Datenschutzerklärung

Verantwortlicher

Kuro Studio, Lukas Wirth

Anschrift

Hirschberger Str. 24, 90559 Burgthann, Deutschland

E-Mail

legal@kurostudio.io

Telefon

+49 (0) 151 23476125

Diese Erklärung erläutert die Verarbeitung personenbezogener Daten durch Lukas Wirth, handelnd unter Kuro Studio, für Kuro Engage. Für Website, Konto- und Teamverwaltung, Verträge, Abrechnung, Support, Sicherheit, Produktanalyse und Werbung sind wir Verantwortlicher. Handeln Teammitglieder für ein Unternehmen, stützt sich die Verwaltung dieser Geschäftsbeziehung auf unser berechtigtes Interesse, soweit die einzelne Person nicht selbst Vertragspartei ist.

Für Kampagneninhalte, Zugangsdaten verbundener Konten und Publikumsinteraktionen, die wir nach dokumentierter Weisung eines Geschäftskunden verarbeiten, ist dieser Kunde Verantwortlicher und wir sind Auftragsverarbeiter. Hierfür gilt unser Auftragsverarbeitungsvertrag: /dpa. Der Kunde bestimmt Zweck, Nachrichten, Empfänger und Rechtsgrundlage seiner Kampagnen. Meta betreibt Instagram nach eigenen Plattformbedingungen und Datenschutzhinweisen; eine Kontoverbindung macht Meta nicht allgemein zu unserem Unterauftragsverarbeiter.

• Accountdaten wie E-Mail-Adresse, Login-Status, Passkey-Metadaten, Workspace-Mitgliedschaft, Rolle, Invite-Code und Referral-Zuordnung.
• Workspace-Daten wie Workspace-Name, verbundene Social Accounts, Kampagneneinstellungen, Keywords, verknüpfte Assets und Teamrollen.
• Instagram- und Meta-Integrationsdaten wie Kennungen verbundener Konten, Instagram-Nutzer-IDs, Kommentar-IDs, Nachrichtenstatus, Widerspruchseinträge und verschlüsselte Meta Access Tokens. Kommentator-IDs, Usernames und Kommentartext werden nur für Kommentare gespeichert, die zu einem aktiven Kampagnen-Keyword passen und einen Nachrichtenablauf starten. Gesonderte Webhook-Diagnosen enthalten nur Ereignisart, Ereignis- und Beitragskennungen, Zeitstempel und Verarbeitungsstatus, ohne Nachrichten- oder Kommentartext, Nutzernamen, Absender- oder Empfängerkennungen oder E-Mail-Adressen.
• Lead- und Kampagnendaten wie über eine Kampagne übermittelte E-Mail-Adressen und Telefonnummern, der Instagram-Anzeigename der Person und ob sie dem verbundenen Konto folgt, von Instagram abgerufen, wenn sie im Gespräch einen Kontakt angibt, Quellkampagne, Quellevent, Zustellstatus und Zeitpunkte.
• Abrechnungsdaten wie Tarif, Abrechnungsintervall, Abo- und Zahlungsstatus, Rechnungen, die von dir im Bezahlvorgang angegebene Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer, die von unserem Zahlungsdienstleister vergebenen Kunden- und Abo-Kennungen sowie die Zahlungsereignisse, die uns dieser Dienstleister übermittelt. Vollständige Kartennummern erhalten und speichern wir nie.
• Mit Analyse-Einwilligung: eine Sitzungskennung und zugelassene Produktereignisse; angemeldete eigene Ereignisse können Konto- und Workspacekennungen zugeordnet werden. PostHog verwendet eine gesonderte pseudonyme Browserkennung. Werbung erhält nur bereinigte Website- und Conversion-Signale. Netzwerkverbindungen übermitteln dem Empfänger Metadaten einschließlich einer IP-Adresse.
• Technische Daten wie Browser- und Geräteinformationen aus dem User Agent, Referrer, Anfragezeitpunkte, Logeinträge, Fehlerdiagnosen und Sicherheitsereignisse. Wird ein Asset-Link geöffnet, speichern wir Zeitpunkt, User Agent und Referrer sowie die Kampagne, deren Nachricht den Link enthielt, anhand des Kampagnenparameters im Link; wer den Link geöffnet hat, speichern wir nicht. Trägt sich jemand für Newsletter oder Warteliste ein, speichern wir User Agent und Referrer als Nachweis dieser Einwilligung.
• Kommunikationsdaten aus E-Mails, Support-Anfragen, rechtlichen Anfragen und Produktfeedback.

Unsere Anwendungsdatenbank speichert keine IP-Adressen für die Begrenzung von Formularanfragen. Die Anwendung nutzt sie vorübergehend im Arbeitsspeicher. Anbieter für Hosting, Authentifizierung und Botschutz erhalten Netzwerkmetadaten, wenn Anfragen ihre Dienste erreichen; diese Verarbeitung ist von der Regel für unsere Anwendungsdatenbank getrennt.

Um wiederholte kostenlose Testphasen zu verhindern, speichern wir pseudonyme Prüfwerte aus Konto und bestätigter E-Mail-Adresse sowie Verbrauchs- und Ablaufdaten. Sie enthalten nicht die ursprüngliche E-Mail-Adresse und bleiben personenbezogene Daten, da sie mit Zusatzinformationen abgeglichen werden können.

Versandnachweise für Servicemails enthalten zugehörige Konto- und Workspaceverweise, Art des Hinweises, Zustellstatus und Zeitangaben, um doppelte Servicehinweise zu vermeiden und Zustellfehler zu klären.

Sicherheitsprotokolle zu Änderungen der Anmeldemethoden, Mitgliedschaften und Eigentümerschaft, zur Löschung von Workspaces und Konten sowie zu Sperren und Ausnahmen durch Betreiber: Kennungen der handelnden und betroffenen Nutzer, Workspacekennung, Ereignisart, Anfragekennung und wenige technische Merkmale aus einer festen Liste. Sie enthalten keine E-Mail-Adressen, Zugangsdaten oder Nachrichteninhalte.

• Websitebereitstellung, Kontozugang, Workspaceverwaltung und Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO, wenn du persönlich Vertragspartei bist; andernfalls Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Bereitstellung des Geschäftsdienstes für berechtigte Nutzer.
• Zahlung, Abonnement und Kundensupport: Art. 6 Abs. 1 lit. b DSGVO; bei geschäftlichen Ansprechpartnern Art. 6 Abs. 1 lit. f DSGVO. Buchhaltung, Steuern und gesetzlich vorgeschriebene Offenlegungen: Art. 6 Abs. 1 lit. c DSGVO mit der jeweiligen gesetzlichen Pflicht.
• Sicherheit, notwendige Fehlerdiagnose, Zuverlässigkeit, Missbrauchsvermeidung, Testphasenberechtigung sowie Durchsetzung oder Abwehr von Ansprüchen: Art. 6 Abs. 1 lit. f DSGVO. Wir wägen diese Interessen gegen die Auswirkungen auf Betroffene ab und beschränken die erfassten Daten.
• Optionale Produktanalyse, Sitzungsaufzeichnungen und Werbung: Art. 6 Abs. 1 lit. a DSGVO und bei Speicherung oder Zugriff auf Informationen im Endgerät § 25 Abs. 1 TDDDG. Eine Ablehnung schränkt den vertraglichen Dienst nicht ein.
• Newsletter und Wartelisten-Nachrichten: deine gesonderte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und den einschlägigen Regeln für elektronische Werbung. Notwendige Servicemitteilungen dienen dem Betrieb deines Kontos und sind kein Newsletter.
• Verarbeitung von Kampagnendaten: Der Kunde bestimmt seine Rechtsgrundlage; unsere Befugnis zur weisungsgebundenen Verarbeitung ergibt sich aus dem AVV nach Art. 28 DSGVO. Die Anforderung einer konkreten Keyword-Antwort erlaubt nicht pauschal weitere Werbung.

Nutzer melden sich per Magic Link an und können Passkeys verwenden. Die Authentifizierung läuft über Supabase. Wir verarbeiten Login-Daten, um Sitzungen zu erstellen, unbefugten Zugriff zu verhindern und Workspace-Daten voneinander zu trennen.

Soweit der Zugang zum Produkt über Invites läuft, speichern wir Invite-Codes und Referral-Zuordnungen, damit wir nachvollziehen können, wer über wen beigetreten ist, und den Zugang steuern können. Die Referral-Zuordnung verknüpft Workspaces miteinander, keine Privatpersonen.

Cloudflare Turnstile schützt Magic-Link-Anfragen und den Prüferzugang vor automatisiertem Missbrauch. Cloudflare bewertet Challenge- sowie Netzwerk- und Browserdaten; Supabase prüft das Ergebnis. Dieser notwendige Schutz dient der Kontosicherheit nach Art. 6 Abs. 1 lit. f DSGVO und der einschlägigen Ausnahme für notwendigen Endgerätezugriff nach § 25 Abs. 2 TDDDG. Er wird nicht für Werbung genutzt.

Wenn ein verbundenes Instagram-Konto einen Kommentar erhält, der zu einem aktiven Kampagnen-Keyword passt, verarbeitet Kuro Engage die relevanten Webhook-Daten und sendet über die offizielle Meta API eine private Antwort oder Direktnachricht. Kommentator-IDs, Usernames und Kommentartext werden nur für solche passenden Kommentare gespeichert. Ein Kommentar ohne Treffer hinterlässt lediglich seine Kommentar-ID, den zugehörigen Beitrag und das Verarbeitungsergebnis als technischen Nachweis. Ein Kommentar unter einem verbundenen Konto ohne aktive Kampagne hinterlässt keinen Kampagnendatensatz. Minimale Zustelldiagnosen zu Kommentaren ohne Kampagnenbezug werden normalerweise direkt nach der Verarbeitung gelöscht; verbleibende Diagnosen enthalten keine Inhalte und unterliegen Abschnitt 11. Bei passenden Kommentaren verhindern Kommentar-IDs und Zustellnachweise doppelte Nachrichten und machen den Betrieb nachvollziehbar.

Meta Access Tokens liegen in verschlüsseltem Speicher, sind nur serverseitigen Prozessen zugänglich und werden Workspace-Nutzern nie offengelegt. Kunden sind verantwortlich für Kampagnentexte, Asset-Links, Zielgruppenansprache und dafür, dass die Nutzung von Instagram-Automatisierung rechtmäßig ist und den Meta-Plattformbedingungen entspricht.

Das Löschen einer Kampagne stoppt neue Treffer und entfernt sie aus der Kampagnenliste. Bereits begonnene Gespräche können zu Ende laufen. Kampagnendaten, Leads und Verlauf bleiben erhalten, solange der Workspace besteht. Das Trennen von Instagram behält diese Daten. Beim endgültigen Entfernen eines Instagram-Kontos werden dessen Kampagnen sowie Kommentar- und Nachrichtenverlauf einschließlich der minimalen Webhook-Diagnosen gelöscht. Erfasste Leads bleiben mit den Herkunftsangaben erhalten, die für eine spätere Löschanfrage nötig sind.

Wenn du bei einem Unternehmen auf Instagram eine automatisierte Antwort angefordert hast, ist dieses Unternehmen für die Kampagnendaten verantwortlich. Meta übermittelt uns jeden Kommentar, der unter einem verbundenen Konto geschrieben wird. Deine Instagram-Kennung, deinen Nutzernamen und deinen Kommentar speichern wir nur, wenn dein Kommentar zu einem Kampagnen-Keyword passt und den angeforderten Ablauf auslöst, zusammen mit dem Nachrichtenstatus und, falls du sie im Gespräch angibst, deiner E-Mail-Adresse oder Telefonnummer. Wenn du eine davon angibst, speichern wir außerdem deinen Instagram-Anzeigenamen und ob du dem Konto des Unternehmens folgst, so wie Instagram sie in diesem Moment meldet. Bei anderen Kommentaren speichern wir weder Kennung, Nutzernamen noch Text. Die gespeicherten Daten verarbeiten wir für den angeforderten Ablauf und zur Vermeidung doppelter Zustellung. Meta ist die Quelle dieser Daten.

Ein Kampagnen-Keyword fordert die Antwort dieser Kampagne an. Es erlaubt für sich allein keine davon unabhängige Folgewerbung. Das Unternehmen muss eigene Datenschutzhinweise bereitstellen und für weitere Nachrichten oder E-Mail-Werbung erforderliche zusätzliche Erlaubnisse einholen.

Mit STOP, UNSUBSCRIBE oder CANCEL unterbindest du weitere nicht angeforderte automatisierte Sendungen dieses verbundenen Kontos. START oder SUBSCRIBE hebt die Sperre auf. Ein neuer Kommentar mit einem Kampagnen-Keyword gilt als neue Anfrage und hebt die Sperre für den neuen Ablauf auf. Eine solche Antwort wird von jedem Absender erfasst, auch wenn kein Kommentar von dir gespeichert wurde, und zwar allein, um deine Entscheidung in einer Sperrliste zu beachten; der betriebliche Ereignisnachweis dazu enthält keine Instagram-Kennung. Technische Versandfenster können eine Bestätigung verhindern, heben die Sperre aber nicht auf. Du kannst das Konto auch in Instagram einschränken oder blockieren.

Wende dich für deine Rechte an das Kampagnenunternehmen oder an legal@kurostudio.io. Nenne das verbundene Geschäftskonto und ausreichende Angaben, um die Interaktion zuzuordnen. Anfragen zu Kundendaten leiten wir an das Unternehmen weiter und unterstützen dessen Weisungen; einen Ausweis verlangen wir nicht pauschal.

Metas Löschcallback für App-Daten entfernt die zugehörigen Kampagnen-, Nachrichten-, Lead- und minimalen Webhook-Daten, einschließlich der nach dem endgültigen Entfernen des verbundenen Kontos behaltenen Leads. Er betrifft Daten, die über eine verbundene Meta-App oder ein Konto zugeordnet werden können, und ist kein allgemeiner Löschweg für sämtliche Kommentierenden. Eine Betroffenenanfrage an das Unternehmen oder an unsere Kontaktadresse bleibt möglich.

Kostenpflichtige Abos werden über Stripe abgewickelt. Beim Bezahlvorgang gibst du deine Zahlungsdaten direkt bei Stripe ein. Stripe verarbeitet diese Zahlungsdaten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung; vollständige Kartennummern erhalten wir nie.

Wir speichern die von Stripe vergebenen Kunden- und Abo-Kennungen, deinen Tarif und Zahlungsstatus sowie die Zahlungsereignisse, die Stripe uns übermittelt. Diese Ereignisdatensätze enthalten die von Stripe übertragenen Daten, die wir aufbewahren, damit der Abrechnungsstand abgeglichen und geprüft werden kann. Wir nutzen diese Daten, um den kostenpflichtigen Dienst bereitzustellen, Rechnungen zu stellen und unsere handels- und steuerrechtlichen Pflichten zu erfüllen.

Bei Einlösung eines erfassten Aktionscodes speichern wir die Kennungen von Code und Rabatt, die Zuordnung zu Workspace und Abonnement, den Einlösungszeitpunkt sowie eine gegebenenfalls hinterlegte Partnerkennung und den Partnernamen. Die Partnerzuordnung wird bei Einlösung als feste Momentaufnahme für Berichte gespeichert; spätere Änderungen am Code ändern diese Zuordnung nicht. Partnerauszahlungen werden manuell bearbeitet. Partnerlinks und automatische Auszahlungen sind nicht implementiert.

Supabase

Supabase Pte. Ltd., Singapur: Authentifizierung, Datenbank, Dateiablage und verschlüsselte Zugangsdaten. Erhält Konto-, Team-, Kampagnen-, Publikums- und Leaddaten sowie Dateien als unser Infrastruktur-Auftragsverarbeiter, bei Kundendaten als Unterauftragsverarbeiter. Kerndaten liegen in der gewählten EU-Projektregion; Support, Servicemetadaten und Unterauftragnehmer können andere Länder betreffen.

Vercel

Vercel Inc., USA: Hosting, Anwendungsausführung und Inhaltsauslieferung. Verarbeitet Anfrage- und Verbindungsdaten sowie Anwendungsdaten bei Übertragung und Ausführung als Auftragsverarbeiter, für Kundenkampagnen als Unterauftragsverarbeiter. Die Anwendung läuft in Frankfurt. Weltweite Edge-Auslieferung, Support und Servicebetrieb sind nicht auf diese Region beschränkt.

Meta Platforms (Instagram)

Meta Platforms Ireland Limited, Irland: Kontoverbindung, Instagram-APIs, Webhooks und Nachrichtenzustellung. Erhält Kennungen verbundener Konten und Empfänger, Kommentare, Nachrichteninhalte und Zustelldaten. Meta betreibt seine Plattform nach eigenen Bedingungen und Datenschutzhinweisen mit internationaler Verarbeitung einschließlich der USA. Diese Plattformbeziehung ist von Meta-Pixel-Werbung getrennt.

Stripe

Stripe Payments Europe, Limited, Irland: Checkout, Zahlungen, Abonnements und Rechnungen. Erhält Rechnungs- und Kontaktdaten, Zahlungsinformationen, Abonnementdaten und notwendige Transaktionsdaten. Wir erhalten Abonnementstatus, Anbieterkennungen und Abrechnungsereignisse, keine vollständigen Kartennummern. Für regulierte Zahlungs- und Betrugspräventionszwecke handelt Stripe eigenverantwortlich, für vertraglich entsprechend eingeordnete Dienste als Auftragsverarbeiter. Internationale Konzernverarbeitung kann die USA einschließen.

Resend

Resend, Inc., USA: Auftragsverarbeiter für Authentifizierungs-, Transaktions-, Newsletter- und Wartelisten-E-Mails. Erhält Empfängeradressen, Nachrichteninhalte und Zustellmetadaten, einschließlich Mitteilungen zu Beginn und Ende der Testphase sowie zur Zahlungsfrist. Diese Integration versendet keine Kampagnen-E-Mails an Leads. Verarbeitung und Infrastruktur können außerhalb des EWR liegen.

Cloudflare

Cloudflare, Inc., USA: notwendiger Schutz der Anmeldung vor Bots. Erhält Netzwerk- und Browserdaten, Challenge-Interaktionen und Prüftokens. Für die Challenge-Bereitstellung handelt Cloudflare als Auftragsverarbeiter, für die in den Turnstile-Datenschutzhinweisen genannten eigenen Zwecke einschließlich Verbesserung der Bot-Erkennung als Verantwortlicher. Globale Verarbeitung ist möglich; Kundenkampagneninhalte werden nicht übermittelt. Cloudflare stellt außerdem das autoritative DNS unserer Domain bereit. Im DNS-only-Betrieb erhält der DNS-Dienst DNS-Anfrage- und Resolvermetadaten; Website-HTTP-Verkehr wird durch Vercel bedient und nicht durch Cloudflare geleitet.

Sentry

Functional Software, Inc. (Sentry), USA: Auftragsverarbeiter für begrenzte Fehler- und Leistungsdiagnose mit bereinigten Fehlertypen, Stackpositionen, Zeit-, Release- und Umgebungsangaben sowie Netzwerkmetadaten. Filter schließen Kontodaten, Nachrichten- und Kampagneninhalte, Anfrageinhalte und beliebige Breadcrumbs aus. Sentry-Replay ist deaktiviert. Die Diagnose dient unserer Plattformsicherheit und Zuverlässigkeit, nicht der Kundenkampagnenanalyse oder Werbung; internationale Verarbeitung ist möglich.

Better Stack

Better Stack, Inc., USA: Überwachung von Verfügbarkeit und abgeschlossenen Hintergrundaufgaben. Erhält Statuswerte, leere Abschlussmeldungen und Verbindungsmetadaten statt Kundenkampagneninhalten oder Kontodatensätzen. Auftragsverarbeiter für unsere Überwachungsdaten; internationale Infrastruktur- und Supportverarbeitung ist möglich.

Google Tag Manager and Google Analytics 4

Google Ireland Limited, Irland: Mit Analyse-Einwilligung liefert GTM GA4-Tags für Website-Messung und zugelassene Registrierungs- und Testphasensignale aus. Google erhält pseudonyme Browserkennungen, bereinigte Websitekategorien, Ereignis- und Gerätedaten sowie Netzwerkmetadaten. Für Analysedaten gelten die einschlägigen Auftragsverarbeitungsbedingungen; Konzernverarbeitung kann die USA einschließen. Wir verwenden Basic Consent Mode: Vor passender Einwilligung werden keine Google-Tags oder Mess-Pings übertragen.

Google Ads

Google Ireland Limited, Irland: Mit Werbeeinwilligung Messung und Zuordnung von Werbung auf der öffentlichen Website sowie erfolgreicher Registrierung und tatsächlich gestarteter Testphase. Erhält pseudonyme Browser- und Werbekennungen, zugelassene Conversion-Ereignisse und Netzwerkmetadaten, gegebenenfalls mit Verarbeitung in den USA. Die jeweiligen Werbebedingungen regeln Googles Rolle als Auftragsverarbeiter oder Verantwortlicher. Wir senden keine erweiterten Conversions, Kunden-E-Mail-Adressen, Workspacekennungen oder Kampagnen- und Leadinhalte.

Meta Pixel

Meta Platforms Ireland Limited, Irland: Mit Werbeeinwilligung Messung und Zuordnung öffentlicher Websiteereignisse sowie Registrierungs- und Testphasen-Conversions. Erhält Browserkennungen, zugelassene Ereignisse, allgemeine Geräte- und Netzwerkdaten; internationale Verarbeitung einschließlich der USA ist möglich. Für Erhebung und Übermittlung durch das Pixel sind Meta und wir nach Metas Controller Addendum gemeinsam verantwortlich; für die anschließende Verarbeitung ist Meta verantwortlich. Wir stellen die Einwilligungsauswahl bereit; Meta informiert über seine Verarbeitung. Rechte können gegenüber beiden Verantwortlichen geltend gemacht werden. Erweitertes Matching und serverseitige Conversions API werden nicht genutzt.

PostHog

PostHog, Inc., USA: Auftragsverarbeiter für optionale Produktanalyse und maskierte Sitzungsaufzeichnungen in PostHog EU Cloud. Erhält eine gesonderte pseudonyme Browserkennung, ausdrücklich zugelassene Interaktionsereignisse, bereinigte Seitenkategorien sowie Geräte- und Netzwerkmetadaten. Kein allgemeines Autocapture und keine Kundenkampagnen- oder Leadinhalte. Die begrenzten Aufzeichnungen sind unten beschrieben. EU-Hosting schließt internationalen Support- oder Unterauftragnehmerzugriff nicht aus.

Die Datenschutzhinweise der Anbieter sind bei den Einträgen verlinkt. Unsere Unterauftragsverarbeiter für Kundendaten und deren Verarbeitungsumfang stehen gesondert unter /subprocessors. Gesetzliche Pflichten können eine Weitergabe an Behörden erfordern; berufliche Berater erhalten im erforderlichen Umfang Informationen unter Verschwiegenheitspflichten.

Notwendige Speicherung und Zugriffe dienen Anmeldesitzungen, Sicherheit, Sprach- und Designauswahl sowie dem Nachweis deiner Datenschutzauswahl. Es gilt die einschlägige Ausnahme nach § 25 Abs. 2 TDDDG; personenbezogene Verarbeitung richtet sich nach den oben genannten Grundlagen. Optionale Cookies sowie entsprechende Local- und Session-Storage-Zugriffe werden über dieselben Datenschutzeinstellungen gesteuert. Sie sind standardmäßig ausgeschaltet; Ablehnen ist ebenso erreichbar wie Zustimmen.

Analyse aktiviert zugelassene eigene Produktereignisse, GA4-Website-Messung und PostHog-Produktanalyse einschließlich einer 10%-Stichprobe geeigneter Sitzungen für Aufzeichnungen. Texte, Eingaben und Bilder werden vor der Übertragung im Browser maskiert. Anmeldung, Kampagnenbearbeitung, Leads, Assets und Teamdetails sind ausgeschlossen. Netzwerk-Inhalte, Konsolenausgaben und sensible URL-Parameter werden nicht aufgezeichnet. Aufzeichnungen sind für die Produktnutzung nicht erforderlich.

Werbung aktiviert Google Ads und Meta Pixel auf der öffentlichen Website sowie für erfolgreiche Registrierungs- und Testphasensignale. Kampagnen- oder Leadinhalte, E-Mail-Adressen, Workspacenamen und interne Konto- oder Workspacekennungen werden nicht an Werbetools übermittelt. Google-Tags werden durch GTM nur mit der für ihren Zweck erforderlichen Einwilligung ausgeliefert. Verhalten vor der Einwilligung wird nicht nachträglich übertragen.

Über Datenschutzeinstellungen im Footer oder Kontomenü kannst du deine Einwilligung jederzeit ändern oder widerrufen. Der Widerruf stoppt künftige optionale Erfassung und entfernt kontrollierbare Anbieterkennungen; er macht frühere Verarbeitung nicht rückwirkend rechtswidrig und löscht nicht automatisch bereits beim Anbieter vorhandene Daten. Für eine Löschung kannst du uns kontaktieren. Wir speichern die versionierte Auswahl bis zu 180 Tage und fragen nach Ablauf oder wesentlichen Zweck- oder Anbieteränderungen erneut. Deine Newsletterentscheidung bleibt davon getrennt.

• Account- und Workspace-Daten speichern wir, solange Account oder Workspace aktiv sind. Nach Ende eines bezahlten Abonnements halten wir die Workspace-Daten 30 Tage vor, damit sie exportiert oder das Abo fortgesetzt werden kann, und löschen sie danach automatisch.
• Kampagnen-, Nachrichten- und Lead-Daten bleiben erhalten, solange der Workspace besteht, auch nach dem Löschen einer Kampagne. Leads bleiben auch beim endgültigen Entfernen eines Instagram-Kontos erhalten; dessen Kampagnen sowie Kommentar- und Nachrichtenverlauf werden dabei gelöscht. Kommentator-Kennungen, Usernames und Kommentartext gibt es nur für Kommentare, die zu einer Kampagne passten.
• Meta-Webhook-Diagnosen werden je verbundenem Konto minimiert und enthalten keine Kommentar- oder Nachrichteninhalte, Nutzernamen, Absender- oder Empfängerkennungen oder E-Mail-Adressen. Nicht lesbare oder keinem verbundenen Konto zuordenbare Lieferungen werden nicht gespeichert. Irrelevante Kommentardiagnosen werden normalerweise direkt nach der Verarbeitung gelöscht. Andere Diagnosen werden nach 90 Tagen zur Löschung fällig und bereits früher mit dem verbundenen Konto, Workspace oder Nutzerkonto oder durch Metas App-Datenlöschung entfernt. Stripe-Abrechnungs-Webhooks sind eine gesonderte Ausnahme: Sie bleiben für Finanzabgleich und Missbrauchsprävention bis zu 90 Tage erhalten, auch nach Workspace- oder Kontolöschung. Eine tägliche Bereinigung entfernt abgelaufene Datensätze; verspätete oder unvollständige Durchläufe können die tatsächliche Löschung verzögern.
• Support- und Rechtskorrespondenz speichern wir, solange dies zur Bearbeitung und Dokumentation erforderlich ist.
• Rechnungen, Buchungsbelege und andere Unterlagen mit handels- oder steuerrechtlichen Aufbewahrungspflichten speichern wir für die gesetzlich vorgeschriebene Dauer von bis zu zehn Jahren. In dieser Zeit ist die Verarbeitung auf diesen Zweck beschränkt.

Metas App-Datenlöschung entfernt die zugehörigen Instagram-Kampagnen-, Nachrichten-, Lead- und minimalen Webhook-Daten. Das Löschen eines Workspaces oder Nutzerkontos entfernt die betreffenden Kundendaten. Gesetzliche oder finanzielle Aufzeichnungen sind ausgenommen, darunter Stripe-Rechnungen und bis zu 90 Tage aufbewahrte Abrechnungs-Webhooks. Auch die nachfolgend beschriebenen gesonderten Ausnahmen für pseudonyme Sicherheitsnachweise, Testphasenprüfungen und Sicherungskopien gelten weiterhin.

Operative Protokolle

Gewöhnliche Betriebsprotokolle: 30 Tage. Sicherheitsnachweise werden getrennt für 365 Tage gespeichert. Fehler bei der Bereinigung können die physische Löschung verzögern.

Produktanalyse

Eigene Rohereignisse: 12 Monate, umgesetzt als 365 Tage. Die Aufbewahrung von PostHog- und Google-Analysedaten richtet sich nach dem vertraglichen Dienst und dem eingestellten Analysezeitraum; ein Analysezeitraum ist keine Zusage physischer Löschung. Löschanfragen bearbeiten wir mit dem jeweiligen Anbieter. PostHog-Aufzeichnungen werden bis zu 30 Tage aufbewahrt.

Verlauf von Hintergrundaufgaben

Abgeschlossene Hintergrundaufgaben werden nach 90 Tagen gelöscht. Datensätze, auf die eine Fortsetzung noch verweist, bleiben erhalten, bis der abhängige Datensatz bereinigt werden kann.

Details zu Assetaufrufen

Browserkennung und Referrer werden nach 90 Tagen entfernt. Der Aufrufdatensatz mit Zeitpunkt und Kampagnenbezug bleibt für die Aufrufzählung erhalten, solange das Asset oder der Workspace besteht; der Kampagnenbezug entfällt, wenn die Kampagne selbst endgültig gelöscht wird. Eine Empfängerkennung wird nicht gespeichert.

Assetdateien

Dateien gelöschter Assets und frühere Dateiversionen, die durch einen neuen Upload ersetzt wurden, entfernt eine tägliche automatische Bereinigung aus dem Live-Speicher: eine ersetzte Version beim ersten Durchlauf mindestens 24 Stunden nach dem Ersetzen, die Datei eines gelöschten Assets beim ersten Durchlauf nach dem Löschen, sobald die Datei mindestens 24 Stunden alt ist. Jeder Durchlauf bearbeitet eine begrenzte Menge; ein Rückstand oder ein fehlgeschlagener Durchlauf kann die Entfernung verzögern. Kopien bleiben bis zur Rotation in Sicherungen erhalten, wie unter Sicherungskopien beschrieben. Das Löschen eines Workspaces entfernt dessen Dateien sofort.

Testphasenregister

Prüfwerte zum Verbrauch einer Testphase werden für 365 Tage ab Verbrauch gespeichert, auch nach Löschung des Accounts oder Workspaces. Abgelaufene Einträge schränken die Berechtigung für eine Testphase sofort nicht mehr ein und werden durch eine tägliche Bereinigung entfernt. Anfragen zur Freigabe dieser Datensätze richten Sie an legal@kurostudio.io.

Sicherungskopien

Die Datenbanksicherungen rotieren normalerweise über 14 Tage. Dateiarchive und Anbietersicherungen folgen eigenen Rotationszyklen. Gelöschte Live-Daten können bis zur Rotation in geschützten Sicherungen verbleiben und werden nicht im gewöhnlichen Betrieb genutzt. Nach Wiederherstellung müssen spätere Löschungen vor Rückkehr zum regulären Betrieb erneut umgesetzt werden.

Versandnachweise für Servicemails

Nachweise zu Servicehinweisen für Testphasen und Zahlungsfristen werden 90 Tage nach der Versandvormerkung zur Löschung fällig. Die Hintergrundaufgabe für Servicemails entfernt abgelaufene Datensätze bei ihrer Ausführung; ausgelassene oder fehlgeschlagene Durchläufe können die tatsächliche Löschung verzögern. Bei Löschung des zugehörigen Accounts oder Workspaces werden diese Nachweise bereits früher entfernt.

Sicherheitsprotokoll

Sicherheits- und Administrationsnachweise: 365 Tage nach dem Ereignis. Identifizierende Verweise werden bei Kontolöschung soweit möglich entfernt; erforderliche pseudonyme Nachweise können für diese Frist verbleiben.

Warteschlange für den Nachrichtenversand

Empfängerkennungen und Nachrichteninhalte werden nach Abschluss eines vorgemerkten Sendeversuchs entfernt. Abgeschlossene Versanddatensätze werden nach 30 Tagen zur Löschung fällig und durch die Hintergrundaufgabe für Sendeversuche entfernt. Datensätze mit noch ausstehenden Zustellfolgen bleiben einschließlich der dafür erforderlichen Daten erhalten, bis diese abgeschlossen sind. Bei Löschung des verbundenen Accounts oder Workspaces werden die Datensätze entfernt.

Newsletter und Warteliste

Unbestätigte Anmeldungen werden 30 Tage nach der Anmeldung oder dem letzten erneuten Versand der Bestätigung zur Löschung fällig, maßgeblich ist der spätere Zeitpunkt. Bei bestätigten Anmeldungen bleiben Bestätigungszeitpunkt und Einwilligungsversion als Einwilligungsnachweis erhalten; Browserkennung und Referrer werden 30 Tage nach der Bestätigung entfernt. Bei der Abmeldung behalten wir sofort nur E-Mail-Adresse, Liste, Abmeldestatus und Abmeldezeitpunkt als Sperreintrag, entwerten das Link-Token und entfernen die übrigen Anmeldedetails. Der Sperreintrag bleibt erhalten, um die Abmeldung zu beachten. Die tägliche Bereinigung wendet dieselben Regeln auf bestehende Anmeldungen an; verspätete oder unvollständige Durchläufe können die tatsächliche Bereinigung verzögern.

Eine längere Aufbewahrung ist auf einschlägige gesetzliche Pflichten, offene Rechtsansprüche oder einen vereinbarten Wechsel- und Rückgabeprozess begrenzt. Werbekennungen und Anbieteraufzeichnungen richten sich nach der dokumentierten Lebensdauer des jeweiligen Anbieters sowie deiner Auswahl oder Löschanfrage. Das Löschen des Browserspeichers löscht nicht automatisch Anbieterdatensätze.

Wir nutzen TLS-Verschlüsselung, rollenbasierten Workspace-Zugriff, Supabase Row Level Security, verschlüsselte Speicherung sensibler Meta Tokens, Zugriff nach dem Least-Privilege-Prinzip und operative Protokollierung. Keine Sicherheitsmaßnahme ist perfekt, aber Sicherheit und Workspace-Isolation sind zentrale Anforderungen des Produkts.

Unter den jeweiligen Voraussetzungen hast du Rechte auf Auskunft und Kopie, Berichtigung, Löschung, Einschränkung und Übertragbarkeit deiner personenbezogenen Daten. Einwilligungen kannst du jederzeit für die Zukunft widerrufen. Bei berechtigten Interessen kannst du aus Gründen deiner besonderen Situation widersprechen; Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

Kontakt: legal@kurostudio.io. Wir prüfen die Identität verhältnismäßig, möglichst über ein bestehendes Konto oder eine Interaktion, ohne regelmäßig Ausweiskopien anzufordern. Nach der DSGVO antworten wir innerhalb eines Monats; bei gesetzlich zulässiger Verlängerung komplexer Anfragen informieren wir mit Begründung über bis zu zwei weitere Monate. Anfragen zu Kundenkampagnen leiten wir an den zuständigen Verantwortlichen weiter und unterstützen ihn. Erforderliche autorisierte Löschanfragen geben wir an Anbieter einschließlich PostHog, Google oder Meta weiter.

Du kannst dich bei der Aufsicht an deinem Wohnort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes beschweren. Für uns örtlich zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA): https://www.lda.bayern.de. Wir nutzen deine Daten nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO. Erforderliche Konto- und Vertragsangaben werden zur Bereitstellung des Dienstes benötigt; optionale Analyse und Werbung nicht.

Auch Anbieter mit Sitz in der EU können internationale Infrastruktur, Konzernunternehmen oder Support nutzen. EU-Hosting schließt eine Übermittlung nicht aus. Soweit die DSGVO Übermittlungsgarantien verlangt, nutzen wir einen für den Empfänger einschlägigen Angemessenheitsbeschluss oder vertragliche Garantien, regelmäßig die Standardvertragsklauseln der EU-Kommission mit erforderlichen ergänzenden Maßnahmen. Das EU-US Data Privacy Framework gilt nur für Empfänger und Verarbeitungen, die von einer aktuellen Zertifizierung erfasst sind. Informationen zur einschlägigen Garantie und eine gegebenenfalls zum Schutz vertraulicher Angaben geschwärzte Kopie erhältst du über legal@kurostudio.io.

Soweit britisches oder schweizerisches Datenschutzrecht auf eine Übermittlung anwendbar ist, gelten die entsprechenden Angemessenheitsregeln und vertraglichen Anpassungen einschließlich des UK Addendum, soweit erforderlich. Zwingende regionale Rechte bleiben bestehen. Das internationale Angebot sagt nicht zu, dass sämtliche lokalen Branchen-, Werbe- oder Datenresidenzanforderungen erfüllt sind.

Die aktuelle Fassung zeigt Version und Datumsangaben. Über wesentliche Verarbeitungsänderungen informieren wir über geeignete Kanäle und holen eine neue optionale Einwilligung ein, soweit erforderlich. Die Datenschutzerklärung informiert; sie ist keine Vertragsannahme. Änderungen von Unterauftragsverarbeitern folgen dem gesonderten Mitteilungs- und Widerspruchsverfahren im AVV.