Datenschutz

1. Verantwortlicher und Kontakt

Verantwortlich für die Bearbeitung ist Small Talk, Schweiz. Sie erreichen uns für alle Datenschutzfragen und zur Ausübung Ihrer Rechte unter hello@smltlk.ch.

Small Talk befindet sich im Aufbau und ist derzeit nicht als Gesellschaft im Handelsregister eingetragen. Sobald eine Gesellschaft eingetragen ist, werden Firma und Adresse hier und im Impressum ergänzt. Bis dahin erreichen Sie uns direkt per E-Mail — wir antworten auf jede Anfrage.

2. Welche Daten wir bearbeiten

Warteliste (vor dem Launch): Vorname und Name, E-Mail-Adresse, ob Sie sich als Creator oder Marke eintragen, sowie ein Nachweis Ihrer Einwilligung (Zeitpunkt, Sprache und Version des Einwilligungstexts).

Konto: E-Mail-Adresse, ein Hashwert Ihres Passworts (nie das Passwort selbst), Kontotyp und Status.

Creator-Profil: Anzeigename, Vor- und Nachname, optional Geschlecht, Geburtsdatum, Telefonnummer, Kurzbeschreibung, Adresse, Land, Nischen, Sprachen und Kooperationsarten. Für die Rechnungsstellung zusätzlich: rechtlicher Name, MWST-Nummer und Zahlungsangaben (z. B. IBAN).

Marken-Profil: Firmenname, Beschreibung, Website, Land, Nischen.

Zusammenarbeit: Briefings, Bewerbungen und Einladungen, vereinbarte Konditionen und Vergütung, Termine, eingereichte Inhalte, Bewertungen sowie die Nachrichten, die Sie im Workspace schreiben.

Rechnungen: Rechnungsnummer, Betrag, Währung, Daten und eine zum Versandzeitpunkt eingefrorene Kopie der Rechnungsangaben (Name, Adresse, MWST-Nummer, Zahlungsangaben).

Verbundene Social-Media-Konten: siehe Abschnitt 12.

Technische Daten: Zu jeder angemeldeten Sitzung speichern wir die IP-Adresse und die Browser-/Gerätekennung (User-Agent), damit Sie Ihre Sitzungen nachvollziehen können und wir Missbrauch erkennen. Unsere Server-Logs enthalten IP-Adressen und aufgerufene Adressen. Zur Begrenzung von Anmeldeversuchen halten wir IP-Adressen kurzzeitig im Arbeitsspeicher.

3. Zwecke und Rechtsgrundlagen

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO; Art. 31 Abs. 2 lit. a revDSG): Konto führen, Profil bereitstellen, Kooperationen vermitteln und abwickeln, Nachrichten übermitteln, Rechnungen erstellen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Art. 6 Abs. 6 revDSG): E-Mails zur Warteliste und zum Launch sowie — falls aktiviert — die Reichweitenmessung. Sie können Ihre Einwilligung jederzeit widerrufen (Abschnitt 7).
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit, Begrenzung von Anmeldeversuchen, Betrugs- und Missbrauchsprävention, Stabilität des Dienstes.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Geschäftsunterlagen und Buchungsbelegen nach Art. 958f OR.

4. Aufbewahrungsdauer

Ihre Konto- und Profildaten bewahren wir auf, solange Ihr Konto besteht. Löschen Sie es, werden sie gelöscht oder anonymisiert (Abschnitt 7).

Eine Ausnahme müssen wir nennen, weil sie Ihr Löschrecht einschränkt: Rechnungen und Zahlungsbelege bewahren wir zehn Jahre auf, weil Art. 958f OR das verlangt. Diese Pflicht geht einem Löschbegehren vor (Art. 17 Abs. 3 lit. b DSGVO) — die Belege werden aber von Ihrem Namen und Ihren Kontaktdaten getrennt.

Alles Technische — angemeldete Sitzungen, Links zum Zurücksetzen des Passworts, Benachrichtigungen und Server-Logs — bewahren wir nur so lange auf, wie es seinen Zweck erfüllt, und löschen es danach automatisch. Sitzungen und Reset-Links laufen von selbst ab, Benachrichtigungen und Logs werden laufend aufgeräumt.

Wenn Sie sich von Werbe-E-Mails abmelden, behalten wir einen minimalen Eintrag dazu unbefristet — nur so können wir sicherstellen, dass Sie keine weiteren erhalten.

Gelöschte Daten können noch eine Zeit lang in Sicherungskopien fortbestehen, bis diese turnusgemäss überschrieben werden. Wir durchsuchen Sicherungskopien nicht, um einzelne Datensätze daraus zu entfernen.

5. Empfänger und Auftragsbearbeiter

Wir verkaufen keine Personendaten. Wir setzen folgende Dienstleister ein:

• Google (Google Forms und Google Sheets), USA — nimmt derzeit die Anmeldungen zur Warteliste auf und speichert sie. Nach den für dieses Formular geltenden Google-Bedingungen kann Google die übermittelten Daten auch für eigene Zwecke bearbeiten. Wir arbeiten daran, die Warteliste auf eigene Systeme umzustellen. Wenn Sie das nicht möchten, schreiben Sie uns einfach eine E-Mail, statt das Formular zu nutzen — auch so nehmen wir Sie auf die Liste auf.
• Infomaniak Network SA, Schweiz — betreibt den Server, auf dem diese Website, die Anwendung und die Datenbank laufen. Damit ist Infomaniak technisch der Empfänger sämtlicher Daten, die Sie uns übermitteln.
• E-Mail-Versanddienstleister — versendet unsere E-Mails und sieht dabei die Empfängeradresse.
• YouTube, TikTok, Instagram, Pinterest — nur wenn Sie ein Konto verbinden (Abschnitt 12).

Behörden gegenüber legen wir Daten nur offen, wenn wir dazu rechtlich verpflichtet sind.

6. Datenübermittlung ins Ausland

Unsere Server stehen in der Schweiz. Eine Übermittlung ins Ausland findet nur bei Google statt, das die Warteliste aufnimmt. Google ist unter dem Swiss-U.S. und EU-U.S. Data Privacy Framework zertifiziert. Der Bundesrat hat am 14. August 2024 anerkannt, dass für zertifizierte US-Unternehmen ein angemessener Datenschutz besteht; für die EU gilt der entsprechende Angemessenheitsbeschluss. Auf dieser Grundlage erfolgt die Übermittlung.

7. Ihre Rechte — und wo Sie sie ausüben

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenübertragbarkeit sowie das Recht, der Bearbeitung zu widersprechen und eine Einwilligung jederzeit zu widerrufen. Ohne Anfrage bei uns geht das so:

• Auskunft und Kopie Ihrer Daten: Einstellungen → Deine Daten → Daten herunterladen. Sie erhalten eine vollständige JSON-Datei.
• Berichtigung: direkt in Ihrem Profil.
• Löschung: Einstellungen → Deine Daten → Konto löschen. Beachten Sie die zehnjährige Aufbewahrungspflicht für Rechnungen (Abschnitt 4); die Belege werden anonymisiert, Ihr Profil und Ihre persönlichen Angaben gelöscht.
• Werbe-E-Mails: Abmeldelink in jeder solchen E-Mail — ein Klick, ohne Anmeldung.
• Reichweitenmessung: über den Cookie-Hinweis; die Einstellung liegt in Ihrem Browser und kann dort gelöscht werden.
• Alles Weitere: schreiben Sie uns. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

8. Beschwerderecht

Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Bern) beschweren. Wenn Sie in der EU oder im EWR ansässig sind, können Sie sich zudem an die Datenschutzbehörde Ihres Wohnsitzlands wenden.

9. Cookies und Speicherung auf Ihrem Gerät

Wir setzen keine Werbe- oder Tracking-Cookies. Die Cookies, die wir verwenden, dienen ausschliesslich der Anmeldung: sie halten Sie eingeloggt und schützen den Vorgang, wenn Sie ein Social-Media-Konto verbinden. Ohne sie funktioniert die Anmeldung nicht, weshalb sie keiner Einwilligung unterliegen. Sie laufen mit Ihrer Sitzung ab — oder später, wenn Sie „angemeldet bleiben“ wählen.

Zusätzlich merkt sich Ihr Browser einige kleine Einstellungen, damit die Seite sich richtig verhält: Ihre Sprachwahl, Ihre Antwort zur Reichweitenmessung und Anzeigeeinstellungen wie eine eingeklappte Seitenleiste. Diese Werte bleiben auf Ihrem Gerät, werden nicht an uns übermittelt und identifizieren Sie nicht. Sie können sie jederzeit in Ihren Browsereinstellungen löschen.

Falls wir eine Reichweitenmessung aktivieren, verwenden wir ein cookiefreies Verfahren, das nichts auf Ihrem Gerät ablegt und erst geladen wird, wenn Sie zustimmen. Derzeit ist keine aktiv.

10. Öffentliches Creator-Profil

Wenn Ihr Creator-Profil freigegeben ist, ist es über einen Link ohne Anmeldung abrufbar. Öffentlich sichtbar sind: Anzeigename, Kurzbeschreibung, Ort und Land, Nischen, Sprachen, Plattformen mit Verifizierungsstatus und Reichweitenangabe, Anzahl abgeschlossener Kooperationen, eine Kennzahl zu deren Ausgang sowie eine Liste abgeschlossener Kooperationen mit Art und Datum. Namen von Marken werden dabei nicht genannt. Kontaktdaten, Adresse, Telefonnummer, Geburtsdatum und Zahlungsangaben sind nie öffentlich.

11. Automatisierte Entscheidungen und Alter

Wir treffen keine automatisierten Entscheidungen im Einzelfall mit rechtlicher Wirkung und betreiben kein Profiling im Sinne von Art. 22 DSGVO. Die Suche nach passenden Creators ist eine Sortierung von Suchergebnissen, keine Entscheidung über Personen.

Small Talk richtet sich an Personen ab 16 Jahren.

12. Daten verbundener Social-Media-Plattformen

Creator können ihre Social-Media-Konten (YouTube, TikTok, Instagram, Pinterest) über die offizielle OAuth-Anmeldung der jeweiligen Plattform mit Small Talk verbinden. Wir fordern nur die minimalen, ausschliesslich lesenden Berechtigungen an, die nötig sind, um (a) die Kontoinhaberschaft zu bestätigen und (b) öffentliche Kennzahlen wie Ihre Abonnentenzahl auszulesen. Diese Daten nutzen wir ausschliesslich zur Verifizierung von Creators und um Marken eine korrekte Reichweite anzuzeigen — wir veröffentlichen nichts in Ihrem Namen und erhalten oder speichern niemals Ihr Plattform-Passwort.

Ihre OAuth-Tokens speichern wir verschlüsselt, ebenso einen Cache der abgerufenen Kennzahlen. Tokens werden nur so lange aufbewahrt, wie das Konto verbunden ist. Sie können die Verbindung jederzeit in Ihrem Profil trennen, wodurch die gespeicherten Tokens und zwischengespeicherten Kennzahlen sofort gelöscht werden; das Löschen Ihres Kontos entfernt alles. Das Trennen löscht die Verbindung bei uns — es widerruft nicht zusätzlich die Freigabe in Ihrem Plattform-Konto; das können Sie dort selbst tun. Einzelheiten finden Sie auf unserer Seite Datenlöschung.

13. Datensicherheit

Die Verbindung zu Small Talk ist durchgehend mit TLS verschlüsselt (HSTS aktiviert). Passwörter speichern wir ausschliesslich als bcrypt-Hash. Ihre Zahlungsangaben und OAuth-Tokens werden verschlüsselt abgelegt. Der administrative Zugang ist zusätzlich auf bestimmte Netzadressen beschränkt. Kein Verfahren ist absolut sicher; wir überprüfen diese Massnahmen laufend.

Bei einer Verletzung der Datensicherheit mit hohem Risiko informieren wir den EDÖB nach Art. 24 revDSG so rasch als möglich und, soweit die DSGVO anwendbar ist, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden sowie die betroffenen Personen.

14. Externe Websites und Änderungen

Unsere Website kann Links zu Websites Dritter enthalten, die nicht dieser Datenschutzerklärung unterliegen. Wir sind nicht verantwortlich für deren Datenschutzpraktiken.

Wir passen diese Erklärung an, wenn sich unsere Bearbeitung ändert. Version und Stand stehen oben auf dieser Seite.