Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von SpliceMule verarbeitet werden. SpliceMule ist ein Werkzeug, das Auswertungen aus Werbeplattformen abruft und in Google-Tabellen schreibt. Es verarbeitet dabei vor allem Daten über Werbekonten – personenbezogene Daten fallen an den Rändern an: bei der Anmeldung, beim Verbinden eines Werbekontos und in der Abrechnung.

1. Verantwortliche Stelle

Prociro LLC
— Strasse und Hausnummer —, — PLZ, Ort —
Vereinigte Staaten von Amerika
E-Mail: datenschutz@splicemule.com

Vertreter in der EU nach Art. 27 DSGVO: — Name des EU-Vertreters nach Art. 27 DSGVO —, — Anschrift in der EU —, eu-vertreter@splicemule.com

2. Rollenverteilung

Für die Daten Ihrer eigenen Werbekonten und Ihrer Kundinnen und Kunden sind Sie die verantwortliche Stelle. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen; Grundlage ist der Vertrag zur Auftragsverarbeitung, der mit dem Vertragsschluss Bestandteil der Vereinbarung wird.

Für die Daten, die bei Ihrer eigenen Nutzung der Anwendung anfallen – Zugangsdaten, Abrechnung, Protokolle – sind wir verantwortlich. Für diesen Teil gilt das Folgende.

3. Welche Daten wir verarbeiten

3.1 Zugang und Konto

Passwörter werden ausschließlich als bcrypt-Hash gespeichert und sind für uns nicht lesbar.

3.2 Verbundene Werbekonten

Wenn Sie ein Werbekonto verbinden, erteilen Sie SpliceMule über den Anmeldedialog der jeweiligen Plattform ein Zugriffstoken. Gespeichert werden:

• das Zugriffstoken und – soweit die Plattform eines ausstellt – das Erneuerungstoken,
• die Bezeichnung des Kontos sowie Name oder E-Mail-Adresse des verbindenden Zugangs,
• bei Meta zusätzlich die Meta-Nutzerkennung, damit Lösch- und Entzugsanfragen von Meta zugeordnet werden können,
• der Gültigkeitszeitraum und der Zustand der Verbindung.

Token werden verschlüsselt gespeichert (AES-256-GCM) und verlassen den Server nur in Richtung der jeweiligen Plattform-Schnittstelle.

SpliceMule fordert ausschließlich lesende Berechtigungen an. Kampagnen können weder angelegt noch geändert, pausiert oder gelöscht werden – die dafür nötigen Berechtigungen werden nicht angefragt. Angezeigt werden immer nur die Werbekonten, auf die der verbindende Zugang selbst Zugriff hat.

3.3 Abgerufene Werbedaten

Die abgerufenen Auswertungen – Kampagnen- und Anzeigenbezeichnungen, Kosten, Impressionen, Klicks und vergleichbare Kennzahlen – werden nicht dauerhaft gespeichert. Sie werden abgerufen, in die von Ihnen angegebene Google-Tabelle geschrieben und danach verworfen. In der Datenbank bleibt nur, was ein Lauf an Protokoll hinterlässt: Zeitpunkt, Dauer, Anzahl geschriebener Zeilen und gegebenenfalls eine Fehlermeldung.

Werbeauswertungen sind in aller Regel aggregiert und enthalten keine personenbezogenen Daten. Sollten Sie Kampagnen- oder Anzeigenbezeichnungen verwenden, die Personen benennen, gelangen diese Bezeichnungen als Text in Ihre Tabelle.

3.4 Abrechnung

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland; Stripe, Inc., USA). An Stripe übermittelt werden Ihre E-Mail-Adresse, der Firmenname, die Rechnungsanschrift und gegebenenfalls Ihre Umsatzsteuer-Identifikationsnummer. Zahlungsdaten wie Kartennummern erheben und speichern wir nicht – sie werden unmittelbar bei Stripe eingegeben. Von Stripe erhalten wir zurück: Kundennummer, Abonnementnummer, Zahlungsstatus und Periodenende. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.5 Server-Protokolle und Bot-Schutz

Beim Aufruf der Seiten fallen technische Protokolle an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung). Sie dienen dem Betrieb und der Sicherheit und werden nach spätestens 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Vor dem Anmelde- und Registrierungsformular steht Cloudflare Turnstile (Cloudflare, Inc.). Dabei werden die IP-Adresse und technische Merkmale des Browsers an Cloudflare übermittelt, um automatisierte Zugriffe abzuwehren. Turnstile setzt keine Cookies zu Werbezwecken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3.6 Cookies

SpliceMule setzt ausschließlich technisch notwendige Cookies: das Sitzungscookie nach der Anmeldung, ein kurzlebiges Cookie zwischen Passwort- und Code-Eingabe sowie ein Cookie zur Absicherung des Verbindungsvorgangs (OAuth-State). Es findet keine Analyse des Nutzungsverhaltens und kein Tracking zu Werbezwecken statt. Eine Einwilligungsaufforderung ist deshalb nicht erforderlich.

4. Nutzung der Google-API-Dienste

Die Verwendung und Weitergabe von Informationen, die SpliceMule über Google-APIs erhält, erfolgt im Einklang mit der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Verwendung („Limited Use“).

Konkret bedeutet das:

• Daten aus Google Sheets, Google Drive und der Google Ads API werden ausschließlich verwendet, um die von Ihnen eingerichteten Datenflüsse auszuführen – also um Ihre Auswertungen in die von Ihnen bestimmte Tabelle zu schreiben.
• Diese Daten werden nicht an Dritte weitergegeben, außer soweit es zur Ausführung Ihres Datenflusses nötig ist, Sie ausdrücklich zustimmen oder wir gesetzlich dazu verpflichtet sind.
• Diese Daten werden nicht für Werbung verwendet, nicht verkauft und nicht zum Training von Modellen künstlicher Intelligenz eingesetzt.
• Menschen lesen diese Daten nicht – außer Sie verlangen es ausdrücklich zur Fehlersuche, es ist aus Sicherheitsgründen erforderlich oder gesetzlich geboten.

Die von SpliceMule angefragten Google-Berechtigungen und ihr Zweck:

Sie können den Zugriff jederzeit unter myaccount.google.com/permissions entziehen.

5. Nutzung der Plattformen von Meta, TikTok und LinkedIn

Für Meta (Facebook und Instagram), TikTok und LinkedIn gilt sinngemäß dasselbe: Es werden ausschließlich lesende Berechtigungen für Werbeauswertungen angefragt, die Daten dienen allein der Ausführung Ihrer Datenflüsse, sie werden nicht weiterverkauft, nicht für Werbung genutzt und nicht zum Training von Modellen verwendet.

Den Zugriff entziehen Sie bei Meta unter „Einstellungen und Privatsphäre → Apps und Websites“, bei LinkedIn unter „Einstellungen → Datenschutz → Andere Anwendungen“ und bei TikTok in den Einstellungen des TikTok-Business-Kontos. SpliceMule erhält von Meta in diesem Fall eine Mitteilung und markiert die Verbindung als abgelaufen.

6. Empfänger

Daten erhalten ausschließlich:

• die Werbeplattformen, mit denen Sie sich verbinden – und zwar nur die Abfragen selbst,
• Google Sheets als Ziel Ihrer Datenflüsse,
• Stripe zur Abwicklung der Zahlung,
• der Betreiber des Servers, auf dem die Anwendung läuft,
• Cloudflare für den Bot-Schutz vor dem Anmeldeformular.

Eine aktuelle Aufstellung finden Sie unter Unterauftragsverarbeiter. Ein Verkauf von Daten findet nicht statt.

7. Übermittlung in Drittländer

Die Anwendung selbst läuft auf Servern in Deutschland. Eine Übermittlung in die Vereinigten Staaten findet statt, soweit Sie US-Plattformen verbinden (Meta, Google, TikTok, LinkedIn) und im Rahmen der Abrechnung über Stripe. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission sowie – soweit die Empfänger zertifiziert sind – das EU-US Data Privacy Framework.

8. Speicherdauer

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wenden Sie sich dafür an datenschutz@splicemule.com.

Wie Sie die Löschung Ihrer Daten veranlassen, steht unter Daten löschen.

Ihnen steht außerdem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

10. Sicherheit

Die Verbindung zur Anwendung ist durchgängig mit TLS verschlüsselt. Zugriffstoken liegen verschlüsselt in der Datenbank, Passwörter ausschließlich als Hash. Der Zugang lässt sich mit einem zweiten Faktor absichern; Anmeldeversuche sind je Adresse begrenzt. Sicherheitslücken melden Sie bitte an security@splicemule.com – wir antworten innerhalb von fünf Werktagen.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Über wesentliche Änderungen informieren wir angemeldete Nutzerinnen und Nutzer per E-Mail.