- Ein CRM wie Infloww, OnlyMonster oder Supercreator bündelt Fan-Chats, Käufe und Zugänge der Creatorinnen: eine vollwertige Verarbeitung personenbezogener Daten, die die Agentur regeln muss.
- Chats mit Fans einer Erwachsenen-Creatorin lassen oft Rückschlüsse auf deren Sexualleben zu: besondere Kategorien nach Art. 9 DSGVO, deren Verarbeitung grundsätzlich verboten ist.
- Der CRM-Anbieter ist in der Regel Auftragsverarbeiter der Agentur; das verlangt einen Vertrag nach Art. 28 DSGVO. Die Agentur selbst ist je nach tatsächlichem Handeln Auftragsverarbeiterin der Creatorin oder Verantwortliche.
- Ein freier Chatter außerhalb der EU, der sich ins CRM einloggt, bedeutet eine Übermittlung in ein Drittland, die abgesichert werden muss.
- Bei einer Datenpanne ist die Aufsichtsbehörde binnen 72 Stunden zu informieren, bei hohem Risiko auch die Fans; Bußgelder reichen bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Rechtslage und Zahlen geprüft am 21. Oktober 2026. Die Quellen finden Sie am Ende des Artikels.
Infloww, OnlyMonster und Supercreator sind CRM-Programme für OFM-Agenturen: Sie bündeln in einer Oberfläche die Postfächer mehrerer Creatorinnen, die Kaufhistorie jedes Fans, Verkaufsskripte und die Arbeit der Chatter. Datenschutzrechtlich wird die Agentur damit zur Durchgangsstation für sehr sensible Daten, die intimen Gespräche der Fans, und für sehr begehrte Zugänge, die Konten der Creatorinnen. Dieser Leitfaden erklärt, was diese Tools verarbeiten, wer dafür verantwortlich ist, welchen Vertrag Sie brauchen, welche Regeln für Chatter im Ausland gelten und was bei einer Datenpanne zu tun ist, und endet mit einer Checkliste.
Was machen Infloww, OnlyMonster und Supercreator?
Diese Programme werden mit den OnlyFans-Konten (teils auch Fansly, MYM oder Fanvue) verbunden, die die Agentur betreut. Nach ihren eigenen Websites, abgerufen im September 2026, ähneln sich die Funktionen. Wir empfehlen keines und raten von keinem ab: Datenschutzrechtlich zählt, wie die Agentur es nutzt.
| Tool | Was der Anbieter hervorhebt | Was seine Dokumente sagen |
|---|---|---|
| Infloww | Postfach für mehrere Creatorinnen mit Skripten und KI, Fan-Segmentierung, Schichten und Berechtigungen, Auswertungen je Mitarbeiter | Infinni Innovations S.A., Sitz in Spanien; bezeichnet sich als Auftragsverarbeiter seiner Kunden auf Grundlage eines DPA (Datenschutzerklärung vom 17. August 2026) |
| OnlyMonster | Mehrkonten-Arbeitsbereich, eigene App und Desktop-Browser, Rollen und Aktivitätsprotokoll, Exporte als CSV oder JSON | OMLAB DIGITAL LTD, Zypern; Auftragsverarbeiter für Fan-Daten; Übermittlungen nach Großbritannien und in die USA gestützt auf Angemessenheitsbeschluss oder Standardvertragsklauseln (Datenschutzerklärung vom 17. Februar 2026) |
| Supercreator | KI-gestützter Chat, CRM, Dashboards, rollenbasierte Zugänge „ohne Passwort“ für das Team | Supercreator Ltd; erklärt, nie Zugangsdaten zu erheben oder zu speichern; Übermittlungen außerhalb des EWR gestützt auf Art. 45 und 46 DSGVO (Datenschutzerklärung von Juli 2024) |
Diese Angaben verpflichten ihre Verfasser, nicht Sie.
Welche Daten laufen durch ein OnlyFans-CRM?
Die Daten der Fans. Pseudonym, Abo-Datum, ausgegebener Betrag, gekaufte Inhalte, Gespräche und die Notizen, die Chatter zur Personalisierung des Verkaufs anlegen. Ein Fan, der nur unter Pseudonym bekannt ist, bleibt identifizierbar: Die DSGVO gilt.
Entscheidend ist Art. 9 DSGVO, der die Verarbeitung von „Daten zum Sexualleben oder der sexuellen Orientierung“ grundsätzlich untersagt. Der Gerichtshof der EU hat am 1. August 2022 (C-184/20) entschieden, dass auch Daten, aus denen sich solche Informationen durch gedankliche Kombination oder Ableitung erschließen lassen, unter diese Kategorie fallen. Eine Kaufhistorie expliziter Inhalte, der Wunsch nach einem individuellen Inhalt oder die Notiz „mag dieses Szenario“ offenbart das Sexualleben eines Fans. Die Ausnahmen des Art. 9 passen auf solche Notizen schlecht: Der Fan hat die Informationen nicht öffentlich gemacht, und die Agentur holt keine ausdrückliche Einwilligung ein. Daraus folgt die nützlichste Regel dieses Beitrags: Halten Sie nur fest, was der Beziehung wirklich dient, niemals intime Vorlieben im Freitext.
Die Daten der Creatorinnen. Identität, Nachweise, Bankverbindung, Einnahmen, Inhalte und Kontozugänge. Für die Verwaltung der Vertragsbeziehung mit jeder Creatorin ist die Agentur Verantwortliche.
Die Daten des Teams. Identität der Chatter, Arbeitszeiten, Leistungskennzahlen, Login-Protokolle: Die Betroffenen müssen wissen, dass und wie ihre Aktivität erfasst wird.
Was sagen die Bedingungen von OnlyFans zu geteilten Zugängen und Drittanbieter-Tools?
Die Nutzungsbedingungen von OnlyFans (Fassung August 2024, im September 2026 in Kraft) sehen vor, dass sich an der Verantwortung einer Creatorin nichts ändert, wenn ihr jemand bei der Kontoführung hilft: OnlyFans hat eine Beziehung nur mit ihr, und sie haftet für jede Nutzung des Kontos. Der „Vertrag zwischen Fan und Creator“ ergänzt, dass Dritte Creatorn bei der Verwaltung ihres Kontos und ihrer Kommunikation helfen können.
Die Acceptable Use Policy (aktualisiert im September 2025) verbietet zudem, personenbezogene Daten anderer weiterzugeben, Informationen von OnlyFans oder einem Creator „aus welchem Grund auch immer“ zu kopieren oder zu sammeln und in die Software der Plattform einzugreifen. Unseres Wissens veröffentlicht OnlyFans keine Liste zugelassener Drittanbieter-Tools.
Die Folgen: Die Unterstützung durch eine Agentur ist zulässig, aber die Creatorin steht in erster Reihe, wenn ihr Konto gesperrt wird. Ein Tool, das Fan-Daten absaugt, um sie außerhalb der Plattform zu exportieren, nähert sich dem, was die Policy verbietet. Und Passwort, Login-E-Mail und Zwei-Faktor-Authentifizierung sollten unter der Kontrolle der Creatorin bleiben, damit sie den Zugang der Agentur jederzeit beenden kann. Die daraus folgenden Klauseln beschreibt unser Beitrag zum Agenturvertrag mit 12 Klauseln.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung; der Auftragsverarbeiter verarbeitet in seinem Auftrag und nach seinen Weisungen. Der Europäische Datenschutzausschuss betont in seinen Leitlinien 07/2020: Die Einordnung hängt davon ab, was jeder tatsächlich tut, nicht vom Etikett im Vertrag.
| Beteiligter | Häufigste Rolle | Was daraus folgt |
|---|---|---|
| Die Creatorin | Verantwortliche für die Fan-Daten, die sie für ihre Tätigkeit nutzt | Sie erteilt Weisungen und erhält ihre Daten zurück |
| Die Agentur | Auftragsverarbeiterin, wenn sie Weisungen der Creatorin ausführt; Verantwortliche, allein oder gemeinsam, wenn sie selbst entscheidet | Vertrag nach Art. 28 oder Vereinbarung über gemeinsame Verantwortung (Art. 26) |
| Der CRM-Anbieter | Auftragsverarbeiter der Agentur, also Unterauftragsverarbeiter der Creatorin | Unterzeichneter DPA; Zustimmung der Creatorin zu diesem Tool |
| Der angestellte Chatter | Person, die unter der Aufsicht der Agentur handelt | Schriftliche Weisungen, Vertraulichkeit, beschränkte Zugänge |
| Der freie Chatter oder die Chatting-Firma | Unterauftragsverarbeiter | Vertrag nach Art. 28, abgesicherte Übermittlung, wenn außerhalb der EU |
Viele Agenturen werden Verantwortliche, ohne es zu merken: Sie wählen das Tool, schreiben die Skripte und bauen eine gemeinsame Fan-Datenbank über mehrere Konten auf. Art. 28 Abs. 10 DSGVO ist eindeutig: Ein Auftragsverarbeiter, der selbst über Zwecke und Mittel entscheidet, gilt insoweit als Verantwortlicher. Eine Liste der „Big Spender“, die von einer Creatorin zur nächsten wandert, ist das typische Beispiel.
Welchen Vertrag mit dem CRM-Anbieter, und was gilt für Übermittlungen außerhalb der EU?
Art. 28 DSGVO verlangt einen schriftlichen Vertrag mit jedem Auftragsverarbeiter: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Bedingungen für weitere Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe der Daten bei Vertragsende, Kontrollen. Die EU-Kommission hat am 4. Juni 2021 Standardvertragsklauseln für dieses Verhältnis veröffentlicht; zwingend sind sie nicht, wenn der Vertrag alle Pflichtinhalte bereits enthält.
Bevor Sie den DPA des Anbieters akzeptieren, prüfen Sie drei Punkte: die Liste der Unterauftragsverarbeiter (Hosting, KI, Support), die Länder, in denen die Daten gespeichert oder abgerufen werden, und die Bedingungen für Export und Löschung am Ende des Abos.
Die Übermittlungen sind das zweite Thema. Daten, die den Europäischen Wirtschaftsraum verlassen, brauchen einen Angemessenheitsbeschluss (Großbritannien hat einen; die USA ebenfalls, aber nur für Unternehmen, die nach dem Data Privacy Framework zertifiziert sind) oder geeignete Garantien wie Standardvertragsklauseln. Nach den Leitlinien 05/2021 des Europäischen Datenschutzausschusses ist auch der Fernzugriff einer Stelle außerhalb der EU eine Übermittlung, selbst wenn die Daten nur am Bildschirm angezeigt werden. Ein freier Chatter in Madagaskar, auf den Philippinen oder in Marokko, der sich ins CRM einloggt, bedeutet eine Übermittlung in ein Land ohne Angemessenheitsbeschluss: Sie brauchen Standardvertragsklauseln mit ihm oder seiner Firma. Den Status dieser Dienstleister behandelt unser Beitrag Chatter und Scheinselbständigkeit.
Sicherheit, Zugänge der Chatter, Speicherdauer: die Regeln
Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind, und das ist hier hoch. Für die Zugänge decken fünf Regeln das Wesentliche ab:
- Ein persönliches Konto pro Person, nie geteilte Zugangsdaten. Alle drei Tools bieten Rollen und Berechtigungen: Nutzen Sie sie.
- Minimale Rechte: Ein Chatter sieht seine Konten, ohne Export, ohne Zugriff auf Einstellungen und Auszahlungen.
- Zwei-Faktor-Authentifizierung im CRM und auf den Konten der Creatorinnen.
- Protokolle, die aufbewahrt und gelesen werden: wer sich wann und von wo angemeldet und was exportiert hat.
- Entzug am selben Tag, an dem ein Chatter geht oder ein Vertrag endet.
Zur Speicherdauer verbietet Art. 5, Daten länger als nötig aufzubewahren. Legen Sie in Ihrem Verzeichnis eine Frist je Kategorie fest: Notizen zu Fans werden mit dem Ende des Betreuungsmandats gelöscht, Daten der Chatter für die Dauer der Zusammenarbeit gespeichert und dann nach den gesetzlichen Pflichten archiviert. Endet ein Vertrag, erhält die Creatorin ihre Daten zurück und die Agentur löscht sie aus ihren Tools; das gehört bereits in den Vertrag (siehe unseren Leitfaden OnlyFans-Agentur verlassen).
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 ist Pflicht: Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nicht bei sensiblen Daten und nicht bei Verarbeitungen, die nicht nur gelegentlich erfolgen. Eine Datenschutz-Folgenabschätzung ist bei umfangreicher Verarbeitung sensibler Daten erforderlich (Art. 35): Eine Agentur mit mehreren Konten und Zehntausenden Fans muss sich die Frage stellen. In Deutschland hängt daran auch der Datenschutzbeauftragte: Nach § 38 BDSG ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von der Zahl, sobald eine Verarbeitung der Folgenabschätzung unterliegt.
Was wir in der Praxis sehen: Zugangsdaten in Gruppenchats, aus dem CRM exportierte Tabellen der „Whales“ mit Notizen zu den Fantasien jedes Fans, nie gesperrte Zugänge nach einem Weggang, DPAs mit einem Klick akzeptiert, ohne dass jemand weiß, wo die Daten liegen.
Datenpanne: was in 72 Stunden zu tun ist und was der Agentur droht
Ein Chatter, der die Datenbank exportiert, ein gehacktes CRM-Konto, eine versehentlich geteilte Tabelle: alles Verletzungen des Schutzes personenbezogener Daten.
- Eindämmen: Sitzungen beenden, Passwörter ändern, betroffene Zugänge sperren, den CRM-Anbieter informieren.
- Die Creatorin unverzüglich informieren: Dazu ist ein Auftragsverarbeiter verpflichtet (Art. 33 Abs. 2).
- Das Risiko bewerten: welche Daten, wie viele Personen, welche Folgen (Erpressung, Offenlegung des Sexuallebens eines Fans).
- Die Aufsichtsbehörde informieren, unverzüglich und möglichst binnen 72 Stunden, sobald ein Risiko besteht; zuständig ist die Datenschutzbehörde des Bundeslandes, in dem der Verantwortliche seinen Sitz hat. Eine Verspätung ist zu begründen. Melden muss der Verantwortliche: die Creatorin, oder die Agentur, wenn sie selbst verantwortlich oder damit beauftragt ist.
- Die Fans benachrichtigen, wenn ein hohes Risiko besteht (Art. 34), was hier wahrscheinlich ist. Wäre eine Einzelnachricht unverhältnismäßig, ist eine öffentliche Bekanntmachung zulässig.
- Dokumentieren: jede Verletzung in einem internen Register, auch wenn sie nicht gemeldet wird.
Sind Inhalte in Umlauf geraten, finden Sie die Löschwege im Leitfaden OnlyFans-Leak: Was tun?.
Die Sanktionen
Die Bußgelder der DSGVO reichen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen Sicherheit, Auftragsverarbeitung oder Meldepflicht und bis 20 Mio. € oder 4 % bei Verstößen gegen die Grundsätze, die Regeln für sensible Daten oder Übermittlungen (Art. 83), jeweils der höhere Betrag. Der Auftragsverarbeiter haftet für seine eigenen Verstöße. Hinzu kommen Schadensersatzansprüche der Betroffenen (Art. 82) und das Strafrecht: Nach § 42 BDSG wird mit Freiheitsstrafe bis zu drei Jahren bestraft, wer wissentlich nicht allgemein zugängliche Daten einer großen Zahl von Personen unberechtigt übermittelt oder zugänglich macht und dabei gewerbsmäßig handelt; mit bis zu zwei Jahren, wer solche Daten gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht unberechtigt verarbeitet. Die Tat wird nur auf Antrag verfolgt, antragsberechtigt sind auch der Verantwortliche und die Aufsichtsbehörde. Dazu kommt das geschäftliche Risiko: Eine Creatorin, deren Fans bloßgestellt wurden, geht.
DSGVO-Checkliste für eine OFM-Agentur
- Verarbeitungen erfassen: betreute Konten, CRM, Messenger, Tabellen, Speicher.
- Die eigene Rolle je Creatorin bestimmen und im Managementvertrag festhalten.
- Den DPA des CRM-Anbieters unterzeichnen und ablegen, mit Unterauftragsverarbeitern und Speicherländern.
- Die schriftliche Zustimmung jeder Creatorin zum verwendeten Tool einholen.
- Jeden Chatter vertraglich einbinden: Vertrag, Vertraulichkeit, Weisungen, Standardvertragsklauseln bei Dienstleistern außerhalb der EU.
- Zugänge einrichten: persönliches Konto, minimale Rechte, kein Export, Zwei-Faktor-Authentifizierung.
- Notizen zu intimen Vorlieben der Fans verbieten und den Bestand bereinigen.
- Speicherfristen und den Umgang mit Daten bei Vertragsende festlegen.
- Das Verzeichnis führen und prüfen, ob eine Folgenabschätzung und ein Datenschutzbeauftragter nötig sind.
- Ein Verfahren für Datenpannen schreiben: wer informiert wird, welche Zugänge gesperrt werden, Kontakt der zuständigen Aufsichtsbehörde.
Der richtige Zeitpunkt dafür: wenn Sie Ihre OFM-Agentur gründen oder eine neue Creatorin unter Vertrag nehmen. OFM Legal ist keine Rechtsanwaltskanzlei: Wir beraten zu Struktur, Compliance und Risiken, bereiten Managementverträge, Klauseln zur Auftragsverarbeitung und interne Abläufe vor und prüfen die DPAs der Anbieter; Vertragsentwürfe und Vertretung übernehmen Partneranwälte. Stellen Sie uns Ihre Organisation über die Seite Agenturen vor.
Häufige Fragen
Ist Infloww DSGVO-konform?
Braucht eine OFM-Agentur einen Auftragsverarbeitungsvertrag mit ihrem CRM?
Sind Chats mit Fans sensible Daten?
Darf eine Agentur das OnlyFans-Passwort einer Creatorin haben?
Was tun, wenn ein Chatter die Fan-Datenbank exportiert hat?
Quellen und Rechtsgrundlagen
- Verordnung (EU) 2016/679 (DSGVO), Art. 9, 28, 32, 33, 34, 44 bis 49, 82 und 83 EUR-Lex
- EuGH, Urteil vom 1. August 2022, OT gegen Vyriausioji tarnybinės etikos komisija, C-184/20 (mittelbar sensible Daten) Gerichtshof der Europäischen Union
- Guidelines 07/2020 on the concepts of controller and processor in the GDPR Europäischer Datenschutzausschuss, endgültige Fassung vom 7. Juli 2021
- § 38 BDSG (Benennung eines Datenschutzbeauftragten: 20 Personen oder Datenschutz-Folgenabschätzung) Bundesministerium der Justiz, gesetze-im-internet.de
- § 42 BDSG (Strafvorschriften) Bundesministerium der Justiz, gesetze-im-internet.de
- Anschriften und Links der Datenschutzaufsichtsbehörden der Länder Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- OnlyFans Terms of Service (Verantwortung des Creators bei Unterstützung durch Dritte) Fenix International Limited, abgerufen am 11. September 2026
- OnlyFans Acceptable Use Policy (Verbot, Daten von OnlyFans zu kopieren oder zu sammeln) Fenix International Limited, Fassung September 2025
Dieser Artikel dient der allgemeinen Information und ersetzt keine Beratung zu Ihrer konkreten Situation. OFM Legal ist keine Rechtsanwaltskanzlei: Rechtsdienstleistungen und Vertretung vor Gericht übernehmen unsere Partneranwälte.
