Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist Darius Hofman, TOTES SIGNAL, c/o Smarvo 279, Südstraße 31, 47475 Kamp-Lintfort, Deutschland. E-Mail: hello@totersignal.de.

Einen Datenschutzbeauftragten müssen wir nicht benennen. Bei Fragen zum Datenschutz schreib uns einfach an diese Adresse.

Diese Website läuft auf einem Server, den wir bei der IONOS SE, Montabaur (Deutschland), betreiben; er steht in einem Rechenzentrum in der EU. Dort liegen auch die Datenbank mit deinen Anfrage- und Auftragsdaten und die Dateien, die du hochlädst oder die wir dir liefern. IONOS verarbeitet diese Daten nur in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einer sicheren, schnellen und zuverlässigen Website – und, soweit es um Anfragen und Aufträge geht, Art. 6 Abs. 1 lit. b DSGVO.

Zwischen deinem Browser und unserem Server sitzt Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) als Content-Delivery-Netzwerk und Sicherheitsdienst. Jeder Aufruf dieser Website läuft über Server von Cloudflare. Cloudflare verarbeitet dabei die Verbindungsdaten, die bei jedem Aufruf anfallen – insbesondere deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Browserkennung (User-Agent) und technische Systemangaben –, um die Website schnell auszuliefern und Angriffe abzuwehren, etwa Überlastungsangriffe oder massenhafte automatisierte Zugriffe. Weil Cloudflare die verschlüsselte Verbindung entgegennimmt, laufen auch Inhalte, die du an uns schickst (zum Beispiel Anfragen und Fotos), technisch über Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sichere und zuverlässig erreichbare Website. Cloudflare verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Dabei können Daten in die USA übermittelt werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO); zusätzlich gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Cookies: Unsere öffentlichen Seiten setzen selbst keine Cookies; nur nach der Anmeldung setzen wir ein Sitzungs-Cookie (Ziffer 8). Cloudflare kann zum Schutz vor Angriffen in Einzelfällen technisch notwendige Sicherheits-Cookies setzen, etwa „__cf_bm“ zur Erkennung automatisierter Zugriffe (Laufzeit 30 Minuten) oder „cf_clearance“, nachdem eine Sicherheitsprüfung bestanden wurde. Sie dienen nur der Sicherheit, nicht der Analyse oder Werbung. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. f DSGVO.

Unser Webserver protokolliert jeden Aufruf mit IP-Adresse, Datum und Uhrzeit, aufgerufener Adresse, Statuscode, übertragener Datenmenge, verweisender Seite und Browserkennung. Bei Aufrufen über Cloudflare ist das deine IP-Adresse, die Cloudflare an uns weiterreicht. Wir brauchen diese Protokolle, um Fehler zu finden und Angriffe zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Protokolldateien werden täglich gewechselt und nach spätestens 15 Tagen gelöscht. Wir werten sie nicht für Statistiken aus und führen sie nicht mit anderen Daten zusammen.

Um zu sehen, welche Seiten genutzt werden, zählt unser Server die Aufrufe unserer öffentlichen Seiten – ohne Cookies und ohne etwas in deinem Browser zu speichern. Gespeichert werden nur Summen je Tag: aufgerufene Seite, Sprache und, falls vorhanden, die Domain der verweisenden Website (ohne Pfad) oder das Kampagnenkürzel „utm_source“ aus dem Link.

IP-Adresse, Browserkennung oder andere Merkmale, die dich wiedererkennbar machen, speichern wir dafür nicht; ein Profil entsteht nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, unser Angebot an der tatsächlichen Nutzung auszurichten.

Zwei Funktionen merken sich Angaben in deinem Browser. Diese Angaben bleiben auf deinem Gerät; wir können sie dort nicht auslesen.

• Shotliste: Die Stile, die du mit dem Herz markierst (bis zu 12 Kürzel wie „S05“), speichert dein Browser im localStorage unter „ts.shotlist.v1“. Sie bleiben, bis du die Liste leerst oder die Website-Daten in deinem Browser löschst.
• Anfrage-Entwurf: Was du im Anfrage-Assistenten oder im Website-Formular eintippst, hält dein Browser im sessionStorage fest („ts.anfrage.v1“ bzw. „ts.website.v1“), damit beim Neuladen nichts verloren geht. Dateien gehören nicht dazu. Der Entwurf verschwindet, sobald du den Tab schließt. Fotos lädt der Assistent dagegen direkt auf unseren Server hoch (Ziffer 7).

An uns gehen diese Angaben erst, wenn du sie selbst abschickst – mit deiner Anfrage oder indem du einen Shotlisten-Link öffnest. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG: Es ist unbedingt erforderlich, damit wir dir die Funktion bereitstellen können, die du ausdrücklich nutzt. Eine Einwilligung ist dafür nicht nötig – deshalb gibt es auf dieser Website kein Cookie-Banner.

Wenn du über den Anfrage-Assistenten oder das Website-Formular eine Anfrage schickst, verarbeiten wir:

• Kontaktdaten: E-Mail-Adresse, Name, Firma oder Marke und Land;
• Angaben zum Auftrag: Paket, Produktname und optional einen Link, Marktplätze, Kategorie, gewählte Stile und deine Hinweise – bei Website-Anfragen deine Angaben zum Projekt;
• deine Fotos und Dateien;
• deine Bestätigungen, dass du für dein Unternehmen handelst und diese Datenschutzerklärung gelesen hast, jeweils mit Zeitpunkt und Fassung.

Zweck ist, deine Anfrage zu prüfen und einen Auftrag abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung eines Vertrags). Ohne E-Mail-Adresse, Namen, Firma und Land können wir keine Anfrage annehmen.

Fotos lädt der Assistent schon beim Hinzufügen hoch, damit das Absenden schnell geht. Bis du die Anfrage mit dem Code aus unserer E-Mail bestätigst, liegen Angaben und Fotos als Entwurf auf unserem Server; bestätigst du sie nicht innerhalb von 24 Stunden, löschen wir den Entwurf samt Fotos. Für die Vorschau erzeugen wir verkleinerte Kopien deiner Fotos und entfernen dabei eingebettete Metadaten wie GPS-Standortangaben.

Zum Schutz vor Missbrauch enthält das Formular ein für Menschen unsichtbares Feld und eine Mindest-Ausfüllzeit, und wir begrenzen die Zahl der Anfragen und Codes je E-Mail-Adresse und je IP-Adresse. Die IP-Adresse speichern wir dafür nur als schlüsselbasierten Hash (HMAC mit serverseitigem Geheimnis) und löschen diese Einträge spätestens nach 24 Stunden. Ein CAPTCHA oder andere Dienste Dritter setzen wir dafür nicht ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Spam und Angriffen.

Mit der Bestätigung deiner ersten Anfrage legen wir ein Kundenkonto an. Darin speichern wir deine Stammdaten (E-Mail-Adresse, Name, Firma, Land, Sprache und – sobald du sie angibst – Rechnungsadresse und USt-IdNr.), deine Aufträge mit ihrem Verlauf und deine Nachrichten an uns. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Angemeldet wirst du ohne Passwort: Wir schicken dir einen 6-stelligen Code per E-Mail, der 10 Minuten gilt. Wir speichern ihn nur als schlüsselbasierten Hash (HMAC mit serverseitigem Geheimnis).

Erst nach der Anmeldung setzen wir ein einziges Cookie: das Sitzungs-Cookie „__Secure-ts_sitzung“. Es enthält eine zufällige Kennung, wird nur über verschlüsselte Verbindungen übertragen, ist für Skripte gesperrt und läuft nach 60 Tagen ab oder sobald du dich abmeldest. Es ist unbedingt erforderlich, damit du angemeldet bleibst (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO. Für unsere Administratoren gelten zusätzlich ein zweiter Faktor (Einmalcode aus einer Authentifizierungs-App) und eine Sitzungsdauer von 12 Stunden.

Dein Konto kannst du im Profil selbst löschen, sobald kein Auftrag mehr offen ist. Wir löschen dann deine Dateien und personenbezogenen Daten und behalten nur, was wir für Rechnungen aufbewahren müssen (Ziffer 16).

Für einen Auftrag verarbeiten wir deine Angaben aus der Anfrage, den vereinbarten Preis, den Zahlungsstand, Fristen, Korrekturwünsche, Nachrichten und die Dateien, die wir dir liefern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Ergebnisse zeigen wir nirgends öffentlich, solange du nicht ausdrücklich zugestimmt hast.

Unsere E-Mails verschicken und empfangen wir über den E-Mail-Dienst eines Anbieters mit Sitz in Irland; dort liegt auch unser Postfach. Der Anbieter verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Eine Übermittlung in die USA ist dabei möglich; sie ist über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert (Art. 45, Art. 46 Abs. 2 lit. c DSGVO). Wir schicken dir nur E-Mails, die zu deiner Anfrage, deinem Konto oder deinem Auftrag gehören – etwa Codes, Statusmeldungen und Antworten auf deine Nachrichten. Einen Newsletter oder Werbung verschicken wir nicht. Unsere E-Mails enthalten keine Zählpixel und keine nachverfolgten Links.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Schreibst du uns ohne Auftrag, verarbeiten wir deine Nachricht, um sie zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Über unser Kontaktformular kannst du uns ohne Auftrag schreiben. Wir verarbeiten dabei deinen Namen, deine E-Mail-Adresse, optional deine Firma oder Marke und das gewählte Thema, deine Nachricht, die Sprache der Seite und den Zeitpunkt – damit wir deine Nachricht lesen und dir per E-Mail antworten können. Ohne Namen, E-Mail-Adresse und Nachricht können wir nicht antworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Nachricht einen Auftrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, Anfragen zu beantworten.

Deine Nachricht speichern wir in unserer Datenbank (Ziffer 2) und schicken sie an unser Postfach beim E-Mail-Dienst (Ziffer 10), mit deiner Adresse als Antwortadresse, damit wir dir direkt antworten können. Eine Bestätigungs-E-Mail schicken wir dir nicht, wir geben deine Nachricht an niemanden sonst weiter und nehmen dich in keinen Verteiler auf.

Zum Schutz vor Missbrauch gelten dieselben Mittel wie bei Anfragen (Ziffer 7): ein für Menschen unsichtbares Feld, eine Mindest-Ausfüllzeit und Grenzen je IP-Adresse und je E-Mail-Adresse – ohne CAPTCHA und ohne Dienste Dritter. Zur Nachricht speichern wir außerdem einen schlüsselbasierten Hash deiner IP-Adresse (nicht die Adresse selbst), um wiederholten Missbrauch zu erkennen; ihn löschen wir nach 30 Tagen. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Spam und Angriffen.

Deine Nachricht löschen wir 12 Monate nach Eingang automatisch aus unserer Datenbank. Die E-Mail in unserem Postfach löschen wir nach derselben Frist, es sei denn, daraus wird ein Auftrag oder wir müssen sie aus rechtlichen Gründen aufbewahren (Ziffer 16).

Wir arbeiten mit KI-Werkzeugen und bearbeiten jedes Ergebnis von Hand. Um deine Bilder und Videos zu erstellen, übermitteln wir deine Produktfotos und unsere Bildanweisungen an KI-Bild- und Videodienste von Anbietern in den USA. Deinen Namen, deine E-Mail-Adresse und andere Kontaktdaten übermitteln wir dabei nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung deines Auftrags). Für die Übermittlung in die USA gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Welche Anbieter wir konkret einsetzen, halten wir in unserem Verzeichnis der Verarbeitungstätigkeiten fest; auf Anfrage nennen wir sie dir.

Deshalb unsere Bitte: Lade keine Fotos hoch, auf denen Menschen zu erkennen sind oder die personenbezogene Daten zeigen, etwa Adressaufkleber oder Belege.

Du zahlst im Voraus per Überweisung. Dabei verarbeiten wir die Angaben, die mit deiner Zahlung bei uns ankommen (Name des Kontoinhabers, IBAN, Betrag, Verwendungszweck, Datum), um sie deinem Auftrag zuzuordnen. Die Überweisung wickeln die beteiligten Banken ab.

Bieten wir PayPal an und nutzt du es, ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, für die Zahlungsabwicklung selbst verantwortlich; dafür gilt die Datenschutzerklärung von PayPal.

Für deine Rechnung verarbeiten wir deine Rechnungsdaten (Name, Firma, Anschrift und gegebenenfalls USt-IdNr.). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, für die Aufbewahrung, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuer- und handelsrechtlichen Aufbewahrungspflichten.

Deine Daten erhalten nur Stellen, die sie für die genannten Zwecke brauchen:

• Hosting: IONOS SE (Server, Datenbank, Dateien) – Ziffer 2;
• Auslieferung und Schutz der Website: Cloudflare – Ziffer 3;
• E-Mail-Dienst eines Anbieters mit Sitz in Irland – Ziffer 10 und Ziffer 11;
• KI-Bild- und Videodienste von Anbietern in den USA – Ziffer 12;
• Banken und, falls du es nutzt, PayPal – Ziffer 13;
• Steuerberatung und Finanzbehörden, soweit das für Buchhaltung und Steuern nötig oder gesetzlich vorgeschrieben ist.

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

Daten können die EU bei uns nur in drei Fällen verlassen: bei Cloudflare (Ziffer 3), beim E-Mail-Dienst (Ziffer 10) und bei den KI-Bild- und Videodiensten (Ziffer 12), jeweils mit den dort genannten Garantien.

Wir speichern Daten nur so lange, wie wir sie brauchen oder aufbewahren müssen:

• Unbestätigte Anfrage-Entwürfe samt Fotos: nach 24 Stunden.
• Fotos und Lieferdateien: 180 Tage nach Abschluss deines Auftrags – also nach deiner Freigabe oder dem automatischen Abschluss 14 Tage nach der letzten Lieferung. Lade vorher alles herunter, was du brauchst.
• Dateien abgelehnter oder stornierter Anfragen: nach 30 Tagen.
• Konto, Auftragsdaten (ohne Dateien) und Nachrichten: bis du dein Konto löschst; danach nur noch, was wir aufbewahren müssen.
• Rechnungen und Buchungsbelege: so lange, wie es das Steuer- und Handelsrecht verlangt (insbesondere § 147 AO und § 14b UStG, derzeit in der Regel acht Jahre).
• Server-Protokolle: nach spätestens 15 Tagen (Ziffer 4).
• Nachrichten aus dem Kontaktformular: 12 Monate nach Eingang, der IP-Hash dazu schon nach 30 Tagen (Ziffer 11).
• Anmeldecodes verfallen nach 10 Minuten, die Sitzung nach 60 Tagen oder mit der Abmeldung.
• Datensicherungen: Wir sichern Datenbank und Dateien jede Nacht und bewahren jede Sicherung 7 Tage auf. Gelöschte Daten verschwinden deshalb spätestens 7 Tage später auch aus den Sicherungen.

Du hast das Recht auf Auskunft über deine Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Dafür genügt eine formlose E-Mail an hello@totersignal.de.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat, in dem du dich aufhältst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI): www.tlfdi.de.

Wir treffen keine Entscheidungen, die ausschließlich automatisiert ablaufen (Art. 22 DSGVO): Jede Anfrage prüft ein Mensch. Wir erstellen keine Profile und setzen keine Tracking- oder Analysewerkzeuge ein.

Ändert sich, wie wir Daten verarbeiten, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung; ihr Datum steht oben.