Datenschutzerklärung

Arten der verarbeiteten Daten

• Bestandsdaten (z.B. Namen, Adressen)
• Kontaktdaten (z.B. E-Mail, Telefonnummern)
• Inhaltsdaten (z.B. Eingaben in Onlineformularen)
• Nutzungsdaten (z.B. besuchte Webseiten, Verweildauer)
• Meta-/Kommunikationsdaten (z.B. IP-Adressen, Zeitangaben)
• Zugangsdaten (z.B. PIN-Codes für Members-Bereiche)

Kategorien betroffener Personen

• Websitebesucher
• Nutzer unserer Services
• Interessenten und Kunden
• Mitglieder (Besucher mit Zugang zu Members-Bereichen)

Rechtsgrundlagen im Detail

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): Cookies, Newsletter, Marketing
• Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO): Bereitstellung unserer Leistungen
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO): Steuerrechtliche Aufbewahrung
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): Analyse, Sicherheit, Direktwerbung

Consent-Management (Cookie-Banner)

Ihre Entscheidungen bezüglich Cookies dokumentieren wir in einem Consent-Log mit Zeitstempel und werden für 6 Monate gespeichert. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen auf unserer Website ändern oder widerrufen.

Verarbeitete Daten

• E-Mail-Adresse
• Zeitpunkt der Registrierung
• IP-Adresse (für Spam-Schutz)
• Quelle der Anmeldung (Webseite)

Zweck und Rechtsgrundlage

Spam-Schutz und Datenvalidierung

Zur Verhinderung von Missbrauch setzen wir technische Maßnahmen ein, die verdächtige Anmeldungen automatisch erkennen und blockieren. Dabei werden IP-Adressen und E-Mail-Domains temporär gespeichert.

Hosting-Anbieter

Verarbeitete Datenarten

• IP-Adresse (anonymisiert nach 24 Stunden)
• Zeitstempel des Zugriffs
• Übertragene Datenmenge
• Browser-Informationen (User-Agent)
• Referrer-URL

Technische Schutzmaßnahmen

• SSL/TLS-Verschlüsselung der Datenübertragung
• Verschlüsselte Speicherung sensibler Daten
• Regelmäßige Sicherheitsupdates
• Zugriffskontrolle und Authentifizierung
• Firewall- und DDoS-Schutz

Verarbeitete Datenarten

• Bestandsdaten (z.B. Namen, Adressen)
• Kontaktdaten (z.B. E-Mail, Telefonnummern)
• Inhaltsdaten (z.B. Eingaben in Onlineformularen)

Speicherdauer

• Aktive Accounts: Bis zur Kündigung
• Gelöschte Accounts: 30 Tage (Wiederherstellungsmöglichkeit)
• Backup-Daten: 90 Tage
• Steuerrelevante Daten: 10 Jahre

Verarbeitete Daten

• Name und Kontaktdaten
• Inhalt der Nachricht
• Zeitstempel der Anfrage
• IP-Adresse (bei Formular-Nutzung)

Ihre Rechte

• Abmeldung jederzeit über Link in jeder E-Mail möglich
• Abmeldung per E-Mail an info[@]microfol[.]io
• Protokollierung der An- und Abmeldung für rechtliche Nachweise

E-Mail-Versanddienstleister

Erfolgsmessung (Newsletter-Tracking)

Unsere Newsletter enthalten sogenannte Zählpixel und weiterleitende Links, mit denen wir statistisch auswerten, ob und wann ein Newsletter geöffnet wurde und welche Links angeklickt wurden. Diese Daten dienen ausschließlich der inhaltlichen Optimierung und bedarfsgerechten Gestaltung unserer Newsletter.

Auftragsverarbeiter: Das Tracking wird durch unseren E-Mail-Versanddienstleister Resend Inc. (San Francisco, CA, USA) durchgeführt. Es gelten EU-Standardvertragsklauseln (SCCs). Weitere Informationen finden Sie unter resend.com/legal/privacy-policy.

Newsletter & Mailing-Integrationen (nutzerkonfiguriert)

Portfolio-Ersteller können eigene Newsletter-Dienste (z.B. Mailchimp, Brevo/Sendinblue, ConvertKit, CleverReach, Mailjet) über das Newsletter-Modul anbinden. Microfol.io stellt dabei nur das Anmeldeformular bereit; der eigentliche Versand erfolgt ausschließlich über den externen Anbieter des Portfolio-Erstellers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung wird über das GDPR-Consent-Formular auf dem Portfolio eingeholt.

Unterstützte KI-Anbieter und Drittlandübermittlungen

Profiling und automatisierte Entscheidungen

Wir führen kein Profiling gemäß Art. 22 DSGVO durch. KI-Funktionen dienen ausschließlich der Unterstützung bei der Content-Erstellung und treffen keine automatisierten Entscheidungen über Sie.

Transparenz gemäß EU AI Act (Verordnung 2024/1689)

Transparenzhinweise zu KI-gestützten Funktionen erfolgen gemäß den einschlägigen Transparenzvorgaben des EU AI Act (Art. 50). Unsere KI-gestützten Funktionen (Smart Contact Chat, Content-Assistenz, Marketing-Tools) werden im Chat-Interface als automatisch generierte Antworten gekennzeichnet. Alle KI-generierten Inhalte werden Nutzern zur Prüfung vorgelegt, bevor sie veröffentlicht werden (Human-in-the-Loop-Prinzip). Es werden keine automatisierten Entscheidungen über natürliche Personen getroffen. Unsere KI-Funktionen stellen kein Hochrisiko-KI-System im Sinne des Anhangs III des EU AI Act dar.

Zugangssteuerung — Verarbeitete Daten

• PIN-Code: Vom Creator festgelegter Zugangscode (4–8 Ziffern), serverseitig gehasht gespeichert
• Zugangs-Token: Kryptographisch generierter Token zur Sitzungsvalidierung
• Zugangsprotokoll: Zeitstempel des Zugangs, Microfolio-ID, Zugangstyp (PIN-Eingabe, Einmalzahlung oder Abonnement), Zugangsstatus (aktiv, abgelaufen, gekündigt)

Mitglieder-Daten (bei Zahlung / Registrierung)

Wenn ein Besucher über eine Zahlungsmethode (Stripe) Zugang erwirbt oder sich als Mitglied registriert, werden zusätzlich folgende Daten gespeichert:

• E-Mail-Adresse: Zur Identifikation und ggf. für Transaktionsbelege
• Benutzer-ID: Interne Zuordnung (pseudonymisiert, z. B. Supabase User-ID)
• Zahlungsbetrag: Betrag in Cent pro Transaktion
• Stripe-Kunden-ID: Zuordnung zum Zahlungsdienstleister
• Stripe-Abonnement-ID: Bei Abonnement-Modellen zur Verwaltung wiederkehrender Zahlungen
• Ablaufdatum: Zeitpunkt, an dem der Zugang erlischt (bei zeitlich begrenzten Zugängen)

Hinweis: Je nach Zugangsmodell (PIN oder Stripe-basiert) werden unterschiedliche Datenkategorien verarbeitet. Nicht alle oben genannten Daten werden in jedem Fall erhoben.

Members-Dashboard (Creator-Statistiken)

Wir stellen dem Creator ein Dashboard zur Verfügung, das aggregierte und einzelne Mitgliederdaten anzeigt. Folgende Daten sind für den Creator einsehbar:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Members-Dienstes für den Creator) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen – der Creator hat ein berechtigtes Interesse, Einblick in seine Verkaufs- und Zugangsstatistiken zu erhalten).

Cookies und Speicherung

Nicht erfasste Daten (bei reinem PIN-Zugang / Beta)

• Keine IP-Adressen der Mitglieder
• Keine personenbezogenen Daten (Name, E-Mail) bei reinem PIN-Zugang
• Keine Browser-Fingerprints

Datenweitergabe und Verantwortlichkeiten

Der Creator ist eigenständiger Verantwortlicher für die Nutzung der ihm im Dashboard bereitgestellten Mitgliederdaten. Microfol.io stellt diese Daten ausschließlich im Rahmen der Vertragserfüllung zur Verfügung. Eine Weitergabe an sonstige Dritte erfolgt nicht, mit Ausnahme der Zahlungsabwicklung über Stripe (siehe Abschnitt 12).

Ticket-Daten — Verarbeitete Daten

• Ticket-Token: Kryptographisch generierter, eindeutiger Einlösecode (UUID)
• QR-Code: Enthält die Ticket-URL mit dem Einlöse-Token
• Kaufdaten: Zeitpunkt, Angebotstyp, Preis, Währung, Zahlungsstatus
• Einlöseprotokoll: Zeitpunkt der Einlösung, Scanner-PIN (pseudonymisiert), Einlösemethode (QR oder manuell)
• Stripe-Transaktions-ID: Zuordnung zur Zahlungsabwicklung
• Recovery-Code: Bei Ticket-Wiederherstellung wird ein zeitlich begrenzter Einmalcode (6 Ziffern, 15 Min. gültig) generiert und per E-Mail zugestellt

Käufer-Daten (bei Kauf)

• E-Mail-Adresse: Für Kaufbestätigung und Ticket-Zustellung
• Stripe-Kunden-ID: Zuordnung zum Zahlungsdienstleister
• Zahlungsbetrag: Betrag der Transaktion

Bei kostenlosen Angeboten (Free Claim) werden keine Zahlungsdaten erhoben. Es wird lediglich der Zeitpunkt des Claims protokolliert.

E-Mail-Versand (Ticket-Zustellung & Recovery)

Für die Zustellung von Ticket-Bestätigungen (QR-Code per E-Mail) und Recovery-Codes nutzen wir unseren E-Mail-Versanddienstleister Resend Inc. Dabei werden folgende Daten übermittelt:

• E-Mail-Adresse des Käufers
• Angebotsname und -typ (für die Betreffzeile)
• QR-Code / Ticket-Token (im E-Mail-Inhalt)
• Recovery-Code (bei Wiederherstellungs-Anfragen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Zustellung des erworbenen Tickets) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Wiederherstellung des Zugangs auf Anfrage des Käufers).

Scanner-PINs (Personal-Zugang)

• PIN-Code: 6-stelliger Zahlencode, serverseitig gehasht gespeichert
• Label: Vom Creator zugeordnete Bezeichnung (z. B. "Einlass-Team")
• Nutzungsprotokoll: Zeitpunkt der letzten Verwendung

Scanner-PINs ermöglichen dem Personal des Creators den Zugang zum Web-Scanner ohne eigenen Account. Es werden keine personenbezogenen Daten des Personals erhoben.

Access-Dashboard (Creator-Statistiken)

Im Access-Dashboard werden dem Creator folgende aggregierte Statistiken angezeigt:

Nicht erfasste Daten

• Keine IP-Adressen der Käufer oder des Scan-Personals
• Keine Browser-Fingerprints
• Keine Standortdaten beim Scannen

Besucher-Fingerprint (Pseudonymisierung)

Zur Verhinderung von Missbrauch erstellen wir einen technischen Fingerprint aus IP-Adresse und User-Agent des Besuchers. Dieser Fingerprint wird als Einweg-Hash gespeichert und ist nicht auf die ursprüngliche IP-Adresse zurückführbar. Er dient ausschließlich der Rate-Limit-Prüfung und wird nicht mit anderen Daten oder Profilen verknüpft.

Session-Tracking

Für jede Chat-Sitzung wird eine anonyme Sitzungs-ID (UUID) erzeugt. Wir erfassen Session-Dauer und den ungefähren Token-Verbrauch zum Zweck der Abrechnungstransparenz gegenüber dem Creator. Chat-Nachrichten selbst werden nicht dauerhaft gespeichert.

Weiterleitung an OpenAI

Chat-Nachrichten werden zur KI-Verarbeitung an die OpenAI API übermittelt (entweder über den API-Schlüssel des Creators oder über einen von Microfol.io verwalteten Schlüssel). Es gelten die Datenschutzbestimmungen von OpenAI, Inc., 3180 18th Street, San Francisco, CA 94110, USA (openai.com/policies/privacy-policy). Die Datenübermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (SCCs).

Speicherdauer und Rechtsgrundlage

• Besucher-Fingerprint: ephemer (In-Memory-Cache, automatisch ablaufend; max. wenige Stunden)
• Session-Metadaten (Token-Verbrauch, Sitzungs-ID): max. 90 Tage
• Chat-Nachrichten: werden nicht dauerhaft gespeichert

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: technisch notwendige Maßnahmen zur Missbrauchsprävention und Kostentransparenz für den Creator).

Übertragene Daten

• IP-Adresse des Besuchers
• Browser-Typ und -Version, Betriebssystem
• Referrer-URL (besuchte Seite)
• Ggf. Cookies und Tracking-Daten des jeweiligen Anbieters

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung eingebetteter Inhalte zur Portfolio-Präsentation). Die Einbettung erfolgt erst, wenn der Portfolio-Ersteller aktiv einen Link eines Streaming- oder Video-Dienstes hinzufügt. Für YouTube verwenden wir den erweiterten Datenschutzmodus (youtube-nocookie.com), der das Setzen von Cookies bis zur Interaktion mit dem Video einschränkt. Für Vimeo wird automatisch der Do-Not-Track-Parameter (dnt=1) gesetzt.

Übermittelte Daten beim Laden von Produktbildern:

• IP-Adresse des Besuchers
• Browser-Typ und -Version (User-Agent)
• Referrer-URL
• Datum und Uhrzeit des Zugriffs

Serverseitig abgerufene Daten (kein Besucherkontakt):

• Produkttitel, Beschreibung und Preis
• Produkt-Handle und URL
• Produktbild-URLs
• Währungsinformationen

Affiliate-Cookie und Click-Tracking

Wenn ein Besucher über einen Affiliate-Link auf unsere Seite gelangt, wird ein Cookie (mf_aff) gesetzt, um den geworbenen Nutzer dem Affiliate zuzuordnen. Dieses Cookie hat eine Laufzeit von 30 Tagen.

Beim Klick auf einen Affiliate-Link speichern wir:

• Anonymisierte IP-Adresse (die letzten Stellen werden entfernt)
• Browser-Typ und Betriebssystem (User-Agent)
• Zeitpunkt des Klicks
• Referrer-URL (woher der Besucher kam)
• Affiliate-Code zur Zuordnung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Affiliate-Partner) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der korrekten Provisionsabrechnung).

Empfehlungsprogramm (Referral)

Beim Empfehlungsprogramm wird der Referral-Code des empfehlenden Nutzers gespeichert, um die Bonus-Credits beider Seiten korrekt zuzuordnen. Es werden keine zusätzlichen Tracking-Mechanismen eingesetzt.

Agentur-Programm – Ownership-Transfer

Beim Ownership-Transfer eines Demo-Microfolios an einen Kunden verarbeiten wir:

• E-Mail-Adresse des eingeladenen Kunden (für die Einladung)
• Signierter Einladungstoken (zur Verifizierung)
• Zeitpunkt der Einladung und Annahme
• Zuordnung zum Agentur-Partner (für die Provisionsberechnung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des eingeladenen Kunden durch Annahme der Einladung).

Provisionsberechnung und Speicherdauer

Für die Provisionsberechnung speichern wir die Zuordnung zwischen Partner und geworbenem Kunden, Zahlungseingänge und berechnete Provisionsbeträge. Diese Daten werden für die Dauer der Provisionsansprüche (12 Monate bei Affiliate, 24 Monate bei Agentur) zuzüglich steuerrechtlicher Aufbewahrungsfristen (10 Jahre) gespeichert.

Speicherfristen im Detail