Datenschutzerklärung

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Verantwortlicher

CeeYou Art/Media Design, Inhaber Sandro Özköylü

Anschrift

Am Tabakquartier 52, 28197 Bremen, Deutschland

Telefon

0174 9249225

E-Mail

kontakt@ceeyoufilmproduktion.com

Datenschutz-Kontakt

kontakt@ceeyoufilmproduktion.com

RYVIO ist ein Angebot von CeeYou Art/Media Design. Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach § 38 BDSG besteht für unser Unternehmen nicht. Anlaufstelle für alle datenschutzrechtlichen Anliegen ist der Inhaber unter der vorstehenden Anschrift.

Für alle Fragen zur Verarbeitung Ihrer Daten und zur Ausübung Ihrer Rechte wenden Sie sich bitte an kontakt@ceeyoufilmproduktion.com.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Leistungen erforderlich ist oder Sie eingewilligt haben. Wir erheben keine Daten auf Vorrat, setzen keine Werbe-, Tracking- oder Analyse-Dienste Dritter ein und geben Daten nicht zu Werbezwecken weiter.

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS/TLS.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Diese Website und die Anwendung werden bei der Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) betrieben. Die Auslieferung statischer Inhalte erfolgt über das weltweite Edge-Netzwerk von Vercel; die serverseitige Ausführung der Anwendung (Serverless Functions) ist auf die Region Frankfurt am Main (fra1) konfiguriert.

Beim Aufruf einer Seite verarbeitet der Hosting-Dienstleister automatisch technische Zugriffsdaten (Server-Logfiles):

• IP-Adresse des anfragenden Endgeräts (die Speicherdauer richtet sich nach den Angaben des Hosting-Anbieters)
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL bzw. Route und HTTP-Statuscode
• übertragene Datenmenge und Antwortzeit
• Referrer-URL und übermittelter User-Agent (Browser- und Betriebssystemkennung)

Diese Verarbeitung ist technisch zwingend erforderlich, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch (z. B. automatisierte Angriffe) zu erkennen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).

Speicherdauer: Zugriffsprotokolle werden vom Hosting-Dienstleister nur für einen kurzen Zeitraum vorgehalten und anschließend automatisch gelöscht; eine dauerhafte Speicherung oder Zusammenführung mit anderen Datenquellen durch uns findet nicht statt.

Mit Vercel besteht eine Vereinbarung zur Auftragsverarbeitung (Data Processing Addendum) nach Art. 28 DSGVO, die für Übermittlungen in die USA die EU-Standardvertragsklauseln einbezieht. Vercel Inc. erklärt sich zudem unter dem EU-US Data Privacy Framework als zertifiziert; zu Übermittlungen in die USA siehe Abschnitt 14.

Alle Anwendungsdaten (Nutzerkonten, Unternehmensprofile, Inhalte, Analyse-Ergebnisse, Anfragen aus dem Kontaktformular) werden in einer PostgreSQL-Datenbank gespeichert, die von Supabase in der Region eu-central-1 (Frankfurt am Main, Deutschland) betrieben wird. Die Daten verbleiben damit innerhalb der Europäischen Union.

Supabase ist für uns Auftragsverarbeiter; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO für den technischen Betrieb.

Für die Nutzung der Anwendung ist ein Nutzerkonto erforderlich. Bei der Registrierung verarbeiten wir:

• E-Mail-Adresse (Pflichtangabe, dient zugleich als Anmeldename)
• Name bzw. Anzeigename (freiwillige Angabe)
• Passwort — dieses wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert; das Klartext-Passwort ist uns zu keinem Zeitpunkt bekannt und kann von uns nicht wiederhergestellt werden
• Zeitpunkt der Registrierung

Die Anmeldung erfolgt über NextAuth mit einer E-Mail-/Passwort-Anmeldung. Nach erfolgreicher Anmeldung wird ein signiertes, technisch notwendiges Sitzungs-Cookie gesetzt (siehe Abschnitt 13). Eine Anmeldung an RYVIO über soziale Netzwerke oder externe Identitätsanbieter findet nicht statt. Davon zu unterscheiden ist die Verbindung Ihrer Social-Media-Konten zum Zweck der Veröffentlichung, die in Abschnitt 9 beschrieben ist.

Zum Schutz vor automatisierten Anmeldeversuchen (Credential Stuffing, Brute Force) begrenzen wir die Zahl der Anmelde-, Registrierungs- und Formularversuche je IP-Adresse und je E-Mail-Adresse. Dazu speichern wir in unserer Datenbank einen Zähler, dessen Schlüssel nur als Hashwert (nicht im Klartext) aus IP-Adresse bzw. E-Mail-Adresse gebildet wird und der nach Ablauf des Zeitfensters, spätestens nach 24 Stunden, gelöscht wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Kontos; Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsabwehr.

Speicherdauer: bis zur Löschung des Kontos. Sie können Ihr Konto in der Anwendung unter „Profil → Konto löschen“ oder per E-Mail an kontakt@ceeyoufilmproduktion.com löschen; die Löschung wird innerhalb von 30 Tagen abgeschlossen. Mit dem Konto werden auch die zugehörigen Unternehmensprofile, Inhalte, Dateien und Plattform-Verbindungen gelöscht; gesetzliche Aufbewahrungsfristen bleiben unberührt.

Beta-Testphase: Während einer geschlossenen Testphase speichern wir zusätzlich Ihre Bestätigung der Beta-Testbedingungen (Fassung, Prüfsumme des Textes, Zeitpunkt, gekürzte Browserkennung, IP-Adresse nur als nicht rückrechenbarer Hashwert) als Vertragsnachweis (Art. 6 Abs. 1 lit. b und lit. f DSGVO) sowie Ihre Rückmeldungen über den Feedback-Knopf (Nachricht, aufgerufene Seite, Zeitpunkt, Konto-ID, gekürzte Browserkennung; Art. 6 Abs. 1 lit. b und lit. f DSGVO, Verbesserung des Dienstes). Kennzahlen zur Testphase werten wir nur als Zählwerte ohne Personenbezug aus. Einladungscodes speichern wir mit optional zugeordneter E-Mail-Adresse bis 90 Tage nach Ende der Testphase.

Bestätigung der E-Mail-Adresse und Passwort-Zurücksetzen: Nach der Registrierung senden wir einen Bestätigungslink; bei „Passwort vergessen“ einen Zurücksetz-Link. Wir speichern dafür jeweils nur einen Hashwert des Links mit Ablaufzeitpunkt (24 Stunden bzw. 1 Stunde, einmalig verwendbar). Vertragsannahme: Mit der Registrierung und bei Nachbestätigungen speichern wir Fassung, Prüfsumme und Text der von Ihnen bestätigten AGB und AVV sowie Zeitpunkt, gekürzte Browserkennung und IP-Adresse als nicht rückrechenbaren Hashwert (Art. 6 Abs. 1 lit. b und lit. f DSGVO, Vertragsnachweis) für die Dauer des Vertrags und die gesetzliche Aufbewahrungsfrist.

Innerhalb der Anwendung legen Sie ein Unternehmensprofil an und erstellen Inhalte. Dabei verarbeiten wir die von Ihnen eingegebenen Angaben, insbesondere:

• Unternehmensname, Branche, Standort, Leistungen und Angebote
• Zielgruppe, Ziele, Tonalität, No-Gos und Wettbewerber
• genutzte Plattformen und vorhandene Kanäle
• Vorgaben zur Markenstimme (Tonalität, Beispieltexte, Regeln, Standard-Handlungsaufforderung)
• Beiträge, Bildunterschriften, Ideen, Plattform-Varianten, Planungs- und Statusinformationen
• Bewertungsergebnisse des Content-Checks zu Ihren Inhalten

Diese Angaben werden von Ihnen bestimmt. Bitte geben Sie keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheits-, Religions- oder Gewerkschaftsdaten) ein und keine personenbezogenen Daten Dritter, für deren Verarbeitung Ihnen keine Rechtsgrundlage zur Seite steht.

Soweit Sie in der Anwendung personenbezogene Daten Ihrer eigenen Kundinnen und Kunden oder Beschäftigten verarbeiten, sind Sie insoweit Verantwortlicher und wir Auftragsverarbeiter (Art. 28 DSGVO). Für diesen Fall gilt die Vereinbarung zur Auftragsverarbeitung (Seite „Auftragsverarbeitung“), die Sie bei der Registrierung bestätigen und die auch während einer unentgeltlichen Test- oder Beta-Nutzung gilt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie können Bild- und Videodateien hochladen. Diese werden auf Vercel Blob gespeichert, dem Objektspeicher unseres Hosting-Dienstleisters. Der Speicherort von Vercel Blob kann außerhalb der Europäischen Union, insbesondere in den USA, liegen; die Übermittlung an Vercel Inc. erfolgt auf Grundlage des EU-US Data Privacy Framework (siehe Abschnitt 14).

Beim Upload verarbeiten wir die Datei selbst sowie den Dateinamen, den Dateityp und den Zeitpunkt des Uploads. Bilddateien werden serverseitig neu kodiert (Konvertierung nach WebP, Größenbegrenzung auf 2000 px längste Kante). Dabei werden eingebettete Metadaten der Originaldatei — etwa EXIF-Angaben mit GPS-Koordinaten, Kamera- oder Zeitstempeldaten — nicht übernommen. Bei Videodateien erfolgt keine Neukodierung; hier bleiben etwaige in der Datei enthaltene Metadaten erhalten. Bitte prüfen Sie vor dem Hochladen von Videos, ob diese personenbezogene Angaben enthalten.

Wichtiger Hinweis zur Erreichbarkeit hochgeladener Dateien: Die Dateien werden mit öffentlichem Zugriff im Objektspeicher abgelegt und sind über eine zufällig erzeugte, nicht erratbare URL abrufbar. Wer diese URL kennt, kann die Datei ohne Anmeldung aufrufen. Laden Sie daher keine Inhalte hoch, die unter keinen Umständen einsehbar sein dürfen.

Wenn Sie Aufnahmen hochladen, auf denen Personen erkennbar sind, sind Sie dafür verantwortlich, dass hierfür eine Rechtsgrundlage besteht (etwa eine Einwilligung der abgebildeten Personen nach Art. 6 Abs. 1 lit. a DSGVO bzw. §§ 22, 23 KunstUrhG).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: bis zur Löschung durch Sie bzw. bis zur Löschung des Kontos.

Kernfunktion von RYVIO ist die automatisierte Prüfung und Verbesserung Ihrer Beitragstexte: Bewertung nach den Kriterien Hook, Klarheit, Handlungsaufforderung (CTA), Proof, Plattform-Fit, Zielgruppe und Medienzuordnung (RYVIO Score), regelbasierte Textvorschläge, Plattform-Varianten, Ideen sowie Nischen- und Profilauswertungen.

Verarbeitet werden dabei die Texte, die Sie eingeben, die Angaben aus Ihrem Unternehmensprofil und Ihrer Markenstimme sowie Dateiname und Dateityp zugeordneter Medien. Eine inhaltliche Analyse von Bild- oder Videoinhalten (Bilderkennung) findet nicht statt; Medien werden gespeichert, Beiträgen zugeordnet und veröffentlicht.

Die Auswertung erfolgt durch ein regelbasiertes, deterministisches Verfahren, das vollständig auf unserer eigenen Infrastruktur ausgeführt wird. Eine Übermittlung Ihrer Inhalte an externe Anbieter generativer KI findet nicht statt. Die Einbindung eines externen Sprach- oder Bildmodells ist technisch gesperrt, solange wir sie nicht ausdrücklich freigeben; vor einer Freigabe informieren wir Sie an dieser Stelle über Anbieter, Verarbeitungsort und Rechtsgrundlage und nehmen den Anbieter in die Liste der Empfänger (Abschnitt 14) auf.

Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet.

Die Ergebnisse dieser Auswertung sind Empfehlungen. Es findet keine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt; über die Verwendung eines Vorschlags entscheiden ausschließlich Sie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie können Ihre geschäftlichen Konten bei Instagram, Facebook, LinkedIn, Pinterest, TikTok und YouTube mit RYVIO verbinden, um Beiträge über die offiziellen Schnittstellen der Plattformen zu veröffentlichen und Reichweitendaten abzurufen. Die Verbindung erfolgt über das Autorisierungsverfahren der jeweiligen Plattform (OAuth); Ihr Passwort für die Plattform wird uns dabei zu keinem Zeitpunkt bekannt.

Bei der Verbindung und Nutzung verarbeiten wir:

• Zugriffs- und gegebenenfalls Aktualisierungstoken der Plattform — ausschließlich verschlüsselt gespeichert (AES-256-GCM) und nur serverseitig im Moment der Nutzung entschlüsselt
• die von Ihnen erteilten Berechtigungen (Scopes) und den Ablaufzeitpunkt des Tokens
• Konto-ID, Kontoname bzw. Handle und Profilbild-URL des verbundenen Kontos
• bei Facebook die ID und den Namen der Seite, bei Pinterest die ID und den Namen des Boards, auf die veröffentlicht wird
• Status der Verbindung und die letzte von der Plattform gemeldete Fehlermeldung
• die von Ihnen zur Veröffentlichung freigegebenen Beiträge (Text, Medien, Zeitpunkt) sowie die von der Plattform zurückgegebene Beitrags-ID und den Veröffentlichungsstatus
• Follower-Zahl und Reichweitenwerte des verbundenen Instagram- bzw. Facebook-Kontos; Einzelheiten zur täglichen Speicherung und zur Aufbewahrungsdauer in Abschnitt 9a.

Zweck: Veröffentlichung Ihrer Beiträge zum geplanten Zeitpunkt auf den von Ihnen gewählten Konten sowie Anzeige von Reichweiten- und Follower-Daten. Geplante Veröffentlichungen werden durch einen zeitgesteuerten Aufruf unseres Servers ausgelöst (siehe Abschnitt 14).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Die Verbindung erfolgt nur auf Ihre ausdrückliche Veranlassung und kann von Ihnen jederzeit getrennt werden.

Empfänger: Bei der Veröffentlichung und beim Abruf von Daten übermitteln wir Beitragsinhalte und Token an den jeweiligen Plattformbetreiber. Diese Betreiber sind für die Verarbeitung auf ihren Plattformen eigenständig verantwortlich; es gelten deren Datenschutzhinweise:

• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Instagram, Facebook) — https://www.facebook.com/privacy/policy
• LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland — https://www.linkedin.com/legal/privacy-policy
• Pinterest Europe Ltd., Palmerston House, 2nd Floor, Fenian Street, Dublin 2, Irland — https://policy.pinterest.com/privacy-policy
• TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, D02 T380, Irland — https://www.tiktok.com/legal/privacy-policy
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (YouTube) — https://policies.google.com/privacy

Statistiken (Insights): Für die Erhebung von Seiten- und Konto-Statistiken durch Meta sind Sie als Betreiber der Seite bzw. des Kontos gemeinsam mit Meta verantwortlich (Art. 26 DSGVO; EuGH, Urteil vom 5. Juni 2018, C-210/16). RYVIO ruft diese aggregierten Werte in Ihrem Auftrag ab und speichert je Konto einen Tageswert (Follower, Reichweite, Profilaufrufe, Interaktionen) für 24 Monate, siehe Abschnitt 9a.

TikTok: Die Anbindung ist technisch vorhanden; bis zum Abschluss der Prüfung durch TikTok werden Beiträge dort ausschließlich als private Beiträge veröffentlicht.

YouTube API Services

RYVIO nutzt YouTube API Services. Mit der Verbindung eines YouTube-Kontos erkennen Sie die Nutzungsbedingungen von YouTube (https://www.youtube.com/t/terms) an; ergänzend gilt die Datenschutzerklärung von Google (https://policies.google.com/privacy). Über die Google-API erhaltene Daten verwenden wir ausschließlich für die in diesem Abschnitt beschriebenen Zwecke und geben sie nicht an Dritte weiter. Den Zugriff von RYVIO auf Ihr Google-Konto können Sie jederzeit über die Google-Sicherheitseinstellungen unter https://security.google.com/settings/security/permissions widerrufen. Eine Veröffentlichung auf YouTube ist derzeit noch nicht verfügbar.

Speicherdauer: Verbindungsdaten und Token speichern wir, bis Sie die Verbindung in der Anwendung unter „Profil → Social-Media-Konten“ trennen oder Ihr Konto gelöscht wird. Abgelaufene Token, die nicht erneuert werden, löschen wir spätestens 30 Tage nach Ablauf. Beim Trennen wird die erteilte Berechtigung, soweit die Plattform dies unterstützt (Facebook), zusätzlich bei der Plattform widerrufen; bei den übrigen Plattformen können Sie den Zugriff in den Einstellungen Ihres Plattformkontos entziehen. Näheres finden Sie auf der Seite „Datenlöschung“.

Wir rufen die Reichweiten- und Interaktionswerte Ihrer verbundenen Instagram- und Facebook-Konten ab und speichern sie täglich (Follower-Zahl, Reichweite, Profilaufrufe, Interaktionen, Likes, Kommentare, Shares und Speichervorgänge je Beitrag), damit Sie Verläufe sehen können. Es werden nur aggregierte Zahlen gespeichert, keine Informationen über einzelne Personen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: 24 Monate, danach automatische Löschung.

Mit der Funktion „Konkurrenz“ können Sie öffentliche Instagram-Business- und Creator-Konten beobachten. RYVIO ruft dafür über die „Business Discovery“-Schnittstelle von Meta, mit dem Zugriff Ihres verbundenen Kontos, öffentlich sichtbare Kennzahlen ab (Benutzername, Anzeigename, Profilbild-URL, Follower-Zahl, Anzahl Beiträge, durchschnittliche Likes und Kommentare der letzten bis zu 25 Beiträge, Adresse des erfolgreichsten Beitrags) und speichert pro Tag einen Messwert. Pro Arbeitsbereich sind höchstens zehn Konten möglich.

Im Verhältnis zu den beobachteten Konten sind Sie als unser Kunde Verantwortlicher; wir verarbeiten in Ihrem Auftrag (Art. 28 DSGVO). Rechtsgrundlage ist das berechtigte Interesse an der Marktbeobachtung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, wenn Sie ein beobachtetes Konto entfernen oder Ihr Konto gelöscht wird, spätestens nach 24 Monaten. Betroffene beobachtete Personen können sich an den jeweiligen Kunden oder an kontakt@ceeyoufilmproduktion.com wenden.

Mit der Funktion „Posteingang“ zeigen wir Kommentare unter Ihren letzten Instagram-Beiträgen an und ermöglichen es Ihnen, sie zu beantworten, auszublenden oder zu löschen. Die Kommentare (Benutzername, Text, Zeitpunkt, Likes) werden live bei Meta abgerufen und von uns nicht gespeichert; Ihre Antworten werden an Meta übermittelt. Für die Verarbeitung der Kommentare sind Sie als Kunde Verantwortlicher, wir verarbeiten in Ihrem Auftrag. Die Funktion ist nur aktiv, wenn wir sie gesondert freigeschaltet haben.

Wenn Sie in der Anwendung Push-Benachrichtigungen aktivieren, speichern wir die vom Browser erzeugte Abo-Adresse (Endpoint), zwei Schlüsselwerte und die Kennung Ihres Browsers (User-Agent) und senden darüber Benachrichtigungen (z. B. „Ein Beitrag wartet auf dich“). Beitragstitel oder Namen sind in der Nachricht nicht enthalten. Die Zustellung erfolgt über die Push-Dienste Ihres Browser- bzw. Geräteherstellers (Apple, Google, Mozilla, Microsoft), die dafür eigenständig verantwortlich sind.

Rechtsgrundlage: Ihre Einwilligung durch Aktivierung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit in der Anwendung oder in den Browser-Einstellungen widerrufen; dann wird das Abo gelöscht. Nicht mehr erreichbare Abos löschen wir automatisch.

Für Benachrichtigungen (Freigabeanfragen, Veröffentlichungsfehler, ablaufende Plattform-Verbindungen), für automatische PDF-Berichte und zur Bestätigung von Demo-Anfragen versenden wir E-Mails über Resend, Inc. (Abschnitt 14). Verarbeitet werden E-Mail-Adresse, Inhalt der Nachricht und ggf. der Anhang. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Benachrichtigungen können Sie in den Kontoeinstellungen einzeln abschalten.

Zur Nachvollziehbarkeit protokollieren wir je Arbeitsbereich, wer wann welche Aktion ausgeführt hat (E-Mail-Adresse bzw. Bezeichnung des Handelnden, Art der Aktion, Beitragstitel oder Kontoname, Zeitpunkt). Das Protokoll ist nur für Inhaber sichtbar und wird nach zwölf Monaten automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit). Bei Löschung eines Kontos werden die Einträge in Arbeitsbereichen anderer Personen anonymisiert.

Über einen persönlichen Link können Kundinnen und Kunden unserer Nutzer Beiträge ohne Anmeldung prüfen, kommentieren und freigeben. Dabei werden der von Ihnen eingegebene Name, Ihre Anmerkungen, die Entscheidung und der Zeitpunkt gespeichert. Verantwortlich ist die Agentur bzw. das Unternehmen, das Ihnen den Link gegeben hat; RYVIO verarbeitet in deren Auftrag. Es werden keine Tracking-Cookies gesetzt.

Bei aktivierter Zwei-Faktor-Anmeldung speichern wir ein verschlüsseltes Geheimnis und Hashwerte von Wiederherstellungscodes. API-Schlüssel speichern wir nur als Hash. Bei Webhooks speichern wir die von Ihnen angegebene Ziel-Adresse und die letzten Zustellprotokolle (Ereignistyp, Inhalt, Status). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie können weitere Personen in den Arbeitsbereich Ihrer Organisation einladen. Jede Mitgliedschaft ist mit einer Rolle verbunden (Inhaber, Editor oder Freigeber), die festlegt, welche Aktionen die Person ausführen darf.

Verarbeitet werden Name und E-Mail-Adresse der Mitglieder, ihre Rolle und der Zeitpunkt des Beitritts sowie bei Einladungslinks ein zufällig erzeugtes, nur einmal verwendbares Token, die vorgesehene Rolle, die einladende Person, der Zeitpunkt der Erstellung und — nach Einlösung — die beitretende Person und der Zeitpunkt des Beitritts.

Name und E-Mail-Adresse sind für die anderen Mitglieder derselben Organisation sichtbar, damit Rollen verwaltet und Freigaben nachvollzogen werden können. Wer einen Einladungslink öffnet, sieht vor dem Beitritt den Namen der Organisation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber den Mitgliedern; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Zusammenarbeit im Team) hinsichtlich der Sichtbarkeit innerhalb der Organisation.

Speicherdauer: Mitgliedschaften bis zum Verlassen der Organisation bzw. bis zur Löschung des Nutzerkontos oder der Organisation; Einladungslinks bis zu ihrer Einlösung oder ihrem Widerruf, spätestens bis zur Löschung der Organisation. Bitte geben Sie Einladungslinks nur an Personen weiter, die tatsächlich beitreten sollen.

Über das Formular „Demo anfragen“ können Sie unverbindlich Kontakt aufnehmen. Dabei verarbeiten wir:

• Name (Pflichtangabe)
• E-Mail-Adresse (Pflichtangabe)
• Unternehmen (freiwillige Angabe)
• Nachricht (freiwillige Angabe)
• Zeitpunkt der Absendung

Das Formular enthält ein für Sie unsichtbares Zusatzfeld zur Erkennung automatisierter Einsendungen (sogenannter Honeypot). Wird dieses Feld ausgefüllt, verwerfen wir die Einsendung, ohne sie zu speichern. Zusätzlich begrenzen wir die Zahl der Einsendungen je IP-Adresse und je E-Mail-Adresse; dazu speichern wir in unserer Datenbank einen Zähler, dessen Schlüssel nur als Hashwert (nicht im Klartext) aus IP-Adresse bzw. E-Mail-Adresse gebildet wird und der nach Ablauf des Zeitfensters (10 Minuten), spätestens nach 24 Stunden gelöscht wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr).

Wir verwenden diese Daten ausschließlich zur Bearbeitung Ihrer Anfrage und zur Kontaktaufnahme; eine Eingangsbestätigung versenden wir per E-Mail über unseren E-Mail-Dienstleister (Abschnitt 14). Eine Weitergabe an Dritte erfolgt darüber hinaus nicht. Ein Newsletter-Versand findet ohne Ihre gesonderte Einwilligung nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: bis zur abschließenden Bearbeitung Ihrer Anfrage, längstens jedoch für die Dauer etwaiger gesetzlicher Aufbewahrungsfristen. Anfragen ohne weiteren Geschäftskontakt löschen wir spätestens nach zwölf Monaten.

Auf unserer Website können Sie die Bewertungsfunktion ohne Anmeldung testen. Der von Ihnen eingegebene Text wird zu diesem Zweck an unseren Server übermittelt, dort ausgewertet und das Ergebnis unmittelbar zurückgegeben. Eine Speicherung des eingegebenen Textes findet nicht statt.

Zur Missbrauchsabwehr wird die Zahl der Anfragen je IP-Adresse und insgesamt begrenzt; dazu speichern wir in unserer Datenbank Zähler, deren Schlüssel nur als Hashwert gebildet wird und die nach Ablauf des Zeitfensters, spätestens nach 24 Stunden, gelöscht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsentation und am missbrauchsfreien Betrieb unseres Angebots).

Wir setzen ausschließlich technisch notwendige Cookies ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich; Cookies zu Werbe-, Tracking- oder Reichweitenmessungszwecken setzen wir nicht.

__Secure-authjs.session-token

Hält Ihre Anmeldung aufrecht (signiertes Sitzungs-Token). Wird nur nach erfolgreicher Anmeldung gesetzt; Laufzeit 30 Tage, mit der Abmeldung ungültig.

__Host-authjs.csrf-token

Schützt Anmelde- und Formularvorgänge vor Cross-Site-Request-Forgery. Sitzungs-Cookie, wird mit dem Schließen des Browsers gelöscht.

__Secure-authjs.callback-url

Merkt sich beim Anmeldevorgang die Seite, zu der Sie anschließend zurückgeleitet werden. Sitzungs-Cookie.

ryvio_org

Merkt sich nach der Anmeldung den zuletzt gewählten Arbeitsbereich (Organisation); enthält nur dessen interne Kennung. Laufzeit 30 Tage.

ry_social_oauth

Sichert den Verbindungsvorgang mit einer Social-Media-Plattform gegen Manipulation ab (Zustandsprüfung). Wird nur während des Verbindens gesetzt und ist nach wenigen Minuten ungültig.

NEXT_LOCALE

Speichert die gewählte Sprache (Deutsch oder Englisch); enthält ausschließlich das Sprachkürzel. Laufzeit bis zu zwölf Monate.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung zur Bereitstellung eines ausdrücklich gewünschten Dienstes) in Verbindung mit Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Wenn Sie in der Anwendung Push-Benachrichtigungen aktivieren, registriert Ihr Browser einen Service Worker und speichert eine Abo-Adresse; dies geschieht erst nach Ihrem ausdrücklichen Klick und Ihrer Bestätigung im Browser-Dialog (§ 25 Abs. 1 TDDDG, Einwilligung), siehe Abschnitt 9d. Weitere Speicherungen im Endgerät (z. B. Local Storage) setzen wir nicht ein.

Sie können Cookies jederzeit in den Einstellungen Ihres Browsers löschen oder blockieren. In diesem Fall ist eine Anmeldung an der Anwendung nicht mehr möglich.

Personenbezogene Daten geben wir nur an folgende Empfänger weiter:

• Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA — Hosting und Auslieferung der Website, serverseitige Ausführung der Anwendung in der Region Frankfurt am Main (fra1) sowie Objektspeicher (Vercel Blob) für hochgeladene Dateien, dessen Speicherort außerhalb der EU liegen kann. Auftragsverarbeiter; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln und – nach Selbstauskunft des Anbieters – des EU-US Data Privacy Framework.
• Supabase Inc., USA — Betrieb der PostgreSQL-Datenbank in der Region eu-central-1 (Frankfurt am Main). Auftragsverarbeiter mit Vereinbarung nach Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) für etwaige Zugriffe aus Drittländern.
• Resend, Inc., USA — Versand von E-Mails (Benachrichtigungen zu Freigaben, Veröffentlichungsfehlern und ablaufenden Verbindungen, automatische PDF-Berichte, Eingangsbestätigung bei Demo-Anfragen). Auftragsverarbeiter; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework (Selbstauskunft des Anbieters).
• GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (Tochtergesellschaft der Microsoft Corporation) — zeitgesteuerter Aufruf (Cron) unserer Veröffentlichungsfunktion für geplante Beiträge; GitHub erhält dabei den Zeitpunkt und den technischen Status des Aufrufs, keine Nutzerdaten.
• die Push-Dienste der Browser- bzw. Geräte-Hersteller (Apple, Google, Mozilla, Microsoft) — nur wenn Sie Push-Benachrichtigungen aktivieren; die Hersteller sind für ihren Dienst eigenständig verantwortlich
• TikTok, YouTube und X — beim Hinzufügen eines Inspirations-Links ruft unser Server öffentlich verfügbare Vorschau-Metadaten der von Ihnen eingegebenen Adresse ab (oEmbed)
• die in Abschnitt 9 genannten Plattformbetreiber (Meta, LinkedIn, Pinterest, TikTok, Google) — bei der Veröffentlichung von Beiträgen und dem Abruf von Reichweitendaten auf Ihre Veranlassung; diese Betreiber sind eigenständig Verantwortliche
• Behörden und Gerichte, soweit wir hierzu gesetzlich verpflichtet sind

Mit unseren Auftragsverarbeitern bestehen Vereinbarungen nach Art. 28 DSGVO. Eine Liste der Unterauftragsverarbeiter, auch für unsere Kunden, finden Sie unter „Auftragsverarbeitung“.

Die Datenbank und die serverseitige Ausführung der Anwendung sind auf Frankfurt am Main konfiguriert. Hochgeladene Dateien werden bei Vercel Blob gespeichert; deren Speicherort kann außerhalb der Europäischen Union, insbesondere in den USA, liegen. Da Vercel Inc., Supabase Inc., Resend, Inc. und GitHub, Inc. ihren Sitz in den USA haben, kann es im Rahmen von Betrieb, Wartung und Support zu Zugriffen aus einem Drittland kommen.

Soweit eine Übermittlung in die USA stattfindet, stützen wir diese auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, sofern der Empfänger dort zertifiziert ist, andernfalls auf die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen.

Sie haben das Recht, eine Kopie dieser geeigneten Garantien zu erhalten; wenden Sie sich hierfür an kontakt@ceeyoufilmproduktion.com.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Konto- und Anwendungsdaten: bis zur Löschung des Kontos durch Sie (in der Anwendung unter „Profil → Konto löschen“ oder per E-Mail); die Löschung erfolgt unverzüglich, spätestens innerhalb von 30 Tagen; Sicherungskopien des Datenbank-Anbieters laufen nach dessen Aufbewahrungsfrist ab
• Hochgeladene Dateien und erzeugte Inhalte: bis zur Löschung durch Sie, spätestens mit Löschung des Kontos
• Verbindungen zu Social-Media-Konten (Token, Konto- und Zielangaben): bis zum Trennen der Verbindung durch Sie oder bis zur Kontolöschung; abgelaufene, nicht erneuerte Token spätestens 30 Tage nach Ablauf
• Einladungslinks: bis zur Einlösung oder zum Widerruf, spätestens bis zur Löschung der Organisation
• Anfragen über das Kontaktformular: bis zur abschließenden Bearbeitung, längstens zwölf Monate ohne weiteren Geschäftskontakt (automatische Löschung)
• Aktivitätsprotokoll: zwölf Monate (automatische Löschung)
• Gespeicherte Reichweiten- und Interaktionswerte sowie Messwerte beobachteter Wettbewerber-Konten: 24 Monate (automatische Löschung)
• Push-Abos: bis zum Widerruf; nicht mehr erreichbare Abos werden automatisch gelöscht
• Server-Logfiles: nach den Angaben des Hosting-Dienstleisters
• Zähler zur Missbrauchsabwehr: gehashte Schlüssel, Löschung nach Ablauf des Zeitfensters, spätestens nach 24 Stunden

Darüber hinaus speichern wir Daten, soweit handels- oder steuerrechtliche Aufbewahrungspflichten bestehen (insbesondere §§ 147 AO, 257 HGB — sechs bzw. zehn Jahre). Für die Dauer dieser Fristen wird die Verarbeitung eingeschränkt.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Hierzu gehören insbesondere:

• durchgehende Transportverschlüsselung (HTTPS/TLS) mit HSTS
• Speicherung von Passwörtern ausschließlich als bcrypt-Hash; optionale Zwei-Faktor-Anmeldung (TOTP) mit verschlüsseltem Geheimnis
• Verschlüsselung der Zugriffstoken verbundener Plattformkonten im Ruhezustand (AES-256-GCM); Token werden nie an den Browser übertragen; API-Schlüssel werden nur als Hash gespeichert
• Absicherung des Verbindungsvorgangs mit Plattformen durch signierte, kurzlebige Zustandsprüfungen
• Zugriffsbeschränkung auf die Daten des jeweils eigenen Arbeitsbereichs und rollenbasierte Berechtigungen
• Begrenzung der Anfragezahl (Rate Limiting) bei Anmeldung, Registrierung, Formularen, Uploads und KI-nahen Funktionen; IP- und E-Mail-Angaben in den Zählern nur als Hashwert
• serverseitige Prüfung und Neukodierung hochgeladener Bilddateien (inklusive Erkennung des tatsächlichen Formats und Größenbegrenzung) sowie Prüfung von Videodateien auf ihr tatsächliches Dateiformat
• Sicherheits-Header (Content-Security-Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy)
• Größen- und Längenbegrenzungen für alle entgegengenommenen Eingaben

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an kontakt@ceeyoufilmproduktion.com. Wir beantworten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats.

Auskunft und Datenübertragbarkeit: In der Anwendung können Sie unter „Profil → Meine Daten exportieren“ alle zu Ihrem Konto gehörenden Daten als JSON-Datei herunterladen.

Unbeschadet anderweitiger Rechtsbehelfe haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Sie können sich an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

Die für uns zuständige Aufsichtsbehörde ist:

Aufsichtsbehörde

Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Arndtstraße 1, 27570 Bremerhaven, office@datenschutz.bremen.de

Die Bereitstellung Ihrer E-Mail-Adresse und eines Passworts ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne diese Angaben können wir Ihnen kein Nutzerkonto bereitstellen. Alle übrigen Angaben sind freiwillig; ihr Fehlen kann jedoch die Qualität der Auswertungen und Vorschläge einschränken.

Für das Kontaktformular sind Name und E-Mail-Adresse erforderlich, damit wir Ihre Anfrage beantworten können.

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage, unsere Leistungen oder die Art der Datenverarbeitung ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Über wesentliche Änderungen informieren wir angemeldete Nutzerinnen und Nutzer zusätzlich in geeigneter Weise, etwa per E-Mail an die hinterlegte Adresse.

Stand dieser Datenschutzerklärung: 2026-10-19.