Datenschutzerklärung für Orbita Social
1. Verantwortlicher
Orbita Media GmbH, Ericusspitze 4, 20457 Hamburg, Deutschland.
Vertreten durch die Geschäftsführer Noah Malik und Stefan Schott.
E-Mail: [email protected], Telefon: +49 15679 036138.
Weitere Angaben im Impressum.
2. Worum es geht
Orbita Social (social.orbita-media.de) ist das Redaktions- und Veröffentlichungswerkzeug der Orbita Media GmbH. Mitarbeitende und beauftragte Partner planen darin Beiträge (Texte, Bilder, Videos) und veröffentlichen sie auf den eigenen Unternehmenskonten des Verlags in sozialen Netzwerken, darunter TikTok, Instagram, Facebook, LinkedIn, YouTube, Pinterest, Threads und Bluesky. Diese Erklärung gilt für die Nutzung von Orbita Social. Für unsere Website orbita-media.de gilt die dortige Datenschutzerklärung.
3. Welche Daten wir verarbeiten
3.1 Nutzerkonto in Orbita Social
Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Rolle im Team, Zeitpunkte der Anmeldung sowie technische Protokolldaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse), die für Betrieb und Sicherheit anfallen.
3.2 Verbundene Konten sozialer Netzwerke
Wenn ein Konto über die Anmeldung der jeweiligen Plattform (OAuth) verbunden wird, erhalten wir von der Plattform die Daten, die die Nutzerin oder der Nutzer dabei freigibt. Bei TikTok sind das:
- die kontobezogene Kennung (open_id, union_id), der Anzeigename und das Profilbild (Berechtigung
user.info.basic), - Zugangs- und Erneuerungsschlüssel (Access Token, Refresh Token), mit denen Orbita Social im Auftrag des Kontos handeln darf,
- die Einstellungen des Kontos für neue Beiträge, die TikTok vor jedem Beitrag mitteilt (erlaubte Sichtbarkeiten, maximale Videolänge, ob Kommentare, Duette und Stitches möglich sind),
- für bereits über Orbita Social veröffentlichte Videos deren Kennung und Kennzahlen (Aufrufe, Likes, Kommentare, Geteilt), sofern die Berechtigung
video.listerteilt wurde.
Mit den Berechtigungen video.upload und video.publish übermittelt Orbita Social ausschließlich die Videos, Beschreibungen und Einstellungen, die eine berechtigte Person im Verfassen-Bereich ausdrücklich für TikTok ausgewählt hat. Die Sichtbarkeit (zum Beispiel öffentlich, Follower, nur ich) wählt die Person bei jedem Beitrag selbst; es gibt keine Voreinstellung. Orbita Social liest keine privaten Nachrichten, keine Kontakte und keine Inhalte anderer Nutzer.
Für die übrigen Plattformen gilt dasselbe sinngemäß: Wir erhalten Kennung, Name, Profilbild und die Zugangsschlüssel des verbundenen Kontos sowie Kennzahlen zu den eigenen Beiträgen.
3.3 Inhalte
Die Beiträge selbst (Texte, Bilder, Videos, Termine, Freigabekommentare), die im Werkzeug angelegt werden.
4. Zwecke und Rechtsgrundlagen
- Bereitstellung des Werkzeugs und Veröffentlichung der Beiträge auf den verbundenen Konten: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis) und, soweit Mitarbeitende betroffen sind, § 26 BDSG.
- Verbinden eines Kontos über die Anmeldung der Plattform: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, die bei der Anmeldung auf der Plattform erteilt wird und jederzeit widerrufen werden kann, siehe Abschnitt 7).
- Sicherheit, Missbrauchsabwehr und Fehleranalyse: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und störungsfreier Betrieb.
- Auswertung der Reichweite eigener Beiträge: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Planung unserer Öffentlichkeitsarbeit.
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.
5. Empfänger
- Die jeweilige Plattform, an die ein Beitrag geht (für TikTok: TikTok Technology Limited, Irland, und verbundene Unternehmen). Dort gelten zusätzlich deren Bestimmungen, für TikTok die Datenschutzrichtlinie von TikTok.
- Hetzner Online GmbH, Gunzenhausen, als Hosting-Dienstleister; die Server stehen in Deutschland.
- Cloudflare, Inc. als Netzwerk- und Sicherheitsdienst vor der Anwendung.
- Amazon Web Services EMEA SARL, Luxemburg, für den Versand von Systemmails (Region Stockholm).
Mit den Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Daten in die USA gelangen können (Cloudflare, Amazon), stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023, hilfsweise auf die Standardvertragsklauseln der EU-Kommission. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.
6. Speicherdauer und Sicherheit
Zugangsschlüssel der Plattformen werden verschlüsselt in der Datenbank gespeichert und nur für die Veröffentlichung und das Abrufen der eigenen Kennzahlen verwendet. Wird ein Konto in Orbita Social getrennt, widerrufen wir die Zugangsschlüssel bei der Plattform und löschen sie sofort zusammen mit dem Konto-Eintrag. Kontodaten der Nutzer speichern wir, solange das Nutzerkonto besteht, Beiträge und Kennzahlen, solange sie für die Redaktionsarbeit gebraucht werden, längstens bis zur Löschung durch uns oder auf Verlangen. Technische Protokolle werden automatisch rotiert, nach Erreichen einer festen Größe überschrieben und nicht dauerhaft archiviert. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
7. Verbindung trennen und Zugriff widerrufen
Ein verbundenes Konto lässt sich jederzeit in Orbita Social unter Workspace-Einstellungen → Social Accounts trennen. Zusätzlich kann der Zugriff direkt bei der Plattform widerrufen werden, bei TikTok in der App unter Einstellungen und Datenschutz → Sicherheit → Apps und Dienste. Danach kann Orbita Social für dieses Konto nichts mehr veröffentlichen oder abrufen.
8. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreiben Sie dazu an [email protected].
Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.
9. Pflicht zur Bereitstellung
Die Bereitstellung der Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Nutzerkonto lässt sich Orbita Social nicht verwenden, und ohne Verbindung eines Kontos kann auf diesem Konto nichts veröffentlicht werden.
10. Änderungen
Wir passen diese Erklärung an, wenn sich das Werkzeug oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.
Privacy Policy for Orbita Social (English)
1. Controller
Orbita Media GmbH, Ericusspitze 4, 20457 Hamburg, Germany, represented by its managing directors Noah Malik and Stefan Schott. Email: [email protected], phone +49 15679 036138. Legal notice: orbita-media.de/impressum.
2. Scope
Orbita Social (social.orbita-media.de) is the editorial and publishing tool of Orbita Media GmbH, a German book publisher. Employees and authorised partners use it to plan posts (text, images, videos) and publish them to the publisher's own company accounts on social networks, including TikTok, Instagram, Facebook, LinkedIn, YouTube, Pinterest, Threads and Bluesky.
3. Data we process
User accounts: name, email address, password (stored as a hash only), team role, login times and technical log data (IP address, time, requested URL).
Connected TikTok accounts (via TikTok Login Kit, only with the account holder's consent):
- account identifier (open_id, union_id), display name and avatar (
user.info.basic), - access and refresh tokens that allow Orbita Social to act on behalf of the account,
- the creator settings TikTok returns before each post (allowed privacy levels, maximum video duration, whether comments, duets and stitches are available),
- for videos published through Orbita Social: video ID and metrics (views, likes, comments, shares), if
video.listis granted.
With video.upload and video.publish, Orbita Social only sends the videos, captions and settings that an authorised person has explicitly selected for TikTok in the composer. The person chooses the privacy level for every post; there is no default. Orbita Social does not read private messages, contacts or other users' content. Other platforms are handled in the same way.
4. Purposes and legal bases
Providing the tool and publishing posts: Art. 6(1)(b) GDPR. Connecting an account through the platform's login: Art. 6(1)(a) GDPR (consent, revocable at any time). Security and troubleshooting as well as measuring the reach of our own posts: Art. 6(1)(f) GDPR. No automated decision-making or profiling within the meaning of Art. 22 GDPR takes place.
5. Recipients
The platform a post is sent to (for TikTok: TikTok Technology Limited, Ireland, and its affiliates; see TikTok's Privacy Policy); Hetzner Online GmbH (hosting, servers located in Germany); Cloudflare, Inc. (network and security); Amazon Web Services EMEA SARL (system emails). Transfers to the USA are based on the EU-US Data Privacy Framework adequacy decision of 10 July 2023, alternatively on the EU Standard Contractual Clauses. We do not sell data or share it for advertising.
6. Retention and security
Platform tokens are stored encrypted and used only to publish posts and retrieve metrics for our own posts. When an account is disconnected in Orbita Social, its tokens are revoked with the platform and deleted immediately together with the account record. Technical logs are rotated automatically, overwritten once a fixed size is reached and not archived. Statutory retention obligations remain unaffected.
7. Disconnecting and revoking access
A connected account can be disconnected at any time under Workspace settings → Social Accounts. Access can also be revoked directly in TikTok under Settings and privacy → Security → Apps and services.
8. Your rights
You have the right of access, rectification, erasure, restriction, data portability and objection (Art. 15–18, 20, 21 GDPR) and may withdraw consent at any time (Art. 7(3) GDPR). Contact: [email protected]. You may lodge a complaint with a supervisory authority (Art. 77 GDPR); ours is the Hamburg Commissioner for Data Protection and Freedom of Information, Ludwig-Erhard-Straße 22, 20459 Hamburg, Germany.