Datenschutzerklärung

1. Verantwortlicher

Fabian Kraus
Kückelserweg 4e, 23829 Wittenborn
E-Mail: datenschutz@lichtmappe.de · Telefon: 0155 60416427

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

2. Wer ist wofür verantwortlich?

Lichtmappe hat zwei Arten von Nutzer:innen. Das bestimmt, wer datenschutzrechtlich „Verantwortlicher“ ist:

• Fotograf:innen (Studio-Konto): Für Ihre Kontodaten, Abrechnung und die Nutzung der App sind wir Verantwortlicher (Art. 4 Nr. 7 DSGVO).
• Kund:innen der Fotograf:innen (Kundenportal): Namen, Kontaktdaten, Bilder, Unterschriften und Antworten, die ein Fotostudio in Lichtmappe anlegt oder die Sie im Kundenportal eingeben, verarbeiten wir im Auftrag des Fotostudios. Verantwortlich ist das jeweilige Fotostudio; wir sind Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Für Auskunft, Löschung und Widerruf wenden Sie sich bitte an das Fotostudio, dessen Name im Portal steht. Wir unterstützen das Studio dabei.

3. Website-Hosting (Cloudflare)

Die Website und die App werden als statische Dateien über Cloudflare Pages ausgeliefert. Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; für Kund:innen im EWR zusätzlich Cloudflare Germany GmbH, Rosental 7, 80331 München.

Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und -version, Betriebssystem, Referrer-URL. Cloudflare nutzt diese Daten zur Auslieferung, zur Abwehr von Angriffen (DDoS, Bots) und für Sicherheitsprotokolle. Wir selbst führen keine Zugriffsstatistik und keine Webanalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, schnellem Betrieb). Drittland: Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln aus dem Cloudflare-Auftragsverarbeitungsvertrag. Datenschutzerklärung von Cloudflare: cloudflare.com/privacypolicy.

4. Datenbank, Login und Bildspeicher (Supabase, Region Frankfurt)

Alle Inhalte der App – Konten, Studios, Kund:innen, Aufträge, Galerien, Verträge, Rechnungen, Bilder – liegen bei Supabase in der von uns gewählten Region Frankfurt (AWS eu-central-1). Das umfasst die Datenbank, die Anmeldung (Auth), den Dateispeicher und die Datensicherungen. Supabase ist unser Auftragsverarbeiter (Art. 28 DSGVO).

Anbieter: Supabase Pte. Ltd., Singapur (Vertragspartner), mit Supabase, Inc., USA (technischer Support). Unterauftragsverarbeiter für das Hosting in Frankfurt ist Amazon Web Services (AWS). Wichtig für die Einordnung:

• Anwendungsdaten (Datenbank, Dateien, Backups) bleiben in Frankfurt.
• Nutzungs- und Protokolldaten (Telemetrie, Logs) verarbeitet Supabase nach eigener Angabe teils außerhalb der Region, Protokolle liegen in EU-Rechenzentren.
• Supabase-Mitarbeitende können bei Supportanfragen oder Sicherheitsvorfällen protokolliert auf Daten zugreifen.
• Öffentliche Vorschaubilder (Bucket „proofs“) können über ein weltweites CDN ausgeliefert werden; Originale („originals“) sind nicht öffentlich und werden nur über zeitlich befristete, signierte Links abgerufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber Fotograf:innen) bzw. Auftragsverarbeitung für Kund:innendaten. Drittland: Übermittlungen nach Singapur und in die USA (Support, Metadaten) stützen sich auf die EU-Standardvertragsklauseln im Supabase-DPA mit Transfer-Folgenabschätzung. Weitere Informationen: supabase.com – Data Residency FAQ, Unterauftragsverarbeiter: Liste vom 01.06.2026.

5. Registrierung und Konto (Fotograf:innen)

Bei der Registrierung speichern wir: Name, Studio-Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash bei Supabase Auth, nie im Klartext), Zeitpunkt der Registrierung und Bestätigung, Wunsch-Adresse des Kundenportals, Plan und Testphase, Zeitpunkt der Zustimmung zu AGB und Auftragsverarbeitungsvertrag. Beim Anmelden protokolliert Supabase Auth Zeitpunkt und IP-Adresse zur Missbrauchsabwehr.

Im Konto führen Sie Ihre Studio-Daten (Inhaber:in, Anschrift, Steuernummer oder USt-IdNr., Bankverbindung für Rechnungen, Logo). Diese Daten erscheinen auf Ihren Rechnungen und Verträgen gegenüber Ihren Kund:innen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Protokolle Art. 6 Abs. 1 lit. f DSGVO (Sicherheit), für steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

6. Kundenportal (lichtmappe.de/s/…)

Fotograf:innen teilen mit ihren Kund:innen Galerien, Angebote, Verträge und Fragebögen unter einer Adresse wie lichtmappe.de/s/studio-name. Der Zugriff erfolgt mit einem Code, den das Fotostudio vergibt; ein Konto ist nicht nötig.

Was dabei verarbeitet wird – im Auftrag des Fotostudios (siehe Abschnitt 2):

• Ihre Eingaben: Bildauswahl, Kommentare, Antworten auf Fragebögen, Angebotsannahme, Bewertungen.
• Unterschriften (als Bild) unter Verträgen und Einwilligungen (Model-Release), jeweils mit Zeitstempel, Textstand und Prüfsumme als Nachweis nach Art. 7 Abs. 1 DSGVO.
• Bei Minderjährigen: Angaben der Sorgeberechtigten, soweit das Fotostudio sie abfragt.
• Technisch: IP-Adresse und Zeitpunkt von Code-Eingaben für höchstens 24 Stunden, um Brute-Force-Versuche zu bremsen (max. 10 Fehlversuche je 15 Minuten).
• In Ihrem Browser: der Portal-Code und noch nicht gesendete Antworten (localStorage), damit Sie nach einem Neuladen nicht von vorn beginnen; siehe Abschnitt 10.

Kontaktdaten der Kund:innen (Adresse, Telefon, E-Mail) werden nicht in die öffentlich abrufbaren Portal-Dokumente geschrieben. Portal-Seiten sind von der Indexierung durch Suchmaschinen ausgeschlossen.

6a. Lichtmappe Privat (Familienalben)

Bei Lichtmappe Privat verarbeiten wir für Sie als Verantwortliche: Ihr Konto (E-Mail, Name, optional Profilbild und Lieblingsfarbe), Ihr Familienkonto mit den eingeladenen Mitgliedern, Ihre Fotos samt technischer Angaben (Aufnahmedatum aus den Bilddaten, Bildgröße, Prüfsumme zur Erkennung doppelter Fotos) sowie Alben und deren Einstellungen. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Fotos werden vor dem Hochladen in Ihrem Browser verkleinert (höchstens 3000 Pixel) und im Fotospeicher Cloudflare R2 (Cloudflare, Inc.) in einem Speicher mit festgelegter EU-Gerichtsbarkeit abgelegt – die Dateien verlassen die EU nicht. Cloudflare ist unser Auftragsverarbeiter (Data Processing Addendum mit Standardvertragsklauseln). Die Zugriffsadressen sind signiert und nur kurz gültig. Kontodaten, Alben und Einstellungen liegen weiter bei Supabase in Frankfurt. Fotos auf „Nur ich“ sieht nur die hochladende Person.

Gäste ohne Konto: Wer über einen Album-Link Fotos hochlädt, übermittelt die Fotos und – freiwillig – einen Vornamen. Diese Daten sind für die Person sichtbar, die das Album angelegt hat, für deren Familienkonto und für alle mit dem Album-Link. Verantwortlich für das Teilen des Links und für die Inhalte des Albums ist die Person, die das Album angelegt hat (bei rein familiären Zwecken gilt die Haushaltsausnahme, Art. 2 Abs. 2 lit. c DSGVO). Gäste können die Löschung ihrer Fotos bei der Person verlangen, die das Album geteilt hat, oder bei uns.

Löschen: Fotos im Papierkorb werden nach 30 Tagen endgültig gelöscht; unvollständige Uploads nach 6 Stunden. Album-Links sind nicht von Suchmaschinen auffindbar (noindex).

7. Zahlungen für Lichtmappe-Abos (Stripe)

Bezahlte Pläne rechnen wir über Stripe ab: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (für Kund:innen im EWR), mit Stripe, Inc., USA.

Beim Abschluss eines Abos werden Sie zu Stripe Checkout weitergeleitet. Stripe verarbeitet Name, E-Mail, Rechnungsadresse, Zahlungsdaten (Karte oder SEPA-Mandat), Betrag und Zeitpunkt. Zahlungsdaten erreichen uns nicht; wir erhalten von Stripe nur Kundennummer, Abo-Status, Plan und Zahlungsdatum. Für Betrugsprävention, Geldwäsche-Prüfungen und die Abwicklung mit Banken ist Stripe eigenständig Verantwortlicher; für die reine Plattformbereitstellung Auftragsverarbeiter. Rechnungen über Ihr Abo erstellt Stripe in unserem Auftrag; wir bewahren sie nach § 147 AO acht Jahre auf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (steuerliche Pflichten). Drittland: Stripe setzt die EU-Standardvertragsklauseln ein (Stripe Data Transfer Addendum). Datenschutzerklärung: stripe.com/de/privacy.

Lichtmappe Privat: Tarife, Zusatzspeicher und das Feier-Paket werden ebenfalls über Stripe abgerechnet. Dabei verknüpfen wir Ihr Stripe-Kundenkonto mit Ihrem Familienkonto (interne Kennung), damit Tarif und Speicher freigeschaltet werden. Andere Mitglieder des Familienkontos sehen den Tarif und das Ablaufdatum, aber keine Zahlungsdaten.

Kund:innen der Fotograf:innen zahlen nicht über Lichtmappe. Bietet ein Fotostudio einen PayPal- oder Stripe-Zahlungslink an, führt dieser direkt zum Konto des Studios.

8. E-Mails

Wir senden Ihnen E-Mails zur Kontobestätigung, zum Zurücksetzen des Passworts, zu Magic-Links, zu Ihrem Abo (Beginn, Verlängerung, Zahlungsproblem, Kündigungsbestätigung) und bei wichtigen Änderungen des Dienstes. Keine Newsletter, keine Werbung ohne Einwilligung. Versand über unser eigenes Postfach bei checkdomain GmbH (Lübeck, Deutschland) als Auftragsverarbeiter – sowohl für Login-Mails (über Supabase) als auch für Abo- und Kündigungsbestätigungen.

Lichtmappe verschickt keine E-Mails an Kund:innen der Fotograf:innen. Nachrichten-Vorlagen werden im Browser erzeugt und von der Fotograf:in über ihr eigenes Mailprogramm versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. KI-Funktion (Anthropic) – nur bei Aktivierung

Lichtmappe enthält einen optionalen KI-Assistenten (Textvorschläge, Shotlisten, Auswahlvorschläge, Alt-Texte). Er ist standardmäßig ausgeschaltet und wird nur aktiv, wenn die Fotograf:in ihn in den Einstellungen einschaltet und eine Aktion auslöst.

Dann übermitteln wir ausschließlich die für die jeweilige Aktion nötigen Inhalte – Texte, Fragebogen-Antworten oder verkleinerte Vorschaubilder (max. 512 px Kantenlänge) – über unsere eigene Serverfunktion an die API von Anthropic (Anthropic, PBC, San Francisco, USA; für den EWR Anthropic Ireland, Limited, Dublin). Anthropic verarbeitet API-Daten nach eigenen Angaben nicht zum Training seiner Modelle und speichert sie nur befristet zur Missbrauchsprüfung. Die Verarbeitung findet in den USA statt; Grundlage sind die EU-Standardvertragsklauseln im Anthropic Data Processing Addendum.

Ergebnisse der KI sind Vorschläge; Entscheidungen trifft die Fotograf:in. Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: für Fotograf:innen Art. 6 Abs. 1 lit. b DSGVO; für Daten ihrer Kund:innen handeln wir als Auftragsverarbeiter auf Weisung (Aktivierung) der Fotograf:in, die hierfür die Rechtsgrundlage gegenüber ihren Kund:innen sicherstellt.

10. Cookies und lokale Speicherung – kein Banner nötig

Lichtmappe setzt keine Tracking- oder Marketing-Cookies und bindet keine Analyse-, Werbe- oder Social-Media-Dienste ein. Deshalb gibt es kein Cookie-Banner. Was im Browser gespeichert wird, ist ausschließlich technisch notwendig, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG):

Schriftarten (Figtree, Newsreader, JetBrains Mono) werden von unserem eigenen Server geladen. Es findet keine Verbindung zu Google statt.

Die Bibliotheken supabase-js, jsPDF, JSZip, exifr und qrcodejs werden von den Content-Delivery-Netzen jsDelivr und Cloudflare cdnjs geladen; dabei wird Ihre IP-Adresse an diese Anbieter übermittelt (Art. 6 Abs. 1 lit. f DSGVO).

11. Kontaktaufnahme und Support

Wenn Sie uns per E-Mail schreiben, speichern wir Ihre Nachricht und Kontaktdaten zur Bearbeitung (Art. 6 Abs. 1 lit. b oder f DSGVO). Supportanfragen zu Ihrem Konto bearbeiten wir mit Blick in Ihr Konto nur, soweit es für die Lösung nötig ist; Zugriffe werden protokolliert. Nachrichten löschen wir, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht, spätestens nach [z. B. 12 Monaten].

12. Übermittlung in Drittländer

Anwendungsdaten bleiben in Frankfurt. Übermittlungen außerhalb des EWR finden nur in den beschriebenen Fällen statt: Cloudflare (USA, DPF-zertifiziert + Standardvertragsklauseln), Supabase (Singapur/USA, Support und Metadaten, Standardvertragsklauseln), Stripe (USA, Standardvertragsklauseln), Anthropic (USA, Standardvertragsklauseln – nur bei aktivierter KI). Kopien der Garantien erhalten Sie auf Anfrage.

13. Speicherdauer

14. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Fotograf:innen können Auskunft und Übertragbarkeit selbst ausüben: Im Konto gibt es jederzeit einen Vollexport (JSON und Bilder als ZIP) und eine Löschfunktion. Kund:innen von Fotograf:innen wenden sich an das jeweilige Fotostudio (Abschnitt 2); wir leiten Anfragen, die uns erreichen, unverzüglich dorthin weiter.

15. Beschwerde bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel · Postfach 71 16, 24171 Kiel
Telefon: 0431 988-1200 · E-Mail: mail@datenschutzzentrum.de
Web: www.datenschutzzentrum.de · Beschwerdeformular: datenschutzzentrum.de/formular/beschwerde.php

16. Sicherheit

Transportverschlüsselung (TLS) auf allen Verbindungen, Verschlüsselung der Datenbank und des Speichers im Ruhezustand bei Supabase/AWS, strikte Zugriffsregeln auf Zeilenebene (Row Level Security), die jedes Studio von jedem anderen trennt, Passwort-Hashing mit bcrypt, Schutz vor geleakten Passwörtern, Rate-Limits im Kundenportal, Content-Security-Policy und HSTS auf der Website, tägliche Datensicherungen in Frankfurt. Zugriff durch uns nur für Support und Betrieb, protokolliert im Audit-Log.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir registrierte Fotograf:innen per E-Mail. Die jeweils aktuelle Fassung finden Sie unter lichtmappe.de/datenschutz.html.