Datenschutzerklärung

Wir verarbeiten insbesondere Stammdaten und Kontaktdaten, Bestell- und Zahlungsdaten, Uploads und Motivdaten, Kommunikationsdaten sowie technisch notwendige Nutzungsdaten. Dazu gehören je nach Nutzung insbesondere Name, E-Mail-Adresse, Telefonnummer, Rechnungs- und Lieferadresse, Bestellinhalte, Zahlungsart, hochgeladene Bilddateien, KI-generierte Motive, Produktkonfigurationen, Druckdaten sowie Einwilligungs- und Session-Informationen. Kinderzeichnungen können Namen, Abbildungen oder andere personenbezogene Informationen enthalten. Bitte lade nur Inhalte hoch, die für die gewünschte Gestaltung erforderlich sind, und vermeide unnötige Kontaktdaten oder sonstige sensible Angaben im Motiv.

Technische Zugriffsdaten: Beim Aufruf unserer Website und beim Zugriff auf unsere Schnittstelle fallen technische Zugriffsdaten an, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Ressource, Referrer sowie Browser- und Geräteangaben. Wir verarbeiten die IP-Adresse insbesondere, um die Zahl der Anfragen pro Zeiteinheit zu begrenzen und damit Missbrauch, Betrug und automatisierte Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Diese Zählerstände halten wir nur flüchtig im Arbeitsspeicher und speichern sie nicht dauerhaft. Bei elektronisch übermittelten Rücktritts- und Widerrufserklärungen speichern wir die IP-Adresse ausschließlich als nicht rückrechenbaren Hashwert zusammen mit dem Vorgang, um Missbrauch nachvollziehen zu können.

Erforderliche und freiwillige Angaben: Für den Abschluss und die Abwicklung eines Vertrags benötigen wir Name, Rechnungs- und Lieferadresse, E-Mail-Adresse sowie die gewählte Zahlungsart. Diese Angaben sind zugleich für die gesetzlich vorgeschriebene Rechnungslegung erforderlich. Ohne sie können wir keinen Vertrag mit dir schließen und keine Bestellung ausführen. Freiwillig sind insbesondere deine Telefonnummer, Angaben in Nachrichten- und Anmerkungsfeldern sowie alle Inhalte deiner Uploads, die über das für die gewünschte Gestaltung Erforderliche hinausgehen; wenn du sie nicht angibst, entstehen dir daraus keine Nachteile.

Deine Daten werden nur dann an Auftragsverarbeiter, eigenständig Verantwortliche oder sonstige Empfänger weitergegeben, wenn dies für den Betrieb des Shops, die Vertragserfüllung, Kommunikation, Analyse oder aufgrund gesetzlicher Pflichten erforderlich ist.

Hosting und technische Infrastruktur. Ohne diese Dienste ist der Shop nicht betreibbar; sie verarbeiten die Daten weisungsgebunden als Auftragsverarbeiter für uns:

• Vercel Inc. (USA): Hosting und Auslieferung der Website. Dabei fallen technische Zugriffsdaten einschließlich deiner IP-Adresse an. Weitere Informationen in den Datenschutzhinweisen von Vercel.
• Render Services, Inc. (USA): Betrieb unserer Schnittstelle (API), der Datenbank, geplanter Hintergrundaufgaben sowie eines Zwischenspeichers für Nutzungszähler und Mehrfachabsendungen. Die eingesetzten Server stehen in der Region Frankfurt in der Europäischen Union. Weitere Informationen in den Datenschutzhinweisen von Render.
• Plus Five Five, Inc. / Resend (USA): Versand von Bestell-, Status-, Rechnungs- und Kontakt-E-Mails einschließlich der von dir übermittelten Nachrichten und Anhänge. Weitere Informationen in der Datenschutzerklärung von Resend.

Weitere Empfänger nach Funktion:

• Cloudinary: Speicherung und Auslieferung von Uploads, Motivdateien, Vorschauen, Druckdaten und Dokumenten. Bilder werden direkt von den Servern dieses Anbieters in deinen Browser geladen; dabei wird deine IP-Adresse an den Anbieter übermittelt.
• OpenAI: KI-gestützte Verarbeitung von Eingaben, Moderation und Generierung von Motiven, soweit du entsprechende Funktionen nutzt.
• Clerk: Konto-, Login-, Registrierungs- und Session-Verwaltung, soweit die Konto- und Login-Funktionen verwendet werden.
• Stripe und PayPal: Zahlungsabwicklung und zahlungsbezogene Transaktionen; zusätzlich verarbeiten wir Zahlungsdaten für Vorkasse-Bestellungen.
• Konfigurierter SMTP-Anbieter: Ausfallsichere Zustellung von Bestell-, Status- und Rechnungs-E-Mails, falls der primäre Versand über Resend nicht verfügbar ist.
• PPG Trade GmbH / Produktionspartner: Produktion, Verpackung und Versandvorbereitung personalisierter physischer Produkte; hierfür können insbesondere Bestellnummer, Produktdaten, Druckdaten und Lieferadresse übermittelt werden.
• GLS: Weitergabe von Lieferdaten zur Zustellung physischer Bestellungen.
• Google Analytics 4: Analyse des Nutzungsverhaltens nur nach erteilter Einwilligung.
• Meta (Facebook/Instagram): Meta Pixel und Meta Conversions API zur Messung und Verbesserung unserer Werbeanzeigen nur nach erteilter Einwilligung.

Wir verwenden technisch notwendige Speicher- und Session-Mechanismen, damit Warenkorb, Login, Checkout, Einwilligungsstatus und sicherheitsrelevante Funktionen funktionieren. Diese Funktionen können nicht abgewählt werden.

Technisch notwendige Browser-Speicher: Dazu gehören die Session-Cookies und Browser-Einträge von Clerk für Anmeldung und Kontositzung, der lokale Warenkorb bis zu seiner Leerung, ein kurzlebiger Registrierungsentwurf bis zum Ende der Browser-Sitzung, ein Checkout-Entwurf bis zur Übernahme oder Löschung, ein Gestaltungsentwurf (Kennungen von Zeichnung und Motiv, gewählter Look, Beschreibung und Produktauswahl) im Sitzungsspeicher bis zum Ende der Browser-Sitzung, ein Verweis auf die zuletzt begonnene Gestaltung (nur Kennungen, keine Bilder oder Texte) im lokalen Speicher, bis du eine neue Gestaltung beginnst oder den Browserspeicher löschst, sowie kk-theme für die gewählte helle oder dunkle Darstellung bis zur Änderung oder Löschung des Browserspeichers. Sicherheits- und Verfügbarkeitsmerker im Sitzungsspeicher enden mit der Browser-Sitzung.

Einwilligungsverwaltung: Deine Auswahl speichern wir unter kk_consent_v2 für 180 Tage in einem technisch notwendigen First-Party-Cookie und im lokalen Speicher deines Browsers. Der Datensatz enthält die erlaubten Kategorien, eine zufällige Beleg-ID, Entscheidungszeit, Sprache sowie Schema- und Hinweisversion. Zustimmung und Ablehnung werden gleich lange gespeichert. Die Felder des lokalen Belegs enthalten keine Namen, E-Mail-Adressen oder Bestelldaten.

Google Analytics 4: Wenn du Analyse erlaubst, laden wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verarbeitet werden insbesondere eine pseudonyme Client-ID, Seitenaufrufe, aufgerufene URLs, Referrer, Zeitpunkte, Sitzungs- und Interaktionsdaten sowie Browser-, Geräte-, Sprach- und Bildschirmangaben. Namen, E-Mail-Adressen, Bestellnummern und sonstige unmittelbar identifizierende Werte übermitteln wir nicht an GA4. Die First-Party-Cookies _ga und _ga_<ID> werden von uns auf höchstens 180 Tage begrenzt und nicht bei jeder Aktivität automatisch verlängert. Nutzer- und Ereignisdetaildaten sind in der verwendeten Standard-Property auf höchstens 14 Monate begrenzt; aggregierte Standardberichte können länger verfügbar bleiben.

Wir verwenden den Basic Consent Mode: Vor deiner Analyse-Einwilligung wird das Google-Tag nicht geladen und es werden auch keine cookielosen Pings an Google gesendet. Google Signals, Google-Werbe-, Remarketing- und Personalisierungssignale bleiben technisch deaktiviert. Google Ads ist derzeit nicht eingebunden.

Meta Pixel und Conversions API: Wenn du Marketing erlaubst, verwenden wir das Meta Pixel und die Meta Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Das Browser-Pixel misst kontrolliert PageView, ViewContent, AddToCart, InitiateCheckout und nach einem Kauf Purchase. Automatisch erkannte Meta-Events sind im Website-Code deaktiviert.

Ein bezahlter Kauf wird zusätzlich serverseitig als Purchase an Meta gesendet, aber nur wenn beim Checkout ein aktueller, versionierter Marketing-Consent-Beleg vorliegt. Browser- und Serverevent verwenden dieselbe Ereignis-ID, damit Meta sie deduplizieren kann. Für das Serverevent werden E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Ort, Postleitzahl und Land normalisiert und mit SHA-256 gehasht. Meta-Kennungen _fbp und _fbc werden nach Meta-Vorgabe ungehasht übertragen. Außerdem können Ereigniszeit, Quellseite, Bestellwert, Währung, Produktkennungen, Artikelanzahl und Bestellnummer verarbeitet werden. Zahlungsdaten, hochgeladene Bilder und Motivdateien werden nicht an Meta übermittelt.

Den Beleg für das CAPI-Kaufereignis sowie die beim Checkout vorhandenen Meta-Kennungen _fbp und _fbc speichern wir nur bei wirksamer Marketing-Einwilligung mit der Bestellung. Der Beleg besteht aus der zufälligen Beleg-ID, Hinweisversion, Entscheidungszeit und Sprache; die Belegfelder selbst enthalten keine Kontakt-, Adress-, IP- oder User-Agent-Daten. Beleg und Kennungen dienen dem Nachweis, der Attribution und einer gegebenenfalls notwendigen Wiederholung des Ereignisses und werden entsprechend den für Bestellunterlagen geltenden Aufbewahrungs- und Verjährungsfristen gespeichert. Temporär nicht zustellbare CAPI-Ereignisse können in einer zugriffsgeschützten Retry-Queue gespeichert werden; erfolgreiche beziehungsweise dauerhaft fehlgeschlagene Einträge werden spätestens nach 30 Tagen bereinigt.

Für die Erhebung und Übermittlung bestimmter Ereignisdaten über die Meta Business Tools sind wir und Meta Platforms Ireland Limited nach Maßgabe der Meta-Bedingungen gemeinsam Verantwortliche gemäß Art. 26 DSGVO. Den wesentlichen Inhalt findest du im Meta Controller Addendum. Nach der Übermittlung verarbeitet Meta bestimmte Daten auch in eigener Verantwortlichkeit.

Bei Google und Meta kann eine Verarbeitung durch verbundene Unternehmen außerhalb des EWR, insbesondere in den USA, nicht vollständig ausgeschlossen werden. Übermittlungen können auf dem EU-US Data Privacy Framework sowie ergänzend auf Standardvertragsklauseln beruhen. Weitere Informationen findest du in den Datenschutzhinweisen von Google und der Datenschutzrichtlinie von Meta.

Im Cookie-Hinweis kannst du mit „Analyse & Marketing erlauben“ in beide Kategorien einwilligen, mit „Nur notwendige“ beide ablehnen oder unter „Einstellungen“ getrennt auswählen. Du kannst deine Entscheidung jederzeit mit Wirkung für die Zukunft ändern. Beim Abwählen löschen wir die für uns erreichbaren GA4- und Meta-Cookies und laden die Seite neu, um bereits geladene Drittanbieter-Skripte zu entfernen: Cookie-Einstellungen öffnen

Je nach Vorgang verarbeiten wir deine Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung und Durchführung vorvertraglicher Maßnahmen, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Pflichten, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen sowie auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021, soweit deine Einwilligung erforderlich ist, insbesondere für Analyse- und Marketing-Technologien. Die notwendige Speicherung deiner Auswahl beruht auf § 165 Abs. 3 TKG 2021 und, soweit personenbezogene Daten betroffen sind, auf unserem berechtigten Interesse an einer nutzerfreundlichen und nachweisbaren Einwilligungsverwaltung.

• Shop, Konto, Upload, Gestaltung, Bestellung und Produktion: Art. 6 Abs. 1 lit. b DSGVO.
• Rechnung, Buchhaltung und gesetzliche Nachweise: Art. 6 Abs. 1 lit. c DSGVO.
• Betriebssicherheit, Missbrauchsabwehr, Inhaltsprüfung, Einwilligungsnachweis und Rechtsverteidigung: Art. 6 Abs. 1 lit. f DSGVO.
• Google Analytics, Meta Pixel und Conversions API: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021.

Unsere berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO sind im Einzelnen: der sichere, stabile und funktionsfähige Betrieb von Website, Shop und Schnittstellen einschließlich der Abwehr von Missbrauch, Betrug und automatisierten Angriffen, etwa durch Zugriffsbegrenzungen; die Prüfung hochgeladener Inhalte, um rechtswidrige oder rechteverletzende Uploads zu verhindern; die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen sowie die Dokumentation geschäftlicher Vorgänge; und der Nachweis sowie die nutzerfreundliche Verwaltung erteilter Einwilligungen. Du kannst diesen Verarbeitungen nach Art. 21 DSGVO aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Derzeit gilt folgende Löschlogik:

• Abgelaufene Checkout-Bestätigungslinks werden automatisiert bereinigt.
• Gastkonten ohne Bestellung und ohne aktiven Warenkorb werden nach 30 Tagen regelmäßig zur Löschung ermittelt. Bis zur Freigabe der automatischen Löschung entfernen wir sie einschließlich zugehöriger Uploads und KI-Motive auf Anfrage oder nach kontrollierter Prüfung.
• Unreferenzierte temporäre Druck- und Bearbeitungsdateien werden nach 60 Tagen regelmäßig zur Löschung ermittelt und nach kontrollierter Prüfung oder auf Anfrage entfernt.
• Galerieinhalte eines aktiven Kontos bleiben für die vom Nutzer gewünschte Bereitstellung gespeichert, bis sie gelöscht werden, das Konto gelöscht wird oder der Zweck entfällt.
• Bestell- und Produktionsdaten bleiben für Vertragserfüllung, Gewährleistung, Reklamationen und Rechtsverteidigung so lange gespeichert, wie dies erforderlich ist.
• Rechnungs- und buchhaltungsrelevante Unterlagen werden entsprechend den gesetzlichen Aufbewahrungspflichten grundsätzlich sieben Jahre gespeichert; längere Aufbewahrung kann bei anhängigen Verfahren erforderlich sein.
• Analyse- und Marketing-Einwilligungen im Browser werden nach 180 Tagen erneut abgefragt; ein Widerruf ist jederzeit möglich.
• Der mit einer Bestellung gespeicherte Marketing-Einwilligungsbeleg und die dabei vorhandenen Meta-Kennungen werden mit den Bestellunterlagen entsprechend den einschlägigen Aufbewahrungs- und Verjährungsfristen gespeichert.
• GA4-Nutzer- und Ereignisdetaildaten sind auf höchstens 14 Monate begrenzt; die Cookie-Laufzeit begrenzen wir auf 180 Tage.
• Erfolgreiche und dauerhaft fehlgeschlagene CAPI-Queue-Einträge werden spätestens nach 30 Tagen bereinigt.

Auf Vercel und Render verfügbare technische Runtime- und Zugriffslogs werden ohne eingerichteten externen Log-Export abhängig vom gebuchten Plattformtarif automatisch gelöscht, spätestens nach 30 Tagen. Wir verwenden diese Logs nur für Betriebssicherheit, Fehleranalyse und Missbrauchsabwehr.

Daten, die du durch Formulare oder Uploads übermittelst, werden verschlüsselt übertragen. Hochgeladene Bilder und daraus abgeleitete Dateien werden zur Vorschau, Bearbeitung, KI-gestützten Verarbeitung, Produktion, Auslieferung und erneuten Bereitstellung in deinem Nutzerbereich verwendet. Wenn du digitale Downloads kaufst, werden diese ebenfalls in deinem Nutzerbereich beziehungsweise deiner Galerie bereitgestellt.

Ein Teil der von uns eingesetzten Anbieter hat seinen Sitz in den Vereinigten Staaten oder setzt dort Unterauftragnehmer ein. Das betrifft insbesondere Vercel (Hosting der Website), Render (Schnittstelle, Datenbank und Hintergrundaufgaben), Plus Five Five / Resend (E-Mail), Cloudinary (Speicherung und Auslieferung der Bilddateien), OpenAI (KI-gestützte Verarbeitung) und Clerk (Konto- und Login-Verwaltung). Vercel, Render und Plus Five Five / Resend sind nach dem EU-US Data Privacy Framework zertifiziert; Render sieht in seinem Auftragsverarbeitungsvertrag ergänzend die Standardvertragsklauseln als Rückfallmechanismus vor. Cloudinary verwendet nach eigenen Angaben das Data Privacy Framework und die Standardvertragsklauseln. Bei den übrigen Anbietern und Unterauftragnehmern stützen wir erforderliche Drittlandübermittlungen auf einen Angemessenheitsbeschluss oder die von der EU-Kommission genehmigten Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen. Eine Kopie der einschlägigen Garantien kannst du unter der oben genannten Adresse anfordern.

Uploads von Kinderzeichnungen: Das Kind, von dem die Zeichnung stammt oder das auf ihr erkennbar ist, kann selbst betroffene Person und Urheberin oder Urheber sein. Deshalb dürfen Zeichnungen nur von Erziehungsberechtigten oder mit Zustimmung aller Erziehungsberechtigten hochgeladen werden. Die im Upload-Ablauf abgegebene Rechte- und Vertretungsbestätigung speichern wir versioniert mit dem Upload, um die Berechtigung und die Abwehr von Rechtsansprüchen nachweisen zu können. Wir verarbeiten Originalzeichnung und daraus erstellte Motive zur Durchführung des Vertrags und der von dir gewählten Gestaltung (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Abwehr rechtswidriger Inhalte, zum Nachweis der Bestätigung und zur Rechtsverteidigung (Art. 6 Abs. 1 lit. f DSGVO). Bestätigung, Original und Motive bleiben für die gewünschte Galerie- und Bestellbereitstellung gemeinsam gespeichert; Gastkonten ohne Bestellung und aktiven Warenkorb werden nach 30 Tagen regelmäßig zur Löschung ermittelt und bis zur Freigabe der automatischen Löschung nach kontrollierter Prüfung oder auf Anfrage entfernt. Eine frühere Löschung kannst du jederzeit verlangen, soweit keine Bestellung oder gesetzliche Pflicht entgegensteht.

Damit der Shop sicher und für alle nutzbar bleibt, laufen einzelne Prüfungen automatisiert ab:

• Deine Beschreibung des gewünschten Motivs prüfen wir automatisiert auf unzulässige Begriffe. Enthält sie solche Begriffe, lehnen wir die Anfrage ab und weisen dich im Ablauf darauf hin. In anderen Fällen kann es vorkommen, dass wir die Beschreibung nicht verwenden und das Motiv ohne sie erstellen.
• Die Zahl der Motive, die pro Tag und Konto erstellt werden können, ist begrenzt. Ist die Grenze erreicht, nennen wir dir den Zeitpunkt, ab dem es weitergeht.
• Die Zahl der Anfragen pro Zeiteinheit und IP-Adresse ist begrenzt, um automatisierte Angriffe abzuwehren.
• Uploads ohne die vorgesehene Rechtebestätigung werden abgelehnt.

Diese Prüfungen dienen der Sicherheit des Betriebs und der Einhaltung rechtlicher Vorgaben. Eine automatisierte Entscheidung im Einzelfall, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, sowie Profiling im Sinne von Art. 22 DSGVO finden nicht statt. Wenn du der Ansicht bist, dass dich eine automatisierte Prüfung zu Unrecht betroffen hat, schreib uns an office@kinderkunst3.at — wir sehen uns den Fall persönlich an.

Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, die gewählte Kategorie und den Inhalt deiner Nachricht, um die Anfrage zu bearbeiten. Bei der Kategorie „Reklamation“ kannst du zusätzlich bis zu drei Bilder anhängen. Diese wandeln wir automatisch in ein einheitliches Bildformat um; enthaltene Metadaten wie Aufnahmezeit und -ort werden dabei entfernt.

Anfragen aus dem Kontaktformular speichern wir nicht in der Shop-Datenbank. Sie werden ausschließlich als E-Mail an unser Postfach übermittelt und dort bearbeitet; Empfänger ist insoweit der Anbieter unserer E-Mail-Infrastruktur. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage einen bestehenden oder anzubahnenden Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung von Anfragen. Wir bewahren die Korrespondenz so lange auf, wie es für die Bearbeitung und für Nachweiszwecke erforderlich ist; bei vertrags- und rechnungsbezogener Korrespondenz gelten die gesetzlichen Aufbewahrungsfristen.