Als Textdokument herunterladen

Datenschutzerklärung

Gemäß Art. 13, 14 DSGVO | Stand: 12. Oktober 2026 | Version 1.3

Hinweis: Diese Datenschutzerklärung informiert dich umfassend darüber, wie wir personenbezogene Daten im Rahmen der Nutzung der Plattform esc/ctrl (erreichbar unter escctrl.wmit.work und escctrl.de) erheben, verarbeiten und nutzen. Sie gilt für alle Nutzer (Künstler der Artist App, Manager & Teammitglieder des Client Centers), Besucher und Interessenten dieser Plattform und erfüllt die gesetzlichen Anforderungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG).

Inhaltsverzeichnis

1. Verantwortliche Stelle
2. Datenschutzbeauftragter
3. Zuständige Aufsichtsbehörde
4. Grundsätze der Datenverarbeitung
5. Arten der verarbeiteten Daten
6. Zwecke und Rechtsgrundlagen der Datenverarbeitung
7. Registrierung und Nutzerkonto (Firebase Authentication)
8. Onboarding, Künstlerprofil & Client Center (Manager & Teammitglieder)
9. KI-gestützte Funktionen (Gemini 2.5 API / Google AI Studio)
10. Support-Ticket-System, Kundenservice & Fehlerberichte
11. News-Bereich, Produktupdates & Ankündigungen
12. Download-Bereich, Asset-Management & DSGVO-Datenexport (CSV / JSON)
13. Analytics & Social Media Daten (OAuth-Verbindungen)
14. Web-Scraping-Dienst (Apify)
15. Google Drive Integration
16. Lead-Generierung und E-Mail-Verifizierung
17. Newsletter (Mailchimp)
18. Zahlungsabwicklung (PayPal) & Steuerrechtliche Aufbewahrung (§ 147 AO / § 257 HGB)
19. Hosting und Infrastruktur (Google Cloud / Firebase / GoDaddy)
20. Cookies, Webanalyse und lokale Speicherung
21. Kontaktaufnahme
22. Weitergabe von Daten an Dritte
23. Datenübermittlung in Drittländer
24. Speicherdauer, Kontolöschung & gesetzliche Aufbewahrungsfristen
25. Deine Rechte als betroffene Person (inkl. Auskunfts- & Selbstservice-Export)
26. Datensicherheit
27. Änderungen dieser Datenschutzerklärung
28. Beschwerderecht bei der Aufsichtsbehörde

1. Verantwortliche Stelle

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Betreiber / Firma: wemakeITwork
Name: Malte Schröder
Postadresse: CAYA Postbox 890308, 96035 Bamberg, Deutschland
Unternehmenssitz: Planufer 92b, 10967 Berlin, Deutschland
Telefon: +49 30 16 63 95 84
E-Mail: support@wmit.work
Plattform-URL: https://escctrl.wmit.work · https://escctrl.de
Studio-Website: https://nyr.studio

Die Plattform esc/ctrl wird betrieben von wemakeITwork, Inhaber Malte Schröder, einem Einzelunternehmen mit Sitz in Berlin. Bei allen Fragen zum Datenschutz kannst du dich jederzeit direkt per E-Mail oder telefonisch an uns wenden.

2. Datenschutzbeauftragter

Die Benennung eines Datenschutzbeauftragten ist gemäß Art. 37 DSGVO i.V.m. § 38 BDSG für unser Unternehmen derzeit nicht verpflichtend, da wir als Einzelunternehmen in der Regel weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Gleichwohl nehmen wir den Datenschutz sehr ernst und stehen für alle datenschutzbezogenen Anfragen jederzeit zur Verfügung (vgl. Abschnitt 1).

3. Zuständige Aufsichtsbehörde

Zuständige datenschutzrechtliche Aufsichtsbehörde für unser Unternehmen ist:

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit
Postadresse: Friedrichstr. 219, 10969 Berlin
Besuchereingang: Puttkamer Straße 16–18 (5. Etage), Berlin
Telefon: +49 30 138 89 0
E-Mail: mailbox@datenschutz-berlin.de
Website: https://www.datenschutz-berlin.de

4. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten unter strikter Einhaltung der Grundsätze des Art. 5 DSGVO:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten werden nur auf Basis einer gültigen Rechtsgrundlage und in nachvollziehbarer Weise verarbeitet.
• Zweckbindung: Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet.
• Datenminimierung: Es werden nur jene Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind.
• Richtigkeit: Daten werden sachlich richtig und aktuell gehalten; unrichtige Daten werden ohne Verzögerung gelöscht oder berichtigt.
• Speicherbegrenzung: Daten werden nicht länger als für den jeweiligen Zweck notwendig gespeichert.
• Integrität und Vertraulichkeit: Daten werden durch geeignete technische und organisatorische Maßnahmen gegen unbefugten Zugriff, Verlust oder Vernichtung geschützt.
• Rechenschaftspflicht: Als Verantwortlicher sind wir in der Lage, die Einhaltung aller vorgenannten Grundsätze nachzuweisen.

5. Arten der verarbeiteten Daten

Im Rahmen der Nutzung von esc/ctrl werden, je nach genutzter Funktion, folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten: Name, E-Mail-Adresse, Passwort (verschlüsselt), Benutzer-ID, Profilbild-URL
• Künstlerprofildaten (Artist App): Künstlername, Genre, Biografie, Zielgruppe, Release-Daten, Monatshörerziel
• Client Center & Managerdaten: Managername, Agentur-/Labelbezeichnung, verwaltete Künstler-IDs, E-Mail-Adressen eingeladener Teammitglieder, zugewiesene Berechtigungsrollen
• Social-Media- & Streaming-Daten: Profile-URLs und öffentliche Metriken von Spotify, YouTube, Instagram, Facebook, TikTok, Apple Music, Amazon Music, Deezer, SoundCloud
• OAuth-Token: Zugriffstoken für verbundene Drittplattformen (verschlüsselt gespeichert), Refresh-Token
• KI-Interaktionsdaten: Chat-Nachrichten, Anfragen und generierte Antworten im Rahmen der Gemini 2.5 KI-Assistenten
• Planungs- und Projektdaten: Release-Pläne, Roadmaps, Moodboards, Kanban-Aufgaben, Kalendereinträge, Tourpläne
• Support- & Feedbackdaten: Support-Tickets, Problembeschreibungen, Anhang-Dateien, Bearbeitungsstatus
• Download- & Export-Logs: Generierte DSGVO-Datenexporte (CSV/JSON), heruntergeladene Asset-Pakete, Download-Zeitstempel
• Nutzungs- & Newsdaten: IP-Adresse, Browser-/Geräteinformationen, Login-Zeitstempel, Session-Daten, Artikel-Aufrufe im News-Bereich
• Kommunikationsdaten: E-Mails im Rahmen von Lead-Generierung, Verifizierungsprozessen und Support-Anfragen
• Google Drive Export: Titel und Textinhalt eines Dokuments, dessen Export aus esc/ctrl du ausdrücklich auslöst
• Zahlungs- & Rechnungsdaten: Rechnungsadresse, USt-IdNr., Transaktions-ID und Abo-Pakete (Zahlungsdaten werden über PayPal abgewickelt; wir speichern keine Zahlungskartendaten selbst)

6. Zwecke und Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten deine personenbezogenen Daten auf Basis der folgenden Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Verarbeitungen, für die du deine ausdrückliche Zustimmung erteilt hast (z.B. Newsletter-Anmeldung, Verbindung von Drittplattformen, Nutzung opt-in KI-Funktionen)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitungen, die zur Erfüllung des Nutzungsvertrags (Bereitstellung der Plattform für Artist- und Client-Center-Nutzer), zur Registrierung, Support-Bearbeitung und zur Erbringung der gebuchten Dienste erforderlich sind
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Verarbeitungen, zu denen wir aufgrund gesetzlicher Vorgaben verpflichtet sind (insb. steuer- und handelsrechtliche Aufbewahrungspflichten gemäß § 147 AO / § 257 HGB und Auskunftspflichten nach Art. 15, 20 DSGVO)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Verarbeitungen zur Wahrung unserer berechtigten Interessen (z.B. Betrieb und IT-Sicherheit der Plattform, Missbrauchsprävention, Behebung technischer Fehler via Support-System, Bereitstellung des News-Bereichs)

7. Registrierung und Nutzerkonto (Firebase Authentication)

Für die Nutzung von esc/ctrl ist eine Registrierung erforderlich. Die Authentifizierung erfolgt über Google Firebase Authentication (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA), einem eigenständigen Dienst der Google-Infrastruktur. Die Region unserer Firestore-Datenbank legt den Verarbeitungsort von Firebase Authentication nicht fest; für diesen Dienst besteht keine Zusicherung einer ausschließlich deutschen oder europäischen Verarbeitung.

Anmeldemöglichkeiten

Du kannst dich auf zwei Wegen registrieren und anmelden:

• E-Mail & Passwort: Du gibst eine E-Mail-Adresse und ein selbstgewähltes Passwort ein. Das Passwort wird von Firebase verschlüsselt gespeichert. Wir erhalten keinen Zugriff auf dein Klartextpasswort.
• Google Sign-In (OAuth 2.0): Du meldest dich mit deinem bestehenden Google-Konto an. Dabei überträgst du deine Google-Nutzerdaten (Name, E-Mail-Adresse, Profilbild) an Firebase. Die Authentifizierung erfolgt über ein OAuth 2.0 Token-Verfahren.

Bei der Registrierung werden folgende Daten verarbeitet und in Google Firestore (NoSQL-Datenbank, Region: europe-west10, Berlin, Deutschland) gespeichert: Benutzer-ID (UID), E-Mail-Adresse, Anzeigename, Profilbild-URL (bei Google-Anmeldung), Erstellungsdatum des Accounts, letzter Anmeldezeitpunkt sowie die IP-Adresse zum Zeitpunkt der Registrierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Datenschutzerklärung von Google/Firebase ist unter https://firebase.google.com/support/privacy und https://policies.google.com/privacy abrufbar.

8. Onboarding, Künstlerprofil & Client Center (Manager & Teammitglieder)

Nach der Registrierung kannst du die Plattform als Einzelkünstler (Artist App) oder als Manager/Agentur/Team (Client Center) nutzen:

a) Artist App & Künstlerprofil

Beim Erstellen des Künstlerprofils werden Daten in Google Firestore (Collection artistProfiles) gespeichert:

• Pflichtangaben: Künstlername, Genre
• Optionale Angaben: Biografie, Zielpublikum, Fokusziele, Release-Daten (Album, Single, Musikvideo), Tourdaten, monatliches Hörer-Ziel, Social-Media-Links
• Growth Roadmaps: Automatisch oder manuell erstellte Entwicklungspläne (Collection growthRoadmaps)

b) Client Center (Manager & Teamverwaltung)

Für Manager, Labels und Agenturen bietet das Client Center erweiterte Kollaborations- und Verwaltungsfunktionen. Dabei werden Daten in Google Firestore (Collection managerProfiles, teamMembers) verarbeitet:

• Manager-Stammdaten: Name des Managers/der Agentur, Spezialisierung, Kontaktdaten
• Verwaltete Künstler: Verknüpfung der Künstler-IDs mit dem Managerkonto zur Freigabe von Dashboard-Ansichten und Roadmaps
• Team-Mitgliederverwaltung: Einladung von Teammitgliedern per E-Mail, Vergabe von Rollen und Zugriffsrechten (Admin, Manager, Member). Eingeladene Mitglieder erhalten Benachrichtigungen zur Freischaltung ihres Zugangs

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der effizienten Kollaboration in Team- und Managementstrukturen).

9. KI-gestützte Funktionen (Gemini 2.5 API / Google AI Studio)

esc/ctrl nutzt fortlaufend aktuelle KI-Modelle der Google Gemini 2.5 Serie (z. B. 'gemini-2.5-pro' und 'gemini-2.5-flash' von Google DeepMind / Google LLC), bereitgestellt über das Google AI Studio, für folgende Kernfunktionen:

• KI-Assistent (Copilot): Chat-basierter Assistent zur Beantwortung von Fragen bezüglich Release-Strategien, Marketing und Content-Erstellung
• Growth Roadmap & Content Generator: KI-gestützte Generierung individueller Entwicklungs- und Postings-Pläne
• Release & Tour Planner: KI-gestützte Analyse und Optimierung von Release-Terminen und Tourplänen

Datenverarbeitung & Schutzmaßnahmen: Bei der Nutzung der KI-Funktionen werden dein Künstlerprofil (Name, Genre, Ziele, Release-Daten), deine Chat-Eingaben und Kontextdaten serverseitig über unseren gesicherten Node-Server ('server.ts') an die Google Gemini API übermittelt. Alle Eingaben durchlaufen einen serverseitigen Prompt-Injection-Schutz und werden in XML-Strukturen gekapselt.

• Kein Modell-Training: Gemäß den kommerziellen API-Bedingungen von Google AI Studio werden die übermittelten Eingaben und Daten nicht für das Training öffentlicher Google-KI-Modelle verwendet.
• Fallback-Architektur: Das System verwendet primär 'gemini-2.5-pro' und 'gemini-2.5-flash' mit automatisierten Fallback-Mechanismen zur Gewährleistung der Ausfallsicherheit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei optionaler Nutzung). Weitere Informationen zur Datenverarbeitung durch Google AI: https://ai.google.dev/gemini-api/terms.

10. Support-Ticket-System, Kundenservice & Fehlerberichte

Zur Bearbeitung von technischen Anfragen, Fehlerberichten (Bug Reports) und Feedback betreiben wir ein integriertes Support-Ticket-System (Collection supportTickets, feedback in Firestore).

Erhobene Daten:

• Benutzer-ID, Name, E-Mail-Adresse
• Kategorie der Anfrage (z. B. Authentifizierung, API-Fehler, Abrechnung, Feature-Wunsch)
• Betreff, detaillierte Problembeschreibung, Priorität
• Optional: Hochgeladene Screenshots oder Dateianhänge
• Ticket-Status, Zeitstempel, Kommunikationsverlauf mit dem Support-Team

Zweck & Speicherdauer: Bearbeitung deiner Supportanfrage, Behebung von Softwarefehlern und Gewährleistung der Plattformsicherheit. Nach Abschluss des Tickets werden die Supportdaten für die Dauer der regelmäßigen Verjährungsfrist (§ 195 BGB: 3 Jahre zum Jahresende) aufbewahrt, um bei etwaigen Folgerückfragen bezugnehmend unterstützen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Gewährleistung von Stabilität und Kundensupport).

11. News-Bereich, Produktupdates & Ankündigungen

Auf unserer Plattform stellen wir einen öffentlich sowie intern zugänglichen News-Bereich ('/news') bereit. Hier informieren wir dich über neue Funktionen, Plattform-Updates, Best Practices der Musikbranche und Systemankündigungen.

Datenverarbeitung im News-Bereich:

• Beim Aufrufen von News-Artikeln werden anonymisierte Aufrufzähler (Views) zur Messung der Artikel-Relevanz in Firestore aktualisiert.
• Sofern du angemelde(r) Nutzer(in) bist, verarbeiten wir deine Session-ID, um dir bereits gelesene Artikel als gelesen zu markieren.
• Wenn du dich über den News-Bereich für Produkt-Updates anmeldest, verarbeiten wir deine E-Mail-Adresse gemäß Abschnitt 17 (Newsletter).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an transparentem Informationsaustausch über Plattformfunktionen).

12. Download-Bereich, Asset-Management & DSGVO-Datenexport (CSV / JSON)

esc/ctrl bietet umfassende Download-Funktionen sowohl für Content-Assets als auch für deine personenbezogenen Daten:

a) Download von Vorlagen & Asset-Paketen

Im Download-Bereich ('/downloads') kannst du vorgefertigte Checklisten, Release-Guides, Branding-Assets und Vertragsmuster herunterladen. Dabei werden Download-Zeitstempel und anonymisierte Zähler zur Optimierung des Inhaltsangebots erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

b) Selbstservice DSGVO-Datenexport (CSV / JSON) gemäß Art. 15 & 20 DSGVO

Du kannst jederzeit in deinen Kontoeinstellungen ('Settings.tsx') einen vollständigen Export all deiner gespeicherten Daten (Profil, Manager-Stammdaten, Rechnungsadresse, Roadmaps, Kalenderevents, Activity Logs) im standardisierten CSV-Format (inkl. UTF-8 BOM für Microsoft Excel und Apple Numbers) sowie im JSON-Format herunterladen.

• Inhalt des Exports: Personenstammdaten, Künstler-/Managerprofile, Rechnungs- & Steuerdaten, verknüpfte Plattformen, Roadmaps, Kalendereinträge und Aufbewahrungsnachweise.
• Transparenz & Portabilität: Dieser Export erfüllt deine Betroffenenrechte auf Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Vorgaben zur Wahrung von Betroffenenrechten).

13. Analytics & Social Media Daten (OAuth-Verbindungen)

Ein zentrales Feature von esc/ctrl ist die Aggregation deiner Streaming- und Social-Media-Kennzahlen aus verschiedenen Plattformen:

a) OAuth 2.0 Verbindungen

Du kannst deine Konten auf den folgenden Plattformen über das standardisierte OAuth 2.0 Protokoll direkt mit esc/ctrl verbinden:

• Spotify: Lesezugriff auf Profil, E-Mail, Top-Tracks, Playlists. Scopes: 'user-read-private', 'user-read-email', 'user-top-read', 'playlist-read-private', 'playlist-read-collaborative'
• Google / YouTube: Lesezugriff auf YouTube-Kanal und Analytics. Scopes: 'userinfo.profile', 'userinfo.email', 'youtube.readonly', 'analytics.readonly'
• Facebook / Instagram: Lesezugriff auf Seiten und Instagram Business Insights. Scopes: 'email', 'public_profile', 'pages_show_list', 'pages_read_engagement', 'instagram_basic', 'instagram_manage_insights'
• TikTok: Lesezugriff auf grundlegende Nutzerinformationen und Videostatistiken. Scopes: 'user.info.basic', 'video.list', 'video.stats'

Die OAuth-Zugriffstoken sowie Refresh-Token werden verschlüsselt in Google Firestore (Collection oauthConnections / userConnections) gespeichert. Die Token werden automatisch durch einen serverseitigen Polling-Dienst (oauthPoller) zur regelmäßigen Aktualisierung der Metriken genutzt. Du kannst eine Verbindung jederzeit in den Einstellungen widerrufen; die entsprechenden Token werden dann gelöscht.

b) Web-Scraping-Fallback (Apify)

Für Plattformen ohne OAuth-Schnittstelle (z. B. Deezer) werden öffentlich zugängliche Profilseiten über den Dienst Apify abgerufen (vgl. Abschnitt 14). Verarbeitet werden ausschließlich öffentlich zugängliche Metriken. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (OAuth) sowie Art. 6 Abs. 1 lit. b/f DSGVO.

14. Web-Scraping-Dienst (Apify)

Für die Fallback-Datenabfrage nutzen wir den Dienst Apify (Apify Technologies s.r.o., Václavské nám. 808/66, 110 00 Prag, Tschechien). Dabei werden URLs öffentlicher Social-Media-Profile und deine Nutzer-ID verarbeitet. Sofern du einen eigenen Apify-Token hinterlegst, wird dieser verschlüsselt in Firestore gespeichert. Apify verarbeitet Daten gemäß eigener Datenschutzerklärung: https://apify.com/privacy-policy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

15. Google Drive Integration

esc/ctrl bietet einen optionalen Google Drive Export für Dokumente aus dem AI Copilot und Ergebnisse der Smart Tools. Erst wenn du bei einem Dokument „Google Drive“ auswählst, wird die Google-Autorisierung mit der Berechtigung https://www.googleapis.com/auth/drive.file gestartet. Nach deiner Freigabe überträgt dein Browser den angezeigten Dokumenttitel und Textinhalt über die Google Drive API an Google und erstellt eine neue .txt-Datei in deinem Drive. Derzeit wird kein Zielordner ausgewählt.

Dieser Export listet keine vorhandenen Drive-Dateien auf und liest keine Inhalte oder Metadaten anderer Dateien. Er fordert keinen Vollzugriff auf dein Drive an und richtet keinen dauerhaften serverseitigen Drive-Zugriff ein. Die exportierte Datei verbleibt in deinem Google Drive, bis du sie dort löschst; das Löschen des esc/ctrl-Kontos entfernt sie nicht automatisch. Die Google-Berechtigung kannst du in deinem Google-Konto widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Google Datenschutzerklärung: https://policies.google.com/privacy.

16. Lead-Generierung und E-Mail-Verifizierung

Auf der öffentlichen Landing Page kannst du durch Eingabe von Name und E-Mail-Adresse den Release Strategy Guide anfordern. Die Erfassung erfolgt über ein rechtssicheres Double-Opt-in-Verfahren:

• Schritt 1: Eingabe im Formular
• Schritt 2: Speicherung als unverifizierter Lead in Firestore (Collection: leads) und Versand einer Bestätigungs-E-Mail
• Schritt 3: Nach Klick auf den Bestätigungslink wird der Lead verifiziert und der Download freigeschaltet

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

17. Newsletter (Mailchimp)

Für den Versand von Plattform-Updates, Branchen-News und Angeboten nutzen wir Mailchimp (The Rocket Science Group LLC, 675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308, USA).

• Verarbeitete Daten: E-Mail-Adresse, Vorname, Nachname
• Opt-in & Widerruf: Double-Opt-in-Verfahren. Abmeldung jederzeit über den Link in jeder E-Mail oder per Nachricht an support@wmit.work möglich
• Drittlandtransfer: Zertifizierung unter dem EU-US Data Privacy Framework und EU-Standardvertragsklauseln (SCC). Weitere Infos: https://mailchimp.com/legal/privacy/

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

18. Zahlungsabwicklung (PayPal) & Steuerrechtliche Aufbewahrung (§ 147 AO / § 257 HGB)

Zahlungen für gebuchte Abonnements (Basic, Pro, Business) werden über den Zahlungsdienstleister PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg abgewickelt.

• Verarbeitete Daten: Name, E-Mail-Adresse, Rechnungsadresse, USt-IdNr., Transaktions-ID, Abo-Modell. Wir speichern selbst keine Zahlungskartendaten oder Bankverbindungen.
• Gesetzliche Aufbewahrungspflicht: Rechnungen, Zahlungsbelege und steuerlich relevante Transaktionsdaten unterliegen der 8-jährigen gesetzlichen Aufbewahrungspflicht gemäß § 147 Abs. 3 Satz 1 AO (Abgabenordnung) und § 257 Abs. 4 HGB (Handelsgesetzbuch). Auch im Falle einer Kontolöschung bleiben diese Buchhaltungsunterlagen gemäß Art. 17 Abs. 3 lit. b DSGVO für die Dauer der gesetzlichen Frist in einem gesonderten, gegen Zugriff geschützten Archiv gespeichert.

Datenschutzerklärung von PayPal: https://www.paypal.com/de/webapps/mpp/ua/privacy-full. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung).

19. Hosting und Infrastruktur (Google Cloud / Firebase / GoDaddy)

• Google Cloud Run: Der Produktionsserver der Anwendung läuft in us-west1 (Oregon, USA). Die Verarbeitung von Anfragen an diesen Server erfolgt daher in den USA.

• Google Firestore: Die Produktionsdatenbank wird in europe-west10 (Berlin, Deutschland) gespeichert.

• Google Cloud Storage / Firebase Storage: Der für Vault-Dateien verwendete Speicher-Bucket liegt in US-WEST1 (Oregon, USA). Dort werden die hochgeladenen Dateien gespeichert.

• Google Firebase Authentication: Die Anmeldung wird durch einen eigenständigen Google-Dienst verarbeitet. Sie ist nicht an die Region der Firestore-Datenbank gebunden; eine ausschließlich deutsche oder europäische Verarbeitung wird nicht zugesichert.

• GoDaddy LLC: Domain-Registrierung (wmit.work) und DNS-Management. Infos: https://www.godaddy.com/de-de/legal/agreements/privacy-policy.

Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO liegt vor. Informationen zu Firebase: https://firebase.google.com/support/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

20. Cookies, Webanalyse und lokale Speicherung (TDDDG & DSGVO)

esc/ctrl verwendet Cookies und vergleichbare Speichertechnologien (wie Local Storage) im Einklang mit § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) und der DSGVO.

a) Kategorien von Technologien

• Technisch notwendige / Essenzielle Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO):
  • Firebase Auth Tokens & Session Cookies: Verschlüsselte Tokens zur sicheren Authentifizierung und Autorisierung deiner Nutzersitzung.
  • OAuth State Token: Temporärer Schutz gegen Cross-Site-Request-Forgery (CSRF) bei Schnittstellen-Verbindungen (Ablauf: 10 Minuten).
  • Einwilligungsspeicher ('cookie_consent'): Speichert deine getroffene Cookie-Auswahl und Audit-Zeitstempel für bis zu 12 Monate.
  • Theme & Interface-Präferenzen: Speicherung deiner Hell-/Dunkelmodus-Einstellungen.
• Statistiken & Reichweitenmessung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO – Opt-in):
  • Google Analytics 4 (GA4): Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland / Google LLC, USA.
  • Erfassung: Anonymisierte Seitenaufrufe, Verweildauer, Geräte-/Browserkategorie, aggregierte Klickpfade. IP-Adressen werden automatisch anonymisiert/gekürzt.
  • Google Consent Mode v2: Wir unterstützen den erweiterten Google Consent Mode v2, sodass Tracking-Signale ('analytics_storage', 'ad_storage', 'ad_user_data', 'ad_personalization') standardmäßig blockiert ('denied') bleiben und erst nach deiner ausdrücklichen, freiwilligen Zustimmung aktiviert werden.
• Marketing & Kampagnen-Conversion (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO – Opt-in):
  • Ermöglicht die Messung der Konversionsraten von Ankündigungen und gezielten Informationskampagnen.

b) Widerruf und nachträgliche Anpassung (Art. 7 Abs. 3 DSGVO)

Du kannst deine erteilte Einwilligung für einzelne oder alle optionalen Cookie-Kategorien jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen. Klicke hierzu einfach auf den Link "Cookie-Einstellungen" in der Fußzeile (Footer) jeder Unterseite oder auf den Button in diesem Abschnitt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

21. Kontaktaufnahme

Bei Anfragen per E-Mail oder über das Kontaktformular werden deine Angaben (Name, E-Mail-Adresse, Nachrichtentext) zur Bearbeitung verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 6 Abs. 1 lit. b DSGVO.

22. Weitergabe von Daten an Dritte

Eine Weitergabe an Dritte erfolgt ausschließlich:

• An geprüfte Auftragsverarbeiter gemäß Art. 28 DSGVO (Google Cloud/Firebase, Mailchimp, Apify, PayPal)
• An verbundene Drittplattformen auf deine explizite Veranlassung hin (OAuth)
• Bei gesetzlicher oder behördlicher Verpflichtung
• Kein Verkauf: Wir verkaufen niemals personenbezogene Daten an Dritte.

23. Datenübermittlung in Drittländer

Soweit Dienstleister Daten außerhalb des EWR verarbeiten (z.B. Google, Mailchimp, GoDaddy in den USA), wird ein angemessenes Datenschutzniveau garantiert durch:

• Zertifizierung unter dem EU-US Data Privacy Framework
• Abschluss von EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO

Die Produktionsinfrastruktur umfasst sowohl die USA (Anwendungsserver und Vault-Dateispeicher) als auch Deutschland (Firestore-Datenbank). Die Verarbeitung erfolgt daher nicht ausschließlich in der EU; die einzelnen Standorte sind in Abschnitt 19 aufgeführt.

24. Speicherdauer, Kontolöschung & gesetzliche Aufbewahrungsfristen

a) Ablauf der Kontolöschung

Die Löschung deines Kontos startest du selbst in den Einstellungen. Zur Bestätigung deiner Identität ist eine erneute Anmeldung erforderlich.

• 14-tägige Frist: Nach deinem Antrag bleibt dein Konto 14 Tage bestehen. In dieser Zeit kannst du die Löschung jederzeit und ohne Angabe von Gründen widerrufen. Wir zeigen dir bei jeder Anmeldung den Löschtermin und die Möglichkeit zum Widerruf an.
• Datenmitnahme: Bis zum Ablauf der Frist kannst du deine Daten als JSON- und CSV-Datei herunterladen (Art. 20 DSGVO).
• Endgültige Löschung: Nach Ablauf der 14 Tage werden deine Daten automatisch und unwiderruflich gelöscht. Eine Anmeldung mit deinen bisherigen Zugangsdaten ist danach nicht mehr möglich.
• Laufendes Abonnement: Besteht ein aktives, kostenpflichtiges Abonnement, ist die Löschung erst möglich, nachdem du das Abonnement gekündigt hast. Damit wird verhindert, dass nach der Löschung weitere Abbuchungen erfolgen.

b) Was gelöscht wird

Mit Ablauf der Frist werden vollständig und unwiderruflich entfernt: dein Nutzerkonto (Firebase Authentication), dein Künstler- bzw. Managementprofil, Releases, Playbooks, Aufgaben, Kalendereinträge, Dateien und Tool-Ergebnisse, Analyse- und Social-Media-Daten, Chatverläufe und Nachrichten, Support-Tickets und Fehlerberichte sowie sämtliche Verbindungen zu verknüpften Plattformen. Ebenso wird dein Konto aus den Organisationen entfernt, mit denen du über das Client Center verknüpft warst.

c) Was aus gesetzlichen Gründen aufbewahrt wird

Gemäß Art. 17 Abs. 3 lit. b DSGVO in Verbindung mit § 147 Abs. 3 Satz 1 AO und § 257 Abs. 4 HGB sind wir verpflichtet, buchhalterisch relevante Unterlagen aufzubewahren. Nicht gelöscht werden daher:

• E-Mail-Adresse, Datum der Registrierung und Datum der Kontolöschung
• Rechnungsanschrift
• Abonnement- und Zahlungshistorie einschließlich Rechnungsnummern

Diese Daten werden bei der Löschung in ein gesondertes Archiv überführt, das vom laufenden Betrieb der Plattform getrennt ist und auf das ausschließlich im Rahmen steuerlicher oder handelsrechtlicher Pflichten zugegriffen wird. Sie werden nicht mehr zu Zwecken der Plattformnutzung, für Analysen oder für Werbung verarbeitet. Nach Ablauf der Frist von 8 Jahren, gerechnet zum Ende des jeweiligen Kalenderjahres, werden auch diese Daten gelöscht.

d) Weitere Speicherfristen

• Server-Logs: Werden nach spätestens 7 Tagen automatisch gelöscht.
• Newsletter-Anmeldungen und Anfragen über unsere Kontakt- und Leadformulare: Werden unabhängig von einer Kontolöschung auf Grundlage der jeweils erteilten Einwilligung gespeichert und können jederzeit gesondert widerrufen werden (siehe Abschnitte 16 und 17).

25. Deine Rechte als betroffene Person (inkl. Auskunfts- & Selbstservice-Export)

Du hast folgende gesetzliche Rechte gemäß DSGVO:

• Art. 15 DSGVO – Auskunftsrecht: Recht auf Auskunft über alle zu deiner Person gespeicherten Daten.
• Art. 16 DSGVO – Recht auf Berichtigung: Recht auf Korrektur unrichtiger Daten.
• Art. 17 DSGVO – Recht auf Löschung: Recht auf Kontolöschung. Du kannst sie jederzeit selbst in den Einstellungen starten; den genauen Ablauf und die gesetzlichen Ausnahmen beschreibt Abschnitt 24.
• Art. 18 DSGVO – Recht auf Einschränkung der Verarbeitung.
• Art. 20 DSGVO – Recht auf Datenportabilität: Recht auf Erhalt deiner Daten in einem strukturierten, gängigen Format (nutze hierfür auch unsere CSV-/JSON-Exportfunktion in den Einstellungen).
• Art. 21 DSGVO – Widerspruchsrecht gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO.
• Art. 7 Abs. 3 DSGVO – Widerrufsrecht für erteilte Einwilligungen.

Geltendmachung per E-Mail an support@wmit.work (Betreff: Datenschutz). Bearbeitung erfolgt innerhalb von 30 Tagen.

26. Datensicherheit

Wir setzen modernste technische und organisatorische Schutzmaßnahmen (TOMs) ein: HTTPS/TLS 1.3 Verschlüsselung, verschlüsselte Firestore-Speicherung von Tokens/Keys, Firebase Auth mit bcrypt Password Hashing, Prompt-Injection-Filterung für KI-Anfragen. Die Standorte der Produktionsinfrastruktur sind in Abschnitt 19 aufgeführt.

27. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Einführung neuer Features oder geänderten Rechtslagen zu aktualisieren. Registrierte Nutzer werden bei wesentlichen Änderungen benachrichtigt.

28. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (Puttkamer Straße 16–18, 10969 Berlin, https://www.datenschutz-berlin.de).

Stand dieser Datenschutzerklärung: 10. Oktober 2026 | Version: 1.2 | Plattform: esc/ctrl (escctrl.wmit.work und escctrl.de) | Betreiber: wemakeITwork, Malte Schröder, Berlin
Kontakt für Datenschutzfragen: support@wmit.work