Datenschutzerklärung

1. Verantwortlicher

Ouchiner — vereinfachte Aktiengesellschaft mit einem Alleingesellschafter (SASU) mit einem Stammkapital von 1.000 €, eingetragen im Handels- und Gesellschaftsregister Épinal unter der Nummer 106 905 938, Sitz: 39 rue Alix le Clerc, 88500 Poussay, Frankreich, vertreten durch ihren Präsidenten Herrn Stéphane Perry.
Kontakt: [email protected] — Website: ouchiner.com

2. Erhobene Daten

Daten	Zweck	Rechtsgrundlage	Speicherdauer
E-Mail-Adresse	Kontoerstellung, transaktionsbezogene Mitteilungen	Vertragserfüllung	Bis zur Löschung des Kontos (Creator-Partner: siehe unten)
Passwort (gehasht, PBKDF2 mit 100.000 Iterationen)	Authentifizierung (Profi-, Shop- und Botschafterbereich)	Vertragserfüllung	Dauer des Kontos
Telefonnummer (Pro-Benachrichtigungen mit SMS-Option)	Versand der Benachrichtigungen per SMS	Vertragserfüllung	Dauer des Kontos; in Protokollen maskiert (letzte 4 Ziffern gespeichert)
Shop- und Veranstaltungsangaben	Anzeige auf der Karte	Vertragserfüllung	Dauer des Abonnements
Hochgeladene Fotos	Bebilderung des Eintrags	Vertragserfüllung	Dauer des Abonnements
Über den Nachrichtendienst ausgetauschte Nachrichten, Fotos und PDFs	Direkte Kommunikation zwischen Sammlern und Händlern (Kontaktaufnahme zu einem Eintrag)	Vertragserfüllung	365 Tage, danach automatische Löschung; Anhänge bei Cloudflare (R2) gespeichert; alles wird bei Kontolöschung entfernt
Zahlungsdaten	Zahlungsabwicklung (über Stripe)	Rechtliche Verpflichtung	10 Jahre (handelsrechtliche Aufbewahrungspflicht)
GPS-Standort (optional)	Funktion „In meiner Nähe“	Einwilligung	Nicht gespeichert — nur für die Sitzung
IP-Adresse bei der Registrierung	Nachweis der Einwilligung, Missbrauchsbekämpfung	Berechtigtes Interesse	Höchstens 13 Monate
Daten eines abgemeldeten Abonnenten	Ermöglichung der erneuten Anmeldung (Link 30 Tage gültig), danach Löschung	Berechtigtes Interesse	12 Monate nach der Abmeldung, danach automatische und endgültige Löschung

3. Cookies und Tracker

OuChiner verwendet keine Werbe-Cookies und keine Profiling-Tracker, und es ist kein Einwilligungsbanner erforderlich: Wir setzen ausschließlich technisch notwendige Cookies (Sitzung, Einstellungen) sowie Werkzeuge zur Reichweiten- und Qualitätsmessung ein, die ohne Cookies und ohne personenbezogene Daten arbeiten. Eine Ausnahme, die in der nachstehenden Tabelle erläutert wird: Die Kartenbibliothek Mapbox schreibt eine technische Kennung in den lokalen Speicher Ihres Browsers, sobald eine Karte angezeigt wird.

Cookie / Werkzeug	Art	Dauer	Zweck
session, admin_session, amb_session	Notwendig	Sitzung (8 Std. bis 30 Tage)	Aufrechterhaltung der Anmeldung
localStorage (Token, Standort)	Notwendig	Dauerhaft	PWA-Authentifizierung + zwischengespeicherter Standort für die Funktion „In meiner Nähe“
localStorage mapbox.eventData	Von Mapbox gesetzt	Dauerhaft	Technische Kennung, die die Kartenbibliothek Mapbox beim Anzeigen einer Karte für ihre eigene Nutzungsmessung schreibt. Kann durch Löschen der Website-Daten im Browser entfernt werden. Datenschutzerklärung: mapbox.com/legal/privacy
Plausible Analytics	Anonyme Statistiken	Keine Cookies	Zählung der Besuche, ohne individuelles Tracking und ohne Profilbildung. Von der Einwilligungspflicht befreit (gemäß CNIL).
Cloudflare Web Analytics	Anonyme Statistiken	Keine Cookies	Leistung und Besucheraufkommen, ohne individuelles Tracking
Sentry	Fehlerüberwachung (ohne Cookies)	30 Tage	Erkennung von JavaScript-Fehlern im Modus ohne personenbezogene Daten (keine IP-Adresse, keine Identität, keine Sitzungsaufzeichnung). Grundlage: berechtigtes Interesse.

Da kein Tracking-Cookie gesetzt wird, ist keine Einwilligungsentscheidung zu verwalten. Um der Verarbeitung zur Reichweiten- oder Qualitätsmessung (berechtigtes Interesse) zu widersprechen, schreiben Sie an [email protected].

4. Weitergabe der Daten — Auftragsverarbeiter

Ihre Daten werden niemals verkauft. Sie können an die folgenden Auftragsverarbeiter weitergegeben werden, und zwar ausschließlich im für die Leistungserbringung erforderlichen Umfang:

• Stripe (Zahlungen) — E-Mail-Adresse und Kartendaten werden bei einer Zahlung übermittelt. Datenschutzerklärung: stripe.com/privacy
• Resend (Transaktions-E-Mails) — E-Mail-Adresse zur Versendung von Bestätigungen, Benachrichtigungen und Hinweisen sowie, für Creator-Partner, der in ihrem Namen erstellten Rechnungen (als Anhang). Resend speichert die Nachrichten in den USA (siehe unten). Datenschutzerklärung: resend.com/legal/privacy-policy
• OVH SMS (SMS-Versand für Pro-Abonnenten mit SMS-Option) — die Telefonnummer wird ausschließlich im Moment des Versands übermittelt. Datenschutzerklärung: ovhcloud.com/de/personal-data-protection
• Mapbox (Karten und Geokodierung) — Adresssuchanfragen können die von Ihnen eingegebenen Begriffe enthalten. Datenschutzerklärung: mapbox.com/legal/privacy
• Cloudflare (Hosting und Datenbank) — sämtliche Daten des Dienstes werden bei Cloudflare gehostet. Datenschutzerklärung: cloudflare.com/privacypolicy
• Sentry (Überwachung von JavaScript-Fehlern, im Modus ohne personenbezogene Daten) — Datenschutzerklärung: sentry.io/privacy
• Plausible / Cloudflare Web Analytics (anonyme Statistiken ohne Cookies, siehe §3)
• Open-Meteo (Wettervorhersagen für Flohmarkt-Benachrichtigungen) — es werden die ungefähren GPS-Koordinaten der Veranstaltung übermittelt. Keine personenbezogenen Daten. Nutzungsbedingungen: open-meteo.com/en/terms
• Anthropic (Unterstützung durch künstliche Intelligenz — Claude-API) — je nach Funktion können übermittelt werden: Beschreibungen und Fotos der von Händlern veröffentlichten Objekte und Einträge (Analyse und Verfassen von Anzeigen), der Inhalt eingereichter Veranstaltungsmeldungen, die öffentlichen Beiträge unserer Social-Media-Konten sowie die auf diesen Konten eingehenden Nachrichten (Text und öffentlicher Anzeigename des Absenders), um einen Antwortentwurf vorzubereiten. Diese Daten werden nicht zum Training der Modelle verwendet. Datenschutzerklärung: anthropic.com/legal/privacy
• OpenAI (Erstellung der Illustrationen für unsere Social-Media-Beiträge) — es werden keine Nutzerdaten übermittelt, sondern ausschließlich von OuChiner verfasste Bildbeschreibungen. Datenschutzerklärung: openai.com/policies/privacy-policy
• DataForSEO (Keyword-Recherche für den Blog) — es werden keine Nutzerdaten übermittelt
• Französische Unternehmenssuch-API (annuaire-entreprises.data.gouv.fr) — die von einem Creator-Partner eingegebene SIRET-Nummer wird an diese öffentliche staatliche Schnittstelle übermittelt, um Bestehen und Tätigkeit des Betriebs zu prüfen und dessen Firmenbezeichnung und Anschrift abzurufen.
• VIES (Dienst der Europäischen Kommission zur Prüfung von Umsatzsteuer-Identifikationsnummern) — die Umsatzsteuer-Identifikationsnummer eines Creator-Partners, der angibt, Umsatzsteuer zu berechnen, wird dort geprüft. Die Kommission handelt im Auftrag der Steuerverwaltungen der Mitgliedstaaten und speichert die Daten nicht; wir behalten nur das Ergebnis der Prüfung.
• Billit (zugelassene Plattform für die elektronische Rechnungsstellung) — ausschließlich für Creator-Partner und nur zum Zeitpunkt einer Zahlung: Firmenbezeichnung, SIRET-Nummer, Anschrift, gegebenenfalls Umsatzsteuer-Identifikationsnummer, E-Mail-Adresse sowie Bankverbindung, soweit für die Gutschriftsanzeige erforderlich. Billit sendet selbst eine Kopie der Rechnung an diese E-Mail-Adresse. Datenschutzerklärung: billit.eu/de-de/privacy

Botschafterprogramm

Wenn Sie Botschafter sind, wird Ihr Instagram-Konto — Benutzername, Biografie-Text und Website — regelmäßig über die offizielle Schnittstelle von Meta abgerufen, ausschließlich um zu prüfen, ob Ihr OuChiner-Link dort steht, und nur, wenn es sich um ein öffentliches professionelles Konto handelt. Für jede Prüfung speichern wir ihr Datum, den gelesenen Benutzernamen und ihr Ergebnis (Link gefunden, Link fehlt oder Konto nicht lesbar); wenn wir Ihr Profil selbst ansehen und den Link dort nicht finden, vermerken wir das Datum dieser Feststellung. Diese Vermerke werden bei der täglichen Prüfung gelöscht, die auf die Löschung Ihres Kontos folgt. Der Biografie-Text wird nicht gespeichert; nur der Anzeigename Ihres Kontos, der auf Ihrer Botschafter-Karte erscheint, wird 24 Stunden zwischengespeichert. Rechtsgrundlage: Erfüllung des zwischen uns bestehenden Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Die über Ihren Link vermittelten Besuche werden ohne Cookies gezählt. Für jeden Besuch speichern wir einen Fingerabdruck der IP-Adresse des Besuchers (gesalzener Hash: Er verrät die Adresse nicht, es handelt sich aber um pseudonymisierte, nicht um anonyme Daten), sein Land, seine Geräteart und das Datum; der Fingerabdruck dient ausschließlich dazu, dieselbe Person nicht doppelt zu zählen und Ihre eigenen Besuche auszuschließen, und niemals ihrer Identifizierung. Der verwendete Browser und die verweisende Seite, mit denen wir Bots aussortieren und die über die Seite der Botschafter eingehenden Besuche zählen, werden nach 90 Tagen gelöscht; alles Übrige wird aufbewahrt, solange Ihr Botschafter-Konto besteht, und mit ihm gelöscht.

Programm „Creator-Partner“

Wenn Sie Creator-Partner werden, verarbeiten wir zusätzlich die folgenden Daten, um Ihre Aufträge auszuführen, Sie zu bezahlen und Rechnungen in Ihrem Namen auszustellen (Gutschriftsvereinbarung für Creator-Partner):

• Ihr Instagram-Konto: Benutzername, dauerhafte Kennung, Anzeigename und Profilbild, Zahl der Follower und Beiträge, abgerufen über die offizielle Schnittstelle von Meta — nur bei einem öffentlichen professionellen Konto. Die Follower-Zahl wird täglich erfasst, solange Sie angemeldet sind: Sie bestimmt den Preis eines Auftrags. Wenn Sie ein Video, ein Karussell oder eine Verlinkung als veröffentlicht melden („Ist online“), wird auch die Liste Ihrer letzten Beiträge abgerufen — Art, Datum und Bildunterschrift —, um den Beitrag dort zu finden: nach der Annahme des Auftrags veröffentlicht und mit Ihrem Link (bei einer Verlinkung: @ouchiner.official). Solange er nicht gefunden ist, wird diese Liste jede Nacht erneut abgerufen; vor der Freigabe und vor der Zahlung wird der Beitrag erneut abgerufen.
• Die Veröffentlichung, die Sie melden: Link und Datum des auf Ihrem Konto gefundenen Beitrags — oder eines dort gefundenen Beitrags, der Ihrem Auftrag nicht zugeordnet werden konnte — und, falls Sie einen beifügen, der Screenshot, gespeichert, aber niemals veröffentlicht: Nur das OuChiner-Team sieht ihn ein, und jede Einsichtnahme in einen Screenshot wird protokolliert.
• Aufrufe Ihres Download-Links (ouchiner.com/app?c=…): ein einfacher monatlicher Zähler, den Sie in Ihrem Bereich sehen — über die Personen, die ihn öffnen, wird nichts gespeichert.
• Ihre SIRET-Nummer sowie Firmenbezeichnung und Anschrift Ihres Betriebs, automatisch aus dem SIRENE-Register abgerufen — Pflichtangaben auf einer Rechnung.
• Ihre Umsatzsteuer-Identifikationsnummer, aus Ihrer SIREN-Nummer abgeleitet, sofern Sie angeben, Umsatzsteuer in Rechnung zu stellen.
• Ihre Bankverbindung (IBAN und Kontoinhaber), in der Datenbank verschlüsselt gespeichert und ausschließlich im Moment einer Überweisung entschlüsselt. Jeder Zugriff wird protokolliert.
• Ihre Aufträge (Bestellscheine, Status, Daten) und die in Ihrem Namen ausgestellten Rechnungen.

Rechtsgrundlage: Erfüllung des zwischen uns bestehenden Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie Erfüllung unserer handels- und steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c). Speicherdauer: Follower-Erfassungen 180 Tage; abgelehnte, abgelaufene oder stornierte Anfragen sowie nicht erbrachte oder nicht konforme Aufträge 12 Monate; bezahlte Aufträge — Auftrag, Unterlagen zur Prüfung der Veröffentlichung und Rechnung — 10 Jahre (Artikel L123-22 des französischen Handelsgesetzbuchs). Wenn Sie Ihr Konto löschen, werden Ihre offenen Anfragen storniert, und Ihre Bankverbindung wird nur so lange aufbewahrt, wie es für die Bezahlung eines bereits gemeldeten Beitrags („Ist online“) nötig ist, und danach gelöscht. Ihre E-Mail-Adresse wird so lange aufbewahrt, wie wir Ihnen Freigabe, Zahlung und Rechnung Ihrer letzten Beiträge zusenden müssen, und nach dem Versand der letzten Rechnung gelöscht, spätestens 120 Tage nach der letzten Zahlung. Ihre Rechnungsidentität wird dann ebenfalls gelöscht, wenn keine Auszahlung erfolgt ist, ebenso Ihr Benutzername und Ihr Profilname. Waren Ihre Anfragen ausgesetzt, werden Ihre SIRET-Nummer und die Kennung Ihres Instagram-Kontos 12 Monate nach der Aussetzung aufbewahrt (und so lange, wie Ihre letzten Aufträge aufbewahrt werden), damit eine Aussetzung nicht durch ein neues Konto umgangen werden kann, und danach gelöscht. Wenn Sie das Programm verlassen, ohne Ihr Konto zu löschen, wird Ihre Bankverbindung gelöscht, sobald Ihnen nichts mehr zusteht, und Ihre Rechnungsidentität ebenfalls, es sei denn, es ist eine Auszahlung erfolgt (sie steht dann auf Ihren Rechnungen); sind Ihre Anfragen ausgesetzt, bleiben Ihre SIRET-Nummer und die Kennung Ihres Instagram-Kontos gespeichert, solange Ihr Konto besteht.

Wenn Sie es wünschen, wird Ihr Profil unter den Botschaftern mit dem Hinweis „Kooperation“ hervorgehoben.

Übermittlungen außerhalb der Europäischen Union

Einige dieser Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten oder übermitteln möglicherweise Daten dorthin — insbesondere Cloudflare, Stripe, Sentry, Mapbox, Resend, Anthropic und OpenAI. Diese Übermittlungen stützen sich je nach Anbieter auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum Datenschutzrahmen EU—USA (Data Privacy Framework), sofern der Anbieter danach zertifiziert ist, und/oder auf die in seinen Auftragsverarbeitungsvertrag einbezogenen Standardvertragsklauseln der Europäischen Kommission. Eine Kopie der für einen bestimmten Anbieter geltenden Garantien erhalten Sie unter [email protected].

Die übrigen genannten Anbieter — OVH, Plausible Analytics und Open-Meteo — haben ihren Sitz in der Europäischen Union.

5. Ihre Rechte

Nach der DSGVO stehen Ihnen die folgenden Rechte zu:

• Auskunftsrecht — eine Kopie Ihrer Daten erhalten
• Recht auf Berichtigung — unrichtige Daten korrigieren lassen
• Recht auf Löschung — die Löschung Ihres Kontos und Ihrer Daten verlangen
• Recht auf Datenübertragbarkeit — Ihre Daten in einem strukturierten Format erhalten
• Widerspruchsrecht — bestimmten Verarbeitungen widersprechen
• Recht auf Einschränkung der Verarbeitung — die vorübergehende Sperrung der Nutzung Ihrer Daten verlangen, etwa solange wir deren Richtigkeit prüfen (Art. 18 DSGVO)
• Recht auf Widerruf Ihrer Einwilligung — jederzeit, für Verarbeitungen, die auf einer Einwilligung beruhen. Dies betrifft den GPS-Standort: Es genügt, die Standortberechtigung in Ihrem Browser oder Gerät zu entziehen. Der Widerruf berührt nicht die Rechtmäßigkeit der zuvor erfolgten Verarbeitung.

Eines überdauert die Löschung, und zwar zu Ihrem Schutz. Wenn Sie uns gebeten haben, Ihnen nicht mehr zu schreiben — Abmeldung, Markierung als Spam oder eine nicht erreichbare Adresse —, bleibt Ihre E-Mail-Adresse auf einer Sperrliste. Ohne sie könnten wir Ihnen an dem Tag wieder schreiben, an dem Ihre Adresse erneut in einer Datenquelle auftaucht. Diese Liste enthält nur die Adresse, den Grund und das Datum; sie dient ausschließlich dazu, Ihnen NICHTS zu senden. Möchten Sie dennoch daraus gestrichen werden, schreiben Sie uns: wir tun es — wobei uns dann nichts mehr daran hindert, Ihnen erneut zu schreiben.

Zur Ausübung dieser Rechte: [email protected]
Wir verpflichten uns, jede Anfrage innerhalb von höchstens 1 Monat nach Eingang zu beantworten.
Sie können außerdem Beschwerde bei der französischen Aufsichtsbehörde CNIL einlegen oder bei der Aufsichtsbehörde des Mitgliedstaats Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

6. Sicherheit

Passwörter werden gehasht gespeichert, mittels PBKDF2-SHA256 mit 100.000 Iterationen und einem eindeutigen Salt. Einmalcodes (SMS, E-Mail) werden von einem CSPRNG (crypto.getRandomValues) erzeugt, sind auf 3 Versuche begrenzt und verfallen nach 10 Minuten. Die Daten werden auf der Cloudflare-Infrastruktur mit TLS-Verschlüsselung gehostet. Der Zugriff auf die Daten ist allein dem Verantwortlichen vorbehalten.

7. Datenschutzkontakt

Zuständig für den Datenschutz: Stéphane Perry — [email protected]