Datenschutzerklärung

Wir freuen uns über dein Interesse an aftersnap. Der Schutz deiner personenbezogenen Daten ist uns wichtig. Nachfolgend informieren wir dich gemäß der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung unserer Plattform.

1. Verantwortlicher

Danyel André Maus
Cami des Jardi d'en Ferrer 72
ES-07141 Marratxí, Spanien
E-Mail: [email protected]

Ansprechpartner für Fragen zum Datenschutz ist der vorgenannte Verantwortliche; ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen.

2. Allgemeines & Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur im erforderlichen Umfang. Rechtsgrundlagen sind je nach Verarbeitung insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen), lit. a (Einwilligung), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse) sowie, bei besonderen Datenkategorien wie biometrischen Daten, Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

3. Hosting & technische Bereitstellung

Unsere Anwendung und die zugehörigen Daten werden bei Dienstleistern in der Europäischen Union betrieben: Webhosting bei ALL-INKL.COM (Neue Medien Münnich, EU), Rechen-/Verarbeitungskapazität bei der Hetzner Online GmbH (EU) sowie Objektspeicher für hochgeladene Originalfotos bei der Impossible Cloud GmbH (EU). Auch die rechenintensiven KI-Analysen (siehe Ziffer 9) laufen dort: auf Rechenkapazität, die wir bei diesen Anbietern innerhalb der EU betreiben. Für diese Analysen wird eine verkleinerte Kopie der Fotos („Analysebild“) erzeugt und beim vorgenannten Objektspeicher (Impossible Cloud, EU) abgelegt. Mit diesen Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Für die Auslieferung über eigene Kundendomains sowie als Sicherheits- und Proxy-Ebene (u. a. Schutz vor Überlastungs-/DDoS-Angriffen, TLS-Verschlüsselung, Content-Auslieferung) setzen wir Cloudflare, Inc. (USA) ein. Cloudflare verarbeitet dabei insbesondere IP-Adressen, Verbindungs- und TLS-Handshake-Daten, Browser-/Geräteangaben sowie Sicherheitsprotokolle. Dabei können personenbezogene Daten auch in die USA übermittelt werden (siehe Ziffer 17).

Die Vorschaubilder öffentlicher Galerien liefern wir über das Content-Delivery-Netz der BunnyWay d.o.o. (bunny.net, Slowenien) aus. Dabei fällt deine IP-Adresse an, dazu Angaben zum Abruf wie Zeitpunkt, angefragtes Bild und Browsertyp; in den Protokollen des Anbieters wird die IP-Adresse gekürzt. Die Auslieferung ist auf Standorte in der Europäischen Union beschränkt, eine Übermittlung in Drittländer findet dabei nicht statt. Bilder aus passwortgeschützten Galerien, aus Entwürfen und aus abgelaufenen Galerien bleiben auf unseren eigenen Servern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Galerien mit vielen Fotos zügig und zuverlässig auszuliefern). Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Server-Logfiles

Beim Aufruf der Plattform werden technisch notwendige Zugriffsdaten verarbeitet (z. B. IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Browser-/Systemangaben). Dies dient dem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO) und wird nur für einen begrenzten Zeitraum (in der Regel einige Tage bis maximal 30 Tage) gespeichert.

5. Cookies & lokale Speicherung

Wir verwenden technisch notwendige Cookies bzw. lokale Speicherung, etwa für die Sitzung (Login), den Schutz vor Cross-Site-Request-Forgery (CSRF) und funktionale Einstellungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 22.2 LSSI-CE (unbedingte Erforderlichkeit), soweit dabei Informationen in deinem Endgerät gespeichert oder ausgelesen werden. Werbe- und Statistik-Cookies Dritter setzen wir ausschließlich auf unseren Informationsseiten und nur mit deiner Einwilligung ein (siehe unten, „Werbe-Tracking mit Einwilligung“). In den Galerien der Fotograf:innen und im Dashboard gibt es kein Werbe-Tracking.

Über welche Kampagne du zu uns gefunden hast, halten wir bei der Registrierung an deinem Konto fest: die Parameter utm_source, utm_medium, utm_campaign, utm_content und utm_term aus der aufgerufenen Adresse. Bis zur Registrierung stehen sie ausschließlich in deiner Sitzung auf unserem Server; ein eigenes Cookie legen wir dafür nicht an. Zweck ist die Erfolgsmessung unserer eigenen Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirksamkeit eigener Werbemaßnahmen zu beurteilen). Wir bilden daraus kein Profil, und kein Dritter erhält diese Angaben. Nach 24 Monaten löschen wir sie (Ziffer 18).

Wie oft unsere öffentlichen Seiten aufgerufen werden, messen wir mit Matomo auf einem eigenen Server bei der Hetzner Online GmbH (EU, siehe Ziffer 3). Die Messung läuft auf unserem Server, nicht in deinem Browser: Ausgewertet wird nur, was beim Aufruf ohnehin bei uns ankommt: die aufgerufene Adresse, die zuvor besuchte Seite, Browser- und Gerätetyp sowie deine IP-Adresse, die dabei sofort gekürzt wird. Auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen; es gibt kein Analyse-Cookie und kein Mess-JavaScript. Wir bilden daraus kein Profil, und die Daten verlassen unseren Server nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, zu erkennen, welche Inhalte gefunden und gelesen werden). Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, zählen wir den Aufruf nicht. Die Galerien der Fotograf:innen messen wir nicht. Nach 24 Monaten löschen wir die Messdaten (Ziffer 18).

Werbe-Tracking mit Einwilligung. Auf unseren Informationsseiten (aftersnap.io ohne Dashboard und ohne Galerien) fragen wir dich beim ersten Besuch in einem Banner, ob wir Dienste zur Erfolgsmessung unserer Werbung einsetzen dürfen. Ohne deine Zustimmung wird keiner dieser Dienste geladen und kein entsprechendes Cookie gesetzt; „Ablehnen“ ist so einfach wie „Akzeptieren“, und die Seite funktioniert in beiden Fällen gleich. Kategorie Marketing: das Meta Pixel der Meta Platforms Ireland Ltd., Dublin (Merkmale von Besuch und Registrierung, Cookies _fbp und _fbc; für die Erhebung sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO, das Wesentliche der Vereinbarung steht unter facebook.com/legal/controller_addendum; für die weitere Verarbeitung ist Meta allein verantwortlich) sowie Google Ads über den Google Tag Manager der Google Ireland Ltd., Dublin (Conversion-Messung, Cookies _gcl_*). Ebenfalls in der Kategorie Marketing: das OpenAI-Pixel für Anzeigen in ChatGPT der OpenAI Ireland Ltd., Dublin (Merkmale von Besuch und Registrierung, Cookies __oppref mit der Klick-Kennung aus der Anzeige, 30 Tage, und __obref, eine zufällige Browser-Kennung, zwölf Monate; E-Mail-Adressen aus Formularen nur als Hashwert; wir und OpenAI sind dafür jeweils eigenständig Verantwortliche). Kategorie Statistik: Google Analytics 4 der Google Ireland Ltd. (Nutzungsstatistik unserer Informationsseiten, Cookies _ga*, IP-Adresse gekürzt). Sobald du deine E-Mail-Adresse bestätigt hast, übermitteln wir die Registrierung und gegebenenfalls den Start deiner Testphase zusätzlich serverseitig an Meta, OpenAI bzw. Google, ausschließlich mit der jeweils erteilten Einwilligung und nur mit gehashter E-Mail-Adresse, gekürzter IP-Adresse und der Klick-Kennung aus dem Cookie. Weil sich der Bestätigungslink oft auf einem anderen Gerät öffnet, halten wir deine Entscheidung und diese Kennungen beim Absenden des Formulars verschlüsselt an deinem Konto fest, bis zur Bestätigung und höchstens sieben Tage. Die Anbieter können Daten in die USA übermitteln; Grundlage sind das EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln (Ziffer 17). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ in der Fußzeile widerrufen oder ändern. Deine Entscheidung speichern wir in einem Cookie (aftersnap_consent, zwölf Monate) und protokollieren sie ohne Personenbezug (Zeitpunkt, Version, Entscheidung, gekürzte IP-Adresse) für drei Jahre als Nachweis. Ändern sich die eingesetzten Dienste, fragen wir erneut.

6. Konto der Fotograf:innen

Für die Nutzung als Fotograf:in verarbeiten wir Bestands- und Kontaktdaten (z. B. Name, E-Mail sowie das Passwort, das ausschließlich als kryptografischer Hash gespeichert wird) sowie (für die Abrechnung) Rechnungsdaten (z. B. Firma, Anschrift, USt-IdNr.). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; steuer-/handelsrechtliche Aufbewahrungspflichten (lit. c) bleiben unberührt. Die Bereitstellung dieser Daten ist für die Einrichtung des Kontos und die Vertragsdurchführung erforderlich; ohne sie kann das Konto nicht angelegt bzw. der Vertrag nicht erfüllt werden.

7. Galerien & hochgeladene Fotos (Auftragsverarbeitung)

Fotograf:innen laden Fotos hoch und stellen sie ihren Kund:innen als Online-Galerie bereit. Soweit auf diesen Fotos Personen abgebildet sind, verarbeiten wir die Fotos im Auftrag der jeweiligen Fotograf:in; datenschutzrechtlich Verantwortliche für diese Inhalte sind die Fotograf:innen. aftersnap verarbeitet die Fotos dabei ausschließlich auf dokumentierte Weisung der jeweiligen Fotograf:in. Personenbezogene Daten der abgebildeten Personen erhalten wir nicht unmittelbar von diesen, sondern über die hochladende Fotograf:in. Grundlage ist ein Vertrag zur Auftragsverarbeitung (siehe AV-Vertrag).

8. Galerie-Gäste & Downloads

Beim Aufruf einer Galerie verarbeiten wir die zur Auslieferung nötigen technischen Daten. Bei passwortgeschützten Galerien wird das eingegebene Passwort geprüft (Art. 6 Abs. 1 lit. b DSGVO). Fordert ein Gast einen ZIP-Download an, verarbeiten wir die dabei angegebene E-Mail-Adresse ausschließlich, um über die Bereitstellung der Datei zu benachrichtigen (Art. 6 Abs. 1 lit. b/f DSGVO).

9. KI-Funktionen: Gesichtersuche, Inhalts- & Personenanalyse (auch biometrische Daten)

Ist die Funktion für eine Galerie aktiviert, können Gäste ein Selfie hochladen, um automatisch die Fotos zu finden, auf denen sie zu sehen sind. Dabei werden biometrische Merkmale verarbeitet, eine besondere Datenkategorie i. S. d. Art. 9 DSGVO. Die Verarbeitung erfolgt nur nach ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Das hochgeladene Selfie wird ausschließlich auf unseren eigenen Servern in der EU verarbeitet, dabei nur für die Dauer der Analyse temporär vorgehalten und unmittelbar nach Abschluss der Suche automatisch wieder gelöscht; eine dauerhafte Speicherung findet nicht statt. Es dient allein dem Wiederfinden auf den Fotos innerhalb dieser Galerie und wird nicht galerieübergreifend verwendet; eine Identifizierung unbekannter Personen erfolgt nicht. Zur Bereitstellung der Suche werden vorab die Gesichtsmerkmale der Galerie-Fotos analysiert und als biometrische Vergleichsmuster hinterlegt; diese dienen ausschließlich dem Abgleich innerhalb derselben Galerie und werden nicht galerieübergreifend verwendet. Auch diese Analyse läuft auf unseren eigenen Servern in der EU (siehe Ziffer 3). Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar; ohne Einwilligung ist die Galerie normal nutzbar.

Zusätzlich kann die Fotograf:in für eine Galerie eine KI-gestützte Inhalts- und Personenanalyse aktivieren: Eine KI ordnet die Fotos automatisch Bildinhalten zu (z. B. Motive wie Torte, Blumen, Tanz) und gruppiert ähnliche Gesichter innerhalb derselben Galerie zu Personen, die von der Fotograf:in oder Kund:in benannt werden können; Gäste können die Galerie anschließend nach Inhalt oder Person filtern. Die Gruppierung von Gesichtern verarbeitet biometrische Merkmale (Art. 9 DSGVO), erfolgt ausschließlich galeriebezogen (kein galerieübergreifender Abgleich, keine Identifizierung unbekannter Personen) und, wie die übrige Foto-Verarbeitung, im Auftrag der Fotograf:in, die für die Rechtsgrundlage gegenüber den abgebildeten Personen verantwortlich ist. Die Analysen laufen auf eigener Infrastruktur in der EU (siehe Ziffer 3). Eine automatisierte Entscheidung mit rechtlicher Wirkung ist damit nicht verbunden (siehe Ziffer 20).

10. Dienstleister-Portal

Laden Fotograf:innen Dienstleister:innen (z. B. für die Bildauswahl) ein, verarbeiten wir deren Kontaktdaten sowie eine Bestätigung der Zustimmung zu den geltenden Bedingungen (Nachweisbarkeit, Art. 6 Abs. 1 lit. b/f DSGVO).

11. E-Mail-Versand

Zur Erbringung des Dienstes versenden wir E-Mails (z. B. Galerie-Links, Benachrichtigungen, System-Nachrichten) über den Mailserver unseres Hosters. Zu Nachweis-/Betriebszwecken protokollieren wir den Versand in angemessenem Umfang (Art. 6 Abs. 1 lit. b/f DSGVO).

11a. Newsletter

Über unsere Newsletter-Seite kannst du den Newsletter für Fotograf:innen abonnieren. Er erscheint höchstens zweimal im Monat und enthält Hinweise zu Bildauswahl, Präsentation und Auslieferung sowie zu neuen Funktionen von aftersnap. Wir verarbeiten dafür deine E-Mail-Adresse und die Sprache der Seite, auf der du dich eingetragen hast. Die Anmeldung wird erst wirksam, wenn du den Link in unserer Bestätigungsmail anklickst (Double-Opt-in). Als Nachweis speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die gekürzte IP-Adresse bei der Bestätigung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Bei der Registrierung eines Kontos kannst du den Newsletter mit einem eigenen Häkchen bestellen; es ist nicht vorausgewählt. Bestätigt wird die Anmeldung mit dem Link in der Bestätigungsmail deines Kontos, die in diesem Fall ausdrücklich darauf hinweist. Hast du schon ein Konto, bestellst du den Newsletter im Dashboard unter Profil, wo du ihn auch jederzeit wieder abbestellen kannst. Ohne diese Einwilligung schicken wir Kontoinhaber:innen keinen Newsletter. Nachweis und Rechtsgrundlage sind dieselben wie bei der Anmeldung über die Newsletter-Seite.

Wir versenden den Newsletter über den Mailserver unseres Hosters ALL-INKL.COM (siehe Ziffer 3). Kommt eine Ausgabe als unzustellbar zurück, werten wir die Rückmeldung des empfangenden Mailservers aus: Gibt es das Postfach oder die Domain nicht, oder ist das Postfach über mindestens eine Woche wiederholt voll, schicken wir an diese Adresse keinen Newsletter mehr und vermerken den Grund. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden Versand (Art. 6 Abs. 1 lit. f DSGVO).

Wir messen, wie eine Ausgabe insgesamt ankommt, ohne dies einer Person zuzuordnen. Dazu enthält der Newsletter ein unsichtbares Bild, das beim Öffnen von unserem Server geladen wird, und Links, die über unseren Server zum Ziel weiterleiten. Gezählt wird, wie oft eine Ausgabe geöffnet und welcher Link angeklickt wurde, getrennt nach Sprache, dazu je Ausgabe die Zahl der Abmeldungen und der Anmeldungen über weitergeleitete Ausgaben. Damit dasselbe Gerät am selben Tag nicht mehrfach zählt, bilden wir aus IP-Adresse, Browserkennung und einem täglich neu erzeugten Zufallswert eine nicht umkehrbare Prüfsumme. Den Zufallswert ersetzen wir am Folgetag; danach lässt sich die Prüfsumme niemandem mehr zuordnen. IP-Adresse und Browserkennung speichern wir dabei nicht, wir halten nicht fest, wer geöffnet oder geklickt hat, und die Messung setzt kein Cookie. Rechtsgrundlage ist unser berechtigtes Interesse, die Inhalte des Newsletters zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Zählung der Öffnung verhinderst du, indem du in deinem E-Mail-Programm das Nachladen von Bildern abschaltest.

Jede Ausgabe enthält einen Link zur Abmeldung und einen, mit dem du die Sprache des Newsletters änderst. Nach der Abmeldung behalten wir deine E-Mail-Adresse mit einem Sperrvermerk, damit wir dich nicht versehentlich erneut anschreiben, etwa wenn deine Adresse auf anderem Weg noch einmal zu uns gelangt (Art. 6 Abs. 1 lit. f DSGVO). Möchtest du, dass auch dieser Vermerk gelöscht wird, schreib uns; wir können dann aber nicht mehr ausschließen, dass du erneut angeschrieben wirst.

12. Kontaktformular

Über das Formular auf unserer Kontaktseite kannst du uns schreiben, ohne ein Konto zu haben. Wir verarbeiten dabei die Angaben, die du selbst einträgst: Name, E-Mail-Adresse, Betreff und den Text deiner Nachricht. Diese Angaben gehen als E-Mail an unser Postfach und werden dort wie jede andere Anfrage bearbeitet; wir speichern sie nicht zusätzlich in einer Datenbank.

Zweck ist ausschließlich die Beantwortung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen); betrifft die Anfrage einen bestehenden oder angebahnten Vertrag, tritt Art. 6 Abs. 1 lit. b DSGVO hinzu. Wir löschen die Nachricht, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Zum Schutz vor automatisierten Einsendungen enthält das Formular ein für dich unsichtbares Feld und misst, wie lange das Ausfüllen gedauert hat. Außerdem begrenzen wir die Zahl der Sendungen je IP-Adresse. Dabei entstehen keine Profile, und es werden keine Daten an Dritte übermittelt.

13. Zahlungsabwicklung & Rechnungsstellung

Für kostenpflichtige Tarife nutzen wir die Stripe Payments Europe, Ltd. (Irland) als Zahlungsdienstleister. Beim Aufruf der Bezahlseite übermitteln wir an Stripe deine E-Mail-Adresse, deinen Namen bzw. deine Firma sowie deine Rechnungsanschrift (Straße, Postleitzahl, Ort, Land). Zahlungsdaten wie Kartennummern gibst du ausschließlich bei Stripe ein; sie erreichen unsere Server nicht und werden von uns weder gespeichert noch verarbeitet. Wir erhalten von Stripe lediglich die Information, ob eine Zahlung erfolgreich war, sowie die letzten vier Stellen und die Art des verwendeten Zahlungsmittels. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags). Stripe ist eine Tochtergesellschaft der Stripe, Inc. (USA); zur Drittlandübermittlung siehe Ziffer 17.

Für die Buchhaltung und die Erfüllung steuerlicher Aufbewahrungspflichten übermitteln wir die Rechnungsdaten an die sevDesk GmbH (Offenburg, Deutschland). Das umfasst deinen Namen bzw. deine Firma, deine Rechnungsanschrift, die Rechnungsnummer, die abgerechneten Leistungen und die Beträge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung, insbesondere § 14b UStG, § 147 AO und § 257 HGB für die in Deutschland steuerbaren Umsätze). Mit beiden Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

14. Anbindung des Google-Unternehmensprofils

Fotograf:innen können optional ihr Google-Unternehmensprofil über die Google Business Profile API per OAuth verbinden. Nach ausdrücklicher Freigabe im Google-Konto greifen wir ausschließlich im erforderlichen Umfang auf Daten des eigenen Unternehmenseintrags zu, insbesondere Standort- und Bewertungsdaten (u. a. die Google-Standort-ID und den Rezensionslink), um daraus den Bewertungslink bereitzustellen und (sofern aktiviert) die Gesamtbewertung auf der Profilseite anzuzeigen. Rechtsgrundlage ist deine Einwilligung bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. a/b DSGVO).

Von Google-APIs erhaltene Daten verwenden wir ausschließlich zur Bereitstellung bzw. Verbesserung dieser nutzerseitig sichtbaren Funktionen. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung und geben sie nicht weiter, außer soweit es zur Bereitstellung der Funktion erforderlich, gesetzlich vorgeschrieben oder von dir ausdrücklich gewünscht ist. Die Nutzung der Google-Daten erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Anbieter ist Google Ireland Limited bzw. Google LLC; dabei können personenbezogene Daten auch außerhalb der EU (insbesondere in den USA) verarbeitet werden (siehe Ziffer 17). Es gelten ergänzend die Datenschutzhinweise von Google. Die Verbindung kann jederzeit im Konto („Trennen“) sowie in den Sicherheitseinstellungen deines Google-Kontos widerrufen werden.

15. Eigene Domain

Verbindest du eine eigene (Sub-)Domain, wird die Auslieferung technisch über Cloudflare abgewickelt (vgl. Ziffer 3). Dabei werden die zur Zustellung und TLS-Verschlüsselung nötigen Verbindungsdaten (insbesondere die IP-Adresse) verarbeitet; dabei können personenbezogene Daten auch in die USA übermittelt werden (Art. 6 Abs. 1 lit. b/f DSGVO, siehe Ziffer 17).

16. Empfänger / Auftragsverarbeiter

Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter ein, u. a.: ALL-INKL.COM (Webhosting/E-Mail, EU), Hetzner Online GmbH (Verarbeitung, EU), Impossible Cloud GmbH (Objektspeicher, EU), BunnyWay d.o.o. (Bildauslieferung, Slowenien), Cloudflare, Inc. (CDN/Proxy, USA), Stripe Payments Europe, Ltd. (Zahlungsabwicklung, Irland) sowie sevDesk GmbH (Buchhaltung, EU). Bei Nutzung der Google-Anbindung zusätzlich Google (Irland/USA). Für unsere eigenen Inhalte (Mail-Vorlagen, die Musik unserer Sound-Bibliothek und die Verträge mit unseren Dienstleistern) nutzen wir zudem KI-Dienste von Anthropic, PBC, OpenAI, LLC und ElevenLabs, Inc. (jeweils USA, EU-Standardvertragsklauseln); Fotos, Galerien und Kundendaten gelangen nicht dorthin. Werbe- und Analysedienste (Meta Platforms Ireland Ltd. mit dem Meta Pixel; OpenAI Ireland Ltd. mit dem OpenAI-Pixel für Anzeigen in ChatGPT; Google Ireland Ltd. mit Google Tag Manager, Google Analytics 4 und Google Ads) setzen wir ausschließlich auf unseren Informationsseiten und nur mit deiner Einwilligung ein (Ziffer 5).

17. Übermittlung in Drittländer

Soweit personenbezogene Daten an Anbieter außerhalb der EU/des EWR übermittelt werden (z. B. Cloudflare, Google, Meta, OpenAI oder auch Stripe über die US-Muttergesellschaft Stripe, Inc.), erfolgt dies auf Grundlage geeigneter Garantien i. S. d. Art. 44 ff. DSGVO, insbesondere der aktuellen EU-Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) bzw., soweit einschlägig, eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework).

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Im Einzelnen gilt in der Regel:

Konto der Fotograf:innen (Bestands-/Kontaktdaten): bis zur Löschung des Kontos;
Rechnungs- und Abrechnungsdaten: entsprechend den steuer- und handelsrechtlichen Aufbewahrungsfristen (mindestens die gesetzliche Frist, technisch 10 Jahre; für Rechnungen mit deutscher Umsatzsteuer § 14b UStG);
Server-/Anwendungs-Logfiles: einige Tage bis maximal 30 Tage;
Galerie-Inhalte (Originalfotos, Vorschauen, Analysebild): gemäß den Einstellungen der Fotograf:in bzw. bis zur Löschung der Galerie oder des Kontos; das Analysebild wird zusammen mit dem zugehörigen Foto gelöscht;
Selfie der Gesichtersuche: unmittelbar nach Abschluss der Suche; der Nachweis der erteilten Einwilligung (Zeitstempel, IP-Adresse) wird bis zur Löschung der Galerie aufbewahrt;
biometrische Vergleichsmuster der Galerie-Fotos: solange die zugehörige Galerie besteht; sie werden mit der Galerie gelöscht;
Herkunft der Registrierung (Kampagnen-Parameter): 24 Monate ab der Registrierung; danach werden sie gelöscht;
Reichweitenmessung (aufgerufene Seiten, gekürzte IP-Adresse): 24 Monate; danach werden sie gelöscht;
Einwilligungs-Protokoll des Werbe-Trackings (Zeitpunkt, Version, Entscheidung, gekürzte IP-Adresse): 3 Jahre; das Cookie mit deiner Entscheidung: 12 Monate;
Newsletter: bis zu deiner Abmeldung, danach die E-Mail-Adresse als Sperrvermerk (siehe Ziffer 11a); unbestätigte Anmeldungen über die Newsletter-Seite: 30 Tage;
Passwörter: bis zur Löschung des Kontos bzw. der Galerie.

19. Deine Rechte

Dir stehen nach der DSGVO die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) zu. Darüber hinaus hast du nach Art. 21 DSGVO das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung dich betreffender personenbezogener Daten einzulegen, die auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgt; wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zudem hast du das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zur Ausübung genügt eine Nachricht an [email protected].

20. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt.

21. Technische und organisatorische Maßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, insbesondere:

Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen zur Plattform;
Speicherung der Konto-Passwörter ausschließlich als kryptografischer Hash; Galerie-Passwörter werden verschlüsselt gespeichert;
ein rollenbasiertes Zugriffs- und Berechtigungskonzept (Fotograf:in, Support, Administration) nach dem Grundsatz der Datensparsamkeit;
Verarbeitung und Speicherung innerhalb der EU/des EWR (siehe Ziffer 3) auf Grundlage von Verträgen zur Auftragsverarbeitung;
passwortgeschützte Galerien sowie zugriffsbeschränkte, nicht öffentlich auffindbare Freigabe- und Download-Links;
Protokollierung sicherheitsrelevanter Ereignisse und regelmäßige Datensicherungen auf Ebene der eingesetzten Hosting-Infrastruktur.

Wir überprüfen und verbessern diese Maßnahmen fortlaufend entsprechend dem Stand der Technik.

22. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: Oktober 2026 · Version 1.4