Datenschutzerklärung

Datenschutzerklärung scenebright
Stand: 27.09.2026, Version 2.0 (Entwurf)

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf scenebright.com, im Kundenportal app.scenebright.com und bei der Erbringung unserer Leistungen ist:

Florian Stemmer, scenebright, Huttengrundstr. 22, 36396 Steinau an der Straße, Deutschland
E-Mail: kontakt@scenebright.com, Kontaktformular: scenebright.com/kontakt

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit es für Website, Portal und Leistungen nötig ist, wir gesetzlich dazu verpflichtet sind, ein berechtigtes Interesse besteht oder Sie eingewilligt haben. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Pflicht) und lit. f DSGVO (berechtigtes Interesse). Unser Angebot richtet sich an Unternehmen. Personenbezogen sind vor allem die Daten von Einzelunternehmern und von Ansprechpartnern unserer Kunden.

Inhalte, die Kunden im Portal hochladen und veröffentlichen lassen, verarbeiten wir im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlich ist dann der Kunde; wir handeln nach seinen Weisungen und dem Auftragsverarbeitungsvertrag.

3. Hosting von Website und Portal, Server-Protokolle

Website, Portal, Datenbank und Speicher laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Falkenstein. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Beim Aufruf verarbeiten wir die Daten, die Ihr Browser übermittelt: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser und Betriebssystem, Referrer. Das ist nötig, um die Seiten auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Protokolle löschen wir nach 14 Tagen, außer ein Eintrag wird zur Aufklärung eines Sicherheitsvorfalls gebraucht. [vor Veröffentlichung technisch sicherstellen: zeitbasierte Log-Rotation 14 Tage; sonst nur eine garantierte Frist eintragen] [AVV mit Hetzner in der Hetzner-Konsole abschließen und ablegen]

Schriften und Skripte laden wir von unserem eigenen Server, nicht von Drittanbietern. [bei Bau der Website einhalten: keine Google Fonts oder CDNs]

4. Cookies und Speicherung auf Ihrem Gerät

Auf der Website setzen wir keine Cookies und keine Analyse- oder Marketingwerkzeuge ein. Im Portal setzen wir nur Cookies, die für den Dienst unbedingt erforderlich sind: ein Sitzungs-Cookie nach der Anmeldung (höchstens 12 Stunden gültig, gelöscht beim Abmelden) und ein Sicherheits-Cookie gegen gefälschte Anfragen (CSRF-Schutz). Diese Cookies sind nötig, damit Sie den Dienst nutzen können, den Sie ausdrücklich angefordert haben. Andere Informationen speichern wir auf Ihrem Gerät nicht (auch nicht im Local Storage). Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich; deshalb zeigen wir kein Cookie-Banner. Rechtsgrundlage für die weitere Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Beim Bezahlen leiten wir Sie auf die Bezahlseite von Stripe weiter. Dort setzt Stripe eigene Cookies, etwa zur Betrugsabwehr; dafür ist Stripe verantwortlich (Nr. 7).

5. Kontakt und Kontaktformular

Sie erreichen uns per E-Mail und über das Kontaktformular auf scenebright.com/kontakt. Im Formular verarbeiten wir Name, E-Mail-Adresse und Ihre Nachricht sowie technisch Zeitpunkt und IP-Adresse der Übermittlung. Das Formular leitet Ihre Anfrage per E-Mail an kontakt@scenebright.com weiter (Versand über Hostinger, Nr. 10). Gegen Spam nutzen wir ein unsichtbares Prüffeld und eine Begrenzung der Anfragen je IP-Adresse, beides ohne Drittanbieter und ohne Cookies. Wir verarbeiten Ihre Angaben, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst lit. f (Interesse an der Beantwortung). Wir löschen die Korrespondenz, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht; geschäftliche Korrespondenz zu einem Vertrag bewahren wir bis zu 6 Jahre auf (§ 257 HGB, § 147 AO).

Meldungen rechtswidriger Inhalte nach Art. 16 DSA verarbeiten wir zur Prüfung der Meldung und zur Benachrichtigung der Beteiligten (Art. 6 Abs. 1 lit. c DSGVO).

6. Kostenloser Probe-Post mit Double-Opt-in

[gilt ab Freischaltung des Probe-Post-Formulars, Modul 13]

Auf der Website können Sie ein Produktfoto hochladen und erhalten kostenlos einen Beispielbeitrag per E-Mail. Dabei verarbeiten wir das Foto, den gewählten Stil, die Sprache und Ihre E-Mail-Adresse. Nach dem Absenden senden wir eine E-Mail mit Bestätigungslink. Erst nach Klick erzeugen wir den Beispielbeitrag. Das verhindert, dass jemand fremde Adressen einträgt. Rechtsgrundlage für Probe-Post und Bestätigungsmail ist Art. 6 Abs. 1 lit. b DSGVO (Ihre Anfrage vor einem möglichen Vertrag). Gegen Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse, ohne Drittanbieter.

Werbe-E-Mails senden wir nur, wenn Sie das gesondert und freiwillig mit einem zweiten Haken erlauben und diese Einwilligung mit dem Klick in der Bestätigungsmail bestätigen: bis zu 5 E-Mails in 14 Tagen zu unserem Angebot. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Den Probe-Post erhalten Sie auch ohne diese Einwilligung. Sie können die Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an uns widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Wir messen keine Öffnungen und keine Klicks.

Zum Nachweis speichern wir Zeitpunkt und IP-Adresse der Anfrage und der Bestätigung sowie den Wortlaut und die Version des Einwilligungstextes (Art. 7 Abs. 1 DSGVO; Rechtsgrundlage Art. 6 Abs. 1 lit. f, unser Interesse, die Einwilligung nachweisen zu können).

Das Foto verarbeiten die KI-Dienste in Nr. 9. Bitte laden Sie keine Fotos mit erkennbaren Personen hoch.

Speicherdauer: Unbestätigte Anfragen löschen wir nach 48 Stunden. Foto und Beispielbeitrag löschen wir 14 Tage nach Zustellung. Den Einwilligungsnachweis bewahren wir 3 Jahre nach der letzten E-Mail auf. Nach einem Widerruf speichern wir einen Hashwert Ihrer E-Mail-Adresse in einer Sperrliste, damit Sie keine Werbung mehr erhalten (Art. 6 Abs. 1 lit. f), solange wir Werbe-E-Mails versenden.

7. Bestellung, Testphase, Zahlung (Stripe)

Bestellung, kostenlose Testphase, Zahlungsabwicklung, Rechnungen, Steuerberechnung und Abo-Verwaltung laufen über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe verarbeitet E-Mail-Adresse, Name, Firma, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Zahlungsdaten und Transaktionsdaten. Kartendaten und Kontodaten geben Sie direkt bei Stripe ein; sie erreichen unsere Systeme nicht. Wir erhalten von Stripe eine Kundennummer, Abo-Status, Land, Steuerstatus und Rechnungen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (steuer- und handelsrechtliche Pflichten). Für Zahlungsabwicklung, Betrugsabwehr (Stripe Radar) und eigene regulatorische Pflichten ist Stripe eigener Verantwortlicher nach seiner Datenschutzerklärung (stripe.com/de/privacy). Für Abo-Verwaltung, Rechnungserstellung und Steuerberechnung handelt Stripe als unser Auftragsverarbeiter nach der Stripe-Datenverarbeitungsvereinbarung [prüfen: gegen aktuelle Stripe-DPA abgleichen]. Stripe verarbeitet nur Daten unserer eigenen Kunden, keine Inhalte. Stripe kann Daten an Stripe, Inc. in den USA übermitteln; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln [prüfen: Zertifizierung aktuell].

Rechnungen und Buchungsbelege bewahren wir 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre und Handels- und Geschäftsbriefe 6 Jahre auf (§ 147 AO, § 257 HGB), jeweils ab Ende des Kalenderjahres.

8. Kundenportal und Vertragserfüllung

Kunden melden sich ohne Passwort mit einem Link an, den wir an die hinterlegte E-Mail-Adresse senden. Der Link gilt einmal und 15 Minuten lang. Im Portal verarbeiten wir als Verantwortliche: Firmenname, Kontakt-E-Mail, Portal-Nutzerkonten, Anmeldezeitpunkte, Paket, Verbrauch, Einstellungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpartnern juristischer Personen lit. f (Kommunikation mit dem Vertragspartner). Legt ein Kunde weitere Nutzer an oder nennt uns Ansprechpartner, erhalten wir deren E-Mail-Adresse und Rolle von diesem Kunden. Portal-Nutzerkonten löschen wir mit den übrigen Kundendaten nach Vertragsende.

Die Inhalte des Kunden (Fotos, Markenprofil, erzeugte Beiträge, Freigaben, verbundene Konten, Kennzahlen) verarbeiten wir im Auftrag des Kunden nach dem Auftragsverarbeitungsvertrag.

Wir erzeugen aus den Verbrauchsdaten Monatssummen je Kunde (Anzahl Aufträge und Beiträge, Kosten), um Leistung und Abrechnung nachzuweisen. Nach Vertragsende bewahren wir sie bis zum Ablauf der Aufbewahrungsfrist der zugehörigen Rechnung auf, höchstens 8 Jahre ab Ende des Kalenderjahres (Art. 6 Abs. 1 lit. f DSGVO, Nachweis der Abrechnung). [technisch umsetzen: Mandantenname in den Monatssummen durch Stripe-Kundennummer ersetzen, Frist im Löschjob]

9. KI-Dienste

Zur Erzeugung und Prüfung von Bildern, Videos und Texten übermitteln wir Produktfotos, daraus erstellte Freisteller, Stilvorlagen und Vorgaben (Stil, Stimmung, Markenprofil, Sprache) an folgende Anbieter. Kontaktdaten aus dem Kundenkonto übermitteln wir nicht; Angaben, die Kunden selbst eingeben (etwa den Firmennamen im Markenprofil), können enthalten sein.

Weitere KI-Anbieter (etwa Higgsfield für Videos) setzen wir erst ein, nachdem wir diese Erklärung ergänzt und unsere Kunden nach dem Auftragsverarbeitungsvertrag informiert haben.

Für Inhalte der Kunden handeln diese Anbieter als unsere Unterauftragsverarbeiter. Rechtsgrundlage der Übermittlung ist bei Kunden der Auftragsverarbeitungsvertrag und Art. 6 Abs. 1 lit. b DSGVO, beim Probe-Post Art. 6 Abs. 1 lit. b (Nr. 6). Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Klauseln erhalten Sie auf Anfrage.

10. E-Mail-Versand (Hostinger)

Anmeldelinks, Freigabehinweise, Bestätigungen und Berichte versenden wir über das Postfach noreply@scenebright.com bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Hostinger verarbeitet Empfängeradresse, Betreff, Inhalt und Zustellprotokolle in unserem Auftrag nach dem Data Processing Addendum von Hostinger. Verarbeitungsort: [Rechenzentrum Hostinger Mail, bei Hostinger schriftlich erfragen]. Gesendete Nachrichten bewahren wir im Postfach nicht dauerhaft auf, sondern löschen sie nach spätestens 14 Tagen. [im Postfach einstellen] Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Werbe-E-Mails lit. a.

11. Verbundene Social-Media-Konten

Verbindet ein Kunde ein Konto (Instagram, Facebook, TikTok, X, LinkedIn, Pinterest), meldet er sich bei der Plattform an und erteilt uns dort eine Berechtigung. Das Zugangstoken speichern wir in unserer eigenen Veröffentlichungssoftware (Postiz, betrieben auf unseren Servern bei Hetzner in Deutschland, kein Drittanbieter). Wir nutzen es nur, um Beiträge zu veröffentlichen und Kennzahlen abzurufen. Nachrichten, Kontakte oder andere Inhalte des Kontos lesen wir nicht. Die Verbindung kann jederzeit im Portal oder bei der Plattform getrennt werden. Die Plattformen verarbeiten veröffentlichte Beiträge in eigener Verantwortung.

12. Inhaltsprüfung und Prüfprotokoll

Bevor ein Beitrag automatisch veröffentlicht wird, prüfen wir Bild und Text mit einem KI-Modell (Anthropic, Nr. 9) auf offensichtlich unzulässige Inhalte. Ist ein Beitrag auffällig, geht er zur Freigabe an den Kunden, und wir speichern ein Prüfprotokoll mit Ergebnis, Begründung, geprüftem Text und einer Kopie des Bildes. Scheitert die Prüfung technisch, speichern wir nur Zeitpunkt, Auftragskennung und Fehler, ohne Bild und Text. Das Protokoll bewahren wir 365 Tage nach der Prüfung auf, auch wenn der Vertrag vorher endet [prüfen: Frist, Anwaltspunkt 9]. Für dieses Protokoll sind wir selbst verantwortlich; die Kunden haben uns das im Auftragsverarbeitungsvertrag (§ 2 Abs. 5) erlaubt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Missbrauch des Dienstes nachzuweisen und Ansprüche abzuwehren (Art. 17 Abs. 3 lit. e DSGVO). Es entscheidet kein Automat endgültig: Veröffentlicht oder verworfen wird ein auffälliger Beitrag nur durch den Kunden oder nach persönlicher Prüfung durch uns.

13. Interne Betriebsmeldungen (Telegram)

Fehler- und Prüfmeldungen an den Inhaber versenden wir über den Messenger Telegram (Telegram Messenger Inc. [Rechtsträger und Sitz prüfen]). Diese Meldungen enthalten nur eine zufällige Auftragskennung und den Fehlergrund, keine Namen, Kontaktdaten, Inhalte oder Links. Rückschlüsse auf Kunden sind für Telegram nicht möglich. [vor Livegang technisch umsetzen: Operator-Kopie enthält heute Mandantenname und Freigabelink] Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (schnelle Fehlerbehebung).

14. Empfänger und Drittländer

Empfänger sind die oben genannten Dienstleister (Hetzner, Hostinger, Stripe, Google, Anthropic, fal.ai, gegebenenfalls Higgsfield und Telegram), die vom Kunden verbundenen Plattformen, unser Steuerberater und Behörden, soweit wir gesetzlich verpflichtet sind. Eine Übermittlung in Länder außerhalb des EWR findet nur bei Google, Anthropic, fal.ai und Stripe statt, mit den in Nr. 7 und 9 genannten Garantien. Die Meldungen an Telegram (Nr. 13) enthalten keine personenbezogenen Daten.

15. Speicherdauer

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Wenden Sie sich an kontakt@scenebright.com. Betrifft Ihre Anfrage Inhalte eines unserer Kunden, leiten wir sie an den Kunden als Verantwortlichen weiter.

17. Ihr Widerspruchsrecht (Art. 21 DSGVO)

Widerspruch aus besonderen Gründen. Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (insbesondere Server-Protokolle, Prüfprotokoll, Kommunikation mit Ansprechpartnern, Monatssummen, Sperrliste), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung. Gegen die Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck.

Der Widerspruch ist formlos möglich, am einfachsten per E-Mail an kontakt@scenebright.com.

17a. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der für uns zuständigen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de.

18. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Qualitäts- und Inhaltsprüfung bewerten Beiträge, nicht Personen, und führen höchstens dazu, dass ein Beitrag zur Freigabe vorgelegt wird.

19. Pflicht zur Bereitstellung

Für einen Vertrag brauchen wir E-Mail-Adresse, Rechnungsdaten und ein Zahlungsmittel; ohne sie können wir keinen Vertrag schließen. Für den Probe-Post brauchen wir E-Mail-Adresse und Foto. Die Einwilligung in Werbe-E-Mails ist freiwillig.

20. Änderungen

Wir passen diese Erklärung an, wenn sich Leistungen, Dienstleister oder Rechtslage ändern. Es gilt die auf der Website veröffentlichte Fassung.