Datenschutzerklärung

Zuletzt aktualisiert: Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

capty.ai
Frömmgen/Wintjens GbR
KWL Büro 0.05, Lothringer Str. 38
44805 Bochum, Deutschland
E-Mail: hello@capty.ai

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung unserer Website unter capty.ai sowie für die Nutzung unserer SaaS-Plattform capty (nachfolgend „Plattform" oder „Dienst"). Sie informiert über Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten.

capty richtet sich ausschließlich an Unternehmen, Agenturen, Freelancer in gewerblicher Kapazität und sonstige Organisationen (B2B). Natürliche Personen, die außerhalb ihrer beruflichen oder gewerblichen Tätigkeit handeln, sind nicht die Zielgruppe dieses Dienstes.

3. Hosting und Server-Logs

Unsere Website wird bei Hostinger International Ltd. gehostet. Beim Besuch unserer Website erfasst der Hosting-Provider automatisch Informationen in sogenannten Server-Logfiles:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
Name und URL der abgerufenen Datei
Website, von der aus der Zugriff erfolgt (Referrer-URL)
Verwendeter Browser und Betriebssystem
Hostname des zugreifenden Rechners

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Bereitstellung und Sicherheit der Website). Server-Logfiles werden nach 30 Tagen automatisch gelöscht.

Hostinger verarbeitet Daten in Rechenzentren innerhalb der EU. Weitere Informationen: Hostinger Datenschutzerklärung.

4. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in der Adressleiste.

5. Kontaktanfragen und frühere Wartelisten-Anmeldungen

Wenn Sie unser Kontaktformular nutzen, erheben wir folgende Daten:

Vor- und Nachname
E-Mail-Adresse
Unternehmen (optional)
Nachricht (optional)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Die Daten werden zur Bearbeitung Ihrer Anfrage verwendet. Wir geben diese Daten nicht ohne Ihre ausdrückliche Einwilligung an Dritte weiter.

Kontaktdaten werden für maximal 24 Monate nach der Erfassung gespeichert, sofern sich kein Vertragsverhältnis ergibt oder eine frühere Löschung verlangt wird.

Die Warteliste, über die vor dem Produktstart Anmeldungen möglich waren, besteht nicht mehr. Bereits erfasste Wartelisten-Daten werden nach derselben Frist von längstens 24 Monaten ab Erfassung gelöscht; eine frühere Löschung können Sie jederzeit unter hello@capty.ai verlangen.

6. Newsletter und produktbezogene E-Mails (Brevo)

Für den Versand von Newslettern und produktbezogenen E-Mails nutzen wir Brevo (ehemals Sendinblue), Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich.

Wenn Sie sich für unseren Newsletter anmelden, wird Ihre E-Mail-Adresse bei Brevo gespeichert und verarbeitet. Brevo erfasst zudem technische Daten wie Öffnungsraten und Klickverhalten zur Optimierung unserer E-Mail-Kommunikation.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie sich vom Newsletter abmelden (Link in jeder E-Mail) oder uns unter hello@capty.ai kontaktieren. E-Mail-Adressen werden bis zum Widerruf der Einwilligung gespeichert. Nach einem Abmeldeantrag erfolgt die Löschung aus aktiven Versandlisten innerhalb von 30 Tagen.

Brevo ist zertifiziert unter dem EU-US Data Privacy Framework. Weitere Informationen: Brevo Datenschutzerklärung.

7. Cookies

Unsere Website verwendet Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden und die Ihr Browser speichert.

7.1 Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden:

capty_cookie_consent: Speichert Ihre Cookie-Einstellungen (Laufzeit: 365 Tage)
capty_lang: Speichert Ihre Spracheinstellung (Laufzeit: 365 Tage)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionalität der Website).

7.2 Analyse-Cookies (Google Analytics)

Wir verwenden Google Analytics, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics verwendet Cookies, die eine Analyse der Benutzung der Website ermöglichen.

Wir haben folgende Datenschutzmaßnahmen getroffen:

IP-Anonymisierung ist aktiviert (Ihre IP-Adresse wird innerhalb der EU gekürzt)
Es wurde ein Vertrag zur Auftragsverarbeitung mit Google geschlossen
Die Datenfreigabe an Google ist deaktiviert
Google Signals ist deaktiviert

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Analyse-Cookies werden erst nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner gesetzt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

Weitere Informationen: Google Datenschutzerklärung. Sie können die Erfassung durch Google Analytics auch mit dem Browser-Add-on verhindern.

7.3 Cookie-Einstellungen verwalten

Sie können Ihre Cookie-Einstellungen jederzeit über unsere Cookie-Einstellungsseite anpassen. Darüber hinaus können Sie Cookies in Ihren Browsereinstellungen verwalten oder löschen.

8. Schriftarten und Symbole

Wir verwenden die Schriftart „Plus Jakarta Sans" sowie einen Satz von Symbolen (Icons). Beide werden von unserem eigenen Server ausgeliefert. Beim Aufruf einer Seite besteht dadurch keine Verbindung zu Google oder anderen Dritten; es wird insbesondere keine IP-Adresse an Dritte übermittelt.

9. Kontoverwaltung und Account-Daten

Zur Nutzung der capty-Plattform ist die Erstellung eines Nutzerkontos erforderlich. Im Rahmen der Registrierung und Kontoverwaltung verarbeiten wir folgende Daten:

Vorname und Nachname
E-Mail-Adresse
Unternehmensname (für Rechnungsstellung erforderlich)
Passwort (verschlüsselt gespeichert, nicht im Klartext lesbar)
Team- und Rollenzuweisungen (je nach gewähltem Tarif)
Zeitstempel der Registrierung und zuletzt erfolgter Anmeldungen (für Sicherheitszwecke)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Kontodaten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Kündigung gilt die in den AGB festgelegte 30-tägige Exportfrist. Anschließend werden Kontodaten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Hochgeladene Inhalte und generierte Ergebnisse

Im Rahmen der Nutzung der Plattform laden Kunden Medieninhalte hoch und erhalten KI-generierte Ergebnisse. Dabei werden folgende Daten verarbeitet:

Hochgeladene Bilder und Videos
Eingegebene Texte (Anweisungen, Markenbeschreibungen, sonstige Eingaben)
KI-generierte Captions, Texte und sonstige Ausgaben
Freigabestatus und Kommentare im Rahmen von Freigabe-Workflows
Nutzungsmetadaten (z. B. Upload-Zeitstempel, Bearbeitungsstatus)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Hochgeladene und generierte Inhalte werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Kündigung gilt die in den AGB festgelegte 30-tägige Exportfrist. Danach werden diese Inhalte gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen; für ältere Versionen hochgeladener Medien gilt die in Abschnitt 10.1 beschriebene Frist von bis zu 30 Tagen.

Hochgeladene Inhalte werden nicht zu Werbe-, Analyse- oder Drittnutzungszwecken weitergegeben.

10.1 Speicherort der hochgeladenen Mediendateien

Hochgeladene Bilder und Videos werden auf einem von uns betriebenen Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg (Deutschland) gespeichert. Hetzner stellt dabei ausschließlich die Infrastruktur bereit und nimmt vom Inhalt der Dateien keine Kenntnis. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Fassung 1.2 vom 16.02.2026, geschlossen am 12.10.2026).

Eine Übermittlung dieser Dateien in ein Drittland findet nicht statt. Der Vertrag sieht vor, dass die Verarbeitung ausschließlich innerhalb der EU bzw. des EWR erfolgt; bei einem Serverstandort in der EU werden die Serverdaten ausschließlich innerhalb der EU verarbeitet, und auch Supportleistungen erfolgen innerhalb der EU. Die vom Anbieter genehmigten Subunternehmer betreffen ausschließlich die Standorte Finnland, USA und Singapur und kommen für unseren Standort in Nürnberg nicht zum Tragen.

Der Anbieter ist nach ISO 27001 zertifiziert und verfügt über ein BSI C5 Typ 2 Testat. Die technischen und organisatorischen Maßnahmen der Rechenzentren werden jährlich von einer unabhängigen Stelle geprüft; die Prüfung durch die TÜV Rheinland i-sec GmbH vom 19. Februar 2026 schließt den Standort Nürnberg ein und stellte keine Abweichungen fest. Einzelheiten stehen in Anlage 1 und Anlage 2 unseres Auftragsverarbeitungsvertrags.

Die übrigen Daten der Anwendung — Kontodaten, eingegebene und generierte Texte, Beitrags- und Freigabedaten — liegen auf unserer Infrastruktur bei Hostinger International Ltd. innerhalb der EU (Litauen). Das Hosting dieser Website ist davon unberührt (siehe Abschnitt 3).

Zur Unterscheidung: Auch unser Dienstleister bundle.social setzt Hetzner ein (Abschnitt 11.2). Das ist eine davon getrennte Infrastruktur an einem anderen Standort, die ausschließlich Beiträge für TikTok und LinkedIn betrifft. Der hier beschriebene Server in Nürnberg wird von uns selbst betrieben.

Verarbeitung durch KI-Dienstleister: Für die Analyse und Texterzeugung werden Inhalte an die in Abschnitt 13 genannten Auftragsverarbeiter übermittelt. Die Speicherung bei Hetzner ändert daran nichts; maßgeblich bleiben die dort beschriebenen Garantien.

Sicherungskopien und Versionen: Nach Ablauf des Exportzeitraums löschen wir Inhalte aus den aktiven Systemen. Zum Schutz vor versehentlichem Löschen oder Überschreiben können ältere Versionen hochgeladener Medien in unserem Hetzner Object Storage in Deutschland (Region NBG1) bis zu 30 Tage für technische Wiederherstellungszwecke aufbewahrt werden. Sie werden nicht im normalen Plattformbetrieb verwendet und nach Ablauf der Frist automatisch gelöscht. Wird eine Version wiederhergestellt, wenden wir weiterhin geltende Löschanfragen erneut an. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Verbundene Social-Media-Konten und API-Integration

11.1 Allgemeines

capty ermöglicht es Nutzern, ihre Social-Media-Konten über OAuth 2.0 mit der Plattform zu verbinden, um Inhalte automatisiert veröffentlichen und planen zu können. Bei der Verbindung und Nutzung dieser Integrationen verarbeiten sowohl capty als auch die jeweiligen Plattformen personenbezogene Daten. capty und die jeweiligen Social-Media-Plattformen handeln dabei als unabhängige datenschutzrechtlich Verantwortliche (separate Controllers) für die in ihrer jeweiligen Sphäre vorgenommene Datenverarbeitung.

Rechtsgrundlage für alle Verarbeitungen in diesem Abschnitt ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Access Tokens und Refresh Tokens werden ausschließlich server-seitig, verschlüsselt und nach dem Stand der Technik gesichert gespeichert. Sie werden nicht mit Dritten geteilt, außer mit Auftragsverarbeitern, die capty beim Betrieb der Plattform unterstützen. Nutzern steht jederzeit das Recht zu, die Verbindung zu trennen und die Löschung aller damit verbundenen Daten zu verlangen.

11.2 Technische Anbindung von TikTok und LinkedIn über bundle.social

Die Verbindung zu TikTok und LinkedIn sowie die Veröffentlichung auf diesen beiden Plattformen erfolgen technisch über den Dienst bundle.social, betrieben von der BUNDLE SP. Z O.O., UL. Hoża 86/410, 00-682 Warschau, Polen (KRS 0001103308, NIP 7011202969). bundle.social wird für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig und verarbeitet die Daten ausschließlich auf unsere Weisung.

Der Umfang ist auf zwei Plattformen begrenzt: Über bundle.social laufen ausschließlich Beiträge, die du auf TikTok oder LinkedIn veröffentlichst, sowie die zugehörigen Kontoverbindungen. Veröffentlichungen auf Instagram und Facebook laufen über unsere eigene Meta-Anbindung und berühren bundle.social nicht. Verbindest du weder TikTok noch LinkedIn, werden zu dir keine Daten an bundle.social übermittelt.

Bevor du eines dieser Konten verbindest, weisen wir dich in der Anwendung an der betreffenden Stelle ausdrücklich darauf hin, dass die Verbindung über bundle.social läuft, und verlinken unsere Nutzungsbedingungen. Die Verbindung kommt nur zustande, wenn du sie aktiv herstellst.

Übermittelt werden: die Inhalte der für TikTok oder LinkedIn bestimmten Beiträge (Text, Bilder, Videos, Metadaten), Angaben zur geplanten Veröffentlichung, die Kennung und Basisprofildaten des verbundenen Kontos, die Zugangs-Token (OAuth) sowie in der Folge Veröffentlichungsstatus, Beitrags-IDs, Fehlermeldungen und abgerufene Statistikdaten.

Speicherung beim Anbieter: Nach der Datenschutzerklärung von bundle.social werden Beitragsinhalte, Beitragsdaten, Statistiken und hochgeladene Medien so lange gespeichert, wie sie für Veröffentlichung, Planung, Beitragshistorie, Auswertung, Fehlersuche und Support benötigt werden — anders als bei einer reinen Durchleitung verbleiben die Inhalte also beim Anbieter. Zugangs-Token werden gespeichert, solange das Konto verbunden ist. Anwendungs- und API-Protokolle sowie Datenbank-Backups werden nach Angaben des Anbieters 7 Tage aufbewahrt; gelöschte Kundendaten werden innerhalb von 30 Tagen aus den aktiven Systemen entfernt. Der Anbieter erklärt ausdrücklich, Kundeninhalte, Mediendateien, Social-Media-Kontodaten und OAuth-Daten nicht zum Training von KI-Modellen Dritter zu verwenden und keine personenbezogenen Daten zu verkaufen.

Ort der Verarbeitung: Unser Vertragspartner sitzt in Polen und damit in der EU; die Übermittlung an ihn ist keine Drittlandübermittlung. Nach dem mit uns geschlossenen Auftragsverarbeitungsvertrag liegt die Produktivinfrastruktur in Deutschland (Hetzner, Frankfurt am Main). Dort werden Kontodaten, Beitragsdaten, Statistiken und die Zugangs-Token gespeichert. Der administrative Zugriff ist auf Personal in Polen beschränkt. Veröffentlichte Mediendateien werden über die globale Infrastruktur von Cloudflare gespeichert und ausgeliefert; für Authentifizierung, Abrechnung, E-Mail-Versand und Support setzt der Anbieter weitere Dienstleister ein, von denen einige außerhalb des EWR verarbeiten. Diese Übermittlungen sind auf Standardvertragsklauseln gestützt.

Unterauftragsverarbeiter des Anbieters: Wir legen die vollständige Kette namentlich offen — Hetzner (Deutschland), Supabase (USA), Stripe (EWR), Cloudflare (global), Resend (USA), Crisp (EU) und Google Workspace (EU/USA). Die Einzelheiten mit Zweck, Ort und Garantie finden Sie in Anlage 1a unseres Auftragsverarbeitungsvertrags. Änderungen an diesem Kreis kündigt der Anbieter mit einer Frist von mindestens 14 Tagen an.

Weitere Informationen: Datenschutzerklärung von bundle.social und Nutzungsbedingungen von bundle.social.

11.3 Meta (Facebook und Instagram)

Verantwortliche Stelle bei Meta:
Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (für EU/EWR-Nutzer); Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA (globale Muttergesellschaft).

Von capty über die Meta Graph API verarbeitete Daten:

Facebook-Seiten-IDs und -Namen sowie Rolleninformationen des Nutzers (Administrator, Redakteur etc.)
Instagram-Business- oder Creator-Konto-ID sowie Basisprofilinformationen (Anzeigename, Avatar-URL)
Page Access Tokens (für Facebook-Seiten; laufen erst bei aktiver Sperrung oder Passwortänderung ab) sowie User Access Tokens (gültig ca. 60 Tage; werden server-seitig als Long-Lived Token gespeichert)
Metadaten zu geplanten und veröffentlichten Beiträgen (Veröffentlichungszeitpunkt, Post-ID, Veröffentlichungsstatus)

Verwendete API-Berechtigungen (Scopes): pages_show_list, pages_manage_posts, pages_read_engagement, instagram_business_basic, instagram_business_content_publish.

Daten, die beim Veröffentlichen an Meta übermittelt werden: Beitragsinhalt (Text, Bild- oder Videodatei), Sichtbarkeitseinstellungen und der geplante Veröffentlichungszeitpunkt werden über die Meta Graph API an Meta übertragen. capty verarbeitet diese Daten ausschließlich auf Veranlassung und im Auftrag des Nutzers.

Programm und Nutzungsbedingungen: capty nutzt die Meta Graph API im Rahmen der Meta Platform Terms (Meta for Developers Platform) sowie der Meta Business Tools Terms. Die Nutzung erfolgt konform mit den jeweils aktuellen Meta Platform Policies.

Datenlöschung und Widerruf: Access Tokens werden gelöscht, sobald ein Nutzer die Verbindung in den capty-Kontoeinstellungen trennt, das capty-Konto kündigt oder Meta dies anfordert. Nutzer können die Verbindung jederzeit auch direkt bei Meta widerrufen:

Facebook/Meta: Einstellungen → Apps und Websites
Alternativ: auth.meta.com/settings/apps_websites/

capty stellt zusätzlich eine eigenständige Möglichkeit zur Datenlöschung in den Plattform-Einstellungen bereit. Auf Anfrage an hello@capty.ai werden alle plattformbezogenen Daten unverzüglich gelöscht. Eine ausführliche Anleitung finden Sie unter Datenlöschung für verbundene Konten.

Datenverarbeitung durch Meta: Für die Verarbeitung personenbezogener Daten durch Meta selbst verweisen wir auf:
Facebook: facebook.com/privacy/policy/
Instagram: privacycenter.instagram.com/policy/

11.4 LinkedIn

Die technische Anbindung an LinkedIn erfolgt über bundle.social; siehe Ziffer 11.2. Die nachfolgenden Angaben betreffen die Verarbeitung durch LinkedIn selbst.

Verantwortliche Stelle bei LinkedIn:
LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland (für EU/EWR-Nutzer); LinkedIn Corporation, 1000 West Maude Avenue, Sunnyvale, California 94085, USA (globale Muttergesellschaft).

Von capty über die LinkedIn API verarbeitete Daten:

LinkedIn-Mitglieds-URN (pseudonymisierter Bezeichner) zur Authentifizierung des Nutzers
Unternehmensseiten-URNs und -Namen, für die der Nutzer eine Verwaltungsrolle innehat (Administrator, Content Admin, Direct Sponsored Content Poster)
Access Token (gültig 60 Tage) und Refresh Token (gültig 365 Tage), ausschließlich server-seitig gespeichert
Metadaten zu veröffentlichten Beiträgen (Post-URN, Veröffentlichungszeitpunkt, Status)

Verwendete API-Berechtigungen (Scopes): w_member_social (für persönliche Profile), w_organization_social, r_organization_social (für Unternehmensseiten). Es werden ausschließlich die für die Veröffentlichungsfunktion erforderlichen Daten verarbeitet; eine Speicherung von LinkedIn-Profildaten über die zur Authentifizierung erforderlichen URNs hinaus erfolgt nicht.

Daten, die beim Veröffentlichen an LinkedIn übermittelt werden: Beitragsinhalt (Text, Medien-URN), Autor-URN (Mitglied oder Unternehmensseite), Sichtbarkeitseinstellungen und Verteilungsparameter werden über die LinkedIn Posts API übertragen.

Programm und Nutzungsbedingungen: capty nutzt die LinkedIn API im Rahmen der LinkedIn API Terms of Use. Vor der erstmaligen Authentifizierung werden Nutzer über den Zweck der Datenverarbeitung, die verarbeiteten Datenarten und ihre Widerrufsmöglichkeiten informiert, wie von LinkedIn vorgeschrieben.

Datenlöschung und Widerruf: Access Tokens werden bei Trennung der Verbindung oder Kündigung des capty-Kontos unverzüglich gelöscht. Auf Anfrage erfolgt die vollständige Löschung aller zuvor übertragenen Daten innerhalb von 10 Tagen. Nutzer können die Verbindung jederzeit auch direkt bei LinkedIn widerrufen:

Einstellungen → Datenschutz → Zugelassene Dienste

Datenverarbeitung durch LinkedIn: linkedin.com/legal/privacy-policy

11.5 TikTok

Die technische Anbindung an TikTok erfolgt über bundle.social; siehe Ziffer 11.2. Die nachfolgenden Angaben betreffen die Verarbeitung durch TikTok selbst.

Verantwortliche Stelle bei TikTok:
TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland (für EU/EWR-Nutzer); TikTok Information Technologies UK Limited, Kaleidoscope, 4 Lindsey Street, London, EC1A 9HP, Vereinigtes Königreich (für UK-Nutzer). capty und TikTok handeln als voneinander unabhängige Verantwortliche (Controller-to-Controller) im Sinne des TikTok Developer Data Sharing Agreement (in Kraft getreten: 22. Januar 2026).

Von capty über die TikTok Content Posting API verarbeitete Daten:

TikTok Open ID (pseudonymisierter Nutzerbezeichner) und Anzeigename
Access Token (gültig 24 Stunden) und Refresh Token (gültig 365 Tage), ausschließlich server-seitig gespeichert
Creator-Informationen (verfügbare Datenschutzebenen, Kommentar-/Duett-/Stitch-Berechtigungen), die vor jedem Video-Upload über die API abgerufen werden
Metadaten zu veröffentlichten Videos (Video-ID, Veröffentlichungszeitpunkt, Status)

Verwendete API-Berechtigungen (Scopes): video.publish, video.upload, user.info.basic.

Daten, die beim Veröffentlichen an TikTok übermittelt werden: Videodatei, Caption (max. 2.200 Zeichen), Datenschutzeinstellung (privacy level), Angaben zu Markeninhalten (branded content flags), KI-generierte-Inhalte-Kennzeichnung (AI-generated content flag gemäß TikTok Community Guidelines) sowie Kommentar-/Duett-/Stitch-Einstellungen werden über die TikTok Content Posting API übertragen. Die Datenschutzeinstellung wird stets vom Nutzer aktiv gewählt; ein Vorausfüllen durch capty erfolgt nicht.

Programm und Nutzungsbedingungen: capty nutzt die TikTok API im Rahmen von TikTok for Developers auf Basis der TikTok Developer Terms of Service sowie des TikTok Developer Data Sharing Agreement.

Datenlöschung und Widerruf: Access Tokens werden bei Trennung der Verbindung oder Kündigung des capty-Kontos unverzüglich gelöscht; capty kann Tokens auch programmatisch über den TikTok OAuth-Widerruf-Endpunkt ungültig machen. Nutzer können die Verbindung jederzeit auch direkt in der TikTok-App widerrufen:

TikTok-App: Profil → Menü → Einstellungen und Datenschutz → Sicherheit → App-Berechtigungen verwalten → [App entfernen]

Weitere Informationen: TikTok Support – Drittanbieter-Apps

tiktok.com/legal/page/eea/privacy-policy/en

12. Zahlungsabwicklung (Paddle)

Für die Abwicklung von Zahlungen nutzen wir Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich (Handelsregisternummer 8172165).

Paddle ist dabei Merchant of Record, tritt also rechtlich als Verkäufer und Wiederverkäufer des Abonnements auf. Der Kaufvertrag über die Zahlung kommt zwischen Ihnen und Paddle zustande; Paddle stellt die Rechnung aus und führt die anfallende Umsatzsteuer ab. Paddle verarbeitet die Zahlungsdaten hierbei nicht in unserem Auftrag, sondern als eigenständig Verantwortlicher im Sinne der DSGVO.

Im Rahmen der Zahlungsabwicklung werden folgende Daten an Paddle übermittelt bzw. von Paddle erhoben:

Name, E-Mail-Adresse
Zahlungsinformationen (Kreditkartennummer, Ablaufdatum, CVC)
Rechnungsadresse, Land und Unternehmensangaben (inkl. USt-IdNr., soweit angegeben)
Transaktionsbetrag und Tarif-Informationen

Vollständige Kreditkartendaten werden ausschließlich von Paddle bzw. dessen Zahlungsdienstleistern verarbeitet und gelangen nicht auf unsere Server. Von uns werden lediglich Abonnement- und Rechnungsinformationen verarbeitet, die wir zur Vertragsabwicklung benötigen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Pflichten). Rechnungs- und Transaktionsdaten, die steuer- oder handelsrechtlichen Aufbewahrungspflichten unterliegen, werden für 10 Jahre aufbewahrt (§ 147 AO / § 257 HGB).

Paddle hat seinen Sitz im Vereinigten Königreich. Für Übermittlungen dorthin besteht ein Angemessenheitsbeschluss der Europäischen Kommission, sodass ein angemessenes Datenschutzniveau gewährleistet ist.

Weitere Informationen: Paddle Datenschutzerklärung und Paddle Buyer Terms.

13. KI-gestützte Datenverarbeitung

capty nutzt einen oder mehrere KI-Dienstleister, um die Funktionalität des Dienstes bereitzustellen und weiterzuentwickeln. Abhängig von Feature, Anwendungsfall, Verfügbarkeit, Qualität und technischen Anforderungen kann capty unterschiedliche KI-Anbieter und Verarbeitungsinfrastrukturen einsetzen.

Diese Anbieter können eingereichte Inhalte ausschließlich zur Erbringung des angeforderten Dienstes gegenüber capty verarbeiten. Soweit erforderlich, schließt capty mit diesen Anbietern geeignete vertragliche Vereinbarungen ab. Werden personenbezogene Daten dabei in Länder außerhalb der EU oder des EWR übermittelt, stützt sich capty auf die nach dem anwendbaren Datenschutzrecht vorgesehenen Garantien, soweit verfügbar und anwendbar.

capty garantiert nicht, dass ein bestimmter KI-Anbieter, ein bestimmtes Modell oder ein bestimmter Verarbeitungsstandort für eine konkrete Anfrage verwendet wird, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

Derzeit eingesetzter KI-Anbieter: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (Modellfamilie „Claude"). Anthropic verarbeitet die übermittelten Inhalte als Auftragsverarbeiter ausschließlich zur Erbringung der angeforderten Funktion. Nach den Geschäftsbedingungen von Anthropic werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training von KI-Modellen verwendet. Eine Verarbeitung auf Infrastruktur in den USA ist möglich; diese Übermittlungen sind durch Standardvertragsklauseln abgesichert.

Google (Videoanalyse): Für die Analyse hochgeladener Videos setzen wir die Gemini API von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ein. Übermittelt werden die hochgeladenen Videoinhalte sowie die daraus abgeleiteten Analysedaten. Google verarbeitet diese Inhalte als Auftragsverarbeiter zur Erbringung der angeforderten Funktion. Nach den für den Europäischen Wirtschaftsraum geltenden Bedingungen von Google werden über die Programmierschnittstelle übermittelte Inhalte nicht zur Verbesserung der Produkte von Google und nicht zum Training von Modellen verwendet. Eine Verarbeitung auf Infrastruktur außerhalb der EU ist möglich und wird durch Standardvertragsklauseln abgesichert.

Caption Check: Unser kostenloses Analyse-Werkzeug unter capty.ai/caption-check steht auch ohne Nutzerkonto zur Verfügung. Der dort eingegebene Text wird für die Erstellung der plattformspezifischen Neufassungen an den oben genannten KI-Anbieter übermittelt. Der eingegebene Text wird von uns nicht dauerhaft gespeichert. Fordern Sie die Ergebnisse per E-Mail an, speichern wir ausschließlich die erzeugten Textfassungen bis zum Versand, längstens 24 Stunden; anschließend werden sie automatisch gelöscht. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung des Werkzeugs).

Rechtsgrundlage ist im Übrigen Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

14. Empfänger und Auftragsverarbeiter

Für den Betrieb der Website und der Plattform setzen wir folgende Dienstleister ein. Mit Auftragsverarbeitern wurden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen oder werden vor der Aktivierung der jeweiligen Verarbeitung geschlossen:

Dienstleister	Zweck	Rolle	Sitz
Hetzner Online GmbH	Speicherung hochgeladener Mediendateien (Bilder, Videos)	Auftragsverarbeiter	Deutschland (Nürnberg)
Hostinger International Ltd.	Web-Hosting; Infrastruktur für Konto-, Beitrags- und Textdaten	Auftragsverarbeiter	EU (Litauen)
Brevo SAS	E-Mail-Versand (Newsletter, Produkt-E-Mails)	Auftragsverarbeiter	EU (Frankreich)
Paddle.com Market Limited	Zahlungsabwicklung und Rechnungsstellung (Merchant of Record)	Unabhängiger Verantwortlicher	Vereinigtes Königreich (Angemessenheitsbeschluss)
BUNDLE SP. Z O.O. (bundle.social)	Technische Anbindung von TikTok und LinkedIn: Kontoverbindung, Veröffentlichung von Beiträgen und Abruf der zugehörigen Statistiken	Auftragsverarbeiter	Polen (EU) als Vertragspartner; Produktivsysteme in Deutschland (Hetzner, Frankfurt). Medienauslieferung über Cloudflare global; weitere Unterauftragsverarbeiter teils außerhalb des EWR — Standardvertragsklauseln
Google Ireland Ltd. (Analytics)	Website-Analyse (nur mit Einwilligung)	Auftragsverarbeiter	EU (Irland) / ggf. USA
Anthropic Ireland, Limited	KI-gestützte Textgenerierung und Caption Check	Auftragsverarbeiter	EU (Irland), Verarbeitung ggf. USA – SCCs
Google Ireland Limited	KI-gestützte Analyse hochgeladener Videos (Gemini API)	Auftragsverarbeiter	EU (Irland), Verarbeitung ggf. Drittland – SCCs
Meta Platforms Ireland Limited	Social-Media-API (Facebook, Instagram) – Veröffentlichung von Inhalten	Unabhängiger Verantwortlicher	EU (Irland) / USA
LinkedIn Ireland Unlimited Company	Social-Media-API (LinkedIn) – Veröffentlichung von Inhalten	Unabhängiger Verantwortlicher	EU (Irland) / USA
TikTok Technology Limited	Social-Media-API (TikTok) – Veröffentlichung von Inhalten	Unabhängiger Verantwortlicher (Controller-to-Controller)	EU (Irland) / international

Kommen künftig weitere KI-Dienstleister hinzu, werden diese hier ergänzt und auf Anfrage unter hello@capty.ai mitgeteilt.

15. Internationale Datenübermittlungen

Einige der von uns eingesetzten Dienstleister haben ihren Sitz außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) oder können aus Drittländern auf Daten zugreifen. Folgende Schutzmaßnahmen sind getroffen:

Brevo ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert.
Paddle verarbeitet Daten über seine Einheit im Vereinigten Königreich. Für Übermittlungen dorthin besteht ein Angemessenheitsbeschluss der Europäischen Kommission.
Meta Platforms: Meta Platforms Ireland Limited ist als Datenexporteur für EWR-Übermittlungen benannt. Die Übermittlung in die USA erfolgt auf Basis von Standardvertragsklauseln (Modul 1, Controller-to-Controller, Beschluss 2021/914) sowie des EU-US Data Privacy Frameworks, für das Meta Platforms, Inc. zertifiziert ist.
LinkedIn: LinkedIn Ireland Unlimited Company verarbeitet Daten primär innerhalb der EU. Übermittlungen in die USA (LinkedIn Corporation) werden durch Standardvertragsklauseln (Modul 2, Controller-to-Processor, gemäß LinkedIn Business Development DPA) abgesichert.
TikTok: TikTok Technology Limited (Irland) ist für EU/EWR-Nutzer der datenschutzrechtlich Verantwortliche. Übermittlungen in Drittländer erfolgen auf Basis von Standardvertragsklauseln (Art. 46 DSGVO). Hinweis: Im Mai 2025 wurde TikTok von der irischen DPC mit einer Geldbuße von 530 Millionen Euro belegt wegen unzulässiger Übermittlung von EWR-Nutzerdaten nach China. TikTok hat Abhilfemaßnahmen zugesagt (Project Clover). Die durch capty genutzten Daten (API-Tokens, Posting-Metadaten) sind von dieser Problematik strukturell zu trennen; die Verarbeitung durch TikTok als unabhängigen Verantwortlichen unterliegt allein der Kontrolle von TikTok.
Google ist über seine irische Einheit unser Vertragspartner für die Videoanalyse. Eine Verarbeitung außerhalb der EU ist möglich und wird durch Standardvertragsklauseln abgesichert.
bundle.social (BUNDLE SP. Z O.O.) stellt die technische Anbindung an TikTok und LinkedIn bereit. Unser Vertragspartner sitzt in Polen und damit in der EU; die Übermittlung an ihn ist keine Drittlandübermittlung. Die Produktivinfrastruktur liegt nach dem Auftragsverarbeitungsvertrag in Deutschland (Hetzner, Frankfurt). Außerhalb des EWR verarbeiten einzelne Unterauftragsverarbeiter des Anbieters: Supabase (Authentifizierung, USA), Cloudflare (Medienauslieferung, globales Netz) und Resend (E-Mail-Versand, USA); Google Workspace verarbeitet in der EU und den USA. Diese Übermittlungen sind auf Standardvertragsklauseln gestützt. Die vollständige Aufstellung steht in Anlage 1a des AVV.
Anthropic ist über seine irische Einheit unser Vertragspartner. Eine Verarbeitung auf Infrastruktur in den USA ist möglich und wird durch Standardvertragsklauseln abgesichert. Setzen wir künftig weitere KI-Dienstleister ein, stützt sich capty ebenfalls auf die nach dem anwendbaren Datenschutzrecht vorgesehenen Garantien (z. B. SCCs, Angemessenheitsbeschlüsse).

16. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermitteln.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten jederzeit widersprechen, sofern die Verarbeitung auf berechtigtem Interesse basiert.
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Recht auf Datenlöschung bezüglich verbundener Plattformen: Sie können jederzeit die Löschung aller Daten verlangen, die capty im Zusammenhang mit Ihren verbundenen Social-Media-Konten verarbeitet (Tokens, Posting-Metadaten). Die Löschung erfolgt innerhalb von 10 Tagen nach Anfrage.
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: hello@capty.ai

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 und 4 DSGVO findet nicht statt. Die KI-gestützte Erstellung von Textvorschlägen entfaltet keine rechtliche Wirkung und beeinträchtigt Sie nicht in ähnlicher Weise erheblich; die Entscheidung über Verwendung und Veröffentlichung der Vorschläge treffen ausschließlich Sie.

Bereitstellung Ihrer Daten

Die Angabe Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Für den Abschluss eines Vertrags und die Nutzung des Dienstes sind bestimmte Angaben jedoch erforderlich, insbesondere E-Mail-Adresse und Zugangsdaten. Ohne diese Angaben können wir den Dienst nicht bereitstellen. Freiwillig sind alle darüber hinausgehenden Angaben; ihre Nichtbereitstellung hat keine Nachteile für Sie.

17. Aufbewahrungsfristen

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Datenkategorie	Aufbewahrungsdauer
Server-Logfiles	30 Tage
Kontaktdaten (und Altbestand aus der Warteliste)	Bis zu 24 Monate nach Erfassung oder bis zur Löschungsanfrage
Newsletter-Abonnentendaten	Bis zum Widerruf; Löschung aus aktiven Listen innerhalb von 30 Tagen nach Abmeldeantrag
Konto- und Nutzerdaten	Dauer des Vertragsverhältnisses + 30-tägige Exportfrist nach Kündigung
OAuth Tokens (Meta, LinkedIn, TikTok)	Dauer der aktiven Kontoverknüpfung; Löschung unverzüglich nach Trennung der Verbindung oder Kündigung, spätestens innerhalb von 10 Tagen
Posting-Metadaten (Social-Media-Kanäle)	Dauer des Vertragsverhältnisses + 30-tägige Exportfrist nach Kündigung, dann Löschung. Bei aktiver Löschung des Kontos durch den Kunden: unverzügliche Löschung ohne Exportfrist
Hochgeladene und generierte Inhalte	Dauer des Vertragsverhältnisses + 30-tägige Exportfrist nach Kündigung, dann Löschung. Bei aktiver Löschung des Kontos durch den Kunden: unverzügliche Löschung ohne Exportfrist
Rechnungs- und Zahlungsbelege	10 Jahre gemäß § 147 AO / § 257 HGB

18. Auftragsverarbeitung durch Kunden (AVV)

Soweit Kunden über die Plattform personenbezogene Daten Dritter verarbeiten (z. B. Mitarbeiterdaten, Kundendaten), handeln sie als datenschutzrechtlich Verantwortliche und capty als Auftragsverarbeiter. In diesem Fall sind die Parteien verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zu schließen. capty stellt hierfür eine Standardvorlage bereit, die unter capty.ai/legal/dpa/ abrufbar ist.

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte rechtliche Rahmenbedingungen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir Sie per E-Mail, sofern uns Ihre E-Mail-Adresse vorliegt.