Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist Calvin Sprengers, c/o MDC #1194, Welserstraße 3, 87463 Dietmannsried, erreichbar unter info@automotif.shop. Vollständige Angaben im Impressum.

Ein Datenschutzbeauftragter ist bei einem Einzelunternehmen ohne umfangreiche Datenverarbeitung in der Regel nicht erforderlich (§ 38 BDSG greift ab 20 Personen, die ständig mit der Verarbeitung befasst sind).

2. Hosting

Die Website wird bei Hostinger — bestätigen gehostet. Beim Aufruf werden technisch notwendige Daten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp und übertragene Datenmenge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am sicheren Betrieb der Website.

Zu klären, bevor diese Zeile stimmt: Im Projekt liegt noch eine netlify.toml, die Seite war also für Netlify konfiguriert. Hier muss stehen, wo sie tatsächlich läuft, nicht wo sie laufen soll. Für Hostinger zusätzlich zu klären: Firmensitz des Vertragspartners, gewählter Serverstandort (Hostinger bietet mehrere Rechenzentren, EU-Standort ist wählbar und wäre hier die einfachere Variante), Aufbewahrungsdauer der Server-Logs und der Auftragsverarbeitungsvertrag.

Bereits umgesetzt: Die Startseite lädt keine Schriftarten von externen Servern, sondern nutzt die Systemschrift des Geräts. Es findet dadurch beim Seitenaufruf keine Übertragung an Google oder andere Schriftanbieter statt.

3. Bestellformular

Bei einer Bestellung über das Formular auf der Startseite werden folgende Daten erhoben:

• E-Mail-Adresse — für Entwurf, Rückfragen, Bestätigung und Versandinformationen
• Foto des Fahrzeugs — hochgeladene Bilddatei, bis 15 MB
• Ausrichtung — hochkant oder Querformat
• Größe — 20 × 30, 30 × 40, 40 × 50 oder 50 × 70 cm
• Produktart — Leinwand oder Poster sobald im Formular vorhanden
• Drei Bestätigungen — Bildrechte, Einwilligung zur Verarbeitung von Foto und E-Mail-Adresse, Kenntnisnahme des Widerrufsausschlusses (jeweils mit Zeitstempel dokumentiert)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist zur Erfüllung des Vertrags beziehungsweise zur Durchführung vorvertraglicher Maßnahmen erforderlich.

Gegenüber dem alten Entwurf geändert: Das Formular erhebt keinen Wunschtext für das Kennzeichen und keine Rahmenauswahl mehr. Beides stand noch in der Vorfassung und wurde hier gestrichen. Name und Lieferanschrift werden derzeit ebenfalls nicht über das Formular erhoben, sondern erst per E-Mail.

Die Übermittlung erfolgt an unseren eigenen Webspace. Ein externer Formulardienst ist nicht eingebunden; die Daten werden an keinen weiteren Empfänger übertragen. Das Foto wird in einem Verzeichnis abgelegt, das über das Internet nicht erreichbar ist. Zusätzlich erhältst du eine Bestätigung deiner Bestellung per E-Mail.

Umgesetzt: Das Formular wird von einem eigenen Skript auf dem Webspace entgegengenommen. Dadurch entfällt ein zusätzlicher Auftragsverarbeitungsvertrag und ein weiterer Empfänger in dieser Erklärung. Der Absatz oben ist die Beschreibung dieser Verarbeitung und kann so stehen bleiben.

4. Hochgeladene Fotos

Fotos können personenbezogene Daten enthalten, insbesondere Kfz-Kennzeichen, über die sich der Halter bestimmen lässt, sowie unbeabsichtigt abgebildete Personen, Hausnummern oder fremde Fahrzeuge.

Wie wir damit umgehen

• Kunden bestätigen vor dem Absenden, die Rechte am Bild zu besitzen und keine fremden Personen oder Fahrzeuge abzubilden.
• Das Kennzeichen wird im erzeugten Motiv entfernt / unverändert übernommen — entscheiden.
• Original-Uploads werden 30 Tage nach Auslieferung gelöscht.

Zu entscheiden und dann hier festzuschreiben: Der Umgang mit dem Kennzeichen bestimmt die datenschutzrechtliche Bewertung dieses ganzen Abschnitts. Da das Formular keinen Wunschtext mehr abfragt, bleiben praktisch zwei Optionen: unverändert lassen oder unkenntlich machen. Entfernen ist die datensparsamere Variante.

Stand des Formulars: Die Bestätigung der Bildrechte ist als eigenes Pflichthäkchen umgesetzt, neben Datenschutz und Widerrufsausschluss. Die Aussage oben deckt sich damit.

Zu prüfen: Die 30-Tage-Frist muss technisch und organisatorisch auch eingehalten werden. Solange manuell gearbeitet wird, braucht es dafür einen festen Arbeitsschritt, sonst ist die Zusage falsch. Anders als früher wird sie auf der Startseite nicht mehr beworben — sie bleibt trotzdem bindend, sobald sie hier steht.

5. KI-gestützte Bildverarbeitung

Zur Erstellung des Motivs wird das hochgeladene Foto an einen KI-Dienstleister übermittelt und dort verarbeitet. Dieser Dienstleister hat seinen Sitz beziehungsweise betreibt seine Server außerhalb der Europäischen Union, namentlich USA / China — Anbieter eintragen.

In diesen Ländern besteht kein mit der EU vergleichbares Datenschutzniveau. Insbesondere können staatliche Stellen weiter gehende Zugriffsrechte auf die Daten haben, und es stehen dir dort unter Umständen keine gleichwertigen Rechtsbehelfe zu. Über diese Risiken wirst du im Bestellformular ausdrücklich informiert; die Übermittlung erfolgt auf Grundlage deiner dort erteilten Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO.

Der kritischste Abschnitt — hier versagen Standardvorlagen. Zu benennen sind: der konkrete Anbieter, der Verarbeitungszweck, die Rechtsgrundlage, ob der Anbieter außerhalb der EU sitzt und wie der Transfer abgesichert ist, ob der Anbieter die Bilder zum Training eigener Modelle verwendet (bei vielen Diensten ist das voreingestellt und muss aktiv abgeschaltet werden), und wie lange er sie speichert. Ein Auftragsverarbeitungsvertrag ist erforderlich.

Auch in der Anfangsphase: Solange die Bilder manuell über eine Weboberfläche erzeugt werden, gilt das genauso — auch dann fließen Kundenfotos zu einem Dritten. Der Anbieter, den du tatsächlich nutzt, muss hier stehen, nicht der, den du später einsetzen willst.

Die Einwilligung allein trägt das nicht. Art. 49 DSGVO ist für gelegentliche Übermittlungen gedacht. Bei dir geht jedes Kundenfoto ins Drittland — das ist systematisch. Du brauchst zusätzlich Auftragsverarbeitungsvertrag und Standardvertragsklauseln mit dem Anbieter; für China zusätzlich eine dokumentierte Risikoabschätzung, weil es dafür keinen Angemessenheitsbeschluss gibt. Ausführlicher steht das in § 6 der AGB.

Der einfachste Ausweg: ein Anbieter, der in der EU hostet. Dann entfällt dieser ganze Abschnitt samt Risikohinweis im Formular.

6. Druck und Versand

Zur Herstellung und Zustellung werden die Druckdatei sowie Name und Lieferanschrift an unseren Druckdienstleister Anbieter eintragen übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zu klären: Auftragsverarbeitungsvertrag mit dem Druckpartner, Produktionsstandort (EU oder Drittland) und ob der Partner Unterauftragnehmer einsetzt. Die Startseite sagt „Versand innerhalb Deutschlands" zu — das muss der Partner auch leisten können.

Poster nicht vergessen: Werden Leinwände und Poster über denselben Dienstleister produziert? Falls nicht, kommt ein weiterer Empfänger personenbezogener Daten hinzu, der hier eigens genannt werden muss — mit eigenem Auftragsverarbeitungsvertrag.

7. Zahlungsabwicklung

Die Zahlung erfolgt über Stripe — bestätigen. Zahlungsdaten werden direkt beim Zahlungsdienstleister eingegeben und von diesem verarbeitet; wir erhalten keine vollständigen Zahlungsdaten.

Aktueller Stand: Im Bestellformular sind noch keine Zahlungslinks hinterlegt, der Weg „Direkt zur Kasse" zeigt bislang nur einen Hinweis. Sobald Stripe angebunden ist, gehört hier ergänzt, welche Daten an Stripe fließen und dass die Weiterleitung auf eine externe Seite erfolgt.

8. Speicherdauer

• Original-Uploads: 30 Tage nach Auslieferung
• Bestelldaten: nach handels- und steuerrechtlichen Aufbewahrungsfristen 6 bzw. 10 Jahre — prüfen
• Server-Logs: Frist beim Hoster prüfen
• Uploads ohne Bestellung: 30 Tage bestätigen

Der letzte Punkt ist neu und leicht zu übersehen: Beim Weg „Direkt zur Kasse" wird das Foto hochgeladen, bevor bezahlt wird. Bricht jemand bei Stripe ab, liegt sein Foto samt E-Mail bei uns, ohne dass je eine Bestellung zustande kam. Für diese Fälle braucht es eine eigene Löschfrist — sonst sammeln sich Daten an, für die es keine Rechtsgrundlage mehr gibt.

Achtung auf den Widerspruch: Steuerrecht verlangt die Aufbewahrung von Rechnungsdaten, während die Fotos gelöscht werden sollen. Beides ist getrennt zu behandeln — Rechnungsdaten aufbewahren, Bilddateien löschen.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist die Behörde deines Bundeslandes, für uns zuständige Aufsichtsbehörde eintragen.

Die zuständige Behörde richtet sich nach deinem Geschäftssitz, nicht nach dem Wohnort des Kunden. Für Nordrhein-Westfalen wäre das die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW in Düsseldorf — bitte am tatsächlichen Sitz abgleichen.

10. Tracking und Cookies

Diese Website setzt keine Cookies zu Analyse- oder Marketingzwecken und bindet keine Trackingdienste ein. Ein Einwilligungsbanner ist daher nicht erforderlich.

Geprüft am aktuellen Stand: Die Startseite lädt keine externen Skripte, keine externen Schriften und setzt keine Cookies. Diese Aussage stimmt also.

Wichtig für später: Sobald ein TikTok-Pixel oder ein vergleichbares Werbe-Tracking eingebunden wird, ändert sich das grundlegend. Dann ist nach § 25 TDDDG eine vorherige Einwilligung nötig, das Pixel darf erst nach aktiver Zustimmung laden, und dieser Abschnitt muss vollständig neu geschrieben werden. Ein Banner, der erst nach dem Laden des Pixels fragt, ist wirkungslos.