Gegenstand und Dauer
Der Anbieter, die HeereHaase Partners FZCO (Dubai, Vereinigte Arabische Emirate), verarbeitet personenbezogene Daten im Auftrag der Agentur (Verantwortlicher) für die Dauer des Hauptvertrags über CreatorOffice, einschließlich der Nur-Lesen-Phase und der angekündigten Löschung.
Art und Zweck der Verarbeitung
Speichern, Anzeigen, Übermitteln und Löschen von Daten zur Verwaltung von Creatorn, Marken, Kooperationen, Verträgen (einschließlich elektronischer Unterschrift), Rechnungen, Zahlungen, Auszahlungen, Nachrichten und Terminen.
Betroffene und Datenarten
Creator (Stammdaten, Kontakt, Steuer- und Bankdaten, Verträge, Rechnungen, optional Instagram-Kennzahlen), Mitarbeitende der Agentur, Ansprechpersonen der Marken, Unterzeichner (Name, E-Mail, Zeitpunkt, IP-Adresse, Gerät).
Weisungen
Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Agentur; die Nutzung des Produkts gilt als Weisung. Weisungsberechtigt sind die Chef-Manager der Agentur. Weisungen außerhalb des Produkts erteilt die Agentur in Textform.
Technische und organisatorische Maßnahmen
Die Maßnahmen beschreibt die Seite Sicherheit: Trennung der Agenturen auf Datenbankebene (Zeilenrechte), verschlüsselte Übertragung, Rechte je Rolle und Person, Protokolle der Änderungen, Sicherungen. Diese Beschreibung ist Anlage zu diesem Vertrag. Der Anbieter passt die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.
Unterauftragsverarbeiter
Die Agentur stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Supabase Inc., USA (Datenbank und Dateispeicher, Speicherort Frankfurt am Main), Cloudflare, Inc., USA (Auslieferung und Schutz der Anwendung sowie Speicher für Videos, Bilder und PDF der Content-Ablage, Speicherort EU), Resend, USA (E-Mail-Versand), Stripe Payments Europe, Limited, Irland (Zahlung der Tarife) und, nur mit Einwilligung des jeweiligen Creators, Meta Platforms Ireland Limited, Irland (Instagram-Auswertung). Übermittlungen in Drittländer erfolgen auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, etwa des EU-US Data Privacy Framework, oder der Standardvertragsklauseln der EU-Kommission. Da der Anbieter seinen Sitz außerhalb der EU hat, gelten zwischen Agentur und Anbieter ergänzend die Standardvertragsklauseln (Modul 2). Neue Unterauftragsverarbeiter kündigt der Anbieter mindestens 30 Tage vorher an; die Agentur kann aus wichtigem Grund widersprechen.
Rechte der Betroffenen, Meldepflichten, Kontrollen
Der Anbieter unterstützt die Agentur bei Anfragen Betroffener, meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich und ermöglicht Kontrollen. Verletzungen meldet der Anbieter unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Anfragen Betroffener, die beim Anbieter eingehen, leitet er unverzüglich an die Agentur weiter. Kontrollen erfolgen vorrangig durch aktuelle Nachweise; Kontrollen vor Ort sind nach rechtzeitiger Ankündigung möglich.
Rückgabe und Löschung
Nach Vertragsende stellt der Anbieter während der Nur-Lesen-Phase (mindestens 90 Tage) den Vollexport bereit. Danach löscht er alle Daten außer den Belegen, die die Agentur aufbewahren muss (Rechnungen, Gutschriften, Stornos, Zahlungs- und Buchungsdaten, unterschriebene Verträge). Diese verarbeitet er auf Weisung der Agentur nur noch zur Aufbewahrung und zum Lesen durch die Agentur, bis die Frist ihres Sitzlandes abgelaufen ist (Standard: Deutschland 10 Jahre für Rechnungen und Buchungsbelege, 6 Jahre für übrige Geschäftsbriefe; Österreich 7 Jahre; Schweiz 10 Jahre), und löscht sie dann. Jeder Schritt wird 30 Tage vorher angekündigt. Wünscht die Agentur die vorzeitige Löschung, löscht der Anbieter alles nach Ablauf der Ankündigungsfrist.
Fassung vom 25.09.2026 · Zum Sichern als PDF: Seite drucken und „Als PDF sichern“ wählen.