Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Benjamin Steindorfer (Einzelunternehmer)
Schopenhauerstraße 21/14, 1180 Wien, Österreich
E-Mail: hello@vonpfote.at

2. Erhobene Daten und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist. Die Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für gesetzlich vorgeschriebene Aufbewahrungspflichten gilt Art. 6 Abs. 1 lit. c DSGVO.

3. Registrierung und Benutzerkonto

Bei der Registrierung wird Ihre E-Mail-Adresse erhoben. Diese Daten werden für die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO) verarbeitet.

Gast-Nutzung: Sie können Portraits auch ohne Registrierung erstellen und bestellen. Dabei wird technisch eine anonyme Sitzung angelegt (Sitzungs-ID ohne Namen oder E-Mail-Adresse), der Ihre hochgeladenen Fotos und erstellten Portraits zugeordnet werden. Bei einer Bestellung als Gast erheben wir Ihre E-Mail-Adresse und ggf. Lieferadresse über den Zahlungsdienstleister Stripe zur Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Sie können eine anonyme Sitzung jederzeit in ein Benutzerkonto umwandeln; Portraits und Bestellungen bleiben dabei erhalten.

Auftragsverarbeiter: Supabase
Supabase Inc., 970 Toa Payoh North, Singapur (US-Muttergesellschaft). Kontodaten werden auf EU-Servern (Frankfurt, Deutschland) gespeichert. Da Supabase Inc. ein US-Unternehmen ist, erfolgt die Datenübermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Mit Supabase besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Speicherdauer: Kontodaten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Kontoauflösung werden personenbezogene Daten gelöscht, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen (siehe Abschnitt 9).

4. Bildverarbeitung und KI-Nutzung

Hochgeladene Tierfotos werden zur Erstellung Ihres Porträts verarbeitet und gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Auftragsverarbeiter: Google (KI-Generierung)
Zur KI-gestützten Bildgenerierung wird das Foto an Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA übermittelt. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO; EU-US Data Privacy Framework, Beschluss der EU-Kommission vom 10.07.2023). Google LLC ist unter dem EU-US DPF zertifiziert. Bilder werden von Google nach der Verarbeitung nicht dauerhaft gespeichert. Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Speicherung hochgeladener Fotos: Ihr Originalfoto wird ausschließlich zur Erstellung Ihrer Motive auf EU-Servern gespeichert (Supabase, Frankfurt) und 7 Tage nach dem Hochladen automatisch gelöscht. In dieser Zeit können wir aus demselben Foto ein weiteres Motiv erzeugen, etwa das eigene Motiv für eine Tasse, ohne dass Sie das Foto erneut hochladen müssen. Eine dauerhafte Speicherung des Originalfotos findet nicht statt. Das generierte Porträt wird für die Dauer der Kontoexistenz gespeichert, da es Ihr erworbenes Produkt darstellt, und bei Kontolöschung oder auf schriftliche Anfrage an hello@vonpfote.at gelöscht.

Foto ohne KI-Gestaltung: Laden Sie ein Foto zum unveränderten Druck hoch (Produkt „Dein Foto, direkt gedruckt“), gilt eine andere Regel: In diesem Fall ist Ihr Foto das Produkt selbst und wird deshalb nicht gelöscht, sondern wie ein generiertes Porträt gespeichert, damit Sie es nachbestellen können. Es wird nicht an Google übermittelt und nicht durch künstliche Intelligenz verarbeitet — die Verarbeitung beschränkt sich auf den Zuschnitt auf das Druckformat und die Übermittlung der Druckdatei an unseren Druckpartner. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Löschung erfolgt bei Kontolöschung oder auf Anfrage an hello@vonpfote.at.

Hinweis gemäß EU AI Act: Die auf dieser Website erstellten Porträts werden mithilfe künstlicher Intelligenz generiert. Das verwendete System ist ein Bildgenerierungsmodell von Google. Generierte Bilder werden als KI-generiert gekennzeichnet.

5. Zahlungsabwicklung

Auftragsverarbeiter: Stripe
Die Zahlungsabwicklung erfolgt über Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA. Stripe verarbeitet Zahlungsdaten gemäß eigener Datenschutzrichtlinien. Wir erhalten keine vollständigen Kreditkartendaten. Die Übermittlung an Stripe erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Stripe, Inc. ist unter dem EU-US DPF zertifiziert. Mit Stripe besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Speicherdauer: Bestelldaten und Zahlungsbelege werden gemäß § 132 BAO (österreichische Bundesabgabenordnung) für 7 Jahre aufbewahrt. Diese Aufbewahrungspflicht besteht unabhängig von einer Kontolöschung und hat Vorrang vor einem Löschantrag nach Art. 17 DSGVO, soweit die Daten für steuerliche Zwecke benötigt werden.

6. Warenkorb-Daten

Wenn Sie Produkte in den Warenkorb legen, speichern wir Ihre Produktauswahl (Format, Größe, Rahmenvariante) bis zum Kaufabschluss oder bis zu 30 Tagen nach der letzten Änderung in unserer Datenbank. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Die Daten werden nach Kaufabschluss sofort gelöscht; nicht abgeschlossene Warenkörbe werden spätestens nach 30 Tagen automatisch gelöscht. Bei Löschung Ihres Kontos werden Warenkorb-Daten sofort mitgelöscht.

7. Transaktionale E-Mails

Auftragsverarbeiter: Resend
Zur Versendung von Bestellbestätigungen nutzen wir Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Dabei werden Ihre E-Mail-Adresse sowie die für die Bestätigung erforderlichen Bestelldaten (Stil, Produkt, Preis, Bestellnummer) übermittelt. Die Übermittlung an Resend erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Resend, Inc. ist seit März 2025 unter dem EU-US DPF zertifiziert. Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Erinnerungs-E-Mail: Wenn Sie ein Portrait erstellt, aber innerhalb von 24 Stunden keine Bestellung aufgegeben haben, versenden wir einmalig eine Erinnerungs-E-Mail. Dies gilt auch, wenn Sie als Gast ohne Konto Ihre Vorschau zuvor über „Vorschau per E-Mail sichern“ gespeichert haben — in diesem Fall wird die von Ihnen dafür angegebene E-Mail-Adresse verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — direkter Bezug zu Ihrer Tätigkeit auf der Plattform, einmalige Kontaktaufnahme, keine werbliche Nutzung über diesen Anlass hinaus). Jede Erinnerungs-E-Mail enthält einen Abmeldelink; nach Klick wird keine weitere Erinnerung versandt.

Warenkorb-Erinnerungs-E-Mail: Wenn Sie ein Portrait in den Warenkorb gelegt, aber innerhalb von 24 Stunden keine Bestellung abgeschlossen haben, versenden wir einmalig eine Erinnerungs-E-Mail mit einer Vorschau der im Warenkorb befindlichen Portraits. Dies gilt auch, wenn Sie als Gast ohne Konto Ihre Vorschau zuvor über „Vorschau per E-Mail sichern“ gespeichert haben. Eine erneute Erinnerung erhalten Sie erst wieder, wenn Sie ein weiteres Portrait in den Warenkorb legen — nicht für unverändert bestehende Warenkorb-Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — direkter Bezug zu Ihrer Tätigkeit auf der Plattform, einmalige Kontaktaufnahme je Warenkorb-Inhalt, keine werbliche Nutzung über diesen Anlass hinaus). Auch diese E-Mail enthält einen Abmeldelink.

Bewertungs-E-Mail: Einige Tage nach Zustellung Ihrer Bestellung versenden wir einmalig eine E-Mail mit der Bitte, Ihre Erfahrung zu bewerten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — einmalige Kontaktaufnahme im direkten Zusammenhang mit Ihrem Kauf, vergleichbar § 174 Abs. 4 TKG). Auch diese E-Mail enthält einen Abmeldelink. Nach Klick auf einen Abmeldelink wird Ihre E-Mail-Adresse in eine interne Ausschlussliste aufgenommen und Sie erhalten weder Erinnerungs-, Warenkorb-Erinnerungs- noch Bewertungs-E-Mails; Bestell- und Versandbestätigungen zu Ihren Käufen bleiben davon unberührt.

8. Druck und Versand

Auftragsverarbeiter: Gelato
Für Druck und Versand arbeiten wir mit der Gelato Group AS, Lakkegata 53, 0187 Oslo, Norwegen zusammen. Norwegen ist Mitglied des EWR; die DSGVO gilt dort unmittelbar — es liegt keine Drittlandsübermittlung vor. Ihre Lieferadresse und das generierte Bild werden zur Auftragsabwicklung an Gelato übermittelt (Art. 6 Abs. 1 lit. b DSGVO). Mit Gelato besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

9. Webhosting

Auftragsverarbeiter: Vercel
Diese Website wird gehostet bei Vercel, Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Beim Aufruf der Website werden technische Zugriffsdaten (IP-Adresse, Browser, Uhrzeit) vorübergehend in Serverlogs verarbeitet. Die Übermittlung an Vercel erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Vercel, Inc. ist unter dem EU-US DPF zertifiziert. Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Serverlogs werden nach spätestens 30 Tagen automatisch gelöscht.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter hello@vonpfote.at. Bitte beachten Sie, dass das Löschungsrecht durch gesetzliche Aufbewahrungspflichten (z. B. § 132 BAO, 7 Jahre für Geschäftsunterlagen) eingeschränkt sein kann.

11. Aufbewahrungsfristen im Überblick

• Kontodaten / E-Mail: Für die Dauer des Vertragsverhältnisses; Löschung bei Kontoauflösung (soweit keine gesetzliche Pflicht entgegensteht)
• Hochgeladene Tierfotos (KI-Porträt): Werden 7 Tage nach dem Hochladen automatisch gelöscht — keine dauerhafte Speicherung
• Hochgeladene Fotos zum Direktdruck: Bleiben gespeichert, da sie das bestellte Produkt selbst sind; Löschung bei Kontolöschung oder auf Anfrage
• Generierte Porträts: Für die Dauer der Kontoexistenz (erworbenes Produkt); auf Antrag löschbar
• Warenkorb-Daten: Bis Kaufabschluss (sofortige Löschung) oder max. 30 Tage (automatische Bereinigung nicht abgeschlossener Warenkörbe)
• Bestelldaten und Zahlungsbelege: 7 Jahre gemäß § 132 BAO (steuerliche Aufbewahrungspflicht)
• Server-Zugriffslogs: Max. 30 Tage (Vercel)
• Meta-Pixel-Daten: Gemäß Meta-Datenschutzrichtlinie (bis zu 2 Jahre für Conversion-Daten); Widerruf der Einwilligung beendet künftige Übermittlungen
• Google-Ads-Conversion-Daten: Conversion-Cookies bis zu 90 Tage; Conversion-Daten gemäß Google-Datenschutzrichtlinie. Widerruf der Einwilligung beendet künftige Übermittlungen
• Microsoft-Advertising-Conversion-Daten: UET-Cookies bis zu 13 Monate (_uetsid rund 30 Minuten, _uetvid bis zu 13 Monate); Conversion-Daten gemäß Microsoft-Datenschutzerklärung. Widerruf der Einwilligung beendet künftige Übermittlungen

12. Beschwerderecht

Sie haben das Recht, bei der österreichischen Datenschutzbehörde (dsb.gv.at) Beschwerde einzulegen.

13. Werbemessung — Meta-Pixel und Conversions API

Mit Ihrer Einwilligung setzen wir den Meta-Pixel ein, ein Tracking-Tool von Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Der Meta-Pixel erfasst Nutzerinteraktionen auf dieser Website (Seitenaufrufe, Checkout-Beginn, Käufe) und überträgt diese Daten an Meta, um die Wirksamkeit unserer Werbekampagnen zu messen und zielgerichtete Werbung zu schalten.

Auftragsverarbeiter: Meta Platforms Ireland Limited (EU-Vertreter) sowie Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA (Muttergesellschaft). Die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Meta Platforms, Inc. ist unter dem EU-US DPF zertifiziert.

Rechtsgrundlage (Pixel): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist freiwillig. Sie können sie jederzeit widerrufen, indem Sie im Cookie-Banner auf „Ablehnen“ klicken oder die gespeicherte Präferenz in Ihrem Browser-Speicher (Schlüssel: vonpfote_cookie_consent) löschen. Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Zusätzlich nutzen wir die Meta Conversions API (CAPI), eine serverseitige Schnittstelle, die nach einem abgeschlossenen Kauf Kaufdaten (gehashte E-Mail-Adresse, Bestellwert, Bestell-IDs) direkt von unserem Server an Meta übermittelt — ohne Einsatz von Browser-Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Werbewirksamkeit und der wirtschaftlichen Betriebsführung unseres Unternehmens).

14. Werbemessung — Google Ads

Mit Ihrer Einwilligung setzen wir das Google-Ads-Conversion-Tracking ein, ein Tool von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Nach einem abgeschlossenen Kauf wird über das Google-Tag (gtag.js) erfasst, dass die Bestellung über eine unserer Google-Anzeigen zustande kam, und es werden Bestellwert, Währung und eine Bestell-Kennung an Google übermittelt. Dies dient ausschließlich der Messung der Wirksamkeit unserer Werbekampagnen.

Auftragsverarbeiter: Google Ireland Limited (EU-Vertragspartner) sowie Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Google LLC ist unter dem EU-US DPF zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist freiwillig. Sie können sie jederzeit widerrufen, indem Sie im Cookie-Banner auf „Ablehnen“ klicken oder die gespeicherte Präferenz in Ihrem Browser-Speicher (Schlüssel: vonpfote_cookie_consent) löschen. Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Ohne Einwilligung wird das Google-Tag nicht geladen und es werden keine Daten an Google übermittelt.

15. Werbemessung — Microsoft Advertising (UET)

Mit Ihrer Einwilligung setzen wir das Universal Event Tracking (UET) von Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland ein. Das UET-Tag erfasst Seitenaufrufe sowie bestimmte Aktionen auf unserer Website (Beginn des Bestellvorgangs, abgeschlossene Käufe) und überträgt dabei Bestellwert, Währung und eine Bestell-Kennung an Microsoft, um die Wirksamkeit unserer Anzeigen auf Bing und im Microsoft-Werbenetzwerk zu messen. Es werden dafür Cookies gesetzt (unter anderem _uetsid und _uetvid).

Auftragsverarbeiter: Microsoft Ireland Operations Limited (EU-Vertragspartner) sowie Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); die Microsoft Corporation ist unter dem EU-US DPF zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist freiwillig. Sie können sie jederzeit widerrufen, indem Sie im Cookie-Banner auf „Ablehnen“ klicken oder die gespeicherte Präferenz in Ihrem Browser-Speicher (Schlüssel: vonpfote_cookie_consent) löschen. Ein Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Ohne Einwilligung wird das UET-Tag nicht geladen und es werden keine Daten an Microsoft übermittelt.

16. Missbrauchsschutz — Cloudflare Turnstile

Beim Anlegen einer Sitzung (Gast-Nutzung), bei der Registrierung, der Anmeldung und beim Zurücksetzen des Passworts setzen wir Cloudflare Turnstile ein. Der Dienst prüft, ob die Anfrage von einem Menschen oder von einem automatisierten Programm stammt. Dafür wird beim Aufruf dieser Seiten ein Skript von Cloudflare geladen, und Cloudflare verarbeitet technische Merkmale Ihres Aufrufs (insbesondere IP-Adresse, Browser- und Geräteinformationen sowie Interaktionsdaten), um Missbrauch zu erkennen. Nach Angaben von Cloudflare werden dabei keine Cookies zu Werbezwecken gesetzt und die Daten nicht für Werbung genutzt. Ohne diese Prüfung könnten Programme in großer Zahl kostenpflichtige Bildgenerierungen auslösen.

Auftragsverarbeiter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (Art. 45 DSGVO); Cloudflare, Inc. ist unter dem EU-US DPF zertifiziert. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit der Website und im Schutz vor automatisiertem Missbrauch und den damit verbundenen Kosten. Da die Prüfung für diese Funktionen technisch erforderlich ist, wird sie auch ohne Cookie-Einwilligung ausgeführt. Sie können dem Verarbeitungszweck widersprechen (siehe Abschnitt 10); wer die Prüfung nicht durchlaufen möchte, kann diese Funktionen allerdings nicht nutzen.

17. Cookies

Diese Website verwendet technisch notwendige Cookies für Authentifizierung und Sitzungsverwaltung (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO). Darüber hinaus werden — nur mit Ihrer ausdrücklichen Einwilligung — Cookies des Meta-Pixels (siehe Abschnitt 13), des Google-Ads-Conversion-Trackings (siehe Abschnitt 14) und des Microsoft-Advertising-UET-Tags (siehe Abschnitt 15) gesetzt. Ohne Einwilligung werden keine Tracking-Cookies gesetzt.