Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie FrostChanger („wir“, „uns“ oder „Elevion“) personenbezogene Daten erhebt, nutzt, weitergibt und schützt, wenn du unsere Website unter elevion.cc und unsere Anwendung unter elevion.cc/app nutzt (zusammen der „Dienst“).

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO: Pelle Krukow, handelnd unter FrostChanger, Ballindamm 3, 20095 Hamburg, Deutschland. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind. Kontakt: privacy@elevion.cc.

Diese Erklärung gilt für die Daten unserer Kundinnen und Kunden, ihrer Teammitglieder und der Besucher unserer Website. Für diese Daten sind wir verantwortlich. Wenn unsere Kunden mit Elevion den Menschen antworten, die ihren Instagram-Account kommentieren oder anschreiben, verarbeiten wir deren Daten im Auftrag unserer Kunden. Wie das funktioniert, steht in Abschnitt 4.

1. Welche Daten wir erheben

1.1 Daten, die du uns selbst gibst

• Kontodaten: Name, E-Mail-Adresse, Passwort (als gesalzener Argon2id-Hash gespeichert, nie im Klartext) und ein Profilbild, wenn du eins hochlädst.
• Rechnungsdaten: Name, Rechnungsadresse, USt-IdNr. (optional) und Zahlungsdaten. Kartennummern und Bankdaten erhebt und speichert unser Zahlungsdienstleister Stripe. Vollständige Kartennummern sehen und speichern wir nie.
• Inhalte, die du erstellst: Kampagnennamen, Keywords, Nachrichtenvorlagen, Sprachaufnahmen, Zeitpläne, Notizen und alle Angaben, die du beim Einrichten des Dienstes machst.
• Team: Wenn du jemanden in deinen Workspace einlädst, speichern wir die E-Mail-Adresse, die Rolle und die Einladung.
• Kommunikation: E-Mails, die du uns für Support, Feedback oder rechtliche Anfragen schickst.
• Newsletter: Wenn du unseren Newsletter abonnierst, deine E-Mail-Adresse, wo du dich angemeldet hast und wann du die Anmeldung bestätigt hast.

1.2 Daten, die wir von Meta (Instagram) erhalten

Wenn du deinen Instagram-Account verbindest, erlaubst du uns per OAuth, Daten über die Instagram-API von Meta abzurufen. Wir fragen nur die Berechtigungen an, die der Dienst braucht:

• instagram_business_basic: deine Instagram-Nutzer-ID, dein Nutzername, die Adresse deines Profilbilds, Follower- und Beitragszahl sowie die Kontoart (Business oder Creator). Damit erkennen wir deinen Account und zeigen dein Profil im Dienst an.
• instagram_business_manage_comments: Wir lesen Kommentare unter deinen Beiträgen (mit Nutzername und Text der kommentierenden Person), um deine Keywords zu erkennen, und antworten in deinem Namen, wenn ein Keyword passt. Nötig für die Keyword-DM-Automatisierung.
• instagram_business_manage_messages: Wir schicken von deinem Instagram-Account private Direktnachrichten an Menschen, die unter deinen Beiträgen kommentiert haben (passend zu deinen Keywords), und empfangen die DMs, die sie dir zurückschicken, damit du die Antworten verfolgen kannst.
• instagram_business_manage_insights: Wir lesen zusammengefasste Statistiken zu deinem Account und deinen Beiträgen (Reichweite, Aufrufe, Interaktionen, Follower im Verlauf) für das Analyse-Dashboard.
• instagram_business_content_publish: Wir veröffentlichen die Fotos, Videos, Karussells und Storys, die du im Dienst erstellst und planst, zu dem Zeitpunkt, den du wählst. Inhalte, die du nicht selbst erstellt oder geplant hast, veröffentlichen wir nie.

Außerdem speichern wir ein Zugriffstoken von Meta, damit wir diese Aktionen für dich ausführen können. Das Token wird verschlüsselt (AES-256-GCM) gespeichert und gelöscht, wenn du den Instagram-Account in Elevion entfernst oder dein Elevion-Konto löschst.

1.3 Automatisch erhobene Daten

• Gerät und Sitzung: IP-Adresse und User-Agent jeder Anmeldesitzung, damit du deine Sitzungen in den Einstellungen sehen und beenden kannst.
• Sicherheitsprotokoll: wichtige Aktionen in deinem Konto (zum Beispiel Passwortänderungen, das Verbinden oder Entfernen eines Instagram-Accounts, das Erstellen von API-Schlüsseln, Team-Einladungen und Löschanfragen) mit Zeitpunkt und IP-Adresse.
• Nutzung: aufgerufene Seiten, genutzte Funktionen, Fehlerprotokolle, Zeitstempel.
• Besuchszählung ohne Cookies: Unsere eigene Statistik zählt Seitenaufrufe mit einer täglich wechselnden pseudonymen ID, ohne Cookies (siehe unsere Cookie-Richtlinie).
• Produktanalyse und Werbemessung: siehe Abschnitt 3.
• Cookies: Die vollständige Liste steht in unserer Cookie-Richtlinie.

2. Wofür wir deine Daten nutzen

• Um den Dienst zu erbringen (Anmeldung, Zahlungen, Automatisierung, Statistiken) (Art. 6 Abs. 1 lit. b DSGVO).
• Um Keywords in Instagram-Kommentaren zu erkennen und in deinem Namen DMs und Kommentar-Antworten zu senden, so wie du deine Kampagnen eingerichtet hast.
• Um deine Supportanfragen zu beantworten und dich über dein Konto zu informieren (Abrechnung, Sicherheitshinweise, Änderungen am Dienst, die Erinnerung vor dem Ende deiner Testphase).
• Um dir Tipps für den Start und gelegentlich Angebote rund um Elevion per E-Mail zu schicken. Du kannst das im Dashboard unter Settings, Account oder über den Link in jeder dieser E-Mails abschalten (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG).
• Um dir unseren Newsletter zu schicken, nur wenn du ihn abonniert und deine Adresse über den Link in unserer E-Mail bestätigt hast (Double-Opt-in, Art. 6 Abs. 1 lit. a DSGVO). Jeder Newsletter enthält einen Abmeldelink.
• Um den Dienst zu verbessern (Fehlersuche, Leistungsüberwachung, Produktanalyse).
• Um Betrug, Missbrauch und Verstöße gegen unsere AGB oder die Plattformrichtlinien von Meta zu verhindern.
• Um gesetzliche Pflichten zu erfüllen (steuerliche Aufzeichnungen, behördliche Anfragen, Durchsetzung von Rechten).

Wir verkaufen deine personenbezogenen Daten nicht und nutzen deine Instagram-Daten und Inhalte nicht, um KI-Modelle zu trainieren.

3. Analyse und Werbung

3.1 Produktanalyse durch unseren Server

Wenn du dein Konto nutzt, hält unser Server einige Meilensteine fest: dass du dich registriert hast (per Passwort oder über einen Bezahlvorgang, dazu die Kampagnen-Parameter des Links, über den du kamst), einen Instagram-Account verbunden hast (nur ob Business- oder Creator-Account), eine Kampagne erstellt oder veröffentlicht hast, die erste DM deines Workspaces rausging, du eine Testphase oder einen bezahlten Tarif begonnen (Tarif und Abrechnungszeitraum) oder gekündigt hast. Diese Ereignisse sind mit deiner internen Elevion-Konto-ID verknüpft und gehen an PostHog Cloud EU, das sie in Frankfurt speichert. PostHog, Inc. verarbeitet sie in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Auf deinem Gerät wird dafür nichts gespeichert oder ausgelesen.

Daten, die wir von Instagram erhalten, schicken wir nie an PostHog: keine Instagram-Nutzernamen oder IDs, keine Follower, Kommentierenden oder DM-Empfänger, keine Nachrichten und keine Profilangaben. Unser Code prüft jedes Ereignis darauf, bevor es unseren Server verlässt. Rechtsgrundlage ist unser berechtigtes Interesse daran zu verstehen, wie Elevion genutzt wird, und es zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen, indem du im Dashboard unter Settings, Account, Privacy die Product analytics abschaltest oder uns schreibst. Danach werden für dein Konto keine Ereignisse mehr gesendet.

3.2 Cookie-Banner

Statistik in deinem Browser und unsere Werbe-Pixel laufen nur, wenn du sie in unserem Cookie-Banner erlaubst (§ 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO). „Alle akzeptieren“ und „Alle ablehnen“ sind gleich einfach, und du kannst jede Kategorie einzeln erlauben. Als Nachweis deiner Wahl speichern wir den Zeitpunkt, deine Antwort pro Kategorie, die Version des Banners und einen mit geheimem Schlüssel gebildeten Hash deiner IP-Adresse, nie die IP-Adresse selbst. Wenn du angemeldet bist oder dich später im selben Browser anmeldest, wird der Eintrag mit deinem Konto verknüpft. Wir bewahren diesen Nachweis drei Jahre auf. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über Cookie-Einstellungen unten auf jeder Seite oder im Dashboard unter Settings, Account, Privacy. Die Cookies sind in unserer Cookie-Richtlinie aufgeführt.

3.3 Statistik (PostHog)

Mit deiner Einwilligung erfasst das Skript von PostHog, wie unsere Seiten und Funktionen genutzt werden (Seiten, Klicks auf öffentlichen Seiten, verweisende Website, Kampagnen-Parameter, Browser, Gerätetyp und ungefährer Standort, abgeleitet aus deiner IP-Adresse). Skript und Anfragen laufen über unsere eigene Domain zu PostHog Cloud EU in Frankfurt, mit PostHog, Inc. als unserem Auftragsverarbeiter. Im Dashboard werden Klicks und Seitentitel nicht erfasst und keine Instagram-Daten gesendet. Sitzungsaufzeichnungen sind aus. Falls wir sie einschalten, sind Eingaben und alle Texte im Dashboard ausgeblendet, und Posteingang, Lead-Listen und Gewinnspiel-Teilnehmende sind ganz ausgenommen.

3.4 Meta Pixel und TikTok Pixel

Mit deiner Einwilligung für den jeweiligen Anbieter laden unsere öffentlichen Seiten (nie das Dashboard) das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, und das TikTok Pixel der TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland. Sie teilen dem Anbieter mit, dass du unsere Website besucht hast, zusammen mit Angaben zu deinem Browser, deiner IP-Adresse und ihren Cookie-IDs. So können wir unsere Anzeigen messen und sie Menschen zeigen, für die Elevion nützlich sein könnte. Der Anbieter kann das mit deinem Konto bei ihm verknüpfen.

Wenn du dich registrierst, eine Testphase startest oder einen Tarif kaufst, kann unser Server dieses Ereignis außerdem direkt an den Anbieter melden, den du erlaubt hast (Meta Conversions API, TikTok Events API). Das passiert nur, solange deine gespeicherte Einwilligung für diesen Anbieter gilt. Wir senden dann Name und Zeitpunkt des Ereignisses, eine zufällige Ereignis-ID (dieselbe, die das Pixel nutzt, damit das Ereignis nur einmal zählt), bei Käufen Wert und Währung des Tarifs, einen SHA-256-Hash deiner E-Mail-Adresse, den User-Agent deines Browsers, die Seitenadresse ohne Parameter und die Cookie- oder Klick-IDs des Anbieters. Instagram-Daten schicken wir nie für Werbung an Meta oder TikTok. Diese Ereignisse protokollieren wir 90 Tage lang.

Für das Erheben dieser Daten auf unserer Website und ihre Übermittlung sind wir und Meta sowie wir und TikTok gemeinsam verantwortlich (Art. 26 DSGVO). Nach der Vereinbarung über die gemeinsame Verantwortlichkeit (für Meta: facebook.com/legal/controller_addendum) informieren wir dich über die Verarbeitung, und der Anbieter kümmert sich um deine Rechte für die Daten, die er danach als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung verarbeitet (Meta, TikTok). Du kannst dich für deine Rechte an uns oder an den Anbieter wenden. Meta kann Daten an Meta Platforms, Inc. in den USA übermitteln, die nach dem EU-US-Datenschutzrahmen zertifiziert ist. TikTok verarbeitet Daten unter Umständen auch in anderen Ländern, darunter China, für die die EU-Kommission kein angemessenes Datenschutzniveau festgestellt hat. Rechtsgrundlage ist jeweils deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

4. Daten der Menschen, mit denen unsere Kunden schreiben

Wenn jemand einen Instagram-Account, den ein Kunde mit Elevion verbunden hat, kommentiert, auf eine Story antwortet oder ihm eine DM schickt, verarbeiten wir die Daten dieser Person im Auftrag des Kunden. Der Kunde entscheidet, was die Automatisierung tut, und ist Verantwortlicher. Wir sind sein Auftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag (Art. 28 DSGVO), der Teil unserer AGB ist und für jeden Workspace gilt. Wenn es um deine Daten geht, wende dich bitte zuerst an den Creator oder das Unternehmen, mit dem du geschrieben hast. Schreibst du uns, leiten wir deine Anfrage dorthin weiter.

Für unsere Kunden speichert und verarbeitet der Dienst:

• Die Instagram-ID, den Nutzernamen und das Profilbild der Person und, wenn eine Kampagne das prüft, ob sie dem Account des Kunden folgt.
• Kommentare mit einem Keyword, die gesendeten Antworten und DMs und das Gespräch im Posteingang, einschließlich Fotos, Videos und Sprachnachrichten, die die Person schickt.
• Eine Textabschrift der Sprachnachrichten, die die Person schickt, damit der Kunde sie im Posteingang lesen kann.
• Eine E-Mail-Adresse oder Telefonnummer, wenn eine Kampagne danach fragt und die Person sie angibt.
• Notizen und Zuweisungen des Teams, Gewinnspiel-Teilnahmen und wann eine Person einen Link angetippt hat, den wir ihr geschickt haben.

Einwilligungsnachweis für E-Mail-Adressen. Gibt eine Person in einer DM ihre E-Mail-Adresse an, speichert Elevion einen Nachweis mit dem Zeitpunkt, dem genauen Wortlaut der Frage, die sie gesehen hat, und der Kampagne. Damit kann der Kunde zeigen, wozu die Person zugestimmt hat. Ob die Adresse anschließend in ein Newsletter-Tool wie Kit oder Mailchimp übertragen wird, entscheidet und verantwortet der Kunde als Verantwortlicher. Wir bieten in diesen Tools Double-Opt-in an und empfehlen es.

Einzelne Personen exportieren und löschen. In jedem Tarif kann der Kunde alles, was Elevion zu einem Kontakt speichert (Nachrichten, Lead-Angaben, Kommentar-Antworten, Link-Klicks, Notizen), im Dashboard exportieren und löschen. Wer nur STOP, STOPP, unsubscribe, abmelden, baja oder darme de baja schreibt, wird als abgemeldet markiert und bekommt keine automatischen Nachrichten mehr.

Integrationen, die der Kunde verbindet. Verbindet ein Kunde Kit, Mailchimp, Shopify, einen Webhook oder unsere API (zum Beispiel über Zapier), gehen Lead-Daten auf seine Anweisung an diesen Dienst. Diese Dienste wählt der Kunde aus. Sie sind seine eigenen Auftragsverarbeiter oder Empfänger, nicht unsere.

5. Dienstleister und andere Empfänger

Wir geben personenbezogene Daten nur an die folgenden Empfänger weiter. Als Auftragsverarbeiter gekennzeichnete Dienstleister arbeiten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die vollständige Liste der Dienstleister, die Instagram-Daten unserer Kunden verarbeiten, steht in Anlage 2 unseres AVV.

• Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeiter). Unsere Server, die Datenbank, hochgeladene Dateien und Backups liegen in Hetzner-Rechenzentren in Deutschland. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Netzwerk und Sicherheit: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Auftragsverarbeiter). Alle Anfragen an elevion.cc laufen für DNS, Auslieferung und Schutz vor Angriffen über Cloudflare. Cloudflare verarbeitet dabei deine IP-Adresse und den Inhalt der Anfragen. Außerdem leitet Cloudflare E-Mails an unsere @elevion.cc-Adressen weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (eine schnelle und sichere Website). Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
• E-Mail-Versand: Resend (Plus Five Five, Inc.), USA (Auftragsverarbeiter). Verschickt unsere E-Mails: Anmeldecodes, Passwort-Links, Team-Einladungen, Benachrichtigungen, Erinnerungen zur Testphase, Belege und den Newsletter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für den Newsletter Art. 6 Abs. 1 lit. a DSGVO. Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
• Zahlungen: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe erhebt deine Zahlungsdaten, wickelt die Abrechnung deines Abos ab und stellt Belege aus. Stripe handelt teils als unser Auftragsverarbeiter und teils als eigener Verantwortlicher, etwa zur Betrugsvermeidung und für eigene gesetzliche Pflichten, und kann Daten an Stripe, Inc. in den USA übermitteln (EU-US-Datenschutzrahmen, Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• KI-Funktionen: Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA (Auftragsverarbeiter). Nur im Einsatz, wenn ein Workspace eine KI-Funktion nutzt: den KI-DM-Assistenten (das Gespräch und deine Kampagnen-Anweisungen), „Write it for me“ (dein Account-Name, die Caption des Beitrags und das Ziel, das du beschreibst), das automatische Übersetzen von Kampagnen-Nachrichten und das Erkennen der Sprache eines Kommentars (die Nachrichtentexte und ein kurzer Teil des Kommentars) sowie den optionalen KI-Spamfilter für Kommentare (der Kommentar, der Nutzername der kommentierenden Person und dein Account-Name). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Übermittlung: Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic.
• Sprache: ElevenLabs, Inc., USA (Auftragsverarbeiter). Macht aus dem Text von Sprachnachrichten Audio, wenn ein Workspace Sprachnachrichten nutzt, und schreibt Sprachnachrichten, die Menschen an einen verbundenen Instagram-Account schicken, sowie Sprachaufnahmen, die du hochlädst, als Text mit. Stimmen klonen ist derzeit nicht verfügbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
• Produktanalyse: PostHog, Inc., über PostHog Cloud EU in Frankfurt (Auftragsverarbeiter, siehe Abschnitt 3). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, für Statistik im Browser Art. 6 Abs. 1 lit. a DSGVO. Greift PostHog von außerhalb der EU auf Daten zu, gelten Standardvertragsklauseln.
• Fehlerüberwachung: Sentry (Functional Software, Inc.), USA, mit Speicherung in der EU-Region von Sentry in Deutschland (Auftragsverarbeiter). Erhält technische Berichte, wenn etwas schiefgeht. Unser Server entfernt dabei Request-Inhalte, Cookies, URL-Parameter und alle Header außer dem User-Agent, und Fehlerberichte aus deinem Browser enthalten keine Cookies, Header, URL-Parameter oder Nutzerangaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (ein stabiler Dienst). Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
• Meta Platforms Ireland Limited und Meta Platforms, Inc.: Wir senden Anfragen an die Instagram-API von Meta, um die oben beschriebenen Daten abzurufen und in deinem Namen DMs und Kommentar-Antworten zu senden. Meta verarbeitet diese Daten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung.
• Werbepartner, nur mit deiner Einwilligung: Meta Platforms Ireland Limited und TikTok Technology Limited als gemeinsam Verantwortliche für die Daten, die ihre Pixel und unsere Server-Ereignisse erfassen (siehe Abschnitt 3).
• Push-Benachrichtigungen: Wenn du Browser-Benachrichtigungen einschaltest, werden sie über den Push-Dienst deines Browser-Herstellers zugestellt (zum Beispiel Google, Mozilla, Apple oder Microsoft). Der Inhalt ist Ende-zu-Ende verschlüsselt, der Push-Dienst kann ihn nicht lesen.
• Recht und Sicherheit: wenn das Gesetz oder eine behördliche Anordnung es verlangt oder es nötig ist, um die Rechte, das Eigentum oder die Sicherheit von FrostChanger, unseren Nutzern oder anderen zu schützen.
• Unternehmensübertragung: Wenn wir mit einem anderen Unternehmen fusionieren, übernommen werden oder Unternehmensteile verkaufen, können deine Daten im Rahmen dieser Transaktion übertragen werden. Diese Datenschutzerklärung gilt dann weiter.

6. Wie lange wir Daten speichern

• Kontodaten: solange dein Konto besteht. Löschst du dein Konto, stoppen deine Kampagnen sofort, du hast 7 Tage Zeit, es dir anders zu überlegen, und dann löschen wir das Konto mit allem, was darin ist.
• Nie bestätigte Registrierungen: nach 7 Tagen gelöscht.
• Anmeldesitzungen: gelöscht, sobald sie ablaufen. Anmelde- und Bestätigungscodes zwei Tage nach ihrem Ablauf.
• Instagram-Zugriffstoken: gelöscht, wenn du den Instagram-Account in Elevion entfernst oder dein Konto löschst. Entfernst du Elevion in Instagram, funktioniert das Token nicht mehr und wird nicht mehr genutzt.
• Gespräche, Leads und Kampagnen: solange der Kunde sie behält. Kunden können einzelne Kontakte jederzeit löschen, und mit der Instagram-Verbindung oder dem Konto wird alles gelöscht.
• Einwilligungsnachweise für E-Mail-Adressen aus DMs: werden mit dem Kontakt gespeichert und mit ihm gelöscht.
• Fotos, Videos und Sprachnachrichten in Gesprächen: 60 Tage.
• Erzeugtes Audio von Sprachnachrichten: 7 Tage.
• Rohdaten der Benachrichtigungen von Instagram: 14 Tage.
• Zahlungsbenachrichtigungen von Stripe: 45 Tage.
• Gelesene Benachrichtigungen im Dashboard: 60 Tage.
• Betriebsprotokolle (Zustellprotokolle von Kommentar-Antworten und DMs, Protokolle von Aufrufen an Webhooks und Integrationen, Link-Klicks, das Protokoll unserer gesendeten E-Mails, das Sicherheitsprotokoll und unsere Besuchsstatistik ohne Cookies): 12 Monate, dann automatisch gelöscht.
• Nachweis der Cookie-Einwilligung: 3 Jahre, damit wir belegen können, was du gewählt hast.
• Protokoll der an Meta oder TikTok gemeldeten Werbe-Ereignisse: 90 Tage.
• Newsletter: bis du dich abmeldest.
• Rechnungsunterlagen: so lange, wie es das deutsche Handels- und Steuerrecht verlangt (in der Regel 8 bis 10 Jahre).
• Backups: Nächtliche Datenbank-Backups bleiben 30 Tage auf unserem Server. Verschlüsselte externe Kopien bei Hetzner behalten eine tägliche Kopie 14 Tage, eine wöchentliche 8 Wochen und eine monatliche 12 Monate. Gelöschte Daten sind deshalb spätestens nach 12 Monaten auch aus dem letzten Backup verschwunden. Backups nutzen wir nur, um den Dienst wiederherzustellen.

7. Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen, unter anderem HTTPS für jede Verbindung, Argon2id-Hashes für Passwörter, AES-256-GCM-Verschlüsselung für Instagram-Token und andere gespeicherte Zugangsdaten, gehashte API-Schlüssel, Rollen innerhalb von Workspaces, HMAC-signierte Webhooks, Ratenbegrenzung an sensiblen Stellen, gehärtete HTTP-Header und verschlüsselte externe Backups. Die vollständige Liste steht in Anlage 1 unseres AVV. Kein System ist zu 100 % sicher. Nutz bitte ein starkes, einzigartiges Passwort und melde verdächtige Aktivitäten an privacy@elevion.cc.

8. Deine Rechte

8.1 Deine Rechte nach der DSGVO

Nach der DSGVO hast du folgende Rechte in Bezug auf deine personenbezogenen Daten:

• Auskunft über deine Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit: deine Daten in einem maschinenlesbaren Format erhalten (Art. 20 DSGVO). Im Dashboard unter Settings, Account kannst du deine Kontodaten als Datei herunterladen.
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO), gegen Direktwerbung jederzeit.
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI).

Um eines dieser Rechte auszuüben, schreib an privacy@elevion.cc oder nutze unsere Seite zur Datenlöschung. Wir antworten innerhalb eines Monats. Bei komplexen Anfragen kann sich die Frist um zwei weitere Monate verlängern (Art. 12 Abs. 3 DSGVO).

Rechtsgrundlagen: Wir verarbeiten deine Daten (a) um unseren Vertrag mit dir zu erfüllen und vorvertragliche Schritte durchzuführen (Art. 6 Abs. 1 lit. b DSGVO), (b) auf Grundlage deiner Einwilligung, etwa für den Newsletter und nicht notwendige Cookies (Art. 6 Abs. 1 lit. a DSGVO), (c) um gesetzliche Pflichten zu erfüllen, etwa steuerliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO), und (d) auf Grundlage unserer berechtigten Interessen, Betrug und Missbrauch zu verhindern, den Dienst sicher und stabil zu halten und ihn zu verbessern, einschließlich der serverseitigen Produktanalyse aus Abschnitt 3.1 (Art. 6 Abs. 1 lit. f DSGVO). Statistik-Cookies, das Meta Pixel, das TikTok Pixel und die Server-Ereignisse an Meta und TikTok beruhen auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG).

Übermittlungen in Drittländer: Unsere Server stehen in Deutschland. Einige unserer Dienstleister (Cloudflare, Resend, Anthropic, ElevenLabs, Sentry, PostHog, Stripe, Meta) sitzen in den USA oder gehören zu US-Unternehmen. Für diese Übermittlungen stützen wir uns auf den EU-US-Datenschutzrahmen, wenn der Empfänger danach zertifiziert ist, und sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Erlaubst du das TikTok Pixel, kann TikTok Daten auch in China und anderen Ländern außerhalb der EU verarbeiten (siehe Abschnitt 3.4).

8.2 Einwohner Kaliforniens (CCPA / CPRA)

Wenn du in Kalifornien wohnst, hast du zusätzlich das Recht zu erfahren, welche personenbezogenen Daten wir erheben, nutzen und weitergeben, sie löschen und berichtigen zu lassen, die Nutzung sensibler Daten zu beschränken und wegen der Ausübung dieser Rechte nicht benachteiligt zu werden. Wir verkaufen keine personenbezogenen Daten. Du kannst diese Rechte über die oben genannten Kontaktdaten ausüben.

9. Hinweise zu Daten von Meta

Nach den Plattform-Nutzungsbedingungen von Meta und den Richtlinien der Instagram-API weisen wir auf Folgendes hin:

• Wir nutzen Daten von Meta ausschließlich, um dir die Keyword-DM-Automatisierung, die Statistiken und die Verwaltung deines Instagram-Accounts im Dienst bereitzustellen.
• Wir verkaufen, lizenzieren, vermieten oder übertragen Daten von Meta nicht an Datenhändler, Werbetreibende oder andere Dritte für deren eigene Zwecke.
• Wir nutzen Daten von Meta nicht, um Nutzerprofile zu bilden, Diskriminierung zu ermöglichen oder für andere Zwecke, die die Plattform-Nutzungsbedingungen von Meta verbieten.
• Wir löschen alle Daten von Meta zu einem Instagram-Account, wenn du diesen Account im Dienst entfernst, wenn du dein Elevion-Konto löschst oder wenn Meta uns eine Löschanfrage dafür schickt.
• Du kannst Elevion den Zugriff jederzeit entziehen, in Instagram unter Einstellungen → Apps und Websites → Aktiv → Elevion entfernen, oder indem du den Account im Dienst entfernst. Entziehst du den Zugriff nur in Instagram, endet die Verbindung und ihre Kampagnen pausieren. Um auch die Daten zu löschen, entferne den Account in Elevion oder nutze unsere Seite zur Datenlöschung.

10. Kinder

Der Dienst richtet sich nicht an Kinder unter 13 Jahren (im EWR und im Vereinigten Königreich unter 16 Jahren). Wir erheben wissentlich keine Daten von Kindern. Wenn du glaubst, dass ein Kind uns Daten gegeben hat, melde dich bei uns, und wir löschen sie.

11. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung von Zeit zu Zeit an. Über wesentliche Änderungen informieren wir dich mindestens 30 Tage vorher per E-Mail an die Adresse deines Kontos. Das Datum „Zuletzt aktualisiert“ oben zeigt den aktuellen Stand.

12. Kontakt

Pelle Krukow, handelnd unter FrostChanger
z. Hd. Datenschutz
Ballindamm 3
20095 Hamburg
Deutschland
E-Mail: privacy@elevion.cc
Telefon: +49 176 41938054