Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist Bartosz Różycki, eingetragenes Einzelunternehmen (JDG), ul. Bednarska 26 lok. 56, 93-030 Łódź, Polen, NIP 7292772054, REGON 545403173 (nachfolgend: Verantwortlicher oder AlbumQR).

In allen Angelegenheiten der Verarbeitung personenbezogener Daten erreichen Sie den Verantwortlichen unter team@albumqr.io oder schriftlich unter der oben genannten Anschrift.

Der Verantwortliche ist nicht verpflichtet, einen Datenschutzbeauftragten nach Art. 37 DSGVO zu benennen, und hat keinen benannt. Als Anlaufstelle für Datenschutzfragen fungiert der Verantwortliche selbst.

Welche Daten verarbeitet werden, hängt davon ab, in welcher Rolle Sie den Dienst nutzen. Die folgenden Kategorien gelten jeweils für eine Rolle.

• Veranstalter — E-Mail-Adresse und grundlegende Google-Profildaten aus der Anmeldung (OAuth), Eventname und Konfiguration, die zur Zahlungsabwicklung erforderlichen Daten (Przelewy24 in Polen, Stripe außerhalb Polens — Kartennummern speichern wir nicht) sowie technische Daten einschließlich IP-Adresse und Serverprotokollen.
• Gäste — Hochgeladene Fotos und deren Miniaturansichten (direkt über vorsignierte URLs an Amazon S3 übertragen), optional angegebener Name und Nachricht, Dateimetadaten (Aufnahmedatum, Größe, EXIF) sowie technische Daten. Likes werden ausschließlich lokal im Browser des Gastes gespeichert und erreichen unsere Server nicht.
• Websitebesucher — Von Google Analytics 4 und Microsoft Clarity erhobene Zugriffs- und Interaktionsdaten — ausschließlich nach Einwilligung im Cookie-Banner (Google Consent Mode v2). Ohne Einwilligung wird keines der Werkzeuge geladen. Die Daten werden an Google LLC bzw. an die Microsoft Corporation in den Vereinigten Staaten übermittelt.
• Fotoanalyse (KI) — Jedes in ein Album hochgeladene Foto wird automatisch von Amazon Rekognition analysiert: Es werden Labels und Bildeigenschaften erkannt, Gesichter werden erkannt einschließlich Attributen wie Lächeln, offene Augen und Emotionen, und der Inhalt wird auf unzulässiges Material geprüft. Die Analyse dient der Bewertung der Bildqualität, der automatischen Auswahl der besten Aufnahmen und der Filterung nach Labels. Wir legen keine Datenbank mit Gesichtsmustern an und gleichen Gesichter nicht über mehrere Fotos hinweg ab — biometrische Daten im Sinne von Art. 9 DSGVO verarbeiten wir daher nicht.

Wir verarbeiten personenbezogene Daten ausschließlich zu den nachstehenden Zwecken und nur in dem dafür erforderlichen Umfang.

• Kontoeinrichtung und Erbringung des Dienstes — Kontodaten, Eventkonfiguration, Fotos und Metadaten (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung)
• Zahlungs- und Rechnungsabwicklung — Transaktions- und Abrechnungsdaten (Art. 6 Abs. 1 lit. b und lit. c DSGVO — Vertrag und rechtliche Pflicht)
• Erstellung und Aufbewahrung von Buchhaltungsunterlagen — Abrechnungsdaten (Art. 6 Abs. 1 lit. c DSGVO — Steuer- und Rechnungslegungsrecht)
• Automatische Fotoanalyse und Erkennung unzulässiger Inhalte — Fotos, Bildlabels und Bildattribute (Art. 6 Abs. 1 lit. b und lit. f DSGVO — Vertrag und berechtigtes Interesse)
• Gewährleistung der Sicherheit und Missbrauchsabwehr — IP-Adresse, Serverprotokolle, Anfragedaten (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
• Reichweiten- und Nutzungsanalyse — Cookie-Kennungen, Ereignisse, Gerätedaten (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung)
• Optionale Google-Drive-Integration — Zugriffstoken für den ausgewählten Ordner (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung)
• Bearbeitung von Beschwerden sowie Geltendmachung und Abwehr von Ansprüchen — Kontaktdaten, Schriftverkehr, Transaktionsdaten (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)

Die Angabe von Daten ist freiwillig; die zum Abschluss und zur Durchführung des Vertrags erforderlichen Daten sind jedoch Voraussetzung für die Nutzung des Dienstes — ohne E-Mail-Adresse und die zur Zahlungsabwicklung erforderlichen Daten können weder ein Konto angelegt noch ein Album bereitgestellt werden. Die Angabe von Name und Nachricht durch einen Gast ist vollständig freiwillig und keine Voraussetzung für das Hochladen eines Fotos. Auf Grundlage einer Einwilligung verarbeitete Daten werden freiwillig angegeben; wird die Einwilligung nicht erteilt oder widerrufen, entstehen daraus keine Nachteile außer dem Wegfall der davon erfassten Funktion.

Für die in ein Album hochgeladenen Fotos und Gästedaten ist der Veranstalter Verantwortlicher, während AlbumQR als Auftragsverarbeiter auf dessen dokumentierte Weisung tätig wird. Maßgeblich ist der Auftragsverarbeitungsvertrag, der Bestandteil der Nutzungsbedingungen ist. Für die Kontodaten des Veranstalters und für Analysedaten ist AlbumQR Verantwortlicher.

Wir geben Daten ausschließlich an die zur Erbringung des Dienstes erforderlichen Anbieter weiter, auf Grundlage von Verträgen, die den Anforderungen des Art. 28 DSGVO genügen.

• Vercel Inc. — Hosting von Anwendung und Website (USA — Standardvertragsklauseln (SCC))
• Amazon Web Services EMEA SARL — Speicherung der Fotos (S3), Auslieferung (CloudFront) und automatische Bildanalyse (Rekognition) (EWR — Region eu-central-1 (Frankfurt))
• Neon Inc. — PostgreSQL-Datenbank (EWR — Infrastruktur AWS eu-central-1)
• PayPro S.A. (Przelewy24) — Abwicklung inländischer Zahlungen (Polen — eigenständiger Verantwortlicher)
• Stripe Inc. — Abwicklung internationaler Zahlungen (USA — eigenständiger Verantwortlicher; Standardvertragsklauseln (SCC))
• Google LLC — OAuth-Anmeldung, Google Analytics 4, optional Google Drive (USA — Data Privacy Framework und Standardvertragsklauseln (SCC))
• Microsoft Corporation — Microsoft Clarity — Verhaltensanalyse, nur mit Einwilligung (USA — Data Privacy Framework und Standardvertragsklauseln (SCC))

Eine Übermittlung in ein Drittland erfolgt nur, wenn der Anbieter ein angemessenes Schutzniveau gewährleistet — auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der verwendeten Garantien erhalten Sie unter team@albumqr.io.

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:

• Verschlüsselung der Übertragung per HTTPS/TLS bei allen Verbindungen;
• Übertragung der Fotos direkt an Amazon S3 über vorsignierte URLs mit 15 Minuten Gültigkeit;
• Verschlüsselung ruhender Daten bei Amazon S3 (SSE-S3);
• Zugang zu privaten Galerien nur über signierte CloudFront-Cookies mit 24 Stunden Gültigkeit;
• Begrenzung der Anfragehäufigkeit (Rate Limiting) an den Upload-Endpunkten;
• Zugriff auf die Produktivinfrastruktur nach dem Prinzip der geringsten Rechte sowie Nachvollziehbarkeit administrativer Vorgänge.

Wir speichern Daten nicht länger, als es für die Zwecke ihrer Erhebung erforderlich ist oder als es das Gesetz vorschreibt.

• Fotos und Metadaten des Albums — Bis zur Löschung durch den Veranstalter oder bis zum Ablauf der in den Nutzungsbedingungen festgelegten Aktivitätsdauer des Albums
• Kontodaten des Veranstalters — Für die Dauer des Kontos; nach dessen Löschung unverzüglich entfernt
• Buchhaltungsunterlagen und Abrechnungsdaten — 5 Jahre ab Ende des Steuerjahres, in dem die Steuerpflicht entstanden ist
• Daten zur Abwehr von Ansprüchen — Bis zum Ablauf der Verjährungsfrist nach dem polnischen Zivilgesetzbuch
• Technische und sicherheitsbezogene Protokolle — Bis zu 90 Tage
• Analysedaten (mit Einwilligung) — Bis zu 14 Monate in Google Analytics 4; in Clarity gemäß der Richtlinie von Microsoft

Im Zusammenhang mit der Verarbeitung stehen Ihnen folgende Rechte zu:

• das Recht auf Auskunft und auf Erhalt einer Kopie Ihrer Daten (Art. 15 DSGVO);
• das Recht auf Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO);
• das Recht auf Löschung (Art. 17 DSGVO);
• das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• das Recht auf Datenübertragbarkeit für auf Vertrag oder Einwilligung gestützte Daten (Art. 20 DSGVO);
• das Recht auf Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO);
• das Recht, eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine Nachricht an team@albumqr.io. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags. Veranstalter können ihr Konto samt aller zugehörigen Daten auch selbst im Bereich /settings löschen.

Sind Sie der Auffassung, dass die Verarbeitung gegen die DSGVO verstößt, steht Ihnen das Recht auf Beschwerde bei der Aufsichtsbehörde zu — dem Präsidenten des polnischen Amtes für den Schutz personenbezogener Daten, ul. Stawki 2, 00-193 Warschau, uodo.gov.pl.

Personen mit Wohnsitz in Kalifornien stehen zusätzliche Rechte nach dem California Consumer Privacy Act in der Fassung des California Privacy Rights Act zu. Diese Rechte gewähren wir unabhängig von den Rechten aus der DSGVO.

Für den Betrieb des Dienstes setzen wir notwendige Cookies ein: NextAuth-Sitzungscookies für die Anmeldung sowie signierte CloudFront-Cookies, die den Zugang zur privaten Galerie für 24 Stunden ermöglichen. Der lokale Browserspeicher hält Likes und die gewählte Sprachversion vor. Diese Daten werden nicht an die Server des Verantwortlichen übertragen.

Nach Einwilligung im Cookie-Banner setzen wir Cookies von Google Analytics 4 (_ga, _ga_*, Speicherdauer bis zu 2 Jahre) und laden das Skript von Microsoft Clarity, das eigene Analyse-Cookies setzt. Ohne Einwilligung wird keines dieser Werkzeuge ausgeführt. Sie können die Einwilligung jederzeit widerrufen, indem Sie die Websitedaten in den Browsereinstellungen löschen.

Google Consent Mode v2 kann Verhaltensmodellierung einschließlich Conversion-Modellierung anwenden, auch wenn keine vollständige Einwilligung in die Analyse vorliegt. Google schätzt dabei Zugriffsmuster anhand aggregierter und von Kennungen bereinigter Daten. Einzelheiten finden Sie hier: Google Consent Mode v2.

In ein Album hochgeladene Fotos werden automatisch auf unzulässige Inhalte geprüft. Ein vom System als unzulässig eingestuftes Foto wird ohne vorherige Prüfung durch einen Menschen ausgeblendet und als abgelehnt markiert. Nach Einschätzung des Verantwortlichen entfaltet dieser Mechanismus gegenüber den betroffenen Personen keine rechtliche Wirkung und beeinträchtigt sie nicht in ähnlich erheblicher Weise im Sinne von Art. 22 DSGVO. Unabhängig davon gewährleisten wir das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung einer solchen Entscheidung — eine Nachricht an team@albumqr.io genügt. Über den beschriebenen Mechanismus hinaus findet keine automatisierte Entscheidungsfindung und kein Profiling zu Marketingzwecken statt.

Der Dienst richtet sich an Personen, die das 16. Lebensjahr vollendet haben. Diese Anforderung ergibt sich aus Art. 8 DSGVO und — für Nutzer in den Vereinigten Staaten — aus dem Children's Online Privacy Protection Act (COPPA).

AlbumQR erhebt wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Sollten wir Kenntnis davon erlangen, dass solche Daten erhoben wurden, löschen wir sie unverzüglich.

Sicherzustellen, dass die ein Album nutzenden Eventteilnehmer das Mindestalter erfüllen, obliegt dem Veranstalter.

Im Fall einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche diese dem Präsidenten des polnischen Amtes für den Schutz personenbezogener Daten (ul. Stawki 2, 00-193 Warschau, uodo.gov.pl) unverzüglich, spätestens binnen 72 Stunden nach Bekanntwerden, gemäß Art. 33 DSGVO.

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt der Verantwortliche diese Personen unverzüglich und unmittelbar, gemäß Art. 34 DSGVO.

Den Verdacht eines Sicherheitsvorfalls melden Sie bitte an team@albumqr.io. Jede Meldung behandeln wir vorrangig.

Die jeweils aktuelle Fassung dieser Datenschutzerklärung ist stets unter albumqr.io/de/privacy samt Datum des Inkrafttretens und Versionsnummer abrufbar. Über wesentliche Änderungen informieren wir Veranstalter mit aktivem Konto mindestens 14 Tage im Voraus per E-Mail. Rein technische oder redaktionelle Änderungen treten mit ihrer Veröffentlichung in Kraft.

Bartosz Różycki, ul. Bednarska 26 lok. 56, 93-030 Łódź, Polen, NIP 7292772054, REGON 545403173. Korrespondenz in Datenschutzangelegenheiten: team@albumqr.io.