und verlinkt diese Erklärung. Sie enthält keinen Anmelde-Link mit Geheimnis, nur einen Link auf eine Seite, auf der der Absender sich selbst anmelden oder registrieren und der Verbindung mit dem Unternehmen zustimmen kann. Beim Verbinden seines Instagram-Kontos bestätigt das Unternehmen, dass die automatischen Antworten diesen Link enthalten und dass sich verbindet, wer ihn nutzt und zustimmt. Antworten sind nur innerhalb von 24 Stunden nach der letzten Nachricht des Absenders möglich (Vorgabe von Meta); ältere Anfragen und alles, was vor dem Einschalten eingegangen ist, wird nie automatisch beantwortet. Wer „STOP" schreibt, bekommt von diesem Konto keine automatische Nachricht mehr.

Löst der Absender den Link in der Antwort ein — mit Anmeldung oder Registrierung und seinem Ja —, entsteht eine Verbindung zwischen Creator und Unternehmen wie bei einer Bewerbung per E-Mail: Die Nachricht wird Teil des gemeinsamen Gesprächs auf der Plattform, das Unternehmen darf das Profil sehen, und der Creator erhält darüber eine E-Mail. Die Freigabe einer Antwort durch das Unternehmen verbindet niemanden. Weitere Anfragen eines verbundenen Creators per Instagram legt die Plattform dem Unternehmen derzeit als neue Anfrage vor, nicht im Gespräch; seine übrigen Instagram-Nachrichten behandelt sie wie andere Nachrichten, die keine Anfrage sind (oben). Creator wie Unternehmen können die Verbindung jederzeit beenden; wieder aufgenommen wird sie, wenn sich der Creator erneut über die Plattform bewirbt oder einen Link aus einer Antwort des Unternehmens einlöst (auch einen früheren). Ein Unternehmen, das einen Creator gesperrt hat („Blockieren", Abschnitt „Sichtbarkeit des Profils und Verbindungen"), bekommt Nachrichten, die diesem Creator zugeordnet werden konnten, nicht mehr vorgelegt; auch der Link in einer früheren Antwort stellt dann keine Verbindung her.

Wer wofür verantwortlich ist

Das Instagram-Konto gehört dem Unternehmen. Für das Lesen der Direktnachrichten, ihre Einstufung, die Prüfung, ob sie von einem Creator stammt, den es gesperrt hat, und die Antwort in seinem Namen ist das Unternehmen der Verantwortliche; Castgigs handelt dabei als sein Auftragsbearbeiter (Art. 28 DSGVO; Art. 9 DSG) auf Grundlage des Vertrags mit dem Unternehmen. Für das Creator-Profil und die Verbindung, die der Creator über den Link selbst bestätigt, ist Castgigs selbst verantwortlich. Für die Verarbeitung durch Meta selbst gelten die Datenschutzhinweise von Meta.

Rechtsgrundlagen und Dauer

Für die Bearbeitung der Anfrage: berechtigtes Interesse des Unternehmens und des Absenders an einer Antwort auf eine Anfrage, die er selbst gestellt hat (Art. 6 Abs. 1 lit. f DSGVO), und die Anbahnung einer Zusammenarbeit (lit. b). Für die Verbindung mit dem Creator-Profil: der Nutzungsvertrag mit dem Creator (lit. b). Nachrichten, die keine Anfrage sind, werden nach 24 Stunden gelöscht, sofern sie nicht Teil einer Verbindung geworden sind; gehören sie zu einer offenen Anfrage desselben Absenders, behandeln wir sie wie diese Anfrage (90 Tage lesbar, danach geschwärzt, nach 12 Monaten gelöscht). Bei Anfragen ohne Verbindung zu einem Creator-Profil werden Text und Benutzername nach 90 Tagen gelöscht, die Absender-Kennung von Meta wird durch ihren Hash ersetzt, und eine etwaige Zuordnung zu einem Creator-Profil entfällt; die Nachrichten- Kennung, der Hash und die Zeitpunkte bleiben weitere Monate als Nachweis, dass und wann geantwortet wurde, und werden 12 Monate nach Eingang gelöscht. Nachrichten, die Teil einer Verbindung geworden sind, werden wie Bewerbungsmails 24 Monate nach Eingang gelöscht. Der Eintrag zum Zeitpunkt der letzten Nachricht je Absender und Konto wird 12 Monate nach der letzten Nachricht gelöscht. Diese Fristen wendet ein stündlicher Lauf automatisch an. Löscht der Absender die Nachricht bei Instagram, meldet Meta uns das, und wir löschen sie sofort; verlangt das Unternehmen über Instagram die Löschung seiner Daten (Abschnitt „Instagram-Verbindung", derselbe Weg), werden alle Nachrichten des Kontos sofort gelöscht. Trennt das Unternehmen das Konto, wird das Zugangstoken sofort gelöscht; die Nachrichten bleiben bis zu ihren Fristen. Das Protokoll der Webhook-Zustellungen (nur Kennungen und Ausgang, kein Inhalt) wird nach 14 Tagen gelöscht. Eine Löschung kann jederzeit beim Unternehmen oder bei uns verlangt werden.

Kundenkonten und Firmendaten

Für jeden Mitarbeiter eines Unternehmens speichern wir Vor- und Nachname, E-Mail-Adresse, ein Passwort (nur als Hash), optional ein Profilbild, den zweiten Faktor (TOTP-Geheimnis, verschlüsselt) und die Zugehörigkeit zu einer oder mehreren Firmen mit Rolle. Für die Firma selbst: Name, Firmierung, Anschrift, USt-IdNr., Register, Webseite, Logo, Beschreibung und Impressumslink. Unternehmen können ihr Firmenprofil im öffentlichen Verzeichnis unter /firmen freischalten; solange sie das nicht tun, ist es nur für Creator sichtbar, mit denen sie verbunden sind.

Zu jeder Anmeldung speichern wir eine Sitzung mit Beginn, letzter Aktivität, einem Hash der IP-Adresse und einem Hash der Browser-Kennung — um gestohlene Sitzungen zu erkennen, nicht um Personen zu verfolgen. Sicherheitsrelevante Handlungen (Anmeldung, Einladung, Passwortänderung, Postfachverbindung samt gewählten Ordnern und Zeitraum, Freigaben, aus Castgigs entfernte E-Mails — ohne deren Inhalt) stehen im Prüfprotokoll mit Zeitpunkt und handelnder Person. Die Passwort-Wiederherstellung läuft über einen Link per E-Mail, der nach kurzer Zeit verfällt.

Team eines Unternehmens. Personen in den Rollen „Inhaber“ und „Admin“ können weitere Personen einladen und ihnen eine Rolle geben: „Mitarbeiter“, „Buchhaltung“ oder „Leser“, der „Inhaber“ auch „Admin“; die Rolle „Inhaber“ hat genau eine Person, sie wird übertragen. Für eine Einladung speichern wir die E-Mail-Adresse der eingeladenen Person, die Rolle, wer eingeladen hat, bis wann die Einladung gilt (14 Tage) und ob sie angenommen oder zurückgezogen wurde. Diese Angaben stammen vom einladenden Unternehmen, nicht von der eingeladenen Person selbst. Die Einladung erreicht die Person per E-Mail; darin sieht sie den Namen der einladenden Person. Alle Mitglieder eines Unternehmens sehen Name, E-Mail-Adresse und Rolle der anderen aktiven Mitglieder; Personen in den Rollen „Inhaber“ und „Admin“ sehen zusätzlich offene Einladungen, ob die E-Mail-Adresse eines Mitglieds bestätigt ist, ob die Personen in diesen beiden Rollen einen zweiten Faktor eingerichtet haben und ob Castgigs den Zugang eines Mitglieds gesperrt hat. Einladungen, Rollenwechsel, das Entfernen aus dem Team, das Verlassen und die Übertragung der Inhaberrolle stehen im Prüfprotokoll, mit der E-Mail-Adresse der betroffenen bzw. eingeladenen Person; dort bleiben sie, solange das Protokoll aufbewahrt wird (36 Monate, Abschnitt „Speicherdauer“). Wer aus einem Unternehmen entfernt wird oder es verlässt, behält sein Konto; auf Wunsch löschen wir es.

Unternehmen, die Creator-Profile ansehen, sind für ihre eigene weitere Verwendung der Profildaten (Notizen, Kampagnenplanung, Vertragsabschluss) selbst verantwortlich. Die Nutzungsbedingungen verpflichten sie, die Daten nur für die Anbahnung und Abwicklung von Kooperationen zu verwenden. Rechtsgrundlage für die Kontoführung ist der Vertrag mit dem Unternehmen (Art. 6 Abs. 1 lit. b DSGVO), soweit Sie ihn selbst geschlossen haben, etwa als Einzelunternehmerin oder Einzelunternehmer. Haben Sie den Vertrag nicht selbst geschlossen — etwa weil Sie für eine Gesellschaft handeln oder von einem Unternehmen eingeladen wurden —, ist es unser berechtigtes Interesse und das des Unternehmens, ihm die Plattform bereitzustellen und die Zugänge der für es handelnden Personen zu verwalten (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG); dasselbe gilt für Einladung und Teamverwaltung. Für die Sicherheitsmaßnahmen ist es ebenfalls das berechtigte Interesse (lit. f).

Nachrichten und E-Mails der Plattform

Creator und Unternehmen schreiben sich über die Plattform. Nachrichten, ihr Zeitpunkt und ihr Lesestatus werden gespeichert und beiden Seiten angezeigt — auch nach dem Ende einer Verbindung bleibt der Verlauf lesbar, damit sich beide auf ihn beziehen können. Entfernt das Unternehmen eine E-Mail des Creators aus Castgigs (Abschnitt „Bewerbungen per E-Mail"), sehen beide an ihrer Stelle nur noch „Vom Unternehmen aus Castgigs entfernt"; Inhalt und Anhänge sind dann gelöscht, die Mail im Postfach des Creators und des Unternehmens bleibt davon unberührt. Der Betreiber liest Gespräche nur zur Prüfung eines gemeldeten Missbrauchs oder auf Wunsch einer der beiden Seiten.

Die Plattform verschickt E-Mails an Creator und Mitarbeiter: Anmeldelinks, Bestätigungscodes, Einladungen, Hinweise auf neue Nachrichten und Anfragen, Antworten auf Bewerbungen (im Namen des Unternehmens aus dessen Postfach) sowie Mitteilungen zu Verifizierung und Sicherheit. Absender ist das Postfach des Betreibers oder das verbundene Postfach des Unternehmens. Diese E-Mails sind Teil der Leistung und lassen sich nicht abbestellen, solange das Profil oder Konto besteht. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); haben Sie den Vertrag nicht selbst geschlossen, unser berechtigtes Interesse, die mit dem Unternehmen vereinbarten Leistungen zu erbringen (lit. f).

Wartet im Posteingang eines Unternehmens eine vorgeschlagene Antwort auf einen Klick, erhalten die dafür zuständigen Personen (in den Rollen „Inhaber“, „Admin“ und „Mitarbeiter“) eine gebündelte Hinweis-E-Mail und bei Instagram-Anfragen eine Erinnerung, bevor das Antwortfenster schliesst. Diese Hinweise dienen der Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), haben Sie den Vertrag nicht selbst geschlossen, unserem berechtigten Interesse daran (lit. f); jede dieser Personen kann sie unter Konto → Benachrichtigungen abschalten.

Kampagnenhinweise per E-Mail

Mit der Einwilligung „Ich möchte über passende Kampagnen informiert werden" dürfen wir Creatorn E-Mails schicken, wenn eine Kampagne oder Anfrage eines Unternehmens zu ihrem Profil passt. Die Einwilligung ist freiwillig, kein Bestandteil der Bewerbung, und jederzeit widerrufbar im Schritt „Sichtbarkeit" des Profils oder per E-Mail an datenschutz@castgigs.com. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Diese Funktion ist noch nicht in Betrieb. Derzeit verschickt die Plattform keine Kampagnenhinweise, und es gibt keine Auswahl passender Kampagnen. Geht die Funktion in Betrieb, richtet sich die Auswahl nach den Profilangaben (Themen, Kanäle, Sprachen, Land), hat keine rechtliche Wirkung und ist keine automatisierte Entscheidung; diese Erklärung wird vorher entsprechend ergänzt.

Empfänger und Auftragsbearbeiter

Personendaten erhalten nur die Stellen, die für den jeweiligen Zweck nötig sind. Innerhalb der Plattform sind das die Unternehmen, für die ein Profil sichtbar ist, und die Creator, mit denen ein Unternehmen verbunden ist — beide als eigenständig Verantwortliche für ihre weitere Verwendung. Daneben setzen wir Auftragsbearbeiter ein, die nach unserer Weisung und auf Grundlage eines Vertrags zur Auftragsbearbeitung arbeiten. Wo ein Dienstleister Daten auch für eigene Zwecke verwendet oder nicht für uns handelt, steht das in der Tabelle:

Der Virenscan (ClamAV) läuft auf unserem eigenen Server; dabei verlässt keine Datei die Plattform. Behörden und Gerichten geben wir Daten nur heraus, wenn wir dazu gesetzlich verpflichtet sind. Besteht der Verdacht einer Straftat, die das Leben oder die Sicherheit von Menschen bedroht, informieren wir die zuständigen Strafverfolgungsbehörden oder Europol (Art. 18 DSA; Abschnitt „Meldungen nach dem DSA“).

Bekanntgabe ins Ausland

Die Daten der Plattform liegen in Deutschland (Server, Datenbank) und in der EU (Objektspeicher). Aus Sicht des schweizerischen DSG sind die EU- und EWR-Staaten Länder mit angemessenem Datenschutz (Anhang 1 der Datenschutzverordnung); aus Sicht der DSGVO gilt die Schweiz als Land mit angemessenem Schutzniveau (Angemessenheitsbeschluss der Europäischen Kommission). Die Datenverarbeitung durch den Betreiber in Zürich und die Speicherung in Deutschland sind damit in beide Richtungen abgedeckt.

In die USA gelangen Daten bei drei Dienstleistern: Cloudflare (Verwaltung des Objektspeichers und Bot-Schutz; die Objekte selbst bleiben in der EU; beim Laden und Hochladen solcher Dateien und beim Bot-Schutz verbindet sich Ihr Browser direkt mit Cloudflare), MXroute (E-Mails des Betreiberpostfachs) und Twilio (Mobilnummer für den SMS-Code). Der Inhalt von Bewerbungsmails und Direktnachrichten wird an keinen Dienstleister zur Auswertung gegeben; die Rohfassung einer Mail liegt im Objektspeicher in der EU. Grundlage sind das EU-U.S. Data Privacy Framework bzw. das Swiss-U.S. Data Privacy Framework, soweit der Dienstleister dort zertifiziert ist, und ergänzend die Standardvertragsklauseln der Europäischen Kommission in der vom EDÖB für die Schweiz anerkannten Fassung. Cloudflare, Inc. ist unter beiden Frameworks zertifiziert. Meta und Microsoft können Daten im Rahmen ihrer eigenen Datenschutzhinweise in die USA übermitteln; dafür gelten deren Garantien.

Speicherdauer

Wir speichern Personendaten so lange, wie es der Zweck verlangt oder ein Gesetz es vorschreibt. Dafür haben wir je Datenbereich Höchstfristen festgelegt; sie stehen in der folgenden Tabelle. Die Spalte „Heute" sagt, wie die Frist derzeit umgesetzt wird: Einige Löschungen laufen automatisch; für die übrigen gibt es noch keinen regelmäßigen Lauf — dort löschen wir auf Anfrage (Abschnitt „Ihre Rechte") und im Rahmen von Prüfläufen des Betreibers. Ein automatischer Lauf für alle Fristen ist vorgesehen; sobald er in Betrieb ist, wird diese Tabelle angepasst.

Ein Profil oder Konto wird auf Wunsch gelöscht (Abschnitt „Ihre Rechte"). Wo ein Gesetz eine längere Aufbewahrung verlangt — etwa für Rechnungen —, wird der Personenbezug entfernt und der Beleg ohne ihn aufbewahrt. Eine gelöschte Angabe kann in einer Datenbanksicherung noch bis zu 30 Tage nach der Löschung enthalten sein; Sicherungen werden nicht ausgewertet, sondern nur zur Wiederherstellung nach einem Ausfall benutzt.

Cookies

Die Plattform setzt ausschließlich technisch notwendige Cookies. Keines davon dient der Analyse, der Werbung oder der Wiedererkennung über andere Webseiten; deshalb gibt es keinen Cookie-Hinweis und keine Einwilligung dafür. Alle Cookies sind auf castgigs.com beschränkt, werden nur über verschlüsselte Verbindungen übertragen und sind für Skripte im Browser nicht lesbar (httpOnly). Zum Zugriff des Bot-Schutzes auf Ihr Endgerät und zu den Cookies, die Cloudflare in seinem eigenen Prüffenster verwendet, siehe „Bot-Schutz (Cloudflare Turnstile)" im Abschnitt „Besuch der Webseite".

Verbindet ein Creator sein Instagram-Konto, wird kein Cookie gesetzt; der Schutz des Rückwegs liegt dort in der Datenbank. Rechtsgrundlage für die notwendigen Cookies ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) bzw. das berechtigte Interesse an einer sicheren Anmeldung (lit. f); nach § 25 Abs. 2 TDDDG bedürfen sie keiner Einwilligung. Beim Sprachwechsel in der Registrierung merkt sich Ihr Browser Ihre Eingaben kurz im Sitzungsspeicher, nicht in einem Cookie (Abschnitt „Bewerbung und Anfrage über die Formulare“).

Datensicherheit

Die Plattform schützt Personendaten mit technischen und organisatorischen Maßnahmen:

• Verschlüsselte Übertragung. Alle Verbindungen laufen über HTTPS; die Anwendung ist nur über den eigenen Server erreichbar.
• Verschlüsselte Ablage von Geheimnissen. Zugangstoken (Instagram, Microsoft), Postfach-Passwörter und Zweitfaktor-Geheimnisse liegen mit Umschlagverschlüsselung in der Datenbank; der Schlüssel dazu liegt nicht in der Datenbank. Passwörter werden nur als Hash mit Salz gespeichert. Anmeldelinks werden beim ersten Aufruf gegen ein Cookie getauscht, damit das Geheimnis nicht in der Adresszeile bleibt.
• Zugriffsregeln in der Datenbank. Wer was sehen darf, entscheidet nicht nur die Oberfläche, sondern die Datenbank selbst: Jede Abfrage läuft unter der Rolle der handelnden Person (Unternehmen, Creator, Betreiber) mit zeilenweisen Sicherheitsregeln (Row-Level Security). Ein Unternehmen kann so auch bei einem Fehler in der Anwendung keine Profile lesen, die nicht für es sichtbar sind, und ein Creator keine Daten anderer Creator.
• Prüfprotokoll. Sicherheitsrelevante Handlungen werden in einem Protokoll festgehalten, das nachträglich weder geändert noch gekürzt werden kann: Die Einträge sind kryptografisch verkettet, ein Prüflauf findet jede Lücke. Eine Widerrufserklärung — Name, E-Mail-Adresse, Angaben zum Vertrag und zum Profil, Zeitpunkt des Eingangs und, bei Erklärungen ohne Anmeldung, eine gekürzte Prüfsumme der IP-Adresse — halten wir dort als Nachweis fest (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG). Sie bleibt auch nach der Löschung des Profils stehen, bis die Frist für das Prüfprotokoll abläuft (Abschnitt „Speicherdauer").
• Dateien. Virenscan vor der Ablage, privater Speicher, kurzlebige signierte Adressen, getrennte Zugangsdaten für Anwendung und Sicherung, Sicherungen mit Schutz gegen Löschung.
• Missbrauchsschutz. Bot-Schutz, Drosselung von Anfragen, Sperre nach wiederholt falscher Anmeldung, wahlweise ein zweiter Faktor (TOTP) für Kunden- und Creator-Konten.
• Missbrauchsschutz bei „Passwort vergessen“, beim Anmeldelink und bei SMS-Codes. Damit niemand fremde Postfächer mit Mails überschwemmt oder massenhaft SMS-Codes auslöst, begrenzen wir diese Anfragen je Internetanschluss, SMS-Codes zusätzlich je Mobilnummer. Dafür speichern wir Prüfsummen (Hashes) der IP-Adresse bzw. ihres Netzbereichs und der Mobilnummer, nicht die Angaben selbst, und löschen sie nach 24 Stunden; in unsere täglichen Datenbankabzüge übernehmen wir sie nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG).
• Minimierung. IP-Adressen und Browser-Kennungen werden als Hash gespeichert; Bestätigungscodes werden vom SMS-Dienst verwahrt und nie im Klartext in unserer Datenbank; Beitragsinhalte von Instagram werden nicht abgerufen, und Direktnachrichten nur für Unternehmen, die ihr eigenes Instagram-Konto dafür verbunden und eingeschaltet haben (Abschnitt „Instagram-Direktnachrichten an Unternehmen").

Ihre Rechte

Sie haben gegenüber uns die folgenden Rechte (Art. 25 ff. DSG; Art. 15 bis 22 DSGVO):

• Auskunft darüber, ob und welche Daten wir über Sie verarbeiten, wofür, wie lange und an wen wir sie bekanntgeben.
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten — Creator und Mitarbeiter können die meisten Angaben selbst im Profil bzw. Konto ändern.
• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; dann wird der Personenbezug entfernt. Creator finden den Weg dafür in ihrem Konto unter „Sicherheit → Konto löschen": Dort steht vor der Bestätigung, was verschwindet, was aus gesetzlichen Gründen bleibt und ab wann es wirkt. Ab dem Antrag ist das Profil für Unternehmen nicht mehr sichtbar; ausgeführt wird er nach sieben Tagen Bedenkzeit, in denen sich der Antrag mit einem Klick abbrechen lässt. Danach bleiben die Profilzeile in anonymisierter Form (Rechnungen und das Protokoll zeigen auf sie), Rechnungen und Verträge bis zum Ablauf ihrer Aufbewahrungsfrist sowie die Nachrichten in den Gesprächen beim jeweiligen Unternehmen — letztere ohne Namen, ohne Kontaktdaten und ohne Social-Media-Handle, und zwar auch in den Nachrichten des Unternehmens. Entfernt werden dabei die Angaben, die im Profil standen; eine Angabe, die nur einmal in einem Fliesstext steht, können wir dort nicht finden — schreiben Sie uns, dann entfernen wir sie von Hand. Wer keinen Zugang mehr zu seinem Konto hat, schreibt an datenschutz@castgigs.com; wir nehmen den Antrag dann nach einer Identitätsprüfung von Hand auf. Für Konten von Unternehmen gilt derselbe Weg über diese Adresse. Creator können ihren Vertrag außerdem widerrufen (Nutzungsbedingungen, „Widerrufsrecht für Creator") — über „Vertrag widerrufen" im Konto oder ohne Anmeldung unter castgigs.com/profil/vertrag-widerrufen. Nach einem Widerruf löschen wir das Profil auf demselben Weg und mit denselben Ausnahmen wie bei „Konto löschen"; bei einer Erklärung ohne Anmeldung erst, nachdem wir geprüft haben, dass sie vom Inhaber des Profils stammt. Anders als ein Löschantrag lässt sich ein Widerruf nicht mit einem Klick abbrechen; bis zur Löschung kann der Creator den Vertrag mit erneuter Zustimmung zu den Nutzungsbedingungen fortsetzen. Meldungen nach dem DSA, die Sie geschickt haben oder die Ihre Inhalte betreffen, bleiben nach unserer Entscheidung bis zum Ablauf ihrer eigenen Frist; vorher löschen wir eine Meldung nur, wenn die meldende Person sie vor unserer Entscheidung zurückzieht (Abschnitt „Meldungen nach dem DSA“).
• Einschränkung der Verarbeitung, solange etwa die Richtigkeit von Daten geprüft wird.
• Datenherausgabe (Datenübertragbarkeit) der Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format.
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen, aus Gründen Ihrer besonderen Situation.
• Widerruf jeder Einwilligung mit Wirkung für die Zukunft — Sichtbarkeit im offenen Pool und Kampagnenhinweise im Schritt „Sichtbarkeit" des Profils, alle Einwilligungen per E-Mail. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Anfragen richten Sie an datenschutz@castgigs.com. Wir antworten innerhalb eines Monats; wo wir Ihre Identität nicht aus dem Profil oder Konto erkennen, bitten wir um einen Nachweis, bevor wir Daten herausgeben oder löschen.

Beschwerde bei einer Aufsichtsbehörde

Sie können sich außerdem an eine Datenschutz-Aufsichtsbehörde wenden: in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch; in der EU und im EWR an die Aufsichtsbehörde Ihres Wohnsitzes, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes — in Deutschland an die Landesdatenschutzbehörde Ihres Bundeslandes, in Österreich an die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Plattform ändert — etwa wenn ein neuer Dienstleister hinzukommt, eine Funktion wie Buchungen und Rechnungen in Betrieb geht oder sich eine Frist ändert. Die jeweils aktuelle Fassung steht unter castgigs.com/datenschutz mit dem Stand-Datum am Anfang. Bei wesentlichen Änderungen, die Creator oder Unternehmen betreffen, informieren wir zusätzlich per E-Mail oder beim nächsten Anmelden.