Stand: September 2026 · Entwurf, noch nicht anwaltlich geprüft
Diese Datenschutzerklärung informiert darüber, welche personenbezogenen Daten wir bei der Nutzung von PYYA verarbeiten, zu welchem Zweck das geschieht und welche Rechte Nutzer dabei haben.
Verantwortlicher im Sinne der DSGVO ist:
PYYA (Einzelunternehmen, Inhaber Christopher Binder), Duburgerstr. 9, 24939 Flensburg, Deutschland. Vertreten durch: Christopher Binder. E-Mail: support@pyya.de.
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist.
Rechtsgrundlagen sind je nach Verarbeitung insbesondere Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages, z. B. Kontoführung, Kampagnenabwicklung, Zahlungsabwicklung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. Missbrauchsprävention, IP-Logging, Betrugsabwehr) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung).
PYYA ist ein zweiseitiger Marktplatz: 'Clients' (Firmen und Influencer) legen Kampagnen an und stellen Budget bereit, 'Clipper' reichen dazu Kurzvideos ein und werden dafür vergütet. Ein Nutzerkonto kann beide Rollen gleichzeitig innehaben.
Die Registrierung und Anmeldung erfolgt über unseren Authentifizierungs-Dienstleister Clerk, Inc. (USA). Clerk verarbeitet dabei E-Mail-Adresse, Passwort (bzw. bei Social-Login die vom jeweiligen Anbieter - Google, Apple, Discord - übermittelten Basisdaten wie Name und Profilbild) sowie Sitzungsdaten. Wir selbst erhalten und speichern kein Klartext-Passwort.
Nach dem ersten Login legen wir im Rahmen des Onboardings einen eigenen Nutzerdatensatz an (Name, E-Mail-Adresse, gewählte Rolle, ggf. Firmenname/Anzeigename, Social-Media-Handles bei Clippern). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Zusätzlich wählt jeder Nutzer bei der Registrierung eine öffentliche, frei wählbare Benutzer-ID („Handle“, z. B. „clipmaster99“). Sie dient ausschließlich dazu, von anderen Nutzern über die Nachrichtenfunktion gezielt gefunden zu werden (siehe Ziffer 9), und ist - anders als der bei Clerk hinterlegte Name - kein Klarname. Eine einmal vergebene Benutzer-ID kann nicht mehr geändert werden. Bestandskonten von vor Einführung dieser Funktion müssen eine Benutzer-ID beim nächsten Login nachträglich vergeben.
Wurde ein Nutzer über den Empfehlungslink eines PYYA-Vermittlers auf die Plattform aufmerksam, speichern wir bei der Registrierung zusätzlich, welchem Vermittler-Konto die Werbung zuzuordnen ist. Speicherort und -dauer der dafür genutzten Kennung sind in Ziffer 8 (Cookies und lokale Speicherung) beschrieben. Das dient ausschließlich der Berechnung der Vermittler-Provision.
Eine Datenübermittlung an Clerk in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. eines von Clerk bereitgestellten Angemessenheits-Mechanismus. Weitere Informationen: die Datenschutzerklärung von Clerk unter clerk.com/privacy.
Von Clients verarbeiten wir Firmen- bzw. Anzeigenamen, Angaben zur Kampagne (Briefing, Rohmaterial-Links, Budget, Zielsprachen, Plattformen), sowie - im Rahmen einer freiwilligen Verifizierung - Handelsregisternummer und einen Link zu einem Nachweisdokument.
Von Clippern verarbeiten wir Anzeigenamen, Social-Media-Handles (TikTok/Instagram/YouTube), eingereichte Clips (Link, Beschreibung, Plattform) sowie daraus berechnete View- und Verdienstdaten.
Hinweis zu Views: Für Clips auf YouTube Shorts rufen wir echte, öffentlich einsehbare Aufruf- und Like-Zahlen ab (siehe Ziffer 5). Für TikTok und Instagram Reels besteht noch keine Anbindung an die echten Statistik-Schnittstellen der Plattformen - dort werden Views weiterhin technisch simuliert (an den entsprechenden Stellen der Plattform mit einem sichtbaren Hinweis gekennzeichnet).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Rahmen der Kampagnen- bzw. Clip-Einreichungsfunktion).
Clipper können sich zusätzlich zur Selbstauskunft (siehe Ziffer 4) dadurch verifizieren lassen, dass sie sich mit ihrem TikTok-, YouTube- (Google-) oder Instagram-Konto anmelden (OAuth-Login). Dabei werden Nutzer zur jeweiligen Plattform weitergeleitet; nach erfolgreicher Anmeldung erhalten wir von der Plattform eine eindeutige Konto-Kennung sowie den öffentlichen Nutzer-/Kanalnamen zurück, um den Account eindeutig dem Clipper-Profil zuzuordnen. Zugriffs- bzw. Aktualisierungs-Token werden dabei nicht dauerhaft gespeichert, sondern nur für den einmaligen Abgleich verwendet.
Beteiligte Anbieter: TikTok Technology Limited bzw. ByteDance Ltd., Google Ireland Limited (für den YouTube-Login) sowie Meta Platforms Ireland Limited (für den Instagram-Login). Die Nutzung dieser Login-Verifizierung ist freiwillig; alternativ stehen die Selbstauskunfts- und Test-Clip-Verifizierung zur Verfügung.
Zusätzlich rufen wir für Clips auf YouTube Shorts über die öffentliche YouTube Data API (Google) regelmäßig die öffentlich einsehbaren Aufruf- und Like-Zahlen des jeweiligen Videos ab - hierfür wird lediglich die vom Clipper angegebene Video-URL an Google übermittelt, kein Login erforderlich.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der Verifizierungsfunktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (Abruf öffentlicher Video-Kennzahlen zur Vergütungsberechnung). Weitere Informationen: TikToks Datenschutzerklärung unter tiktok.com/legal/privacy-policy, Googles Datenschutzerklärung unter policies.google.com/privacy, Metas Datenschutzrichtlinie unter privacypolicy.meta.com.
Zahlungen wickeln wir über unseren Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd. bzw. Stripe, Inc., USA) ab.
Für die Aufladung von Kampagnenbudget durch Clients nutzen wir Stripe Checkout: Name, E-Mail-Adresse und Zahlungsdaten werden direkt von Stripe verarbeitet, uns selbst liegen keine vollständigen Kartendaten vor.
Für Auszahlungen an Clipper nutzen wir Stripe Connect: Clipper schließen dafür ein eigenes Stripe-Express-Konto an, für dessen Einrichtung Stripe zusätzliche Angaben (u. a. zur Identitätsprüfung) direkt erhebt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: die Datenschutzerklärung von Stripe unter stripe.com/de/privacy.
Beim Aufruf unserer Plattform erhebt unser Hosting-Provider automatisch technische Zugriffsdaten (u. a. IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, Browsertyp, Referrer-URL). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherstellung eines störungsfreien Betriebs).
Zusätzlich speichern wir bei jeder angemeldeten Anfrage die IP-Adresse zusammen mit dem Nutzerkonto (Erst- und Letztsichtung) sowie ggf. eine plattformweite Sperrliste missbräuchlich genutzter IP-Adressen. Zweck ist die Erkennung und Abwehr von Missbrauch (z. B. Umgehung einer Kontosperre über einen neuen Account). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Diese IP-Zuordnungen löschen wir automatisiert nach 90 Tagen ab dem letzten Zugriff, spätestens jedoch mit Löschung/Deaktivierung des zugehörigen Kontos.
Wir setzen ausschließlich technisch notwendige Cookies ein: ein Cookie unseres Authentifizierungs-Dienstleisters Clerk zur Aufrechterhaltung der Anmeldesitzung sowie ein Cookie zur Speicherung der von einem Nutzer gewählten Sprache.
Zusätzlich nutzen wir den lokalen Speicher des Browsers (localStorage, kein Cookie - verlässt das Endgerät nicht von selbst) für zwei Zwecke: die gewählte Theme-Einstellung (hell/dunkel/pink), die dauerhaft bis zu einer erneuten Änderung gespeichert bleibt, sowie - falls ein Nutzer über den Empfehlungslink eines Vermittlers auf PYYA aufmerksam wurde (siehe Ziffer 3) - eine Vermittler-Kennung. Diese wird nur gesetzt, wenn noch keine vorhanden ist (ein späterer zweiter Empfehlungslink überschreibt eine bereits gespeicherte Kennung also nicht), bei einer erfolgreichen Registrierung ausgelesen und direkt danach wieder aus dem lokalen Speicher entfernt. Erfolgt keine Registrierung, bleibt die Kennung ohne automatischen Ablauf bestehen, bis der Nutzer den Browser-Speicher selbst leert.
Diese Cookies sind gemäß § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG - Paragraf unverändert, nur das Gesetz umbenannt) von der Einwilligungspflicht ausgenommen, da sie unbedingt erforderlich sind, um vom Nutzer ausdrücklich gewünschte Funktionen (Login, Spracheinstellung) bereitzustellen. Dasselbe gilt entsprechend für die genannte lokale Speicherung. Eine Cookie-Einwilligungsabfrage ist daher nicht vorgesehen.
Wir setzen aktuell kein Analyse-, Marketing- oder Werbe-Tracking ein (kein Google Analytics, kein Meta-/TikTok-Pixel, keine vergleichbaren Tools). Sollte sich das künftig ändern, wird diese Datenschutzerklärung entsprechend ergänzt und - soweit rechtlich erforderlich - eine Einwilligung eingeholt.
Nutzer können sich über eine plattforminterne Nachrichtenfunktion gegenseitig sowie mit unserem Team austauschen - erreichbar ist ein anderer Nutzer dabei nur über dessen Benutzer-ID (siehe Ziffer 3). Nachrichteninhalte werden bei uns verschlüsselt gespeichert (AES-256-GCM).
Wichtiger Hinweis: Es handelt sich dabei nicht um eine Ende-zu-Ende-Verschlüsselung. Der verwendete Schlüssel liegt bei uns als Betreiber, wir könnten Nachrichteninhalte technisch entschlüsseln. Ein struktureller Zugriffsschutz sorgt dafür, dass unser Team eine Unterhaltung zwischen zwei anderen Nutzern nur dann einsehen kann, wenn einer der Beteiligten die Unterhaltung zuvor über die Melde-Funktion gemeldet hat.
Jeder Nutzer kann in seinen Profileinstellungen festlegen, ob ihn grundsätzlich jeder mit seiner Benutzer-ID anschreiben darf oder nur Personen auf einer selbst gepflegten Liste („Whitelist“). Für diese Liste speichern wir, welche Benutzer-ID welchem anderen Konto die erste Kontaktaufnahme ausdrücklich erlaubt hat. Eine solche Kontaktbeschränkung wirkt sich nicht auf bereits bestehende Unterhaltungen aus.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Nachrichtenfunktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Meldungen/Missbrauchsprävention).
Für schnelle Kontaktaufnahme bieten wir einen KI-gestützten Support-Chat an. Der Gesprächsverlauf wird zur Erzeugung einer Antwort an unseren Dienstleister Anthropic PBC (USA) übermittelt, sofern es sich nicht um eine der gängigen, vorformulierten Antworten aus unserer eigenen Wissensdatenbank handelt (in diesem Fall findet keine Übermittlung an Anthropic statt).
Entscheidet sich ein Besucher, ein Support-Ticket zu erstellen (z. B. weil der Chatbot die Frage nicht beantworten kann), speichern wir die angegebene E-Mail-Adresse, den Betreff sowie den vollständigen Gesprächsverlauf, um die Anfrage zu bearbeiten. Das direkt auf der Impressum-Seite sichtbare Kontaktformular nutzt denselben Mechanismus - auch dabei entsteht ein Support-Ticket mit den angegebenen Daten (Name optional, E-Mail-Adresse, Betreff, Nachricht).
Über ein neues Support-Ticket benachrichtigen wir unser Team zusätzlich per E-Mail über unseren Dienstleister Resend (USA); dabei wird die angegebene E-Mail-Adresse als Antwortadresse (Reply-To) hinterlegt, damit direkt geantwortet werden kann.
Die Nutzung des Chats und des Kontaktformulars setzt keine Registrierung voraus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO, sobald ein Ticket im Rahmen einer Vertragsanbahnung erstellt wird. Eine Datenübermittlung an Anthropic bzw. Resend in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: die Datenschutzerklärung von Anthropic unter anthropic.com/legal/privacy, die von Resend unter resend.com/legal/privacy-policy.
Eine Übermittlung personenbezogener Daten an Dritte erfolgt nur, soweit dies zur Vertragserfüllung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt.
Folgende Dienstleister verarbeiten in unserem Auftrag bzw. als eigenständig Verantwortliche personenbezogene Daten im Zusammenhang mit PYYA:
Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. handels- und steuerrechtliche Fristen für Zahlungsbelege) bestehen.
IP-Zuordnungen zu Nutzerkonten löschen wir automatisiert nach 90 Tagen (siehe Ziffer 7). Für die meisten übrigen Datenkategorien besteht aktuell keine automatisierte Löschfrist; Daten bleiben bis zur Löschung bzw. Deaktivierung des zugehörigen Nutzerkontos bestehen.
Nutzer können ihr Konto jederzeit selbst über die Profileinstellungen anonymisieren lassen („Konto löschen“, siehe Ziffer 13) - dabei werden Name, E-Mail-Adresse, Firmen-/Anzeigename, Benutzer-ID, Social-Media-Handles und verknüpfte OAuth-Konten durch anonymisierte Platzhalter ersetzt bzw. entfernt, ohne dass ein gesondertes Löschersuchen über den Support nötig ist. Kampagnen, Clips, Zahlungsbelege und Nachrichten bleiben aus Gründen der referenziellen Integrität und gesetzlicher Aufbewahrungspflichten anonymisiert bestehen (kein Hard-Delete dieser Datensätze). Frei formulierter Text (z. B. Kampagnen-Briefings, Clip-Beschreibungen, Nachrichteninhalte) wird dabei nicht automatisiert durchsucht/geschwärzt.
Das Recht auf Löschung können Nutzer für ihr eigenes Konto direkt und unmittelbar über die Profileinstellungen ausüben („Konto löschen“, siehe Ziffer 12). Für alle übrigen Rechte oder Rückfragen können sich Nutzer über unseren Support-Chat, das Kontaktformular auf der Impressum-Seite oder per E-Mail an support@pyya.de an uns wenden.
Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Dazu gehören unter anderem: Verschlüsselung von Nachrichteninhalten in der Datenbank, sicherheitsrelevante HTTP-Header (u. a. Content-Security-Policy), IP-basierte Ratenbegrenzung sensibler Endpunkte, sowie eine strikte Trennung von Zugriffsrechten im Admin-Bereich.
Passwörter verarbeiten wir zu keinem Zeitpunkt selbst im Klartext - die Authentifizierung übernimmt vollständig unser Dienstleister Clerk.
Die Nutzung von PYYA setzt voraus, dass Nutzer mindestens 18 Jahre alt sind (siehe Nutzungsbedingungen). Wir erheben und verarbeiten daher wissentlich keine Daten von Kindern.
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen unserer Leistungen anzupassen. Es gilt jeweils die zum Zeitpunkt des Besuchs aktuelle Fassung.