Datenschutzerklärung

Stand: 2026-10-01

1. Name und Anschrift des Verantwortlichen

Verantwortlicher im Sinne der EU-Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Digitale-Dienste- Datenschutz-Gesetzes (TDDDG) ist:

Cansin Günay & René Buckbesch GbR
Hohenzollernring 71
22763 Hamburg
Deutschland
E-Mail: management@openarea-dance.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist gemäß § 38 BDSG derzeit nicht zu bestellen. Anfragen zum Datenschutz oder zur Wahrnehmung Ihrer Betroffenenrechte richten Sie bitte an den unter Ziffer 1 genannten Verantwortlichen oder per E-Mail an management@openarea-dance.com.

3. Allgemeines zur Datenverarbeitung

3.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nach Einwilligung des Nutzers oder soweit eine andere Rechtsgrundlage gemäß Art. 6 DSGVO greift.

3.2 Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung der betroffenen Person.
• Art. 6 Abs. 1 lit. b DSGVO – Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen.
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung (z.B. handels- und steuerrechtliche Aufbewahrungspflichten).
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen, soweit die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

3.3 Datenlöschung und Speicherdauer

Die personenbezogenen Daten der betroffenen Person werden gelöscht oder in der Verarbeitung eingeschränkt, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten (insbesondere §§ 147 AO, 257 HGB: regelmäßig 6 bis 10 Jahre für rechnungs- und buchungsrelevante Daten) entgegenstehen. Konkrete Speicherfristen werden bei den jeweiligen Verarbeitungsvorgängen unter den nachfolgenden Ziffern angegeben.

3.4 Automatisierte Entscheidungsfindung / Profiling

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 und 4 DSGVO findet nicht statt. Soweit im Dienst algorithmische Funktionen (z.B. Vorschläge für Posting-Zeitpunkte) eingesetzt werden, dienen diese ausschließlich der Unterstützung des Nutzers; eine rechtliche Wirkung gegenüber dem Nutzer oder Dritten ist damit nicht verbunden.

4. Bereitstellung der Website und Erstellung von Logfiles

4.1 Beschreibung und Umfang der Datenverarbeitung

Bei jedem Aufruf unserer Website erfasst unser System automatisch Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden hierbei erhoben:

• IP-Adresse des Nutzers (anonymisiert nach 7 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Methode
• Referrer-URL
• Browser-Typ und -Version
• Betriebssystem
• HTTP-Status der Antwort und übertragene Datenmenge

4.2 Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Sicherstellung der Verfügbarkeit, Stabilität und IT-Sicherheit des Dienstes sowie der Aufklärung etwaiger Angriffe oder Missbrauchsversuche.

4.3 Speicherdauer

Logfiles werden spätestens nach 7 Tagen automatisch gelöscht oder anonymisiert, es sei denn, eine längere Speicherung ist im Einzelfall zur Aufklärung sicherheitsrelevanter Vorfälle erforderlich.

5. Registrierung und Nutzerkonto

5.1 Beschreibung und Umfang der Datenverarbeitung

Auf unserer Website bieten wir Nutzern die Möglichkeit, sich unter Angabe personenbezogener Daten zu registrieren. Folgende Daten werden im Rahmen des Registrierungsprozesses erhoben:

• E-Mail-Adresse
• Name (optional)
• Profilbild (optional)
• Passwort (verschlüsselt durch unseren Auftragsverarbeiter Clerk)
• Organisationsname

Die Authentifizierung erfolgt über unseren Auftragsverarbeiter Clerk Inc. (siehe Ziffer 8.1).

5.2 Bereitstellungspflicht und Folge der Nichtbereitstellung

Die Bereitstellung der bei der Registrierung als Pflicht gekennzeichneten Daten (E-Mail, Passwort, Organisationsname) ist vertraglich erforderlich. Ohne diese Daten können wir Ihnen keinen Account einrichten und den Dienst nicht erbringen.

5.3 Rechtsgrundlage und Zweck

Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung sowie Durchführung vorvertraglicher Maßnahmen.

5.4 Speicherdauer

Account-Stammdaten werden für die Dauer der Vertragsbeziehung gespeichert. Nach Beendigung des Vertrags werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (insb. §§ 147 AO, 257 HGB) entgegenstehen. Sie können Ihren Account jederzeit über die Einstellungen-Seite löschen lassen.

6. Verbindung zu Social-Media-Plattformen

Im Rahmen der Funktionalität von Smosting können Nutzer ihre eigenen Social-Media-Accounts mit dem Dienst verbinden. Folgende Daten werden hierbei verarbeitet:

• OAuth-Zugriffstoken (verschlüsselt gespeichert mit AES-256-GCM)
• OAuth-Refresh-Token (verschlüsselt gespeichert mit AES-256-GCM)
• Plattform-spezifische Account-ID
• Username und Anzeigename
• Profilbild-URL
• Berechtigungs-Scopes (welche Aktionen erlaubt sind)

Wichtig: Die Verbindung erfolgt durch eine bewusste Aktion des Nutzers. Smosting greift NUR auf Daten zu, die durch die jeweilige OAuth-Genehmigung explizit erlaubt sind, und ausschließlich für die in Smosting sichtbaren Funktionen: das Veröffentlichen von Inhalten, die der Nutzer selbst erstellt, das Anzeigen und Beantworten von Kommentaren, Nachrichten und Bewertungen sowie die Auswertung von Kennzahlen. Einzelheiten zu den Google-Diensten (YouTube, Google Unternehmensprofil) stehen in Ziffer 6a.

6.1 Rechtsgrundlage und Zweck

Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung. Zweck ist die Bereitstellung der Posting-Funktionalität auf den vom Nutzer ausgewählten Plattformen.

6.2 Speicherdauer

OAuth-Tokens werden gespeichert, bis der Nutzer die Verbindung trennt oder die Marke bzw. das Konto gelöscht wird. Bei Trennung der Verbindung veranlassen wir, soweit die Plattform dies unterstützt, den Widerruf der Zugriffsberechtigung bei der Plattform, setzen die Verbindung auf den Status "REVOKED" (getrennt) und löschen Zugriffs-Token, Refresh-Token sowie die Ablaufangaben sofort. Das gilt auch dann, wenn der Widerruf bei der Plattform technisch nicht gelingt; Smosting weist Sie in diesem Fall darauf hin, den Zugriff direkt bei der Plattform zu entfernen. Lehnt die Plattform die Token ab, etwa weil Sie den Zugriff direkt bei der Plattform widerrufen haben, markiert Smosting die Verbindung als abgelaufen; die dann ungültigen Token bleiben verschlüsselt gespeichert, bis die Verbindung getrennt oder die Marke bzw. Ihr Konto gelöscht wird.

Welche von den Plattformen bereits abgerufenen Inhalte (z.B. Kommentare, Nachrichten, Bewertungen, Kennzahlen) beim Trennen gelöscht werden, hängt von der Plattform ab: Für Google-Dienste (YouTube, Google Unternehmensprofil) gilt Ziffer 6a.5. Bei den übrigen Plattformen werden bereits abgerufene Inhalte beim Trennen nicht automatisch gelöscht; sie bleiben bis zur endgültigen Löschung der Marke bzw. Ihres Kontos oder bis zu Ihrem Löschverlangen (Ziffer 10.3) gespeichert.

6.3 Verarbeitung von Daten Dritter über Plattform-APIs (Art. 14 DSGVO)

Soweit Sie aktive Verbindungen zu Ihren Social-Media-Profilen herstellen, erhalten wir über die jeweiligen APIs auch personenbezogene Daten Dritter (z.B. Kommentar-Autoren, bei Google Unternehmensprofil Bewertende mit Name, Profilbild und Bewertungstext, Engagement-Metadaten). Wir verarbeiten diese ausschließlich zur Anzeige und Verwaltung in Ihrem Smosting-Dashboard. Eine darüber hinausgehende Auswertung oder Weitergabe findet nicht statt; ausgenommen sind die von einem Nutzer ausdrücklich angeforderten KI-Antwortvorschläge (siehe Ziffer 7.1) sowie die Benachrichtigungen der berechtigten Mitglieder über neue Kommentare, Nachrichten und Bewertungen (siehe Ziffer 6a.4). Für Google-Dienste gilt ergänzend Ziffer 6a.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Bereitstellung der vertraglich vereinbarten Funktionalität gegenüber unseren Kunden. Eine individuelle Information dieser Dritten ist mit verhältnismäßigem Aufwand nicht möglich (Art. 14 Abs. 5 lit. b DSGVO); diese Datenschutzerklärung dient als allgemeiner Hinweis.

6a. Google-Dienste: YouTube API Services und Google Unternehmensprofil

Diese Ziffer gilt, wenn Sie in Smosting einen YouTube-Kanal oder ein Google Unternehmensprofil (Google Business Profile) verbinden. Sie ergänzt Ziffer 6. Soweit Ziffer 6a von Ziffer 6 abweicht, geht Ziffer 6a vor.

6a.1 Nutzung der YouTube API Services und der Business Profile APIs

Smosting nutzt die YouTube API Services (YouTube Data API und YouTube Analytics API). Mit der Nutzung der YouTube-Funktionen von Smosting stimmen Sie außerdem den YouTube-Nutzungsbedingungen zu und sind an sie gebunden: https://www.youtube.com/t/terms. Für die Verarbeitung Ihrer Daten durch Google gilt die Google-Datenschutzerklärung: https://policies.google.com/privacy.

Für Google Unternehmensprofil nutzt Smosting die Google Business Profile APIs (Standorte, Bewertungen, lokale Beiträge). Auch hierfür gilt die Google-Datenschutzerklärung (https://policies.google.com/privacy).

6a.2 Welche Daten wir über die Google-Schnittstellen verarbeiten

• YouTube-Kanal: Kanal-ID, Kanalname, Handle (benutzerdefinierte Kanal-URL) und Profilbild-URL.
• Hochgeladene Videos: die Videodatei (sie stammt aus Ihrer Smosting-Medienbibliothek, wird direkt an YouTube übertragen und nicht von YouTube heruntergeladen), die Angaben, die Sie vor dem Upload selbst festlegen (Titel, Beschreibung, Tags, Kategorie, Sichtbarkeit und die Angabe, ob das Video speziell für Kinder gemacht ist) sowie die von YouTube zurückgemeldete Video-ID, die Video-URL und, soweit gemeldet, der Upload- und Sichtbarkeitsstatus.
• Kommentare zu Videos Ihres Kanals: Kommentartext, Anzeigename, Kanal-ID und Profilbild-URL der Kommentierenden, Zeitpunkte, Kennung des Videos sowie die Antworten, die Sie über Smosting senden.
• YouTube-Statistik: tägliche Kennzahlen Ihres Kanals (Aufrufe, Likes, Kommentare, Shares und die Veränderung der Abonnentenzahl, also der Saldo aus gewonnenen und verlorenen Abonnenten) sowie Kennzahlen einzelner über Smosting veröffentlichter Videos (Aufrufe, geschätzte Wiedergabezeit, Likes, Kommentare, Shares). Umsatz- und Monetarisierungsdaten rufen wir nicht ab.
• Google Unternehmensprofil: Ihre Standorte (Name und Standort-Kennung), von Ihnen erstellte lokale Beiträge (Text und optional ein Foto), Bewertungen Ihres Standorts (Sterne, Text, Zeitpunkte, Anzeigename und Profilbild-URL der Bewertenden) und Ihre Antworten auf Bewertungen. Haben Sie mehrere Standorte, verarbeiten wir die Standortliste einschließlich der Adressen vorläufig für die Auswahl des Standorts (Ziffer 6a.5).
• Zugriffs- und Refresh-Token (verschlüsselt, siehe Ziffer 6 und 11).

Bei Google fordern wir folgende Berechtigungen (Scopes) an: youtube.upload (Videos hochladen), youtube.force-ssl (Kommentare lesen und beantworten), youtube.readonly (Kanalstammdaten lesen), yt-analytics.readonly (Statistik) und business.manage (Google Unternehmensprofil). Zusätzlich fordert die Anmeldung bei Google die Basis-Berechtigungen für das Google-Konto an (userinfo.email bei YouTube; openid, email und profile beim Google Unternehmensprofil). Smosting liest und speichert diese Angaben derzeit nicht.

6a.3 Zwecke; keine automatischen Aktionen

Wir verwenden diese Daten ausschließlich, um die in der Smosting-Oberfläche sichtbaren Funktionen bereitzustellen:

• von Ihnen erstellte Videos und Beiträge auf Ihrem Kanal bzw. Standort zu veröffentlichen oder zu planen,
• Kommentare und Bewertungen in der Inbox anzuzeigen, Sie über neue Eingänge zu benachrichtigen und Antworten zu senden, die ein Nutzer verfasst und absendet,
• Kennzahlen Ihres Kanals in den Auswertungen anzuzeigen,
• Ihre Verbindung anzuzeigen und Aufrufe der Schnittstellen dem richtigen Kanal bzw. Standort zuzuordnen (Kanal- bzw. Standortname, Handle, Profilbild und Kennung).

Smosting führt Aktionen in Ihrem Namen nur aus, wenn ein Nutzer sie auslöst: Beiträge werden nur veröffentlicht, wenn ein Nutzer sie angelegt und ausdrücklich zur Veröffentlichung oder Planung freigegeben hat; Antworten werden nur gesendet, wenn ein Nutzer sie verfasst und absendet. Smosting vergibt keine automatischen Likes, schreibt keine automatischen Kommentare, abonniert keine Kanäle und antwortet nicht automatisch. Würden wir diese Daten künftig für neue Zwecke nutzen, informieren wir Sie vorab und holen Ihre erneute Zustimmung ein.

YouTube-Uploads: Vor jedem Upload legt der Nutzer im Bereich "Posten" selbst Titel, Beschreibung, Sichtbarkeit (Voreinstellung: "Privat"), Tags und Kategorie fest und beantwortet die Pflichtfrage, ob das Video speziell für Kinder gemacht ist (ohne Voreinstellung). Diese Angaben gehen unverändert an YouTube; Smosting kürzt oder ergänzt nichts. Ohne Titel und Kinder-Angabe findet kein Upload statt. Im Bestätigungsdialog vor dem Absenden zeigt Smosting Kanal, Format und Zeitpunkt sowie die gewählte Sichtbarkeit und die Kinder-Angabe an; direkt am Upload-Knopf und im Dialog steht der Hinweis auf die YouTube-Nutzungsbedingungen und die Google-Datenschutzerklärung.

6a.4 Weitergabe und Empfänger

• Hosting: Die Daten aus den Google-Schnittstellen werden auf unseren Servern bei der Hetzner Online GmbH in Deutschland gespeichert (Ziffer 8.3); für Sicherungskopien gilt Ziffer 6a.5.
• KI-Antwortvorschläge: Nur wenn ein Nutzer in der Inbox ausdrücklich Antwortvorschläge anfordert, übermitteln wir den Text der letzten (höchstens 30) Nachrichten des gewählten Kommentar- bzw. Bewertungsverlaufs mit Zeitangabe und Richtung (eingehend oder Ihre Antwort), ohne die Namen und Profilbilder der Kommentierenden oder Bewertenden, zusammen mit Markenname, Markenstimme (Ihre Beschreibung des Tons der Marke) und Tonalität an Anthropic (Ziffer 8.5), um Antwortentwürfe zu erzeugen. Ohne diese Aktion findet keine Übermittlung statt. Wir verwenden diese Daten nicht zum Training von KI-Modellen.
• Sichtbarkeit innerhalb von Smosting: Die Daten sind nur für Mitglieder Ihrer Organisation sichtbar: Inhaber und Administratoren sehen alle Marken der Organisation, andere Mitglieder nur die Marken, die ihnen ausdrücklich zugewiesen wurden, sowie ihren eigenen persönlichen Bereich.
• Benachrichtigungen: Über neue Kommentare und Bewertungen informiert Smosting die berechtigten Mitglieder in der Anwendung und, wenn ein Mitglied Push-Benachrichtigungen aktiviert hat, per Web-Push (Name der Person und Textauszug, verschlüsselt über den Push-Dienst des jeweiligen Browsers).
• Darüber hinaus geben wir YouTube- und Google-Daten nicht an Dritte weiter. Wir verkaufen sie nicht, nutzen sie nicht für Werbung, Profiling oder Bonitätsbewertung und übermitteln sie nicht an Datenhändler.

6a.5 Speicherdauer und Löschung

• Zugriffs- und Refresh-Token: bis Sie die Verbindung trennen. Beim Trennen widerrufen wir den Zugriff sofort bei Google und löschen Zugriffs-Token, Refresh-Token sowie die Ablaufangaben (Ziffer 6.2). Widerrufen Sie den Zugriff stattdessen direkt bei Google (Ziffer 6a.6), bleiben die dann bereits ungültigen Token verschlüsselt gespeichert, bis Sie die Verbindung in Smosting trennen oder die Marke bzw. Ihr Konto gelöscht wird.
• Kommentare, Bewertungen und Ihre Antworten (Inbox): 30 Tage ab dem Abruf von Google, zuzüglich der Zeit bis zum nächsten täglichen Löschlauf (bis zu 24 Stunden). Der Löschlauf entfernt ältere Nachrichten sowie Konversationen ohne verbleibende Nachricht. Die Frist lässt sich technisch nur verkürzen, nie verlängern. Benachrichtigungen in der Anwendung zu neuen Kommentaren und Bewertungen (Name und Textauszug) werden nach 14 Tagen gelöscht, spätestens aber mit Ablauf der 30-Tage-Frist der Nachrichten.
• YouTube-Statistik: Kennzahlen Ihres Kanals und Ihrer Videos speichern wir nur, solange der tägliche Abgleich mit YouTube sie bestätigt, also solange die Berechtigung besteht und das Video noch vorhanden ist. Liegt für einen Kanal oder ein Video seit 30 Tagen keine neue Messung vor, löschen wir alle zugehörigen Werte.
• Kanal- und Standortdaten: Anzeigename und Profilbild Ihres YouTube-Kanals frischen wir täglich bei YouTube auf; gelingt das nicht, löschen wir sie. Kanal-ID und Handle (bei Google Unternehmensprofil Standort-Kennung und Standortname) bleiben als Kennung der Verbindung gespeichert, solange die Marke besteht; ebenso Video-ID und Video-URL Ihrer Uploads als Verweis in Ihrer Beitragshistorie. Der von YouTube gemeldete Upload- und Sichtbarkeitsstatus wird nach 30 Tagen aus der Beitragshistorie entfernt.
• Beim Trennen der Verbindung: Kommentare, Bewertungen, Ihre Antworten und Kennzahlen dieser Verbindung sowie Anzeigename, Profilbild und Abrufstand werden beim nächsten täglichen Löschlauf gelöscht, in der Regel innerhalb von 24 Stunden, spätestens innerhalb von 7 Tagen. Die Tageskennzahlen der Marke werden gelöscht, sobald die Marke kein verbundenes YouTube-Konto mehr hat.
• Standortauswahl bei Google Unternehmensprofil: Haben Sie mehrere Standorte, speichern wir die Standortliste (einschließlich der Adressen) und Ihre verschlüsselten Token vorläufig, bis Sie den Standort gewählt haben; die Auswahl ist 15 Minuten gültig. Eine nicht abgeschlossene Auswahl wird gelöscht, sobald die abgelaufene Auswahl erneut aufgerufen wird, spätestens mit der endgültigen Löschung der Marke bzw. der Organisation.
• Marke oder Konto löschen: Eine gelöschte Marke liegt 30 Tage im Papierkorb und wird danach endgültig gelöscht; bis dahin bleiben ihre Verbindungen bestehen und rufen weiter Daten ab. Löschen Sie Ihr Smosting-Konto als letztes Mitglied Ihrer Organisation (Einstellungen, Datenschutz & Daten, Account löschen), löschen wir die Organisation mit allen Marken, Verbindungen und abgerufenen Daten endgültig; sind weitere Mitglieder vorhanden, bleiben die Marken und Verbindungen der Organisation bestehen. In beiden Fällen wird der Zugriff bei Google nicht automatisch widerrufen: Trennen Sie vorher die Verbindung oder widerrufen Sie den Zugriff bei Google (Ziffer 6a.6).
• Löschverlangen: Sie können die Löschung Ihrer Daten jederzeit per E-Mail an management@openarea-dance.com verlangen (Ziffer 10.3).
• Sicherungskopien werden im Rahmen des in Ziffer 7 beschriebenen rollierenden Backup-Konzepts (höchstens 30 Tage) gelöscht.
• Das Löschen von Daten in Smosting berührt keine Daten, die bei YouTube oder Google gespeichert sind. Inhalte auf YouTube löschen Sie in YouTube Studio, Inhalte Ihres Unternehmensprofils direkt bei Google.

6a.6 Widerruf des Zugriffs

Sie können den Zugriff von Smosting auf Ihre Google-Daten jederzeit widerrufen:

• in Smosting unter "Konten verbinden" (Seite /dashboard/connections) über die Einstellungen der jeweiligen Verbindung und die Schaltfläche "Trennen". Smosting ruft dann sofort Googles Widerrufs-Schnittstelle auf und löscht die gespeicherten Token. Gelingt der Widerruf bei Google technisch nicht, zeigt Smosting einen Hinweis an, und Sie können den Zugriff direkt bei Google widerrufen;
• direkt bei Google in den Sicherheitseinstellungen: https://security.google.com/settings/security/permissions.

Widerrufen Sie den Zugriff direkt bei Google, erkennt Smosting das beim nächsten automatischen Abgleich der Token, markiert die Verbindung als abgelaufen und ruft keine Daten mehr von Google ab. Bereits gespeicherte Kommentare und Bewertungen werden nach Ablauf der 30-Tage-Frist gelöscht, Kennzahlen, sobald sie 30 Tage lang nicht mehr bestätigt wurden (jeweils Ziffer 6a.5); Anzeigename und Profilbild eines YouTube-Kanals werden beim nächsten Löschlauf entfernt.

6a.7 Cookies, Geräteinformationen und Werbung

Für die Verbindung zu Google setzt Smosting nur das kurzlebige, technisch notwendige Sicherheits-Cookie "smosting_oauth_state" (siehe Ziffer 9.1) sowie die dort genannten technisch notwendigen Cookies. Smosting setzt keine Tracking- oder Analyse-Cookies, bindet keinen YouTube-Player ein, nutzt keine Google-Werbe- oder Analysedienste und liefert keine Werbung oder Inhalte Dritter aus. Auf den Seiten von Google (Anmeldung, Einwilligungsbildschirm) gelten die Bedingungen von Google.

6a.8 Verwendung von Google-Nutzerdaten (Limited Use)

Die Nutzung und Weitergabe von Informationen, die Smosting von Google-APIs erhält, entspricht der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Konkret: Wir verwenden diese Daten nur für die in Ziffer 6a.3 genannten, in der Oberfläche sichtbaren Funktionen. Wir übertragen sie nicht an Dritte, außer (i) soweit dies zur Bereitstellung dieser Funktionen erforderlich ist (Ziffer 6a.4), (ii) aus Sicherheitsgründen oder zur Aufklärung von Missbrauch oder (iii) zur Erfüllung rechtlicher Pflichten. Unsere Mitarbeitenden lesen diese Daten nicht, außer (i) Sie stimmen für einen konkreten Fall zu (z.B. Support), (ii) es ist zur Aufklärung eines Fehlers oder Missbrauchs erforderlich, (iii) ein Gesetz verlangt es oder (iv) die Daten sind aggregiert und anonymisiert für interne Abläufe. Wir nutzen diese Daten weder zum Training von KI-Modellen noch für Werbung.

6a.9 Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewählten Funktionen). Soweit dabei personenbezogene Daten Dritter anfallen (Kommentierende, Bewertende), gilt Art. 6 Abs. 1 lit. f DSGVO; Ziffer 6.3 gilt entsprechend, auch für die Information nach Art. 14 Abs. 5 lit. b DSGVO.

6a.10 Fragen und Beschwerden

Fragen oder Beschwerden zu unseren Datenschutzpraktiken im Zusammenhang mit YouTube- und Google-Daten richten Sie bitte an management@openarea-dance.com. Ihr Beschwerderecht bei der Aufsichtsbehörde (Ziffer 10.8) bleibt unberührt.

6a.11 Keine Verbindung zu Google oder YouTube

Smosting ist ein eigenständiges Werkzeug. Es steht in keiner Verbindung zu Google LLC oder YouTube und wird von diesen weder unterstützt noch empfohlen. YouTube und Google sind Marken von Google LLC.

7. Verarbeitung von Inhalten (Posts, Bilder, Videos)

Smosting ermöglicht das Hochladen, Speichern und Veröffentlichen von Inhalten (Posts, Bildern, Videos) durch den Nutzer. Folgende Daten werden hierbei verarbeitet:

• Hochgeladene Dateien (Bilder, Videos)
• Caption-Texte
• Hashtags
• Geplante Veröffentlichungs-Zeitpunkte
• Veröffentlichungs-Status (geplant, gepostet, fehlgeschlagen)

Die primäre Speicherung erfolgt in unserer Datenbank und im MinIO-Medienspeicher auf unserem Hetzner-Server in Deutschland. Soweit die Dropbox-Spiegelung für ein Asset nicht deaktiviert wurde, wird zusätzlich eine Kopie bei Dropbox gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Löschung durch den Nutzer oder bis zur Beendigung des Vertrags zuzüglich gesetzlicher Aufbewahrungspflichten. Backup-Daten werden im Rahmen unseres rollierenden Backup-Konzepts (max. 30 Tage Vorhaltung) gelöscht.

7.1 KI-gestützte Funktionen und externe Rechenleistung

Wenn Sie eine entsprechend gekennzeichnete KI-, Transkriptions-, Bild- oder Choreo-Funktion starten, können die dafür erforderlichen Eingaben, Medien und technischen Metadaten an OpenAI, Anthropic oder Modal übermittelt werden. Die Übermittlung erfolgt nur zur Ausführung der angeforderten Funktion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bitte laden Sie keine besonderen Kategorien personenbezogener Daten hoch, sofern Sie hierfür nicht über eine ausreichende Rechtsgrundlage und die erforderlichen Rechte verfügen.

Nachrichten-, Kommentar- und Bewertungstexte aus der Inbox (z.B. von Instagram, Facebook, YouTube oder Google Unternehmensprofil) werden nur dann an unseren KI-Dienstleister übermittelt, wenn ein Nutzer in der Inbox ausdrücklich Antwortvorschläge anfordert; Näheres für YouTube und Google Unternehmensprofil steht in Ziffer 6a.4.

8. Eingesetzte Dienste, Empfänger und Drittlandtransfer

Wir setzen die nachfolgend genannten technischen Dienstleister ein oder übermitteln Daten auf Wunsch des Nutzers an verbundene Plattformen. Ob ein Anbieter im konkreten Datenfluss als Auftragsverarbeiter oder als eigener Verantwortlicher handelt, richtet sich nach der jeweiligen Funktion und den Vertragsbedingungen. Soweit ein Anbieter als Auftragsverarbeiter handelt, gelten die dafür vorgesehenen Datenverarbeitungsbedingungen. Drittlandtransfers stützen sich auf die jeweils unten genannten Garantien.

8.11 Aktuelle Anbieterübersicht

Eine jeweils aktuelle Übersicht der eingesetzten Dienste und Plattform-Empfänger halten wir unter /subprocessors bereit. Bei Geschäftskunden informieren wir über Änderungen mit angemessenem Vorlauf; ein begründeter Widerspruch ist möglich.

9. Cookies und vergleichbare Technologien

Unsere Website verwendet ausschließlich technisch notwendige Cookies, die für die bereitgestellten, ausdrücklich von Ihnen gewünschten Funktionen unbedingt erforderlich sind. Eine Einwilligung ist daher nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

9.1 Technisch notwendige Cookies

• Authentifizierungs-Cookie (Clerk): erforderlich für den Login-Status, HttpOnly, Secure, SameSite=Lax, Lebensdauer Session.
• Active-Brand-Cookie (Smosting): merkt sich die zuletzt ausgewählte Brand, kein personenbezogener Inhalt, Lebensdauer 1 Jahr.
• Theme-Cookie: speichert die vom Nutzer aktiv gewählte Hell-/Dunkel-Modus-Präferenz, Lebensdauer 1 Jahr.
• Sprach-Cookie ("smosting_locale"): speichert die vom Nutzer aktiv gewählte Sprache, HttpOnly, Secure, SameSite=Lax, Lebensdauer 1 Jahr.
• Dashboard-Cookie ("smosting.lastDashboardPath"): merkt sich den zuletzt besuchten Bereich der Anwendung, damit Sie dort weiterarbeiten können, kein personenbezogener Inhalt, Secure, SameSite=Lax, Lebensdauer 30 Tage.
• Verbindungs-Cookie ("smosting_oauth_state"): wird nur beim Herstellen einer Verbindung zu einer Social-Media-Plattform (z.B. YouTube) gesetzt und bindet den Anmeldevorgang an Ihren Browser, HttpOnly, Secure, SameSite=Lax, Lebensdauer 10 Minuten.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen Dienst).

9.2 Optionale Cookies

Aktuell setzen wir keine Marketing-, Analyse- oder Tracking-Cookies ein. Sollten wir solche Technologien zukünftig einsetzen, holen wir vorher Ihre ausdrückliche und gleichwertig zu erteilende oder zu verweigernde Einwilligung gemäß § 25 Abs. 1 TDDDG ein.

10. Rechte der betroffenen Person

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener im Sinne der DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

10.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können Auskunft darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden. Im Bestätigungsfall haben Sie Anspruch auf Auskunft über diese Daten sowie über die in Art. 15 Abs. 1 DSGVO genannten weiteren Informationen.

10.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben ein Recht auf unverzügliche Berichtigung unrichtiger oder Vervollständigung unvollständiger personenbezogener Daten.

10.3 Recht auf Löschung (Art. 17 DSGVO)

Sie können verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, soweit einer der in Art. 17 Abs. 1 DSGVO genannten Gründe vorliegt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

10.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter den Voraussetzungen des Art. 18 Abs. 1 DSGVO können Sie die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen.

10.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und einem anderen Verantwortlichen zu übermitteln.

10.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen.

10.7 Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, diese jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

10.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu – insbesondere am Ort Ihres Wohnsitzes, Arbeitsplatzes oder des mutmaßlichen Verstoßes.

Für uns örtlich zuständig ist:
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg
Tel.: +49 40 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de
Web: https://datenschutz-hamburg.de

11. Datensicherheit (Art. 32 DSGVO)

Wir setzen geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung sowie gegen den Zugriff unberechtigter Personen zu schützen. Dazu zählen insbesondere:

• TLS-Verschlüsselung der gesamten Kommunikation zwischen Browser und Server
• AES-256-GCM-Verschlüsselung sensibler Daten in der Datenbank (insbesondere OAuth-Zugangs- und Refresh-Tokens)
• Pseudonymisierung soweit möglich
• Zugriffsbeschränkung nach dem Need-to-Know-Prinzip mit Mehr-Faktor-Authentifizierung
• Protokollierung sicherheitsrelevanter Ereignisse
• Regelmäßige Backups mit verschlüsselter Aufbewahrung
• Regelmäßige Überprüfung, Bewertung und Aktualisierung der TOMs sowie Schulung unserer Mitarbeitenden

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung. Wesentliche Änderungen kündigen wir registrierten Nutzern per E-Mail mit angemessenem Vorlauf an.

Stand: 2026-10-01