Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen und unseren Dienst Impulio nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Verantwortlicher“ in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie bei der Registrierung, beim Verknüpfen Ihrer Social-Media-Konten oder bei Nutzung unserer KI-Funktionen eingeben.

Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden. Der Hauptzweck der Datenverarbeitung ist die Bereitstellung unseres Content-Planungs-Dienstes, einschließlich:

• Erstellung und Planung von Social-Media-Inhalten
• KI-gestützte Content-Generierung und -Optimierung
• Veröffentlichung auf verknüpften Social-Media-Plattformen
• Analyse Ihrer Social-Media-Performance

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

2. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Website ist:

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

3. Hosting

Wir hosten die Inhalte unserer Website bei folgendem Anbieter:

IP-Projects

Anbieter ist die IP-Projects GmbH & Co. KG, Nürnberger Str. 75a, 91052 Erlangen, Deutschland (nachfolgend „IP-Projects“).

Wenn Sie unsere Website besuchen, erfasst IP-Projects verschiedene Logfiles inklusive Ihrer IP-Adressen. Details entnehmen Sie der Datenschutzerklärung von IP-Projects: https://www.ip-projects.de/de/datenschutz

Die Verwendung von IP-Projects erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website. Sofern eine entsprechende Einwilligung abgefragt wurde, erfolgt die Verarbeitung ausschließlich auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit widerrufbar.

Serverstandort: Deutschland

Hetzner Object Storage

Für die Speicherung von Video-Medien nutzen wir den Object Storage (S3-kompatibel) der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (nachfolgend „Hetzner“).

Die Verwendung von Hetzner Object Storage erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Speicherung von Medien ist erforderlich, um Ihnen die Funktionen unseres Dienstes zur Verfügung zu stellen.

Serverstandort: Deutschland (EU), keine Drittlandübermittlung

Datenschutz: https://www.hetzner.com/de/legal/privacy-policy/

Auftragsverarbeitung

Wir haben Verträge über Auftragsverarbeitung (AVV) zur Nutzung der oben genannten Dienste geschlossen. Hierbei handelt es sich um datenschutzrechtlich vorgeschriebene Verträge, die gewährleisten, dass diese die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeiten.

4. Ihre Rechte

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen (Art. 21 DSGVO)

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Die für uns zuständige Aufsichtsbehörde ist:

Recht auf Datenübertragbarkeit

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Löschverfahren (Art. 17 DSGVO): Sie können die Löschung Ihres Kontos und aller damit verbundenen Daten jederzeit über Ihre Kontoeinstellungen oder per E-Mail an datenschutz@impulio.app beantragen. Wir informieren Sie unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihrer Anfrage, über die ergriffenen Maßnahmen. Bei komplexen oder zahlreichen Anfragen kann diese Frist um zwei weitere Monate verlängert werden; darüber und über die Gründe informieren wir Sie innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO). Die Löschung wird unmittelbar nach Ihrer Bestätigung eingeleitet und ist auf die endgültige Entfernung der nicht mehr erforderlichen Daten gerichtet. Bereits gelöschte Daten können nicht wiederhergestellt oder nachträglich exportiert werden. Vor der Löschung können Sie den Kontodatenexport nutzen; er ist keine Voraussetzung für eine Löschanfrage. Ihr Auskunftsrecht zu noch vorhandenen personenbezogenen Daten bleibt auch nach Kontolöschung bestehen. Dafür ist kein aktives Konto erforderlich: Wenden Sie sich an datenschutz@impulio.app. Rechnungsdaten unterliegen gesetzlichen Aufbewahrungspflichten. Die Fristen und ihre Berechnung erläutern wir in Abschnitt 9 unter „Aufbewahrung von Rechnungsdaten“.

Der Kontodatenexport unterstützt die Bereitstellung Ihrer Daten, ersetzt aber keine vollständige Auskunft nach Art. 15 DSGVO. Diese umfasst auch noch gespeicherte personenbezogene Ableitungen sowie die gesetzlich vorgesehenen Informationen insbesondere zu Zwecken, Empfängern, Herkunft und Speicherfristen. Datenübertragbarkeit nach Art. 20 DSGVO hat einen engeren Anwendungsbereich. Rechte anderer Personen sind dabei zu berücksichtigen. Zusätzliche Angaben zur Identität verlangen wir nur bei begründeten Zweifeln und im erforderlichen Umfang.

Kontosperre, Bereinigung aktiver Systeme und Entfernung aus Sicherungskopien sind unterschiedliche Schritte. Sicherungskopien können Daten bis zu ihrer Bereinigung weiterhin enthalten; eine Kontolöschung bedeutet daher nicht die sofortige Entfernung jeder Backupkopie. Bei einer Wiederherstellung müssen bereits erfolgte Löschungen berücksichtigt werden, bevor diese Daten erneut genutzt werden. Für unsere Sicherungskopien gilt die Betriebsvorgabe von 30 Tagen. Nach einer Wiederherstellung werden Löschanforderungen vor erneuter Nutzung abgearbeitet. Gesetzlich aufzubewahrende Abrechnungsdaten werden davon getrennt behandelt.

Soweit zur Bearbeitung und zum Nachweis einer Datenschutzanfrage erforderlich, verarbeiten wir begrenzte Vorgangs- und Statusangaben sowie die notwendigen Zuordnungsdaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den datenschutzrechtlichen Nachweispflichten und, soweit zur Rechtsverteidigung erforderlich, Art. 6 Abs. 1 lit. f DSGVO. Solche Nachweise dürfen kein Ersatzarchiv gelöschter Inhalte bilden. Lösch- und Nachweisprotokolle einschließlich zugehöriger Admin-Archivmails bewahren wir nach unserer Festlegung ein Jahr ab Fallabschluss auf. Nicht mehr einem Fall zuordenbare Löschprotokolle bewahren wir ein Jahr ab Ereignis auf. Offene Fälle und begründete rechtliche Sperren sind davon ausgenommen und werden gesondert überprüft. Impulio Support bearbeitet Löschfälle. Dies ist keine allgemeine gesetzliche Jahresfrist und gilt nicht für Rechnungsdaten. Zuordenbare Kennungen bleiben personenbezogene Daten.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:

• Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, benötigen wir in der Regel Zeit, um dies zu überprüfen. Für die Dauer der Prüfung haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung der Datenverarbeitung verlangen.
• Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, haben Sie das Recht, statt der Löschung die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung zwischen Ihren und unseren Interessen vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Die integrierten KI-Funktionen unterstützen die Content-Erstellung; über die Veröffentlichung entscheiden Sie selbst. Beim Abschluss eines neuen Abonnements prüft das System die Anzahl abgeschlossener Abonnement-Widerrufe im laufenden Kalenderjahr. Ab zwei Widerrufen ist der automatische Neuabschluss gesperrt. Sie können unter info@impulio.app eine persönliche Prüfung verlangen, Ihren Standpunkt darlegen und eine Korrektur oder Freigabe beantragen. Anmeldung und gesetzliche Widerrufswege bleiben zugänglich. Die Verarbeitung und Zurücksetzung dieses Zählers sind in Abschnitt 9 beschrieben.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

5. Datenerfassung auf dieser Website

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website – hierzu müssen die Server-Log-Files erfasst werden.

Kontaktformular

Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Die von Ihnen im Kontaktformular eingegebenen Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Bestimmungen – insbesondere Aufbewahrungsfristen – bleiben unberührt.

Spam-Schutz

Zum Schutz vor automatisierten Spam-Eingaben verwenden wir eine selbst entwickelte, serverseitige Lösung. Diese umfasst:

• Zeitbasierte Token-Validierung (Mindestzeit zwischen Formularaufruf und Absendung)
• Honeypot-Felder (versteckte Felder, die nur von Bots ausgefüllt werden)
• IP-basiertes Rate-Limiting

Diese Lösung ist vollständig auf unseren eigenen Servern in Deutschland gehostet. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Spam und Missbrauch).

Cookies

Unsere Website verwendet Cookies. Bei Cookies handelt es sich um kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Wir verwenden ausschließlich technisch notwendige Cookies für:

• Session-Management (Authentifizierung)
• Sicherheits-Token (CSRF-Schutz)
• Benutzereinstellungen (z. B. Sprachauswahl)
• Lastverteilung (Cookie „impulio_lb“: ordnet Ihre Sitzung während Software-Aktualisierungen einem festen Server zu, damit die Anwendung unterbrechungsfrei lädt; enthält keine personenbezogenen Daten)

Soweit diese Cookies für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, erfolgen Speicherung und Zugriff auf Ihrem Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Die anschließende Verarbeitung personenbezogener Daten beruht auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website).

Aufnahmeprojekte und bearbeitete Clips

Wenn Sie eine eigene Aufnahme zur Bearbeitung auswählen, speichern wir deren Zuordnung, Verarbeitungsfortschritt, gewählte Zeitbereiche, Bildaufteilung, Untertitel mit Zeitangaben, Ihre Annahme oder Ablehnung einschließlich eines freiwilligen Ablehnungsgrunds sowie die zugehörigen Export- und Entwurfskennungen. Enthält die Datei Kapitelmarken, lesen wir diese auf unseren Servern aus und speichern ihre Kennungen, Beschreibungen und Zeitpositionen sowie die Zuordnung zur Quellaufnahme und ihre Herkunft als Dateikapitel im Projekt. Daraus können auch ohne automatische Auswertung vorläufige Schnittvorschläge entstehen. Diese Kapitelinformationen sind ebenfalls im Kontodatenexport enthalten und unterliegen der unten beschriebenen Aufbewahrung der Projektdaten.

Bei der Vorbereitung eines Aufnahmeprojekts können zwölf verkleinerte Standbilder auf unseren Servern auf wiederkehrende Gesichtspositionen geprüft werden, um einen Kamerabereich vorzuschlagen. Hierfür werden keine Bilder an externe Analysedienste übermittelt und keine Personen identifiziert. Im Projekt speichern wir nur die vorgeschlagenen Ausschnittskoordinaten, keine Gesichtsprofile oder Merkmalsvektoren. Die Standbilder und Erkennungswerte werden nach der Anfrage verworfen. Der Vorschlag muss vor seiner Übernahme geprüft werden und ersetzt keine gespeicherten Ausschnitte. Die Koordinaten sind Teil des Kontodatenexports und werden zusammen mit dem Projekt nach den unten beschriebenen Fristen oder bei dessen Löschung entfernt.

Bei erkannten gesprochenen Reaktionen speichern wir die Szenenart und einen im zugehörigen Transkript belegten Textausschnitt. Mehrere einer Szene zugeordnete Marker behalten ihre jeweilige Herkunft und Position auf der Originalzeitleiste. Diese Angaben sind Teil der Projektdaten und des Kontodatenexports.

Optional können Sie eine aus Twitch exportierte CSV-Markerdatei zu einer vollständigen Aufnahme hinzufügen. Zur Prüfung wird die gesamte Datei an unsere API übertragen. Nach Ihrer Bestätigung speichern wir Beschreibungen, Zeitpositionen, technische Markerkennungen, die SHA-256-Prüfsumme der Datei sowie Aufnahmezuordnung und Bestätigungszeitpunkt im Projekt. Rollen und Benutzernamen aus der CSV werden nicht übernommen; die Rohdatei wird nach der Anfrage nicht gespeichert. Diese Marker und Zuordnungsdaten unterliegen den Fristen des Projekts, sind Teil des Kontodatenexports und werden bei Projekt- oder Kontolöschung entfernt. Der Dateiimport verbindet kein Twitch-Konto und ruft keine Daten von Twitch ab.

Die automatische Auswertung startet erst nach Ihrer ausdrücklichen Auswahl und der Bestätigung des Verarbeitungshinweises. Dabei können verkleinerte Videoabschnitte mit Ton an Google Gemini übermittelt werden. Bei neuen Projekten mit dem entsprechend bestätigten Verarbeitungshinweis erhält Gemini auch Zeitpunkte zugeordneter Marker als Suchhinweise. Markerbeschreibungen, technische Kennungen und Erstellerangaben werden dafür nicht übermittelt. Projekte mit früheren Hinweisen senden diese zusätzlichen Zeitpunkte nicht. Für Untertitel neuer Aufnahmeprojekte erhält ElevenLabs Scribe extrahierte Audiodaten. Bestehende Projekte mit festgelegtem OpenAI-Whisper-Anbieter verwenden diesen weiterhin. Der jeweils angezeigte Anbieter wird im Projekt festgehalten; Einzelheiten stehen in Abschnitt 8. Eine anschließende Vorauswahl verwendet die bereits gespeicherten Ereignisbelege und Transkripte bei Google Gemini. Dieser Schritt überträgt keine weiteren Videodaten. Bei neuen automatisch ausgewerteten Aufnahmeprojekten können vorgeschlagene Clips danach zusätzlich anhand ihres tatsächlichen Bildes und Tons geprüft werden. Dafür erhält Google Gemini vorübergehend erstellte, verkleinerte Videos mit vorhandener Tonspur, der vorgesehenen Bildaufteilung und den Untertiteln. Geprüft wird, ob Zusammenhang und Ausgang vollständig enthalten sind und der Zuschnitt die entscheidende Aktion zeigt. Die Einordnung mit kurzer Begründung und bis zu drei zeitlich zugeordnete Beobachtungen, die Herkunft aus der Videoprüfung, ihr Zeitpunkt und die Zuordnung zum geprüften Bearbeitungsstand werden im Projekt gespeichert und im Kontodatenexport bereitgestellt. Dafür gelten die unten beschriebenen Projektfristen. Die Vorschauvideos sind temporär und werden nach der Prüfung oder bei der regelmäßigen Bereinigung gelöscht. Diese zusätzliche Prüfung erstellt keine neue Audiotranskription. Ihre eigenen Entscheidungen und Bearbeitungen bleiben erhalten. Manuelle Auswahl und Bearbeitung starten weder diese Auswertung noch eine neue Videoprüfung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen angeforderte Bearbeitung.

Für unsere interne Kostenübersicht speichern wir zu Anbieteraufrufen den Anbieter, das verwendete Modell, die Funktion, den Zeitpunkt, eine Kontoreferenz und die verfügbare Nutzungsmenge, etwa Tokenzahlen oder übertragene Audiolaufzeit, sowie eine Kostenschätzung, soweit diese möglich ist. Fehlende Schätzungen kennzeichnen wir als nicht verfügbar. Diese Kosteneinträge enthalten keine Aufnahme, Transkripte oder Suchtexte und werden nicht zur Berechnung Ihrer Voltis verwendet.

Die automatische Momentanalyse ist nur für Volljährige ab 18 Jahren verfügbar. Wir speichern Ihre ausdrückliche Altersbestätigung und deren Zeitpunkt im Aufnahmeprojekt bis zu dessen Löschung oder Ablauf 90 Tage nach Projekterstellung. Ein Geburtsdatum erheben wir dafür nicht. Bei neuen Analysen ist die Volljährigkeitserklärung außerdem Bestandteil des unten beschriebenen fünfjährigen Verarbeitungsnachweises. Bei älteren Projekten wird die Altersbestätigung vor einer erneuten Analyse im Projekt gespeichert; bestehende Verarbeitungsnachweise werden dadurch nicht nachträglich geändert.

Bei neuen Aufnahmeauswertungen mit dem gesonderten fünfjährigen Nachweishinweis speichern wir Ihre Bestätigung getrennt vom Aufnahmeprojekt: den angezeigten Hinweis mit Sprache und Fassung, Zeitpunkt, Rechtebestätigung, technische Konto-, Projekt- und Quellenreferenzen sowie eine Prüfsumme der geprüften Aufnahme. Der Beleg enthält weder Video oder Ton noch Transkript, Namen oder E-Mail-Adresse. Die Referenzen sind pseudonym und keine anonymen Daten. Der Beleg bleibt fünf Jahre ab Bestätigung erhalten, auch nach Projekt- oder Kontolöschung; danach wird er bei der regelmäßigen Bereinigung entfernt. Er ist Teil Ihres Kontodatenexports. Zweck ist der Nachweis der für die Anbieterbearbeitung bestätigten Hinweise und Rechte sowie die Klärung möglicher Ansprüche; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ihre Bestätigung ersetzt keine erforderlichen Hinweise oder Einwilligungen der aufgenommenen Personen. Bestehende Projekte erhalten keinen nachträglich erstellten Bestätigungsbeleg.

Aufnahmeprojekte und ihre Bearbeitungsdaten werden nach 90 Tagen entfernt. Neue Originalaufnahmen aus dem gesonderten Aufnahme-Upload werden sieben Tage nach dem fertigen Upload oder der letzten abgeschlossenen Verarbeitung automatisch gelöscht. Laufende Verarbeitungs- und Exportaufträge werden vor der Löschung beendet; nach deren Ende, Fehler oder Abbruch beginnt die Frist neu. Die geplante Löschung wird im Aufnahmeprojekt angezeigt. Solange das Original direkt in Beiträgen oder Ideen (auch im Papierkorb) oder anderen gespeicherten Inhalten verwendet wird, wird es dafür weiter gespeichert. Auch mit anderen Medien gemeinsam genutzte Dateien werden erst gelöscht, wenn diese Verwendung endet. Für neue Schnitte nach der Löschung müssen Sie die Aufnahme erneut hochladen. Bereits vor dieser Regelung dauerhaft gespeicherte Originale, sonstige Dateien aus der Medienbibliothek, fertige Medienexporte und private Beiträge bleiben bis zu Ihrer Löschung oder Kontolöschung erhalten. Unvollständige Aufnahmeübertragungen laufen nach 24 Stunden ab und werden bei der regelmäßigen Bereinigung entfernt. Verarbeitete Analyseabschnitte werden nach jedem Abschnitt entfernt. Nach erfolgreicher Vorbereitung oder Auswertung bleibt eine geprüfte Arbeitskopie für weitere Exporte kurz gespeichert. Die stündliche Bereinigung entfernt sie nach mindestens einer Stunde ohne Aktivität, sobald keine Verarbeitung mehr läuft und kein Exportauftrag mehr wartet. Bei Fehlern der Vorbereitung oder Analyse sowie beim Abbruch des Aufnahmeprojekts wird sie entfernt. Nach einem fehlgeschlagenen Export kann sie bis zur regulären Inaktivitätsbereinigung für einen erneuten Versuch erhalten bleiben. Ungenutzte temporäre Exportdateien werden ebenfalls regelmäßig bereinigt. Ein Abbruch stoppt weitere Verarbeitungsschritte, kann eine bereits an einen Anbieter übertragene Anfrage aber nicht rückwirkend zurückholen. Projekte und gespeicherte Bearbeitungen sind im Kontodatenexport enthalten und werden bei der Kontolöschung entfernt.

Sie können ein Aufnahmeprojekt auch selbst mit seinen Dateien löschen. Dabei stoppen wir laufende Verarbeitungen und entfernen das Projekt, seine Originalaufnahme, zugehörige Clips und temporäre Dateien im Hintergrund vom Server. Werden diese Dateien noch in anderen Projekten, Beiträgen oder Ideen verwendet, wird der Löschauftrag abgelehnt. Diese Verwendung muss zuerst entfernt werden. Alternativ können Sie ausdrücklich nur das Projekt mit seinen Bearbeitungsdaten und temporären Arbeitsdateien entfernen; Originalaufnahme und Clips bleiben dann in Ihrer Mediathek erhalten. Schlägt die Bereinigung fehl, bleibt der Auftrag für einen erneuten Versuch sichtbar. Die oben beschriebenen getrennten fünfjährigen Verarbeitungsnachweise bleiben ohne Video, Ton oder Transkript erhalten.

Local Storage und Session Storage

Neben Cookies nutzt die Web-App den Local Storage und den Session Storage Ihres Browsers. Dort speichern wir ausschließlich Angaben, die für die von Ihnen genutzten Funktionen erforderlich sind:

• Anmeldestatus und ein Zwischenspeicher Ihrer Profildaten (Local Storage), damit Sie angemeldet bleiben und die App schneller lädt
• Ihre E-Mail-Adresse während der Anmeldung per Einmalcode (Session Storage; wird nach Abschluss der Anmeldung gelöscht)
• Darstellungs-Einstellungen wie Farbschema, Schriftgröße und ausgeblendete Hinweise
• noch nicht gespeicherte Eingaben in Wochenplanung, Beitragspaketen und Wochenrückblick (Session Storage, nach Konto und persönlichem oder Team-Arbeitsbereich getrennt), damit Sie nach Neuladen weiterarbeiten können. Änderungen an einem vorhandenen privaten Wochenentwurf sowie begonnene Schnellbeiträge speichern wir abweichend davon im Local Storage: Text, vorheriger Text und Formulierungsvarianten, Themen- und Kontoauswahl, Medienkennungen sowie bearbeiteter Versionsstand und unbestätigter Speicherstatus bleiben auch nach dem Schließen des Tabs wiederherstellbar. Für die Clip-Suche speichern wir zusätzlich die Wahl zwischen Analyse und manueller Bearbeitung, die Suchbeschreibung, die gewählte Kontokennung und die Trend-Auswahl im Local Storage, getrennt nach Konto und Projekt oder Aufnahme. Rechte- und Altersbestätigungen werden dabei nicht gespeichert. Nach sieben Tagen ohne weitere Speicherung ist die Kopie nicht mehr wiederherstellbar und wird beim nächsten Zugriff auf diesen Entwurf entfernt. Abmelden, Kontowechsel und das Löschen der Browserdaten entfernen diese Kopien ebenfalls. Mediendateien und Zugangsdaten werden in diesen Entwurfskopien nicht gespeichert. Für einen begonnenen Speicherauftrag eines Schnellbeitrags halten wir außerdem dessen Kennung, Eingaben und gewählte Aktion zur Wiederholung bereit. Serverseitig speichern wir die Auftragskennung, eine Prüfsumme der Eingaben, die Zuordnung zu Ihrem Konto und Ergebnisbeitrag sowie Zeitstempel. Dadurch erzeugt eine Wiederholung nach Verbindungsproblemen keinen zweiten Beitrag. Diese Zuordnung bleibt auch nach dem Löschen des Beitrags bis zur Löschung Ihres Kontos erhalten; sie enthält keine zusätzliche Textkopie. Erst ausdrücklich gespeicherte Entwürfe sind auf anderen Geräten desselben Kontos verfügbar. Für den geführten Content-Einstieg speichern wir außerdem die Wahl zwischen Kontoverbindung und Textentwurf sowie die Kennung des zuletzt gewählten Social-Kontos im Session Storage, getrennt nach Ihrem Konto. Zugangsdaten werden dort nicht gespeichert. Beim Start einer Linkseite werden Anzeigename, gewünschte Adresse und Profiltext zur Wiederaufnahme in diesem Browser-Tab gespeichert. In der Wochenvormerkung, Wochenbearbeitung und beim Start einer Linkseite werden die betreffenden Eingaben nach bestätigtem Speichern oder ausdrücklichem Verwerfen geleert
• für vollständig übertragene, noch nicht bestätigte Videos bis zu zehn Wiederaufnahme-Einträge im Session Storage: Dateiname, Dateityp und -größe, Speicherkennung sowie gegebenenfalls Ordnerkennung, Zielplattform und Alternativtext, getrennt nach Ihrem Konto. Videodateien, Zugangsdaten und signierte Upload-Adressen werden dort nicht gespeichert. Nach 24 Stunden ist keine Wiederaufnahme mehr möglich; veraltete Einträge werden beim nächsten Zugriff entfernt. Bestätigen, ausdrückliches Entfernen aus der Liste, Abmelden oder Kontowechsel entfernt den betreffenden Eintrag ebenfalls
• bei einer Übertragung von Voltis an ein Team die Vorgangskennung und den Betrag (Session Storage, getrennt nach Konto und Team). Damit lässt sich derselbe Vorgang nach Verbindungsproblemen bestätigen oder wiederholen. Nach bestätigtem Abschluss oder einer eindeutigen Ablehnung wird der Eintrag entfernt; „Später prüfen“ behält ihn in diesem Browser-Tab. Serverseitig wird die Vorgangskennung im bestehenden persönlichen Voltis-Buchungsnachweis gespeichert
• ein Zähler für den Hinweis zur App-Installation, damit dieser nicht wiederholt eingeblendet wird

Mit Ausnahme der oben beschriebenen, zeitlich begrenzten Wiederherstellungskopien bleiben Local-Storage-Einträge gespeichert, bis Sie sich abmelden oder sie über Ihren Browser löschen; Session-Storage-Einträge werden mit dem Schließen des Browser-Tabs entfernt. Die Speicherung auf Ihrem Endgerät ist für diese ausdrücklich von Ihnen gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Wiederholung übernommener Texteinstiege

Damit die erneute Bestätigung eines bereits übernommenen Texteinstiegs nicht noch einmal Voltis abbucht, speichern wir serverseitig eine Prüfsumme der Vorgangskennung, die Zuordnung zu Ihrem Konto und Zeitstempel. Der Nachweis enthält weder den Textvorschlag noch den vollständigen Bestätigungsschlüssel. Er wird zusammen mit der Abbuchung gespeichert. Nach 25 Stunden wird er bei der nächsten stündlich vorgesehenen Bereinigung entfernt; bei der endgültigen Löschung Ihres Kontos wird er ebenfalls gelöscht. Die Buchungsnachweise Ihres Guthabens bleiben davon unberührt. Noch vorhandene Wiederholungsnachweise sind in Ihrem Kontodatenexport enthalten. Die Verarbeitung ist für die korrekte Durchführung und Abrechnung der von Ihnen angeforderten Übernahme erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Wiederholung von Medien-Uploads

Damit eine Upload-Anfrage mit Wiederholungskennung nach Verbindungsproblemen keine zweite Mediendatei und keine zusätzliche Kontingentbuchung erzeugt, speichern wir serverseitig die Auftragskennung, eine Prüfsumme der Datei und Upload-Angaben, die Zuordnung zu Ihrem Konto und zur gespeicherten Datei sowie Zeitstempel. Diese technische Zuordnung enthält keine zusätzliche Kopie der Mediendatei und bleibt auch nach deren Löschung bis zur Löschung Ihres Kontos erhalten. Sie ist Bestandteil Ihres Kontodatenexports. Die Verarbeitung dient der Durchführung des von Ihnen veranlassten Uploads (Art. 6 Abs. 1 lit. b DSGVO).

6. Benutzerkonto und Authentifizierung

Registrierung

Sie können sich auf unserer Website registrieren, um zusätzliche Funktionen auf der Seite zu nutzen. Die dazu eingegebenen Daten verwenden wir nur zum Zwecke der Nutzung des jeweiligen Angebotes oder Dienstes, für das Sie sich registriert haben. Die bei der Registrierung abgefragten Pflichtangaben müssen vollständig angegeben werden. Anderenfalls werden wir die Registrierung ablehnen.

Bei der Registrierung erfassen wir:

• Name, soweit im jeweiligen Anmeldeverfahren angegeben
• E-Mail-Adresse
• Bei Anmeldung mit Passwort: ein Passwort-Hash, kein Passwort im Klartext
• Zeitpunkt der Registrierung

Nach unseren Nutzungsbedingungen ist die Nutzung von Impulio erst ab Vollendung des 16. Lebensjahres gestattet.

Für wichtige Änderungen, etwa beim Angebotsumfang oder bei technisch notwendigen Änderungen, nutzen wir die bei der Registrierung angegebene E-Mail-Adresse, um Sie auf diesem Wege zu informieren.

Die Verarbeitung der bei der Registrierung eingegebenen Daten erfolgt zum Zwecke der Durchführung des durch die Registrierung begründeten Nutzungsverhältnisses und ggf. zur Anbahnung weiterer Verträge (Art. 6 Abs. 1 lit. b DSGVO).

Zwei-Faktor-Authentifizierung (2FA)

Wir bieten die Möglichkeit, Ihr Konto mit einer Zwei-Faktor-Authentifizierung zu schützen. Dabei werden folgende Methoden unterstützt:

• TOTP (Time-based One-Time Password): Generierung zeitbasierter Einmalcodes über Authenticator-Apps. Das TOTP-Secret wird verschlüsselt auf unseren Servern gespeichert.
• WebAuthn / Passkeys: Passwortlose Authentifizierung über biometrische Verfahren oder Hardware-Sicherheitsschlüssel. Es werden nur öffentliche Schlüssel gespeichert.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit Ihrer Daten).

Sitzungsverwaltung und Standortbestimmung

Um Ihnen in den Sicherheitseinstellungen einen Überblick über aktive Sitzungen zu geben (z. B. "Berlin, Deutschland"), ermitteln wir den ungefähren Standort der bei der Anmeldung verwendeten IP-Adresse. Die Auflösung erfolgt ausschließlich über eine lokale GeoIP-Datenbank auf unseren Servern in Deutschland; die IP-Adresse wird dabei nicht an externe Dienste übermittelt.

Übermittelte Daten: Keine – die IP-Adresse verlässt unsere Server nicht. Das Ergebnis (Stadt/Land) wird für 30 Tage zwischengespeichert, um wiederholte Auflösungen zu vermeiden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit Ihres Kontos und der Erkennung unautorisierter Zugriffe).

Anmeldung über Social-Login-Anbieter

Neben der klassischen Registrierung mit E-Mail und Passwort bieten wir die Möglichkeit, sich über Social-Login-Anbieter (Google Sign-In und Apple Sign-In) bei Impulio anzumelden oder zu registrieren. Dabei werden Daten aus Ihrem bestehenden Konto beim jeweiligen Anbieter übermittelt, um ein Impulio-Konto zu erstellen oder sich zu authentifizieren.

Wenn Sie sich über einen Social-Login-Anbieter anmelden, erheben wir nur die für die Kontoerstellung notwendigen Daten. Wir erhalten keinen Zugriff auf Ihr Passwort beim jeweiligen Anbieter. Sie können die Verknüpfung jederzeit in Ihren Kontoeinstellungen aufheben.

Speicherdauer der Kontodaten

Die bei uns gespeicherten Daten werden gelöscht, sobald sie für ihre Zweckbestimmung nicht mehr erforderlich sind und der Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bei Kündigung Ihres Benutzerkontos werden Ihre Daten gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen bestehen (siehe Abschnitt 9 zur Aufbewahrung von Rechnungsdaten).

Übersicht der Speicherdauern

7. Social-Media-Verknüpfungen

Die Kernfunktion unseres Dienstes ermöglicht es Ihnen, Ihre Social-Media-Konten zu verknüpfen, um Inhalte zu planen und automatisch zu veröffentlichen. Hierfür nutzen wir die offiziellen APIs der jeweiligen Plattformen über OAuth 2.0.

Verknüpfbare Plattformen

Token-Speicherung und Sicherheit

Alle OAuth-Zugriffstoken werden verschlüsselt in unserer Datenbank gespeichert. Die Verschlüsselung erfolgt mit AES-256. Sie können verknüpfte Konten jederzeit in Ihren Kontoeinstellungen trennen, wodurch die gespeicherten Tokens unwiderruflich gelöscht werden.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Abruf öffentlich zugänglicher Informationen

Zur Verbesserung unserer Dienste rufen wir öffentlich zugängliche Informationen aus dem Internet ab. Es werden ausschließlich frei verfügbare Daten verarbeitet. Hierfür nutzen wir folgenden Dienst:

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Dienste).

Markenwissen und eigene Quellen

Sie können private Wissenseinträge mit Titel und Text in Ihrem Markenprofil speichern. Beim Einlesen einer TXT- oder Markdown-Datei wird der Text zunächst im Browser angezeigt; erst durch Speichern wird er in Ihrem Konto hinterlegt. Die Originaldatei wird dabei nicht hochgeladen. Speichern und Durchsuchen dieser Einträge lösen keine KI-Verarbeitung aus.

Begonnene Bearbeitungen einschließlich eingelesener Texte, des zugrunde liegenden Wissensstands und eines noch unbestätigten Speicherauftrags werden nutzergebunden im Sitzungsspeicher Ihres Browser-Tabs gehalten. Damit können Sie nach einem Neuladen weiterarbeiten oder eine verlorene Speicherantwort mit dem aktuellen Kontostand abgleichen. Erfolgreiches Speichern, bewusstes Verwerfen oder Abmelden in diesem Tab entfernt diese lokale Bearbeitungskopie; das Schließen des Tabs beendet den Sitzungsspeicher ebenfalls. Bei nicht verfügbarem Browserspeicher weist die Oberfläche auf die fehlende Wiederaufnahme hin.

Im Strategie-Assistenten können Sie eigene Texte und ausdrücklich ausgewählte gespeicherte Wissenseinträge kombinieren (zusammen höchstens 5.000 Zeichen). Dateien werden zuerst im Markenwissen-Editor geprüft und gespeichert; das Beschreibungsfeld bleibt davon getrennt. Optional wählen Sie eigene verbundene Accounts mit bereits gespeicherten veröffentlichten Beiträgen sowie öffentliche Instagram- oder TikTok-Profile anderer Creator. Fremde Profildaten werden über den oben beschriebenen Abrufdienst oder aus dessen vorhandenen Zwischenspeicher bezogen. Erst „Vorschläge erstellen“ speichert Beschreibung, ausgewählte Konto-IDs, Creator-Handles und bestätigten Voltis-Preis als Strategie-Anfrage und startet die Verarbeitung der ausgewählten Inhalte durch den eingesetzten KI-Anbieter. Websites werden nicht ausgelesen. Aus den Vorschlägen können Sie einen Wissensentwurf prüfen, bearbeiten, als Markdown herunterladen und gesondert als Markenwissen speichern; dies geschieht nicht automatisch.

Wenn Sie einen Eintrag als Beitragsquelle auswählen, wird eine Kopie in den Quelltext übernommen. Erst eine von Ihnen gestartete Generierung übermittelt diesen Quelltext an den dafür eingesetzten, nachfolgend beschriebenen KI-Anbieter. Änderungen oder Löschungen im Markenwissen ändern bestehende Quellenkopien und Entwürfe nicht. Diese können Sie separat bearbeiten oder löschen. Wissenseinträge sind Bestandteil des Kontodatenexports und werden bei der Kontolöschung entfernt.

8. KI-gestützte Dienste

Impulio nutzt verschiedene KI-Dienste zur Generierung und Optimierung von Inhalten. Bei Nutzung dieser Funktionen werden die von Ihnen eingegebenen Daten (Prompts, Texte, Bilder) an die jeweiligen Anbieter übermittelt.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, soweit gesondert eingeholt) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Nutzung einer KI-Funktion allein ist keine ausdrückliche Einwilligung in eine Drittlandübermittlung nach Art. 49 DSGVO. Die hierfür geltenden Übermittlungsgrundlagen sind im Abschnitt zu Drittlandübermittlungen beschrieben.

Wichtige Hinweise zur KI-Nutzung

• Übermitteln Sie keine sensiblen personenbezogenen Daten (z. B. Gesundheitsdaten, politische Meinungen) an die KI-Dienste.
• KI-generierte Inhalte können Ungenauigkeiten enthalten und sollten vor Veröffentlichung überprüft werden.
• Die Nutzung der KI-Funktionen ist optional. Sie können unseren Dienst auch ohne KI-Unterstützung nutzen.

Transparenzhinweis gemäß EU AI Act

Impulio nutzt KI-Systeme im Sinne der Verordnung (EU) 2024/1689 (EU AI Act). Impulio ist Anbieter (Provider) des KI-Systems „Impulio Studio“ im Sinne von Art. 3 Nr. 3 der Verordnung und integriert dabei über API-Schnittstellen KI-Modelle Dritter (sogenannter nachgelagerter Anbieter, „Downstream-Anbieter“). Die Pflichten für die eingesetzten KI-Modelle mit allgemeinem Verwendungszweck nach Kapitel V der Verordnung tragen die jeweiligen Modell-Anbieter, insbesondere Anthropic, OpenAI, Google, Stability AI und Replicate. Je nach Konfiguration können weitere angebundene Anbieter hinzukommen (z. B. der EU-Anbieter Scaleway); die jeweils aktiv genutzten Anbieter sind in der Auflistung der Empfänger weiter unten ausgewiesen. Nutzer, die mit der Plattform generierte Inhalte veröffentlichen, handeln insoweit als Betreiber (Deployer) der Verordnung. Sie können eigenen Offenlegungspflichten nach Art. 50 Abs. 4 unterliegen — bei Deepfake-Bild-, -Ton- und -Videoinhalten sowie bei KI-generierten oder KI-manipulierten Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren; letzteres gilt nicht, soweit die Inhalte menschlich überprüft werden und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

• Es erfolgt keine biometrische Identifizierung, Emotionserkennung oder Social Scoring.
• KI-generierte Inhalte dienen als Entwurf. Der Nutzer behält stets die redaktionelle Entscheidungshoheit über die Veröffentlichung.
• Bei Veröffentlichung von KI-generierten Inhalten auf Social-Media-Plattformen ist der Nutzer selbst für die Einhaltung etwaiger Kennzeichnungspflichten der jeweiligen Plattform verantwortlich.

Maschinenlesbare Herkunftskennzeichnung (Art. 50 EU AI Act)

Gemäß Art. 50 EU AI Act kennzeichnet Impulio Bilder, die mit unseren KI-Funktionen erzeugt oder bearbeitet werden, in einem maschinenlesbaren Format: Beim Erzeugen betten wir technische Herkunftsmetadaten in die Bilddatei ein (Content Credentials nach dem C2PA-Standard bzw. eine standardisierte IPTC-/XMP-Kennzeichnung „Digital Source Type“). Diese Markierung bleibt mit der Datei verbunden und ermöglicht es Plattformen und Prüfwerkzeugen, den Inhalt als KI-generiert zu erkennen.

• Die eingebetteten Daten umfassen technische Angaben (z. B. verwendetes KI-System/Modell, Erstellungszeitpunkt, Art der Erzeugung). Der zugrunde liegende Prompt wird nicht im Klartext eingebettet, sondern – falls gespeichert – nur als nicht rückführbarer Hashwert vermerkt.
• Die Herkunftskennzeichnung dient ausschließlich der Transparenz und Compliance; es findet kein Tracking und keine Profilbildung statt.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Art. 50 EU AI Act) i. V. m. Art. 6 Abs. 1 lit. b DSGVO.

9. Zahlungsdienste

Abonnement-Widerrufe und erneuter Vertragsabschluss

Für die Abwicklung eines Abonnement-Widerrufs verarbeiten wir die Konto- und Abonnementzuordnung, den Abschluss des Widerrufs sowie die zugehörigen Voltis-Gutschriften, Korrekturen und Guthabenbuchungen (Art. 6 Abs. 1 lit. b DSGVO). Zusätzlich speichern wir am Konto die Anzahl abgeschlossener Abonnement-Widerrufe und das zugehörige Kalenderjahr. Ab zwei solchen Widerrufen sperrt das System ausschließlich den automatischen Abschluss eines neuen Abonnements. Damit begrenzen wir wiederholte Neuabschlüsse mit anschließender Rückabwicklung. Grundlage dafür ist unser berechtigtes Interesse an der Verwaltung erneuter Vertragsangebote (Art. 6 Abs. 1 lit. f DSGVO).

Der Zähler wird am 1. Januar nach deutscher Zeit auf null zurückgesetzt. Sie können sich jederzeit an info@impulio.app wenden, um die Zuordnung prüfen oder den Neuabschluss persönlich prüfen zu lassen. Berechtigte Mitarbeitende können den Zähler zurücksetzen; dabei protokollieren wir Zeitpunkt, ausführende Person, vorherigen Stand und Begründung. Diese Nachweise dienen der Nachvollziehbarkeit der Bearbeitung. Die Zurücksetzung des Zählers löscht nicht die zugrunde liegenden Vertrags-, Buchungs- und Bearbeitungsnachweise; für diese gelten die jeweils beschriebenen Aufbewahrungsregeln. Für diese Funktion werden keine zusätzlichen Drittanbieter eingesetzt. Registrierung, Anmeldung und gesetzliche Widerrufswege werden durch den Zähler nicht gesperrt.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übermittlung Ihrer Daten an Mollie erfolgt ausschließlich zum Zweck der Zahlungsabwicklung.

Rechnungserstellung mit sevdesk

Für die Erstellung und Verwaltung von Rechnungen können wir sevdesk nutzen (sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg, Deutschland). Bei aktivierter Anbindung werden die dafür erforderlichen Namen, Unternehmens- und Rechnungsadressdaten, die E-Mail-Adresse für den Rechnungskontakt sowie Leistungsbeschreibungen, Beträge, Steuerangaben und interne Zuordnungsreferenzen an sevdesk übermittelt. Zugangsdaten Ihrer Social-Media-Konten und Ihre Social-Media-Inhalte gehören nicht zu diesem Export.

Die Verarbeitung dient der Vertragsabwicklung und der Erfüllung gesetzlicher Rechnungs- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO). Für eine Verarbeitung im Auftrag gelten die Anforderungen aus Art. 28 DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von sevdesk.

Aufbewahrung von Rechnungsdaten

Rechnungen und Buchungsbelege sind regelmäßig acht Jahre aufzubewahren (§ 14b UStG, § 147 Abs. 3 AO). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt bzw. der Buchungsbeleg entstanden ist. Für Bücher und Jahresabschlüsse gelten weiterhin zehn Jahre. Gesetzliche Verlängerungen, insbesondere wegen noch nicht abgelaufener steuerlicher Festsetzungsfristen, bleiben vorbehalten. Die Aufbewahrung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

10. E-Mail-Kommunikation

Wir versenden verschiedene Arten von E-Mails, die in folgende Kategorien unterteilt sind:

10.1 Transaktionale E-Mails (nicht abbestellbar)

• Kontobestätigung und E-Mail-Verifizierung (OTP-Codes)
• Passwort-Zurücksetzung
• Zahlungsbestätigungen, Rechnungen und Widerrufsbestätigungen
• Nach manueller Prüfung angeforderte Bestätigung einer Kündigungserklärung
• Willkommens-E-Mail mit ersten Schritten nach der Registrierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Diese E-Mails sind für den Betrieb des Dienstes erforderlich und können nicht abbestellt werden.

Öffentliche Kündigungserklärungen speichern wir mit den angegebenen Daten und dem Eingangszeitpunkt zur manuellen Bearbeitung. Nach dem Absenden geben wir einen neutralen Eingangsbeleg mit Erklärung und Eingangszeit an die angegebene E-Mail-Adresse in den Versand. Das ändert kein Abo und bestätigt keine Kontozuordnung. Kurzzeitige IP-Begrenzungen schützen das Formular. Begrenzungen je gehashter Empfängeradresse betreffen ausschließlich den Belegversand; die Erklärung wird auch bei zurückgehaltenem Versand gespeichert. Zeitpunkte der Einreihung in den Versand sowie Zurückhaltungs- und Fehlerzeitpunkte helfen bei der Nachprüfung unbestätigter Zustellung. Nach Prüfung kann ein berechtigter Administrator einen einmaligen, 24 Stunden gültigen Bestätigungslink an die zugeordnete Kontoadresse anfordern. Wir speichern dafür einen Hash der Bestätigungskennung, Anforderungs- und Ablaufzeitpunkt sowie gegebenenfalls den Bestätigungszeitpunkt. Bearbeitungsvermerke dokumentieren die Entscheidung und den zuständigen Administrator. Die Bestätigung dient der Zuordnung der Erklärung; sie legt kein Vertragsende fest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung des Vertragsverhältnisses).

10.2 Service-Benachrichtigungen (teilweise abbestellbar)

• Token-Ablauf-Warnungen und Account-Disconnects
• API-Limit- und Plan-Limit-Hinweise
• Post-Publishing-Status (veröffentlicht/fehlgeschlagen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO.

10.3 Produktivitäts-E-Mails (abbestellbar)

• Wöchentlicher Performance-Report (KPI-Zusammenfassung)
• Content-Empfehlungen und Insights
• Evergreen-Content-Benachrichtigungen (z. B. erkannte Top-Posts, Recycling-Vorschläge)
• Benachrichtigungs-Digest (konfigurierbare Frequenz: täglich oder wöchentlich)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Abmeldung über Einstellungen → Benachrichtigungen oder Ein-Klick-Link in jeder E-Mail.

10.3a Geplante Analyse-Reports an Dritte

Nutzer mit Business-Tarif können monatliche Analyse-Reports automatisch an selbst gewählte Empfängeradressen senden lassen (z. B. an eigene Kunden). Externe Empfänger müssen den Empfang für den jeweiligen Zeitplan über einen 48 Stunden gültigen E-Mail-Link und eine anschließende Bestätigung zuerst freigeben. Die Anfrage wird nur auf ausdrückliche Aktion des Nutzers versendet, nicht schon beim Speichern des Zeitplans. Verantwortlich für die Auswahl dieser Adressen ist der Nutzer. Jede Report-E-Mail enthält einen Abmeldelink sowie einen Ein-Klick-Abmeldekopf (List-Unsubscribe); eine Abmeldung wirkt für alle Report-Zeitpläne, auch die anderer Nutzer.

Für die Versandfreigabe speichern wir die Zuordnung zum Zeitplan und dessen Inhaber, einen geschützten Prüfwert der Empfängeradresse, die Sprache sowie Anfrage-, Ablauf- und Bestätigungszeitpunkte. Der Bestätigungslink liegt in der Bestätigungstabelle ausschließlich als Prüfwert; die Versandwarteschlange ist verschlüsselt. Diese Angaben werden bei Entfernung des Empfängers aus dem Zeitplan oder Löschung des Zeitplans entfernt. Sie dienen der Vermeidung unerwünschter Report-Zustellungen und dem Nachweis der jeweiligen Versandfreigabe (Art. 6 Abs. 1 lit. f DSGVO). Die Bestätigung ersetzt nicht die Verantwortung des Nutzers für eine zulässige Auswahl der Empfänger.

Zur Umsetzung der Abmeldung speichern wir die abgemeldete E-Mail-Adresse dauerhaft in einer Sperrliste. Diese Speicherung ist erforderlich, damit der Widerspruch dauerhaft wirkt – eine Löschung würde dazu führen, dass die Adresse erneut Reports erhält. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO (Nachweis des Widerspruchs).

10.4 Onboarding- und Marketing-E-Mails (abbestellbar)

• Quick-Win-Tipps und Feature-Highlights in den ersten Tagen
• Re-Engagement-E-Mails bei längerer Inaktivität

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 Nr. 2 UWG. Diese E-Mails erhalten Sie nur, wenn Sie beim Onboarding aktiv eingewilligt haben (Opt-in). Die Einwilligung können Sie jederzeit widerrufen: per Ein-Klick via signierte URL in jeder E-Mail sowie über Einstellungen → Benachrichtigungen.

10.5 Team-Kollaborations-E-Mails (abbestellbar)

• Freigabe-Anfragen und Genehmigungen/Ablehnungen
• Kommentare an Posts und @Mentions

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Team-Kontext).

Für interne Team-Freigaben speichern wir die Entscheidung, den Zeitpunkt, die entscheidende Person und einen optionalen Kommentar. Eine technische Kennung des geprüften Inhaltsstands und ein Entscheidungsbeleg verhindern, dass eine veraltete Vorschau versehentlich freigegeben oder eine Entscheidung doppelt verarbeitet wird. Diese Angaben sind dem zugehörigen Beitrag zugeordnet; die Prüfung erfolgt innerhalb unserer Anwendung.

Der E-Mail-Versand erfolgt über unseren eigenen SMTP-Server, der bei unserem Hosting-Anbieter IP-Projects in Deutschland betrieben wird. Es werden keine externen E-Mail-Dienste verwendet.

10.6 Echtzeit-Benachrichtigungen (In-App)

Innerhalb der Anwendung werden Benachrichtigungen in Echtzeit über eine Server-Sent-Events-Verbindung (SSE) zugestellt. Hierzu betreiben wir einen eigenen Mercure-Hub auf unserer Infrastruktur bei IP-Projects in Deutschland. Bei dieser Zustellung innerhalb der Anwendung werden keine Daten an Dritte übermittelt.

• Veröffentlichungs-Status (erfolgreich/fehlgeschlagen)
• Freigabe-Anfragen und Team-Kommentare
• Account-Warnungen (Verbindungsprobleme, Token-Ablauf)
• Strategie-Hinweise und System-Benachrichtigungen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Benachrichtigungspräferenzen können unter Einstellungen → Benachrichtigungen konfiguriert werden.

10.7 Browser-Push-Benachrichtigungen (optional)

Auf Wunsch können Sie Benachrichtigungen zusätzlich als Push-Nachricht in Ihrem Browser erhalten. Die Aktivierung erfolgt ausschließlich durch Sie selbst über Einstellungen → Benachrichtigungen und die anschließende Berechtigungsabfrage Ihres Browsers.

Die Zustellung läuft technisch über den Push-Dienst des jeweiligen Browser-Herstellers (Google Firebase Cloud Messaging, Mozilla Autopush oder Apple Push Notification Service). Dorthin werden der Zustell-Endpunkt Ihres Browsers und die Push-Nachricht übermittelt; je nach Anbieter kann dies eine Übermittlung in die USA bedeuten (Google LLC und Apple Inc. sind unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln). Der Inhalt der Nachricht wird dabei nach RFC 8291 verschlüsselt übertragen, sodass der Push-Dienst nur technische Zustelldaten sieht, nicht den Inhalt. Wir halten den Inhalt der Push-Nachrichten bewusst knapp (kurzer Titel und Hinweistext).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für die Speicherung der Push-Registrierung auf Ihrem Endgerät § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit unter Einstellungen → Benachrichtigungen oder in den Einstellungen Ihres Browsers widerrufen.

11. Fehlerüberwachung und Monitoring

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wir haben ein berechtigtes Interesse daran, Fehler schnell zu erkennen und zu beheben, um einen stabilen Dienst bereitzustellen.

Echtzeit-Verbindungsqualität (eigene Erhebung)

Zur Sicherstellung eines zuverlässigen Echtzeit-Betriebs erfassen wir technische Kennzahlen zur Qualität Ihrer Echtzeit-Verbindung: ob die Live-Verbindung aktiv ist oder auf eine Abruf-Aktualisierung zurückgefallen wurde, sowie die Anzahl der Wiederverbindungsversuche. Es werden ausschließlich diese Verbindungs-Metadaten verarbeitet – keine Inhalte. Die Auswertung erfolgt auf unseren in Deutschland gehosteten Servern (siehe Abschnitt Hosting) bzw. über das oben genannte Monitoring; zusätzlich bilden wir anonyme Tagessummen ohne Personenbezug.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und performanten Echtzeit-Dienst).

12. Datenübermittlung in Drittländer

Einige der von uns genutzten Dienste haben ihren Sitz außerhalb der Europäischen Union, insbesondere in den USA und dem Vereinigten Königreich.

USA (Drittland)

Für die Datenübermittlung in die USA stützen wir uns auf folgende Rechtsgrundlagen:

• EU-US Data Privacy Framework (DPF): Für Dienste, die unter dem DPF zertifiziert sind (z. B. Meta, Google), bietet dieses Rahmenwerk ein angemessenes Datenschutzniveau gemäß Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023.
• Standardvertragsklauseln (SCC): Für Dienste ohne DPF-Zertifizierung verwenden wir die von der EU-Kommission genehmigten Standardvertragsklauseln als Garantie für ein angemessenes Datenschutzniveau.
• Keine Transfer-Einwilligung allein durch Nutzung: Die Nutzung einer Funktion allein ist keine ausdrückliche Einwilligung in einen Drittlandtransfer. Art. 49 ist eine Ausnahmevorschrift und setzt bei einer Einwilligung eine gesonderte, ausdrückliche und informierte Erklärung einschließlich der Information über mögliche Risiken voraus.

Vereinigtes Königreich

Das Vereinigte Königreich verfügt über einen Angemessenheitsbeschluss der EU-Kommission, der am 19. Dezember 2025 erneuert wurde und bis zum 27. Dezember 2031 gilt (Durchführungsbeschluss der EU-Kommission, IP/25/3059). Die Datenübermittlung an Stability AI (UK) erfolgt auf dieser Grundlage.

Übersicht der Drittland-Übermittlungen

Eine konsolidierte, datierte Gesamtübersicht aller eingesetzten Auftragsverarbeiter (Unterauftragsverarbeiter) finden Sie auf der Seite Auftragsverarbeiter.

13. Link-in-Bio Seiten (impul.io)

Impulio bietet eine Link-in-Bio-Funktion, über die Nutzer eine öffentlich zugängliche Profilseite unter der Domain impul.io erstellen können. Diese Seiten sind ohne Registrierung oder Anmeldung für jeden im Internet erreichbar.

Öffentlich sichtbare Daten

Folgende vom Nutzer eingestellte Informationen sind auf der Bio-Seite öffentlich sichtbar:

• Anzeigename und Profilbild
• Bio-Text (Beschreibung)
• Links (Titel und URL)
• Produkt-/Affiliate-Blöcke (Produktname, Produktbild, Preis und Werbekennzeichnung, sofern vom Nutzer eingestellt)
• Social-Media-Verknüpfungen
• Impressum (sofern hinterlegt)

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Veröffentlichung durch den Nutzer).

Datenerhebung bei Besuchern der Bio-Seiten

Beim Aufruf einer Bio-Seite verarbeiten wir folgende Angaben für zusammengefasste Tagesstatistiken. Die Umstellung erfolgt nach dem vollständigen Update der beteiligten Systeme; bis dahin werden einzelne Ereignisse mit Uhrzeit weiterhin höchstens 90 Tage vorgehalten:

• Referrer-Plattform: Die Herkunft des Besuchs (z. B. Instagram, Twitter), abgeleitet aus dem HTTP-Referrer-Header
• Gerätetyp: Ob der Zugriff über ein Mobilgerät, Tablet oder Desktop erfolgt, abgeleitet aus dem User-Agent-Header
• Kalendertag: Aufrufe und Klicks werden nach UTC-Kalendertag zusammengezählt. Nach Aktivierung der Tageszählung enthält die Statistik keine genaue Uhrzeit eines einzelnen Besuchs oder Klicks.
• Klick-Art: Ob es sich um einen Klick auf einen Produkt-/Affiliate-Block handelt (als Konversionssignal für die Statistik des Seitenbetreibers). Es werden hierbei keine zusätzlichen personenbezogenen Daten erhoben.
• Beitragszuordnung: Enthält der Parameter utm_content die Kennung eines eigenen Beitrags des Seitenbetreibers, wird dessen Tageszähler erhöht. Freie Kampagnentexte und die übrigen UTM-Werte werden nicht in den neuen Statistikdaten gespeichert. Tageszähler werden spätestens mit der täglichen Bereinigung nach 90 Tagen gelöscht; die Gesamtzähler der Seite und ihrer Links bleiben erhalten.

Die Verarbeitung für diese Statistik erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wir haben ein berechtigtes Interesse daran, den Nutzern grundlegende Statistiken über die Nutzung ihrer Bio-Seiten bereitzustellen. Besucher von Bio-Seiten haben gemäß Art. 21 DSGVO das Recht, der Verarbeitung ihrer Daten auf Grundlage berechtigter Interessen zu widersprechen. Wenden Sie sich hierfür an die unter Abschnitt 2 genannten Kontaktdaten.

Kurzlinks für Beitrags-Links (optional): Aktiviert ein Nutzer beim Erstellen eines Beitrags die Funktion „Links kürzen“, werden Links im veröffentlichten Beitrag durch einen Kurzlink der Form impul.io/r/… ersetzt. Ruft ein Besucher einen solchen Kurzlink auf, leiten wir ihn per HTTP-Weiterleitung (302) ausschließlich an die vom Nutzer selbst hinterlegte Zieladresse weiter (ein offener Redirect ist ausgeschlossen) und zählen den Klick nach demselben cookie-freien Verfahren wie oben: Referrer-Plattform und Tageszähler, keine Cookies, keine dauerhafte IP-Speicherung, tagesrotierender Hash zur Bot-Erkennung und Deduplizierung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen Klick-Statistik für eigene Beiträge).

E-Mail-Anmeldung (Lead-Erfassung)

Nutzer können auf ihrer Bio-Seite einen Anmelde-Block einbinden, über den Besucher freiwillig ihre E-Mail-Adresse hinterlassen können (z. B. für einen Newsletter). Im Gegensatz zu den oben beschriebenen Besucherstatistiken handelt es sich hierbei um personenbezogene Daten, die dauerhaft gespeichert werden.

Trägt sich ein Besucher ein, verarbeiten wir folgende Daten:

• E-Mail-Adresse: die vom Besucher eingegebene Adresse
• Name (optional): sofern der Anmelde-Block ein Namensfeld enthält und der Besucher es ausfüllt
• IP-Adresse: wird zum Schutz vor Missbrauch und Spam-Eintragungen gespeichert

Die Eintragung erfolgt ausschließlich nach aktiver Einwilligung des Besuchers über ein Bestätigungskästchen und wird zusätzlich im Double-Opt-in-Verfahren abgesichert: Der Besucher erhält eine Bestätigungs-E-Mail mit einem Link, der 7 Tage gültig ist. Erst nach dem Klick auf diesen Link gilt die Anmeldung als bestätigt; ohne Bestätigung wird die E-Mail-Adresse nach Ablauf der Frist automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); die Speicherung der IP-Adresse zur Missbrauchsabwehr und der Versand der Bestätigungs-E-Mail stützen sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Daten werden im Auftrag und zur Nutzung durch den jeweiligen Bio-Seiten-Betreiber erhoben; dieser ist für die weitere, datenschutzkonforme Verwendung der Daten verantwortlich. Betroffene können ihre Einwilligung jederzeit widerrufen und die Löschung ihrer Daten über die in Abschnitt 2 genannten Kontaktdaten verlangen. Bio-Seiten-Betreiber können einzelne Einträge in ihrem Konto löschen oder als CSV-Datei exportieren.

Impressumspflicht und Werbekennzeichnung

Nutzer, die ihre Bio-Seiten geschäftlich nutzen, sind nach § 5 DDG (Digitale-Dienste-Gesetz) verpflichtet, ein Impressum auf ihrer Bio-Seite zu hinterlegen. Impulio stellt hierfür eine Impressum-Funktion bereit.

Links, die bezahlte Partnerschaften oder Werbung darstellen, müssen gemäß § 5a UWG und § 6 DDG als solche gekennzeichnet werden. Impulio bietet hierfür eine Werbekennzeichnung („Werbung“ / „Anzeige“) an, die beim Erstellen eines Links aktiviert werden kann.

Meldung rechtswidriger Inhalte

Gemäß Art. 16 DSA (Digital Services Act, Verordnung (EU) 2022/2065) stellen wir eine Möglichkeit bereit, potenziell rechtswidrige Inhalte auf Bio-Seiten zu melden. Meldungen können per E-Mail an die im Impressum genannte Kontaktadresse info@impulio.app eingereicht werden; bitte nennen Sie dabei die Adresse der betroffenen Bio-Seite und den Grund der Meldung. Wir prüfen eingegangene Meldungen und ergreifen bei Verstößen angemessene Maßnahmen.

Speicherdauer

14. Creator Intelligence / Nischen-Radar

Im Rahmen der Nischen-Radar-Funktion analysieren wir öffentlich zugängliche Creator-Profildaten von Instagram und TikTok, um aggregierte Nischen-Trend-Einblicke für unsere Nutzer bereitzustellen. Es werden ausschließlich öffentlich verfügbare Profilmetriken erhoben – keine privaten Daten und keine originalen Inhalte werden dauerhaft gespeichert.

Erhobene Daten

Folgende öffentlich zugängliche Daten werden verarbeitet:

• Öffentliche Profilmetriken (Follower-Anzahl, Engagement-Rate, Posting-Frequenz)
• Öffentlich sichtbare Nischen- und Themen-Kategorisierungen
• Aggregierte Wachstumstrends auf Nischen-Ebene
• Beispiel-Posts (nur temporär zur Analyse, nicht dauerhaft gespeichert)

Speicherdauern

Datenverarbeitung durch Dritte

Für die Erhebung und Analyse der Daten werden folgende Dienste eingesetzt:

• Apify (Apify Technologies s.r.o., Tschechien, EU): Abruf öffentlich verfügbarer Creator-Profildaten als Vermittlungsdienst
• Anthropic Claude (Anthropic, PBC, USA): KI-gestützte Analyse zur Generierung aggregierter Nischen-Einblicke

Rechtsgrundlage

Die Verarbeitung öffentlich zugänglicher Creator-Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse besteht darin, unseren Nutzern aggregierte Markteinblicke und Nischen-Analysen bereitzustellen, die sie bei der strategischen Planung ihrer Inhalte unterstützen.

Es werden dabei nur öffentlich zugängliche Profilmetriken verarbeitet. Eine Identifizierung oder Profilbildung einzelner Personen ist nicht Zweck der Verarbeitung – die Daten dienen ausschließlich der aggregierten Nischen-Analyse.

Creator-Opt-Out

15. Reichweiten- und Kampagnen-Erfolgsmessung

Wir messen den Erfolg unserer Werbe- und Reichweiten-Maßnahmen ausschließlich first-party und server-seitig. Es werden keine Cookies gesetzt, kein clientseitiges Tracking-Skript geladen, keine Daten an Dritte (insbesondere nicht an Google oder in die USA) übermittelt. Eine Einwilligung nach § 25 TDDDG ist hierfür nicht erforderlich, da kein Zugriff auf Ihr Endgerät erfolgt.

Verarbeitete Daten

Im Rahmen dieser Messung verarbeiten wir ausschließlich Daten, die beim Aufruf unserer Website sowie bei der Nutzung unseres Dienstes anfallen:

• Kampagnen-Parameter der aufgerufenen URL ( utm_source, utm_medium, utm_campaign, utm_term, utm_content)
• Google-Klick-Kennungen (gclid, gbraid, wbraid) – diese sind mit Ihrem Konto verknüpft und gelten als personenbezogene Daten
• Referrer-Ursprung und erster aufgerufener Pfad (jeweils ohne Abfrageparameter, auf das erste Pfadsegment gekürzt)
• Zeitpunkte des Erreichens von Funnel-Stufen: Registrierung, E-Mail-Bestätigung, Aktivierung, Test-/Trial-Start, Zahlung
• Beim Zahlungs-Ereignis zusätzlich: der tatsächlich gezahlte Betrag der ersten Zahlung und der gewählte Tarif. Diese Werte dienen ausschließlich der internen, aggregierten Auswertung des Kampagnenerfolgs (Umsatz je Kanal/Kampagne) und werden nicht an Dritte – insbesondere nicht an Werbenetzwerke – übermittelt.
• Ggf. verwendeter Aktions-Gutscheincode: Wenn Sie über einen Kampagnen-Link mit Gutscheincode zu uns kommen oder beim Abschluss einen Aktionscode einlösen, wird der Code Ihrem Akquise-Datensatz zugeordnet (Details in Abschnitt 16).

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfolgsmessung und Optimierung unserer Werbung). Eine entsprechende Interessenabwägung wurde durchgeführt.

Speicherdauer

Widerspruchsrecht

Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen. Wenden Sie sich hierzu an die im Impressum bzw. unter Abschnitt 2 (Verantwortlicher) genannte Adresse. Wir löschen dann Ihren Akquise-Datensatz und entfernen den Personenbezug der zugehörigen Funnel-Ereignisse.

16. Gutschein-/Aktionseinlösung

Wenn Sie einen Aktions-Gutschein einlösen, verarbeiten wir die dazu erforderlichen Daten ausschließlich innerhalb unserer eigenen Infrastruktur in Deutschland – ohne Weitergabe an Dritte.

Es gibt zwei Arten von Gutscheinen: Test-Gutscheine gewähren einen kostenfreien Pro-Testzeitraum (z. B. „X Monate gratis“). Nach Ablauf des Testzeitraums erfolgt automatisch ein Rückfall auf den kostenlosen Free-Tarif; es entsteht keine Zahlungsverpflichtung, sofern Sie nicht eigenständig ein kostenpflichtiges Abonnement abschließen. Rabatt-Gutscheine reduzieren den Preis einzelner Zahlungen eines kostenpflichtigen Abonnements, das Sie selbst im Checkout abschließen; der rabattierte erste Betrag und der reguläre Folgepreis werden vor dem Kauf angezeigt.

Verarbeitete Daten

• Zuordnung zum Nutzerkonto: Verknüpfung der Einlösung mit Ihrem Impulio-Konto
• Eingelöster Gutscheincode und zugehörige Kampagnenbezeichnung
• HMAC-Hash der normalisierten E-Mail-Adresse: Ein kryptografischer Einweg-Hash Ihrer E-Mail-Adresse (kein Klartext, nicht rückführbar). Er dient ausschließlich dazu, Mehrfacheinlösungen über verschiedene Konten oder Alias-Adressen desselben Postfachs zu erkennen und zu verhindern.
• Conversion-Status: Ob nach Ablauf eines kostenfreien Testzeitraums ein kostenpflichtiges Abonnement abgeschlossen wurde (boolescher Wert: ja/nein). Wird ausschließlich für aggregierte, nicht personenbezogene Auswertungen des Aktionserfolgs genutzt.
• Bei Rabatt-Gutscheinen zusätzlich: der Status der Einlösung (vorgemerkt, eingelöst, freigegeben), der tatsächlich gewährte Rabattbetrag und die Referenz auf die zugehörige Bestellung. Genutzt zur Abrechnung, zur Verhinderung von Mehrfacheinlösungen und für die aggregierte Aktionsauswertung.

Zweck

• Abwicklung der Gutscheineinlösung im Rahmen des Nutzungsverhältnisses
• Schutz vor Mehrfacheinlösung und Missbrauch (mehrere Konten, Alias- oder Wegwerf-E-Mail-Adressen)
• Aggregierte, nicht personenbezogene Auswertung des Aktionserfolgs (Kampagne + Conversion-Status); die Auswertung erfolgt ausschließlich aus den Gutscheindaten, nicht über das allgemeine Akquise- oder Nutzungs-Tracking

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Gutscheineinlösung im Rahmen des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und der Auswertung des Aktionserfolgs). Eine Interessenabwägung wurde durchgeführt; der E-Mail-Hash ersetzt den Klartextwert und minimiert den Personenbezug auf das technisch notwendige Minimum.

Speicherdauer

Bei Gutscheinen ohne Zuordnung zu einer Aktion entfernen wir den normalisierten E-Mail-Hash bei der endgültigen Kontolöschung. Bis dahin bleibt er auch bei einem bereits gesperrten oder zur Löschung vorgemerkten Konto erhalten. Die Verknüpfung der Einlösung mit dem Konto wird bei der endgültigen Löschung ebenfalls entfernt. Der Einlösenachweis mit Gutscheinreferenz, Zeitpunkt, gewährtem Vorteil und Status bleibt für die Einlösestatistik und verbrauchte Kontingente bestehen. Bei Rabatten bleiben auch Rabattbetrag sowie vorhandene Bestell- und Zahlungsreferenzen erhalten; diese können weiterhin einen Bezug zu gesetzlich aufzubewahrenden Abrechnungsbelegen ermöglichen. Es werden daher nicht sämtliche Einlösedaten gelöscht.

Für Aktionsrabatte und Startguthaben bleiben Einlöse- und Gutschriftsnachweise einschließlich des normalisierten E-Mail-Hashes nach einer Kontolöschung ohne Kontobezug zur Missbrauchsverhinderung bis 180 Tage nach Aktionsende erhalten. Danach werden der E-Mail-Hash und die frühere Kontokennung entfernt. Einzelheiten stehen im Abschnitt Aktionen und Gutscheincodes. Gesetzliche Aufbewahrungsfristen für Rechnungen bleiben unberührt.

17. Empfehlungsprogramm

Impulio betreibt ein Empfehlungsprogramm („Freunde werben Freunde“), über das bestehende Nutzer neue Nutzer durch Teilen eines persönlichen Einladungslinks werben können. Die nachfolgenden Angaben beschreiben, welche personenbezogenen Daten dabei verarbeitet werden.

Verarbeitete Daten

• Referral-Zuordnung: Beim Abschluss einer erfolgreichen Empfehlung wird dem geworbenen Nutzerkonto die Benutzer-ID des werbenden Nutzers (referrer_user_id) als Bestandsdatum zugeordnet.
• Referral-Status und -Verlauf: Zeitpunkt der Registrierung über den Einladungslink, Zahlungsstatus und Wartezeit (30 Tage), sowie ob und wann eine Prämie gutgeschrieben wurde.
• Missbrauchserkennung: Zur Erkennung von Selbst- oder Mehrfach-Werbung können Heuristiken eingesetzt werden, z. B. ein HMAC-Hash der normalisierten E-Mail-Adresse oder ein anonymisiertes Zahlungsidentitätsmerkmal. Rohe E-Mail-Adressen Dritter werden dabei nicht gespeichert.

Zweck

• Abwicklung des Empfehlungsprogramms und Prämienvergabe an den werbenden Nutzer
• Schutz vor Missbrauch (Mehrfach- und Selbst-Werbung)

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Empfehlungsprogramms im Rahmen des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und der ordnungsgemäßen Prämienvergabe).

Zur Missbrauchsvermeidung prüfen wir Empfehlungen anhand vorhandener Bestandsdaten (z. B. Häufung in kurzer Zeit, wiederkehrende E-Mail-Identität) und markieren auffällige Fälle zur manuellen Prüfung. Es werden dafür keine zusätzlichen personenbezogenen Daten erhoben (keine IP- oder Geräte-Speicherung); Markierungen werden nach spätestens 180 Tagen entfernt. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Verhinderung von Programm-Missbrauch.

Speicherdauer

Die Referral-Zuordnung (referrer_user_id) und der Prämienstatus werden für die Dauer des Nutzerkontos gespeichert und mit dessen endgültiger Löschung automatisch entfernt. Heuristik-Daten zur Missbrauchserkennung werden spätestens nach 180 Tagen gelöscht.

18. Kommentar- und Interaktionsverwaltung (Engagement-Postfach)

Impulio bietet ein Engagement-Postfach, mit dem Sie Kommentare zu Ihren eigenen, über Impulio verknüpften und veröffentlichten Beiträgen zentral einsehen, sortieren und beantworten können. Hierfür rufen wir über die offiziellen Plattform-APIs die Kommentare zu Ihren Beiträgen ab und speichern sie in unserer Datenbank in Deutschland. Es werden ausschließlich Kommentare zu Ihren eigenen Beiträgen verarbeitet.

Kommentare stammen von Dritten (den kommentierenden Personen auf der jeweiligen Plattform). Wir verarbeiten dabei nur die Angaben, die die Plattform-API zu einem öffentlich sichtbaren Kommentar bereitstellt.

Verarbeitete Daten

• Angaben zur kommentierenden Person: öffentlicher Anzeigename, öffentlicher Benutzername (@-Handle), die plattforminterne Profil-Kennung sowie – sofern von der Plattform bereitgestellt – die URL des öffentlichen Profilbilds. Wir speichern keine IP-Adresse und keinen IP-Hash der kommentierenden Person.
• Kommentarinhalt: der Text des Kommentars, etwaige darin enthaltene @-Erwähnungen (als Bestandteil des Textes), die Anzahl der Likes und Antworten sowie der Zeitpunkt der Kommentierung.
• Plattform- und Zuordnungsdaten: die Plattform (z. B. Instagram, Facebook, Threads), die Plattform-Kennungen des Kommentars und des zugehörigen Beitrags, die Kennung eines etwaigen übergeordneten Kommentars sowie die Verknüpfung mit Ihrem Impulio-Konto bzw. Ihrem Team.
• Bearbeitungsstatus: der von Ihnen oder Ihrem Team gesetzte Triage-Status (z. B. ungelesen/erledigt) und eine Priorität, ob der Kommentar von Ihrem eigenen Konto stammt sowie ob er ausgeblendet ist.
• Ihre Antwort: der von Ihnen verfasste Antworttext, der Zeitpunkt der Antwort und das antwortende Team-Mitglied. Ihre Antwort wird über die Plattform-API als Kommentar-Antwort veröffentlicht.

Zweck

• Einsehen, Sortieren und Beantworten der Kommentare zu Ihren eigenen Beiträgen an einer zentralen Stelle (Engagement-Postfach)
• Verwaltung der Interaktion mit Ihrer Community im Team
• Optionale Erstellung von KI-gestützten Antwortvorschlägen zu einzelnen Kommentaren (siehe „KI-gestützte Antwortvorschläge“ unten)

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Verwaltung und Beantwortung von Kommentaren zu Ihren Beiträgen im Rahmen des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Verwaltung der Community-Interaktion). Verantwortlich für die Beantwortung und Verarbeitung der Kommentare im Engagement-Postfach sind Sie als Betreiber Ihrer Social-Media-Konten; Impulio stellt hierfür die technische Verarbeitung als Auftragsverarbeiter bereit.

KI-gestützte Antwortvorschläge

Auf Ihre ausdrückliche Aktion hin (Tippen auf „Antwortvorschläge“) erzeugen wir zu einem einzelnen Kommentar bis zu zwei kurze, bearbeitbare Antwortentwürfe in Ihrer Creator-/Marken-Stimme. Dazu wird der Text des betreffenden Kommentars (Inhalt der kommentierenden Person) zusammen mit dem Kontext Ihres Beitrags an unseren KI-Anbieter Anthropic (Anthropic, PBC, USA) übermittelt (siehe Abschnitt 8). Die Vorschläge sind reine Entwürfe: Sie werden Ihnen nur angezeigt, niemals automatisch gesendet, und Sie entscheiden frei, ob und in welcher Form Sie antworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Ihr berechtigtes Interesse an einer effizienten Beantwortung von Kommentaren zu Ihren Beiträgen). Die Rechtsgrundlage für die Verarbeitung ist von der Grundlage für die Übermittlung in die USA zu unterscheiden; hierzu siehe Abschnitte 8 und 12. Für Anthropic gelten die in Abschnitt 8 beschriebenen Standardfristen und Ausnahmen, auch für Kommentarvorschläge. Wir übermitteln dabei ausschließlich den Kommentartext und den Beitragskontext – keinen Anzeigenamen, @-Handle oder die Profil-Kennung der kommentierenden Person – und speichern die erzeugten Entwürfe nicht dauerhaft.

Speicherort und Speicherdauer

Die Kommentardaten werden in unserer Datenbank in Deutschland gespeichert. Sie werden spätestens mit der Löschung Ihres Nutzerkontos, der Trennung der zugehörigen Plattform-Verknüpfung oder der Löschung des zugehörigen Beitrags entfernt. Maßgeblich für den öffentlich sichtbaren Kommentar bleibt stets die jeweilige Plattform; eine Löschung in Impulio entfernt nur die bei uns gespeicherte Kopie.

19. KI-Assistenten verbinden (MCP-Schnittstelle)

Sie können optional einen externen KI-Assistenten (z. B. Claude von Anthropic, ChatGPT von OpenAI oder Cursor) per OAuth 2.1 mit Ihrem Impulio-Konto verbinden. Die MCP-Schnittstelle ist ein zusätzlicher Zugangsweg zu Ihren Kontodaten neben Oberfläche und API. Sie wählen den Assistenten selbst und geben den Zugriff ausdrücklich frei; Impulio beauftragt dessen Anbieter dadurch nicht. Der verbundene Assistent erhält lesenden Zugriff auf Ihren Inhaltskalender, Ihre Ideen-Bibliothek, Ihre Content-Strategie, Ihre Analytics-Übersicht und Ihre Trend-Vorschläge. Sofern Sie im Autorisierungsbildschirm zusätzlich der Entwurfs-Berechtigung zustimmen (Berechtigungsumfang „mcp:write“), kann der Assistent außerdem Content-Ideen und Beitragsentwürfe in Ihrem Konto anlegen. Ein weitergehender Schreibzugriff besteht nicht: Der Assistent kann insbesondere nichts veröffentlichen, einplanen, ändern oder löschen; jeder Entwurf wartet in Ihrem Konto auf Ihre Prüfung und Freigabe.

Wenn der Assistent eine Auftragskennung zur Wiederaufnahme mitsendet, speichern wir diese Kennung, einen Prüfwert der Eingabe, den Auftragstyp, die Kennung des angelegten Inhalts und Zeitpunkte in Ihrem Konto. So wird ein wiederholter Auftrag nach einer verlorenen Antwort nicht noch einmal angelegt. Der Nachweis enthält keine zusätzliche Kopie des Textes. Er bleibt auch nach dem Entfernen des Inhalts oder Trennen des Assistenten bis zur Löschung Ihres Kontos bestehen, damit alte Wiederholungen gelöschte Inhalte nicht neu anlegen. Die Auftragsdaten sind Teil Ihres Datenexports; bei der Kontolöschung werden die Nachweise entfernt.

Empfänger und Verantwortlichkeit

Empfänger ist der von Ihnen verbundene Client beziehungsweise dessen Anbieter. Für die dortige Verarbeitung gelten dessen Datenschutzhinweise und Ihr jeweiliges Kontomodell. Der Anbieter kann als eigener Verantwortlicher oder bei einem Geschäftskonto nach den mit Ihnen vereinbarten Bedingungen als Auftragsverarbeiter handeln. Durch Ihre MCP-Freigabe wird er nicht zum Auftragsverarbeiter von Impulio.

Rechtsgrundlage

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, die Sie über unsere vorgesehenen Authverfahren und den OAuth-Autorisierungsbildschirm für die angezeigten Berechtigungen ausdrücklich erteilen). Ohne diese Freigabe erhält der Connector keinen Zugriff. Daten werden nur im freigegebenen Umfang auf Abruf des verbundenen Clients bereitgestellt.

Drittland

Je nach verbundenem Anbieter und Kontomodell können Daten auch in den USA verarbeitet werden. Für private Konten im EWR nennen Anthropic und OpenAI ihre irischen Gesellschaften als Verantwortliche. Ihre Datenschutzhinweise beschreiben für Weiterübermittlungen Angemessenheitsbeschlüsse und Standardvertragsklauseln. Cursor (Anysphere, USA) beschreibt eine mögliche Verarbeitung in den USA; für Geschäftskonten enthält sein Datenverarbeitungszusatz Standardvertragsklauseln. Ob diese für Ihre Verbindung gelten, richtet sich nach dem jeweiligen Kundenvertrag. Diese Anbieterangaben ersetzen nicht die Prüfung des konkreten Empfängers und der auf die Verbindung anwendbaren Transfergrundlage nach Art. 44 ff. DSGVO. Die Authfreigabe allein ist keine ausdrückliche Transfer-Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Informationen zu Empfängern und Schutzmaßnahmen können Sie unter datenschutz@impulio.app anfordern.

Anbieterinformationen: Anthropic (Abschnitte 5 und 9) und OpenAI (Abschnitte 10 und 12) sowie Cursor und dessen Datenverarbeitungszusatz.

Widerruf

Sie können die Verbindung jederzeit unter Einstellungen, Integrationen, KI-Verbindung widerrufen. Die zugehörigen Zugriffstokens werden dabei sofort ungültig.

21. Diagnose des Einstiegs und erster Nutzungsergebnisse

Um Fehler beim Anmelden, Einrichten und Speichern eigener Inhalte zu erkennen, verarbeiten wir begrenzte technische Ereignisse auf unseren eigenen Servern in Deutschland. Dazu gehören der betroffene Schritt, Beginn oder Ergebnis eines Versuchs, eine allgemeine Fehlerklasse (z. B. Verbindungsfehler), die grobe Bildschirmklasse und der serverseitige Empfangszeitpunkt. Bei einer gültigen Anmeldung wird das Ereignis dem Konto zugeordnet; ansonsten bleibt diese Zuordnung leer. Inhalte, Eingaben, vollständige URLs und rohe Fehlermeldungen werden in diesen Ereignissen nicht gespeichert.

Zufällige Ereignis-, Versuchs- und Sitzungskennungen dienen der Unterscheidung technischer Versuche. Die Sitzungskennung besteht nur im Arbeitsspeicher der geöffneten Seite; hierfür werden keine Cookies oder Browser-Speichereinträge angelegt. Die ergänzende Browserdiagnose betrifft den Einstieg und die ersten 30 Tage eines Kontos und beachtet die Einstellung „Do Not Track“. Bei einer unterbrochenen Verbindung bleiben höchstens 20 Ereignisse ausschließlich im Arbeitsspeicher. Eine erneute Zustellung ohne Anmeldung erfolgt nur innerhalb einer Stunde. Ältere Einträge werden beim nächsten Zustellversuch verworfen; beim Schließen der Seite wird der Arbeitsspeicher freigegeben. Technische Einzelereignisse werden nach 30 Tagen gelöscht. Zum Schutz vor übermäßigen anonymen Anfragen verwenden wir im serverseitigen Cache einen geheimnisgeschützten, täglich wechselnden Prüfwert aus IP-Adresse und UTC-Tag mit einem Zähler. Er verfällt zum nächsten UTC-Tageswechsel. Die IP-Adresse und der Prüfwert werden nicht in den Diagnoseereignissen gespeichert.

Zusätzlich speichern wir am Konto den Zeitpunkt des ersten eigenen gespeicherten Inhalts, einer gestalteten Linkseite, der ersten Einplanung bzw. Veröffentlichung und eines beobachteten erneuten Öffnens in der zweiten Woche. Diese Zeitpunkte bleiben für die Dauer des Kontos erhalten und werden für interne, aggregierte Auswertungen verwendet. Eine Einrichtung allein gilt dabei nicht als eigenes Ergebnis. Es erfolgt keine Übermittlung dieser Diagnosedaten an Werbenetzwerke oder zusätzliche Analyseanbieter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, technische Abbrüche zu beheben und die Nutzbarkeit des Dienstes zu prüfen. Sie können dieser Verarbeitung nach Art. 21 DSGVO über die in Abschnitt 2 genannte Kontaktadresse widersprechen. Die Rechte auf Auskunft und Löschung gelten auch für diese kontobezogenen Daten.