Rechtliches

Datenschutzerklärung

Stand: 10. August 2026

Welche Daten piqio für sich selbst verarbeitet - und welche es nur im Auftrag anderer hält.

piqio speichert Bilder für Fotografinnen und Fotografen und liefert sie an deren Kunden aus. Diese Erklärung beschreibt, welche Daten piqio dabei für sich selbst verarbeitet - und welche nur im Auftrag anderer gehalten werden.

1Zwei Ebenen - wofür diese Erklärung gilt

piqio wird von zwei sehr verschiedenen Gruppen benutzt, und das entscheidet darüber, wer datenschutzrechtlich verantwortlich ist.

Ebene 1 - du bist Fotografin oder Fotograf und hast ein Konto. Dann bist du Kundin oder Kunde von piqio. Für deine Konto-, Vertrags- und Abrechnungsdaten ist piqio Verantwortlicher im Sinne der DSGVO. Genau darum geht es in dieser Erklärung.

Ebene 2 - du hast einen Galerie-Link von einer Fotografin bekommen. Dann bist du Kundin oder Kunde dieser Fotografin, nicht von piqio. Für die Bilder in der Galerie, deine Auswahl und deine Kommentare ist die Fotografin Verantwortliche. piqio speichert diese Daten nur in ihrem Auftrag und nach ihren Weisungen - dafür wird mit jedem Studio ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. Wer Auskunft oder Löschung dieser Daten will, wendet sich an das Studio, das den Link geschickt hat. Es kennt dich, piqio nicht.

Für Studios: Der Auftragsverarbeitungsvertrag wird bei der Registrierung angenommen und ist jederzeit im Konto abrufbar (Einstellungen → Auftragsverarbeitung). Er enthält als Anlagen die technisch-organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter.

2Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Christian Born – Bornvisions
Inhaber: Christian Born
Talstr. 32, 64739 Höchst, Deutschland
Telefon: 0172 1888 448
E-Mail: hi@piqio.de

3Was piqio bewusst nicht tut

Diese Aussagen sind keine Floskel, sondern Produktentscheidungen. Sie sind deshalb ausdrücklich festgehalten - und jede einzelne ist im Code überprüfbar.

• Keine Gesichtserkennung, kein Gruppieren nach Personen. Das wäre eine Verarbeitung biometrischer Daten nach Art. 9 DSGVO. piqio kann es nicht, weil es nicht gebaut ist - und es wird auch nicht nachgerüstet. Es gibt dafür keine Tabelle, keine Spalte, keinen Verarbeitungsschritt und keinen Aufruf an einen fremden Dienst. Die Anweisung an die Bildanalyse verbietet es zusätzlich ausdrücklich, und ein automatischer Test erzwingt, dass diese Zusage im Vertragstext steht.
• Der einzige Bildvergleich dient dem Aussortieren, nicht dem Erkennen von Personen. Aus jedem Bild wird ein struktureller Fingerabdruck berechnet, mit dem sich Serienaufnahmen und Doppel finden lassen. Er läuft auf dem eigenen Server, erfasst keine Merkmale von Personen und lässt sich nicht zu einem Bild zurückrechnen.
• Keine Analyse- oder Tracking-Werkzeuge. Kein Google Analytics, kein Matomo, keine Pixel, keine Heatmaps, keine Session-Aufzeichnung.
• Keine Werbung, kein Weiterverkauf von Daten, keine Profile für Dritte.
• Keine externen Schriften, keine Content-Delivery-Networks. Alle Schriften werden von den eigenen Servern ausgeliefert, ebenso alle Skripte und Bilder. Beim Aufruf der Seiten geht die IP-Adresse an keinen Dritten.
• Kein Training von KI-Modellen mit den Bildern der Kunden.
• Keine Personennamen in Galerie-Adressen. Ein Galerie-Link besteht aus einem Zufallstoken; er verrät weder Namen noch Anlass.
• Kein Cookie-Banner - weil es nichts einzuwilligen gibt, siehe Abschnitt 5.

4Aufruf der Website, Server-Protokolle

Die Server stehen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Beim Aufruf einer Seite oder einer Schnittstelle protokolliert der Server:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit,
• Methode und angefragte Adresse,
• angefragter Hostname,
• Antwortstatus und Bearbeitungsdauer.

Eine Browserkennung (User-Agent) wird nicht protokolliert. Die IP-Adresse steht ausschließlich in diesen Betriebsprotokollen; in der Datenbank wird sie nirgends gespeichert.

Galerie- und Mappen-Links werden maskiert: Der geheime Teil der Adresse erscheint im Protokoll als Platzhalter und nicht im Klartext. Wer Zugriff auf Protokolle hat, bekommt darüber keinen Zugang zu einer Kundengalerie. Auch E-Mail-Adressen werden im Versandprotokoll gekürzt.

Zweck ist der sichere und störungsfreie Betrieb, die Fehlersuche und die Abwehr von Angriffen (etwa das Begrenzen von Anmeldeversuchen). Rechtsgrundlage ist das berechtigte Interesse an einem sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nicht mit anderen Datenbeständen zusammengeführt und nicht zur Analyse des Nutzungsverhaltens ausgewertet.

Zur Abwehr von Überlastung und automatisierten Angriffen begrenzt der Server die Zahl der Anfragen je IP-Adresse. Diese Zähler liegen ausschließlich im Arbeitsspeicher, werden nicht dauerhaft gespeichert und gehen bei jedem Neustart verloren.

Aufbewahrung: Die Protokolle laufen in einem Ringspeicher von höchstens 50 Megabyte je Dienst (10 MB × 5 Dateien); ist er voll, werden die ältesten Einträge überschrieben. Wie viele Tage das abdeckt, hängt vom Verkehrsaufkommen ab.

5Cookies und Speicherung auf deinem Gerät

piqio setzt ausschließlich Cookies, die für die aufgerufene Funktion unbedingt erforderlich sind. Es gibt keine Werbe-, Analyse- oder Wiedererkennungs-Cookies und deshalb auch kein Einwilligungsbanner. Die Speicherung stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich), die anschließende Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) beziehungsweise lit. f DSGVO (sicherer Betrieb).

Alle Cookies sind httpOnly (kein Zugriff durch Skripte im Browser), SameSite=Lax und im Betrieb Secure. Sie sind host-gebunden, werden also nicht domainübergreifend geteilt.

Weitere Cookies werden nicht gesetzt.

Lokaler Speicher im Browser

Zusätzlich legt die Anwendung Einstellungen im lokalen Speicher des Browsers ab. Diese Daten verlassen das Gerät nicht und werden nicht an piqio übertragen. Sie lassen sich jederzeit über die Browser-Einstellungen löschen.

• Anzeige-Einstellungen im Studio-Bereich: Hell- oder Dunkelmodus, Kachel- oder Listenansicht, Sortier- und Filtereinstellungen, Editor-Layout.
• Ein Merker, dass die Einrichtungshilfe abgeschlossen wurde.
• In der Kundenmappe: Darstellungsdichte und der Zeitpunkt des letzten Besuchs, damit neue Galerien markiert werden können.
• Beim Hochladen von Bildern: der Fortschritt und - bis zu einer bestimmten Größe - Teile der Dateien selbst, damit ein abgebrochener Upload fortgesetzt werden kann. Diese Zwischenspeicherung wird nach 7 Tagen automatisch verworfen.

6Warteliste

Wer sich für die Benachrichtigung zum Start einträgt, überlässt piqio die E-Mail-Adresse, den Zeitpunkt der Einwilligung und den Zeitpunkt der Bestätigung.

• Zweck: über den Start und die Verfügbarkeit von piqio informieren.
• Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Es gilt das Double-Opt-in-Verfahren: Erst der Klick auf den Bestätigungslink in der zugesandten E-Mail macht die Eintragung wirksam.
• Speicherdauer: Nicht bestätigte Eintragungen laufen nach 7 Tagen ab und werden anschließend automatisch gelöscht. Bestätigte Eintragungen bleiben bis zur Abmeldung oder bis der Zweck erfüllt ist.
• Abmeldung: Jede E-Mail enthält einen Abmeldelink. Ein Klick darauf löscht die Adresse endgültig - kein Soft-Delete. Der Abmeldeweg funktioniert auch dann, wenn die Warteliste selbst abgeschaltet ist. Alternativ genügt eine formlose Nachricht an hi@piqio.de.

Der Bestätigungs- und der Abmeldelink enthalten einen Zufallswert, der nur als Prüfsumme gespeichert wird - aus der Datenbank lässt sich kein gültiger Link rekonstruieren.

Über die Warteliste schreibt piqio genau einmal: wenn es losgeht.

Newsletter (freiwillig): Im selben Formular lässt sich zusätzlich der piqio-Newsletter wählen. Das ist eine eigene Einwilligung mit eigenem Häkchen, nicht voreingestellt, und sie wird mit demselben Bestätigungslink wirksam. Gespeichert wird dafür zusätzlich der Zeitpunkt dieser Einwilligung. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. a DSGVO. Jeder Newsletter enthält einen Abmeldelink; die Abmeldung löscht die Adresse wie oben.

Versand über Brevo: Bestätigte Eintragungen übernimmt piqio in eine Kontaktliste beim Versanddienst Brevo (Abschnitt 10), mit Newsletter-Wahl zusätzlich in eine zweite. Von dort geht die Start-Mail und gegebenenfalls der Newsletter aus. Der Abgleich läuft alle 15 Minuten in beide Richtungen: Wer sich bei piqio abmeldet, wird auch bei Brevo gelöscht, und eine Abmeldung über einen Link in einer Brevo-Mail löscht die Adresse bei piqio.

Stand: Die Warteliste ist eingeschaltet. Ein Newsletter wird derzeit nicht verschickt.

7Registrierung, Konto, Anmeldung

7.1 Registrierung

Die Registrierung läuft in zwei Schritten. Zunächst werden gespeichert: die E-Mail-Adresse, das Passwort als kryptografischer Hash (Verfahren argon2 - das Passwort selbst ist piqio nie bekannt), der gewünschte Studioname und die gewünschte Adresskennung sowie die Version der zugestimmten Vertragsdokumente. Dieser vorläufige Eintrag verfällt nach 24 Stunden und wird anschließend automatisch gelöscht. Erst mit dem Klick auf den Bestätigungslink entstehen Konto und Studio.

Ist die Registrierung auf Einladung beschränkt, wird zusätzlich ein Zugangscode geprüft. Der Code selbst wird nicht gespeichert - nur die Information, ob ein Platz als Gründungsmitglied gewünscht wurde.

7.2 Konto- und Vertragsdaten

Zu einem bestehenden Konto werden verarbeitet:

• Name und E-Mail-Adresse der Personen im Team sowie deren Rolle (Inhaber oder Mitglied) und das Passwort als Hash,
• Name des Studios, Adresskennung, Gestaltungseinstellungen einschließlich eines hochgeladenen Logos,
• gebuchter Tarif, Vertragsstatus, Speicherverbrauch,
• eingetragene eigene Domains und Absenderadressen, sofern genutzt,
• die Stammdaten, die für den Auftragsverarbeitungsvertrag angegeben werden, sowie ein Protokoll der Zustimmung: Zeitpunkt, Vertragsversion und Name und E-Mail-Adresse der zustimmenden Person.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO, für das Zustimmungsprotokoll zusätzlich die rechtliche Verpflichtung und das berechtigte Interesse am Nachweis, Art. 6 Abs. 1 lit. c und lit. f DSGVO.

7.3 Anmeldung

Zur Anmeldung stehen Passwort, ein Anmeldelink per E-Mail und Passkeys zur Verfügung. Anmeldelinks sind 15 Minuten gültig und nur einmal verwendbar; sie werden ausschließlich als Prüfsumme gespeichert. Für Passkeys werden der öffentliche Schlüssel, ein Gerätename und ein Zähler gespeichert, der das Kopieren eines Passkeys erkennbar macht. Biometrische Merkmale werden dabei weder übertragen noch gespeichert - Touch ID, Face ID und Windows Hello laufen ausschließlich lokal auf dem Endgerät.

7.4 Einladungen ins Team

Wird jemand ins Team eingeladen, werden dessen E-Mail-Adresse, die vorgesehene Rolle und eine Prüfsumme des Einladungslinks gespeichert. Die Einladung verfällt nach 7 Tagen. Nicht angenommene Einladungen werden anschließend automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsverhältnisses).

7.5 Produkt-Neuigkeiten

Im Konto lässt sich einstellen, ob Nachrichten über neue Funktionen empfangen werden sollen. Gespeichert werden der Zustand dieser Einstellung und der Zeitpunkt der letzten Änderung.

• Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, in Verbindung mit § 7 UWG. Die Einwilligung ist bewusst von den betrieblichen Benachrichtigungen getrennt: Eine Nachricht über eine neue Funktion ist Werbung, eine Nachricht über einen neuen Kommentar in einer Galerie gehört zum gebuchten Dienst.
• Am Menschen, nicht am Studio: Die Einwilligung gibt eine einzelne Person. Wer sich abmeldet, meldet sich selbst ab, nicht seine Kolleginnen und Kollegen.
• Voreinstellung ist Nein. Der Zeitpunkt wird gespeichert, weil bei einer Werbe-Einwilligung der Nachweis nach Art. 7 Abs. 1 DSGVO der eigentliche Wert ist.
• Widerruf jederzeit im Konto, mit Wirkung für die Zukunft.

Stand: Es gibt derzeit keinen Versandweg für diese Nachrichten - die Einwilligung wird erhoben und gespeichert, aber noch nicht genutzt.

Kündigung über die öffentliche Kündigungsseite

Auf piqio.de/kuendigen lässt sich der Vertrag ohne Anmeldung kündigen; das schreibt § 312k BGB so vor. Was dabei verarbeitet wird:

• Daten: die angegebene E-Mail-Adresse, die Art der Kündigung und - falls angegeben - der Kündigungsgrund, ein Name und eine Vertragsbezeichnung. Dazu der Zeitpunkt des Eingangs und der Wortlaut der Erklärung.
• Zweck: die Kündigung entgegennehmen, ihren Zugang nach § 312k Abs. 4 BGB in Textform bestätigen und den Vorgang nachweisen können.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (die Bestätigungspflicht aus § 312k BGB).
• Bestätigung: Sie geht immer an die im Konto hinterlegte Adresse, auch wenn im Formular eine andere steht. Ohne diesen Zwischenschritt könnte über eine Seite ohne Anmeldung jede fremde Person fremde Verträge beenden.
• Speicherdauer: 12 Monate, danach wird die Erklärung gelöscht - dieselbe Frist wie beim Ereignisprotokoll.

Passt die angegebene Adresse zu keinem Konto, wird die Erklärung trotzdem gespeichert und dem Anbieter gemeldet. Sonst fiele eine ernst gemeinte Kündigung, die nur an einem Tippfehler scheitert, unbemerkt zu Boden.

8Nutzung der Plattform und Ereignisprotokoll

Damit im Studio-Bereich nachvollziehbar ist, was in den Galerien passiert, werden fachliche Ereignisse protokolliert: dass eine Galerie besucht wurde, dass eine Datei heruntergeladen wurde, dass eine Bewertung gesetzt oder ein Kommentar geschrieben wurde, dass Dateien hochgeladen wurden. Zu einem Ereignis gehören der Zeitpunkt, der Typ, das betroffene Objekt und - wo vorhanden - der von der betrachtenden Person selbst angegebene Anzeigename.

Dieses Protokoll speist die Übersicht und die Benachrichtigungen im Konto. Es wird nicht zur Werbung, zur Bewertung von Personen oder zur Erstellung von Profilen verwendet. Ereignisse werden nach 12 Monaten gelöscht. Ausgenommen sind einzelne Markierungen ohne Personenbezug, an denen erkennbar ist, dass eine bestimmte Benachrichtigung bereits verschickt wurde - ohne sie würden Erinnerungen erneut versandt. Sie werden mit dem Konto gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Studio (Bestandteil der Leistung) und Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit des Auslieferungsvorgangs).

9Abrechnung über Stripe

Kostenpflichtige Tarife werden über Stripe abgerechnet. Anbieter für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum ist die Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.

Bei der Wahl eines Tarifs wird bei Stripe ein Kundendatensatz angelegt. Übermittelt werden dabei der Name des Studios, die E-Mail-Adresse des anlegenden Kontos und eine interne Kennung des Studios. Anschließend erfolgt eine Weiterleitung auf eine von Stripe betriebene Bezahlseite.

Zahlungsdaten - Kartennummer, Bankverbindung, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer - werden direkt bei Stripe eingegeben. Sie erreichen die piqio-Server nicht und werden dort nicht gespeichert. Auf den piqio-Seiten ist kein Skript von Stripe eingebunden; die Weiterleitung erfolgt serverseitig, erst wenn der Bezahlvorgang gestartet wird.

Von Stripe zurück erhalten und bei piqio gespeichert werden:

• die Stripe-Kundennummer und die Nummer des Abonnements,
• der gebuchte Tarif und das Abrechnungsintervall,
• Beginn und Ende der laufenden Abrechnungsperiode,
• der Zahlungsstatus (etwa aktiv, überfällig, gekündigt),
• gekaufte Zusatzpakete.

Rechnungen, Zahlungsmethode und Kündigung werden im Kundenportal von Stripe verwaltet, das aus dem Konto heraus geöffnet wird. Rechnungsbelege liegen bei Stripe. Im Konto wird eine Liste der Rechnungen angezeigt; das PDF selbst lädt der Browser direkt von Stripe. Dabei erfährt Stripe die IP-Adresse.

Rechtsgrundlage ist die Erfüllung des Vertrags, Art. 6 Abs. 1 lit. b DSGVO, und die Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO. Zur Drittlandfrage siehe Abschnitt 14.

10E-Mail-Versand

Für den Versand von E-Mails - Bestätigungen, Anmeldelinks, Hinweise zum Vertrag, Galerie-Benachrichtigungen - wird der Versanddienst Brevo (Sendinblue SAS), Paris, Frankreich, genutzt.

Übermittelt werden dabei die Empfängeradresse, ein Anzeigename und der Inhalt der Nachricht. Brevo führt darüber Versandprotokolle. Für Vertrags- und Galerie-Nachrichten erhält Brevo lediglich die einzelne Nachricht zum Versand. Für die Warteliste und den Newsletter (Abschnitt 6) führt Brevo zwei Kontaktlisten, die nur die E-Mail-Adresse enthalten; piqio gleicht sie alle 15 Minuten mit den bestätigten Eintragungen ab. Eine Öffnungs- und Klickmessung wird nicht genutzt. Zusätzlich werden über die Schnittstelle von Brevo die Absender-Domains von Studios verwaltet, die unter eigener Adresse versenden - dabei werden keine personenbezogenen Daten übertragen, sondern nur Domainnamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Nachrichten, die zur Vertragsdurchführung gehören, Art. 6 Abs. 1 lit. a DSGVO für Warteliste und Produkt-Neuigkeiten.

11Kundengalerien: Verarbeitung im Auftrag

Alles, was ein Studio in piqio ablegt und ausliefert, wird in dessen Auftrag verarbeitet (siehe Abschnitt 1). Es steht hier trotzdem, damit erkennbar ist, was auf den Servern liegt:

• Bilddateien in Originalauflösung sowie automatisch erzeugte Vorschauen. Zeigt ein Bild identifizierbare Personen, sind das personenbezogene Daten.
• Betrachter einer Galerie: ein selbst gewählter Anzeigename und eine Zufallskennung im Cookie. Kein Konto, keine E-Mail-Pflicht.
• Bewertungen, Auswahllisten und Kommentare einschließlich freier Texte und gezeichneter Anmerkungen.
• Der Anzeigename beim Kommentar. Wird ein Kommentar geschrieben, wird der angegebene Anzeigename als Abschrift auf dem Kommentar selbst gespeichert. Das ist Absicht: Widerruft das Studio den Freigabe-Link, verschwindet die Betrachter-Identität, der Kommentar aber bleibt - und ohne diese Abschrift stünde er ohne Verfasser da. Der Name verschwindet mit dem Kommentar.
• Kontaktdaten der Kunden eines Studios (Name, E-Mail-Adresse), soweit das Studio sie einträgt, damit Galerie-Benachrichtigungen versandt werden können.
• Bezeichnungen, die das Studio selbst vergibt - Galerie- und Kapitelnamen, Beschreibungen von Kapiteln sowie Notizen an Freigabe-Links (etwa "Link für die Trauzeugen"). Sie können Namen und Anlässe enthalten; ihr Inhalt bestimmt allein das Studio.

Empfänger von Benachrichtigungen können diesen jederzeit über den Link am Ende jeder Nachricht widersprechen. Der Widerspruch wird nur als Prüfsumme der Adresse hinterlegt, damit dafür keine Klartext-Liste entsteht - er wirkt auch dann weiter, wenn dieselbe Adresse später erneut eingetragen wird, und bleibt dauerhaft bestehen.

Originaldateien sind nie öffentlich abrufbar. Der Zugriff läuft ausschließlich über kurzlebige, signierte Adressen (300 Sekunden) und nur, wenn der Galerie-Link das Herunterladen überhaupt erlaubt.

Du hast einen Galerie-Link bekommen und möchtest deine Daten löschen lassen? Wende dich an das Studio, das dir den Link geschickt hat. Es entscheidet über diese Daten und hat die Werkzeuge dafür. Erreicht piqio ein solcher Antrag direkt, wird er unverzüglich an das Studio weitergeleitet und nicht selbst beantwortet - piqio darf es nicht.

11.1 Metadaten in Bilddateien

Fotos enthalten technische Aufnahme-Metadaten (EXIF). piqio geht damit so um:

• Ausgelesen und gespeichert wird nur der Aufnahmezeitpunkt sowie Bildbreite und -höhe. Ein vollständiger EXIF-Block wird nicht in der Datenbank abgelegt.
• Standortdaten (GPS) werden nicht ausgelesen und nicht gespeichert. Der Auswerter kennt genau drei Felder, und keines davon ist ein Ortsfeld.
• Vorschaubilder sind metadatenfrei. Sie werden neu berechnet, ohne die Metadaten zu übernehmen. Das gilt auch für die Bilddaten, die bei eingeschalteter Bildanalyse an einen Dienst gehen würden: dorthin geht ausschließlich das neu berechnete Vorschaubild, nie das Original.
• In der Kundenansicht wird vom Aufnahmezeitpunkt nur das Kalenderjahr ausgegeben, kein volles Datum und keine Uhrzeit.
• Originaldateien bleiben unverändert. Wer sie herunterladen darf, erhält die Datei so, wie die Kamera sie geschrieben hat - einschließlich aller Metadaten, die die Kamera hinterlegt hat, gegebenenfalls auch GPS-Koordinaten. piqio liest sie nicht aus, entfernt sie aber auch nicht.

12Abgeschaltete Funktionen

Mehrere Funktionen sind in der Software vorhanden, aber nicht in Betrieb. Sie stehen hier, damit die Beschreibung vollständig ist - und weil diese Erklärung ergänzt wird, bevor eine davon eingeschaltet wird.

Automatische Bildanalyse (KI). Vorgesehen sind Verschlagwortung, Bildbeschreibung, Qualitätsbewertung und Ähnlichkeitssuche. Der Zugang ist dreifach verriegelt: Es müssen (1) Zugangsdaten für den Dienst hinterlegt sein - sie sind es nicht, ohne sie unterbleibt jeder Aufruf -, (2) der Tarif die Funktion enthalten und (3) das Studio sie je Galerie ausdrücklich einschalten (Voreinstellung aus). Wird sie aktiviert, würden die Bytes des Vorschaubilds - nicht des Originals - an Google Vertex AI übermittelt. Die Verarbeitung findet ausschließlich in der Europäischen Union statt; die Region europe-west4 ist in der Software fest hinterlegt und wird bei jedem Aufruf geprüft - eine Nicht-EU-Region bricht die Verarbeitung mit einem Fehler ab statt sie stillschweigend zu verschieben. Eine Gesichtserkennung ist auch dann ausgeschlossen (siehe Abschnitt 3), und ein Training von Modellen mit diesen Bildern findet nicht statt. Bei der Suche wird nur der eingegebene Suchtext übermittelt, kein Bild.

Bestellung von Abzügen aus der Galerie (Print-Shop). Dabei würden Name, E-Mail-Adresse und Lieferanschrift der Bestellerin oder des Bestellers sowie Zahlungsdaten verarbeitet. Die Zahlung liefe über Stripe Connect, ein Druckdienstleister (Prodigi, Vereinigtes Königreich) erhielte Name, Lieferanschrift und die Druckdatei. Bei einer reinen Preisanfrage werden keine personenbezogenen Daten übermittelt, sondern nur Produkt, Stückzahl und Lieferland. Die Druckdatei wird nicht als dauerhafter Link herausgegeben, sondern über eine zustandsgeprüfte Adresse, die mit einem Storno sofort erlischt. Personenbezogene Bestelldaten würden 90 Tage nach Abschluss der Bestellung automatisch anonymisiert; Beträge und Belegdaten blieben für steuerliche Aufbewahrungspflichten erhalten.

Gestaltungsassistent mit Adresseingabe. Vorgesehen ist, dass ein Studio die Adresse seiner eigenen Website angibt und daraus ein Farbvorschlag entsteht. Dafür würde ein externer Dienst eine Bildschirmaufnahme dieser Website anfertigen. Übermittelt würde nur die Adresse der Website, keine Kundendaten. Die Aufnahme wird nach der Auswertung sofort gelöscht.

Datenfeed für die eigene Marketing-Automatisierung. Vorgesehen ist ein lesender Zugang, über den ein internes Werkzeug bestätigte Wartelisten-Adressen abholt. Der Zugang ist ohne hinterlegten Schlüssel gesperrt.

Derzeit werden für diese Funktionen keine Daten erhoben und keine Dienstleister eingesetzt.

13Empfänger deiner Daten

Daten werden nur weitergegeben, wenn es für den Betrieb erforderlich ist.

Eine Testumgebung, in der keine echten Kundendaten verarbeitet werden, läuft auf einem Server von Hetzner in Finnland.

Die Dienstleister für die in Abschnitt 12 genannten abgeschalteten Funktionen sind hier bewusst nicht aufgeführt, weil sie derzeit keine Daten erhalten. Sie werden ergänzt, bevor eine dieser Funktionen eingeschaltet wird.

Darüber hinaus werden Daten weitergegeben, wenn eine gesetzliche Verpflichtung besteht oder es zur Durchsetzung von Rechten erforderlich ist - etwa an Steuerberatung, Rechtsberatung oder Behörden im gesetzlich vorgesehenen Rahmen.

14Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union statt. Zwei Ausnahmen sind möglich:

• Stripe. Vertragspartner ist die irische Gesellschaft; eine Übermittlung an die US-amerikanische Muttergesellschaft ist nicht ausgeschlossen. Die Absicherung erfolgt über die Standardvertragsklauseln der EU-Kommission beziehungsweise über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.
• Cloudflare. Betrifft ausschließlich die Verwaltung der Domain-Einträge. Der Datenverkehr zu den piqio-Servern läuft nicht über Cloudflare, es werden dabei keine Nutzerdaten übermittelt.

15Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Die wichtigsten Fristen stehen unten. Wo nichts anderes dabeisteht, laufen sie automatisch ab; wo die Löschung angestossen werden muss, sagt es die Zeile ausdrücklich.

Ein Freigabe-Link hat kein eigenes Ablaufdatum. Er wird ungültig, wenn das Studio ihn widerruft, die Galerie wieder auf privat schaltet oder ein Ablaufdatum für die Galerie setzt.

Läuft eine Galerie ab, wird sie für Kunden unerreichbar. Das ist eine Zugriffs-, keine Löschfrist - die Dateien bleiben erhalten, bis das Studio sie löscht.

Die Löschung eines Kontos ist der eine Fall, der nicht von selbst abläuft. Nach dem Ende der Wiederherstellungsfrist besteht kein Anspruch mehr darauf, dass die Daten noch da sind - aber sie verschwinden auch nicht zwangsläufig am Tag danach. Wer die Löschung sicher und schnell will, verlangt sie: eine formlose Nachricht an hi@piqio.de genügt, sie wird unverzüglich ausgeführt, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Wird ein Konto gelöscht, bleibt ein personenbezogen bereinigter Restdatensatz zurück: Beträge, Belegnummern und die Bestätigung, dass ein Auftragsverarbeitungsvertrag angenommen wurde. Er dient allein den gesetzlichen Aufbewahrungspflichten, enthält keine Daten von Endkunden und wird nicht automatisch gelöscht.

Gelöschte Daten können in rollierenden Sicherungen der Server technisch bedingt noch eine Zeit lang vorhanden sein, bis der Sicherungszyklus sie überschreibt. Die Sicherungen dienen ausschließlich der Wiederherstellung des Betriebs.

16Datensicherheit

piqio trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die wichtigsten:

• Alle Verbindungen sind mit TLS verschlüsselt.
• Passwörter werden mit argon2 gehasht, niemals im Klartext gespeichert. Anmelde-, Einladungs-, Registrierungs- und Wartelisten-Links werden nur als Prüfsumme gespeichert.
• Sitzungen sind signiert, an ein Studio gebunden und werden bei jeder Anfrage gegen die Datenbank geprüft. Anmelde- und Entsperr-Vorgänge sind in der Zahl begrenzt.
• Die Daten verschiedener Studios sind strikt voneinander getrennt; jede Datenbankabfrage ist auf ein Studio beschränkt.
• Galerien sind nur über einen nicht erratbaren Zufalls-Link erreichbar, wahlweise zusätzlich passwortgeschützt. Originaldateien werden ausschließlich über kurzlebige signierte Adressen ausgeliefert.
• Hochgeladene Dateien werden auf Typ, tatsächlichen Inhalt und Größe geprüft, bevor sie verarbeitet werden.
• Der Zugriff auf die Server erfolgt über ein eigenes, eingeschränktes Konto, nicht mit Administratorrechten.
• Die Software wird wiederkehrend auf Sicherheitslücken geprüft; Befunde werden behoben und mit automatischen Tests abgesichert.

Eine ausführliche Darstellung einschließlich der offen benannten Lücken ist Anlage 1 des Auftragsverarbeitungsvertrags.

17Deine Rechte

Gegenüber piqio bestehen folgende Rechte:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Für Studios sind drei dieser Rechte direkt im Konto umgesetzt: ein vollständiger Datenexport im JSON-Format und der Download aller Originaldateien als ZIP-Archiv decken Auskunft und Übertragbarkeit ab; das Löschen des Kontos ist in den Einstellungen möglich und erfordert die erneute Eingabe des Passworts. Der Knopf dort meldet das Konto zur Löschung an: das Abo wird sofort beendet, die Daten bleiben mindestens 30 Tage erhalten und werden danach gelöscht (siehe Abschnitt 15). Soll es schneller gehen, genügt eine Nachricht an hi@piqio.de.

Für alle anderen Anliegen genügt eine formlose Nachricht an hi@piqio.de. Sie werden von Hand bearbeitet; eine Selbstbedienungs-Auskunft für Personen ohne Konto gibt es nicht. Bei Zweifeln an der Identität muss vor der Herausgabe oder Löschung von Daten nachgefragt werden.

Betrifft das Anliegen Bilder oder Kommentare aus einer Galerie, ist das jeweilige Studio zuständig - siehe Abschnitt 11.

18Beschwerde bei einer Aufsichtsbehörde

Es besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
[[Zu ergänzen: postalische Anschrift der Behörde]]
datenschutz.hessen.de

19Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung werden nicht automatisiert getroffen.

20Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert - insbesondere, bevor eine der in Abschnitt 12 genannten Funktionen eingeschaltet wird oder ein neuer Dienstleister hinzukommt. Studios werden über wesentliche Änderungen zusätzlich per E-Mail informiert; neue Unterauftragsverarbeiter werden nach den Regeln des Auftragsverarbeitungsvertrags vorab angekündigt.

Es gilt jeweils die auf der Website veröffentlichte Fassung.