Datenschutzerklärung

Stand: 4. November 2026

1. Verantwortlicher und Kontakt

Daniel Lassak
Stark mit Daniel
Montfortstr. 6
88515 Langenenslingen
Deutschland
E-Mail: mail@starkmitdaniel.de

Diese Erklärung gilt für Stark Social unter cockpit.starkmitdaniel.de und für alle Instanzen, die wir für unsere Kunden betreiben. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind. Bei Fragen schreiben Sie uns einfach eine E-Mail.

2. Wer ist wofür verantwortlich?

Stark Social ist ein Social-Media-Cockpit für kleine Unternehmen und Selbstständige. Jeder Kunde bekommt eine eigene Instanz mit eigener Datenbank und eigenem Login.

• Wir sind Verantwortlicher für die öffentlichen Seiten (Angebot, Rechtstexte), für E-Mails, die Sie uns schicken, und für die Abwicklung des Vertrags mit unseren Kunden.
• Wir sind Auftragsverarbeiter (Art. 28 DSGVO) für die Daten, die ein Kunde in seiner Instanz verarbeitet: verbundene Konten, Statistiken, Beiträge und Berichte. Verantwortlicher ist dann der Kunde. Wir verarbeiten diese Daten nur nach seinen Weisungen und auf Grundlage eines Vertrags zur Auftragsverarbeitung (Vorlage).

Die folgenden Abschnitte beschreiben trotzdem auch die Verarbeitung in den Instanzen, damit alle Beteiligten nachlesen können, was mit ihren Daten geschieht.

3. Hosting und Server-Protokolle

Alle öffentlichen Seiten und alle Instanzen laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg, Deutschland. Hetzner ist unser Auftragsverarbeiter.

Vor den Seiten arbeitet ein Reverse Proxy (Nginx Proxy Manager) auf demselben Server. Er protokolliert bei jedem Aufruf:

• IP-Adresse,
• Datum und Uhrzeit,
• aufgerufene Adresse und Statuscode,
• übertragene Datenmenge,
• Referrer (die zuvor besuchte Seite, falls Ihr Browser sie mitsendet),
• User-Agent (Browser und Betriebssystem).

Das dient dem sicheren und stabilen Betrieb, etwa um Angriffe zu erkennen und abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Zugriffsprotokolle werden wöchentlich rotiert und nach spätestens fünf Wochen gelöscht, die Fehlerprotokolle nach spätestens elf Wochen.

4. Cookies

Wir setzen nur Cookies, die technisch notwendig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es kein Cookie-Banner. Die öffentlichen Seiten setzen gar keine Cookies.

5. Keine Analyse, keine externen Dienste auf den öffentlichen Seiten

Wir verwenden keine Tracker und keine Analyse-Werkzeuge. Schriften und alle anderen Dateien kommen von unserem eigenen Server, es werden keine externen Schriften oder CDNs geladen.

6. Kontakt per E-Mail und „Zugang anfragen“

Es gibt kein Kontaktformular. „Zugang anfragen“ öffnet Ihr E-Mail-Programm. Wenn Sie uns schreiben, verarbeiten wir Ihre Adresse und den Inhalt der Nachricht, um Ihre Anfrage zu beantworten und gegebenenfalls ein Angebot zu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten). Wir speichern die E-Mails, bis Ihre Anfrage erledigt ist, und danach nur, soweit gesetzliche Aufbewahrungsfristen das verlangen, etwa für Geschäftsbriefe.

7. Anmeldung im Cockpit

Jede Instanz hat ein eigenes Passwort. Nach der Anmeldung setzt das Cockpit das Cookie smd_sitzung (siehe Abschnitt 4). Um Angriffe zu bremsen, merkt sich das Cockpit fehlgeschlagene Anmeldeversuche je IP-Adresse kurzzeitig im Arbeitsspeicher und sperrt nach mehreren Fehlversuchen vorübergehend. Rechtsgrundlage ist der Vertrag mit dem Kunden (Art. 6 Abs. 1 lit. b DSGVO) und unser Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

8. Verbundene Plattformen

Im Cockpit kann ein Kunde seine eigenen Konten verbinden. Wir rufen dann über die offiziellen Schnittstellen der Plattformen Kennzahlen und Beiträge ab. Wir erheben nur Zahlen und eigene Beiträge des Kontos, keine Kommentare und keine Daten einzelner Follower.

8.1 TikTok

TikTok-Daten verarbeiten wir erst, wenn der Kontoinhaber auf der Seite „Kanäle“ auf „Mit TikTok verbinden“ klickt und bei TikTok zustimmt. Wir nutzen dafür das Login Kit und die Display API von TikTok mit diesen Berechtigungen:

• Zugangsdaten: Das Access- und das Refresh-Token von TikTok speichern wir verschlüsselt (AES-256-GCM) in der Datenbank der Instanz. Das Cockpit erneuert sie automatisch.
• Wer die Daten sieht: nur der Kontoinhaber und die Personen, denen er Zugang zu seiner Instanz gibt. Die Daten erscheinen im Cockpit und in seinen Berichten.
• Was wir nie tun: TikTok-Daten verkaufen, an Dritte weitergeben, für Werbung nutzen oder zum Training von KI verwenden.
• Keine KI: TikTok-Daten gehen nie an einen KI-Dienst, auch nicht, wenn die KI-Einschätzung für die Instanz eingeschaltet ist (siehe Abschnitt 10).
• Trennen: „Trennen“ auf der Seite „Kanäle“ widerruft den Zugang bei TikTok und löscht die Tokens. Auf Wunsch löscht das Cockpit dabei auch alle gespeicherten TikTok-Daten dieses Kontos. Den Zugang können Sie außerdem jederzeit in der TikTok-App widerrufen: Einstellungen → Sicherheit → App-Berechtigungen verwalten. Danach ruft das Cockpit keine neuen Daten mehr ab.

8.2 Facebook und Instagram (Meta)

Für eine Facebook-Seite und ein Instagram-Professional-Konto rufen wir über die Graph API von Meta ab: Kennzahlen des Kontos (Reichweite, Aufrufe, Interaktionen, Follower), die eigenen Beiträge (Text, Link, Typ, Datum) und deren Kennzahlen. Wir nutzen dafür den Zugriff, den der Kunde in seinem Meta-Business-Portfolio erteilt. Auch hier erheben wir nur Zahlen und keine personenbezogenen Daten einzelner Follower.

8.3 Rechtsgrundlage und Plattformen als eigene Verantwortliche

Wir verarbeiten diese Daten im Auftrag des Kunden (Art. 28 DSGVO). Für den Kunden ist Rechtsgrundlage in der Regel sein berechtigtes Interesse, den Erfolg seiner Social-Media-Arbeit auszuwerten (Art. 6 Abs. 1 lit. f DSGVO), beziehungsweise der Vertrag mit uns (Art. 6 Abs. 1 lit. b DSGVO). Bei jedem Abruf erfahren TikTok und Meta, dass das verbundene Konto über unsere Anwendung abgefragt wird. Für die Verarbeitung bei den Plattformen gelten deren eigene Datenschutzbestimmungen: TikTok, Meta.

9. Berichte und E-Mail-Versand

Das Cockpit erstellt aus den Kennzahlen Berichte für eine Woche, einen Monat oder einen frei gewählten Zeitraum (HTML, PDF, Markdown). Sie liegen in der Instanz des Kunden. Auf Wunsch verschickt das Cockpit sie per E-Mail an die Adressen, die der Kunde festlegt. Für den Versand nutzen wir den SMTP-Dienst von Forward Email (Forward Email LLC, USA, forwardemail.net). Die Mail enthält ein kurzes Fazit, die wichtigsten Kennzahlen und den Bericht als PDF.

10. KI-Einschätzung (optional)

Nur wenn sie für die Instanz eingeschaltet ist, schreibt ein KI-Dienst eine Einschätzung zum Bericht. Dafür übermitteln wir zusammengefasste Kennzahlen, gekürzte Beitragstexte und die Stilvorgaben der Marke, nur von Facebook und Instagram. TikTok-Daten sind davon ausgenommen. Wir übermitteln nie Zugangsdaten, Tokens oder Daten einzelner Follower. Die Einschätzung ist im Bericht als KI-generiert gekennzeichnet.

Je nach Einstellung der Instanz nutzen wir:

• Command Code (Langbase, Inc., San Francisco, USA), eine Schnittstelle zu Sprachmodellen; derzeit mit dem Modell Claude von Anthropic, oder
• die Claude API von Anthropic direkt (Anthropic PBC, San Francisco, USA).

Der Kunde kann die KI-Einschätzung jederzeit abschalten. Dann gehen keine Daten an einen KI-Dienst, und der Bericht enthält nur das regelbasierte Kurzfazit.

11. Speicherort und Sicherheit

Alle Daten der Instanzen liegen auf dem Server in Nürnberg, Deutschland. Jede Instanz läuft in einem eigenen Container mit eigener Datenbank und eigenem Login. Die Verbindung ist per TLS verschlüsselt, Plattform-Tokens sind zusätzlich in der Datenbank verschlüsselt. Der Server ist per Firewall abgeschottet, erhält automatisch Sicherheitsupdates und ist nur per SSH-Schlüssel zu verwalten. Die Datenbanken werden täglich gesichert.

12. Speicherdauer und Löschung

• Daten in einer Instanz speichern wir, solange der Kunde sie nutzt. Er kann einzelne Verbindungen samt Daten über die Seite „Kanäle“ löschen oder uns um Löschung bitten.
• Endet der Vertrag, löschen wir die Instanz mit allen Daten innerhalb von 30 Tagen. Die täglichen Datenbanksicherungen werden 14 Tage aufbewahrt und danach überschrieben, spätestens also 14 Tage nach der Löschung.
• Server-Protokolle: siehe Abschnitt 3. E-Mail-Anfragen: siehe Abschnitt 6.

13. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die wir für den Betrieb brauchen:

TikTok und Meta sind keine Empfänger in diesem Sinne: Wir rufen dort Daten ab und schicken dabei nur die für die Anfrage nötigen Angaben.

14. Übermittlung in Drittländer

Beim Versand der Bericht-Mails und bei eingeschalteter KI-Einschätzung können Daten in die USA gelangen. Für diese Übermittlungen nutzen wir die Datenschutzvereinbarungen der Anbieter, die Standardvertragsklauseln der EU-Kommission einbeziehen. Alle übrigen Daten bleiben in Deutschland.

15. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

• Auskunft über Ihre gespeicherten Daten (Art. 15),
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21), aus Gründen, die sich aus Ihrer besonderen Situation ergeben.

Schreiben Sie dazu an mail@starkmitdaniel.de. Betrifft Ihr Anliegen Daten in der Instanz eines Kunden, ist der Kunde Ihr Ansprechpartner. Wir leiten Anfragen, die uns erreichen, an ihn weiter und unterstützen ihn bei der Antwort.

16. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).

17. Änderungen

Wir passen diese Erklärung an, wenn sich das Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung. Diese Erklärung gibt es auch auf Englisch; im Zweifel gilt die deutsche Fassung.