Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

YouVenture! GmbH
Ericusspitze 4
20457 Hamburg
Deutschland

Handelsregister: Amtsgericht Hamburg, HRB 172192
Vertretungsberechtigter Geschäftsführer: Finn Alexander Dubbels

E-Mail: support@confettiprints.com

2. Übersicht über die Datenverarbeitung

Confetti Prints ist ein Online-Service, bei dem Nutzer ein persönliches Foto hochladen, das mithilfe von Künstlicher Intelligenz in ein individuelles Produkt umgewandelt wird – ein Ausmalbuch („Malbuch") oder ein personalisiertes Buch (z. B. „Mutmachbuch", „Gefühlebuch", „ABC-Buch"), in dem die abgebildete Person als Figur in den Illustrationen dargestellt wird. Nach Abschluss einer Bestellung werden die generierten Produkte an eine Druckerei zur Produktion und zum Versand übermittelt. Das hochgeladene Foto wird nur für die Dauer der Erstellung verarbeitet und anschließend automatisch gelöscht (siehe Ziffer 5 und 8).

3. Erhobene personenbezogene Daten

Im Rahmen der Nutzung unseres Services erheben und verarbeiten wir folgende personenbezogene Daten:

a) Bestelldaten

Vor- und Nachname, E-Mail-Adresse, Lieferanschrift und ggf. Rechnungsanschrift – zur Abwicklung Ihrer Bestellung und zum Versand des Produkts.

b) Zahlungsdaten

Zahlungsinformationen (z. B. Kreditkartendaten) werden ausschließlich durch unseren Zahlungsdienstleister Stripe verarbeitet. Wir selbst speichern keine vollständigen Zahlungsdaten (siehe Ziffer 7.2).

c) Hochgeladenes Foto

Das von Ihnen hochgeladene Foto wird ausschließlich zum Zweck der Erstellung Ihres individuellen Produkts verarbeitet. Es wird zur Bildgenerierung an unseren KI-Dienstleister übermittelt (Ziffer 5). Bei den personalisierten Büchern wird das Foto für die Dauer der mehrstufigen Generierung vorübergehend in unserem Speicher (EU, siehe Ziffer 6) verarbeitet und unmittelbar nach Fertigstellung automatisch gelöscht. Beim Malbuch erfolgt keine Speicherung des Fotos auf unseren Servern; es wird ausschließlich zur Verarbeitung an den KI-Dienstleister übermittelt.

d) Aus dem Foto abgeleitete Merkmale

Damit die abgebildete Person in den Illustrationen wiedererkennbar dargestellt werden kann, wird das Foto durch ein KI-Bildanalyse-Modell ausgewertet, das eine kurze Beschreibung des Aussehens (z. B. Haar- und Augenfarbe, Hautton) sowie ein geschätztes Alter erzeugt. Diese abgeleiteten Angaben werden nur für die Generierung verwendet und nach deren Abschluss zusammen mit der Foto-Referenz gelöscht. Es findet keine biometrische Identifizierung und kein Abgleich mit anderen Datenbeständen statt.

e) Technische Daten und IP-Adresse

Beim Besuch unserer Website werden automatisch technische Informationen erhoben (Browsertyp und -version, Betriebssystem, Referrer-URL, Datum und Uhrzeit des Zugriffs). Zum Schutz vor Missbrauch und zur Begrenzung der Anzahl von Generierungen (Rate-Limiting) verarbeiten wir zudem vorübergehend Ihre IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit, Verfügbarkeit und Kostenkontrolle unseres Dienstes).

4. Zwecke und Rechtsgrundlagen der Verarbeitung

5. Verarbeitung Ihres Fotos durch Künstliche Intelligenz

5.1 Eingesetzter KI-Dienstleister (Replicate)

Zur Umwandlung Ihres Fotos in das bestellte Produkt nutzen wir die KI-Plattform:

Replicate, Inc.
58 Maiden Lane, San Francisco, CA 94108, USA

Ihr Foto wird über die Programmierschnittstelle (API) von Replicate verarbeitet. Replicate setzt zur Bildgenerierung und zur Bildanalyse Modelle von OpenAI (z. B. „gpt-image-2" und „gpt-4o-mini") als Unterauftragsverarbeiter ein. Eine direkte Übermittlung Ihres Fotos an OpenAI durch uns findet nicht statt. Das erzeugte Produkt wird an uns zurückübertragen.

Replicate entfernt die über die API übermittelten Eingabe- und Ausgabedaten standardmäßig automatisch nach kurzer Zeit (in der Regel ca. 1 Stunde). OpenAI verwendet die über seine API verarbeiteten Daten nicht zu eigenen Trainingszwecken und speichert sie nur temporär zur Missbrauchserkennung (in der Regel max. 30 Tage; eine längere Aufbewahrung kann erfolgen, soweit gesetzliche Pflichten dies erfordern). Replicate verarbeitet die Daten ausschließlich zur Erbringung der von uns beauftragten Bildgenerierung.

Rechtsgrundlage für diese Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); soweit dabei besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) berührt werden, stützen wir die Verarbeitung zusätzlich auf Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie mit dem Hochladen des Fotos erteilen.

5.2 Speicherdauer des Fotos

Das Foto wird nur für die Dauer der KI-Generierung verarbeitet. Bei den personalisierten Büchern wird es unmittelbar nach Fertigstellung des Buches automatisch aus unserem Speicher gelöscht, spätestens jedoch innerhalb von 24 Stunden (automatisierter Löschvorgang). Beim Malbuch erfolgt keine Speicherung des Fotos.

5.3 Drittlandtransfer (USA)

Replicate hat seinen Sitz in den USA. Die Übermittlung Ihres Fotos an Replicate stellt einen Transfer in ein Drittland dar; sie erfolgt auf Grundlage von Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Der von Replicate eingesetzte Unterauftragsverarbeiter OpenAI ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen:
https://replicate.com/privacy
https://openai.com/policies/privacy-policy

5.4 Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die KI-gestützte Bildumwandlung dient ausschließlich der kreativen Gestaltung und hat keine rechtlichen oder vergleichbar erheblichen Auswirkungen auf Sie.

6. Speicherung auf unseren Servern

Zur Bereitstellung des Produkts und zur Steuerung des mehrstufigen Generierungs-Prozesses nutzen wir folgende Dienstleister, deren Rechenzentren sich in der Europäischen Union befinden:

Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) – Hosting der Website sowie Objektspeicher („Vercel Blob", Region Frankfurt/Deutschland) für das hochgeladene Foto (nur während der Generierung) und die generierten Bilder.

Upstash, Inc. (USA) – temporärer Verarbeitungs-Cache („Redis", Rechenzentrum Frankfurt/Deutschland) für den Status des Generierungs-Auftrags (u. a. Name, Geschlecht der abgebildeten Person, Foto-Referenz, abgeleitete Beschreibung, erzeugte Bild-Referenzen).

Mit beiden Anbietern besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Da die Daten in der EU (Frankfurt) gespeichert werden, findet insoweit kein Drittlandtransfer statt. Die Speicherdauern ergeben sich aus Ziffer 8.

7. Weitergabe an Dritte

7.1 Druckerei

Nach erfolgreichem Checkout übermitteln wir die generierten Produkte sowie die für Druck und Versand erforderlichen Daten (Name, Lieferanschrift) an unseren Druckdienstleister:

mediaprint solutions GmbH
Eggertstraße 28, 33100 Paderborn, Deutschland

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit der Druckerei haben wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen.

7.2 Zahlungsdienstleister

Für die Zahlungsabwicklung nutzen wir:

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland) bzw. Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA).

Stripe verarbeitet Ihre Zahlungsdaten direkt und PCI-DSS-zertifiziert. Wir erhalten lediglich eine Bestätigung der Zahlung sowie die letzten vier Ziffern Ihrer Kartennummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für eine etwaige Datenverarbeitung in den USA ist Stripe unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln. Weitere Informationen: https://stripe.com/de/privacy

7.3 E-Mail-Versand (Kontaktformular & Bestellbestätigungen)

Für den Versand von E-Mails (z. B. Bestätigungen, Antworten auf Kontaktanfragen) nutzen wir den Dienst Resend (Resend, Inc., USA; Verarbeitung und Versand in der EU, Region Irland). Wenn Sie unser Kontaktformular nutzen, übermitteln wir Ihre E-Mail-Adresse, Ihre Nachricht sowie technische Kontextdaten (z. B. aufgerufene Seite, Gerät) an Resend zur Zustellung. Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

8. Speicherdauer und Löschung

• Hochgeladenes Foto: Wird nur für die Dauer der Generierung verarbeitet und unmittelbar nach Fertigstellung gelöscht, spätestens nach 24 Stunden. Beim Malbuch erfolgt keine Speicherung.
• Generierte Bilder und Auftrags-Datensatz: Werden für bis zu 7 Tage gespeichert (für Vorschau, erneuten Aufruf und Reklamation) und anschließend automatisch gelöscht.
• Druck-Datei (PDF): Wird nach erfolgreicher Übergabe an die Druckerei umgehend gelöscht.
• IP-Adresse (Rate-Limiting/Missbrauchsschutz): Wird nur für die hierfür erforderliche kurze Dauer verarbeitet.
• Bestell- und Rechnungsdaten: Werden gemäß den steuer- und handelsrechtlichen Aufbewahrungsfristen für 10 Jahre gespeichert (§ 147 AO, § 257 HGB).

9. Cookies, Reichweitenmessung und Marketing

Wir verwenden technisch notwendige Cookies, die für den Betrieb der Website und die Abwicklung des Bestellprozesses erforderlich sind (z. B. Session-, Warenkorb-Cookies). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG.

Darüber hinaus setzen wir nur mit Ihrer ausdrücklichen Einwilligung (über unser Cookie-Banner) Marketing- und Reichweitenmess-Werkzeuge ein. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

9.1 Meta-Pixel

Anbieter: Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland). Zur Messung der Wirksamkeit unserer Werbung auf Facebook/Instagram und zur Zielgruppenbildung setzen wir das Meta-Pixel ein. Es erfasst bestimmte Ereignisse (z. B. Seitenaufruf, Warenkorb, Kauf) und übermittelt dabei u. a. Online-Kennungen, IP-Adresse und technische Browserdaten an Meta. Das Meta-Pixel wird erst nach Ihrer Einwilligung über das Cookie-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO).

Meta ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: Datenschutzrichtlinie von Meta.

9.2 Google Ads Conversion-Tracking

Anbieter: Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland). Zur Erfolgsmessung unserer Google-Anzeigen wird – erst nach Ihrer Einwilligung – das Google-Tag (gtag.js) geladen. Dabei können IP-Adresse und technische Browserdaten an Google übermittelt werden. Google ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: Datenschutzrichtlinie von Google.

9.3 Direktwerbung per E-Mail (Bestandskunden)

Soweit Sie bei uns ein Produkt erworben haben, verwenden wir die im Rahmen der Bestellung erhobene E-Mail-Adresse, um Ihnen gelegentlich Informationen zu eigenen, ähnlichen Produkten zukommen zu lassen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung) in Verbindung mit § 7 Abs. 3 UWG. Sie können dieser Verwendung jederzeit widersprechen – über den Abmelde-Link in jeder E-Mail oder formlos an support@confettiprints.com –, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch verwenden wir Ihre E-Mail-Adresse nicht mehr zu Werbezwecken.

9.4 Newsletter (mit Einwilligung)

Auf unserer Website können Sie unseren kostenlosen Newsletter abonnieren, mit dem wir Sie über Angebote, Rabatte und Neuigkeiten informieren. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie durch Setzen des Häkchens bei der Anmeldung erteilen.

Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse senden wir Ihnen eine Bestätigungs-E-Mail. Erst wenn Sie den darin enthaltenen Link anklicken, wird Ihre Adresse in den Newsletter-Verteiler aufgenommen. So stellen wir sicher, dass die Anmeldung tatsächlich von Ihnen stammt.

Verarbeitet werden Ihre E-Mail-Adresse sowie – zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) – der Zeitpunkt der Anmeldung und der Bestätigung, Ihre IP-Adresse und die Version des Einwilligungstextes. Für Speicherung und Versand nutzen wir den Dienst Resend als Auftragsverarbeiter (siehe Ziffer 7.3).

Wir speichern diese Daten, solange Sie den Newsletter abonniert haben. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und den Newsletter abbestellen – über den Abmelde-Link in jeder Newsletter-E-Mail oder formlos an support@confettiprints.com. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

10. Drittlandübermittlungen im Überblick

Soweit Empfänger in den USA unter dem EU-US Data Privacy Framework zertifiziert sind (OpenAI, Stripe, Meta, Google), erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO). Für nicht zertifizierte Empfänger (Replicate) stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Foto- und Auftragsdaten selbst werden in der EU (Frankfurt) gespeichert (Ziffer 6).

11. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Berichtigungsrecht (Art. 16 DSGVO)
• Löschungsrecht (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf Ihrer Einwilligung beruht (z. B. Foto-Upload, Marketing-Cookies), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@confettiprints.com

12. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg
Telefon: 040 / 428 54 – 4040
E-Mail: mailbox@datenschutz.hamburg.de

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Services anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf unserer Website.

14. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter:

E-Mail: support@confettiprints.com