Datenschutzerklärung

Stand: 2026-10-05

Diese Erklärung beschreibt, welche personenbezogenen Daten wir beim Betrieb von RevReach (https://revreach.app) verarbeiten, wofür und auf welcher Rechtsgrundlage. Sie gilt für die Website, die Plattform und unsere Schnittstellen.

1. Verantwortlicher

Luca Martini, Planeggerstraße 57c, 82110 Germering, Deutschland
E-Mail: support@revreach.app, Datenschutz: support@revreach.app

Einen Datenschutzbeauftragten müssen wir derzeit nicht benennen (§ 38 BDSG). Anfragen zum Datenschutz richtest du an die oben genannte Adresse.

2. Aufruf der Website und Server-Protokolle

Beim Aufruf verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Das ist nötig, um die Website auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren Betrieb). Protokolle werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

3. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

Diese Speicherung ist ohne Einwilligung zulässig, weil sie für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein und binden keine Schriftarten oder Skripte von Drittanbietern ein.

4. Konto

Für ein Konto verarbeiten wir E-Mail-Adresse, Passwort (nur als Hash), Name, Rolle, Zeitpunkt der Zustimmung zu den Nutzungsbedingungen und deine Einstellungen. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Anmeldung wird über unseren Datenbank-Dienstleister (Supabase) abgewickelt.

Sprache: Zu deinen Einstellungen gehört die Sprache deines Kontos (Deutsch oder Englisch). Wir übernehmen sie bei der Registrierung aus der Sprache, in der du die Website nutzt, und aktualisieren sie, wenn du über den Umschalter DE/EN wechselst. Wir nutzen sie, um dir E-Mails in dieser Sprache zu senden und Partnerschaftsverträge in der passenden Sprache zu erstellen: auf Deutsch, wenn beide Seiten Deutsch nutzen, sonst auf Englisch. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung mit Google oder Apple: Wenn du diese Option wählst, leitet dich die Seite zu Google (Google Ireland Ltd.) bzw. Apple (Apple Distribution International Ltd., Irland) weiter. Nach deiner Freigabe erhalten wir von dort deine E-Mail-Adresse, deinen Namen, eine Kennung deines Kontos und bei Google gegebenenfalls einen Link zu deinem Profilbild. Bei Apple kannst du eine anonyme Weiterleitungsadresse statt deiner E-Mail-Adresse wählen. Wir nutzen die Daten nur, um dein Konto anzulegen und dich anzumelden (Art. 6 Abs. 1 lit. b DSGVO). Welche Daten Google bzw. Apple dabei selbst verarbeiten, regeln deren Datenschutzerklärungen.

5. Daten von App-Anbietern

Wir verarbeiten Firmen- und Rechnungsdaten, Angaben zur App, öffentliche Store-Daten (Name, Icon, Screenshots, Bewertung aus der App-Store-Schnittstelle von Apple) sowie den RevenueCat-API-Schlüssel. Der Schlüssel wird mit AES-256-GCM verschlüsselt gespeichert und nur serverseitig verwendet, um Kennzahlen (Umsatz, Abos, Testphasen) abzurufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO (steuerliche Pflichten).

6. Daten von Creatorn, Kanäle und Beiträge

Für Creator verarbeiten wir Profilangaben (Handle, Beschreibung, Themen, Sprachen, Land), deine Konditionswünsche (z. B. Mindestbeteiligung, Fixum, Beiträge pro Monat), die im öffentlichen Profil und bei App-Anbietern erscheinen, und die Kanäle, die du einträgst. Einen Kanal kannst du auf zwei Wegen hinzufügen:

• Selbst eintragen (alle Plattformen): Profil-Link, Handle, Follower und durchschnittliche Aufrufe nach deiner Angabe. Diese Zahlen zeigen wir als „Angabe des Creators“. Zur Prüfung, dass dir das Profil gehört, kann unser Team den öffentlichen Prüfcode in deiner Profilbeschreibung aufrufen.
• Verbinden (YouTube, TikTok, Instagram): Wir lesen die Zahlen mit deiner Freigabe direkt bei der Plattform und aktualisieren sie täglich. Wir posten nichts, lesen keine privaten Nachrichten und keine Daten deiner Zuschauer.

Zweck ist der Nachweis deiner Reichweite gegenüber App-Anbietern und der Nachweis der vereinbarten Beiträge. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zugriffs- und Aktualisierungs-Tokens speichern wir verschlüsselt (AES-256-GCM). Du kannst eine Verbindung jederzeit unter „Kanäle“ trennen; dann widerrufen wir den Zugriff, soweit die Plattform das anbietet, und löschen die über die Schnittstelle abgerufenen Kanal- und Beitragsdaten. Daten, die wir nicht mehr aktualisieren können, löschen wir spätestens nach 30 Tagen.

YouTube-API-Dienste

Mit deiner Zustimmung im Anmeldefenster von Google (Berechtigung „youtube.readonly“) lesen wir: Kanal-ID, Kanalname, Handle, Profilbild, Land, Zahl der Abonnenten, Aufrufe und Videos sowie Titel, Beschreibung, Veröffentlichungszeit, Aufrufe, Likes und Kommentare deiner letzten Videos und der Videos, die einer Partnerschaft zugeordnet sind. Mit der Verbindung gelten die Nutzungsbedingungen von YouTube und die Datenschutzerklärung von Google. Den Zugriff kannst du auch in deinen Google-Kontoeinstellungen widerrufen.

TikTok

Über TikTok Login Kit und die Display API von TikTok (für Nutzer im EWR: TikTok Technology Limited, Irland) lesen wir mit den Berechtigungen „user.info.basic“, „user.info.profile“, „user.info.stats“ und „video.list“: Kennung, Anzeigename, Benutzername, Profilbild und -link, Zahl der Follower und Videos sowie deine öffentlichen Videos mit Titel, Beschreibung, Vorschaubild, Veröffentlichungszeit, Aufrufen, Likes, Kommentaren und Teilungen. Es gelten die Datenschutzrichtlinie von TikTok. Den Zugriff kannst du auch in den Einstellungen deines TikTok-Kontos widerrufen.

Instagram

Über die Instagram-Schnittstelle mit Instagram-Anmeldung (Meta Platforms Ireland Limited) lesen wir bei Business- und Creator-Konten mit den Berechtigungen „instagram_business_basic“ und „instagram_business_manage_insights“: Konto-Kennung, Benutzername, Name, Profilbild, Zahl der Follower und Beiträge, deine Beiträge mit Beschreibung, Art, Link, Vorschaubild, Zeitpunkt, Likes und Kommentaren sowie Aufrufe und Teilungen deiner letzten und der einer Partnerschaft zugeordneten Beiträge. Es gilt die Datenrichtlinie von Instagram. Den Zugriff kannst du auch in den Instagram-Einstellungen unter „Apps und Websites“ widerrufen.

Beiträge je Partnerschaft

Zu jeder Partnerschaft speichern wir die Beiträge, die du einträgst, aus einem verbundenen Kanal übernimmst oder die wir anhand deines Codes in der Beschreibung automatisch erkennen: Link, Plattform, Titel, Vorschaubild, Veröffentlichungsdatum, Kennzahlen und deine Bestätigung der Werbekennzeichnung. Der App-Anbieter der Partnerschaft sieht diese Angaben. Dazu zeigen wir, wie viele Code-Einlösungen in den sieben Tagen nach einem Beitrag gezählt wurden (ohne Bezug zu einzelnen Nutzern). Zweck ist der Nachweis der vertraglichen Leistung und die Auswertung der Partnerschaft für beide Seiten; Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Steuer- und Meldedaten (DAC7)

Für Auszahlungen an Creator verarbeiten wir Name bzw. Firma, Anschrift, Geburtsdatum (bei Einzelpersonen), Steuer-Identifikationsnummer, Steuernummer, Umsatzsteuer-Identifikationsnummer und gegebenenfalls Handelsregisternummer. Als Plattformbetreiber sind wir nach dem Plattformen-Steuertransparenzgesetz (PStTG) verpflichtet, diese Daten und die gezahlten Vergütungen jährlich an das Bundeszentralamt für Steuern zu melden, das sie mit den Steuerbehörden deines Wohnsitzstaats austauschen kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem PStTG. Die Daten bewahren wir zehn Jahre nach Ablauf des Meldezeitraums auf (§ 22 PStTG).

8. Verträge, Abrechnung und Nachrichten

Wir speichern die Partnerschaftsverträge zwischen App-Anbietern und Creatorn samt Annahmeprotokoll (Zeitpunkt, IP-Adresse, Browser), um den Vertragsschluss nachweisen zu können (Art. 6 Abs. 1 lit. b und f DSGVO). Buchungen, Gutschriften und Rechnungen speichern wir zur Vertragserfüllung und wegen handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB). Nachrichten zwischen Partnern speichern wir, solange die Partnerschaft besteht, und löschen sie drei Jahre nach deren Ende.

9. Zahlungen über Stripe

Zahlungsmittel von App-Anbietern und Auszahlungskonten von Creatorn werden direkt bei Stripe erfasst; wir sehen nur Typ und letzte Ziffern. Stripe prüft die Identität von Creatorn und verhindert Betrug. Dabei handelt Stripe teilweise als eigener Verantwortlicher; Einzelheiten in der Datenschutzerklärung von Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

10. Daten von Nutzern der Apps (Auftragsverarbeitung)

Wenn App-Anbieter RevenueCat mit RevReach verbinden, erhalten wir pseudonyme Kunden-IDs der App-Nutzer, den eingegebenen Creator-Code und Kaufdaten (Produkt, Preis, Währung, Land, Store, Zeitpunkte). Wir verarbeiten diese Daten im Auftrag des jeweiligen App-Anbieters, der dafür verantwortlich ist, auf Grundlage unseres Auftragsverarbeitungsvertrags. Creator sehen davon nur zusammengefasste Zahlen. Kaufereignisse ohne Creator-Code speichern wir nur als anonyme Tageszähler.

11. E-Mails

Wir senden Bestätigungs- und Benachrichtigungs-E-Mails (Art. 6 Abs. 1 lit. b DSGVO). Benachrichtigungen kannst du in den Einstellungen abschalten; E-Mails zu Sicherheit und Konto bleiben aktiv. Newsletter versenden wir nicht.

12. Meldungen und Beschwerden

Bei Meldungen über das Meldeformular verarbeiten wir deine Angaben, um die Meldung zu prüfen und dir das Ergebnis mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA). Wir löschen sie zwei Jahre nach Abschluss.

13. Öffentliche Code-Prüfung

Wenn eine App einen Creator-Code bei uns prüft, verarbeiten wir die IP-Adresse kurzzeitig im Arbeitsspeicher, um Missbrauch zu begrenzen. Sie wird nicht gespeichert.

14. Empfänger und Auftragsverarbeiter

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (etwa EU-US Data Privacy Framework) oder von Standardvertragsklauseln der EU-Kommission. Deine Vertragspartner auf der Plattform erhalten die Daten, die für die Partnerschaft nötig sind (z. B. Name und Anschrift im Vertrag).

15. Speicherdauer

Wir löschen Daten, sobald sie für den Zweck nicht mehr nötig sind. Konten ohne Partnerschaften löschen wir auf Wunsch sofort. Zwischengespeicherte Beiträge verbundener Kanäle löschen wir nach 30 Tagen, über Schnittstellen abgerufene Kennzahlen, die nicht mehr aktualisiert werden, ebenfalls nach 30 Tagen. Beiträge einer Partnerschaft bewahren wir bis drei Jahre nach deren Ende auf (Verjährungsfrist, § 195 BGB). Buchungs- und Abrechnungsdaten bewahren wir acht bis zehn Jahre auf (§ 147 AO, § 257 HGB), Meldedaten nach PStTG zehn Jahre. In dieser Zeit sind sie gesperrt und werden nur für diese Pflichten verwendet.

16. Deine Rechte

• Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): In den Einstellungen kannst du einen vollständigen Export herunterladen.
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung (Art. 18 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa durch Trennen eines verbundenen Kanals.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.

17. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Ohne Konto- und Vertragsdaten können wir die Plattform nicht bereitstellen; ohne Steuer- und Meldedaten dürfen wir keine Vergütungen auszahlen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht. Die Zuordnung von Käufen zu Creatorn und die Berechnung der Beteiligung folgen festen, im Vertrag beschriebenen Regeln.

18. Sicherheit

Übertragungen sind TLS-verschlüsselt. Geheimnisse wie API-Schlüssel und Zugriffstoken speichern wir zusätzlich verschlüsselt. Der Zugriff auf Datenbankzeilen ist technisch auf die jeweils berechtigten Konten beschränkt; Buchungen sind unveränderlich gespeichert.

19. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.