Datenschutzerklärung

1. Verantwortlicher

Beyza Berk
davetsy – Digitale Einladungskarten
Auf dem Damm 106
47137 Duisburg
E-Mail: support@davetsy.de

2. Überblick der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten: Bestandsdaten (z. B. Namen, Adressen), Kontaktdaten (z. B. E-Mail, Telefonnummern), Inhaltsdaten (z. B. Einladungstexte, Fotos, Videos, Sprachnachrichten), Nutzungsdaten (z. B. besuchte Seiten), Meta-/Kommunikationsdaten (z. B. Geräte-Informationen, IP-Adressen), Zahlungsdaten (verarbeitet durch Stripe).

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage folgender Rechtsgrundlagen:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Erstellung und Bereitstellung von Einladungskarten, Verarbeitung von Rückmeldungen, Zahlungsabwicklung.

Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Verbesserung unseres Angebots, Sicherheit der Plattform, anonyme Nutzungsanalyse.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit Sie uns eine Einwilligung erteilt haben.

4. Erhebung und Nutzung von Daten

4.1 Einladungskarten erstellen

Bei der Erstellung einer Einladungskarte werden folgende Daten verarbeitet: Namen der einladenden Personen, Veranstaltungsdaten (Datum, Uhrzeit, Ort), persönliche Nachrichten, Kontaktdaten sowie E-Mail-Adresse des Erstellers. Diese Daten werden in unserer Datenbank (Supabase) gespeichert und sind über den generierten Einladungslink abrufbar.

4.2 Rückmeldungen und Gästeantworten

Wenn Gäste auf eine Einladung antworten, werden deren Name, Teilnahmestatus, Personenanzahl und ggf. eine Nachricht gespeichert. Diese Daten sind nur über das Dashboard des Erstellers einsehbar. Der Ersteller der Einladung ist als Verantwortlicher für die von seinen Gästen erhobenen Daten selbst verantwortlich.

4.3 Erinnerungen (Fotos, Videos & Sprachnachrichten)

Gäste können Fotos, Videos und Sprachnachrichten hochladen. Diese Medien werden in Supabase Storage gespeichert und sind über das Dashboard des Erstellers zugänglich. Sämtliche hochgeladene Medien werden 6 Monate nach dem Event-Datum automatisch und unwiderruflich gelöscht.

Datenminimierung bei Foto-Uploads: Vor der Übertragung an unseren Speicher entfernen wir im Browser des Nutzers automatisch die Metadaten (EXIF-Tags) aus jedem hochgeladenen Foto. Das umfasst insbesondere GPS-Standortdaten, Aufnahmegerät, Aufnahme-Datum sowie Kamera-Einstellungen. Diese Daten werden weder übertragen noch von uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datenminimierung gem. Art. 5 Abs. 1 lit. c DSGVO).

4.4 Songwünsche

Gäste können Musikwünsche einreichen. Dabei werden der Name (sofern angegeben) und der Songwunsch gespeichert. Diese Daten sind ausschließlich über das Dashboard des Erstellers einsehbar.

5. Auftragsverarbeitung

Der Ersteller einer Einladungskarte sammelt über unsere Plattform personenbezogene Daten seiner Gäste (Namen, Rückmeldungen, Medien). In diesem Verhältnis handelt davetsy als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Der Ersteller bleibt Verantwortlicher für die Daten seiner Gäste und ist verpflichtet, seine Gäste über die Datenverarbeitung zu informieren.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die Erfüllung des Vertragszwecks erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben.

Einladungsdaten und Rückmeldungen: Bis 6 Monate nach dem Event-Datum, danach automatische Löschung.

Hochgeladene Medien (Fotos, Videos, Sprachnachrichten): Bis 6 Monate nach dem Event-Datum, danach automatische und unwiderrufliche Löschung.

Einladungslinks: Aktiv bis 7 Tage nach dem Event-Datum.

Zahlungsdaten: Werden ausschließlich von Stripe gespeichert und verarbeitet. Wir speichern lediglich den Zahlungsstatus und die Stripe-Transaktions-ID.

Server-Logfiles: Werden automatisch nach 30 Tagen gelöscht.

7. Zahlungsabwicklung

Für die Zahlungsabwicklung nutzen wir Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Zahlungsdaten werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert.

Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

8. Hosting und Infrastruktur

8.1 Vercel

Unsere Website wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet. Bei jedem Seitenaufruf werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite) in Server-Logfiles gespeichert.

8.2 Supabase

Als Datenbank und Dateispeicher nutzen wir Supabase Inc. (970 Toa Payoh North, #07-04, Singapore 318992). Alle Einladungsdaten, Rückmeldungen und hochgeladene Medien werden dort gespeichert.

9. Datenübermittlung in Drittländer

Einige unserer Dienstleister (Vercel, Supabase) haben ihren Sitz in den USA bzw. betreiben Server außerhalb des Europäischen Wirtschaftsraums (EWR). Die Datenübermittlung erfolgt auf Grundlage von:

EU-US Data Privacy Framework: Vercel und Stripe sind unter dem EU-US Data Privacy Framework zertifiziert, welches ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO gewährleistet.

Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Sofern kein Angemessenheitsbeschluss vorliegt, stützen wir die Datenübermittlung auf die von der EU-Kommission genehmigten Standardvertragsklauseln.

10. E-Mail-Versand

Für transaktionale E-Mails (z. B. Bestellbestätigung, Zugangslinks) nutzen wir Resend (Resend Inc., 2261 Market Street #4486, San Francisco, CA 94114, USA). Es werden ausschließlich die E-Mail-Adresse und der Name des Empfängers sowie der Inhalt der jeweiligen E-Mail übermittelt. Es erfolgt kein Newsletter-Versand ohne ausdrückliche Einwilligung.

Datenschutzerklärung von Resend: resend.com/legal/privacy-policy

10a. Automatische Übersetzung der Einladungstexte

Wenn Sie als Ersteller einer Einladung die Mehrsprachigkeits-Funktion nutzen, können die von Ihnen eingegebenen Einladungstexte (z. B. persönliche Nachricht, Danksagung, Menü, Tagesablauf, FAQ) auf Ihre Veranlassung automatisch übersetzt werden. Dazu übermitteln wir ausschließlich die zu übersetzenden Texte serverseitig an Anthropic PBC (548 Market Street, San Francisco, CA 94104, USA) zur einmaligen Verarbeitung. Die erzeugten Übersetzungen können Sie vor Veröffentlichung einsehen und bearbeiten.

Was nicht übermittelt wird: keine E-Mail-Adressen, keine Zahlungsdaten, keine Rückmeldungen oder Medien Ihrer Gäste. Übermittelt werden nur die Texte, die Sie selbst für Ihre Einladung verfasst haben (diese können von Ihnen eingetragene Namen oder Orte enthalten).

Anthropic verwendet über die API übermittelte Inhalte nicht zum Training seiner KI-Modelle und speichert sie nur zeitlich begrenzt zur Missbrauchskontrolle. Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Übersetzung ist Bestandteil der von Ihnen genutzten Funktion). Weitere Informationen: anthropic.com/legal/privacy

10b. Bestandskundenwerbung (Produktempfehlungen per E-Mail)

Wenn Sie bei uns eine digitale Karte gekauft haben, verwenden wir die beim Kauf angegebene E-Mail-Adresse gelegentlich, um Sie über eigene, ähnliche Produkte zu informieren — zum Beispiel über unsere digitale Dankeskarte nach Ihrem Fest. Auf diese Nutzung weisen wir bereits beim Kauf hin.

Rechtsgrundlage: § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung gegenüber Bestandskunden). Es erfolgt keine Weitergabe Ihrer E-Mail-Adresse an Dritte zu Werbezwecken; der Versand erfolgt über unseren E-Mail-Dienstleister (siehe Abschnitt 10).

Widerspruch: Sie können dieser Verwendung jederzeit kostenlos widersprechen — über den Abmeldelink in jeder solchen E-Mail oder formlos per E-Mail an support@davetsy.de. Nach einem Widerspruch erhalten Sie keine Produktempfehlungen mehr; Ihre Adresse wird dazu in einer internen Sperrliste vermerkt.

11. Cookies und lokaler Speicher

Ohne Ihre Einwilligung verwenden wir keine Tracking-Cookies und keine Werbe-Pixel; ohne Einwilligung werden keine Daten an Drittanbieter zu Marketing-Zwecken übermittelt. Marketing- und Statistik-Cookies (siehe Abschnitte 11b und 11c) werden ausschließlich nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner gesetzt und können dort jederzeit widerrufen werden.

Technisch notwendiger lokaler Speicher (localStorage) wird ausschließlich für folgende Zwecke verwendet:

Spracheinstellungen der Einladung, Duplikatschutz bei Rückmeldungen und Songwünschen, temporäre Wizard-Daten bei der Einladungserstellung, Status-Speicher für einmalige Hinweise (z. B. PWA-Installations-Hinweis). Diese Daten werden ausschließlich lokal auf dem Gerät des Nutzers gespeichert und nicht an unsere Server übermittelt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderlich).

Session-Cookies im internen Admin-Bereich: Im internen Cockpit-Bereich (nicht öffentlich zugänglich) werden zwei technisch notwendige Session-Cookies (HttpOnly, Secure) für die Authentifizierung gesetzt. Diese betreffen ausschließlich Mitarbeiter-Logins, nicht Endnutzer.

Hinweis zu Stripe: Beim Klick auf „Bezahlen" wird der Nutzer auf die Checkout-Seite von Stripe weitergeleitet. Auf dieser externen Seite (stripe.com) werden Cookies von Stripe gesetzt — siehe Stripe-Cookie-Erklärung. Auf davetsy.de selbst werden durch Stripe keine Cookies gesetzt.

11a. Reichweitenmessung (cookieless Analytics)

Zur statistischen Verbesserung unserer Website nutzen wir eine eigene, server-seitige Reichweitenmessung. Diese erfasst aggregierte und anonymisierte Daten ohne Cookies oder Browser-Fingerprinting.

Was erfasst wird: Aufgerufene Seitenpfade, ungefähres Land (über Vercel-Edge-Geo, ohne IP-Speicherung im Klartext), grobe Gerätekategorie (Mobile/Tablet/Desktop), Browser-Familie, Verweisende Domain (z. B. „google.com"), Marketing-Kampagnen-Parameter (UTM-Quellen) sowie produktbezogene Ereignisse (z. B. „Wizard-Schritt erreicht", „Bezahlung gestartet").

Was NICHT erfasst wird: Keine Cookies, kein localStorage-Tracking, keine persistente Browser-ID, keine Klartext-IP-Speicherung, keine Session-Aufzeichnungen (Recordings), keine personenbezogenen Daten wie Name oder E-Mail-Adresse.

Anonyme Tagessitzungen: Zur groben Gruppierung mehrerer Seitenaufrufe innerhalb eines Tages bilden wir aus IP-Adresse, Browser-Kennzeichnung und Tagesdatum einen kryptografischen Hash (SHA-256) mit täglich rotierendem Salt. Dieser Hash kann nicht zurück auf die IP-Adresse aufgelöst werden, wechselt automatisch um Mitternacht (UTC) und erlaubt keine Geräte- oder Personen­wieder­erkennung über Tages­grenzen hinweg.

Speicherdauer: Rohdaten werden nach 360 Tagen automatisch gelöscht. Aggregierte Tages­summen (anonyme Statistiken ohne Personen­bezug) bleiben für historische Trend­analysen erhalten.

Speicherort: Alle Daten liegen ausschließlich in unserer eigenen Supabase-Instanz in Frankfurt am Main (EU). Es findet keine Drittanbieter-Übermittlung statt.

Rechtsgrundlage: Da keine personenbezogenen Daten verarbeitet werden und kein Zugriff auf Endgeräte erfolgt (TTDSG § 25 nicht einschlägig), entfällt eine Einwilligung. Die Verarbeitung anonymer Statistik­daten ist nach DSGVO Art. 6 Abs. 1 lit. f (berechtigtes Interesse an der Verbesserung des Angebots) zulässig.

11b. Google Ads (Conversion-Messung, nur mit Einwilligung)

Sofern Sie über unseren Cookie-Banner in „Marketing" einwilligen, nutzen wir Google Ads Conversion-Tracking der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Damit messen wir, ob ein Besuch über eine unserer Anzeigen zu einem Kauf geführt hat, um die Wirksamkeit unserer Werbung zu bewerten.

Was dabei verarbeitet wird: Beim Klick auf eine Anzeige übermittelt Google eine Klick-Kennung (gclid). Bei einem Kauf wird ein Conversion-Ereignis (mit Bestellwert und einer Transaktions-Kennung zur Doppel-Vermeidung) an Google übermittelt sowie ein Cookie zur Zuordnung gesetzt. Es werden keine Klarnamen, E-Mail-Adressen oder Gästedaten Ihrer Einladung an Google weitergegeben.

Ohne Einwilligung (Consent Mode): Lehnen Sie ab oder treffen keine Wahl, werden keine Marketing-Cookies gesetzt. Google erhält in diesem Fall lediglich anonyme, cookielose Signale (Google „Consent Mode v2“), die keine Wiedererkennung Ihrer Person ermöglichen.

Drittlandübermittlung: Dabei können Daten an Google in die USA übermittelt werden. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen. Weitere Informationen: policies.google.com/privacy.

11c. Google Analytics (Reichweiten- und Nutzungsmessung, nur mit Einwilligung)

Sofern Sie über unseren Cookie-Banner in „Marketing und Statistik" einwilligen, nutzen wir Google Analytics 4 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Damit werten wir anonymisiert aus, wie unsere Website genutzt wird (z.B. aufgerufene Seiten, Verweildauer, Herkunftskanal), um unser Angebot zu verbessern.

Was dabei verarbeitet wird: pseudonyme Nutzungsdaten wie besuchte Seiten, Interaktionen, ungefährer Standort (auf Basis einer gekürzten IP-Adresse), Geräte- und Browser-Typ sowie eine zufällige Kennung in einem Cookie zur Wiedererkennung wiederkehrender Besuche. Es werden keine Klarnamen, E-Mail-Adressen oder Gästedaten Ihrer Einladung an Google weitergegeben.

Ohne Einwilligung (Consent Mode): Lehnen Sie ab oder treffen keine Wahl, werden keine Analyse-Cookies gesetzt. Google erhält in diesem Fall lediglich anonyme, cookielose Signale (Google „Consent Mode v2“), die keine Wiedererkennung Ihrer Person ermöglichen.

Drittlandübermittlung: Dabei können Daten an Google in die USA übermittelt werden. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen. Weitere Informationen: policies.google.com/privacy.

11d. Meta Conversions API (Conversion-Messung für Meta- und Instagram-Werbung, nur mit Einwilligung)

Sofern Sie über unseren Cookie-Banner in „Marketing und Statistik" einwilligen, übermitteln wir beim Start des Bezahlvorgangs sowie bei einem Kauf serverseitig Conversion-Ereignisse an die Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland) über die sogenannte Meta Conversions API. Damit messen wir die Wirksamkeit unserer Werbung auf Facebook und Instagram. Ergänzend setzen wir bei erteilter Einwilligung das Meta-Pixel im Browser ein (siehe Abschnitt 11e).

Was dabei übermittelt wird: eine serverseitig mit SHA-256 gehashte E-Mail-Adresse, Ihre IP-Adresse, das Land, Stadt und Postleitzahl der Rechnungsadresse (ebenfalls gehasht), Bestellwert und eine Transaktions-Kennung (zur Doppel-Vermeidung) sowie — sofern Sie über eine Meta-/Instagram-Werbeanzeige zu uns gefunden haben — die Klick-Kennung dieser Anzeige. Es werden keine Klarnamen oder Gästedaten Ihrer Einladung an Meta weitergegeben.

Ohne Einwilligung: Lehnen Sie ab oder treffen keine Wahl, wird kein Ereignis an Meta gesendet.

Drittlandübermittlung: Dabei können Daten an Meta in die USA übermittelt werden. Meta ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner (Footer: „Cookie-Einstellungen") widerrufen. Weitere Informationen: facebook.com/privacy/policy.

11e. Meta-Pixel (Werbe-Messung im Browser, nur mit Einwilligung)

Sofern Sie über unseren Cookie-Banner in „Marketing und Statistik" einwilligen, laden wir das Meta-Pixel der Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland) in Ihrem Browser. Das Pixel erfasst Seitenaufrufe und Ereignisse rund um die Karten-Erstellung (z. B. „Erstellung gestartet", „Vorschau erreicht") und setzt Cookies (u. a. „_fbp"), um Ihren Browser wiederzuerkennen. Damit messen wir, welche unserer Anzeigen auf Facebook und Instagram zu Interesse an unserem Angebot führen, und Meta kann unsere Werbung entsprechend ausspielen. Übermittelt werden dabei technische Daten wie IP-Adresse, Browser-Informationen und die besuchte Seite; keine Inhalte Ihrer Einladung und keine Gästedaten.

Ohne Einwilligung: Lehnen Sie ab oder treffen keine Wahl, wird das Pixel nicht geladen und es werden keine Cookies gesetzt. Auf Einladungsseiten Ihrer Gäste läuft das Pixel grundsätzlich nicht.

Drittlandübermittlung: Dabei können Daten an Meta in die USA übermittelt werden. Meta ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Widerruf jederzeit mit Wirkung für die Zukunft über den Cookie-Banner (Footer: „Cookie-Einstellungen"). Weitere Informationen: facebook.com/privacy/policy.

11f. TikTok-Pixel und TikTok Events API (Werbe-Messung, nur mit Einwilligung)

Sofern Sie über unseren Cookie-Banner in „Marketing und Statistik" einwilligen, laden wir das TikTok-Pixel der TikTok Technology Limited (10 Earlsfort Terrace, Dublin 2, D02 T380, Irland) in Ihrem Browser. Das Pixel erfasst Seitenaufrufe und Ereignisse rund um die Karten-Erstellung (z. B. Erstellung gestartet, Vorschau erreicht, Bezahlvorgang gestartet) und setzt Cookies (u. a. „_ttp"), um Ihren Browser wiederzuerkennen. Damit messen wir die Wirksamkeit unserer TikTok-Werbung. Übermittelt werden technische Daten wie IP-Adresse, Browser-Informationen und die besuchte Seite; keine Inhalte Ihrer Einladung und keine Gästedaten.

Ergänzend können wir bei einem Kauf Conversion-Ereignisse serverseitig über die TikTok Events API übermitteln (mit SHA-256 gehashter E-Mail-Adresse, Bestellwert und Transaktions-Kennung zur Doppel-Vermeidung) — ebenfalls nur bei erteilter Einwilligung.

Ohne Einwilligung: Lehnen Sie ab oder treffen keine Wahl, wird das Pixel nicht geladen, es werden keine Cookies gesetzt und keine Ereignisse übermittelt. Auf Einladungsseiten Ihrer Gäste läuft das Pixel grundsätzlich nicht.

Drittlandübermittlung: Dabei können Daten in Drittländer außerhalb der EU (u. a. USA, Vereinigtes Königreich, Singapur) übermittelt werden. TikTok stützt diese Übermittlungen auf EU-Standardvertragsklauseln.

Rechtsgrundlage: Einwilligung nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO. Widerruf jederzeit mit Wirkung für die Zukunft über den Cookie-Banner (Footer: „Cookie-Einstellungen"). Weitere Informationen: tiktok.com/legal/privacy-policy.

12. Ihre Rechte

Sie haben jederzeit das Recht auf:

Auskunft (Art. 15 DSGVO) – Sie können Auskunft über Ihre bei uns gespeicherten Daten verlangen.

Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.

Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Datenübertragbarkeit (Art. 20 DSGVO) – Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, maschinenlesbaren Format übergeben.

Widerspruch (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten widersprechen.

Kontakt für Datenschutzanfragen: support@davetsy.de

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Eine Liste der Aufsichtsbehörden finden Sie unter: bfdi.bund.de

14. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, etwa bei Änderungen unserer Dienste oder der Rechtslage. Die jeweils aktuelle Version finden Sie stets auf dieser Seite.