← Krevo

Datenschutz

Stand: Oktober 2026

Krevo vertritt Creator gegenüber Kooperationspartnern. Dafür verarbeiten wir Daten über die Creator, die sich anmelden, und über die Firmen, die wir für sie ansprechen. Was das im Einzelnen heißt, steht hier.

Wer verantwortlich ist

Paul Geiser
Karlsplatz 5
80335 München
Erreichbar unter paul@krevomanagement.com.

Was wir über einen Creator speichern

  • Konto: Benutzername, E-Mail-Adresse, ein Passwort-Hash. Das Passwort selbst speichern wir nicht und können es nicht lesen.
  • Profil: Beschreibung des Contents, bisherige Kooperationspartner, gewünschte Laufzeit, Mindestpreis und Wunschpreis.
  • Kanäle: die Adressen der Social-Media-Profile und, sofern der Creator sie verbindet, die von Instagram, TikTok, YouTube, LinkedIn oder Twitch gelieferten Daten: Profilbild, Followerzahl, Reichweite, Alters-, Geschlechts- und Länderverteilung des Publikums sowie je Beitrag Aufrufe, Likes, Kommentare und ein Vorschaubild. Von Twitch zusätzlich die Zahl der zahlenden Abonnenten, die neuen Follower und, solange der Kanal live ist, einmal in der Stunde die Zahl der Zuschauer.
  • Hochgeladenes: Bildschirmaufnahmen der eigenen Insights und ein Vorstellungsvideo, sofern hochgeladen.
  • Verlauf: welche Marken gefunden, kontaktiert oder herausgenommen wurden, und welche Angebote zustande kamen.

Wozu

Um passende Kooperationspartner zu finden, sie im Namen des Creators zu kontaktieren und Angebote zu verhandeln. Die Zahlen sind dabei das Verkaufsargument: eine Marke entscheidet anhand von Reichweite und Publikum, und ohne sie ist eine Anfrage wertlos.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Creator (Art. 6 Abs. 1 lit. b DSGVO). Für die Ansprache von Firmen stützen wir uns auf das berechtigte Interesse an geschäftlicher Kontaktaufnahme (Art. 6 Abs. 1 lit. f DSGVO).

Was öffentlich ist, und was nicht

Jeder Creator bekommt ein MediaKit unter einer eigenen Adresse. Es ist öffentlich: wer den Link hat, sieht es. Der Link steht in jeder Mail, die wir an eine Marke schreiben.

Der Creator entscheidet über beides: ob es die Seite überhaupt gibt und ob die Zahlen darauf stehen. Beides lässt sich in den Einstellungen abschalten. Mindestpreis, Wunschpreis, E-Mail-Adresse und der Verlauf der Verhandlungen stehen nie auf der Seite.

Wen wir einschalten

  • Ein Hosting-Anbieter betreibt Server und Datenbank. Die Daten liegen in seinem Rechenzentrumsverbund.
  • KI-Dienste helfen uns, Marken zu recherchieren, unsere Anfragen zu formulieren und hochgeladene Bildschirmaufnahmen auszulesen, damit die Zahlen daraus übernommen werden. Bei einer Aufnahme wird die Datei übertragen, nicht das Profil des Creators. Wir nutzen nur bezahlte Tarife: die Anbieter verwenden die Daten nicht, um ihre Produkte zu verbessern oder zu trainieren, und kein Mensch liest sie mit.
  • Meta (Instagram) und TikTok, sofern der Creator sein Konto verbindet. Wir fragen nur Lesezugriff an: Profil, Beiträge und deren Kennzahlen. Wir haben keinen Zugriff auf Nachrichten und veröffentlichen nichts.
  • YouTube (Google), sofern der Creator seinen Kanal verbindet. Krevo nutzt dafür die YouTube API Services. Mit dem Verbinden gelten zusätzlich die YouTube-Nutzungsbedingungen und die Datenschutzerklärung von Google. Wir fragen nur Lesezugriff an: Kanal, Videos und deren Kennzahlen sowie die YouTube-Analytics-Berichte dieses Kanals (Wiedergabezeit, Zuschauerbindung, Alter, Geschlecht, Land und Traffic-Quellen). Wir laden nichts hoch, ändern nichts und löschen nichts, und wir lesen weder Kommentare noch Nachrichten. Der Zugriff lässt sich jederzeit zurücknehmen unter https://myaccount.google.com/permissions.
  • LinkedIn, sofern der Creator sein Konto verbindet. Wir fragen nur Lesezugriff auf die Statistik seiner eigenen Beiträge an: Impressionen, erreichte Mitglieder, Reaktionen und Kommentare. Wir veröffentlichen nichts und haben keinen Zugriff auf Nachrichten oder Kontakte. Der Zugriff lässt sich jederzeit in den LinkedIn-Einstellungen zurücknehmen, wie in der LinkedIn-Hilfe beschrieben.
  • Google (Gmail) betreibt unser eigenes Firmenpostfach, über das wir mit den Marken schreiben. Ihre Antworten speichern wir bei uns, damit sie in der Verhandlung stehen. Auf das Postfach eines Creators haben wir keinen Zugriff und fragen auch keinen an.

Einige dieser Dienstleister sitzen in den USA. Die Übermittlung dorthin stützt sich auf das EU-US Data Privacy Framework oder auf die Standardvertragsklauseln der EU. Welcher Dienstleister was tut, sagen wir dir auf Anfrage.

Wie wir die Daten schützen

  • Jede Verbindung läuft verschlüsselt über TLS. Ein Aufruf über http wird auf https umgeleitet.
  • Datenbank und Dateispeicher liegen bei unserem Hosting-Anbieter und sind dort im Ruhezustand mit AES-256 verschlüsselt.
  • Ein Passwort liegt nur als Hash, PBKDF2 mit SHA-256, 600.000 Runden und eigenem Salz je Konto. Aus ihm lässt sich das Passwort nicht zurückrechnen.
  • Die Zugänge zu Instagram, TikTok, YouTube, LinkedIn und Twitch stehen nur in dieser Datenbank, gehen an niemanden weiter und werden beim Trennen gelöscht. Der Zugang zu unserem eigenen Postfach liegt zusätzlich mit AES-GCM verschlüsselt.
  • Das Sitzungscookie ist signiert und als HttpOnly, Secure und SameSite=Lax gesetzt: kein Skript im Browser kommt daran, und über eine unverschlüsselte Verbindung wird es nicht geschickt.
  • Wir fragen nur Lesezugriff an und nur die Berechtigungen, die eine Funktion wirklich braucht. Die Umsatzzahlen eines YouTube-Kanals fragen wir zum Beispiel gar nicht ab.
  • An Datenbank und Postfach kommen nur der oben genannte Betreiber und die hier aufgezählten Dienstleister.

Daten, die wir über eine Google-API bekommen, verwenden wir nur für die Funktionen, für die der Zugang verbunden wurde. Wir verkaufen sie nicht, geben sie über die hier genannten Dienstleister hinaus nicht weiter, nutzen sie nicht für Anzeigen, und weder wir noch diese Dienstleister entwickeln, verbessern oder trainieren damit allgemeine Modelle für KI oder maschinelles Lernen. Wo Inhalte des Postfachs an einen KI-Dienst gehen, damit eine Anfrage formuliert oder eine Antwort eingeordnet wird, nutzen wir dort den bezahlten Zugang, in dem die Daten nicht zum Training verwendet werden. Das entspricht den Anforderungen zur eingeschränkten Nutzung der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

Wie lange

  • Kontodaten, solange das Konto besteht.
  • Hochgeladene Aufnahmen, bis sie ausgewertet sind; danach bleibt nur das Ergebnis in Zahlen.
  • Profilbilder und Firmenlogos liegen bis zu 30 Tage zwischengespeichert, damit die Seite sie nicht bei jedem Aufruf neu holen muss.
  • Zugänge zu Instagram, TikTok, YouTube und Twitch bis zum Trennen der Verbindung, spätestens bis sie ablaufen. Über die YouTube-API geholte Daten, für die keine Freigabe mehr besteht, werden binnen 30 Tagen gelöscht oder erneuert.

Cookies

Alle dienen dem, wofür die Seite aufgemacht wurde, keines verfolgt jemanden über andere Seiten hinweg, und weitergegeben wird keines. Deshalb braucht keines eine Einwilligung.

  • cos_session hält einen angemeldeten Creator angemeldet und enthält nichts als eine Sitzungskennung. Gesetzt beim Anmelden, gelöscht beim Abmelden.
  • cos_konten merkt sich, welche Konten auf diesem Gerät angemeldet sind, damit der Wechsel zwischen ihnen ohne zweite Anmeldung geht.
  • cos_vertretung steht nur, solange wir mit Erlaubnis im Konto eines Creators arbeiten, und ist der Weg wieder heraus.
  • cos_haus kennzeichnet bei der Anmeldung ein Gerät als unseres, damit unsere eigenen Besuche nicht in der Statistik einer Creatorseite landen.
  • cos_geraet zählt die freien Anfragenchecks auf diesem Gerät, ein Jahr lang. Es ist das einzige, das auch ohne Konto gesetzt wird, und enthält eine zufällige Zeichenfolge und keine persönliche Angabe.

Ein MediaKit hält zusätzlich eine zufällige Kennung für den offenen Tab (cos_besuch, im Sitzungsspeicher, kein Cookie). Daran zählen wir, wie weit gelesen wird; mit dem Tab ist sie weg, und beim zweiten Besuch erkennt sie niemanden wieder.

Wie wir die Seite verbessern

Auf der Website und in der App (nicht im MediaKit, nicht in der Preisübersicht) zählen wir, welche Seiten aufgerufen und welche Knöpfe gedrückt werden, wie weit eine Seite gelesen wird und wie weit das Onboarding kommt. Dazu speichern wir Land und Stadt, die unser Hosting-Anbieter aus der Anfrage ableitet, Geräteart, Browser, Sprache und die Seite, von der jemand kam. Die IP-Adresse wird nicht zum Besuch gespeichert. Ohne Einwilligung geschieht das mit einer zufälligen Kennung, die nur so lange lebt, wie die Seite offen ist; auf dem Gerät wird nichts abgelegt. Rechtsgrundlage ist unser berechtigtes Interesse an einer Seite, die funktioniert (Art. 6 Abs. 1 lit. f DSGVO). Besuche werden nach 400 Tagen gelöscht.

Nur wenn du es unten einschaltest, schneiden wir außerdem mit, wie du die Seite benutzt: Seitenwechsel, Mausbewegungen, Scrollen und Klicks, damit wir es abspielen und sehen können, wo es hakt. Was du eintippst, wird nie mitgeschnitten und erscheint als Sternchen. Der Mitschnitt bleibt bei uns (gespeichert bei unserem Hosting-Anbieter), wird nicht weitergegeben und nach 90 Tagen gelöscht, oder mit deinem Konto. Dafür hält dein Browser deine Entscheidung (cos_mitschnitt), eine zufällige Kennung für den Besuch (cos_rundgang, Sitzungsspeicher) und eine für dieses Gerät (cos_besucher, lokaler Speicher). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du hier jederzeit geben und widerrufen kannst:

Mitschnitt auf diesem Gerät: aus.

Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine formlose Mail an paul@krevomanagement.com genügt. Wie die Löschung konkret geht, steht unter Daten löschen.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Was wir nicht tun

Keine Tracker von Anzeigennetzwerken, keine fremden Analysedienste, keine Weitergabe oder Verkauf von Daten an Dritte über die oben genannten Dienstleister hinaus. Das MediaKit lädt keine Bilder von fremden Servern: auch Profilbilder und Logos laufen über uns, damit eine Marke beim Aufruf nicht bei einem Dritten erscheint.