Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Webseite und im Kundenkonto ist:

Bei Fragen zum Datenschutz erreichst du uns jederzeit unter der oben genannten E-Mail-Adresse.

2. Überblick: zwei Rollen

pic2gether ist ein Dienst für Live-Fotogalerien bei Events. Unsere Kunden sind Unternehmer wie Fotobox-Betreiber, Fotografen, Hochzeitsplaner, Locations, DJs und Eventagenturen sowie Privatpersonen, die eine Galerie für ihre eigene Feier buchen (im Folgenden gemeinsam „Anbieter“ bzw. „Veranstalter“). Dabei verarbeiten wir Daten in zwei unterschiedlichen Rollen:

• Als Verantwortlicher: für die Daten unserer Kunden (Anbieter) – Kundenkonto, Bestellungen, Zahlungen, E-Mails – sowie für den Besuch dieser Webseite.
• Als Auftragsverarbeiter: für die Fotos und Daten in den Event-Galerien. Verantwortlich dafür ist der jeweilige Anbieter, der die Galerie gebucht hat. Wir verarbeiten diese Daten nur nach seinen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO, siehe Anhang zu unseren AGB). Bucht eine Privatperson eine Galerie für eine rein private Feier, fällt deren eigene Nutzung in der Regel unter die Ausnahme für persönliche und familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO); wir verarbeiten die Fotos und Daten auch dann nur in ihrem Auftrag und nur zur Erbringung des Dienstes.

Als Gast einer Veranstaltung wende dich mit Fragen zu Fotos daher bitte zuerst an den Anbieter (z. B. Fotobox-Betreiber oder Fotograf) bzw. die Gastgeber. Wir unterstützen sie gerne dabei.

3. Hosting und Server-Protokolle

Diese Webseite und die Datenbank werden bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, gehostet. Der Serverstandort ist Frankfurt am Main, Deutschland. Mit Hostinger besteht ein Auftragsverarbeitungsvertrag.

Die Fotos und Videos der Galerien speichern wir im Objektspeicher (Object Storage) der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Speicherort ist Nürnberg, Deutschland. Beim Ansehen einer Galerie lädt dein Browser die Bilder direkt von dort; Hetzner verarbeitet dabei technisch notwendige Verbindungsdaten wie deine IP-Adresse. Logos, Titelbilder und Gästebuch-Fotos bleiben bei Hostinger. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Alle Daten bleiben damit in der EU.

Sofern der Veranstalter die Prüfung auf anstößige Inhalte eingeschaltet hat, senden wir nach dem Hochladen eine verkleinerte Vorschau des Fotos sowie Text, Namen und Foto von Gästebuch-Einträgen an den Dienst Sightengine (sightengine.com). Dort wird automatisch geprüft, ob Inhalte z. B. Nacktheit oder Beleidigungen enthalten; erkannte Inhalte werden bis zur Freigabe durch den Veranstalter nicht in der Galerie angezeigt. Darüber hinaus werden keine Kontaktdaten übermittelt. Sightengine verarbeitet die Anfragen in Rechenzentren in der EU, kann sie aber auch in Kanada oder den USA verarbeiten; die Übermittlung ist im Auftragsverarbeitungsvertrag mit Sightengine geregelt. Rechtsgrundlage ist unser berechtigtes Interesse bzw. das des Veranstalters, keine anstößigen Inhalte zu veröffentlichen (Art. 6 Abs. 1 lit. f DSGVO).

Beim Aufruf der Webseite verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Kennung und übertragene Datenmenge. Das ist für die Auslieferung und Sicherheit der Webseite erforderlich (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren, stabilen Betrieb). Protokolle werden vom Hoster nur kurzzeitig aufbewahrt.

Zum Schutz vor Missbrauch (z. B. zu viele Login- oder PIN-Versuche, übermäßig viele Uploads) zählt unser Server Anfragen pro IP-Adresse kurzzeitig im Arbeitsspeicher. Diese Zähler werden nicht dauerhaft gespeichert und nach spätestens 24 Stunden bzw. bei einem Neustart verworfen (Art. 6 Abs. 1 lit. f DSGVO).

4. Kundenkonto und Bestellungen

Wenn du dich registrierst und Galerien kaufst, verarbeiten wir:

• Name, Firma (optional), E-Mail-Adresse und Passwort (nur als verschlüsselter Hashwert gespeichert),
• deine gewählte Sprache,
• bei aktivierter Zwei-Faktor-Anmeldung: den geheimen Schlüssel für die Codes deiner Authenticator-App,
• eingelöste Gutscheine (Code, Rabatt, Zeitpunkt),
• deine Galerien mit Titel, Termin, Laufzeit und Einstellungen,
• Bestell- und Zahlungsdaten (Betrag, Datum, Zahlungsstatus, Rechnungslink) – jedoch keine Kartendaten.

Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wir speichern die Daten, solange dein Konto besteht. Zahlungs- und Rechnungsdaten bewahren wir aufgrund der gesetzlichen Aufbewahrungspflicht sieben Jahre auf (§ 132 BAO, Art. 6 Abs. 1 lit. c DSGVO).

Demo: Wer „Demo testen“ nutzt, bekommt ein anonymes Test-Konto ohne E-Mail-Adresse. Es wird mit allen hochgeladenen Fotos nach 24 Stunden automatisch gelöscht – oder sofort mit „Demo beenden“.

5. Zahlungen über Stripe

Zahlungen wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Du gibst deine Zahlungsdaten direkt bei Stripe ein; wir erhalten sie nicht. Stripe erhält von uns deine E-Mail-Adresse, den Betrag und eine Beschreibung der Bestellung; Rechnungsadresse, Firmenname und ggf. UID-Nummer gibst du direkt bei Stripe ein. Stripe erstellt damit die Rechnung. Bei einem Abo speichert Stripe die Zahlungsart für die wiederkehrenden Zahlungen; wir erhalten von Stripe nur den Status des Abos (z. B. aktiv, gekündigt, Ende des Zeitraums).

Stripe kann Daten auch in die USA übermitteln; Grundlage sind dabei der EU-US Data Privacy Framework bzw. Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mehr dazu: stripe.com/at/privacy.

6. E-Mails

Wir senden dir ausschließlich E-Mails, die zum Dienst gehören: Bestätigung von Käufen, Erinnerung vor der Löschung einer Galerie, Bestätigungen zu deinem Abo, Erinnerung vor Ablauf einer (früheren) Pro-Mitgliedschaft und Links zum Zurücksetzen des Passworts. Die E-Mails werden über unser Postfach bei Hostinger versendet. Einen Newsletter gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Einige Tage nach einem Event bitten wir dich höchstens einmal je Event und höchstens alle 60 Tage per E-Mail um eine Bewertung unseres Dienstes auf Trustpilot. Dem kannst du jederzeit widersprechen – über den Link in jeder dieser E-Mails oder formlos per E-Mail an uns. Rechtsgrundlage ist unser berechtigtes Interesse an Rückmeldungen zu unserem Dienst (Art. 6 Abs. 1 lit. f DSGVO, § 174 Abs. 4 TKG 2021). Beim Besuch unserer Webseite werden keine Daten an Trustpilot übertragen; angezeigte Bewertungen werden von uns selbst übernommen.

7. Event-Galerien und Fotos (Auftragsverarbeitung)

In den Galerien verarbeiten wir im Auftrag des jeweiligen Anbieters:

• Fotos, die der Anbieter hochlädt (z. B. von der Fotobox oder Kamera), und von Gästen hochgeladene Fotos – in Vorschau- und Originalgröße. Originaldateien können Metadaten enthalten (z. B. Aufnahmezeit, Kameramodell, bei Handyfotos ggf. den Aufnahmeort).
• bei Gäste-Uploads: den freiwillig angegebenen Namen und eine zufällige Geräte-Kennung (zur Begrenzung der Upload-Menge); ist die Freigabe-Funktion aktiv, außerdem den Status „wartet auf Freigabe“ bzw. „freigegeben“,
• Likes mit einer zufälligen Geräte-Kennung, damit jedes Foto pro Gerät nur einmal geliked werden kann,
• bei Foto-Challenges: die Zuordnung eines Gäste-Fotos zur gewählten Aufgabe,
• auf der Vorschauseite vor dem Event: das vom Anbieter hochgeladene Titelbild und seine Nachricht an die Gäste; das Titelbild wird mit Ablauf der Galerie gelöscht,
• im Gästebuch (falls der Anbieter es einschaltet): Name, Text und ggf. ein Foto des Eintrags sowie eine zufällige Geräte-Kennung (zur Begrenzung der Einträge). Einträge sind für alle Gäste mit dem Galerie-Link sichtbar – bei eingeschalteter Prüfung erst nach Freigabe – und können vom Anbieter und den Gastgebern jederzeit gelöscht werden,
• für die automatische Aussortierung (falls eingeschaltet): einen Schärfewert und einen kurzen Bild-Fingerabdruck je Foto. Beides wird auf dem hochladenden Gerät aus dem Vorschaubild berechnet und lässt keine Rückschlüsse auf Personen zu; eine Gesichtserkennung findet nicht statt,
• beim Upload-Programm am PC des Anbieters: Dateiname, Ordner, Aufnahmezeit sowie regelmäßige Statusmeldungen (Zeitpunkt, Programmversion). Weitere Daten des PCs werden nicht übertragen.

Galerien sind nicht öffentlich: Sie sind nur über einen zufälligen, nicht erratbaren Link erreichbar, für Suchmaschinen gesperrt, und die Gastgeber-Ansicht ist zusätzlich mit einem PIN geschützt. Wird der Galerie-Link in einem Messenger geteilt (z. B. WhatsApp), zeigt dieser standardmäßig ein neutrales Vorschaubild. Nur wenn der Anbieter es für seine Galerie einschaltet, ruft der Messenger das beliebteste Foto als Vorschaubild ab.

Für die Statistik im Kundenbereich zählen wir Aufrufe und Downloads einer Galerie – nur als Zahl, ohne Daten über die Besucher. Schickt der Anbieter den Gastgeber-Zugang per E-Mail, speichern wir diese Adresse, um die Gastgeber über neue Gäste-Fotos zu informieren, die auf Freigabe warten.

Ob Gäste Fotos liken oder herunterladen dürfen, legt der Anbieter pro Galerie fest; der Download für Gäste ist standardmäßig ausgeschaltet. Ist der Download eingeschaltet, können Gäste Fotos auf ihr Gerät speichern. Auf diese Kopien haben weder wir noch der Anbieter Einfluss; sie werden bei der Löschung der Galerie nicht mitgelöscht. Gäste dürfen heruntergeladene Fotos, auf denen andere Personen zu sehen sind, nur mit deren Zustimmung veröffentlichen. Gastgeber können mit ihrem PIN Fotos löschen, den Papierkorb leeren und alle Fotos als ZIP herunterladen.

Löschung: Eine Galerie wird nach Ablauf der gebuchten Laufzeit (20 oder 30 Tage ab Eventbeginn) automatisch mit allen Fotos und Gästebuch-Einträgen gelöscht. Einzelne Fotos, die Gastgeber oder Betreiber löschen, kommen zunächst in den Papierkorb und werden mit „Papierkorb leeren“, spätestens aber mit der Galerie endgültig entfernt.

8. Cookies und Speicher im Browser

Wir verwenden ausschließlich technisch notwendige Cookies und Browser-Speicher – keine Analyse-, Tracking- oder Werbe-Cookies. Eine Einwilligung ist dafür nicht erforderlich (§ 165 Abs. 3 TKG 2021).

• Anmelde-Cookie: hält dich im Kundenbereich eingeloggt; wird beim Abmelden gelöscht.
• Sprach-Cookie „lang“: merkt sich die gewählte Sprache (Deutsch/Englisch) für ein Jahr – auch, wenn du einen Link mit „?lang=en“ bzw. „?lang=de“ aufrufst.
• Browser-Speicher (Local/Session Storage) in den Galerien: Zugangsschlüssel nach Eingabe des PINs, die zufällige Geräte-Kennung für Likes, Uploads und Gästebuch-Einträge sowie ggf. der beim Upload oder im Gästebuch angegebene Name. Diese Daten bleiben auf deinem Gerät und können jederzeit in den Browser-Einstellungen gelöscht werden.

9. Schriftarten

Alle Schriftarten (auch die von Kunden gewählten Galerie-Schriften) werden ausschließlich von unserem eigenen Server ausgeliefert. Beim Aufruf unserer Seiten baut dein Browser keine Verbindung zu Google oder anderen Schriftanbietern auf; es werden dabei keine Daten an Dritte übermittelt. Unser Server lädt die frei lizenzierten Schriftdateien einmalig herunter und speichert sie bei uns.

10. Empfänger

Deine Daten erhalten nur: unser Hoster Hostinger (Webseite, Datenbank, E-Mail-Versand), Hetzner (Speicherung der Fotos), Sightengine (Prüfung auf anstößige Inhalte, falls eingeschaltet), Stripe (Zahlungen). Eine Weitergabe zu Werbezwecken findet nicht statt. Fotos in Galerien sehen nur Personen, denen der Anbieter oder die Gastgeber den Link bzw. PIN geben.

11. Datensicherheit

Alle Verbindungen sind per TLS verschlüsselt. Passwörter speichern wir nur als sicheren Hashwert. Links zu Fotos sind signiert und zeitlich begrenzt. Zugriffe auf Galerien sind durch zufällige Links, PINs und eine Sperre nach wiederholten Fehleingaben geschützt.

12. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15–21 DSGVO). Schreib uns dazu einfach eine E-Mail.

Wenn du der Meinung bist, dass die Verarbeitung deiner Daten gegen das Datenschutzrecht verstößt, kannst du dich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.