Ihre Daten, verständlich erklärt (DSGVO für Wettbewerbsteilnehmer)

Fast jede Woche erreicht uns dieselbe Frage. Meist trifft sie um 23 Uhr ein, von jemandem, der vor drei Tagen am Fotowettbewerb einer polnischen Marke teilgenommen hat und sich nun fragt, was mit der eigenen Telefonnummer passiert, wenn man uns mit einer kleinen Werbekampagne für die eigene Wettbewerbsseite beauftragt.

Gute Frage. Hier ist die ehrliche Antwort.

Diese Seite erklärt, was wir erheben, was wir bewusst nicht erheben, wo es liegt, wie lange wir es aufbewahren und wie Sie es wieder verschwinden lassen. Kein juristisches Fachchinesisch um seiner selbst willen. Wir sind eine kleine Agentur in Minsk, die mit Wettbewerbsteilnehmern aus der EU arbeitet, und damit gilt die DSGVO für uns, wenn wir Ihre Daten verarbeiten. Wir handeln entsprechend.

Die Kurzfassung

Sie geben uns vier Dinge: Ihren Namen, eine E-Mail-Adresse, einen Link zu Ihrem Wettbewerbsbeitrag und einen Zahlungsnachweis. Das ist die Grundlage. Manchmal mehr, wenn Sie uns bitten, Texte zu schreiben, die sich auf Ihre Bio beziehen. Niemals Ihr Passwort für die Wettbewerbsplattform. Niemals eine Tabelle mit den Kontakten Ihrer Freunde. Wir speichern die Daten 30 Tage nach Ende der Kampagne und löschen sie dann über einen geplanten Vorgang, der jeden Sonntag um 03:00 Uhr Minsker Zeit läuft. Wenn Sie möchten, dass es früher verschwindet, schreiben Sie uns eine E-Mail, und es ist innerhalb von 72 Stunden weg.

Das ist die ganze Geschichte. Der Rest dieser Seite ist das langweilige Detail, das die Kurzfassung vertrauenswürdig macht.

Was wir tatsächlich von Ihnen erheben

Wenn Sie das Formular auf /contact.html ausfüllen oder uns eine Nachricht über Telegram schicken, halten wir am Ende Folgendes vor:

Name und E-Mail-Adresse. Damit wir Ihnen antworten und Rechnungen senden können.
Die URL Ihres Wettbewerbsbeitrags. Damit wir wissen, wohin wir den Traffic lenken.
Die öffentliche Teilnahmebedingungen-Seite des Wettbewerbs. Wir lesen sie. Wir führen keine Kampagne für einen Wettbewerb durch, dessen Regeln bezahlte Werbung untersagen, und ja, etwa 1 von 6 Briefings, die uns erreichen, endet hier.
Ihr Land und Ihre Stadt, meist aus Ihrer Zeitzone abgeleitet oder direkt erfragt, weil das Anzeigen-Targeting einen geografischen Anker braucht.
Zahlungsnachweis. Eine Transaktions-ID, den Betrag, das Datum, die Methode. Kartennummern speichern wir nicht – das übernimmt unser Zahlungsdienstleister, und die vollständige PAN bekommen wir nie zu sehen.
Manchmal: eine kurze Bio oder ein paar Sätze, die Sie über sich selbst schreiben, wenn wir Anzeigentexte für Sie entwerfen. Das ist optional, und Sie bestimmen, was hineinkommt.

Das ist alles. Die Liste ist bewusst kurz.

Was wir grundsätzlich niemals erheben

Das ist der Teil, den die meisten Agenturen überspringen, also werden wir deutlich.

Ihre Anmeldedaten für die Wettbewerbsplattform. Benutzername, Passwort, Zwei-Faktor-Codes, „nur kurz das Passwort" – nein. Wenn jemand danach fragt, führt er keine Marketingkampagne durch, sondern einen Betrug. Wir haben Kunden abgewiesen, die uns unbedingt ihre Zugangsdaten geben wollten. Höflich, aber bestimmt.
Die personenbezogenen Daten Ihrer Freunde oder Familie. Keine Telefonnummernlisten, keine E-Mail-Exporte aus Ihren Kontakten, keine Tabellen nach dem Motto „hier sind alle, die für mich abstimmen könnten". Custom Audiences, die aus Kontaktlisten erstellt werden, über die Sie keine Kontrolle haben, verstoßen gegen die Richtlinien von Meta und sind ein Problem nach Artikel 6 DSGVO ohne saubere Rechtsgrundlage. Wir laden sie nicht hoch.
Dokumente, die Sie nicht teilen müssen. Passkopien, Ausweise, Stromrechnungen. Wir haben keine Verwendung dafür. Wenn ein Zahlungsanbieter KYC verlangt, ist das eine Sache zwischen Ihnen und dem Anbieter – wir sind nicht Teil der Kette.
Browsing-Daten von jemandem, der nicht Sie sind. Wir installieren keine Pixel auf Wettbewerbsseiten, die uns nicht gehören. Wir scrapen keine Wählerlisten. Wir kaufen keine „Wettbewerbsinteressen"-Daten von Datenhändlern.

Wenn uns unsere Weigerung, all das zu tun, Ihren Auftrag kostet, können wir damit leben. Lesen Sie unsere Grenzen im Detail auf /services.html.

Die Rechtsgrundlage, auf die wir uns stützen (Artikel 6, entmystifiziert)

Die DSGVO besagt, dass wir einen rechtlichen Grund brauchen, um Ihre Daten zu verarbeiten. Es gibt sechs. Wir stützen uns auf zwei.

Artikel 6 Abs. 1 lit. b – Vertragserfüllung. Sie haben uns beauftragt, eine Kampagne durchzuführen. Dafür brauchen wir naturgemäß Ihre E-Mail-Adresse und die URL Ihres Beitrags. Diese Grundlage deckt den operativen Kern der Zusammenarbeit ab.

Artikel 6 Abs. 1 lit. f – berechtigte Interessen. Für Dinge wie das Führen eines 30-tägigen Prüfprotokolls darüber, welche Anzeigenmotive liefen (damit wir Fragen beantworten können, falls Meta oder Google etwas beanstandet), stützen wir uns auf berechtigte Interessen, abgewogen gegen Ihre Rechte. Diese Abwägung haben wir einmal, im Jahr 2024, dokumentiert, und wir lesen sie jedes Frühjahr erneut durch.

Die Einwilligung nach Artikel 6 Abs. 1 lit. a nutzen wir nicht als Hauptgrundlage, denn eine Einwilligung nach DSGVO muss freiwillig erteilt und leicht widerrufbar sein, und sie mit einer kostenpflichtigen Leistung zu bündeln, verwässert das. Die Einwilligung ist die richtige Grundlage für Dinge wie einen Newsletter – den wir nicht betreiben. Der offizielle Text findet sich unter eur-lex.europa.eu/eli/reg/2016/679/oj, falls Sie Artikel 6 selbst lesen möchten. Er ist kürzer, als man denkt.

Wo die Daten liegen

Das ist wichtig, weil die DSGVO Wert auf internationale Übermittlungen legt. Hier ist die Wahrheit:

E-Mail-Korrespondenz: in einem in der EU gehosteten Postfach.
Projektnotizen und Briefings: auf verschlüsselter Festplatte einer Workstation in Minsk, mit verschlüsseltem Offsite-Backup in Frankfurt.
Rechnungen: in unserer Buchhaltungssoftware, die in der EU gehostet wird.
Daten der Werbeplattformen: natürlich auf den Servern von Meta, Google und TikTok. Wir kontrollieren nicht, wo sie sie ablegen; Sie haben deren Bedingungen akzeptiert, als Sie diese Plattformen genutzt haben. Wir minimieren, was wir an sie senden.

Belarus ist nach der DSGVO kein „angemessenes" Land. Wir wissen das. Deshalb verwenden wir Standardvertragsklauseln mit in der EU ansässigen Unterauftragsverarbeitern und dokumentieren unsere Verarbeitungstätigkeiten. Wenn Sie die Dokumentation möchten, senden wir sie Ihnen. Nur wenige fragen danach, aber das Angebot steht.

Aufbewahrung: 30 Tage, dann ist es weg

Die meisten Agenturen behalten Kundendaten für immer, „falls Sie wiederkommen". Wir nicht. Unsere Standard-Aufbewahrungsfrist beträgt 30 Tage nach Ende einer Kampagne.

So läuft es an Tag 31 ab. Eine geplante Aufgabe auf unserem Server läuft jeden Sonntag um 03:00 Uhr Minsker Zeit. Sie prüft jedes als „abgeschlossen" markierte Projekt und zählt die Tage seit Ende der Kampagne. Übersteigt die Zahl 30, wird der Projektordner in ein Quarantäneverzeichnis verschoben. Sieben Tage später löscht ein weiterer Vorgang die Quarantäne. In der Praxis sind Ihre Daten also innerhalb von 30 bis 37 Tagen verschwunden, je nachdem, an welchem Wochentag Ihre Kampagne endete.

Ausnahmen, die wir länger aufbewahren:

Rechnungen. Das belarussische Steuerrecht verlangt 5 Jahre. Wir sind keine Juristen, und das ist keine Rechtsberatung – es ist das, was uns unsere Buchhalterin sagt, und daran halten wir uns.
Erstattungsbelege. Dieselben 5 Jahre, derselbe Grund. Die Erstattungsrichtlinie selbst finden Sie auf /refund.html.
Alles, worum Sie uns ausdrücklich bitten, es aufzubewahren, zum Beispiel weil Sie möchten, dass wir nächsten Monat eine zweite Kampagne durchführen. In diesem Fall bitten wir Sie um eine schriftliche Bestätigung und legen eine Kalendererinnerung für das neue Aufbewahrungsdatum an.

Wenn Sie uns bitten, alles früher zu löschen – einschließlich der Dinge, die wir normalerweise aus rechtlichen Gründen aufbewahren würden – löschen wir, was wir rechtlich dürfen, und sagen Ihnen genau, was wir nicht löschen können und warum. Ohne Vortäuschung.

Das Recht auf Löschung, konkret umgesetzt

Artikel 17 DSGVO gibt Ihnen das Recht, Ihre personenbezogenen Daten löschen zu lassen. Die meisten Artikel dazu lassen es wie ein bürokratisches Martyrium klingen. Bei uns ist es das nicht.

Sie senden eine E-Mail an die Adresse auf /contact.html mit dem Betreff „Löschungsanfrage" oder dem Äquivalent in der Sprache Ihrer Wahl. Wir antworten innerhalb eines Werktags. Innerhalb von 72 Stunden nach Bestätigung Ihrer Identität (wir brauchen lediglich, dass Sie sie von der bei uns hinterlegten E-Mail-Adresse senden oder eine Zahlungsreferenz bestätigen) tun wir Folgendes:

Wir löschen Ihren Projektordner aus dem Arbeitsspeicher.
Wir entfernen den Eintrag bei der nächsten Backup-Rotation, die nächtlich erfolgt, aus unserem verschlüsselten Backup.
Wir pausieren alle aktiven Werbekampagnen sofort und entfernen die URL Ihres Beitrags innerhalb von 24 Stunden aus den Anzeigengruppen.
Wir weisen unsere Unterauftragsverarbeiter (das EU-Postfach, die Buchhaltungssoftware) an, das zu löschen, was sie vorhalten, soweit das Gesetz es erlaubt.
Wir senden Ihnen eine schriftliche Bestätigung mit einer Auflistung dessen, was gelöscht wurde und was wir aufbewahren mussten, einschließlich der Rechtsgrundlage für die Aufbewahrung.

Die DSGVO erlaubt formal bis zu 30 Tage, in komplexen Fällen verlängerbar auf 90. Für die Art von Arbeit, die wir leisten, brauchen wir keine 30 Tage. Wenn Sie von uns je hören „wir brauchen mehr Zeit", dann weil wir auf etwas wirklich Kompliziertes gestoßen sind, und wir werden es erklären.

Eine ehrliche Einschränkung. Wenn Ihre Kampagnendaten bereits von den Systemen von Meta oder Google aufgenommen wurden, können wir nicht in deren Datenbanken hineingreifen und sie herausziehen. Sie müssen die Löschung direkt bei ihnen beantragen. Der Prozess von Meta findet sich unter facebook.com/help/contact/540977946302970; der von Google läuft über die Datenschutzeinstellungen Ihres Google-Kontos. Wir können Ihnen auf Wunsch den für Ihre Situation passenden direkten Link geben. Wir haben das in den letzten 18 Monaten für 11 Kunden getan. Es funktioniert.

Was wir einmal falsch gemacht haben

Abschnitt zur Ehrlichkeit. Anfang 2024 haben wir das Briefing eines Projekts sechs Wochen nach Ende der Kampagne in einem E-Mail-Entwurf aufbewahrt – über unsere eigene 30-Tage-Regel hinaus – weil wir an einem Folgeangebot gearbeitet und vergessen hatten, den Entwurf zu löschen. Nichts ist nach außen gedrungen. Niemandem ist ein Schaden entstanden. Der Kunde bemerkte es in einem beiläufigen Gespräch, fragte nach, wir gaben es zu, löschten den Entwurf noch während des Gesprächs und änderten unseren Prozess so, dass Entwürfe von demselben Sonntags-Aufräumvorgang erfasst werden. Wir erwähnen es, weil jede Agentur eine makellose Bilanz behauptet und fast keine eine hat.

Unterauftragsverarbeiter, namentlich

Wir sind verpflichtet, Ihnen mitzuteilen, wer sonst noch Ihre Daten berührt. Die aktuelle Liste:

Unser EU-E-Mail-Hoster (wir nennen ihn auf Anfrage schriftlich; wir möchten nicht, dass diese Seite zum Phishing-Ziel wird).
Unser Buchhaltungssoftware-Anbieter, in der EU ansässig.
Die Werbeplattformen Meta, Google und TikTok, wenn Sie eine Kampagne mit ihnen autorisieren.
Unser Zahlungsdienstleister, der die Rechnungsstellung übernimmt und vollständige Kartendaten nie mit uns teilt.

Wir nutzen kein CRM. Wir nutzen keine Marketing-Automatisierungssuite. Wir nutzen keinen KI-Anbieter, der Kundendaten zum Training aufnimmt. Sollten wir das je ändern, aktualisieren wir diese Seite und schreiben zuerst jedem aktiven Kunden eine E-Mail.

Ihre Rechte, als Checkliste

Nach der DSGVO haben Sie das Recht: auf Ihre Daten zuzugreifen, sie zu berichtigen, sie zu löschen, die Verarbeitung einzuschränken, sie zu einem anderen Anbieter zu übertragen und der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen. Für alles außer der Übertragbarkeit (wir halten dafür nicht genug Daten vor, als dass das sinnvoll wäre) startet eine E-Mail an uns den Vorgang. Wir antworten innerhalb eines Werktags und schließen ihn in drei ab.

Wenn Sie der Ansicht sind, dass wir mit Ihren Daten falsch umgehen, und unsere Antwort nicht ausreicht, können Sie sich bei Ihrer nationalen Datenschutzbehörde beschweren. In Polen ist das die UODO (uodo.gov.pl). Uns wäre es lieber, Sie sagen es uns zuerst, damit wir es korrigieren können – aber wir werden Sie niemals davon abhalten, sich an die Aufsichtsbehörde zu wenden.

Was diese Seite nicht abdeckt

Dies ist die verständliche Fassung. Die formelle Datenschutzerklärung mit allen Abschnittsüberschriften, die die DSGVO gerne sieht, finden Sie auf /privacy.html. Sollten sich die beiden je widersprechen, ist die formelle Fassung maßgeblich – aber wir arbeiten hart daran, sie im Einklang zu halten. Wenn Sie einen Widerspruch entdecken, schreiben Sie uns. Wir beheben ihn noch am selben Tag.

Wie wir die Arbeit tatsächlich durchführen, nachdem die Datenfrage geklärt ist, lesen Sie auf /process.html. Wer wir sind, auf /about.html. Zu den Kosten /pricing.html. Zu den Fragen, die Kunden vor der Unterzeichnung stellen, /faq.html.

Eine letzte Sache

Wir sind bewusst ein kleines Team. Das ist ein Vorzug, keine Entschuldigung. Es bedeutet, dass weniger Menschen Ihre Daten berühren, dass das obige Datenverzeichnis das tatsächliche Verzeichnis ist (keine geschönte Zusammenfassung) und dass Sie in der Regel die Person namentlich benennen können, die Ihre Löschungsanfrage beantwortet. Wenn das altmodisch klingt, in Ordnung. Es klingt auch nach der Art von Agentur, die wir beauftragen würden, wären die Rollen vertauscht.