1. Verantwortlicher und Kontakt
Shafiq & Staiger GbR
Brückenstraße 4a
64546 Mörfelden-Walldorf
Deutschland
Vertreten durch: Imran Shafiq, Karina Staiger (vertretungsberechtigte Gesellschafter)
Datenschutzanfragen: support@jetlinkt.com
2. Konto und öffentliches Profil
Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, eine technische Nutzerkennung und die von dir angegebenen Profildaten. Bei Google- oder Apple-Anmeldung erhalten wir die freigegebenen Kontoinformationen. Dein Anzeigename, Profilbild, deine Bio und veröffentlichte Links sind öffentlich. Deine Konto-E-Mail wird nicht automatisch auf deinem Profil oder deiner Visitenkarte veröffentlicht.
Die Verarbeitung erfolgt zur Bereitstellung deines Kontos und der von dir gewünschten Funktionen auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Für Anmeldung, Datenbank und Bildspeicherung verwenden wir Google Firebase. Bei einer Anmeldung über Google oder Apple gelten ergänzend die Hinweise des gewählten Anbieters.
Kein App-Tracking: JetLinkt™ greift nicht auf die Apple-Werbekennung (IDFA) zu. Wir verknüpfen Name, E-Mail-Adresse oder andere App-Daten nicht mit Daten aus Apps, Websites oder Offline-Angeboten anderer Unternehmen, um Werbung auszuspielen oder deren Wirkung zu messen, und geben solche Daten nicht an Datenbroker weiter. JetLinkt™ führt daher kein „Tracking“ im Sinne von Apples App Tracking Transparency durch.
Für E-Mail-und-Passwort-Konten verarbeiten wir außerdem den Anmeldeanbieter, den Bestätigungsstatus und kurzzeitig einen nur als Prüfsumme gespeicherten sechsstelligen Bestätigungscode. Der Code ist zehn Minuten gültig. Sicherheitsrelevante Vorgänge werden mit Zeitpunkt, Ereignistyp und technischen Fehlerangaben protokolliert, soweit dies für Sicherheit, Fehleranalyse und Missbrauchsabwehr nötig ist.
Passwort zurücksetzen: Wenn du ein neues Passwort anforderst, senden wir dir über Resend von no-reply@jetlinkt.com einen Link auf jetlinkt.com. Der darin enthaltene Einmal-Code wird von Google Firebase erzeugt, gilt eine Stunde und funktioniert nur einmal. Damit niemand herausfinden kann, ob eine E-Mail-Adresse bei JetLinkt™ registriert ist, zeigen wir immer dieselbe Meldung. Zum Schutz vor Missbrauch speichern wir eine Prüfsumme der E-Mail-Adresse und die Zeitpunkte der Anfragen; sie laufen nach zwei Stunden ab und werden bei der nächsten täglichen Bereinigung gelöscht. Nach der Änderung melden wir dich auf allen Geräten ab, bestätigen deine E-Mail-Adresse und schicken dir einen Hinweis per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Bereitstellung deines Kontos) sowie Art. 6 Abs. 1 Buchst. f DSGVO und Art. 32 DSGVO (Sicherheit der Verarbeitung).
3. Hosting und technische Sicherheit
Die Website wird bei Vercel betrieben. Beim Aufruf fallen technisch notwendige Verbindungsdaten an, darunter die IP-Adresse, Zeitpunkt, angeforderte Seite und Browserinformationen. Sicherheitsmaßnahmen und die Abwehr missbräuchlicher Anfragen dienen unserem berechtigten Interesse an einem zuverlässigen Dienst (Art. 6 Abs. 1 Buchst. f DSGVO). Zur Begrenzung von Formularanfragen speichern wir kurzlebige, kryptografisch abgeleitete Prüfsummen statt der vollständigen IP-Adresse; diese Einträge werden nach Ablauf ihrer maximal zweistündigen Gültigkeit bei der nächsten täglichen Bereinigung entfernt.
Das öffentliche Anfrageformular kann mit Cloudflare Turnstile gegen automatisierte Eingaben geschützt werden. Dabei verarbeitet Cloudflare technische Verbindungs-, Browser- und Interaktionsdaten, um menschliche Eingaben von automatisierten Anfragen zu unterscheiden. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Spam und Angriffen (Art. 6 Abs. 1 Buchst. f DSGVO); ein Zugriff auf die Endeinrichtung erfolgt nur, soweit er für diesen Sicherheitsdienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).
4. Cookies und deine Auswahl
Notwendige Speicherungen ermöglichen Anmeldung, Sicherheit und die gewünschte Kontonutzung. Der geschützte Sitzungscookie wird bei der Abmeldung gelöscht; Firebase kann die Anmeldung zusätzlich im lokalen Browserspeicher verwalten. Der Aufruf der Login-Seite schließt keine Anmeldung automatisch ab.
Deine Cookie-Auswahl speichern wir für 180 Tage im Cookie „jetlinkt_consent“. Nur bei Zustimmung zur Statistik wird eine zufällige Browserkennung in „jetlinkt_visitor“ gesetzt. Die Auswahl kannst du jederzeit über „Cookies“ ändern. Bei Ablehnung oder Widerruf löschen wir diese Browserkennung und senden keine weiteren freiwilligen Statistikereignisse.
Im Einzelnen verwenden wir „jetlinkt_consent“ für 180 Tage, „jetlinkt_visitor“ nur nach Einwilligung für höchstens 180 Tage und technisch notwendige Sitzungsspeicherungen für Anmeldung und Kontosicherheit. Ein Cookie für ein entsperrtes passwortgeschütztes Media Kit gilt zwölf Stunden. Marketing- oder Retargeting-Cookies setzen wir nicht.
5. Besuchs- und Klickstatistiken
Mit deiner Einwilligung zählen wir Aufrufe öffentlicher Unternehmensseiten und Klicks auf Profil-Links. Dabei werden Seitenpfad, Zeitpunkt, eine grobe Gerätekategorie und gegebenenfalls die Herkunftswebsite verarbeitet. Für Besuchsstatistiken wird die Browserkennung als Prüfsumme gespeichert. Es entstehen keine Werbeprofile; vollständige IP-Adressen werden nicht in den Statistikdatensätzen gespeichert. Aufrufe öffentlicher Profilseiten sowie Land und Stadt des Besuchers (aus der IP-Adresse ermittelt, die nicht gespeichert wird) zählen wir mit Einwilligung nur als Tagessummen.
Die Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Neue Einzelereignisse und Browserkennungen werden für höchstens 90 Tage zuzüglich des täglichen Bereinigungsintervalls gespeichert; nicht personenbezogene Tagessummen können länger erhalten bleiben. Statistiken erfassen nur zugestimmte Besuche und stellen keine vollständige Zählung aller Menschen dar.
6. Support und E-Mails
Wenn du uns kontaktierst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, den Nachrichteninhalt und von dir übermittelte Anhänge zur Bearbeitung der Anfrage. Für Versand und Empfang verwenden wir Resend. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO bei Vertragsfragen, ansonsten unser berechtigtes Interesse an der Beantwortung deiner Anfrage (Buchst. f). Nach Registrierung senden wir eine Willkommensmail als Kontobestätigung. Diese ist keine Newsletter-Anmeldung.
Das interne E-Mail-System speichert Absender, Empfänger, Betreff, Inhalt, Versandstatus, Thread-Zuordnung und Anhänge. Anhänge liegen in Google Cloud Storage und werden nur über berechtigte Serverrouten geladen. Kündigungen und Widerrufe speichern wir mit Vertragsangaben, Eingangszeitpunkt und Bestätigungsnummer zur Bearbeitung und zum rechtlichen Nachweis.
7. Abonnements und Zahlungen
Wenn du ein kostenpflichtiges Abo abschließt, verarbeitet Stripe die von dir eingegebenen Zahlungs- und Rechnungsdaten. Je nach gewählter Zahlart sind weitere Zahlungsanbieter beteiligt. JetLinkt™ speichert den Tarif, Abostatus, technische Zahlungsreferenzen und Rechnungsinformationen. Vollständige Karten- und Kontodaten werden nicht auf unseren Servern gespeichert. Je nach Land und Gerät können über Stripe weitere von dir gewählte Zahlungsarten wie SEPA, PayPal, Klarna, Apple Pay oder Google Pay beteiligt sein. Die Verarbeitung dient der Vertragsdurchführung (Art. 6 Abs. 1 Buchst. b DSGVO) und gesetzlichen Aufbewahrungspflichten (Buchst. c). Wir verarbeiten außerdem Testberechtigung, Tarif, Laufzeit, Testende, Fälligkeiten, Kündigungszeitpunkt und fehlgeschlagene Zahlungen, um Zugänge zu steuern, Rechnungen anzuzeigen und Zahlungserinnerungen zu versenden. Bei internen technischen Zahlungsprüfungen erfolgt keine echte Abbuchung.
Käufe in der Android-App wickelt Google Play (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) nach den Bedingungen und der Datenschutzerklärung von Google ab. JetLinkt™ erhält dabei keine Zahlungsdaten, sondern nur den Kauf- und Abostatus: gekauftes Abo und Laufzeit, Start, Ablauf und Verlängerung, Kündigung, Zahlungsprobleme, eine Kaufkennung und eine pseudonymisierte Kontokennung, mit der wir den Kauf deinem JetLinkt™-Konto zuordnen (Art. 6 Abs. 1 Buchst. b DSGVO).
Käufe in der iPhone-App wickelt der App Store (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) nach den Bedingungen und der Datenschutzrichtlinie von Apple ab. Auch hier erhalten wir keine Zahlungsdaten, sondern nur den von Apple signierten Kauf- und Abostatus: gekauftes Abo und Laufzeit, Verlängerung, Kündigung, Zahlungsprobleme und Erstattungen, eine Transaktionskennung und eine pseudonymisierte Kontokennung, mit der wir den Kauf deinem JetLinkt™-Konto zuordnen (Art. 6 Abs. 1 Buchst. b DSGVO).
8. Empfänger, Ausland und Speicherdauer
Wir setzen insbesondere folgende Empfänger und Auftragsverarbeiter ein: Vercel für Hosting, Auslieferung und technische Protokolle; Google Cloud/Firebase für Anmeldung, Datenbank und Dateiablage; Resend für Versand und Empfang von E-Mails; Stripe für Checkout, Abonnements, Rechnungen und Zahlungsabwicklung; Cloudflare für den optionalen Turnstile-Spamschutz und den Familienfilter für Links; OpenAI für die automatische Prüfung von Texten und Bildern (Abschnitt 16); Apple und Google für die jeweils von dir gewählte Wallet-Funktion; sowie TikTok, Meta/Instagram, Google/YouTube und Twitch, wenn du ein dortiges Konto verbindest. Öffentliche Unternehmensregister erhalten nur die in Abschnitt 12 beschriebenen Suchangaben.
Anbieter mit Sitz oder Infrastruktur außerhalb des EWR können Daten in Drittländern, insbesondere den USA, verarbeiten. Übermittlungen erfolgen – je nach Anbieter und Verarbeitung – auf Grundlage eines Angemessenheitsbeschlusses, insbesondere des EU-US Data Privacy Framework, oder der EU-Standardvertragsklauseln samt ergänzenden Schutzmaßnahmen.
Kontodaten werden grundsätzlich für die Dauer der Kontonutzung benötigt. Supportdaten werden nach Abschluss der Anfrage gelöscht, soweit sie nicht zur Vertragsabwicklung, Rechtsverteidigung oder aufgrund gesetzlicher Pflichten weiter benötigt werden. Für Rechnungen gelten die jeweils anwendbaren gesetzlichen Aufbewahrungsfristen.
9. Deine Rechte
Du hast nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Schreibe uns zur Ausübung deiner Rechte an support@jetlinkt.com. Zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden.
10. Verbundene Social-Media-Konten (TikTok, Instagram, YouTube, Twitch)
Im Bereich „Creator Business“ kannst du freiwillig eigene Konten bei TikTok, Instagram (Business- oder Creator-Konto), YouTube und Twitch verbinden. Die Verbindung läuft ausschließlich über das offizielle Anmeldeverfahren der jeweiligen Plattform (OAuth). Wir erhalten nie dein Passwort, lesen keine privaten Nachrichten und veröffentlichen nichts in deinem Namen.
Verarbeitete Daten: Profilangaben (Name, Benutzername, Profilbild, Profil-Link), Follower- bzw. Abonnentenzahl, Anzahl der Beiträge sowie deine öffentlichen Beiträge mit Views, Likes, Kommentaren und Shares. Bei Instagram und YouTube zusätzlich zusammengefasste Angaben zu deinem Publikum (Länder, Altersgruppen, Geschlecht), bei YouTube außerdem tägliche Aufrufe, Wiedergabezeit und Abonnentenveränderungen. Bei Twitch lesen wir nur Kanalangaben, die Follower-Zahl und deine gespeicherten Streams, Highlights und Uploads mit ihren Views. Publikumsdaten sind von der Plattform zusammengefasst; Daten einzelner Follower erhalten wir nicht.
Zweck und Rechtsgrundlage: Anzeige deiner Statistiken in deinem Dashboard, Berechnung von Kennzahlen (zum Beispiel Median Views und Engagement Rate), ein monatlicher Verlauf, eine Preisorientierung im Rate Calculator und bei Instagram das Titelbild und die Beschreibung deiner eigenen Reels und Beiträge, die du im Block „Video & Musik“ einbindest (Art. 6 Abs. 1 Buchst. b DSGVO). Dein Business Profile und dein Media Kit sind zunächst privat. Sobald du sie veröffentlichst, zeigen sie die Kennzahlen deiner verbundenen Plattformen automatisch an; einzelne Kennzahlen oder Plattformen kannst du jederzeit ausblenden. Kennzahlen lassen sich nicht manuell eintragen.
Sicherheit und Aktualisierung: Zugangstokens werden verschlüsselt (AES-256-GCM) auf unseren Servern gespeichert und nie an Browser oder Dritte übermittelt. Die Daten werden einmal täglich automatisch sowie auf deinen Wunsch aktualisiert. Öffentliche Seiten zeigen nur den zuletzt gespeicherten Stand.
Speicherdauer und Widerruf: bis du die Verbindung trennst oder dein Konto löschst. Beim Trennen im Dashboard (Creator Business › Connections) werden Zugangstokens und importierte Daten gelöscht; auf Wunsch bleibt nur dein monatlicher Kennzahlenverlauf erhalten. Du kannst den Zugriff außerdem direkt bei der Plattform entziehen: TikTok (Einstellungen › Sicherheit und Berechtigungen › Apps), Instagram (Einstellungen › Apps und Websites), Google (myaccount.google.com/permissions), Twitch (Einstellungen › Verbindungen). Betriebsprotokolle ohne Inhalte werden nach 30 Tagen gelöscht. Anfragen zur Datenlöschung über Instagram bestätigen wir unter jetlinkt.com/data-deletion.
YouTube API Services: JetLinkt nutzt die YouTube API Services. Mit der Verbindung deines YouTube-Kontos stimmst du den YouTube-Nutzungsbedingungen zu; es gilt ergänzend die Datenschutzerklärung von Google. Die Nutzung und Übertragung von Informationen, die JetLinkt über Google-APIs erhält, hält die Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use) ein.
Keine Weitergabe: Wir verkaufen keine Plattformdaten, nutzen sie nicht für Werbung und trainieren damit keine KI-Modelle. Eine Übermittlung erfolgt nur an unsere technischen Dienstleister (Google Firebase, Vercel) im Rahmen der Auftragsverarbeitung.
11. Business Profile, Media Kit und Kooperationsanfragen
Über das Anfrageformular auf der „Work With Me“-Seite eines Creators übermittelte Angaben (Unternehmen, Ansprechperson, geschäftliche E-Mail, Kampagnendetails und optional ein Briefing als Datei) werden gespeichert und ausschließlich dem jeweiligen Creator in seiner Deal Inbox angezeigt und per E-Mail angekündigt (Art. 6 Abs. 1 Buchst. b DSGVO, Anbahnung einer Kooperation). Zum Schutz vor Missbrauch nutzen wir die in Abschnitt 3 beschriebenen kurzlebigen Prüfsummen (Buchst. f). Die Daten werden gelöscht, sobald der Creator die Anfrage oder sein Konto löscht.
Unternehmen können ein kostenloses Brand-Konto anlegen. Dafür speichern wir Firmenname, Ansprechperson, geschäftliche E-Mail, Website, Branche, eine optionale Beschreibung und ein optionales Unternehmenslogo. Das Logo wird auf höchstens 1.000 × 1.000 Pixel verkleinert, als WebP gespeichert und bei einem neuen Upload ersetzt; das Original speichern wir nicht. Diese Angaben sieht der Creator bei jeder Anfrage. Nachrichten zwischen Brand und Creator im Chat einer Anfrage speichern wir für beide Seiten und kündigen sie per E-Mail an (Art. 6 Abs. 1 Buchst. b DSGVO). Im Creator-Verzeichnis für Brand-Konten erscheinen nur Creator, die ihr Business Profile aktiviert und die Verzeichnis-Anzeige nicht abgeschaltet haben, und nur mit Angaben aus ihrem veröffentlichten Business Profile; Kennzahlen und Plattformen, die sie ausgeblendet haben, erscheinen dort nicht. Löscht eine Brand ihr Konto, entfernen wir das Brand-Konto; bereits gesendete Anfragen und Nachrichten bleiben beim Creator, aber ohne Verbindung zum gelöschten Konto.
Chat-Nachrichten können Bilder, Videos, Dokumente und andere erlaubte Dateien enthalten. Wir speichern Dateiname, Typ, Größe, Prüfsumme und privaten Speicherpfad. Die Datei wird nur den am Deal beteiligten Konten über eine berechtigungsgeprüfte Route bereitgestellt. Texte werden automatisiert auf Spam, Beleidigungen und sensible Kontaktdaten geprüft; solche Prüfungen können den Versand verhindern oder eine zusätzliche Bestätigung verlangen. Rechtsgrundlage sind Vertragsdurchführung und unser berechtigtes Interesse an einem sicheren Kommunikationsdienst.
Im Chat kannst du die andere Seite blockieren und den Chat melden. Eine Blockierung speichern wir mit beiden Konten und dem Zeitpunkt, bis du sie aufhebst; solange sie besteht, könnt ihr euch keine Nachrichten und keine neuen Anfragen schicken. Bei einer Meldung speichern wir Grund, deine optionale Beschreibung und eine Kopie der letzten 30 Nachrichten des Chats, damit unser Team sie prüfen kann. Grundlage ist unser berechtigtes Interesse an einem sicheren Kommunikationsdienst (Art. 6 Abs. 1 Buchst. f DSGVO). Blockierungen und Meldungen löschen wir mit dem Konto der meldenden oder gemeldeten Seite.
Aufrufe von Business-Seiten und Media Kits, PDF-Downloads und das Öffnen des Anfrageformulars zählen wir als reine Tageswerte ohne Personenbezug, ohne Cookies und ohne IP-Adressen. Für passwortgeschützte Media Kits setzen wir nach richtiger Passworteingabe ein technisch notwendiges Cookie für 12 Stunden.
12. Unternehmens-Prüfung für Brand-Konten
Damit Creator wissen, dass hinter einer Anfrage ein echtes Unternehmen steht, prüfen wir Brand-Konten, bevor sie Anfragen senden oder im Chat schreiben können. Zuerst bestätigst du deine geschäftliche E-Mail-Adresse mit einem sechsstelligen Code, sofern sie nicht bereits deine bestätigte Anmeldeadresse ist. Den Code speichern wir nur als Prüfsumme; er gilt 10 Minuten und wird nach der Eingabe gelöscht.
Prüfung mit Nachweis: Du gibst Land, Firmennamen und Steuernummer bzw. Umsatzsteuer-Identifikationsnummer an und lädst einen Nachweis hoch, etwa eine Gewerbeanmeldung oder einen Handelsregisterauszug (PDF oder Bild, höchstens 4 MB). Jedes Unternehmen wird von unserem Team geprüft. Die Datei liegt in einem nicht öffentlichen Speicherbereich, wird nur von unserem Team zur Prüfung geöffnet und nach der Freigabe oder Ablehnung gelöscht. Danach speichern wir nur noch, wann die Datei gelöscht wurde.
Abgleich mit Registern: Gibst du eine Umsatzsteuer-Identifikationsnummer, eine Firmen- oder Registernummer oder einen LEI an, fragen wir zusätzlich öffentliche Register ab: das Mehrwertsteuer-Informationsaustauschsystem der EU (VIES), Companies House (Vereinigtes Königreich), das UID-Register der Schweiz, das Brønnøysund-Register (Norwegen) und die LEI-Datenbank der Global Legal Entity Identifier Foundation (GLEIF). An die Register übermitteln wir Land und Nummer. Zeigt ein Land im EU-Register keinen Firmennamen an, übermitteln wir zusätzlich deinen Firmennamen, damit das Register bestätigen kann, ob er zur Nummer passt. Das Ergebnis hilft unserem Team bei der Prüfung, bestätigt dein Konto aber nicht allein.
Gespeicherte Angaben und E-Mails: Wir speichern Firmenname, Land, Firmen- bzw. Registernummer, gegebenenfalls die Steuernummer, die bestätigte E-Mail-Adresse, das Ergebnis der Registerabfrage, den Prüfstatus mit Datum und gegebenenfalls einen Ablehnungsgrund. Diese Angaben sind nur für dich und unser Team sichtbar; Creator sehen lediglich, dass ein Unternehmen verifiziert ist. Den Code und Nachrichten zum Stand der Prüfung („wird geprüft“, „bestätigt“, „abgelehnt“) senden wir von no-reply@jetlinkt.com über Resend. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO sowie unser berechtigtes Interesse, Creator vor Betrug und Spam zu schützen (Buchst. f). Die Angaben werden gelöscht, wenn du dein Brand-Konto löschst.
12a. Verifizierte Nutzer (goldener und blauer Haken)
Ein Haken neben dem Profilbild zeigt, dass ein Profil geprüft wurde. Den goldenen Haken vergibt nur unser Team, zum Beispiel an bekannte Personen und Marken. Den blauen Haken bekommst du mit JetLinkt Max automatisch.
Automatische Prüfung für den blauen Haken: Wir prüfen, ob du ein Profilbild hast und ob mindestens zwei deiner Links unter „Socials“ (Instagram, TikTok, YouTube oder Twitch) zu denselben Konten gehören, die du unter „Connections“ über die offizielle Anmeldung der Plattform verbunden hast (siehe Abschnitt 10). Dafür vergleichen wir den Kontonamen aus deinem Link mit dem Kontonamen, dem Link und der Konto-ID des verbundenen Kontos. Ist alles erfüllt, kannst du den Haken mit einem Tipp aktivieren. Die Prüfung läuft danach bei jedem Aufruf deines Profils erneut; passt etwas nicht mehr oder endet dein Max-Tarif, wird der Haken ausgeblendet. Wir speichern das Ergebnis des Abgleichs, deinen Benutzernamen, Anzeigenamen und das Datum. Nur unser Team sieht diese Angaben; öffentlich sichtbar ist nur der Haken selbst. Bekommst du einen Haken, schicken wir dir eine Glückwunsch-E-Mail von no-reply@jetlinkt.com über Resend; das Bild darin erzeugen wir aus deinem öffentlichen Profilbild. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO sowie unser berechtigtes Interesse, Besucher und Unternehmen vor nachgeahmten Profilen zu schützen (Buchst. f). Wenn du dein Konto löschst, löschen wir auch diese Angaben.
13. Digitale Visitenkarte (Apple Wallet und Google Wallet)
Unter „Visitenkarte“ kannst du eine digitale Visitenkarte gestalten und in Apple Wallet oder Google Wallet speichern. Sie enthält deinen Namen, deinen JetLinkt-Benutzernamen, einen QR-Code zu deinem Profil und die Angaben, die du dafür auswählst: Rolle, Firma, Slogan, E-Mail, Telefon, Webseite, Ort und optional dein Profilbild. Deine Gestaltung speichern wir in deinem Konto (Art. 6 Abs. 1 Buchst. b DSGVO).
Apple Wallet: Die Karte wird auf unserem Server als Datei erzeugt und direkt auf dein Gerät geladen. Wir übermitteln sie nicht an Apple; danach gelten die Einstellungen deines Geräts und deines Apple-Kontos.
Google Wallet: Wenn du „Zu Google Wallet hinzufügen“ wählst, übermitteln wir die Kartenangaben über die Google Wallet API an Google und aktualisieren sie dort, wenn du die Gestaltung änderst. Dein Profilbild lädt Google dafür aus unserem Speicher. Ergänzend gilt die Datenschutzerklärung von Google. Du kannst die Karte jederzeit in Google Wallet entfernen.
14. Digitale Produkte, Bestellungen und Stripe Connect
Verkäuferdaten: Für den Verkauf digitaler Produkte speichern wir Verkäufername, rechtlichen Namen, Anschrift, Support-E-Mail, Umsatzsteuerangaben, Standardwährung, Erstattungsregeln, Produktbeschreibungen, Bilder, private Produktdateien, verschlüsselte externe Zugangslinks und verschlüsselte Lizenzschlüssel. Für die Einrichtung von Auszahlungen übermitteln wir Konto-ID, E-Mail, Profil-URL und erforderliche Onboarding-Angaben an Stripe. Bank-, Identitäts- und Auszahlungsdaten gibt der Verkäufer direkt bei Stripe ein; JetLinkt speichert davon nur Statusangaben und die Stripe-Konto-ID. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.
Kauf und Auslieferung: Wir verarbeiten Käufer-E-Mail, gegebenenfalls Konto-ID, Bestellung, Produkt- und Preisschnappschuss, Rabatt, Währung, Provision, Einwilligung zur sofortigen digitalen Ausführung, Zahlungsreferenzen von Stripe, Erstattungen, Rückbuchungen, Downloadanzahl und Auslieferungsstatus. Der Verkäufer erhält die für Vertragserfüllung und Support erforderlichen Bestelldaten. Stripe verarbeitet Zahlungs- und Betrugsprüfungsdaten in eigener Verantwortung; es gilt ergänzend die Datenschutzerklärung von Stripe. Rechtsgrundlagen sind Vertragserfüllung (Art. 6 Abs. 1 Buchst. b), rechtliche Pflichten (Buchst. c) und Betrugs-, Missbrauchs- und Anspruchsabwehr (Buchst. f DSGVO).
Sicherheit und Statistik: Produktdateien liegen in privaten Speicherpfaden und werden nur nach einer Berechtigungsprüfung ausgeliefert. Upload-Freigaben laufen nach zehn Minuten ab. Externe Links und Lizenzcodes werden mit AES-256-GCM verschlüsselt. Für Shop-Statistiken speichern wir Aufruf, Checkout-Beginn und Kauf mit Produkt, Verkäufer und Zeitpunkt; anonyme Besucher werden nicht dauerhaft identifiziert. Produktmeldungen enthalten Produkt, Grund und, wenn vorhanden, Konto oder E-Mail der meldenden Person und werden zur Moderation verarbeitet.
Bestell-, Rechnungs-, Zahlungs- und Erstattungsdaten bewahren wir nach den gesetzlichen handels- und steuerrechtlichen Fristen auf; Sicherheits- und Streitfalldaten bis zum Abschluss und Ablauf einschlägiger Verjährungsfristen. Abgelaufene Upload-Freigaben und nicht abgeschlossene Reservierungen werden automatisiert entfernt. Soweit Meldepflichten für Plattformbetreiber bestehen, können Verkäufer-, Transaktions- und Steuerdaten zur Erfüllung des Plattformen-Steuertransparenzgesetzes an zuständige Behörden übermittelt werden (Art. 6 Abs. 1 Buchst. c DSGVO).
14a. E-Mail-Liste auf Profilseiten
Creator können auf ihrer Seite ein Formular „E-Mail-Liste“ einbinden. Trägst du dich dort ein, speichern wir deine E-Mail-Adresse, die Sprache der Seite, den Zeitpunkt und den genauen Text der Einwilligung, die du per Häkchen gegeben hast. Wir verarbeiten diese Angaben im Auftrag des jeweiligen Creators, der für seine Liste verantwortlich ist (Art. 28 DSGVO); Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO).
Double-Opt-in: Nach dem Eintragen schicken wir dir von no-reply@jetlinkt.com über Resend eine E-Mail mit einem Bestätigungslink, der 7 Tage gilt. Erst nach deiner Bestätigung stehst du auf der Liste. Ohne Bestätigung erhältst du keine weiteren E-Mails. Der Creator sieht in seinem Dashboard die eingetragenen Adressen und ihren Status und kann sie exportieren.
Newsletter-Dienste: Der Creator kann seine Liste mit Mailchimp (Intuit Inc., USA), Kit (ConvertKit LLC, USA) oder Klaviyo (Klaviyo, Inc., USA) verbinden. Dann übermitteln wir deine bestätigte Adresse an die vom Creator gewählte Liste bei diesem Dienst. Für den Versand der Newsletter und die weitere Verarbeitung dort ist der Creator verantwortlich; es gelten zusätzlich die Datenschutzhinweise des jeweiligen Dienstes. Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln des Dienstes.
Abmelden: Deine Einwilligung kannst du jederzeit widerrufen, zum Beispiel über den Abmelde-Link in unserer E-Mail oder in den Newslettern des Creators. Eine Abmeldung über unseren Link vermerken wir auf der Liste und geben sie an den verbundenen Newsletter-Dienst weiter, an den wir deine Adresse übermittelt haben; gelingt das einmal nicht, trägt der Creator dich dort aus. Über den Abmelde-Link in den Newslettern des Creators meldest du dich direkt bei dessen Dienst ab. Löscht der Creator einen Eintrag oder sein Konto, löschen wir die gespeicherten Angaben bei JetLinkt.
14b. Videos und Musik auf Profilseiten (YouTube, Spotify, Apple Music, TikTok, Instagram, Facebook)
Creator können Videos und Musik von YouTube (Google Ireland Limited), Spotify (Spotify AB, Schweden), Apple Music (Apple Distribution International Ltd., Irland), TikTok (TikTok Technology Limited, Irland) sowie Instagram und Facebook (Meta Platforms Ireland Limited, Irland) auf ihrer Seite zeigen. Beim Aufruf der Seite laden wir dafür nichts von diesen Diensten; du siehst nur einen Platzhalter mit Titel und einem Bild, das bei JetLinkt gespeichert ist. Erst wenn du auf Abspielen tippst, lädt dein Browser den Player des jeweiligen Dienstes. Dabei erhält der Dienst deine IP-Adresse und technische Angaben zu deinem Gerät und kann Cookies oder ähnliche Techniken einsetzen; YouTube-Videos binden wir im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Rechtsgrundlage ist deine Einwilligung durch den Tipp auf Abspielen (Art. 6 Abs. 1 Buchst. a DSGVO, § 25 Abs. 1 TDDDG). Für die weitere Verarbeitung ist der jeweilige Dienst verantwortlich; es gelten seine Datenschutzhinweise. Dabei kann es zu Übermittlungen in die USA kommen, auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.
Spotify-Suche im Editor: Suchst du als Creator beim Hinzufügen von Musik mit „Auf Spotify suchen“, schickt unser Server deinen Suchbegriff und dein Land mit dem Schlüssel von JetLinkt an Spotify, ohne Angaben zu deinem Konto. Für die beliebten Songs und Künstler, die beim Öffnen der Suche erscheinen, schickt er nur dein Land. Die Bilder der Treffer lädt dein Browser bzw. die App direkt von Spotify; dabei erhält Spotify deine IP-Adresse. Suchbegriffe speichern wir nicht. Rechtsgrundlage ist die Bereitstellung der Funktion, die du nutzt (Art. 6 Abs. 1 Buchst. b DSGVO).
Geschützte und geplante Links: Creator können Links zeitlich planen, mit einem Hinweis (ab 18 oder sensibler Inhalt) versehen oder mit einem Passwort schützen. Das Passwort speichern wir nur als Hash. Gibst du es ein, prüfen wir es auf unserem Server und speichern es nicht; zum Schutz vor Ausprobieren zählen wir Versuche kurzzeitig je Netzwerkadresse, wie bei anderen Formularen. Die Bestätigung „ab 18“ ist eine Selbstauskunft, die wir nicht speichern.
14c. Trinkgeld auf Profilseiten
Gibst du einem Creator über seine Seite Trinkgeld, speichern wir den Betrag, den Zeitpunkt, die Sprache der Seite, die Zahlungsreferenzen von Stripe und, wenn du sie angibst, deinen Namen und deine Nachricht. Deine E-Mail-Adresse erhalten wir von Stripe, um dir eine Bestätigung zu schicken. Der Creator sieht Betrag, Zeitpunkt, Name und Nachricht, nicht deine E-Mail-Adresse. Karten- und Zahlungsdaten gibst du direkt bei Stripe ein; es gelten die Angaben in Abschnitt 14 zu Stripe. Rechtsgrundlagen sind die Durchführung der Zahlung (Art. 6 Abs. 1 Buchst. b DSGVO) und gesetzliche Aufbewahrungspflichten (Buchst. c).
14d. Nachrichten an Creator
Über den Knopf „Nachricht“ oder einen „Schreib mir“-Link auf einer Profilseite kannst du dem Creator schreiben. Vor deiner ersten Nachricht bestätigst du deine E-Mail-Adresse mit einem 6-stelligen Code, den wir dir von no-reply@jetlinkt.com über Resend schicken (er gilt 10 Minuten; wir speichern nur einen Hash), und gibst einen Namen an. Gehört die Adresse zu einem JetLinkt-Konto, zeigen wir dem Creator statt eines eigenen Namens den Namen, das Profilbild und einen etwaigen Verifizierungs-Haken dieses Kontos. Nach der Bestätigung setzen wir in deinem Browser ein technisch notwendiges Cookie, damit du für 180 Tage angemeldet bleibst; über „Abmelden“ im Chat löschst du es (§ 25 Abs. 2 Nr. 2 TDDDG).
Wir speichern deine E-Mail-Adresse, deinen Namen, die Sprache, deine Nachrichten und die Antworten des Creators mit Zeitpunkten. Der Creator sieht deinen Namen und deine E-Mail-Adresse und kann dir antworten. Antworten liest du im Chat auf der Seite oder in der JetLinkt-App, wenn du dich dort mit derselben bestätigten E-Mail-Adresse anmeldest; dann zeigt dir die App deine Chats und benachrichtigt dich über Antworten. Rechtsgrundlage ist die Erfüllung des Dienstes, den du mit dem Schreiben nutzt (Art. 6 Abs. 1 Buchst. b DSGVO). Zum Schutz vor Missbrauch prüfen wir Nachrichten automatisch auf Spam und Beleidigungen und begrenzen die Anzahl von Codes und Nachrichten je Netzwerkadresse (Art. 6 Abs. 1 Buchst. f DSGVO). Creator können Unterhaltungen markieren, blockieren und löschen. Gelöschte Unterhaltungen und die Unterhaltungen eines gelöschten Creator-Kontos entfernen wir bei JetLinkt; deine bestätigte Adresse löschen wir auf Anfrage an support@jetlinkt.com oder mit deinem JetLinkt-Konto.
Erlaubst du in der JetLinkt-App Mitteilungen, speichern wir das Gerätekennzeichen für Push-Mitteilungen (Expo-Push-Token) mit deinem Konto und senden Mitteilungen über neue Nachrichten über den Dienst Expo (650 Industries, Inc., USA) und Apple bzw. Google an dein Gerät; dabei werden Titel und Anfang der Nachricht übermittelt. Beim Abmelden in der App löschen wir das Kennzeichen; Mitteilungen kannst du jederzeit in den Einstellungen deines Geräts abschalten (Art. 6 Abs. 1 Buchst. a und b DSGVO).
14e. Terminbuchung auf Profilseiten (Calendly, Cal.com)
Creator können auf ihrer Seite einen Block „Termin buchen“ zeigen, der ihre Buchungsseite bei Calendly (Calendly LLC, USA) oder Cal.com (Cal.com, Inc., USA) öffnet. Beim Aufruf der Profilseite laden wir dafür nichts von diesen Diensten. Erst wenn du auf den Block tippst, lädt dein Browser die Buchungsseite des Dienstes direkt auf der Seite. Dabei erhält der Dienst deine IP-Adresse und technische Angaben zu deinem Gerät und kann Cookies oder ähnliche Techniken einsetzen. Die Angaben, die du bei der Buchung machst (zum Beispiel Name, E-Mail-Adresse und gewählter Termin), gibst du direkt beim Dienst ein; JetLinkt erhält sie nicht. Für die Buchung sind der Dienst und der Creator verantwortlich; es gelten die Datenschutzhinweise des Dienstes. Rechtsgrundlage für das Laden ist deine Einwilligung durch den Tipp auf den Block (Art. 6 Abs. 1 Buchst. a DSGVO, § 25 Abs. 1 TDDDG). Dabei kann es zu Übermittlungen in die USA kommen, auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Hast du der Statistik zugestimmt, zählen wir das Öffnen des Blocks wie einen Klick auf einen Link (Abschnitt 5).
14f. Shopify-Produkte auf Profilseiten
Creator können ihren Shopify-Shop (Shopify International Limited, Irland) mit JetLinkt verbinden und ausgewählte Produkte auf ihrer Seite zeigen. Beim Verbinden meldet sich der Creator bei Shopify an und erlaubt JetLinkt nur, die Produkte des Shops zu lesen (Berechtigung „read_products“). Wir speichern die Shop-Adresse, den Namen und die Währung des Shops, den Zugangsschlüssel verschlüsselt sowie zu den ausgewählten Produkten Titel, Bildadresse, Preis und Link; einmal am Tag gleichen wir diese Angaben mit Shopify ab. Bestellungen, Kunden- und Zahlungsdaten des Shops erhalten wir nicht. Rechtsgrundlage ist die Bereitstellung der Funktion, die der Creator nutzt (Art. 6 Abs. 1 Buchst. b DSGVO). Trennt der Creator den Shop, löscht er sein Konto oder entfernt er JetLinkt in Shopify, löschen wir den Zugangsschlüssel und die Shop-Angaben, und die Produkte verschwinden von der Seite.
Besucher sehen auf der Profilseite die Produktkarten. Die Produktbilder lädt unser Server von Shopify; dein Browser verbindet sich dafür nicht mit Shopify. Tippst du auf ein Produkt, öffnet sich der Shop des Creators bei Shopify. Dort schließt du den Kauf ab; dafür sind Shopify und der Creator verantwortlich, und es gelten deren Datenschutzhinweise. JetLinkt erhält keine Angaben zu deinem Kauf. Hast du der Statistik zugestimmt, zählen wir den Tipp auf ein Produkt wie einen Klick auf einen Link (Abschnitt 5).
15. Datenexport und Kontolöschung
Unter Einstellungen › Deine Daten kannst du alle zu deinem Konto gespeicherten Daten als Datei herunterladen. Zugangstokens werden aus Sicherheitsgründen nicht exportiert. Bei Löschung deines Kontos trennen wir alle verbundenen Plattformen und löschen sämtliche Creator-Business-Daten, Anfragen, Deals, Berechnungen und hochgeladenen Dateien.
So löschst du dein JetLinkt™-Konto: In der App tippst du auf Mehr › Einstellungen › Account löschen, auf jetlinkt.com gehst du im Dashboard auf Einstellungen › Account löschen. Kommst du nicht mehr in dein Konto, schreib uns von deiner hinterlegten E-Mail-Adresse an support@jetlinkt.com, dann löschen wir es für dich.
Bei einem Brand-Konto löschen wir Firmendaten, Logo und Verifizierungsdaten. Bereits an einen Creator gesendete Anfragen und Chat-Nachrichten können als Unterlagen des Creators und zum Schutz beider Gesprächsseiten erhalten bleiben; die Verknüpfung mit dem gelöschten Brand-Konto wird entfernt. Bestehen noch aktive kostenpflichtige Verträge oder gesetzliche Aufbewahrungspflichten, werden die dafür nötigen Daten bis zu deren Ende beziehungsweise Ablauf gesperrt aufbewahrt.
Verkäufer können ihre Kundenliste und Bestellungen im Produkt-Dashboard exportieren. Bei einer Kontolöschung werden veröffentlichte Produkte aus dem Verkauf genommen. Bereits bezahlte Bestellungen, steuerlich erforderliche Transaktionsdaten und die zur weiteren Auslieferung gekaufter Inhalte notwendigen Dateien können bis zum Ende der gesetzlichen Aufbewahrungs- und Anspruchsfristen gesperrt weiterverarbeitet werden. Danach werden sie gelöscht oder anonymisiert.
16. Administration, Moderation und Supportzugriffe
Besonders berechtigte Teammitglieder können Konten, Unternehmen, Funktionsfreigaben, Zahlungsstatus, Support-E-Mails und gemeldete Inhalte einsehen, soweit dies für Support, Unternehmensprüfung, Sicherheit, Abrechnung oder Rechtsdurchsetzung nötig ist. Administrative Maßnahmen werden mit handelndem Konto, Art der Maßnahme, Ziel, Zeitpunkt und gegebenenfalls Begründung protokolliert. Grundlage sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO.
Über „Melden“ unten auf jedem öffentlichen Profil kann jede Person ein Profil melden, auch ohne Konto. Wir speichern den gewählten Grund, die optionale Beschreibung, eine freiwillig angegebene E-Mail für Rückfragen, bei angemeldeten Personen das meldende Konto sowie eine Kopie des gemeldeten Profils (Name, Bio, Links) zum Zeitpunkt der Meldung, damit unser Team die Meldung prüfen kann. Zum Schutz vor Missbrauch zählen wir Meldungen kurzzeitig pro IP-Adresse, nur als Prüfwert gespeichert. Grundlage sind unsere berechtigten Interessen an einer sicheren Plattform und rechtliche Pflichten (Art. 6 Abs. 1 Buchst. c und f DSGVO).
Damit mehrere Meldungen derselben Person nur einmal zählen, speichern wir mit jeder Meldung einen Prüfwert: bei angemeldeten Personen das Konto, sonst einen nicht umkehrbaren, mit einem geheimen Schlüssel gebildeten Hashwert der IP-Adresse. Melden mehrere verschiedene Personen ein Profil innerhalb von 24 Stunden, wird die öffentliche Seite automatisch vorläufig gesperrt, bis unser Team entschieden hat. Die betroffene Person erhält eine E-Mail mit einem persönlichen Link, über den sie Einspruch einlegen kann. Wir speichern den Einspruch, den Grund der Sperre und unsere Entscheidung, bis das Konto gelöscht wird. Grundlage sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO.
Automatische Prüfung von Links, Texten und Bildern: Beim Speichern eines Links und regelmäßig danach prüfen wir, ob die Adresse zu einer Porno-, Cam- oder Schadsoftware-Seite führt. Dafür gleichen wir den Domainnamen mit einer eigenen Liste ab und fragen den kostenlosen Familienfilter von Cloudflare (1.1.1.1 for Families, Cloudflare, Inc., USA) ab. Dabei wird nur der Domainname übermittelt, keine Angaben zu dir. Kurzlinks wie bit.ly rufen wir einmal auf, um das eigentliche Ziel zu erkennen.
Anzeigename, Benutzername, Bio, Linktitel und -beschreibungen, Produkttexte sowie hochgeladene Profil-, Hintergrund-, Link- und Produktbilder lassen wir nach dem Speichern automatisch durch das Moderationsmodell von OpenAI (OpenAI Ireland Ltd., Dublin, Irland, und OpenAI, L.L.C., USA) auf sexuelle Inhalte, Gewalt, Hass und Selbstverletzung prüfen. Übermittelt werden nur diese Texte und die Adressen der Bilder, keine Kontodaten. OpenAI verwendet Daten aus dieser Schnittstelle nach eigenen Angaben nicht zum Training und löscht sie nach höchstens 30 Tagen. Für Übermittlungen in die USA gelten das EU-US Data Privacy Framework beziehungsweise die EU-Standardvertragsklauseln. Wir speichern für jede geprüfte Angabe nur einen Prüfwert und das Ergebnis, damit nichts doppelt geprüft wird. Eindeutige Treffer (etwa Nacktbilder oder sexuelle Inhalte mit Minderjährigen) sperren die öffentliche Seite vorläufig, andere Treffer prüft ein Mensch aus unserem Team. Es gibt keine ausschließlich automatisierte Entscheidung über dein Konto im Sinne von Art. 22 DSGVO: Jede Sperre prüft unser Team, und du kannst Einspruch einlegen. Grundlage sind unsere berechtigten Interessen an einer sicheren, rechtskonformen Plattform und rechtliche Pflichten als Hostingdienst (Art. 6 Abs. 1 Buchst. c und f DSGVO).
17. Kontaktformular, Kündigung und Widerruf
Über das Kontaktformular verarbeiten wir Name, E-Mail, Thema und Nachricht. Die öffentlich erreichbaren Funktionen „Verträge hier kündigen“ und „Vertrag widerrufen“ verarbeiten zusätzlich Name, Konto-E-Mail, Vertrags- oder Rechnungsangaben, Art und gewünschten Zeitpunkt der Kündigung beziehungsweise die Widerrufserklärung. Wir speichern den Eingangszeitpunkt und eine Bestätigungsnummer und senden eine Eingangsbestätigung an die angegebene Adresse. Grundlage sind Vertragsabwicklung und rechtliche Pflichten (Art. 6 Abs. 1 Buchst. b und c DSGVO).
18. Datenschutzmaßnahmen für sensible Daten
Besonders schutzwürdig sind bei JetLinkt vor allem die Zugangstokens und Daten verbundener Plattformen, einschließlich der über Google-APIs erhaltenen YouTube-Daten, außerdem Nachweise aus der Unternehmens-Prüfung, Zahlungs- und Kontodaten. Wir schützen sie mit folgenden Maßnahmen:
Verschlüsselte Übertragung: JetLinkt ist nur über HTTPS (TLS) erreichbar. Auch unsere Server verbinden sich mit Google, den anderen Plattformen und unseren Dienstleistern ausschließlich über TLS-verschlüsselte Verbindungen.
Verschlüsselte Speicherung: OAuth-Zugangs- und Aktualisierungstokens verschlüsseln wir zusätzlich mit AES-256-GCM. Der Schlüssel liegt nur in der geschützten Serverumgebung und nicht im Quellcode. Datenbank und Dateispeicher (Google Firebase) werden vom Anbieter außerdem standardmäßig verschlüsselt gespeichert.
Zugriffsbeschränkung: Browser und Apps können nicht direkt auf Datenbank oder Dateispeicher zugreifen; unsere Sicherheitsregeln sperren jeden direkten Zugriff. Jede Anfrage läuft über unsere Server, die Anmeldung und Berechtigung bei jedem Aufruf prüfen. Zugangstokens werden nie an den Browser gesendet, in keiner Oberfläche angezeigt (auch nicht im Admin-Bereich), nicht exportiert und nicht protokolliert. Sitzungscookies sind HttpOnly und nur über HTTPS gültig; die Verbindung mit einer Plattform ist durch einen einmaligen, zehn Minuten gültigen Prüfwert gegen untergeschobene Anfragen (CSRF) geschützt.
Minimale Berechtigungen: Bei Google fordern wir nur Lesezugriff an (youtube.readonly und yt-analytics.readonly). Damit können wir in deinem Namen nichts hochladen, ändern oder löschen.
Speicherdauer und Löschung: Plattformdaten werden einmal täglich aktualisiert und nur gespeichert, solange die Verbindung besteht. Trennst du eine Plattform, widerrufen wir den Zugriff bei der Plattform, soweit sie das unterstützt (bei Google über den offiziellen Widerrufsendpunkt), und löschen Tokens und importierte Daten; auf Wunsch bleibt nur dein monatlicher Kennzahlenverlauf. Bei einer Kontolöschung löschen wir alle verbundenen Daten. Betriebsprotokolle ohne Inhalte löschen wir nach 30 Tagen.
Keine Weitergabe und eingeschränkte Nutzung: Über Google-APIs erhaltene Daten verkaufen wir nicht, nutzen sie nicht für Werbung, übermitteln sie nicht an Dritte außer an unsere technischen Auftragsverarbeiter (Google Firebase, Vercel) und trainieren damit keine KI-Modelle. Menschen in unserem Team sehen diese Daten nur mit deiner ausdrücklichen Zustimmung (zum Beispiel bei einer Support-Anfrage), wenn es für die Sicherheit oder zur Erfüllung gesetzlicher Pflichten nötig ist, oder zusammengefasst ohne Personenbezug für den Betrieb.
Organisatorische Maßnahmen: Administratorrechte vergeben wir einzeln über einen geschützten Serverzugang; administrative Maßnahmen werden protokolliert (siehe Abschnitt 16). Zugangsschlüssel zu unseren Diensten liegen nur in geschützten Umgebungsvariablen. Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir die zuständige Aufsichtsbehörde und betroffene Personen nach Art. 33 und 34 DSGVO.
Summary in English (for platform reviewers)
JetLinkt is a link-in-bio and creator business platform. Creators can optionally connect their own TikTok, Instagram (professional accounts), YouTube and Twitch accounts through the platforms' official OAuth flows. We read profile data, follower counts, the creator's public posts with their view, like, comment and share counts, and aggregated audience demographics (Instagram, YouTube) and channel analytics (YouTube). This data is used only to show the creator their own statistics, calculate metrics and, only after the creator publishes their business profile or media kit, display these metrics there automatically; the creator can hide any metric or platform. JetLinkt does not access IDFA, link app data with data from other companies for targeted advertising or advertising measurement, or share personal data with data brokers. JetLinkt therefore does not perform tracking as defined by Apple's App Tracking Transparency framework. Name and email address are used only for authentication and app functionality and remain linked to the user's JetLinkt account. Access tokens are encrypted (AES-256-GCM), never sent to the browser and never shared. We do not sell data, use it for advertising or train AI models with it. Creators can disconnect at any time in their dashboard, which deletes tokens and imported data; account deletion removes all data. To delete a JetLinkt account, open Mehr › Einstellungen › Account löschen in the app, or Dashboard › Einstellungen › Account löschen on jetlinkt.com, or email us from the account's address. Instagram data deletion requests are confirmed at jetlinkt.com/data-deletion. JetLinkt's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. By connecting YouTube, users agree to the YouTube Terms of Service; the Google Privacy Policy applies. Contact: support@jetlinkt.com.
Brand (company) accounts are verified before they can send requests or write in the chat: they confirm their business email with a one-time code, then enter their country, company name and tax or VAT number and upload a proof such as a business registration. Every company is reviewed by our team. If a VAT, company or register number or an LEI is given, we also check it against public registers (EU VIES, UK Companies House, the Swiss UID register, the Norwegian Brønnøysund register and GLEIF); we send the country and number, plus the company name where the EU register shows no name. The proof is stored privately, seen only by our team and deleted after the review. In the chat, both sides can block the other account (no more messages or requests between them) and report the chat to our team, which stores the reason, optional details and a copy of the latest 30 messages for review; chat text is also filtered automatically for insults and spam. Anyone can report a public profile with "Melden" (Report) at the bottom of the profile, also without an account; we store the reason, optional details, an optional email for follow-up questions, the reporting account if signed in, and a copy of the profile's name, bio and links at that time. Status emails come from no-reply@jetlinkt.com. The digital business card can be saved to Apple Wallet (the pass file is generated on our server and downloaded to the device) or Google Wallet (the card details are sent to Google through the Google Wallet API and can be removed in Google Wallet at any time). In-app purchases in the Android app are processed by Google Play (Google Ireland Limited) and in the iPhone app by the App Store (Apple Distribution International Ltd.); JetLinkt receives only the purchase and subscription status, never payment data. Creators can connect their own Shopify store through Shopify's OAuth flow with the read_products scope only, to show products they pick on their page; we store the store's address, name and currency, the encrypted access token and the picked products' title, image, price and link. JetLinkt never reads orders, customers or payments from Shopify. Disconnecting, deleting the account or uninstalling the app in Shopify deletes the token and store data.
Data protection mechanisms for sensitive data
The most sensitive data at JetLinkt are the access tokens and data of connected platforms, including YouTube data received through Google APIs, as well as company verification documents, payment and account data. We protect them as follows:
Encryption in transit: JetLinkt is only served over HTTPS (TLS). Our servers also connect to Google, the other platforms and our service providers only over TLS-encrypted connections.
Encryption at rest: OAuth access and refresh tokens are additionally encrypted with AES-256-GCM. The key is kept only in the protected server environment, never in source code. Our database and file storage (Google Firebase) are also encrypted at rest by default.
Access control: browsers and apps cannot access the database or file storage directly; our security rules deny every direct access. Every request goes through our servers, which check authentication and authorization on each call. Access tokens are never sent to the browser, never shown in any interface (including the admin area), never exported and never logged. Session cookies are HttpOnly and HTTPS-only, and connecting a platform is protected against cross-site request forgery with a single-use state value that expires after ten minutes.
Least privilege: we request read-only Google scopes only (youtube.readonly and yt-analytics.readonly), so we cannot upload, change or delete anything on the user's behalf.
Retention and deletion: platform data is refreshed once a day and stored only while the connection exists. When a creator disconnects a platform, we revoke access where the platform supports it (for Google through its official token revocation endpoint) and delete the tokens and imported data; on request only the monthly metric history is kept. Deleting the account deletes all related data. Operational logs without content are deleted after 30 days.
No sharing, limited use: we do not sell data received from Google APIs, use it for advertising, transfer it to third parties other than our technical processors (Google Firebase, Vercel) or use it to train AI models. People on our team only view this data with the user's explicit consent (for example in a support request), when needed for security or to comply with the law, or in aggregated, non-identifiable form for operations.
Organisational measures: administrator rights are granted individually through protected server access, and administrative actions are logged. Credentials for our services are stored only in protected environment variables. In the event of a personal data breach we notify the competent supervisory authority and affected users as required by Articles 33 and 34 GDPR.
Content safety: link domains are checked against our own list and Cloudflare's family DNS filter (only the domain name is sent). Profile texts and uploaded images are checked after saving by OpenAI's moderation model (texts and image addresses only, no account data; never data received from Google APIs). Clear findings or several reports from different people within 24 hours lock the public page until our team reviews it; every lock is explained by email and can be appealed.
Stand: 13. Oktober 2026.