Datenschutzerklärung
Stand: 13.10.2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: FriendBooks GbR Vertreten durch: Marco Hasselmann und Michael Kofler-Hofer Lindenstr. 33a 12555 Berlin Deutschland E-Mail: USt-IdNr.: DE460620086
2. Cookies und Tracking
Ohne Ihre Einwilligung verwendet diese Website keine Marketing-Cookies und erstellt keine geräteübergreifenden Nutzerprofile. Marketing-Cookies setzen wir nur, wenn Sie im Cookie-Banner einwilligen (Meta-Pixel, siehe unten). Zur Analyse der Reichweite und Nutzung unserer Website setzen wir Vercel Web Analytics ein – ein cookieloses Verfahren, das ausschließlich aggregierte, anonymisierte Nutzungsdaten erfasst (z. B. aufgerufene Seiten, ungefähre Herkunftsregion, Gerätetyp und Referrer) und keine personenbezogenen Daten in Cookies speichert. Eine Identifizierung einzelner Besucherinnen und Besucher findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Gestaltung und Verbesserung unserer Website). Darüber hinaus können technisch notwendige Cookies gesetzt werden, die für den Betrieb der Website erforderlich sind. Vercel Speed Insights wird nicht eingesetzt. Das Vorstellungsvideo auf der Startseite und auf der Einladungsseite unserer Plattform wird erst nach einem Klick auf die Wiedergabe-Schaltfläche geladen und setzt ebenfalls keine Cookies; Einzelheiten dazu in Abschnitt 5. Meta-Pixel und Conversions API (nur mit Ihrer Einwilligung) Wenn Sie im Cookie-Banner auf „Akzeptieren“ klicken, setzen wir den Meta-Pixel und die Conversions API von Meta ein. Anbieter ist Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Zweck: Wir messen, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und zu neu angelegten Teambüchern führen, und bilden Zielgruppen, um Personen, die unsere Website besucht oder mit dem Anlegen eines Teambuchs begonnen haben, dort erneut Werbung anzuzeigen (Retargeting), sowie um die Auslieferung unserer Anzeigen zu optimieren. Wo: auf herobooks.de und auf der Seite zum Anlegen eines Teambuchs (app.herobooks.de, „Teambuch erstellen“). In allen übrigen Bereichen unserer Anwendung, insbesondere dort, wo Fotos hochgeladen und Teambücher bearbeitet werden, ist der Meta-Pixel nicht eingebunden. Verarbeitete Daten: • Cookies „_fbp“ (Kennung Ihres Browsers, Laufzeit 90 Tage, bei jedem Besuch verlängert) und „_fbc“ (nur wenn Sie über eine Anzeige kommen; enthält die Klick-Kennung, Laufzeit 90 Tage) • Cookies, die Meta auf eigenen Domains setzt (z. B. „fr“), wenn Sie dort angemeldet sind; dafür ist Meta verantwortlich • IP-Adresse, Browser- und Geräteinformationen (User-Agent), aufgerufene Seite, Referrer, Zeitpunkt • diese Ereignisse: Seitenaufruf, Aufruf der Startseite, Beginn der Teambuch-Erstellung, Speichern des Teambuchs (Registrierung) Sind Sie bei Facebook oder Instagram angemeldet, kann Meta die Daten Ihrem Konto zuordnen. Das Speichern eines Teambuchs melden wir zusätzlich von unserem Server an Meta (Conversions API) – mit den Kennungen aus „_fbp“/„_fbc“, IP-Adresse, User-Agent, der aufgerufenen Seite (ohne Parameter), dem Zeitpunkt und einer Ereignis-ID, über die Meta die Meldung aus dem Browser und die vom Server zusammenführt. Auch das geschieht nur mit Ihrer Einwilligung. Wir übermitteln keine Namen, E-Mail-Adressen, Telefonnummern, Teamnamen, Antworten oder Fotos an Meta, auch nicht in verschlüsselter (gehashter) Form. Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Ihre Entscheidung speichern wir im Cookie „hb_consent“ (Laufzeit 12 Monate); dieses Cookie ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und gilt für herobooks.de und app.herobooks.de. Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über „Cookie-Einstellungen“ im Fußbereich dieser Website oder in unserer Anwendung unter app.herobooks.de/rechtliches (erreichbar über das Personenmenü → „Rechtliches“). Dabei löschen wir die Cookies „_fbp“ und „_fbc“ in Ihrem Browser. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Zusätzlich können Sie in Ihrem Meta-Konto steuern, welche Werbung Ihnen angezeigt wird: https://www.facebook.com/adpreferences/ad_settings Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten auf unseren Seiten und ihre Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Wir haben mit Meta eine Vereinbarung hierüber geschlossen: https://www.facebook.com/legal/controller_addendum (Sicherheitsbedingungen: https://www.facebook.com/legal/terms/data_security_terms). Danach ist Meta insbesondere für die Erfüllung der Betroffenenrechte hinsichtlich der bei Meta gespeicherten Daten zuständig; Sie können Ihre Rechte aber auch uns gegenüber geltend machen. Die weitere Verarbeitung nach der Übermittlung erfolgt in alleiniger Verantwortung von Meta: https://www.facebook.com/privacy/policy. Speicherdauer: Zielgruppen, in die Sie aufgenommen werden, verfallen bei uns spätestens nach 180 Tagen. Über die Speicherdauer bei Meta informiert Meta in seiner Datenschutzrichtlinie. Drittlandübermittlung: siehe Abschnitt 18.5.
3. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Plattform, ihrer Funktionen sowie zur Durchführung unserer Leistungen erforderlich ist oder eine sonstige gesetzliche Grundlage dies erlaubt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, z. B. Name, E-Mail-Adresse, Anschrift, Zahlungsdaten oder hochgeladene Fotos. Unsere Plattform ermöglicht die kollaborative Erstellung von Fotobüchern, insbesondere für Sportteams und vergleichbare Gruppen.
4. Zielgruppe und Hinweise zu Minderjährigen
Unsere Plattform richtet sich ausschließlich an volljährige Nutzerinnen und Nutzer, insbesondere an Teamverantwortliche, Eltern, Betreuer, Trainerinnen und Trainer oder sonstige organisatorisch verantwortliche Personen. Eine unmittelbare Nutzung der Plattform durch Minderjährige ist von uns nicht vorgesehen. Soweit im Rahmen eines Fotobuchprojekts personenbezogene Daten von Minderjährigen verarbeitet werden, erfolgt dies ausschließlich über die jeweils verantwortlichen volljährigen Nutzerinnen und Nutzer, die Inhalte hochladen, eingeben oder für ein Projekt bereitstellen. Wer Inhalte über unsere Plattform hochlädt, eingibt, freigibt oder anderweitig bereitstellt, ist dafür verantwortlich, dass hierfür die erforderlichen Rechte, Einwilligungen und sonstigen rechtlichen Befugnisse vorliegen. Dies gilt in besonderem Maße für Fotos und sonstige Angaben über Minderjährige. Wir prüfen die Berechtigung zum Hochladen einzelner Inhalte grundsätzlich nicht im Vorfeld. Wenn wir konkrete Hinweise darauf erhalten, dass Inhalte unberechtigt verarbeitet werden, können wir diese Inhalte prüfen, sperren oder entfernen. Vor dem Hochladen von Inhalten bestätigen Nutzerinnen und Nutzer ausdrücklich, dass sie zur Nutzung und Bereitstellung der hochgeladenen Inhalte berechtigt sind.
5. Bereitstellung der Website und Hosting
Unsere Website und das Frontend werden über Vercel Inc. (USA) bereitgestellt. Vercel übernimmt das Hosting und die technische Auslieferung der Webanwendung. Backend, Datenbank und Dateispeicherung werden über Amazon Web Services (AWS) in der Region eu-central-1 (Frankfurt) betrieben. Dabei können technisch erforderliche Daten verarbeitet werden, insbesondere: • IP-Adresse • Datum und Uhrzeit des Zugriffs • Browsertyp und Browserversion • Betriebssystem • Referrer-URL • aufgerufene Seiten und Dateien • sonstige technische Verbindungsdaten Die Verarbeitung erfolgt zur Bereitstellung, Stabilität und Sicherheit der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse liegt in der sicheren und funktionsfähigen Bereitstellung unseres Online-Angebots. 4.1 Dienstleister: 4.1.1 Vercel Unsere Websites und das Frontend unserer Plattform werden über Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, bereitgestellt. Wir nutzen Vercel insbesondere für Frontend-Hosting, serverseitiges Rendering und Middleware-Funktionen zur technischen Bereitstellung unserer Website und Plattform. Eine gesonderte Optimierung oder CDN-basierte Zwischenspeicherung von durch Nutzer hochgeladenen Bildinhalten über Vercel findet nach unserem aktuellen technischen Setup nicht statt. Dabei können insbesondere technische Verbindungsdaten verarbeitet werden, etwa IP-Adresse, Datum und Uhrzeit des Abrufs, Browser- und Geräteinformationen, aufgerufene Seiten und Dateien sowie weitere technisch erforderliche Protokolldaten. Im Bereich der geschützten Nutzeroberfläche können über Vercel zudem Sitzungs- und Authentifizierungsinformationen verarbeitet werden, soweit dies für die Auslieferung der Anwendung, Zugriffskontrolle, Sprachsteuerung und Kontofunktionen erforderlich ist. Nicht über Vercel abgewickelt werden hingegen die direkte Backend-Kommunikation mit api.herobooks.de, Datei-Uploads in den S3-Speicher, die eigentlichen Authentifizierungsabläufe über Clerk sowie Zahlungsabläufe über Stripe, soweit diese jeweils unmittelbar zwischen Browser und dem jeweiligen Dienst erfolgen. Die Verarbeitung erfolgt zur sicheren und funktionsfähigen Bereitstellung unserer Website und Plattform sowie – soweit Nutzerkonten und geschützte Bereiche betroffen sind – zur Durchführung des Nutzungsverhältnisses. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie, soweit für die Nutzung unseres Dienstes erforderlich, Art. 6 Abs. 1 lit. b DSGVO. Vercel Speed Insights wird nicht eingesetzt. Zur Reichweitenmessung setzen wir Vercel Web Analytics ein; Einzelheiten dazu in Abschnitt 2. Weitere Informationen zu etwaigen Datenübermittlungen in Drittländer finden Sie in Kapitel 17. 4.1.2 Amazon Web Service Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon Web Services, Inc., USA) Genutzte Services: EC2 (Anwendungsserver), RDS (Datenbank), S3 (Datei- speicherung), ELB (Lastverteilung), WAF (Web Application Firewall), CloudWatch (Protokollierung) Serverstandort: eu-central-1 (Frankfurt, Deutschland) Datenschutzerklärung: https://aws.amazon.com/privacy/ Unsere Infrastruktur wird über Amazon Web Services EMEA SARL mit Sitz in Luxemburg betrieben. Die von uns genutzten Services (u. a. EC2, RDS, S3, ELB, WAF, CloudWatch) sind in der Region eu-central-1 (Frankfurt am Main, Deutschland) konfiguriert. Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union. AWS stellt sicher, dass Daten, die aktiv von uns verarbeitet und gespeichert werden („data at rest“), in der gewählten Region verbleiben. 4.1.3 Bunny Stream (Video-Auslieferung) Das Vorstellungsvideo auf unserer Website und auf der Einladungsseite unserer Plattform wird über den Streaming-Dienst Bunny Stream ausgeliefert. Anbieter: BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien Der Anbieter hat seinen Sitz in der Europäischen Union. Die Speicher- und Auslieferungsregionen sind auf die Europäische Union beschränkt. Das Video wird erst geladen, wenn Sie die Wiedergabe durch Klicken oder Tippen auf die Wiedergabe-Schaltfläche starten. Vor diesem Zeitpunkt findet keine Verbindung zu dem Anbieter statt; das Vorschaubild wird von unserem eigenen Server ausgeliefert. Mit dem Start der Wiedergabe werden technisch erforderliche Verbindungsdaten an den Anbieter übermittelt, insbesondere: • IP-Adresse • Datum und Uhrzeit des Abrufs • abgerufene Dateien (Videosegmente) • Browsertyp und Browserversion • Betriebssystem • Referrer-URL Wir setzen bewusst nicht den vom Anbieter bereitgestellten eingebetteten Player ein, sondern binden das Video unmittelbar in unsere eigene Seite ein. Dadurch werden im Zusammenhang mit der Videowiedergabe keine Cookies gesetzt und keine Informationen in der lokalen Speicherung Ihres Endgeräts abgelegt oder ausgelesen. Eine Einwilligung nach § 25 TDDDG ist hierfür nicht erforderlich. Funktionen des Anbieters zur automatischen Transkription, Untertitelung oder sonstigen KI-gestützten Auswertung von Videoinhalten sind deaktiviert. Videoinhalte werden zu diesen Zwecken nicht verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse liegt in der zuverlässigen, bandbreitenschonenden und für alle Endgeräte geeigneten Auslieferung des Videos. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Datenschutzerklärung: https://bunny.net/privacy/
6. Registrierung und Nutzerkonto
Die Nutzerverwaltung und Authentifizierung erfolgt über den Dienst Clerk. Dienstleister: Clerk, Inc., 660 King Street, Unit 345, San Francisco, CA 94107, USA EU-Vertreter: VeraSafe Ireland Ltd., Unit 3D North Point House, North Point Business Park, New Mallow Road, Cork T23AT2P, Irland Clerk verarbeitet als Auftragsverarbeiter in unserem Auftrag: • Vorname, Nachname, E-Mail-Adresse • Passwort (nur als kryptographischer Hash) • Sprachpräferenz • IP-Adresse und ungefährer Standort • Geräte- und Browserinformationen • Anmeldezeitpunkte, Session-Daten • Essentielle Cookies (__session, __client_uat) für die Sitzungsverwaltung Clerk ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzerklärung: https://clerk.com/legal/privacy. DSGVO-Ergänzung: https://clerk.com/legal/gdpr. Auftragsverarbeitungsvertrag (DPA): https://clerk.dev/data-processing-agreement Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Die Verarbeitung ist zur Durchführung vorvertraglicher Maßnahmen bzw. zur Erfüllung des Nutzungsvertrags erforderlich. Teambuch anlegen vor der Registrierung Ein Teambuch können Sie in der Anwendung bereits einrichten, bevor Sie ein Nutzerkonto anlegen. Ihre Eingaben (z. B. Teamname, Altersgruppe, gewähltes Modell, Ihr Name und Ihre Rolle) werden bis zur Registrierung ausschließlich im Sitzungsspeicher Ihres Browsers (sessionStorage) abgelegt, nicht an uns übertragen und mit dem Schließen des Tabs gelöscht. Erst wenn Sie „Buch speichern“ wählen und Ihr Konto angelegt ist, wird das Teambuch auf unseren Servern gespeichert. Der Sitzungsspeicher wird ausschließlich für diese von Ihnen angeforderte Funktion genutzt (§ 25 Abs. 2 Nr. 2 TDDDG); für diese Funktion werden keine Cookies gesetzt. Haben Sie in den Einsatz des Meta-Pixels eingewilligt, ist dieser auch auf der Seite zum Anlegen eines Teambuchs eingebunden (Abschnitt 2). Löschung Sie können Ihr Nutzerkonto jederzeit in der Anwendung löschen. Dabei löschen wir auch jedes Teambuch, das Sie allein angelegt haben und für das keine Zahlung erfolgt ist, vollständig – einschließlich Antworten und hochgeladener Fotos. Teambücher, an denen weitere Personen mitwirken oder für die bereits bezahlt wurde, bleiben für die übrigen Beteiligten bzw. zur Erfüllung gesetzlicher Aufbewahrungspflichten bestehen. 5.1 Social Login Sie können sich auch über externe Anmeldeanbieter registrieren und anmelden. Bei Nutzung eines Social Logins erhalten wir über unseren Authentifizierungsdienst Clerk die zur Kontoerstellung erforderlichen Informationen vom jeweiligen Anbieter. 5.1.1 Google Bei Anmeldung über Google werden folgende Daten übermittelt: • Name (Vor- und Nachname) • E-Mail-Adresse • Profilbild-URL • Sprachpräferenz Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland Datenschutzerklärung: https://policies.google.com/privacy 5.1.2 Apple ("Sign in with Apple") Bei Anmeldung über Apple werden folgende Daten übermittelt: • Name (Vor- und Nachname, vom Nutzer vor Freigabe editierbar) • E-Mail-Adresse oder private Relay-Adresse (Apple bietet die Option "E-Mail verbergen", wobei eine eindeutige Weiterleitungsadresse @privaterelay.appleid.com erstellt wird) • Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland Datenschutzerklärung: https://www.apple.com/legal/privacy/ Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Empfehlungslinks von Partnern Wer sich über den Empfehlungslink eines Partners (z. B. eines Promoters) registriert, für den speichern wir zusätzlich die Zuordnung des Nutzerkontos zu diesem Partner: die Kennung des Partners und den Zeitpunkt der Zuordnung. Diese Zuordnung dient ausschließlich der Auswertung und Abrechnung der Empfehlung. Der Partner erhält keine personenbezogenen Daten, sondern ausschließlich zusammengefasste Zahlen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der nachvollziehbaren Abrechnung von Empfehlungen).
7. Nutzung der Plattform und Projektverwaltung
Im Rahmen der Nutzung unserer Plattform verarbeiten wir personenbezogene Daten, die zur Erstellung und Verwaltung von Fotobuchprojekten erforderlich sind. Dazu gehören insbesondere: • Projektdaten • Team- oder Gruppennamen • Rollen und Berechtigungen innerhalb eines Projekts • Inhalte, die durch Nutzer eingegeben werden • hochgeladene Fotos und Bilddateien • Texte, Kommentare und sonstige Projektinhalte • Informationen über Einladungen und Zusammenarbeit innerhalb eines Projekts Ein Fotobuchprojekt ist grundsätzlich nur für berechtigte und eingeladene Personen zugänglich. 6.1 Einladungslinks und Zugang zu Projekten Der Zugang zu einem Fotobuchprojekt erfolgt grundsätzlich nur für berechtigte Personen. Ein Beitritt kann entweder über eine individuelle Einladung oder über einen vom Manager erzeugten Einladungslink erfolgen. Solche Einladungslinks können vom Manager für Teilnehmende sowie für Helper erstellt und an die jeweils vorgesehenen Personen weitergegeben werden. Wer im Besitz eines gültigen Einladungslinks ist, kann dem jeweiligen Projekt im Rahmen der technischen und organisatorischen Projektgrenzen beitreten. Nutzerinnen und Nutzer, insbesondere Manager, sind daher dafür verantwortlich, Einladungslinks nur an Personen weiterzugeben, die zur Mitwirkung am jeweiligen Projekt berechtigt sind. Eine Weitergabe an unberechtigte Dritte ist unzulässig. 6.2 Rollen- und Berechtigungskonzept Je nach Rolle innerhalb eines Projekts bestehen unterschiedliche Zugriffs- und Bearbeitungsrechte: Manager (Projektverantwortlicher / Ersteller) Der Manager erstellt das Fotobuchprojekt und hat umfassende Verwaltungsrechte. Er kann: • sämtliche im Projekt eingegebenen Inhalte einsehen • alle hochgeladenen Bilder im gemeinsamen Bilderpool einsehen und verwenden • Inhalte bearbeiten, anpassen oder löschen • weitere Personen (Helper) zum Projekt hinzufügen • den Zahlungsprozess initiieren • das Fotobuch final freigeben und bestellen • die finale Druckvorschau einsehen Helper (Projektmitwirkende, max. 4 Personen) Helper unterstützen den Manager bei der Erstellung des Fotobuchs. Sie können: • sämtliche im Projekt eingegebenen Inhalte einsehen • auf den gesamten Bilderpool zugreifen und Bilder für Inhalte verwenden • Inhalte bearbeiten und anpassen • die Druckvorschau zur Prüfung einsehen Participants (Teilnehmende, max. 50 Personen pro Projekt) Participants sind die eingeladenen Mitglieder eines Fotobuchprojekts. Sie können: • ausschließlich ihre eigenen Inhalte und persönlichen Seiten einsehen und bearbeiten • nur die von ihnen selbst hochgeladenen Bilder einsehen und verwalten • ihre Inhalte und hochgeladenen Daten jederzeit löschen Zusätzlich können Participants im Rahmen der Projektübersicht aggregierte Informationen über den Fortschritt des Projekts einsehen (z. B. Gesamtfortschritt, Anzahl beantworteter Fragen oder allgemeine Aktivität im Zeitverlauf). Diese Informationen sind nicht einzelnen Personen zugeordnet. Zahlungsinformationen Informationen zum Zahlungsstatus einzelner Teilnehmender sind ausschließlich für den Manager und die Helper sichtbar. Interne Zugriffe Interne berechtigte Personen (z. B. technischer Support) greifen nur im Einzelfall und anlassbezogen auf Daten zu, sofern dies zur Fehlerbehebung oder Nutzerunterstützung erforderlich ist. Zur Erstellung der Druckdatei werden projektbezogene Inhalte in strukturierter Form (z. B. als Datenauszug) an interne oder beauftragte Designer übermittelt, soweit dies für die Gestaltung des Fotobuchs erforderlich ist. Administrative Einsicht Ein administrativer Zugriff auf Projektinhalte, einschließlich hochgeladener Bilder, erfolgt durch uns ausschließlich anlassbezogen und nur, soweit dies zur Bearbeitung von Supportanfragen, zur Fehleranalyse, zur technischen Störungsbeseitigung, zur Missbrauchsverhinderung oder zur Durchsetzung unserer Nutzungsbedingungen erforderlich ist. Solche Zugriffe erfolgen nur durch entsprechend autorisierte Personen und sind auf das erforderliche Maß beschränkt. 6.3 Transparenz der Zusammenarbeit innerhalb eines Projekts Die Plattform ist auf kollaborative Zusammenarbeit ausgelegt. Nutzerinnen und Nutzer müssen daher beachten, dass Inhalte innerhalb eines Projekts nicht ausschließlich privat verarbeitet werden. Insbesondere gilt: Manager und Helper können sämtliche im Projekt vorhandenen Inhalte einsehen, prüfen, bearbeiten, anpassen und löschen, soweit dies für die gemeinsame Erstellung und Verwaltung des Fotobuchs vorgesehen ist. Manager und Helper können auch von anderen Projektbeteiligten hochgeladene Fotos und Inhalte einsehen und im Rahmen des Projekts verwenden. Participants können ausschließlich ihre eigenen Inhalte und die von ihnen selbst hochgeladenen Bilder einsehen und verwalten, soweit nicht Funktionen des Projekts im Einzelfall eine weitergehende Anzeige aggregierter Informationen erfordern. Manager und Helper übernehmen innerhalb des Projekts zugleich organisatorische und moderierende Funktionen. Sie können daher Inhalte im Projekt prüfen, bearbeiten und entfernen, wenn dies für die Durchführung des Projekts, die Qualitätssicherung oder die Einhaltung der Projektregeln erforderlich ist. 6.4 Weitergabe an Druckdienstleister Zur Herstellung des Fotobuchs wird ausschließlich der finalen Druckdatei sowie die für den Versand erforderliche Adresse an den jeweiligen Druckdienstleister übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
8. Verarbeitung von Fotos und anderen Inhalten
Im Rahmen der Plattform können Nutzerinnen und Nutzer Fotos und sonstige Inhalte hochladen, bearbeiten, organisieren und für Druckprojekte zusammenstellen. Dabei kann es sich um personenbezogene Daten handeln, insbesondere wenn Personen auf Fotos erkennbar sind oder Namen, Mannschaftszugehörigkeiten oder andere personenbezogene Angaben enthalten sind. Die Verarbeitung erfolgt zum Zweck der Erstellung, Bearbeitung, Speicherung, Zusammenarbeit innerhalb des Projekts und der späteren Produktion von Fotobüchern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vereinbarten Plattformfunktionen und zur Durchführung des Nutzungsverhältnisses erforderlich ist. Soweit Nutzerinnen und Nutzer Inhalte hochladen, die personenbezogene Daten Dritter enthalten, insbesondere Fotos anderer Personen oder Minderjähriger, sind ausschließlich die hochladenden oder bereitstellenden Nutzerinnen und Nutzer dafür verantwortlich, dass hierfür eine wirksame datenschutzrechtliche Grundlage sowie alle sonst erforderlichen Rechte, Einwilligungen und Befugnisse vorliegen. Wir machen uns von Nutzerinnen und Nutzern hochgeladene Inhalte grundsätzlich nicht zu eigen und prüfen diese nicht routinemäßig vorab. Wenn wir konkrete Hinweise auf eine unberechtigte oder rechtswidrige Verarbeitung erhalten, können wir betroffene Inhalte prüfen, sperren oder entfernen. Vor dem Hochladen bestätigen Nutzerinnen und Nutzer, dass sie über alle erforderlichen Rechte und Einwilligungen verfügen. 8.1 KI-gestützte Textprüfung Damit im gedruckten Buch möglichst keine Tipp- und Rechtschreibfehler stehen und keine unpassenden Inhalte veröffentlicht werden, lassen wir neu eingegebene oder geänderte Freitext-Antworten automatisiert vorprüfen. Dafür nutzen wir das Sprachmodell Claude der Anthropic PBC (USA) über den Dienst Amazon Bedrock der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Die Verarbeitung findet in Rechenzentren in der Europäischen Union statt. Übermittelt werden die Freitext-Antworten einer Buchseite und die zugehörigen Fragen, außerdem einzelne frühere, von unserem Team korrigierte Beispieltexte, damit die Vorschläge besser werden. Namen, Kontaktdaten oder Fotos der Nutzerinnen und Nutzer werden nicht übermittelt. Personenbezogene Angaben können jedoch enthalten sein, wenn sie in einer Antwort selbst stehen – auch Angaben über Minderjährige. Das Modell schlägt lediglich Korrekturen vor oder markiert einzelne Antworten. Ob ein Vorschlag übernommen wird, entscheidet immer ein Mensch aus unserem Team; eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die übermittelten Texte und die Ergebnisse werden nach den Vertragsbedingungen von Amazon Web Services und Anthropic nicht zum Training von KI-Modellen verwendet. Die Vorschläge und unsere Entscheidungen speichern wir in unserer Datenbank bei Amazon Web Services in Frankfurt, solange dies für die Bearbeitung des jeweiligen Projekts erforderlich ist; im Übrigen gilt Ziffer 19. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Prüfung der Erstellung eines fehlerfreien Druckprodukts dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Qualität der gedruckten Bücher und darin, unangemessene Inhalte vor dem Druck zu erkennen. Mit Amazon Web Services besteht ein Vertrag zur Auftragsverarbeitung. Für die Nutzung des Modells gelten zusätzlich die Bedingungen von Anthropic einschließlich deren Auftragsverarbeitungsvereinbarung (Data Processing Addendum). Soweit ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, erfolgt dieser nur unter den Voraussetzungen von Ziffer 18, insbesondere auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). 8.2 KI-gestützte Bildoptimierung Damit Fotos im gedruckten Buch gut aussehen, können wir einzelne Porträt- und Posenfotos mit Hilfe künstlicher Intelligenz für den Druck aufbereiten – zum Beispiel Belichtung und Schärfe verbessern, einen abgeschnittenen Bildrand oder Körperbereich ergänzen oder das Trikot bzw. die Trainingsjacke des Teams einsetzen. Dafür nutzen wir den Dienst Vertex AI der Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland. Die Verarbeitung findet in einem Rechenzentrum in der Europäischen Union (Niederlande) statt. Wir tun dies nur, wenn die abgebildete Person eingewilligt hat. Bei Kindern unter 15 Jahren holen wir die Einwilligung eines Elternteils ein. Die Einwilligung wird in der App erteilt oder – wenn sie uns auf anderem Weg, etwa per E-Mail, erreicht – von unserem Team mit Datum und Kanal dokumentiert. Sie kann jederzeit mit Wirkung für die Zukunft in der App oder per Nachricht an uns widerrufen werden; bereits bearbeitete Fotos setzen wir auf Wunsch auf das Original zurück. Übermittelt wird jeweils nur das betreffende Foto ohne eingebettete Metadaten (wie Aufnahmeort oder Gerät), gegebenenfalls ein Referenzbild des Trikots oder der Trainingsjacke, aus dem wir den Kopf einer abgebildeten Person vorher entfernen, das Vereinswappen sowie eine Arbeitsanweisung ohne Namen. Namen, Kontaktdaten oder andere Kontodaten werden nicht übermittelt. Die Bearbeitung löst ausschließlich ein Mensch aus unserem Team aus, Foto für Foto. Jedes Ergebnis wird vor der Verwendung von einem Menschen geprüft; das Originalfoto bleibt gespeichert und kann wiederhergestellt werden. Bearbeitete Fotos kennzeichnen wir in der App als „Für den Druck optimiert“. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Google verarbeitet die Daten in unserem Auftrag (Cloud Data Processing Addendum), speichert die übermittelten Fotos und Ergebnisse nicht über die Bearbeitung hinaus (Zero Data Retention) und verwendet sie nicht zum Training von KI-Modellen. Die Ergebnisse speichern wir bei Amazon Web Services in Frankfurt, solange dies für das jeweilige Projekt erforderlich ist; im Übrigen gilt Ziffer 19. Soweit ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, erfolgt dieser nur unter den Voraussetzungen von Ziffer 18, insbesondere auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
9. Verarbeitung besonderer Bildinhalte (Hinweis)
Nutzerinnen und Nutzer können theoretisch Bilder hochladen, die besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten oder entsprechende Rückschlüsse zulassen, etwa auf die ethnische Herkunft, die religiöse Überzeugung, Gesundheitsdaten oder biometrische Merkmale. Eine Verarbeitung solcher Inhalte ist von uns nicht gesondert beabsichtigt oder darauf ausgerichtet. Soweit Nutzerinnen und Nutzer entsprechende Inhalte dennoch hochladen oder zur Bearbeitung bereitstellen, erfolgt dies ausschließlich auf deren eigene Veranlassung und in deren Verantwortungsbereich hinsichtlich der inhaltlichen Berechtigung. Nutzerinnen und Nutzer dürfen solche Inhalte nur hochladen oder zur Verarbeitung bereitstellen, wenn hierfür eine wirksame gesetzliche Grundlage, insbesondere eine erforderliche ausdrückliche Einwilligung der betroffenen Person, vorliegt. Wenn wir konkrete Hinweise darauf erhalten, dass entsprechende Inhalte unberechtigt verarbeitet werden, können wir diese Inhalte prüfen, sperren oder entfernen.
10. Einladungen und Zusammenarbeit innerhalb von Projekten
Nutzer können andere Personen zu Projekten einladen, um gemeinsam an Fotobüchern zu arbeiten. Dabei verarbeiten wir insbesondere: • E-Mail-Adresse der eingeladenen Person • Name, soweit angegeben • Zuordnung zum Projekt • Rollen- und Berechtigungsinformationen • Zeitpunkte von Einladung, Annahme oder Ablehnung Die Verarbeitung erfolgt zur Durchführung der kollaborativen Projektfunktion. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse liegt in der Ermöglichung gemeinschaftlicher Projektarbeit innerhalb der Plattform.
11. Bestellungen und Druckabwicklung
Wenn über unsere Plattform ein Fotobuch bestellt wird, verarbeiten wir die zur Bestellung und Abwicklung erforderlichen personenbezogenen Daten. Hierzu gehören insbesondere: • Bestelldaten • Rechnungsdaten • Lieferadresse • Name des Bestellers bzw. der Bestellerin • Druckdaten / Druckvorlagen • Bestellhistorie • Kommunikationsdaten im Zusammenhang mit der Bestellung Zur Herstellung und Auslieferung der Fotobücher übermitteln wir erforderliche Daten an unseren Produktions- und Druckdienstleister: WIRmachenDRUCK GmbH Illerstraße 15 71522 Backnang Deutschland Die Übermittlung umfasst insbesondere: • Druckdateien / Druckvorlagen • Liefername • Lieferanschrift • ggf. weitere zur Auftragsabwicklung erforderliche Informationen Die Verarbeitung erfolgt ausschließlich zur Erfüllung des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Der Produktions- und Druckdienstleister verarbeitet die übermittelten personenbezogenen Daten ausschließlich insoweit, wie dies zur Herstellung, Konfektionierung und Auslieferung des bestellten Fotobuchs erforderlich ist. Soweit der Produktions- und Druckdienstleister personenbezogene Daten in unserem Auftrag und nach unserer Weisung verarbeitet, erfolgt dies auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Soweit der Produktions- und Druckdienstleister personenbezogene Daten zur Erfüllung eigener rechtlicher Verpflichtungen oder im Rahmen eigenverantwortlich bestimmter betrieblicher Abläufe verarbeitet, erfolgt diese Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit.
12. Zahlungsabwicklung
Für die Zahlungsabwicklung nutzen wir externe Zahlungsdienstleister, insbesondere Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Wenn Sie im Rahmen einer Bestellung eine entsprechende Zahlungsart auswählen, übermitteln wir die zur Zahlungsabwicklung erforderlichen Daten an den jeweils ausgewählten Zahlungsdienstleister. Dies können insbesondere Name, Rechnungsdaten, Zahlungsbetrag, Bestellreferenz, E-Mail-Adresse, Zahlungsstatus sowie gegebenenfalls weitere zur Durchführung der Zahlung erforderliche Informationen sein. Die Zahlungsdienstleister verarbeiten diese Daten eigenständig zur Durchführung der Zahlung. Hierbei können die Zahlungsdienstleister auch Bonitätsprüfungen durchführen oder Daten zur Betrugsprävention verarbeiten. Insoweit handeln die Zahlungsdienstleister regelmäßig als eigenständige Verantwortliche im Sinne der DSGVO. Wir selbst verarbeiten nur die Daten, die zur Veranlassung, Zuordnung, Prüfung und Dokumentation der Zahlung erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
13. E-Mail-Kommunikation und Benachrichtigungen
Wir nutzen Amazon SES für den Versand von transaktionsbezogenen E-Mails, z. B.: • Registrierungs-E-Mails • Einladungen zu Projekten • sicherheitsrelevante Mitteilungen • Informationen zum Bestellstatus • sonstige für die Nutzung der Plattform erforderliche Benachrichtigungen Dabei verarbeiten wir insbesondere: • E-Mail-Adresse • Name, soweit vorhanden • technische Versandinformationen • Inhalts- und Zustellinformationen Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Dienstleister: Amazon Web Services / Amazon SES
14. WhatsApp-Nummer für Erinnerungen (freiwillig)
In der HeroBooks-Anwendung können Sie freiwillig eine Telefonnummer (WhatsApp) zu Ihrem Nutzerkonto hinterlegen. Sie dient dazu, Ihnen Ihren persönlichen Bearbeitungslink zu einem Teambuch zuzusenden und Sie daran zu erinnern, wenn in einem Ihrer Teambücher noch etwas offen ist. Verarbeitete Daten: • Telefonnummer in international einheitlicher Schreibweise (E.164) • Zeitpunkt der Einwilligung • Angabe, an welcher Stelle die Nummer erhoben wurde (Beitritt zu einem Teambuch, Anlegen eines Teambuchs oder Profil) Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) Freiwilligkeit Die Angabe ist freiwillig und keine Voraussetzung für die Registrierung, den Beitritt zu einem Teambuch oder die Nutzung der Plattform. Die Abfrage kann übersprungen werden; wird sie übersprungen, speichern wir hierzu nichts. Zweckbindung Die Einwilligung gilt für Ihr Nutzerkonto und damit für alle Teambücher, an denen Sie mitwirken, weil der Zweck in jedem Teambuch derselbe ist. Wir verwenden die Nummer ausschließlich für Benachrichtigungen zum Stand Ihrer Teambücher. Eine Nutzung für Werbung, Rabattaktionen oder Newsletter findet nicht statt; hierfür wäre eine gesonderte Einwilligung erforderlich. Empfänger Die Nummer wird ausschließlich in unserer eigenen Infrastruktur gespeichert. Sie kann den organisierenden Personen derjenigen Teambücher zugänglich gemacht werden, an denen Sie mitwirken, damit diese Ihnen Ihren persönlichen Link zusenden können. Keine Übermittlung Ihrer Nummer an Meta Wir setzen keine WhatsApp Business Platform und keine automatisierte Schnittstelle zu Meta ein und übermitteln Ihre Nummer nicht an Meta. Nachrichten werden von einer Person manuell über deren eigenen WhatsApp-Zugang versendet. Für die Verarbeitung durch WhatsApp Ireland Ltd. bei der Zustellung einer solchen Nachricht ist die absendende Person verantwortlich; es gelten insoweit die Datenschutzbestimmungen von WhatsApp. Widerruf Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Nummer lässt sich in der Anwendung im Profil-Dialog einsehen, ändern und entfernen. Der Widerruf erfolgt durch das Entfernen der Nummer; wir bewahren keinen Widerrufsstatus auf. Speicherdauer Wir speichern die Nummer, bis Sie sie entfernen oder Ihr Nutzerkonto löschen. Mit der Löschung des Kontos wird auch die Nummer gelöscht.
15. Newsletter, Updates und Rabattaktionen
Soweit Sie uns hierfür eine gesonderte Einwilligung erteilen, verwenden wir Ihre E-Mail-Adresse, um Ihnen Informationen über Produktneuigkeiten, Updates, Aktionen oder Rabattangebote zuzusenden. Die Anmeldung zu solchen werblichen E-Mails erfolgt freiwillig und ist nicht Voraussetzung für die Nutzung unserer Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in der jeweiligen E-Mail oder durch Nachricht an uns. Unsere Kontakt-E-Mail befindet sich am Anfang dieses Dokuments.
16. Kontaktaufnahme
Hinweis auf Meldung unberechtigter Inhalte Wenn Sie der Ansicht sind, dass über unsere Plattform Inhalte oder Bilder ohne Berechtigung verarbeitet werden, können Sie uns jederzeit unter den in dieser Datenschutzerklärung genannten Kontaktdaten informieren. Wir werden den Vorgang prüfen und gegebenenfalls angemessene Maßnahmen ergreifen. Wenn Sie mit uns Kontakt aufnehmen, z. B. per E-Mail oder über ein Kontaktformular, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage. Dies betrifft insbesondere: • Name • E-Mail-Adresse • Inhalt der Nachricht • sonstige freiwillig mitgeteilte Informationen Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag oder die Nutzung unserer Dienste gerichtet ist Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anfragen Unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung eingehender Anfragen. Kontakt per WhatsApp In unserer Anwendung bieten wir an, uns über WhatsApp zu kontaktieren. Ein Klick auf die entsprechende Schaltfläche öffnet lediglich WhatsApp auf Ihrem Gerät mit unserer Support-Nummer; für diese Funktion wird kein Skript von WhatsApp oder Meta eingebunden. Wenn Sie uns auf diesem Weg schreiben, verarbeiten wir Ihre Telefonnummer, Ihren WhatsApp-Profilnamen und den Inhalt Ihrer Nachricht zur Bearbeitung Ihrer Anfrage. Der Messenger wird von WhatsApp Ireland Ltd., Merrion Road, Dublin 4, Irland, einem Unternehmen der Meta-Gruppe, betrieben; eine Übermittlung von Daten in die USA durch WhatsApp kann dabei nicht ausgeschlossen werden. Es gelten insoweit die Datenschutzbestimmungen von WhatsApp. Die Nutzung ist freiwillig; Sie erreichen uns jederzeit auch per E-Mail. Kontaktformulare auf dieser Website Nachrichten aus den Kontaktformularen dieser Website (Kontaktseite und Anfrage für Vereine) werden über den E-Mail-Dienst Resend an uns zugestellt. Dienstleister: Resend, Inc., USA Resend verarbeitet die Angaben aus dem Formular in unserem Auftrag ausschließlich, um sie uns zuzustellen. Soweit dabei personenbezogene Daten in die USA übermittelt werden, stützen wir uns auf die Angemessenheitsentscheidung der Europäischen Kommission zum EU-U.S. Data Privacy Framework, soweit der Anbieter hierfür zertifiziert ist, und ergänzend auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.
17. Empfänger personenbezogener Daten
Personenbezogene Daten werden von uns nur dann an Dritte weitergegeben, wenn dies rechtlich zulässig ist und für die jeweiligen Zwecke erforderlich ist. Empfänger können insbesondere sein: • Hosting- und Infrastruktur-Dienstleister • Content-Delivery- und Video-Streaming-Dienstleister • Anbieter für Nutzerverwaltung und Authentifizierung • Zahlungsdienstleister • E-Mail-Versanddienstleister • Anbieter für KI-gestützte Textprüfung (Amazon Web Services; Sprachmodell von Anthropic, siehe Ziffer 8.1) • Druckerei / Produktionsdienstleister • Meta Platforms Ireland Ltd. als gemeinsam Verantwortlicher, nur mit Ihrer Einwilligung (Abschnitt 2) • interne berechtigte Personen bei uns, soweit dies für Betrieb, Support, Gestaltung, Qualitätssicherung oder Auftragsabwicklung erforderlich ist • projektbezogene Mitwirkende innerhalb der von Ihnen genutzten Projektumgebung entsprechend dem jeweiligen Rollen- und Berechtigungskonzept
18. Datenübermittlung in Drittländer
Wir prüfen die von uns eingesetzten Dienstleister und die rechtlichen Voraussetzungen etwaiger Drittlandübermittlungen regelmäßig. Soweit erforderlich, treffen wir zusätzliche vertragliche, technische und organisatorische Schutzmaßnahmen, um ein angemessenes Datenschutzniveau sicherzustellen. Es ist möglich, dass wir Dienstleister einsetzen, die personenbezogene Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten oder auf diese zugreifen können. Soweit dabei Daten in Drittländer übermittelt werden, erfolgt dies nur unter Beachtung der gesetzlichen Voraussetzungen, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, etwa Standardvertragsklauseln. 18.1 Vercel Bei der Nutzung von Vercel kann eine Übermittlung personenbezogener Daten in Drittländer nicht vollständig ausgeschlossen werden. Zwar sind die von uns eingesetzten Vercel Functions auf die Region fra1 (Frankfurt am Main, Deutschland) konfiguriert. Vercel betreibt jedoch eine weltweit verteilte CDN- und Edge-Infrastruktur. Zudem kann es insbesondere im Rahmen von Support, Unterauftragsverarbeitung, Sicherheitsmechanismen oder technischer Ausfallsicherung dazu kommen, dass personenbezogene Daten auch außerhalb der EU bzw. des EWR verarbeitet oder von dort aus zugänglich gemacht werden. Soweit personenbezogene Daten in die USA übermittelt werden, stützen wir uns auf die Angemessenheitsentscheidung der Europäischen Kommission zum EU-U.S. Data Privacy Framework, soweit der Anbieter hierfür zertifiziert ist. Ergänzend bzw. soweit erforderlich erfolgen Übermittlungen auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im Data Processing Addendum von Vercel vorgesehen sind. 18.2 Amazon Web Services (AWS) Amazon Web Services ist Teil der Amazon-Gruppe mit Hauptsitz in den USA. Es kann daher nicht vollständig ausgeschlossen werden, dass im Rahmen von Supportleistungen, Wartung oder konzerninternen Verwaltungszugriffen personenbezogene Daten auch aus Drittländern (insbesondere den USA) eingesehen werden können. Schutzmaßnahmen für den Drittlandtransfer: Soweit ein Zugriff aus Drittländern erfolgt, wird dieser auf Grundlage der gesetzlichen Anforderungen abgesichert: EU-US Data Privacy Framework (DPF): Amazon Web Services, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Für Datenübermittlungen in die USA stützen wir uns daher auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO (Durchführungsbeschluss (EU) 2023/1795), soweit anwendbar. Standardvertragsklauseln (SCCs): Ergänzend gelten die von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im AWS Data Processing Addendum enthalten sind. Diese dienen als zusätzliche Absicherung bzw. Fallback-Mechanismus. Ergänzende technische und organisatorische Maßnahmen: • Verschlüsselung von Daten während der Übertragung (TLS) und im Ruhezustand • Strenge Zugriffsbeschränkungen nach dem Need-to-know-Prinzip • Protokollierung und Monitoring von Zugriffen (z. B. über CloudWatch) • Zertifizierungen und Audits (u. a. ISO 27001, SOC 1/2/3) 18.3 Clerk Da Clerk, Inc. seinen Sitz in den USA hat, kann nicht ausgeschlossen werden, dass personenbezogene Daten auch in den USA verarbeitet oder von dort aus abgerufen werden, insbesondere im Rahmen von Supportleistungen, Wartung oder technischen Betriebsprozessen. Schutzmaßnahmen für den Drittlandtransfer: Soweit personenbezogene Daten in die USA übermittelt werden, erfolgt dies unter Beachtung der gesetzlichen Vorgaben der DSGVO: EU-US Data Privacy Framework (DPF): Clerk, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung personenbezogener Daten in die USA stützen wir daher auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO (Durchführungsbeschluss (EU) 2023/1795), soweit anwendbar. Standardvertragsklauseln (SCCs): Ergänzend gelten die von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im Data Processing Agreement (DPA) von Clerk vorgesehen sind. Diese dienen als zusätzliche Absicherung bzw. Fallback-Mechanismus. Ergänzende technische und organisatorische Maßnahmen: • Verschlüsselung der Datenübertragung (TLS) • Sichere Speicherung sensibler Daten (z. B. Passwort-Hashing) • Zugriffsbeschränkungen und Authentifizierungsmechanismen • Protokollierung sicherheitsrelevanter Ereignisse 18.4 Stripe Es kann nicht ausgeschlossen werden, dass im Rahmen der Zahlungsabwicklung personenbezogene Daten auch in Drittländer, insbesondere in die USA, übermittelt werden. Stripe Payments Europe, Limited ist Teil der Stripe-Gruppe mit Sitz in den USA. Eine Übermittlung personenbezogener Daten an die Muttergesellschaft kann nicht ausgeschlossen werden. Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich werden Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO eingesetzt. Weitere Informationen finden Sie in den Datenschutzerklärungen der jeweiligen Anbieter: https://stripe.com/privacy 18.5 Meta Soweit Sie in den Einsatz des Meta-Pixels eingewilligt haben (Abschnitt 2), können Daten an Meta Platforms, Inc., USA, übermittelt werden. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; wir stützen die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO, ergänzend auf die Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO in den Bedingungen von Meta.
19. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gilt: Kontodaten speichern wir für die Dauer des Bestehens des Nutzerkontos. Nutzerkonten können jederzeit gelöscht werden, sofern keine aktive Managerrolle in einem Fotobuchprojekt besteht. Erfolgt keine Nutzung, werden Konten nach 24 Monaten Inaktivität automatisch gelöscht. Mit der Löschung des Kontos werden alle zugehörigen personenbezogenen Daten entfernt; eine Zuordnung zu Fotobuchprojekten entfällt. Projekt- und Inhaltsdaten (einschließlich Fotos) speichern wir für die Dauer des jeweiligen Projekts. Fotobuchprojekte werden nach 12 Monaten Inaktivität innerhalb des Fotobuchs gelöscht. Dies gilt auch für Projekte, die nicht abgeschlossen oder nicht bestellt wurden. Nach Abschluss eines Projekts werden die Daten sowie die Druckdatei für einen Zeitraum von 12 Monaten gespeichert, um insbesondere Nachbestellungen oder Supportanfragen zu ermöglichen. Hochgeladene Fotos und Inhalte werden grundsätzlich mit dem Projekt gelöscht und können jederzeit durch die Nutzer innerhalb des Projekts eigenständig entfernt werden. Daten nach Verlassen eines Projekts oder Löschung eines Kontos Verlassen Nutzer ein Projekt oder löschen ihr Konto, bleiben die innerhalb des Projekts bereitgestellten Inhalte grundsätzlich bestehen, sofern sie für die Durchführung und den Zweck des Fotobuchprojekts weiterhin erforderlich sind. Nutzer werden vor Verlassen eines Projekts darauf hingewiesen, dass sie ihre Inhalte eigenständig löschen können. Bestell- und abrechnungsbezogene Daten speichern wir im Rahmen der gesetzlichen Aufbewahrungspflichten für einen Zeitraum von bis zu 10 Jahren (§ 147 AO, § 257 HGB). Kommunikationsdaten (z. B. Supportanfragen oder Feedback) speichern wir für einen Zeitraum von bis zu 24 Monaten, soweit dies zur Bearbeitung und Dokumentation erforderlich ist. Soweit im Rahmen einer Supportanfrage oder technischen Störungsbearbeitung ein anlassbezogener Zugriff auf Projektinhalte oder Bilder erforderlich ist, verarbeiten wir diese Daten nur für die Dauer, die zur Bearbeitung des konkreten Vorgangs erforderlich ist. Backups und Protokolldaten Zur Sicherstellung des technischen Betriebs und der Datensicherheit werden Sicherungskopien und Systemprotokolle verarbeitet. Datenbank-Backups werden für einen Zeitraum von bis zu 30 Tagen vorgehalten und anschließend automatisch überschrieben oder gelöscht. Protokolldaten (z. B. Server-Logs) werden in der Regel für maximal 14 Tage gespeichert.
20. Ihre Rechte
Betroffene Personen haben nach Maßgabe der gesetzlichen Vorschriften insbesondere folgende Rechte: • Recht auf Auskunft über die verarbeiteten personenbezogenen Daten • Recht auf Berichtigung unrichtiger Daten • Recht auf Löschung • Recht auf Einschränkung der Verarbeitung • Recht auf Datenübertragbarkeit • Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen • Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft • Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit Anschrift: Alt-Moabit 59-61 10555 Berlin Telefon: +49 30 13889-0 E-Mail: Website: https://www.datenschutz-berlin.de/
21. Pflicht zur Bereitstellung von Daten
Die Bereitstellung bestimmter personenbezogener Daten ist für die Registrierung, Nutzung der Plattform, die Zusammenarbeit in Projekten oder die Bestellung von Fotobüchern erforderlich. Ohne diese Daten können einzelne Funktionen möglicherweise nicht oder nicht vollständig bereitgestellt werden.
22. Keine gesetzliche oder ausschließlich automatisierte Entscheidungsfindung
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt, sofern in dieser Datenschutzerklärung nicht ausdrücklich anders beschrieben.
23. Stand und Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund rechtlicher, technischer oder organisatorischer Änderungen erforderlich ist. Es gilt die jeweils auf unserer Website veröffentlichte Fassung. Stand: 13.10.2026