Creator-Daten sind mehr als nur Follower-Zahlen
Eine Talent-Agentur verarbeitet für jeden Creator eine erstaunliche Menge personenbezogener Daten: Kontaktdaten, Bankverbindung, Steuernummer, teils Ausweiskopien — und zusätzlich Social-Media-Statistiken, die zwar meist öffentlich einsehbar, aber dennoch personenbezogen sind, sobald sie einer identifizierbaren Person zugeordnet werden.
Rechtsgrundlage vor dem ersten Datenpunkt
Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. In der Agentur-Praxis sind das meist:
Auftragsverarbeitung: Wer verarbeitet was für wen?
Sobald eine Agentur eine SaaS-Plattform, einen E-Mail-Versanddienst oder einen KI-Anbieter einsetzt, wird ein Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) notwendig. Zentrale Prüfpunkte:
Eine EU-gehostete Infrastruktur ohne Datenabfluss in Drittländer reduziert diesen Prüfaufwand erheblich — insbesondere seit den verschärften Anforderungen an Datentransfers in die USA nach Schrems II.
Löschfristen: Der Konflikt zwischen DSGVO und Steuerrecht
Ein häufiges Missverständnis: „DSGVO verlangt Löschung, sobald der Zweck entfällt — also müssen wir alles nach Vertragsende löschen." Das stimmt nicht uneingeschränkt: Steuerlich relevante Unterlagen (Rechnungen, Gutschriften, zugehörige Zahlungsdaten) unterliegen der 10-jährigen Aufbewahrungspflicht nach § 147 AO — diese gesetzliche Pflicht geht der DSGVO-Löschpflicht vor (Art. 17 Abs. 3 lit. b DSGVO erlaubt die Aufbewahrung zur Erfüllung einer rechtlichen Verpflichtung).
Praktisch bedeutet das: Ein Trennungskonzept ist nötig — Profildaten (Bio, Social Handles, freiwillige Angaben), die nach Vertragsende ohne rechtliche Aufbewahrungspflicht gelöscht werden können, versus abrechnungsrelevante Daten, die 10 Jahre aufbewahrt werden müssen.
Zugriffskontrolle: Wer sieht was intern?
Nicht jedes Teammitglied braucht Zugriff auf IBAN und Steuernummer eines Creators. Rollenbasierte Zugriffskontrolle (nur Finance sieht Zahlungsdaten, das Booking-Team sieht nur Verfügbarkeit und Rate Cards) ist sowohl guter Datenschutz-Standard als auch ein Kriterium, das bei einer Betroffenenanfrage oder Datenschutz-Prüfung positiv auffällt.
Betroffenenrechte in der Praxis
Ein Creator hat jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16) und unter bestimmten Voraussetzungen Löschung (Art. 17) seiner Daten. Agenturen sollten einen klaren internen Prozess haben, um solche Anfragen fristgerecht (grundsätzlich einen Monat) zu bearbeiten — inklusive der Frage, welche Daten wegen gesetzlicher Aufbewahrungspflichten NICHT gelöscht werden dürfen.
Checkliste: DSGVO-Grundausstattung für Creator-Agenturen
TalentM verarbeitet alle Daten EU-gehostet mit rollenbasierter Zugriffskontrolle (Finance sieht Zahlungsdaten, andere Rollen nicht), führt einen vollständigen Audit-Trail für Änderungen an sensiblen Feldern und trennt Profildaten technisch von abrechnungsrelevanten, GoBD-pflichtigen Dokumenten.