Datenschutzerklärung

1. Verantwortlicher

[NAME]
[ANSCHRIFT]
E-Mail: [E-MAIL] · Telefon: [TELEFON]

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen. Prüfen: Pflicht ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, oder bei Kerntätigkeit mit besonderen Datenkategorien.

2. Wer ist wofür verantwortlich?

Lichtmappe hat zwei Arten von Nutzer:innen. Das bestimmt, wer datenschutzrechtlich „Verantwortlicher“ ist:

• Fotograf:innen (Studio-Konto): Für Ihre Kontodaten, Abrechnung und die Nutzung der App sind wir Verantwortlicher (Art. 4 Nr. 7 DSGVO).
• Kund:innen der Fotograf:innen (Kundenportal): Namen, Kontaktdaten, Bilder, Unterschriften und Antworten, die ein Fotostudio in Lichtmappe anlegt oder die Sie im Kundenportal eingeben, verarbeiten wir im Auftrag des Fotostudios. Verantwortlich ist das jeweilige Fotostudio; wir sind Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Für Auskunft, Löschung und Widerruf wenden Sie sich bitte an das Fotostudio, dessen Name im Portal steht. Wir unterstützen das Studio dabei.

3. Website-Hosting (Cloudflare)

Die Website und die App werden als statische Dateien über Cloudflare Pages ausgeliefert. Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; für Kund:innen im EWR zusätzlich Cloudflare Germany GmbH, Rosental 7, 80331 München. Vertragspartner im Cloudflare-Konto prüfen.

Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und -version, Betriebssystem, Referrer-URL. Cloudflare nutzt diese Daten zur Auslieferung, zur Abwehr von Angriffen (DDoS, Bots) und für Sicherheitsprotokolle. Wir selbst führen keine Zugriffsstatistik und keine Webanalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, schnellem Betrieb). Drittland: Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln aus dem Cloudflare-Auftragsverarbeitungsvertrag. Datenschutzerklärung von Cloudflare: cloudflare.com/privacypolicy.

4. Datenbank, Login und Bildspeicher (Supabase, Region Frankfurt)

Alle Inhalte der App – Konten, Studios, Kund:innen, Aufträge, Galerien, Verträge, Rechnungen, Bilder – liegen bei Supabase in der von uns gewählten Region Frankfurt (AWS eu-central-1). Das umfasst die Datenbank, die Anmeldung (Auth), den Dateispeicher und die Datensicherungen. Supabase ist unser Auftragsverarbeiter (Art. 28 DSGVO).

Anbieter: Supabase Pte. Ltd., Singapur (Vertragspartner), mit Supabase, Inc., USA (technischer Support). Unterauftragsverarbeiter für das Hosting in Frankfurt ist Amazon Web Services (AWS). Wichtig für die Einordnung:

• Anwendungsdaten (Datenbank, Dateien, Backups) bleiben in Frankfurt.
• Nutzungs- und Protokolldaten (Telemetrie, Logs) verarbeitet Supabase nach eigener Angabe teils außerhalb der Region, Protokolle liegen in EU-Rechenzentren.
• Supabase-Mitarbeitende können bei Supportanfragen oder Sicherheitsvorfällen protokolliert auf Daten zugreifen.
• Öffentliche Vorschaubilder (Bucket „proofs“) können über ein weltweites CDN ausgeliefert werden; Originale („originals“) sind nicht öffentlich und werden nur über zeitlich befristete, signierte Links abgerufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber Fotograf:innen) bzw. Auftragsverarbeitung für Kund:innendaten. Drittland: Übermittlungen nach Singapur und in die USA (Support, Metadaten) stützen sich auf die EU-Standardvertragsklauseln im Supabase-DPA mit Transfer-Folgenabschätzung. Weitere Informationen: supabase.com – Data Residency FAQ, Unterauftragsverarbeiter: Liste vom 01.06.2026.

5. Registrierung und Konto (Fotograf:innen)

Bei der Registrierung speichern wir: Name, Studio-Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash bei Supabase Auth, nie im Klartext), Zeitpunkt der Registrierung und Bestätigung, Wunsch-Adresse des Kundenportals, Plan und Testphase, Zeitpunkt der Zustimmung zu AGB und Auftragsverarbeitungsvertrag. Beim Anmelden protokolliert Supabase Auth Zeitpunkt und IP-Adresse zur Missbrauchsabwehr.

Im Konto führen Sie Ihre Studio-Daten (Inhaber:in, Anschrift, Steuernummer oder USt-IdNr., Bankverbindung für Rechnungen, Logo). Diese Daten erscheinen auf Ihren Rechnungen und Verträgen gegenüber Ihren Kund:innen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Protokolle Art. 6 Abs. 1 lit. f DSGVO (Sicherheit), für steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

6. Kundenportal (lichtmappe.de/s/…)

Fotograf:innen teilen mit ihren Kund:innen Galerien, Angebote, Verträge und Fragebögen unter einer Adresse wie lichtmappe.de/s/studio-name. Der Zugriff erfolgt mit einem Code, den das Fotostudio vergibt; ein Konto ist nicht nötig.

Was dabei verarbeitet wird – im Auftrag des Fotostudios (siehe Abschnitt 2):

• Ihre Eingaben: Bildauswahl, Kommentare, Antworten auf Fragebögen, Angebotsannahme, Bewertungen.
• Unterschriften (als Bild) unter Verträgen und Einwilligungen (Model-Release), jeweils mit Zeitstempel, Textstand und Prüfsumme als Nachweis nach Art. 7 Abs. 1 DSGVO.
• Bei Minderjährigen: Angaben der Sorgeberechtigten, soweit das Fotostudio sie abfragt.
• Technisch: IP-Adresse und Zeitpunkt von Code-Eingaben für höchstens 24 Stunden, um Brute-Force-Versuche zu bremsen (max. 10 Fehlversuche je 15 Minuten).
• In Ihrem Browser: der Portal-Code und noch nicht gesendete Antworten (localStorage), damit Sie nach einem Neuladen nicht von vorn beginnen; siehe Abschnitt 10.

Kontaktdaten der Kund:innen (Adresse, Telefon, E-Mail) werden nicht in die öffentlich abrufbaren Portal-Dokumente geschrieben. Portal-Seiten sind von der Indexierung durch Suchmaschinen ausgeschlossen.

7. Zahlungen für Lichtmappe-Abos (Stripe)

Bezahlte Pläne rechnen wir über Stripe ab: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (für Kund:innen im EWR), mit Stripe, Inc., USA. Vertragspartner im Stripe-Dashboard prüfen.

Beim Abschluss eines Abos werden Sie zu Stripe Checkout weitergeleitet. Stripe verarbeitet Name, E-Mail, Rechnungsadresse, Zahlungsdaten (Karte oder SEPA-Mandat), Betrag und Zeitpunkt. Zahlungsdaten erreichen uns nicht; wir erhalten von Stripe nur Kundennummer, Abo-Status, Plan und Zahlungsdatum. Für Betrugsprävention, Geldwäsche-Prüfungen und die Abwicklung mit Banken ist Stripe eigenständig Verantwortlicher; für die reine Plattformbereitstellung Auftragsverarbeiter. Rechnungen über Ihr Abo erstellt Stripe in unserem Auftrag; wir bewahren sie nach § 147 AO acht Jahre auf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (steuerliche Pflichten). Drittland: Stripe setzt die EU-Standardvertragsklauseln ein (Stripe Data Transfer Addendum). Datenschutzerklärung: stripe.com/de/privacy.

Kund:innen der Fotograf:innen zahlen nicht über Lichtmappe. Bietet ein Fotostudio einen PayPal- oder Stripe-Zahlungslink an, führt dieser direkt zum Konto des Studios.

8. E-Mails

Wir senden Ihnen E-Mails zur Kontobestätigung, zum Zurücksetzen des Passworts, zu Magic-Links, zu Ihrem Abo (Beginn, Verlängerung, Zahlungsproblem, Kündigungsbestätigung) und bei wichtigen Änderungen des Dienstes. Keine Newsletter, keine Werbung ohne Einwilligung. Versand über [MAILVERSAND-ANBIETER, z. B. Resend / Postmark, Sitz, Serverstandort] als Auftragsverarbeiter. Den tatsächlich im Supabase-Dashboard konfigurierten SMTP-Anbieter eintragen; bei US-Anbietern Transfermechanismus angeben.

Lichtmappe verschickt keine E-Mails an Kund:innen der Fotograf:innen. Nachrichten-Vorlagen werden im Browser erzeugt und von der Fotograf:in über ihr eigenes Mailprogramm versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. KI-Funktion (Anthropic) – nur bei Aktivierung

Lichtmappe enthält einen optionalen KI-Assistenten (Textvorschläge, Shotlisten, Auswahlvorschläge, Alt-Texte). Er ist standardmäßig ausgeschaltet und wird nur aktiv, wenn die Fotograf:in ihn in den Einstellungen einschaltet und eine Aktion auslöst.

Dann übermitteln wir ausschließlich die für die jeweilige Aktion nötigen Inhalte – Texte, Fragebogen-Antworten oder verkleinerte Vorschaubilder (max. 512 px Kantenlänge) – über unsere eigene Serverfunktion an die API von Anthropic (Anthropic, PBC, San Francisco, USA; für den EWR Anthropic Ireland, Limited, Dublin). Anthropic verarbeitet API-Daten nach eigenen Angaben nicht zum Training seiner Modelle und speichert sie nur befristet zur Missbrauchsprüfung. Die Verarbeitung findet in den USA statt; Grundlage sind die EU-Standardvertragsklauseln im Anthropic Data Processing Addendum. Vor Aktivierung prüfen: Anthropic DPA abgeschlossen? Speicherfristen laut aktueller Anthropic-Datenschutzerklärung eintragen. Werden Bilder von Kund:innen an die KI gegeben, muss die Fotograf:in ihre Kund:innen informieren (Vorlage `dsgvo_info` in der App enthält den Satz).

Ergebnisse der KI sind Vorschläge; Entscheidungen trifft die Fotograf:in. Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: für Fotograf:innen Art. 6 Abs. 1 lit. b DSGVO; für Daten ihrer Kund:innen handeln wir als Auftragsverarbeiter auf Weisung (Aktivierung) der Fotograf:in, die hierfür die Rechtsgrundlage gegenüber ihren Kund:innen sicherstellt.

10. Cookies und lokale Speicherung – kein Banner nötig

Lichtmappe setzt keine Tracking- oder Marketing-Cookies und bindet keine Analyse-, Werbe- oder Social-Media-Dienste ein. Deshalb gibt es kein Cookie-Banner. Was im Browser gespeichert wird, ist ausschließlich technisch notwendig, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG):

Google Fonts werden von Google-Servern geladen (Schriftarten Schibsted Grotesk, Newsreader, JetBrains Mono). Dabei erhält Google Ihre IP-Adresse. Empfehlung vor Veröffentlichung: Schriften lokal unter /fonts ablegen und diesen Absatz streichen – dann entfällt die Übermittlung an Google vollständig (vgl. LG München I, Urteil vom 20.01.2022, 3 O 17493/20). Bis dahin: Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, Google Ireland Ltd., Dublin; Google LLC ist DPF-zertifiziert.

Die Bibliotheken supabase-js, jsPDF und JSZip werden von den Content-Delivery-Netzen jsDelivr und Cloudflare cdnjs geladen; dabei wird Ihre IP-Adresse an diese Anbieter übermittelt (Art. 6 Abs. 1 lit. f DSGVO). Alternativ ebenfalls lokal ausliefern.

11. Kontaktaufnahme und Support

Wenn Sie uns per E-Mail schreiben, speichern wir Ihre Nachricht und Kontaktdaten zur Bearbeitung (Art. 6 Abs. 1 lit. b oder f DSGVO). Supportanfragen zu Ihrem Konto bearbeiten wir mit Blick in Ihr Konto nur, soweit es für die Lösung nötig ist; Zugriffe werden protokolliert. Nachrichten löschen wir, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht, spätestens nach [z. B. 12 Monaten].

12. Übermittlung in Drittländer

Anwendungsdaten bleiben in Frankfurt. Übermittlungen außerhalb des EWR finden nur in den beschriebenen Fällen statt: Cloudflare (USA, DPF-zertifiziert + Standardvertragsklauseln), Supabase (Singapur/USA, Support und Metadaten, Standardvertragsklauseln), Stripe (USA, Standardvertragsklauseln), Google Fonts (USA, DPF), Anthropic (USA, Standardvertragsklauseln – nur bei aktivierter KI). Kopien der Garantien erhalten Sie auf Anfrage.

13. Speicherdauer

14. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Fotograf:innen können Auskunft und Übertragbarkeit selbst ausüben: Im Konto gibt es jederzeit einen Vollexport (JSON und Bilder als ZIP) und eine Löschfunktion. Kund:innen von Fotograf:innen wenden sich an das jeweilige Fotostudio (Abschnitt 2); wir leiten Anfragen, die uns erreichen, unverzüglich dorthin weiter.

15. Beschwerde bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel · Postfach 71 16, 24171 Kiel
Telefon: 0431 988-1200 · E-Mail: mail@datenschutzzentrum.de
Web: www.datenschutzzentrum.de · Beschwerdeformular: datenschutzzentrum.de/formular/beschwerde.php

Gilt für einen Sitz in Schleswig-Holstein. Bei Umzug in ein anderes Bundesland die dortige Behörde eintragen.

16. Sicherheit

Transportverschlüsselung (TLS) auf allen Verbindungen, Verschlüsselung der Datenbank und des Speichers im Ruhezustand bei Supabase/AWS, strikte Zugriffsregeln auf Zeilenebene (Row Level Security), die jedes Studio von jedem anderen trennt, Passwort-Hashing mit bcrypt, Schutz vor geleakten Passwörtern, Rate-Limits im Kundenportal, Content-Security-Policy und HSTS auf der Website, tägliche Datensicherungen in Frankfurt. Zugriff durch uns nur für Support und Betrieb, protokolliert im Audit-Log.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir registrierte Fotograf:innen per E-Mail. Die jeweils aktuelle Fassung finden Sie unter lichtmappe.de/datenschutz.html.