Datenschutzerklärung herobooks.de

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: FriendBooks GbR Vertreten durch: Marco Hasselmann und Michael Kofler-Hofer Lindenstr. 33a 12555 Berlin Deutschland E-Mail: info@herobooks.de USt-IdNr.: DE460620086

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Plattform, ihrer Funktionen sowie zur Durchführung unserer Leistungen erforderlich ist oder eine sonstige gesetzliche Grundlage dies erlaubt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, z. B. Name, E-Mail-Adresse, Anschrift, Zahlungsdaten oder hochgeladene Fotos. Unsere Plattform ermöglicht die kollaborative Erstellung von Fotobüchern, insbesondere für Sportteams und vergleichbare Gruppen.

Unsere Plattform richtet sich ausschließlich an volljährige Nutzerinnen und Nutzer, insbesondere an Teamverantwortliche, Eltern, Betreuer, Trainerinnen und Trainer oder sonstige organisatorisch verantwortliche Personen. Eine unmittelbare Nutzung der Plattform durch Minderjährige ist von uns nicht vorgesehen. Soweit im Rahmen eines Fotobuchprojekts personenbezogene Daten von Minderjährigen verarbeitet werden, erfolgt dies ausschließlich über die jeweils verantwortlichen volljährigen Nutzerinnen und Nutzer, die Inhalte hochladen, eingeben oder für ein Projekt bereitstellen. Wer Inhalte über unsere Plattform hochlädt, eingibt, freigibt oder anderweitig bereitstellt, ist dafür verantwortlich, dass hierfür die erforderlichen Rechte, Einwilligungen und sonstigen rechtlichen Befugnisse vorliegen. Dies gilt in besonderem Maße für Fotos und sonstige Angaben über Minderjährige. Wir prüfen die Berechtigung zum Hochladen einzelner Inhalte grundsätzlich nicht im Vorfeld. Wenn wir konkrete Hinweise darauf erhalten, dass Inhalte unberechtigt verarbeitet werden, können wir diese Inhalte prüfen, sperren oder entfernen. Vor dem Hochladen von Inhalten bestätigen Nutzerinnen und Nutzer ausdrücklich, dass sie zur Nutzung und Bereitstellung der hochgeladenen Inhalte berechtigt sind.

Unsere Website und das Frontend werden über Vercel Inc. (USA) bereitgestellt. Vercel übernimmt das Hosting und die technische Auslieferung der Webanwendung. Backend, Datenbank und Dateispeicherung werden über Amazon Web Services (AWS) in der Region eu-central-1 (Frankfurt) betrieben. Dabei können technisch erforderliche Daten verarbeitet werden, insbesondere: • IP-Adresse • Datum und Uhrzeit des Zugriffs • Browsertyp und Browserversion • Betriebssystem • Referrer-URL • aufgerufene Seiten und Dateien • sonstige technische Verbindungsdaten Die Verarbeitung erfolgt zur Bereitstellung, Stabilität und Sicherheit der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse liegt in der sicheren und funktionsfähigen Bereitstellung unseres Online-Angebots. 4.1 Dienstleister: 4.1.1 Vercel Unsere Websites und das Frontend unserer Plattform werden über Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, bereitgestellt. Wir nutzen Vercel insbesondere für Frontend-Hosting, serverseitiges Rendering und Middleware-Funktionen zur technischen Bereitstellung unserer Website und Plattform. Eine gesonderte Optimierung oder CDN-basierte Zwischenspeicherung von durch Nutzer hochgeladenen Bildinhalten über Vercel findet nach unserem aktuellen technischen Setup nicht statt. Dabei können insbesondere technische Verbindungsdaten verarbeitet werden, etwa IP-Adresse, Datum und Uhrzeit des Abrufs, Browser- und Geräteinformationen, aufgerufene Seiten und Dateien sowie weitere technisch erforderliche Protokolldaten. Im Bereich der geschützten Nutzeroberfläche können über Vercel zudem Sitzungs- und Authentifizierungsinformationen verarbeitet werden, soweit dies für die Auslieferung der Anwendung, Zugriffskontrolle, Sprachsteuerung und Kontofunktionen erforderlich ist. Nicht über Vercel abgewickelt werden hingegen die direkte Backend-Kommunikation mit api.herobooks.de, Datei-Uploads in den S3-Speicher, die eigentlichen Authentifizierungsabläufe über Clerk sowie Zahlungsabläufe über Stripe, soweit diese jeweils unmittelbar zwischen Browser und dem jeweiligen Dienst erfolgen. Die Verarbeitung erfolgt zur sicheren und funktionsfähigen Bereitstellung unserer Website und Plattform sowie – soweit Nutzerkonten und geschützte Bereiche betroffen sind – zur Durchführung des Nutzungsverhältnisses. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie, soweit für die Nutzung unseres Dienstes erforderlich, Art. 6 Abs. 1 lit. b DSGVO. Es werden keine Vercel Analytics und keine Vercel Speed Insights eingesetzt. Weitere Informationen zu etwaigen Datenübermittlungen in Drittländer finden Sie in Kapitel 18. 4.1.2 Amazon Web Service Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon Web Services, Inc., USA) Genutzte Services: EC2 (Anwendungsserver), RDS (Datenbank), S3 (Datei- speicherung), ELB (Lastverteilung), WAF (Web Application Firewall), CloudWatch (Protokollierung) Serverstandort: eu-central-1 (Frankfurt, Deutschland) Datenschutzerklärung: https://aws.amazon.com/privacy/ Unsere Infrastruktur wird über Amazon Web Services EMEA SARL mit Sitz in Luxemburg betrieben. Die von uns genutzten Services (u. a. EC2, RDS, S3, ELB, WAF, CloudWatch) sind in der Region eu-central-1 (Frankfurt am Main, Deutschland) konfiguriert. Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union. AWS stellt sicher, dass Daten, die aktiv von uns verarbeitet und gespeichert werden („data at rest“), in der gewählten Region verbleiben.

Die Nutzerverwaltung und Authentifizierung erfolgt über den Dienst Clerk. Dienstleister: Clerk, Inc., 660 King Street, Unit 345, San Francisco, CA 94107, USA EU-Vertreter: VeraSafe Ireland Ltd., Unit 3D North Point House, North Point Business Park, New Mallow Road, Cork T23AT2P, Irland Clerk verarbeitet als Auftragsverarbeiter in unserem Auftrag: • Vorname, Nachname, E-Mail-Adresse • Passwort (nur als kryptographischer Hash) • Sprachpräferenz • IP-Adresse und ungefährer Standort • Geräte- und Browserinformationen • Anmeldezeitpunkte, Session-Daten • Essentielle Cookies (__session, __client_uat) für die Sitzungsverwaltung Clerk ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzerklärung: https://clerk.com/legal/privacy. DSGVO-Ergänzung: https://clerk.com/legal/gdpr. Auftragsverarbeitungsvertrag (DPA): https://clerk.dev/data-processing-agreement Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Die Verarbeitung ist zur Durchführung vorvertraglicher Maßnahmen bzw. zur Erfüllung des Nutzungsvertrags erforderlich. 5.1 Social Login Sie können sich auch über externe Anmeldeanbieter registrieren und anmelden. Bei Nutzung eines Social Logins erhalten wir über unseren Authentifizierungsdienst Clerk die zur Kontoerstellung erforderlichen Informationen vom jeweiligen Anbieter. 5.1.1 Google Bei Anmeldung über Google werden folgende Daten übermittelt: • Name (Vor- und Nachname) • E-Mail-Adresse • Profilbild-URL • Sprachpräferenz Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland Datenschutzerklärung: https://policies.google.com/privacy 5.1.2 Apple ("Sign in with Apple") Bei Anmeldung über Apple werden folgende Daten übermittelt: • Name (Vor- und Nachname, vom Nutzer vor Freigabe editierbar) • E-Mail-Adresse oder private Relay-Adresse (Apple bietet die Option "E-Mail verbergen", wobei eine eindeutige Weiterleitungsadresse @privaterelay.appleid.com erstellt wird) • Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland Datenschutzerklärung: https://www.apple.com/legal/privacy/ Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

Im Rahmen der Nutzung unserer Plattform verarbeiten wir personenbezogene Daten, die zur Erstellung und Verwaltung von Fotobuchprojekten erforderlich sind. Dazu gehören insbesondere: • Projektdaten • Team- oder Gruppennamen • Rollen und Berechtigungen innerhalb eines Projekts • Inhalte, die durch Nutzer eingegeben werden • hochgeladene Fotos und Bilddateien • Texte, Kommentare und sonstige Projektinhalte • Informationen über Einladungen und Zusammenarbeit innerhalb eines Projekts Ein Fotobuchprojekt ist grundsätzlich nur für berechtigte und eingeladene Personen zugänglich. 6.1 Einladungslinks und Zugang zu Projekten Der Zugang zu einem Fotobuchprojekt erfolgt grundsätzlich nur für berechtigte Personen. Ein Beitritt kann entweder über eine individuelle Einladung oder über einen vom Manager erzeugten Einladungslink erfolgen. Solche Einladungslinks können vom Manager für Teilnehmende sowie für Helper erstellt und an die jeweils vorgesehenen Personen weitergegeben werden. Wer im Besitz eines gültigen Einladungslinks ist, kann dem jeweiligen Projekt im Rahmen der technischen und organisatorischen Projektgrenzen beitreten. Nutzerinnen und Nutzer, insbesondere Manager, sind daher dafür verantwortlich, Einladungslinks nur an Personen weiterzugeben, die zur Mitwirkung am jeweiligen Projekt berechtigt sind. Eine Weitergabe an unberechtigte Dritte ist unzulässig. 6.2 Rollen- und Berechtigungskonzept Je nach Rolle innerhalb eines Projekts bestehen unterschiedliche Zugriffs- und Bearbeitungsrechte: Manager (Projektverantwortlicher / Ersteller) Der Manager erstellt das Fotobuchprojekt und hat umfassende Verwaltungsrechte. Er kann: • sämtliche im Projekt eingegebenen Inhalte einsehen • alle hochgeladenen Bilder im gemeinsamen Bilderpool einsehen und verwenden • Inhalte bearbeiten, anpassen oder löschen • weitere Personen (Helper) zum Projekt hinzufügen • den Zahlungsprozess initiieren • das Fotobuch final freigeben und bestellen • die finale Druckvorschau einsehen Helper (Projektmitwirkende, max. 4 Personen) Helper unterstützen den Manager bei der Erstellung des Fotobuchs. Sie können: • sämtliche im Projekt eingegebenen Inhalte einsehen • auf den gesamten Bilderpool zugreifen und Bilder für Inhalte verwenden • Inhalte bearbeiten und anpassen • die Druckvorschau zur Prüfung einsehen Participants (Teilnehmende, max. 50 Personen pro Projekt) Participants sind die eingeladenen Mitglieder eines Fotobuchprojekts. Sie können: • ausschließlich ihre eigenen Inhalte und persönlichen Seiten einsehen und bearbeiten • nur die von ihnen selbst hochgeladenen Bilder einsehen und verwalten • ihre Inhalte und hochgeladenen Daten jederzeit löschen Zusätzlich können Participants im Rahmen der Projektübersicht aggregierte Informationen über den Fortschritt des Projekts einsehen (z. B. Gesamtfortschritt, Anzahl beantworteter Fragen oder allgemeine Aktivität im Zeitverlauf). Diese Informationen sind nicht einzelnen Personen zugeordnet. Zahlungsinformationen Informationen zum Zahlungsstatus einzelner Teilnehmender sind ausschließlich für den Manager und die Helper sichtbar. Interne Zugriffe Interne berechtigte Personen (z. B. technischer Support) greifen nur im Einzelfall und anlassbezogen auf Daten zu, sofern dies zur Fehlerbehebung oder Nutzerunterstützung erforderlich ist. Zur Erstellung der Druckdatei werden projektbezogene Inhalte in strukturierter Form (z. B. als Datenauszug) an interne oder beauftragte Designer übermittelt, soweit dies für die Gestaltung des Fotobuchs erforderlich ist. Administrative Einsicht Ein administrativer Zugriff auf Projektinhalte, einschließlich hochgeladener Bilder, erfolgt durch uns ausschließlich anlassbezogen und nur, soweit dies zur Bearbeitung von Supportanfragen, zur Fehleranalyse, zur technischen Störungsbeseitigung, zur Missbrauchsverhinderung oder zur Durchsetzung unserer Nutzungsbedingungen erforderlich ist. Solche Zugriffe erfolgen nur durch entsprechend autorisierte Personen und sind auf das erforderliche Maß beschränkt. 6.3 Transparenz der Zusammenarbeit innerhalb eines Projekts Die Plattform ist auf kollaborative Zusammenarbeit ausgelegt. Nutzerinnen und Nutzer müssen daher beachten, dass Inhalte innerhalb eines Projekts nicht ausschließlich privat verarbeitet werden. Insbesondere gilt: Manager und Helper können sämtliche im Projekt vorhandenen Inhalte einsehen, prüfen, bearbeiten, anpassen und löschen, soweit dies für die gemeinsame Erstellung und Verwaltung des Fotobuchs vorgesehen ist. Manager und Helper können auch von anderen Projektbeteiligten hochgeladene Fotos und Inhalte einsehen und im Rahmen des Projekts verwenden. Participants können ausschließlich ihre eigenen Inhalte und die von ihnen selbst hochgeladenen Bilder einsehen und verwalten, soweit nicht Funktionen des Projekts im Einzelfall eine weitergehende Anzeige aggregierter Informationen erfordern. Manager und Helper übernehmen innerhalb des Projekts zugleich organisatorische und moderierende Funktionen. Sie können daher Inhalte im Projekt prüfen, bearbeiten und entfernen, wenn dies für die Durchführung des Projekts, die Qualitätssicherung oder die Einhaltung der Projektregeln erforderlich ist. 6.4 Weitergabe an Druckdienstleister Zur Herstellung des Fotobuchs wird ausschließlich der finalen Druckdatei sowie die für den Versand erforderliche Adresse an den jeweiligen Druckdienstleister übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

Im Rahmen der Plattform können Nutzerinnen und Nutzer Fotos und sonstige Inhalte hochladen, bearbeiten, organisieren und für Druckprojekte zusammenstellen. Dabei kann es sich um personenbezogene Daten handeln, insbesondere wenn Personen auf Fotos erkennbar sind oder Namen, Mannschaftszugehörigkeiten oder andere personenbezogene Angaben enthalten sind. Die Verarbeitung erfolgt zum Zweck der Erstellung, Bearbeitung, Speicherung, Zusammenarbeit innerhalb des Projekts und der späteren Produktion von Fotobüchern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vereinbarten Plattformfunktionen und zur Durchführung des Nutzungsverhältnisses erforderlich ist. Soweit Nutzerinnen und Nutzer Inhalte hochladen, die personenbezogene Daten Dritter enthalten, insbesondere Fotos anderer Personen oder Minderjähriger, sind ausschließlich die hochladenden oder bereitstellenden Nutzerinnen und Nutzer dafür verantwortlich, dass hierfür eine wirksame datenschutzrechtliche Grundlage sowie alle sonst erforderlichen Rechte, Einwilligungen und Befugnisse vorliegen. Wir machen uns von Nutzerinnen und Nutzern hochgeladene Inhalte grundsätzlich nicht zu eigen und prüfen diese nicht routinemäßig vorab. Wenn wir konkrete Hinweise auf eine unberechtigte oder rechtswidrige Verarbeitung erhalten, können wir betroffene Inhalte prüfen, sperren oder entfernen. Vor dem Hochladen bestätigen Nutzerinnen und Nutzer, dass sie über alle erforderlichen Rechte und Einwilligungen verfügen.

8.1 Beschreibung der Verarbeitung Die Bildbearbeitung erfolgt mit Hilfe eines KI-gestützten Systems auf Grundlage der von Nutzerinnen und Nutzern eingegebenen Anweisungen. Die erzeugten Ergebnisse werden automatisiert erstellt und können im Einzelfall fehlerhaft, unvollständig oder unerwartet sein. Eine inhaltliche oder gestalterische Prüfung durch uns erfolgt grundsätzlich nicht automatisch im Einzelfall. Hinweis zur Nutzung künstlicher Intelligenz Die Bildbearbeitungsfunktion verwendet ein KI-gestütztes System zur Erzeugung oder Veränderung von Bildinhalten auf Grundlage von Nutzeranweisungen. Nutzerinnen und Nutzer werden im Rahmen der Verwendung der Funktion darüber informiert, dass die Bearbeitung mit Hilfe künstlicher Intelligenz erfolgt. KI-generierte oder KI-bearbeitete Ergebnisse können inhaltlich, technisch oder gestalterisch fehlerhaft, unvollständig oder unerwartet sein und sollten vor einer weiteren Verwendung eigenverantwortlich geprüft werden. 8.2 Eingesetzter Dienst Anbieter: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland Produkt: Vertex AI – Generative AI on Vertex AI API: Vertex AI REST API Regionaler Endpoint: europe-west4-aiplatform.googleapis.com Verarbeitungsregion: europe-west4 - Eemshaven, Niederlande (EU) Laufzeitumgebung des Backends: Google Cloud Run, ebenfalls in europe-west4 (Niederlande, EU) 8.3 Verarbeitete Datenarten Bei jeder Nutzung der Bildverarbeitungsfunktion werden folgende Daten an Google Vertex AI übermittelt: Bilddaten: Die vom Nutzer hochgeladenen Bilder (PNG, JPEG, WebP) als Base64-kodierte Inline-Daten. Bilder können personenbezogene Inhalte enthalten (z. B. Fotos von Personen). Nutzer-Anweisungen (Prompts): Freitext-Anweisungen des Nutzers zur gewünschten Bildbearbeitung (z. B. „Verbessere die Belichtung"). System-Instruktionen: Technische Anweisungen, die das Verhalten des KI-Modells steuern (z. B. „Behalte den Stil fotorealistisch bei"). Diese enthalten keine personenbezogenen Daten. Bild-Bezeichnungen (Labels): Optionale Kurzbezeichnungen für hochgeladene Bilder (z. B. „A", „B"), maximal 64 Zeichen. Konversationsverlauf: Bei mehrstufigen Bearbeitungen wird der vollständige Verlauf vorheriger Bilder, Anweisungen und Modellantworten innerhalb einer Bearbeitungssitzung erneut übermittelt, um dem Modell den nötigen Kontext zu geben. Nicht an Google übermittelt werden: • IP-Adressen der Nutzer, • E-Mail-Adressen, Namen oder sonstige Kontodaten, • Session-Tokens, Passwörter oder Authentifizierungsinformationen, • sonstige personenbezogene Daten, die nicht in den Bildern selbst oder in den Freitext-Anweisungen enthalten sind. 8.4 Zweck der Verarbeitung Die Übermittlung an Vertex AI erfolgt ausschließlich zum Zweck der KI-gestützten Bildverbesserung und -bearbeitung, die der Nutzer aktiv angefordert hat. Es findet keine anderweitige Nutzung der Daten durch uns statt. Rechtsgrundlage: • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), soweit die Bildverarbeitung eine vom Nutzer gewünschte und vertraglich geschuldete Funktion darstellt. • Hilfsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), soweit die Verarbeitung der technischen und qualitativen Verbesserung unseres Angebots dient. Unser berechtigtes Interesse besteht darin, Nutzern hochwertige, druckfähige Bildergebnisse bereitzustellen. 8.6 Auftragsverarbeitung (AVV) Zwischen uns und Google besteht ein Auftragsverarbeitungsvertrag im Sinne von Art. 28 DSGVO. Dieser wird durch das Google Cloud Data Processing Addendum (CDPA) abgebildet, das integraler Bestandteil der Google Cloud Platform Terms of Service: https://cloud.google.com/terms/data-processing-addendum Das CDPA regelt insbesondere: • die Pflichten von Google als Auftragsverarbeiter, • technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten, • Unterauftragsverarbeiter (Subprocessors) und deren Verwaltung, • Mitwirkungspflichten bei Betroffenenrechten, • Löschung und Rückgabe von Daten nach Vertragsende, • Auditrechte des Verantwortlichen. 8.7 Keine Nutzung der Daten zum Modelltraining durch Google Google hat sich im Rahmen des Google Cloud AI/ML Privacy Commitment sowie der Service Specific Terms (Abschnitt „Training Restriction") dazu verpflichtet, Kundendaten – einschließlich Prompts, Bilder und Modellantworten - nicht zum Training oder zur Verbesserung seiner Foundation Models zu verwenden. Referenz: https://services.google.com/fh/files/misc/genai_privacy_google_cloud_202308.pdf 8.8 Zero Data Retention (Null-Datenspeicherung) Wir nutzen die von Google bereitgestellte Zero Data Retention (ZDR)-Option. Dabei wird bei jeder API-Anfrage der HTTP-Header `X-Vertex-AI-LLM-Request-Type: zero-data-retention` gesendet. Dies bewirkt, dass Google die übermittelten Prompts, Bilder und Antworten nicht über die unmittelbare Anfrageverarbeitung hinaus speichert – auch nicht für Abuse-Monitoring oder Debugging-Zwecke. Ohne diese Option würde Google Daten standardmäßig bis zu 55 Tage für Abuse-Monitoring vorhalten. Durch die Aktivierung von ZDR wird diese Speicherung vollständig unterbunden. 8.9 In-Memory-Caching durch Google Gemini-Modelle auf Vertex AI können In-Memory-Caching nutzen, um die Latenz bei wiederholten Anfragen zu reduzieren. Dieses Caching ist auf Projektebene isoliert (kein Zugriff durch andere Google-Cloud-Kunden), hat eine maximale Lebensdauer von 24 Stunden und kann auf GCP-Projektebene deaktiviert werden. Die Daten werden dabei nicht persistent gespeichert. 8.10 Speicherung auf unserer Seite Konversationsdaten (Bilder, Prompts, Modellantworten) werden auf unserem Backend-Server ausschließlich im Arbeitsspeicher (In-Memory) vorgehalten und sind nicht persistent gespeichert. Sie dienen dem Zweck, mehrstufige Bearbeitungen innerhalb einer Sitzung zu ermöglichen, und werden nach Ablauf der konfigurierbaren Sitzungsdauer (standardmäßig 1 Stunde) oder bei Neustart des Servers automatisch gelöscht. 8.11 Unterauftragsverarbeiter Google führt eine öffentlich einsehbare und regelmäßig aktualisierte Liste seiner Unterauftragsverarbeiter (Subprocessors): https://cloud.google.com/terms/subprocessors Änderungen an dieser Liste werden von Google vorab angekündigt. Das CDPA räumt uns ein Widerspruchsrecht gegen die Hinzunahme neuer Unterauftragsverarbeiter ein. 8.12 Sicherheitsmaßnahmen • Die Kommunikation zwischen unserem Backend (Cloud Run) und Vertex AI erfolgt über HTTPS/TLS (verschlüsselte Verbindung). • Die Authentifizierung gegenüber Google erfolgt über einen Service-Account mit den minimal erforderlichen Berechtigungen (`roles/aiplatform.user`). • Bilder werden als Base64-kodierte Inline-Daten im JSON-Request-Body übertragen (kein separater Upload in einen Cloud-Storage-Bucket). • Google erfüllt anerkannte Sicherheitsstandards, darunter ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 sowie weitere branchenspezifische Zertifizierungen.

Nutzerinnen und Nutzer können theoretisch Bilder hochladen, die besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten oder entsprechende Rückschlüsse zulassen, etwa auf die ethnische Herkunft, die religiöse Überzeugung, Gesundheitsdaten oder biometrische Merkmale. Eine Verarbeitung solcher Inhalte ist von uns nicht gesondert beabsichtigt oder darauf ausgerichtet. Soweit Nutzerinnen und Nutzer entsprechende Inhalte dennoch hochladen oder zur Bearbeitung bereitstellen, erfolgt dies ausschließlich auf deren eigene Veranlassung und in deren Verantwortungsbereich hinsichtlich der inhaltlichen Berechtigung. Nutzerinnen und Nutzer dürfen solche Inhalte nur hochladen oder zur Verarbeitung bereitstellen, wenn hierfür eine wirksame gesetzliche Grundlage, insbesondere eine erforderliche ausdrückliche Einwilligung der betroffenen Person, vorliegt. Wenn wir konkrete Hinweise darauf erhalten, dass entsprechende Inhalte unberechtigt verarbeitet werden, können wir diese Inhalte prüfen, sperren oder entfernen.

10.1 Beschreibung Unser Bildverarbeitungs-Backend wird als Container-Dienst auf Google Cloud Run betrieben. Dienst: Google Cloud Run (Managed) Region: europe-west4 - Eemshaven, Niederlande (EU) Anbieter: Google Cloud (siehe 8.2) AVV: Google Cloud CDPA (siehe 8.6) 10.2 Verarbeitete Daten Cloud Run verarbeitet die HTTP-Anfragen der Nutzer, die über das Vercel-Frontend weitergeleitet werden. Dabei werden verarbeitet: • IP-Adressen der anfragenden Clients (im Rahmen der HTTP-Kommunikation; werden von unserer Anwendung nicht protokolliert oder an Vertex AI weitergeleitet), • Session-Cookies und Authentifizierungsdaten (ausschließlich zur Zugriffskontrolle unserer Anwendung; werden nicht an Vertex AI übermittelt), • Bilddaten und Prompts (siehe 8.3) • Standard-Server-Logs durch Google Cloud Run (Request-Logs mit Metadaten wie Zeitstempel, HTTP-Methode, Pfad, Antwortcode; gemäß Google Cloud Logging-Richtlinien). Rechtsgrundlage: • Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Dienstes. • Art. 6 Abs. 1 lit. f DSGVO für Server-Logs zur Sicherstellung des Betriebs und zur Fehlerbehebung.

Nutzer können andere Personen zu Projekten einladen, um gemeinsam an Fotobüchern zu arbeiten. Dabei verarbeiten wir insbesondere: • E-Mail-Adresse der eingeladenen Person • Name, soweit angegeben • Zuordnung zum Projekt • Rollen- und Berechtigungsinformationen • Zeitpunkte von Einladung, Annahme oder Ablehnung Die Verarbeitung erfolgt zur Durchführung der kollaborativen Projektfunktion. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse liegt in der Ermöglichung gemeinschaftlicher Projektarbeit innerhalb der Plattform.

Wenn über unsere Plattform ein Fotobuch bestellt wird, verarbeiten wir die zur Bestellung und Abwicklung erforderlichen personenbezogenen Daten. Hierzu gehören insbesondere: • Bestelldaten • Rechnungsdaten • Lieferadresse • Name des Bestellers bzw. der Bestellerin • Druckdaten / Druckvorlagen • Bestellhistorie • Kommunikationsdaten im Zusammenhang mit der Bestellung Zur Herstellung und Auslieferung der Fotobücher übermitteln wir erforderliche Daten an unseren Produktions- und Druckdienstleister: WIRmachenDRUCK GmbH Illerstraße 15 71522 Backnang Deutschland Die Übermittlung umfasst insbesondere: • Druckdateien / Druckvorlagen • Liefername • Lieferanschrift • ggf. weitere zur Auftragsabwicklung erforderliche Informationen Die Verarbeitung erfolgt ausschließlich zur Erfüllung des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Der Produktions- und Druckdienstleister verarbeitet die übermittelten personenbezogenen Daten ausschließlich insoweit, wie dies zur Herstellung, Konfektionierung und Auslieferung des bestellten Fotobuchs erforderlich ist. Soweit der Produktions- und Druckdienstleister personenbezogene Daten in unserem Auftrag und nach unserer Weisung verarbeitet, erfolgt dies auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Soweit der Produktions- und Druckdienstleister personenbezogene Daten zur Erfüllung eigener rechtlicher Verpflichtungen oder im Rahmen eigenverantwortlich bestimmter betrieblicher Abläufe verarbeitet, erfolgt diese Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit.

Für die Zahlungsabwicklung nutzen wir externe Zahlungsdienstleister, insbesondere Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Wenn Sie im Rahmen einer Bestellung eine entsprechende Zahlungsart auswählen, übermitteln wir die zur Zahlungsabwicklung erforderlichen Daten an den jeweils ausgewählten Zahlungsdienstleister. Dies können insbesondere Name, Rechnungsdaten, Zahlungsbetrag, Bestellreferenz, E-Mail-Adresse, Zahlungsstatus sowie gegebenenfalls weitere zur Durchführung der Zahlung erforderliche Informationen sein. Die Zahlungsdienstleister verarbeiten diese Daten eigenständig zur Durchführung der Zahlung. Hierbei können die Zahlungsdienstleister auch Bonitätsprüfungen durchführen oder Daten zur Betrugsprävention verarbeiten. Insoweit handeln die Zahlungsdienstleister regelmäßig als eigenständige Verantwortliche im Sinne der DSGVO. Wir selbst verarbeiten nur die Daten, die zur Veranlassung, Zuordnung, Prüfung und Dokumentation der Zahlung erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Wir nutzen Amazon SES für den Versand von transaktionsbezogenen E-Mails, z. B.: • Registrierungs-E-Mails • Einladungen zu Projekten • sicherheitsrelevante Mitteilungen • Informationen zum Bestellstatus • sonstige für die Nutzung der Plattform erforderliche Benachrichtigungen Dabei verarbeiten wir insbesondere: • E-Mail-Adresse • Name, soweit vorhanden • technische Versandinformationen • Inhalts- und Zustellinformationen Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO Dienstleister: Amazon Web Services / Amazon SES

Soweit Sie uns hierfür eine gesonderte Einwilligung erteilen, verwenden wir Ihre E-Mail-Adresse, um Ihnen Informationen über Produktneuigkeiten, Updates, Aktionen oder Rabattangebote zuzusenden. Die Anmeldung zu solchen werblichen E-Mails erfolgt freiwillig und ist nicht Voraussetzung für die Nutzung unserer Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in der jeweiligen E-Mail oder durch Nachricht an uns. Unsere Kontakt-E-Mail befindet sich am Anfang dieses Dokuments.

Hinweis auf Meldung unberechtigter Inhalte Wenn Sie der Ansicht sind, dass über unsere Plattform Inhalte oder Bilder ohne Berechtigung verarbeitet werden, können Sie uns jederzeit unter den in dieser Datenschutzerklärung genannten Kontaktdaten informieren. Wir werden den Vorgang prüfen und gegebenenfalls angemessene Maßnahmen ergreifen. Wenn Sie mit uns Kontakt aufnehmen, z. B. per E-Mail oder über ein Kontaktformular, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage. Dies betrifft insbesondere: • Name • E-Mail-Adresse • Inhalt der Nachricht • sonstige freiwillig mitgeteilte Informationen Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag oder die Nutzung unserer Dienste gerichtet ist Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anfragen Unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung eingehender Anfragen.

Personenbezogene Daten werden von uns nur dann an Dritte weitergegeben, wenn dies rechtlich zulässig ist und für die jeweiligen Zwecke erforderlich ist. Empfänger können insbesondere sein: • Hosting- und Infrastruktur-Dienstleister • Anbieter für Nutzerverwaltung und Authentifizierung • Zahlungsdienstleister • E-Mail-Versanddienstleister • Druckerei / Produktionsdienstleister • technische Dienstleister zur Bildverarbeitung • interne berechtigte Personen bei uns, soweit dies für Betrieb, Support, Gestaltung, Qualitätssicherung oder Auftragsabwicklung erforderlich ist • projektbezogene Mitwirkende innerhalb der von Ihnen genutzten Projektumgebung entsprechend dem jeweiligen Rollen- und Berechtigungskonzept

Wir prüfen die von uns eingesetzten Dienstleister und die rechtlichen Voraussetzungen etwaiger Drittlandübermittlungen regelmäßig. Soweit erforderlich, treffen wir zusätzliche vertragliche, technische und organisatorische Schutzmaßnahmen, um ein angemessenes Datenschutzniveau sicherzustellen. Es ist möglich, dass wir Dienstleister einsetzen, die personenbezogene Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten oder auf diese zugreifen können. Soweit dabei Daten in Drittländer übermittelt werden, erfolgt dies nur unter Beachtung der gesetzlichen Voraussetzungen, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, etwa Standardvertragsklauseln. 18.1 Vercel Bei der Nutzung von Vercel kann eine Übermittlung personenbezogener Daten in Drittländer nicht vollständig ausgeschlossen werden. Zwar sind die von uns eingesetzten Vercel Functions auf die Region fra1 (Frankfurt am Main, Deutschland) konfiguriert. Vercel betreibt jedoch eine weltweit verteilte CDN- und Edge-Infrastruktur. Zudem kann es insbesondere im Rahmen von Support, Unterauftragsverarbeitung, Sicherheitsmechanismen oder technischer Ausfallsicherung dazu kommen, dass personenbezogene Daten auch außerhalb der EU bzw. des EWR verarbeitet oder von dort aus zugänglich gemacht werden. Soweit personenbezogene Daten in die USA übermittelt werden, stützen wir uns auf die Angemessenheitsentscheidung der Europäischen Kommission zum EU-U.S. Data Privacy Framework, soweit der Anbieter hierfür zertifiziert ist. Ergänzend bzw. soweit erforderlich erfolgen Übermittlungen auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im Data Processing Addendum von Vercel vorgesehen sind. 18.2 Google Cloud (Vertex AI und Cloud Run) Sowohl unser Backend (Cloud Run) als auch die KI-Bildverarbeitung (Vertex AI) sind in der Region europe-west4 (Eemshaven, Niederlande) konfiguriert. Die Niederlande sind Mitgliedstaat der Europäischen Union. Bei Nutzung des regionalen Vertex AI Endpoints („europe-west4-aiplatform.googleapis.com") garantiert Google: • Datenresidenz: Ruhende Kundendaten (data at rest) verbleiben in der gewählten Region. • Regionale Verarbeitung: Die maschinelle Lernverarbeitung (ML processing) erfolgt innerhalb derselben Region, in der die Anfrage gestellt wird. Referenz: https://docs.cloud.google.com/vertex-ai/generative-ai/docs/learn/data-residency Potenzieller Drittlandsbezug: Google ist ein US-amerikanisches Unternehmen. Obwohl die primäre Datenverarbeitung in der EU (Niederlande) erfolgt, kann nicht vollständig ausgeschlossen werden, dass Mitarbeiter von Google mit Sitz in den USA oder anderen Drittländern im Rahmen von Support- oder Wartungstätigkeiten auf Daten zugreifen können. Schutzmaßnahmen für den Drittlandtransfer: Soweit ein solcher Zugriff aus Drittländern stattfindet, wird dieser durch folgende Mechanismen abgesichert: • EU-US Data Privacy Framework (DPF): Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss gemäß Art. 45 DSGVO für die USA erlassen, soweit das empfangende Unternehmen unter dem DPF zertifiziert ist (Durchführungsbeschluss (EU) 2023/1795). • Standardvertragsklauseln (Standard Contractual Clauses – SCCs): Ergänzend sind im Google Cloud Data Processing Addendum (CDPA) EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO enthalten. Diese greifen als Fallback-Mechanismus, falls das EU-US Data Privacy Framework seine Gültigkeit verliert oder nicht anwendbar ist. Referenz: https://services.google.com/fh/files/misc/gc_new_eu_scc.pdf Ergänzende technische und organisatorische Maßnahmen: • Verschlüsselung aller Daten bei der Übertragung (TLS) und im Ruhezustand (encryption at rest), • Strenge Zugriffskontrollen und Zugriffsprotokollierung, • Regelmäßige unabhängige Prüfungen (ISO 27001, SOC 1/2/3), • Zero Data Retention (siehe § 8.8), wodurch keine Kundendaten über die unmittelbare Verarbeitungsdauer hinaus gespeichert werden. 18.3 Amazon Web Services (AWS) Amazon Web Services ist Teil der Amazon-Gruppe mit Hauptsitz in den USA. Es kann daher nicht vollständig ausgeschlossen werden, dass im Rahmen von Supportleistungen, Wartung oder konzerninternen Verwaltungszugriffen personenbezogene Daten auch aus Drittländern (insbesondere den USA) eingesehen werden können. Schutzmaßnahmen für den Drittlandtransfer: Soweit ein Zugriff aus Drittländern erfolgt, wird dieser auf Grundlage der gesetzlichen Anforderungen abgesichert: EU-US Data Privacy Framework (DPF): Amazon Web Services, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Für Datenübermittlungen in die USA stützen wir uns daher auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO (Durchführungsbeschluss (EU) 2023/1795), soweit anwendbar. Standardvertragsklauseln (SCCs): Ergänzend gelten die von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im AWS Data Processing Addendum enthalten sind. Diese dienen als zusätzliche Absicherung bzw. Fallback-Mechanismus. Ergänzende technische und organisatorische Maßnahmen: • Verschlüsselung von Daten während der Übertragung (TLS) und im Ruhezustand • Strenge Zugriffsbeschränkungen nach dem Need-to-know-Prinzip • Protokollierung und Monitoring von Zugriffen (z. B. über CloudWatch) • Zertifizierungen und Audits (u. a. ISO 27001, SOC 1/2/3) 18.4 Clerk Da Clerk, Inc. seinen Sitz in den USA hat, kann nicht ausgeschlossen werden, dass personenbezogene Daten auch in den USA verarbeitet oder von dort aus abgerufen werden, insbesondere im Rahmen von Supportleistungen, Wartung oder technischen Betriebsprozessen. Schutzmaßnahmen für den Drittlandtransfer: Soweit personenbezogene Daten in die USA übermittelt werden, erfolgt dies unter Beachtung der gesetzlichen Vorgaben der DSGVO: EU-US Data Privacy Framework (DPF): Clerk, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung personenbezogener Daten in die USA stützen wir daher auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO (Durchführungsbeschluss (EU) 2023/1795), soweit anwendbar. Standardvertragsklauseln (SCCs): Ergänzend gelten die von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, wie sie im Data Processing Agreement (DPA) von Clerk vorgesehen sind. Diese dienen als zusätzliche Absicherung bzw. Fallback-Mechanismus. Ergänzende technische und organisatorische Maßnahmen: • Verschlüsselung der Datenübertragung (TLS) • Sichere Speicherung sensibler Daten (z. B. Passwort-Hashing) • Zugriffsbeschränkungen und Authentifizierungsmechanismen • Protokollierung sicherheitsrelevanter Ereignisse 18.5 Stripe Es kann nicht ausgeschlossen werden, dass im Rahmen der Zahlungsabwicklung personenbezogene Daten auch in Drittländer, insbesondere in die USA, übermittelt werden. Stripe Payments Europe, Limited ist Teil der Stripe-Gruppe mit Sitz in den USA. Eine Übermittlung personenbezogener Daten an die Muttergesellschaft kann nicht ausgeschlossen werden. Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich werden Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO eingesetzt. Weitere Informationen finden Sie in den Datenschutzerklärungen der jeweiligen Anbieter: https://stripe.com/privacy

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gilt: Kontodaten speichern wir für die Dauer des Bestehens des Nutzerkontos. Nutzerkonten können jederzeit gelöscht werden, sofern keine aktive Managerrolle in einem Fotobuchprojekt besteht. Erfolgt keine Nutzung, werden Konten nach 24 Monaten Inaktivität automatisch gelöscht. Mit der Löschung des Kontos werden alle zugehörigen personenbezogenen Daten entfernt; eine Zuordnung zu Fotobuchprojekten entfällt. Projekt- und Inhaltsdaten (einschließlich Fotos) speichern wir für die Dauer des jeweiligen Projekts. Fotobuchprojekte werden nach 12 Monaten Inaktivität innerhalb des Fotobuchs gelöscht. Dies gilt auch für Projekte, die nicht abgeschlossen oder nicht bestellt wurden. Nach Abschluss eines Projekts werden die Daten sowie die Druckdatei für einen Zeitraum von 12 Monaten gespeichert, um insbesondere Nachbestellungen oder Supportanfragen zu ermöglichen. Hochgeladene Fotos und Inhalte werden grundsätzlich mit dem Projekt gelöscht und können jederzeit durch die Nutzer innerhalb des Projekts eigenständig entfernt werden. Daten nach Verlassen eines Projekts oder Löschung eines Kontos Verlassen Nutzer ein Projekt oder löschen ihr Konto, bleiben die innerhalb des Projekts bereitgestellten Inhalte grundsätzlich bestehen, sofern sie für die Durchführung und den Zweck des Fotobuchprojekts weiterhin erforderlich sind. Nutzer werden vor Verlassen eines Projekts darauf hingewiesen, dass sie ihre Inhalte eigenständig löschen können. Bestell- und abrechnungsbezogene Daten speichern wir im Rahmen der gesetzlichen Aufbewahrungspflichten für einen Zeitraum von bis zu 10 Jahren (§ 147 AO, § 257 HGB). Kommunikationsdaten (z. B. Supportanfragen oder Feedback) speichern wir für einen Zeitraum von bis zu 24 Monaten, soweit dies zur Bearbeitung und Dokumentation erforderlich ist. Soweit im Rahmen einer Supportanfrage oder technischen Störungsbearbeitung ein anlassbezogener Zugriff auf Projektinhalte oder Bilder erforderlich ist, verarbeiten wir diese Daten nur für die Dauer, die zur Bearbeitung des konkreten Vorgangs erforderlich ist. Backups und Protokolldaten Zur Sicherstellung des technischen Betriebs und der Datensicherheit werden Sicherungskopien und Systemprotokolle verarbeitet. Datenbank-Backups werden für einen Zeitraum von bis zu 30 Tagen vorgehalten und anschließend automatisch überschrieben oder gelöscht. Protokolldaten (z. B. Server-Logs) werden in der Regel für maximal 14 Tage gespeichert.

Betroffene Personen haben nach Maßgabe der gesetzlichen Vorschriften insbesondere folgende Rechte: • Recht auf Auskunft über die verarbeiteten personenbezogenen Daten • Recht auf Berichtigung unrichtiger Daten • Recht auf Löschung • Recht auf Einschränkung der Verarbeitung • Recht auf Datenübertragbarkeit • Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen • Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft • Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit Anschrift: Alt-Moabit 59-61 10555 Berlin Telefon: +49 30 13889-0 E-Mail: mailbox@datenschutz-berlin.de Website: https://www.datenschutz-berlin.de/

Die Bereitstellung bestimmter personenbezogener Daten ist für die Registrierung, Nutzung der Plattform, die Zusammenarbeit in Projekten oder die Bestellung von Fotobüchern erforderlich. Ohne diese Daten können einzelne Funktionen möglicherweise nicht oder nicht vollständig bereitgestellt werden.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt, sofern in dieser Datenschutzerklärung nicht ausdrücklich anders beschrieben.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund rechtlicher, technischer oder organisatorischer Änderungen erforderlich ist. Es gilt die jeweils auf unserer Website veröffentlichte Fassung. Stand: 15.04.2026