Datenschutzerklärung Fotodesign Winklmeier

1 Verantwortlicher und allgemeine Grundlagen

Verantwortlicher

Fotodesign Winklmeier
Inhaber Martin Winklmeier
Reiterbergstraße 34a
84332 Hebertsfelden
Deutschland

Telefon: +49 1520 2908652
E-Mail: info@fotodesign-winklmeier.de

Daten und Rechtsgrundlagen

Personenbezogene Daten sind Informationen, anhand derer eine Person unmittelbar oder mittelbar erkennbar ist. Dazu zählen beispielsweise Namen, Kontaktdaten, Vertragsangaben, Bilddateien und IP-Adressen. Wir erhalten Daten von Ihnen selbst, durch die fotografische Aufnahme, bei der Nutzung unserer Angebote sowie gegebenenfalls von Auftraggebern, Veranstaltern oder Sorgeberechtigten. Die jeweils betroffenen Daten und Zwecke erläutern die folgenden Bereiche.

Für Anfragen und Leistungen, die einen Vertrag mit Ihnen betreffen, ist Artikel 6 Absatz 1 Buchstabe b DSGVO maßgeblich. Gesetzliche Pflichten, insbesondere steuerliche Aufbewahrungen, beruhen auf Buchstabe c. Eine erteilte Einwilligung bildet nach Buchstabe a die Grundlage für die darin bezeichnete Verarbeitung. Für berechtigte Interessen verwenden wir Buchstabe f; das jeweilige Interesse wird beim Verarbeitungsvorgang erläutert. Dabei sind die Interessen und Rechte der betroffenen Personen abzuwägen, bei Kindern mit besonderem Gewicht.

Bestimmte Angaben benötigen wir zur Terminabstimmung, Durchführung und Abrechnung eines Auftrags. Ohne diese Informationen kann die gewünschte Leistung gegebenenfalls nicht erbracht werden. Freiwillige Angaben und eine gesonderte Freigabe von Bildern für Eigenwerbung sind davon zu unterscheiden. Pflichtfelder sind im jeweiligen Formular gekennzeichnet.

Empfänger und internationale Verarbeitung

Daten erhalten nur Empfänger, die für den jeweiligen Zweck benötigt werden. Dazu gehören je nach Vorgang Hosting- und Kommunikationsanbieter, Bildbearbeitungsdienste, Fotolabore und Druckdienstleister, Banken sowie Steuerberater. Bei erforderlicher Rechtsverfolgung oder gesetzlichen Verpflichtungen können auch Rechtsberater, Behörden und Gerichte Empfänger sein. Öffentlich freigegebene Bilder sind zusätzlich für die jeweiligen Plattformnutzer beziehungsweise die Öffentlichkeit zugänglich.

Für eine Verarbeitung durch Dienstleister in unserem Auftrag gelten die Anforderungen des Artikels 28 DSGVO. Banken und Anbieter, die Daten für eigene Vertrags- oder Plattformzwecke verarbeiten, können eigenständig verantwortlich sein. Die Zuordnung richtet sich nach der konkreten Tätigkeit und nicht allein nach dem Namen des Anbieters.

Bei einzelnen Diensten werden Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeitet, insbesondere in den USA. Dafür sind die Voraussetzungen der Artikel 44 ff. DSGVO maßgeblich. Anbieter sehen hierfür insbesondere anwendbare Angemessenheitsbeschlüsse oder EU-Standardvertragsklauseln vor. Das EU-US Data Privacy Framework erfasst nur entsprechend zertifizierte Empfänger und die von ihrer Zertifizierung gedeckten Verarbeitungen. Ein deutscher Hauptserverstandort schließt internationale Zusatzdienstleister nicht automatisch aus.

Die anbieterbezogenen Abschnitte nennen die bekannten Datenwege und verlinken die jeweiligen Informationen. Auskünfte zu den einschlägigen Garantien und zur Möglichkeit, eine Kopie zu erhalten, können Sie über unsere Kontaktdaten anfordern.

2 Website und technische Funktionen

Hosting bei STRATO

Unsere Website, die eigene Onlinegalerie, das Kundenportal einschließlich interner Verwaltung sowie das E-Mail-Postfach info@fotodesign-winklmeier.de werden auf Infrastruktur der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, in Deutschland betrieben. STRATO stellt hierfür die technische Infrastruktur als Auftragsverarbeiter bereit. Das Portal mit der Onlinegalerie ist unter portal-fotodesign-winklmeier.de erreichbar; einzelne Seiten unserer Website (Startseite, Fotografie, Workshops, Kontakt) laden Bilder und Workshop-Angaben unmittelbar von dort, also ebenfalls von STRATO-Servern in Deutschland. Unsere Kontaktadresse ist einheitlich info@fotodesign-winklmeier.de. Das zusätzliche Postfach fotodesign-winklmeier@outlook.de besteht weiterhin, wird in unseren Unterlagen aber nicht mehr als Kontaktadresse genannt; dort eingehende Nachrichten bearbeiten wir über Microsoft. Auf dem Smartphone rufen wir außerdem das STRATO-Postfach mit der Outlook-App von Microsoft ab; Einzelheiten stehen in Bereich 3 unter E-Mail über Microsoft.

Beim Abruf werden IP-Adresse, Zeitpunkt, angeforderte Seite oder Datei, Antwortstatus und übertragene Datenmenge verarbeitet. Je nach Anfrage kommen Browser-, Betriebssystem- und Referrerangaben hinzu. Dies dient der Auslieferung der Inhalte, Fehleranalyse und Angriffserkennung. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse besteht in einem sicheren und zuverlässig erreichbaren Angebot. Für die erforderliche Bereitstellung eines beauftragten Kundenbereichs gilt zusätzlich die vertragliche Grundlage nach Buchstabe b.

STRATO nennt für vollständige Besucher-IP-Adressen zur Angriffserkennung eine Speicherdauer von höchstens sieben Tagen. Bei konkreten Vorfällen können erforderliche Nachweise bis zur Klärung oder Rechtsverteidigung länger aufbewahrt werden. Eine paketabhängige Verfügbarkeit älterer Hostingprotokolle bedeutet keine pauschale gleich lange Speicherung vollständiger IP-Adressen. STRATO-Datenschutzinformationen

Cookies und Browserspeicher

Das Kontaktformular und geschützte Bereiche verwenden Sitzungscookies zur Zuordnung und Absicherung der Sitzung. Das Kundenportal nutzt außerdem Session Storage für die Anmeldung sowie Local Storage für ausgewählte Erinnerungen und Vorbereitungslisten. Diese Speicherungen ermöglichen die vom Nutzer aufgerufenen Funktionen.

Soweit die Speicherung beziehungsweise das Auslesen für eine ausdrücklich gewünschte Funktion unbedingt erforderlich ist, gilt § 25 Absatz 2 Nummer 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten beruht bei Auftragsfunktionen auf Artikel 6 Absatz 1 Buchstabe b DSGVO, bei notwendigen Sicherheitsfunktionen auf Buchstabe f. § 25 TDDDG

Ein Neuladen innerhalb derselben Sitzung kann den Login erhalten. Nach 30 Minuten ohne Bedienung wird der Kundenbereich gesperrt. Beim Abmelden oder Sperren werden die zugehörigen Anmeldedaten entfernt oder ungültig. Dauerhafte lokale Einstellungen können bis zu ihrer Änderung oder dem Löschen der Websitedaten im Browser bestehen bleiben. Das Löschen kann Einstellungen zurücksetzen und eine erneute Anmeldung erforderlich machen.

Schriften und externe Verlinkungen

Schriftdateien werden vom eigenen Webspace geladen. Google Maps und soziale Netzwerke sind auf der Website verlinkt; ihre Inhalte werden darüber nicht automatisch eingebettet. Beim Öffnen eines Links rufen Sie das Angebot des jeweiligen Anbieters auf.

Google Analytics und Google-Ads-Conversion-Tracking werden auf der Website derzeit nicht eingesetzt. Die Hosting- und Sicherheitsprotokolle bleiben hiervon unberührt.

Wetter und Lichtplanung

Der Wetter- und Lichtplaner ruft Wetterdaten über die Schnittstelle api.brightsky.dev ab. Bright Sky bereitet Daten des Deutschen Wetterdienstes auf. Die Anfrage erfolgt direkt aus Ihrem Browser. Dabei werden Ihre IP-Adresse, Abrufzeitpunkt und die technisch übermittelten Browser- beziehungsweise Verbindungsangaben für die Anfrage verarbeitet. Übertragen werden außerdem fest eingestellte Ortskoordinaten von Hebertsfelden; der Standort Ihres Geräts wird hierfür nicht bestimmt.

Zweck ist die Anzeige aktueller Wetter- und Lichtinformationen zur Planung von Fotoaufnahmen. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO mit dem Interesse an einer hilfreichen Termin- und Aufnahmeplanung. Der eingebundene Planer erstellt selbst keine Nutzerprofile. Für eine mögliche Protokollierung beim API-Betreiber ist uns keine verbindliche konkrete Löschfrist mitgeteilt worden. Weitere Informationen bietet die Bright-Sky-Projektseite.

3 Kontakt und Kommunikation

Anfragen und geschäftliche Kommunikation

Bei einer Anfrage verarbeiten wir die mitgeteilten Namen, E-Mail-Adressen, Telefonnummern, Anliegen, Leistungs- und Terminwünsche sowie Nachrichtentexte und Anhänge. Hinzu kommen Versand-, Empfangs- und technische Zustellinformationen.

Die Verarbeitung dient der Beantwortung, Beratung, Terminabstimmung und Auftragsabwicklung. Für vertragsbezogene Anfragen gilt Artikel 6 Absatz 1 Buchstabe b DSGVO. Bei sonstigen Anliegen gilt Buchstabe f mit dem Interesse an einer verlässlichen geschäftlichen Kommunikation. Aufbewahrungspflichtige Korrespondenz wird auf Grundlage von Buchstabe c gespeichert. Erforderliche Kunden- und Auftragsinformationen werden in unserem eigenen Kundenportal dokumentiert. Die Löschfristen in Bereich 9 gelten auch für diese Dokumentation.

E-Mail über STRATO und Kontaktformular

Das Postfach info@fotodesign-winklmeier.de wird auf Mailservern von STRATO in Deutschland betrieben. STRATO verarbeitet für die Bereitstellung des Postfachs insbesondere Absender- und Empfängeradressen, Nachrichteninhalte, Anhänge sowie technische Versand- und Zustellinformationen in unserem Auftrag. Wir greifen über STRATO-Webmail im Browser, über die Outlook-App von Microsoft auf dem Smartphone (siehe E-Mail über Microsoft), über die Postfach-Funktion unseres eigenen Portals sowie – für die in Bereich 9 beschriebene verschlüsselte Datensicherung – lesend über unser eigenes Windows-Programm „Fotokammerl“ auf dieses Postfach zu. Auch E-Mails, die wir aus dem Portal versenden, etwa Auftragsbestätigungen oder Rechnungen, gehen über dieses STRATO-Postfach. Bei der Bearbeitung im Portal werden die hierfür erforderlichen E-Mail-Daten zusätzlich auf der bei STRATO gehosteten Portal-Infrastruktur verarbeitet. Für übernommene E-Mails und Anhänge gelten die nach ihrem Inhalt maßgeblichen Lösch- und Aufbewahrungsregeln in Bereich 9.

Das eigene Formularprogramm auf unserem STRATO-Webspace versendet Ihre Anfrage über eine verschlüsselte Verbindung an dieses STRATO-Postfach. Das Kontaktformular selbst legt keine zusätzliche Datenbankkopie des Nachrichtentexts auf der Website an. Die anschließende Dokumentation erforderlicher Kunden- und Auftragsinformationen im Kundenportal erfolgt zur Bearbeitung Ihres Anliegens.

Weitere Informationen: STRATO-Datenschutzhinweise und STRATO-Vereinbarung zur Auftragsverarbeitung.

E-Mail über Microsoft (Outlook.com und Outlook-App)

Das zusätzliche Postfach fotodesign-winklmeier@outlook.de besteht weiterhin, wird aber nicht mehr als Kontaktadresse genannt; dort eingehende Nachrichten nehmen wir entgegen und bearbeiten sie. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.

Microsoft verarbeitet die zur Bereitstellung und Absicherung des E-Mail-Dienstes erforderlichen Daten, insbesondere Absender- und Empfängeradressen, Nachrichteninhalte, Anhänge sowie technische Verbindungs- und Nutzungsdaten. Microsoft verarbeitet Daten auch für eigene, in seinen Datenschutzbestimmungen erläuterte Zwecke. Eine Verarbeitung außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums, insbesondere in den USA, ist möglich. Microsoft beschreibt hierfür unter anderem EU-Standardvertragsklauseln und das EU-US Data Privacy Framework; dessen Anwendbarkeit hängt vom jeweiligen Empfänger und dem Umfang seiner Zertifizierung ab.

Auf dem Smartphone rufen wir das STRATO-Postfach info@fotodesign-winklmeier.de mit der App „Outlook“ von Microsoft ab. Bei solchen IMAP-Postfächern synchronisiert die App eine Kopie der E-Mails über Rechenzentren von Microsoft. Microsoft verarbeitet dabei insbesondere Absender- und Empfängeradressen, Nachrichteninhalte, Anhänge sowie die für den Abruf nötigen Zugangs- und Verbindungsdaten. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse besteht darin, Anfragen und Auftragsnachrichten auch unterwegs zeitnah zu bearbeiten. Für Übermittlungen außerhalb der EU gelten die vorstehenden Hinweise.

Einzelheiten zu Microsofts Verarbeitung, Übermittlungsgarantien und Datenschutzkontakt enthalten die Microsoft-Datenschutzbestimmungen. Für unsere Bearbeitung der Korrespondenz gelten die oben genannten Zwecke und Rechtsgrundlagen sowie die Löschfristen in Bereich 9.

Nachrichten im Kundenportal

Wenn Sie bereits einen Portalzugang haben, können Sie für auftragsbezogene Mitteilungen die Nachrichten-Funktion in unserem Kundenportal verwenden. Dabei verarbeiten wir Ihre Kunden- und Auftragszuordnung, den Inhalt Ihrer Mitteilung, gegebenenfalls übermittelte Dateien sowie Versandzeitpunkte und erforderliche technische Nutzungsdaten.

Die Nachrichten werden im eigenen, bei STRATO in Deutschland gehosteten Portal gespeichert und für die Bearbeitung Ihres Auftrags verwendet. Die Nutzung dieser Funktion erfordert kein WhatsApp-Konto. Einzelheiten zu Zugang, Verarbeitung und Rechtsgrundlagen stehen in Bereich 6 zum Kundenportal; die Löschfristen finden Sie in Bereich 9.

Transportverschlüsselte E-Mails sind nicht automatisch Ende-zu-Ende-verschlüsselt. Für vertrauliche auftragsbezogene Mitteilungen steht bei vorhandenem Zugang die Nachrichten-Funktion im passwortgeschützten Portal zur Verfügung. Bei besonders sensiblen Unterlagen stimmen wir einen geeigneten Übermittlungsweg mit Ihnen ab.

Schutz des Kontaktformulars

Eigene Prüfungen begrenzen automatisierte und missbräuchliche Anfragen. Hierfür werden ein Sitzungstoken, ein Kontrollfeld, die Ausfülldauer und Anfragezähler verwendet. Aus der IP-Adresse entsteht für den Zähler ein täglich wechselnder, geheimnisgeschützter Prüfwert. Die Zählerdatei enthält die IP-Adresse nicht im Klartext; der Prüfwert bleibt ein pseudonymes Datum. Vergleichbare pseudonyme Zähler schützen die Anmeldung am Kundenportal und an der internen Verwaltung sowie die Widerrufsfunktion.

Der Zähler berücksichtigt Anfragen innerhalb eines Stundenfensters. Abgelaufene Einträge werden bei nachfolgenden Zugriffen bereinigt. Das Ende des Zeitfensters bedeutet deshalb nicht zwingend eine sofortige physische Löschung aller zugehörigen Dateien. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO mit dem Interesse, Spam und Überlastung abzuwehren. Hostingprotokolle werden davon unabhängig verarbeitet.

Telefon und persönliche Gespräche

Wir verarbeiten mitgeteilte Kontaktdaten, Gesprächszeitpunkte, Anliegen, Terminabsprachen und erforderliche Gesprächsnotizen. Telefonate werden weder aufgezeichnet noch automatisch transkribiert. Die Zwecke und Grundlagen entsprechen der geschäftlichen Kommunikation per E-Mail. Wichtige Absprachen werden im Shootingvertrag oder in der zugehörigen Auftragsdokumentation festgehalten.

Kontakt über WhatsApp Business

WhatsApp Business ist ein freiwilliger, eigenständiger Kommunikationsweg. Anbieter ist WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Alternativ erreichen Sie uns per E-Mail, Telefon oder Kontaktformular sowie bei vorhandenem Zugang über die Nachrichten-Funktion im Kundenportal. Sie können jederzeit auf einen anderen Kontaktweg wechseln.

Bei der Nutzung verarbeiten wir Ihre Telefonnummer, sichtbare Profilangaben, Nachrichten und übersandte Medien, Dokumente oder Sprachnachrichten sowie Zeitpunkte und Zustellinformationen. Der Adressbuchzugriff ist auf ausgewählte geschäftliche Kontakte beschränkt.

Nachrichteninhalte sind nach Anbieterangaben Ende-zu-Ende-verschlüsselt. Diese Verschlüsselung umfasst nicht sämtliche Kontakt- und Metadaten. WhatsApp verarbeitet daneben insbesondere Konto-, Geräte-, Verbindungs- und Nutzungsdaten, etwa Telefonnummer, IP-Adresse und Informationen zur Nutzung des Dienstes. Einzelheiten enthalten die WhatsApp-Datenschutzhinweise für den Europäischen Wirtschaftsraum.

Soweit WhatsApp Kundenkontaktinformationen in unserem Auftrag verarbeitet, gelten die WhatsApp Business Datenverarbeitungsbedingungen. Daneben verarbeitet WhatsApp Daten in eigener Verantwortung. Internationale Übermittlungen sind möglich; für bestimmte Übermittlungen an WhatsApp LLC und Meta Platforms, Inc. in den USA nennt WhatsApp das EU-US Data Privacy Framework. Weitere Informationen: Bedingungen für die WhatsApp Business App und Zusatz zu internationalen Datenübermittlungen.

Für unsere auftragsbezogene Kommunikation gilt Artikel 6 Absatz 1 Buchstabe b DSGVO, für sonstige Anliegen Buchstabe f. Unser Interesse ist die Bearbeitung des von Ihnen gewählten Kontaktwegs. Die Kontaktaufnahme ist keine Einwilligung in Werbung.

Auftragsbezogene WhatsApp-Chats löschen wir sechs Monate nach Bildbereitstellung. Für Anfragen ohne Auftrag gelten die allgemeinen Anfragefristen aus Bereich 9: sechs Monate nach der letzten Kommunikation beziehungsweise unverzüglich nach einer endgültigen ersatzlosen Absage, soweit keine weiterhin erforderlichen Nachweise bestehen. Weiterhin erforderliche Vertragsabsprachen und aufbewahrungspflichtige Inhalte werden vor der Chatlöschung gesondert im Kundenportal dokumentiert und nach den dafür geltenden Fristen aufbewahrt. Die Löschung unserer Chatkopie erfasst weder Ihre eigene Chatkopie noch Daten, die WhatsApp in eigener Verantwortung verarbeitet.

4 Fotoaufträge und beteiligte Personen

Anfragen und vereinbarte Leistungen

Wir verarbeiten Kontakt- und Rechnungsdaten, Vertragsnummern und -daten, Shootingart und -zweck, Aufnahmeort und -zeit, Leistungsumfang, Bearbeitungswünsche, Auswahl- und Lieferfristen, Preise, Zahlungsstatus sowie Reklamationen. Dazu gehören erforderliche Begleitpersonen- und Teilnehmerangaben, Nebenabreden, Unterschriften und dokumentierte Erklärungen zum Vertrag oder zu gesetzlichen Widerrufsrechten.

Diese Daten dienen Beratung, Angebot, Terminplanung, Durchführung, Bildauswahl, Bereitstellung, Abrechnung und Nachbearbeitung. Entsprechendes gilt für gebuchte Workshops und Bildoptimierungen. Wir verwalten Kunden-, Kontakt-, Termin- und Auftragsangaben zentral in unserem eigenen Kundenportal bei STRATO. Angebote, Auftragsbestätigungen und Rechnungen erstellen wir ebenfalls im Portal; Einzelheiten zur Abrechnung stehen in Bereich 8.

Bei einem Vertrag mit der betroffenen Person gilt Artikel 6 Absatz 1 Buchstabe b DSGVO. Für Ansprechpartner eines Unternehmens, die nicht selbst Vertragspartei sind, ist Buchstabe f mit dem Interesse an der Organisation des beauftragten Projekts maßgeblich. Gesetzliche Dokumentationspflichten beruhen auf Buchstabe c; erforderliche Rechtsverteidigung auf Buchstabe f. Vor dem Shooting erhalten Vertragspartner und Teilnehmer unsere „Datenschutzhinweise für Fotoshootings“; der Vertrag bestätigt nur deren Erhalt – Einwilligungen holen wir stets gesondert ein. Ihre Vertragskopie erhalten Sie auf Papier oder, wenn Sie das wünschen, als PDF per E-Mail.

Geschenkgutscheine

Gutscheine verkaufen wir persönlich oder aus der Ferne: Die Anfrage erreicht uns über das Kontaktformular der Website (Vorauswahl „Gutschein“), per E-Mail oder Telefon; der Vertrag kommt per E-Mail oder Telefon zustande. Vor einem Kauf aus der Ferne erhalten Sie unsere AGB und die Widerrufsinformationen per E-Mail. Dabei verarbeiten wir Name, Anschrift und Kontaktdaten des Käufers, den gewünschten Wert oder die gewünschte Leistung, den Anlass und – sofern mitgeteilt – den Namen der beschenkten Person, außerdem Gutscheinnummer, Ausstellungsdatum, Zahlungsstatus, Einlösungen und Restwert.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO für Angebot, Ausstellung, Zahlung und Einlösung sowie Buchstabe c für Rechnung und Buchführung. Gutscheindaten speichern wir bis zum Ende der Gültigkeit (drei Jahre ab Ende des Kaufjahres) und, solange ein Restwert offen ist, bis zur vollständigen Einlösung; Rechnungen und Buchungsbelege bewahren wir nach den gesetzlichen Fristen in Bereich 9 auf. Gutscheinnummern und Einlösungen verwalten wir in unserem Portal (Bereich 6); beim Einlösen in einer Galerie oder Bestellung wird der Gutschein dem jeweiligen Auftrag zugeordnet. Für den Widerruf eines aus der Ferne gekauften Gutscheins steht auch die Online-Widerrufsfunktion in Bereich 10 zur Verfügung.

Volljährige Kunden und weitere Erwachsene

Bei volljährigen Privatkunden werden insbesondere Name, Anschrift, E-Mail, Telefonnummer, Volljährigkeitsbestätigung und Unterschrift verarbeitet. TFP-Vereinbarungen schließen wir nur mit volljährigen Models; dabei bestätigen Sie Ihre Volljährigkeit, und Geburtsdatum und Alter können zur Vertrags- und Rechteverwaltung hinzukommen.

Weitere erkennbare Erwachsene sind eigenständige betroffene Personen. Der Auftraggeber kann nicht ohne entsprechende Berechtigung für sie in Veröffentlichungen einwilligen. Soweit diese Personen nicht selbst Vertragspartei sind, stützen wir ihre einvernehmliche Teilnahme und die vereinbarte private Bildbereitstellung auf eine erforderliche Einwilligung oder auf das im konkreten Fall überwiegende berechtigte Interesse an der gemeinsam gewünschten Aufnahme. Bei einer Einwilligung gilt Artikel 6 Absatz 1 Buchstabe a DSGVO, bei der Interessenabwägung Buchstabe f. Eine Veröffentlichung für Eigenwerbung wird gesondert behandelt.

Minderjährige und Sorgeberechtigte

Bei minderjährigen Kunden verarbeiten wir zusätzlich Name, Geburtsdatum und Alter des Kindes, die erforderlichen Kontaktdaten der Sorgeberechtigten, Angaben zur Vertretungs- beziehungsweise Sorgerechtslage und gegebenenfalls dazugehörige Nachweise. Erfasst werden außerdem die erforderlichen Zustimmungen, Unterschriften und die altersgerechte Beteiligung des Kindes.

Beim entgeltlichen Shooting ist nach unserem Vertragsmuster die als Auftraggeber bezeichnete Person Vertragspartner. Eine zweite sorgeberechtigte Person wird durch ihre Vertretungszustimmung nicht automatisch zahlungspflichtig. TFP-Shootings bieten wir für Minderjährige nicht mehr an.

Vertragsdaten verarbeiten wir im erforderlichen Umfang nach Artikel 6 Absatz 1 Buchstabe b DSGVO. Für die auf Einwilligung beruhende Aufnahme und Verwendung von Kinderbildern gilt Buchstabe a. Die erforderlichen Erklärungen der Sorgeberechtigten werden dokumentiert. Ist das Kind ausreichend einsichtsfähig, wird seine eigene Zustimmung zusätzlich berücksichtigt und dokumentiert. Aufnahmen und Nutzungen erfolgen nicht gegen den erkennbaren Willen des Kindes. Eine Freigabe zur Veröffentlichung holen wir ausschließlich mit dem gesondert unterschriebenen Formular „Veröffentlichungseinwilligung Minderjährige“ ein – bezogen auf die Anzahl der Bilder, die Medien und die gewählte Dauer; der Shootingvertrag selbst enthält keine solche Einwilligung.

Private Veranstaltungen und Gäste

Bei Hochzeiten und privaten Feiern werden neben den Auftraggebern weitere Gäste erfasst. Dazu gehören Bilddaten, Aufnahmeort und -zeit sowie die Veranstaltungszuordnung; notwendige organisatorische Informationen können vom Gastgeber stammen.

Für Übersichts-, Gruppen- und Stimmungsaufnahmen zur privaten Veranstaltungsdokumentation kommt Artikel 6 Absatz 1 Buchstabe f DSGVO in Betracht. Abgewogen werden der Dokumentationswunsch, die berechtigten Erwartungen der Gäste, die Aufnahmesituation und mögliche Nachteile. Besonders hervorgehobene Einzelportraits und Nahaufnahmen erfolgen nach vorheriger Zustimmung. Für Kinder gelten die besonderen Schutzanforderungen des vorstehenden Abschnitts.

Der Kunde wird beauftragt, den Veranstaltungshinweis „Heute wird fotografiert“ vor Beginn der Aufnahmen gut sichtbar am Eingang auszuhängen. Er enthält den Link und QR-Code zu diesen Datenschutzinformationen sowie einen Hinweis zu Kindern. Gäste können der Aufnahme jederzeit widersprechen (Artikel 21 DSGVO) und dies uns oder der benannten Ansprechperson mitteilen; dieser Wunsch wird ohne Nachteil berücksichtigt. Die Anwesenheit allein ist keine Einwilligung in Eigenwerbung oder öffentliche Veröffentlichungen.

Fotobox „Fotokistn“

Mit unserer Fotobox „Fotokistn“ fotografieren sich die Gäste einer Feier selbst: Eine Aufnahme entsteht erst, wenn ein Gast sie am Touchscreen auslöst. Verarbeitet werden die Bilddaten der aufgenommenen Personen, der Aufnahmezeitpunkt, das gewählte Format und Drucklayout sowie gegebenenfalls der gewählte virtuelle Hintergrund. Für einen eigenen Hintergrund oder ein persönliches Drucklayout verarbeiten wir zusätzlich die Inhalte, die uns der Auftraggeber dafür übermittelt, etwa ein Firmenlogo, Namen oder ein Datum. Anfragen zur Fotokistn – etwa mit Datum, Ort, Anlass und Gästezahl – verarbeiten wir wie in Bereich 3 beschrieben.

Die Bilder werden auf der Fotokistn selbst aufgenommen, gedruckt und gespeichert. Den Austausch einer grünen Fläche gegen einen virtuellen Hintergrund berechnet die Fotokistn auf dem Gerät; Personen werden dabei nicht identifiziert. Für den Download per QR-Code stellt die Fotokistn ein eigenes, lokales WLAN bereit: Das Smartphone lädt das Foto, dessen QR-Code es scannt, direkt von der Box – ohne Internetverbindung und ohne Übertragung an Dritte. Die dabei technisch anfallenden Verbindungsdaten des Smartphones, etwa die im lokalen Netz vergebene Adresse, dienen nur dieser Übertragung.

Nach der Veranstaltung stellen wir dem Auftraggeber alle Bilder in einer passwortgeschützten Onlinegalerie bereit (Bereich 6). Die Galerie steht acht Wochen ab Bereitstellung zur Verfügung; danach wird sie automatisch geschlossen, und ihre Bilddateien werden sieben Tage später endgültig gelöscht. Spätestens dann löschen wir die Bilder auch auf der Fotokistn und in unseren Arbeitskopien. Dasselbe gilt für einen eigens übermittelten Hintergrund oder ein Logo. Eine längere Aufbewahrung der Bilder wie bei Fotoaufträgen findet nicht statt; für Sicherungskopien gelten die Hinweise in Bereich 9. Ausgedruckte und auf Smartphones geladene Fotos verbleiben bei den Gästen, aus der Galerie heruntergeladene Bilder beim Auftraggeber.

Rechtsgrundlage für die Leistung gegenüber dem Auftraggeber ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Die Gäste entscheiden selbst, ob sie die Fotokistn benutzen. Für Aufnahme, Druck, Download und die Bereitstellung an den Auftraggeber stützen wir uns auf Buchstabe f; das berechtigte Interesse liegt in Erinnerungsfotos der Feier, die die Gäste selbst auslösen und die der Gastgeber erhält. Wer ein eigenes Bild nicht in der Galerie des Auftraggebers haben möchte, kann widersprechen (Artikel 21 DSGVO) – bei uns oder beim Auftraggeber; das Bild wird dann aus der Galerie und von der Fotokistn gelöscht. Bei Kindern gewichten wir deren Interessen in der Abwägung besonders; Eltern können den Widerspruch für ihr Kind einlegen. Auf bereits ausgedruckte, aufs Smartphone geladene oder vom Auftraggeber heruntergeladene Fotos haben wir keinen Zugriff mehr. Eine Veröffentlichung oder Nutzung für Eigenwerbung erfolgt nur mit gesonderter Einwilligung der abgebildeten Personen.

Bilddaten und besonders geschützte Informationen

Verarbeitet werden Aufnahmen, RAW-Dateien, Vorschauen, fertige Bilder, Auswahl- und Bearbeitungsinformationen sowie technische Metadaten und Auftragszuordnungen. Die Aufnahme und Bearbeitung dienen dem jeweiligen vereinbarten Fotografie-Zweck; maßgeblich ist die für die betroffene Person oben beschriebene Rechtsgrundlage.

Ein erkennbares Gesicht macht ein Foto nicht automatisch zu einem biometrischen Identifikationsdatensatz. Wir verwenden keine Gesichtserkennung zur eindeutigen Identifizierung und erstellen keine solchen Identifikationsprofile. Gesundheitsangaben fragen wir nicht ab. Soweit Bilder oder freiwillige Zusatzangaben besonders geschützte Informationen, etwa zur Gesundheit, enthalten und deren Verarbeitung unter Artikel 9 DSGVO fällt, ist zusätzlich eine dort vorgesehene Erlaubnis erforderlich, insbesondere eine ausdrückliche Einwilligung; in der Veröffentlichungseinwilligung ist dafür ein eigenes Ankreuzfeld vorgesehen. Eine allgemeine Vertragsunterschrift ersetzt diese nicht.

5 Bildbearbeitung und eingesetzte Programme

Bearbeitung auf eigenen Geräten

Für die Bildentwicklung und Bearbeitung verwenden wir DxO PureRAW 6, Capture One, Nikon NX Studio und Luminar Neo. Lokal arbeitende Funktionen verarbeiten die Bilder auf unseren Arbeitsgeräten und Speichersystemen. Lizenz-, Update- oder Diagnosedaten des Programms sind von einer Übermittlung der Kundenbilder zu unterscheiden.

DxO bestätigt die lokale Bildverarbeitung ohne Übertragung an seine Server. Capture One beschreibt seine eigenen KI-Bearbeitungsfunktionen ebenfalls als lokal; seine Photoroom-Integration und gesonderte Online-Dienste sind hiervon ausgenommen. Der gewöhnliche NX-Studio-Ablauf ist von einem separat ausgelösten Nikon-Cloud-Upload zu unterscheiden. DxO zur lokalen Verarbeitung, Capture-One-Informationen, NX-Studio-Anleitung

Luminar Neo von Shinyfields Limited, Zypern, wird für den Himmelaustausch und weitere Bearbeitungswerkzeuge verwendet. Die Online-Funktion „Wiederherstellung“ wird derzeit nicht eingesetzt. Ein künftiger Einsatz zusätzlicher Online-Funktionen mit personenbezogenen Bildern erfordert eine vorherige Prüfung und entsprechende Ergänzung der Datenschutzinformationen. Skylum-Datenschutzinformationen, Informationen zur Wiederherstellung

Evoto und internationale Bildverarbeitung

Für Retusche und Optimierung verwenden wir Evoto. Nach den Anbieterbedingungen ist für Nutzer außerhalb der USA grundsätzlich TRUESIGHT PTE. LTD., Singapur, vorgesehen. Bearbeitet werden Bildinhalte einschließlich erkennbarer Personen, Vorschauen, technische Bildinformationen und Bearbeitungsparameter; hinzu kommen technische Verbindungs- und Nutzungsdaten.

Evoto überträgt auch bei lokalen Projekten Vorschaubilder zur Verarbeitung an AWS-Server in den USA. Die optionale Cloud-Projektverwaltung und Cloud-Synchronisation nutzen wir nicht. Je nach Bildfunktion, insbesondere KI-Farbe oder AI Lab, können zusätzliche Bilddateien beziehungsweise Originale übermittelt werden. Ein lokales Projekt bedeutet daher keine ausschließlich lokale Bildverarbeitung.

Evoto beschreibt die Löschung der Eingaben nach Verarbeitung und eine Zwischenspeicherung der Ergebnisse für bis zu acht Tage. Für gesonderte Bildfunktionen können abweichende Abläufe gelten. Der veröffentlichte DPA sieht die Verarbeitung von Kundeninhalten im Auftrag und EU-Standardvertragsklauseln für internationale Übermittlungen vor. Evoto-Datenschutzzentrum, Evoto-DPA, Unterauftragnehmer

Einer optionalen Verwendung der Kundeninhalte zum Training generativer KI haben wir nicht zugestimmt. Die notwendige Verarbeitung für die angeforderte Bildbearbeitung ist davon zu unterscheiden. Evoto-Datenschutzerklärung

Die Bearbeitung erfolgt für den im Auftrag festgelegten Zweck auf der für die betroffene Person geltenden Grundlage aus Bereich 4. Wesentliche Körper-, Gesichts- oder Inhaltsänderungen und besondere generative Bearbeitungen müssen gesondert vereinbart sein. Ergebnisse werden vor Bereitstellung von uns geprüft. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Artikel 22 DSGVO statt.

6 Kundenportal und Onlinegalerien

Kundenportal und zentrale Kundenverwaltung

Wir führen die für unsere Kundenbeziehungen erforderlichen Kunden-, Kontakt- und Auftragsdaten zentral in unserem eigenen, passwortgeschützten Kundenportal. Das Portal einschließlich der internen Verwaltung wird bei STRATO auf Servern in Deutschland gehostet. Verarbeitet werden insbesondere Namen, Anschriften, E-Mail-Adressen, mitgeteilte Telefonnummern, Kunden- und Auftragszuordnungen, Vertragsangaben, Termine, Leistungen, Fortschritt, Hinweise, Aufgaben, Nachrichten, Dateien, Galerieverweise, Angebote, Auftragsbestätigungen, Rechnungen und Zahlungsstatus. Zur internen Organisation gehören außerdem erforderliche Bearbeitungsvermerke, Zeit- und Kostenangaben.

Kunden erhalten Zugriff auf die ihnen zugeordneten Auftragsinformationen und können die Nachrichten-Funktion für die Kommunikation mit uns nutzen. Die interne Verwaltung im Mitarbeiterportal erfolgt aktuell ausschließlich durch Martin Winklmeier – im Browser, über unser eigenes Windows-Programm „Fotokammerl“, das dieselbe Portaloberfläche anzeigt und daneben die in Bereich 9 beschriebene Datensicherung ausführt, sowie als App auf dem Smartphone. Kunden- und Auftragsdaten, Nachrichten und Rechnungen sind im Portal verschlüsselt gespeichert; freigegebene Kundenportale sind zusätzlich gesondert verschlüsselt. Hosting und technischer Betrieb bei STRATO sind in Bereich 2 beschrieben. Angebote, Auftragsbestätigungen und Rechnungen erstellen wir ebenfalls in unserem Portal; die dazugehörige Verarbeitung ist in Bereich 8 beschrieben. Zusätzliche Verarbeitungen bei E-Mail- und WhatsApp-Kommunikation, Bildbearbeitung, Fotoproduktion, Zahlungsverkehr und Datensicherung erläutern die jeweiligen Bereiche dieser Erklärung.

Damit wir Nachrichten, Rückmeldungen, hochgeladene Dateien und Bestellungen aus dem Kundenportal zeitnah bemerken, schickt uns das Portal eine kurze Benachrichtigung auf das Smartphone. Sie enthält nur die Art des Ereignisses und eine interne Auftragsbezeichnung (Shootingart und Datum), weder Namen noch Nachrichtentexte. Zugestellt wird sie Ende-zu-Ende-verschlüsselt über den Push-Dienst des Smartphone-Browsers, unter Android über Firebase Cloud Messaging der Google Ireland Limited, Irland. Google erhält dabei nur den verschlüsselten Inhalt sowie technische Zustelldaten wie Gerätekennung, Zeitpunkt und Größe. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse besteht darin, Anfragen und Bestellungen schnell zu bearbeiten. Die für die Zustellung nötigen Angaben speichern wir verschlüsselt, solange die Benachrichtigungen auf dem Gerät eingerichtet sind. Für Übermittlungen außerhalb der EU gelten die Hinweise in Bereich 1.

Anmeldezeitpunkte und abgerufene Auftragsstände können zur Absicherung und Nachvollziehbarkeit der Bereitstellung gespeichert werden. Ein bloßer Seitenaufruf gilt nicht als rechtliche Zustimmung. Ausdrücklich abgegebene Kundenbestätigungen werden als solche dokumentiert. Der „virtuelle Martin“ bietet vorbereitete Texte und im Kundenportal hinterlegte Audiohinweise. Beim Abruf entstehen übliche Hostingdaten; es werden dafür keine individuellen Kundennachrichten an einen KI-Chatdienst übermittelt.

Die auftragsbezogene Verarbeitung beruht auf Artikel 6 Absatz 1 Buchstabe b DSGVO. Für Ansprechpartner, Sicherheitsmaßnahmen und erforderliche Bereitstellungsnachweise gilt Buchstabe f mit dem Interesse an einer geordneten, sicheren Auftragsabwicklung. Gesetzliche Aufbewahrungen beruhen auf Buchstabe c. Browserspeicher und Sitzungslaufzeiten stehen in Bereich 2. Für sämtliche im Portal gespeicherten Daten gelten die ihrem Inhalt und Zweck entsprechenden Löschfristen in Bereich 9. Die Speicherung oder Übernahme in das Portal beginnt keine neue Aufbewahrungsfrist. Nicht mehr erforderliche Portalnachrichten, Hinweise und Dateien werden sechs Monate nach Auftragsabschluss gelöscht; erforderliche Vertrags- und Abrechnungsunterlagen werden nach den gesonderten Aufbewahrungsregeln behandelt.

Eigene Onlinegalerie bei STRATO

Die Onlinegalerie wird von Fotodesign Winklmeier selbst betrieben und verwaltet. Die Galeriesoftware ist Teil unseres Portals; die darin bereitgestellten Kundenbilder liegen im STRATO-Speicherdienst HiDrive auf Servern in Deutschland. STRATO stellt die technische Hosting-Infrastruktur als Auftragsverarbeiter bereit. Anbieterangaben und Informationen zum Hosting stehen in Bereich 2.

Verarbeitet werden die ausgewählten Bilddateien, Galeriebezeichnung, Auftragszuordnung, Zugangsdaten sowie erforderliche technische Abruf- und Auswahlinformationen. Bestellen Sie über die Galerie zusätzliche Bilder, Fotoprodukte oder Karten, speichern wir Bestellnummer, Positionen, Preise, Zahlungs- und Freigabestatus im Portal; freigegebene Downloads stehen mindestens 14 Tage bereit. Der Zugang zur Kundengalerie ist passwortgeschützt und wird dem jeweiligen Kunden beziehungsweise den für die Galerie berechtigten Personen bereitgestellt. Eine öffentliche Beispielgalerie enthält keine Personenaufnahmen.

Die Bereitstellung dient der vereinbarten Bildauswahl, Ansicht, Lieferung und gegebenenfalls Bestellung. Es gilt die für den jeweiligen Auftrag und die abgebildeten Personen beschriebene Rechtsgrundlage. Die Kundengalerie steht acht Wochen ab Bereitstellung der fertigen Bilder zur Verfügung – maßgeblich ist der Zeitpunkt, ab dem Sie die Bilder in der Galerie sehen können. Danach wird sie automatisch geschlossen und in den Papierkorb unseres Portals verschoben; sieben Tage später werden ihre Bilddateien automatisch endgültig gelöscht. Eine Woche vor Ablauf erinnern wir per E-Mail an die verbleibende Zeit, sofern im Auftrag eine E-Mail-Adresse hinterlegt ist. Galerien, die vor dem 14. Oktober 2026 bereitgestellt wurden, laufen nach der bisherigen Regel acht Wochen ab dem Shootingtermin. Der Zugang zum Kundenportal ist von dieser Galeriefrist nicht betroffen. Für die übrigen Auftragsdaten gelten die zweckbezogenen Löschregeln in Bereich 9.

Fotolabor und Druckdienstleister: Saal Digital

Für die Herstellung bei uns bestellter Fotoabzüge und Fotoprodukte beauftragen wir die Saal Digital Fotoservice GmbH, Zeppelinstraße 36, 91187 Röttenbach, als Fotolabor und Druckdienstleister. Für die auftragsbezogene Verarbeitung besteht ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO.

Wir übermitteln ausschließlich die für den jeweiligen Druck- oder Produktauftrag erforderlichen Bilddateien und Bestellangaben, etwa Bildauswahl, Format, Material und Stückzahl. Soweit ein Direktversand an den Kunden vereinbart ist, erhält das Fotolabor zusätzlich die dafür erforderlichen Lieferdaten. Die Übermittlung dient der Herstellung und gegebenenfalls dem Versand der bestellten Fotoprodukte.

Für die Erfüllung des Fotoproduktauftrags mit dem Auftraggeber gilt Artikel 6 Absatz 1 Buchstabe b DSGVO. Für die Bilddaten weiterer abgebildeter Personen gilt die für den jeweiligen Auftrag beschriebene Rechtsgrundlage aus Bereich 4. Die Löschung der im Auftrag verarbeiteten Bilddaten richtet sich nach dem Auftragsverarbeitungsvertrag und unseren zweckbezogenen Weisungen. Erforderliche Produktions- und Reklamationsbearbeitung sowie gesetzliche Aufbewahrungspflichten für Geschäftsunterlagen sind gesondert zu berücksichtigen. Die Bereitstellungsfrist unserer Kundengalerie ist davon unabhängig. Saal-Datenschutzerklärung

7 Bildveröffentlichung und Unternehmensprofile

Eigenwerbung, Veröffentlichungseinwilligung und TFP

Bilder aus regulären entgeltlichen Aufträgen stellen wir für die vereinbarte private Nutzung in der geschützten Kundengalerie bereit. Eigene Veröffentlichungen von Personenbildern erfolgen ausschließlich auf Grundlage einer gesondert unterschriebenen „Veröffentlichungseinwilligung“ (Formular für Volljährige beziehungsweise für Minderjährige durch die Sorgeberechtigten) oder einer TFP-Vereinbarung mit einem volljährigen Model. Eine Einwilligung über unsere AGB oder den Shootingvertrag holen wir nicht ein. TFP bezeichnet einen vereinbarten Leistungsaustausch mit Bildbereitstellung und festgelegten Nutzungsrechten.

Für jede Veröffentlichung ist der konkret vereinbarte Bild-, Zweck- und Medienumfang maßgeblich: Die Einwilligung nennt die Anzahl der Bilder, die Medien und die Dauer der Nutzung (Auswahl mit Datum). Aktuell kommen die eigene Website, Instagram, Facebook, das Google-Unternehmensprofil, Flyer, Workshop-Präsentationen, Printmedien sowie Wettbewerbe und Fachmedien in Betracht. Nicht ausgewählte Medien oder Bilder sind nicht freigegeben. Namensnennung und Profilverlinkung richten sich nach der jeweils gesondert dokumentierten Auswahl.

Die TFP-Aufnahme, Lieferung und erforderliche Verwaltung des konkret vereinbarten Leistungsaustauschs beruhen auf Artikel 6 Absatz 1 Buchstabe b DSGVO. Das gilt für eine vertraglich vereinbarte Veröffentlichung nur, soweit sie für diesen Leistungsaustausch tatsächlich erforderlich ist. Beruht eine Veröffentlichung auf einer gesonderten freiwilligen Datenschutz-Einwilligung, gilt Buchstabe a. Die Bildnisfreigabe und eingeräumten Nutzungsrechte, insbesondere nach § 22 KUG, sind zusätzlich zu beachten. Eine Ablehnung freiwilliger Eigenwerbung verhindert die Buchung eines regulären entgeltlichen Shootings nicht.

Freigegebene Bilder werden für die in der Einwilligung gewählte Dauer aufbewahrt und genutzt, längstens solange die vereinbarten Zwecke tatsächlich verfolgt werden und die Nutzungsgrundlage besteht. Wir prüfen dies quartalsweise. Freigaben für Minderjährige enden spätestens mit dem 18. Geburtstag; für eine anschließende Nutzung ist eine neue Erklärung der nun volljährigen Person erforderlich. Ältere TFP-Vereinbarungen mit Minderjährigen aus der Zeit vor Oktober 2026 laufen nach ihren Bedingungen aus; neue TFP-Vereinbarungen schließen wir nur noch mit Volljährigen.

Nach einer wirksamen Beendigung der Nutzung oder einem Zweckfortfall erfolgen keine neuen Veröffentlichungen. Eigene kontrollierbare Online-Veröffentlichungen werden ohne unangemessene Verzögerung entfernt. Bereits verteilte Drucksachen, geteilte Beiträge, fremde Kopien und Suchmaschinen-Caches können sich unserem unmittelbaren Zugriff entziehen. Gesetzliche Lösch- und Informationspflichten bleiben bestehen. Notwendige Nachweise werden getrennt und zweckgebunden weiter aufbewahrt.

Facebook und Instagram

Unsere Unternehmensprofile werden auf Plattformen der Meta Platforms Ireland Limited, Irland, betrieben. Bei Interaktionen erhalten wir je nach Funktion sichtbare Profilinformationen, Kommentare, Reaktionen, Nachrichten und statistische Auswertungen. Wir verwenden diese für Öffentlichkeitsarbeit und Kommunikation auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO; bei konkreten Vertragsanfragen gilt Buchstabe b.

Meta verarbeitet Daten zusätzlich für eigene Plattformzwecke, auch außerhalb des EWR. Für bestimmte Seitenstatistiken kann eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO bestehen. Meta stellt hierfür eine Seiten-Insights-Vereinbarung und Betroffeneninformationen bereit. Ihre Rechte können Sie auch gegenüber uns geltend machen. Meta-Datenschutzhinweise, Vereinbarung zu Seiten-Insights

Bei öffentlichen Veröffentlichungen sind die eigenen Plattformverarbeitungen zu beachten. Meta beschreibt insbesondere eine mögliche Verwendung öffentlich von volljährigen Konten geteilter Inhalte für KI-Training und bietet eine Widerspruchsmöglichkeit an. Der Schutz minderjähriger Konten bedeutet nicht automatisch, dass jedes Kinderfoto auf einem erwachsenen Geschäftskonto ausgenommen ist. Meta zu öffentlichen Inhalten und KI

Google Unternehmensprofil

Wir betreiben ein Unternehmensprofil bei Google Ireland Limited, Irland. Bei Bewertungen und sonstigen Interaktionen können wir Namen beziehungsweise Profilangaben, veröffentlichte Inhalte, Zeitpunkte und statistische Informationen erhalten. Wir nutzen sie zur Darstellung unseres Unternehmens, zur Beantwortung von Bewertungen und zur Kundenkommunikation. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO, bei konkreten Vertragsangelegenheiten Buchstabe b.

Ausgewählte Bewertungen aus diesem Profil zeigen wir unverändert als Kundenstimmen auf unserer Startseite, jeweils mit dem bei Google angegebenen Namen (möglichst gekürzt), dem Anlass und gegebenenfalls der Sternebewertung. Grundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse ist die Darstellung echter Kundenerfahrungen. Auf Wunsch entfernen wir eine Bewertung jederzeit von unserer Website; an der Bewertung bei Google ändert das nichts.

Google verarbeitet Daten zusätzlich für eigene Zwecke und auf internationaler Infrastruktur. Für diese Verarbeitung gelten die Google-Datenschutzhinweise. Eigene Unternehmensprofile sind von einer technischen Einbindung von Google-Diensten in unsere Website zu unterscheiden.

8 Abrechnung, Buchhaltung und Zahlungsverkehr

Angebote, Auftragsbestätigungen und Rechnungen im Portal

Angebote, Auftragsbestätigungen und Rechnungen erstellen und verwalten wir in unserem eigenen, bei STRATO in Deutschland gehosteten Portal. Dabei verarbeiten wir insbesondere Namen, Anschriften, Kontaktdaten, Kunden- und Auftragsnummern, Leistungsbeschreibungen, Angebots- und Rechnungspositionen, Beträge, Steuerangaben, Fälligkeiten sowie Zahlungs-, Bank- und Belegdaten, soweit sie für den jeweiligen Vorgang erforderlich sind.

Die Verarbeitung dient der Angebotserstellung, Dokumentation des Auftrags, Abrechnung, Zahlungszuordnung und Erfüllung steuerlicher sowie buchhalterischer Pflichten. Vertragsbezogene Vorgänge beruhen auf Artikel 6 Absatz 1 Buchstabe b DSGVO, gesetzliche Pflichten auf Buchstabe c. Für eine erforderliche geordnete Unternehmensorganisation gilt Buchstabe f mit diesem berechtigten Interesse.

Informationen zum Hosting und zum Portal stehen in Bereich 2 und Bereich 6. Für Angebote, Auftragsbestätigungen, Rechnungen und sonstige Geschäftsunterlagen gelten die ihrem Inhalt entsprechenden Aufbewahrungsregeln in Bereich 9. Die sechsmonatige Löschfrist für nicht mehr erforderliche Portalnachrichten ersetzt diese gesetzlichen Aufbewahrungspflichten nicht.

Buchhaltung mit Lexware Office

Unsere Buchhaltung, die Einnahmen-Überschuss-Rechnung und die Umsatzsteuer-Voranmeldungen führen wir mit dem Online-Dienst Lexware Office der Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg. Dort erfassen wir die im Portal ausgestellten Rechnungen und Korrekturbelege mit Belegnummer, Datum, Kundenname, Beträgen und Steuerangaben und hinterlegen die jeweilige Rechnung als PDF-Beleg. Zahlungseingänge tragen wir derzeit von Hand in Lexware Office ein (Betrag, Datum und Rechnungsbezug); eine automatische Anbindung unseres Geschäftskontos besteht nicht. Bis September 2026 haben wir Rechnungen unmittelbar in Lexware Office ausgestellt; diese Belege bleiben dort für die gesetzliche Aufbewahrungsdauer gespeichert.

Haufe-Lexware verarbeitet diese Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Artikel 28 DSGVO; nach Anbieterangaben erfolgt der Betrieb in Rechenzentren in Deutschland. Rechtsgrundlage unserer Verarbeitung ist Artikel 6 Absatz 1 Buchstabe c DSGVO für steuer- und handelsrechtliche Pflichten sowie Buchstabe b für die Zahlungszuordnung zum jeweiligen Vertrag. Es gelten die Aufbewahrungsfristen für Geschäftsunterlagen in Bereich 9. Der Steuerberater erhält die erforderlichen Auswertungen und Belege aus dieser Buchhaltung; Einzelheiten stehen im folgenden Abschnitt. Lexware-Office-Datenschutzinformationen

Überweisung und Steuerberatung

Zahlungen an uns erfolgen derzeit per klassischer Banküberweisung. Bankdienstleister ist Solaris SE, Cuvrystraße 53, 10997 Berlin. Dabei werden insbesondere Kontoinhaber, Kontoverbindung, Betrag, Verwendungszweck, Buchungsdatum und Zahlungsstatus verarbeitet. Unsere Verarbeitung dient Vertragsabwicklung und Buchhaltung nach Artikel 6 Absatz 1 Buchstaben b und c DSGVO. Die Bank erfüllt eigene bankvertragliche und gesetzliche Aufgaben. Solaris-Kundeninformationen

Für die Steuerberatung übermitteln wir erforderliche Stammdaten, Rechnungen, Belege, Zahlungsdaten und gegebenenfalls steuerlich relevante Vertrags- oder Kommunikationsunterlagen. Grundlage ist Artikel 6 Absatz 1 Buchstabe c DSGVO für gesetzliche Pflichten beziehungsweise Buchstabe f mit dem Interesse an fachgerechter Beratung. Daraus folgt kein allgemeiner Zugriff des Steuerberaters auf unser Kunden- oder Mitarbeiterportal.

9 Speicherung, Löschung und Ihre Rechte

Eigene Geräte und Datensicherungen

Unsere eigenen UGREEN-NAS-Systeme dienen der Ablage von Bilddateien und Datensicherungen. Zu den Bilddateien gehören Originalaufnahmen und RAW-Dateien, Bearbeitungsstände sowie fertig bearbeitete Kundenbilder. Ein eigenes NAS befindet sich an unserem Betriebsstandort, das zweite an einem weiteren Standort in Deutschland. Die laufende Kunden- und Auftragsverwaltung einschließlich der Erstellung von Angeboten, Auftragsbestätigungen und Rechnungen erfolgt im eigenen Kundenportal bei STRATO. Für die Bildbearbeitung werden erforderliche Arbeitskopien auf unseren Arbeitsgeräten verarbeitet. Die Datensicherung über die beiden NAS erfolgt einmal täglich als verschlüsseltes Backup. Der Standort der eigenen Speichergeräte ist von einem gegebenenfalls genutzten Übertragungsdienst zu unterscheiden. Für die jeweiligen Bilddateien gelten auch auf dem NAS die unten genannten Löschfristen; für Sicherungskopien gelten ergänzend die Hinweise zur Löschung in Sicherungen.

Die Sicherung dient der Wiederherstellbarkeit bei Geräte- und Datenträgerproblemen auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser Interesse ist der Schutz der für den Auftrag erforderlichen Daten. Zugriffsbegrenzungen, passwortgeschützte Systeme und verschlüsselte Verbindungen der Website und Portale dienen der Datensicherheit. Herstellerdienste für Fernzugriff oder Support sind nicht allein durch den Besitz eines NAS automatisch Empfänger aller Dateien. UGREEN-Datenschutzinformationen

Verschlüsselte Sicherung mit dem Fotokammerl-Programm

Zusätzlich sichern wir die Daten unseres Portals und unserer Website mit unserem eigenen Windows-Programm „Fotokammerl“ auf dem Arbeitsrechner. Das Programm ruft die Portal- und die Website-Datenbank über eine signierte Schnittstelle sowie das STRATO-Postfach info@fotodesign-winklmeier.de lesend über IMAP ab und legt alle Teile – Kunden- und Auftragsdaten, Nachrichten, Angebote und Rechnungen, Kundenportale, Widerrufserklärungen, E-Mails samt Anhängen sowie den Programmcode – verschlüsselt (AES-256 mit Prüfsumme je Datei) auf eigenen Datenträgern ab. Der Schlüssel wird aus einem nur uns bekannten Passwort abgeleitet; ohne dieses Passwort sind die Sicherungen nicht lesbar. Aufbewahrt werden nur die jeweils letzten vollständigen Sicherungsstände (derzeit sechs); ältere Stände löscht das Programm selbsttätig.

Diese Sicherung dient der Wiederherstellbarkeit von Portal, Website und Postfach bei Ausfällen, Fehlern oder Angriffen auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse ist der Schutz der für Aufträge und gesetzliche Nachweise erforderlichen Daten, zugleich eine Sicherheitsmaßnahme nach Artikel 32 DSGVO. Die Sicherungen werden ausschließlich auf von uns verwalteten Geräten und Datenträgern gespeichert und nicht an Cloud-Dienste übertragen. Für die enthaltenen Daten gelten die Löschfristen dieses Bereichs; bereits gelöschte Daten können bis zum Überschreiben des jeweiligen Sicherungsstands in der Sicherung verbleiben (siehe Löschung in Sicherungen).

Kundendaten und Kontakte im eigenen Portal

Kundenkontakte werden in unserem eigenen Kundenportal bei STRATO verwaltet. Dazu gehören Namen, E-Mail-Adressen, freiwillig angegebene Telefonnummern und weitere für die Anfrage oder den Auftrag erforderliche Kontaktdaten. Die freiwillige Angabe einer Telefonnummer ist keine Einwilligung in Werbung. Die Zwecke und Rechtsgrundlagen der zentralen Kundenverwaltung stehen in Bereich 6.

Für diese Daten gelten die zweckbezogenen Löschregeln der zugehörigen Anfrage oder des Auftrags. Die Speicherung als Kontakt oder im Kundenportal verlängert die Frist nicht. Soweit einzelne Angaben als Bestandteil gesetzlich aufzubewahrender Geschäftsunterlagen oder erforderlicher Rechtsnachweise fortbestehen müssen, beschränken wir die weitere Verwendung auf diesen Zweck.

Löschfristen im laufenden Geschäft

Wir löschen Daten, sobald der jeweilige Zweck entfällt und keine erforderliche weitere Speicherung besteht. Für die folgenden Fristen gilt: Gesetzliche Pflichten, ein noch offener Auftrag oder konkret erforderliche Rechtsnachweise können eine begrenzte weitere Aufbewahrung rechtfertigen. Eine möglicherweise relevante Information wird vor Löschung eingeordnet und gegebenenfalls getrennt gesichert.

Die Bildaufbewahrung nach Bereitstellung dient insbesondere erneuter Bereitstellung und erforderlicher Nachbearbeitung. Soweit dies über die unmittelbare Leistungserbringung hinausgeht, ist Artikel 6 Absatz 1 Buchstabe f DSGVO mit diesem Interesse maßgeblich. Eine frühere Löschung kann verlangt werden; entgegenstehende Pflichten und berechtigte Gründe werden im Einzelfall geprüft.

Geschäftsunterlagen und Rechtsnachweise

Für gesetzlich aufzubewahrende Unterlagen gelten dokumentabhängige Fristen. Insbesondere werden Rechnungen und Buchungsbelege grundsätzlich acht Jahre, Handels- und Geschäftsbriefe grundsätzlich sechs Jahre sowie Bücher, Inventare und Jahresabschlüsse grundsätzlich zehn Jahre aufbewahrt.

Der Fristbeginn richtet sich regelmäßig nach dem Ende des Kalenderjahres, in dem der jeweils maßgebliche Vorgang stattgefunden hat, etwa Empfang oder Versand eines Geschäftsbriefs, Entstehung eines Buchungsbelegs beziehungsweise Ausstellung einer Rechnung oder die letzte Buchung. Noch offene steuerliche Verfahren können die Aufbewahrung verlängern. § 147 AO, § 257 HGB, § 14b UStG

Shootingverträge, Auftragsbestätigungen und wichtige Absprachen werden nach ihrem tatsächlichen Inhalt eingeordnet. Sie unterliegen nicht pauschal der sechsmonatigen Bild- oder Chatfrist. Für erforderliche Rechtsnachweise wird außerdem die einschlägige Verjährung berücksichtigt. Die regelmäßige Verjährungsfrist beträgt drei Jahre und beginnt grundsätzlich mit dem Jahresende bei Vorliegen der gesetzlichen Voraussetzungen; Hemmung und andere Fristen können den Zeitraum verändern. § 195 BGB, § 199 BGB

Freigaben, Widerrufe und Nutzungsnachweise können für die Nutzungsdauer und anschließend im erforderlichen Umfang zur Rechtsverteidigung aufbewahrt werden. Daten, die allein wegen einer Aufbewahrungspflicht oder eines Rechtsnachweises fortbestehen, werden für diesen Zweck beschränkt und nicht allein deshalb für weitere Werbung verwendet.

Löschung in Sicherungen

Löschungen berücksichtigen auch von uns verwaltete lokale Kopien, Exporte, Archive und Sicherungen. Aufgrund von Synchronisations-, Papierkorb- oder Sicherungszyklen können gelöschte Daten vorübergehend in Sicherungsbeständen verbleiben. Die produktive Löschfrist ist deshalb nicht mit einer sofortigen Entfernung aus sämtlichen Anbieter-Backups gleichzusetzen.

Solche Bestände dienen nur dem vorgesehenen Sicherungszweck und werden im jeweiligen Lösch- oder Überschreibungszyklus bereinigt. Bei einer Wiederherstellung sind bereits erforderliche Löschungen erneut zu berücksichtigen. Die Hinweise zu Evotos Verarbeitungscache und zur auftragsbezogenen Bildverarbeitung beim Fotolabor stehen in den jeweiligen Bereichen.

Ihre Datenschutzrechte

Sie haben unter den jeweiligen gesetzlichen Voraussetzungen das Recht auf Auskunft über Ihre Daten, Berichtigung unrichtiger Angaben, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Datenschutz-Einwilligung können Sie jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Widerspruch: Bei einer Verarbeitung auf Grundlage berechtigter Interessen nach Artikel 6 Absatz 1 Buchstabe f DSGVO können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten die Daten dann nicht weiter, sofern keine gesetzlich vorrangigen zwingenden Gründe oder erforderlichen Rechtsansprüche entgegenstehen. Gegen eine Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe solcher Gründe widersprechen.

Wenden Sie sich dazu an info@fotodesign-winklmeier.de oder an unsere oben genannte Postanschrift. Bei begründeten Zweifeln an der Identität können wir einen angemessenen Nachweis verlangen. Wir informieren grundsätzlich innerhalb eines Monats über die Bearbeitung; bei einer gesetzlich zulässigen Verlängerung nennen wir Ihnen rechtzeitig den Grund. DSGVO, insbesondere Artikel 12 bis 22

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für unser Unternehmen ist regelmäßig das Bayerische Landesamt für Datenschutzaufsicht zuständig: Promenade 18, 91522 Ansbach; Postanschrift Postfach 1349, 91504 Ansbach. Das BayLDA bietet ein Beschwerdeformular und weitere Kontaktmöglichkeiten.

Änderungen dieser Informationen

Wir passen diese Informationen an, wenn sich unsere tatsächlichen Leistungen, Datenverarbeitungen oder rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung finden Sie unter fotodesign-winklmeier.de/datenschutzerklaerung/.

10 Elektronische Widerrufserklärungen

Über die Funktion „Vertrag widerrufen“ (Link im Seitenfuß unserer Website) verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse sowie Ihre Angaben zum Vertrag oder zu betroffenen Positionen – etwa zu einem Shootingvertrag, einer Online-Bestellung oder einem aus der Ferne gekauften Gutschein. Die Erklärung wird mit Vorgangsnummer und Eingangszeit verschlüsselt in der Datenbank unserer STRATO-Website gespeichert. Die Eingangsbestätigung und die interne Benachrichtigung werden über unser STRATO-Postfach info@fotodesign-winklmeier.de versendet. Fehlgeschlagene Versandversuche werden zur erneuten Zustellung vermerkt.

Dies dient dem Empfang, der Bestätigung und Bearbeitung Ihrer Erklärung sowie erforderlichen Nachweisen. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstaben b und c DSGVO, insbesondere in Verbindung mit § 356a BGB; für konkret erforderliche Rechtsnachweise Buchstabe f mit dem Interesse an der Klärung von Ansprüchen. Wir speichern die Angaben nur so lange, wie Bearbeitung, einschlägige gesetzliche Aufbewahrungspflichten oder erforderliche Rechtsnachweise dies verlangen. Eine automatische Löschung nach der Galeriefrist findet nicht statt.

Für Sitzung und Missbrauchsschutz gelten die oben beschriebenen technischen Schutzmaßnahmen des Kontaktformulars; bei dieser Funktion wird keine Mindest-Ausfülldauer verlangt. Weitere Informationen zu STRATO, Ihren Rechten und den allgemeinen Löschregeln finden Sie in den übrigen Bereichen dieser Erklärung.