Datenschutzerklärung

1. Verantwortlicher

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Als Einzelunternehmer beschäftige ich weniger als 20 Personen ständig mit automatisierter Datenverarbeitung, sodass keine Bestellpflicht nach § 38 Abs. 1 BDSG besteht. Meine Kerntätigkeit umfasst auch keine Verarbeitungsvorgänge, die nach Art. 37 Abs. 1 DSGVO eine Bestellung zwingend erfordern (keine umfangreiche systematische Überwachung, keine Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO).

Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an den oben genannten Verantwortlichen unter info@colorcanvas.eu.

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten

• Bestandsdaten (z.B. Namen, Adressen)
• Inhaltsdaten (z.B. hochgeladene Bilder, generierte Vorlagen)
• Kontaktdaten (z.B. E-Mail-Adressen)
• Meta-/Kommunikationsdaten (z.B. IP-Adressen, Zugriffszeiten)
• Nutzungsdaten (z.B. besuchte Seiten, Nutzungsverhalten)
• Vertragsdaten (z.B. Vertragsgegenstand, Laufzeit, Kundenkategorie)
• Zahlungsdaten (z.B. Bankverbindung, Zahlungshistorie)

Kategorien betroffener Personen

• Kunden / Interessenten
• Nutzer (z.B. Webseitenbesucher, Nutzer von Onlinediensten)

Zwecke der Verarbeitung

• Bereitstellung unseres Onlineangebots und Nutzerfreundlichkeit
• Erbringung vertraglicher Leistungen und Kundenservice
• Kontaktanfragen und Kommunikation
• Sicherheitsmaßnahmen
• Reichweitenmessung und Marketing
• Verwaltung und Beantwortung von Anfragen

3. Maßgebliche Rechtsgrundlagen

Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten:

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO) - Die betroffene Person hat ihre Einwilligung in die Verarbeitung der sie betreffenden personenbezogenen Daten für einen spezifischen Zweck oder mehrere bestimmte Zwecke gegeben.
• Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b) DSGVO) - Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c) DSGVO) - Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) - Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich.

4. Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen:

• SSL/TLS-Verschlüsselung aller Datenübertragungen
• Verschlüsselte Speicherung sensibler Daten (AES-256)
• Regelmäßige Sicherheitsaudits und Updates
• Zugriffskontrolle und Authentifizierung
• Datenspeicherung in EU-Rechenzentren (Frankfurt)

5. Rechte der betroffenen Personen

Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen ("Recht auf Vergessenwerden").
• Recht auf Einschränkung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung zu widersprechen.
• Recht auf Widerruf (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, erteilte Einwilligungen jederzeit zu widerrufen.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte können Sie sich jederzeit an uns wenden: info@colorcanvas.eu

6. Aufbewahrungsfristen

Wir sind gesetzlich verpflichtet, bestimmte Daten auch nach Beendigung Ihres Vertrages aufzubewahren:

Pseudonymisierung bei Kontolöschung

Bei Löschung Ihres Kontos werden personenbezogene Daten in aufbewahrungspflichtigen Dokumenten pseudonymisiert:

• Name und E-Mail werden durch eine anonyme Kennung ersetzt
• Die Zuordnung zu Ihrer Person ist dann nicht mehr möglich
• Die pseudonymisierten Daten werden nach Ablauf der gesetzlichen Fristen automatisch gelöscht

Rechtsgrundlage: DSGVO Art. 17 Abs. 3 lit. b (Erfüllung rechtlicher Verpflichtungen)

7. Cookies und Speicherung im Browser

Wir setzen keine Cookies oder vergleichbaren Techniken zu Analyse- oder Werbezwecken ein — weder eigene noch von Dritten (kein Google Analytics, kein Meta-Pixel, kein Pinterest-Tag). Deshalb zeigen wir auch kein Cookie-Banner.

Im Speicher Ihres Browsers (Local Storage, Session Storage, Service-Worker-Zwischenspeicher) legen wir nur ab, was für den von Ihnen gewünschten Dienst unbedingt erforderlich ist:

• Ihre Anmeldung (Sitzung bei Supabase), damit Sie angemeldet bleiben
• Ihre Einstellungen: Sprache, helle/dunkle Darstellung, Barrierefreiheits-Optionen
• Ihre Wahl zur anonymen Nutzungsstatistik (Ziffer 17)
• kurzlebige technische Merker, z. B. auf welche Seite Sie nach der Anmeldung zurückkehren
• Programmdateien der App (Service Worker), damit sie schnell lädt

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für einen ausdrücklich gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Einwilligung ist dafür nicht erforderlich. Sie können diese Daten jederzeit in Ihren Browser-Einstellungen löschen; danach sind Sie abgemeldet und Ihre Einstellungen zurückgesetzt.

Beim Bezahlen leiten wir Sie zu Stripe weiter. Welche Cookies Stripe auf seiner Bezahlseite setzt, regelt die Datenschutzerklärung von Stripe (Ziffer 12).

Sollten wir künftig Analyse- oder Werbedienste einsetzen, die eine Einwilligung brauchen, aktualisieren wir diese Datenschutzerklärung vorher und fragen Sie um Erlaubnis.

8. Bereitstellung des Onlineangebots und Webhosting

Wir verarbeiten die Daten der Nutzer, um ihnen unsere Online-Dienste zur Verfügung stellen zu können.

Verarbeitete Datenarten

• Nutzungsdaten (besuchte Seiten, Zugriffszeit)
• Meta-/Kommunikationsdaten (IP-Adresse, Browsertyp, Betriebssystem)

Hosting-Dienste

IONOS SE: Frontend- und Backend-Hosting auf eigenem VPS (Rechenzentrum: Karlsruhe, Deutschland)
Supabase: Datenbank, Authentifizierung und Object Storage (Rechenzentrum: Frankfurt, Deutschland)

Anbieter: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland
Datenschutzerklärung:https://www.ionos.de/terms-gtc/terms-privacy/

Sämtliche Daten werden ausschließlich in Rechenzentren innerhalb der Europäischen Union verarbeitet. Eine Datenübermittlung in Drittländer findet im Rahmen des Hostings nicht statt.

Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

9. Registrierung, Anmeldung und Nutzerkonto

Nutzer können ein Nutzerkonto anlegen. Im Rahmen der Registrierung werden die erforderlichen Pflichtangaben mitgeteilt und auf Grundlage der Vertragserfüllung verarbeitet.

Verarbeitete Daten

• E-Mail-Adresse
• Name (optional)
• Passwort (verschlüsselt gespeichert)
• Profilbild (optional)

Mindestalter

Ein Konto können Personen ab 16 Jahren anlegen; bei der Registrierung bestätigen Sie das mit einem Häkchen. Kinder unter 16 Jahren nutzen ColorCanvas bitte über das Konto eines Elternteils. Wir fragen kein Geburtsdatum ab.

Nachweis Ihrer Zustimmung zu AGB und Datenschutzerklärung

Wir speichern, welcher Fassung der AGB Sie zugestimmt und welche Fassung der Datenschutzerklärung Sie zur Kenntnis genommen haben, mit Zeitpunkt sowie — bei Zustimmung nach dem Anmelden — IP-Adresse und Browser-Kennung. Bei Zustimmung schon während der Registrierung speichern wir den Zeitpunkt der Registrierung. Zweck ist der Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO). Die Einträge werden mit der Löschung Ihres Kontos gelöscht.

Anmeldung über Drittanbieter (OAuth)

Sie können sich auch über Google oder GitHub anmelden. Dabei werden je nach Anbieter folgende Daten übermittelt: E-Mail-Adresse, Name, Profilbild.

Löschung

Die Daten werden nach Kündigung oder Löschung des Kontos gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

10. Cloud-Dienste (SaaS)

Wir bieten Softwarefunktionen über das Internet an (Software-as-a-Service). Dabei werden folgende Daten verarbeitet:

• Hochgeladene Bilder zur Verarbeitung
• Generierte Malen-nach-Zahlen-Vorlagen
• Nutzungsstatistiken (Anzahl Generierungen)
• Einstellungen und Präferenzen

Speicherung der Bilder

Hochgeladene Bilder und generierte Vorlagen werden in verschlüsselten Cloud-Speichern (Supabase Storage, Frankfurt) gespeichert und können vom Nutzer jederzeit gelöscht werden. Bevor wir ein hochgeladenes Bild speichern, prüfen wir es auf Schadsoftware (ClamAV, auf unserem eigenen Server) und speichern es neu kodiert; eingebettete Metadaten wie Kamera-Angaben oder GPS-Standort werden dabei entfernt.

Fotos, auf denen andere Personen zu sehen sind

Laden Nutzer Fotos hoch, auf denen andere Personen zu erkennen sind, verarbeiten wir diese Bilder nur, um daraus die gewünschte Vorlage zu erstellen. Wir werten die abgebildeten Personen nicht aus und erstellen keine Profile. Gesichter erkennen wir nur, um Augen, Nase und Mund in der Vorlage sauber darzustellen (auf unserem eigenen Server, ohne Speicherung von Gesichtsmerkmalen). Bei Fotos, Portraits und Gemälden geht das Bild für die KI-Vorstufe an Google (Ziffer 11.1 f). Speicherdauer wie bei allen hochgeladenen Bildern. Abgebildete Personen haben die Rechte aus Ziffer 5; wenden Sie sich an die Adresse in Ziffer 1. Wir bitten Nutzer beim Hochladen, nur Fotos zu verwenden, mit denen die abgebildeten Personen einverstanden sind.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

11. Einsatz von Künstlicher Intelligenz (KI)

Wir nutzen Künstliche Intelligenz (KI) zur Verbesserung unserer Dienste. Diese Verarbeitung erfolgt unter Beachtung der DSGVO und der EU-KI-Verordnung (AI Act).

Wichtig: Erstellen Sie eine Vorlage aus einem Foto, Portrait oder Gemälde, wird Ihr Bild zur Umwandlung in eine Illustration an Google übermittelt; die Verarbeitung kann in den USA erfolgen (siehe 11.1 f). Bei den Bildtypen Cartoon und Illustration findet diese Übermittlung nicht statt.

11.1 Eingesetzte KI-Systeme

11.2 Rechtsgrundlagen für KI-Verarbeitung

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Bildanalyse ist Teil der vertraglichen Dienstleistung zur Erstellung von Malen-nach-Zahlen-Vorlagen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Der Chatbot-Assistent dient der Verbesserung der Nutzerfreundlichkeit und des Kundenservice.
• Vertragserfüllung auch für optionale KI-Funktionen (KI-Werkstatt, KI-Ausmalbilder, „Hintergrund ersetzen"): Diese Funktionen nutzen Sie nur, wenn Sie sie ausdrücklich starten; die Verarbeitung ist dann Teil der gebuchten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Eine gesonderte Einwilligung holen wir dafür nicht ein. Direkt an jeder dieser Funktionen steht, dass Ihre Eingabe an Google geht.

11.3 Keine automatisierte Einzelentscheidung

Wir treffen keine rechtlich oder ähnlich erheblich beeinträchtigenden Entscheidungen ausschließlich auf Basis automatisierter Verarbeitung einschließlich Profiling (Art. 22 DSGVO). Die KI-Systeme unterstützen lediglich bei der Bildverarbeitung und liefern Empfehlungen, die vom Nutzer angenommen oder abgelehnt werden können.

11.4 Datenverwendung für KI-Training

Wir selbst verwenden Ihre Daten nicht für das Training von KI-Modellen. Ihre hochgeladenen Bilder werden ausschließlich für die Erbringung der beauftragten Dienstleistung verwendet und anschließend gemäß unseren Aufbewahrungsfristen gelöscht. Die eingesetzten Modelle sind vortrainiert; wir trainieren kein eigenes Modell.

Im Einzelnen:

• Google (Bild-Vorstufe bei Foto, Portrait und Gemälde): Wir nutzen die kostenpflichtige Stufe der Gemini-API. Nach Googles Bedingungen werden Inhalte dieser Stufe nicht zur Verbesserung der Google-Produkte verwendet.
• Scaleway (Text/Chat, EU): keine Nutzung Ihrer Eingaben zum Training.
• Bildverbesserung (optional): läuft auf unserem eigenen Server mit einem fertig trainierten Modell; Ihre Bilder werden dabei nicht zum Training verwendet und an niemanden weitergegeben.

11.5 Ihre Rechte bei KI-Verarbeitung

• Opt-Out: Sie können die KI-gestützte Bildanalyse deaktivieren und Parameter manuell einstellen. Die KI-Vorstufe (11.1 f) ist bei den Bildtypen Foto, Portrait und Gemälde Bestandteil der Leistung; sie entfällt bei den Bildtypen Cartoon und Illustration.
• Auskunftsrecht: Sie können Auskunft über die KI-Verarbeitung Ihrer Daten verlangen.
• Widerspruchsrecht: Sie können der KI-Verarbeitung widersprechen (Art. 21 DSGVO).
• Menschliche Überprüfung: Bei Fragen zu KI-generierten Ergebnissen können Sie eine menschliche Überprüfung anfordern.

11.6 Auftragsverarbeiter für KI-Dienste

Für die KI-Dienste, die zur Erbringung der Leistung nötig sind, liegen Auftragsverarbeitungs-Grundlagen vor: bei Google über die Auftragsverarbeitungsbedingungen der Google-APIs, bei Scaleway als EU-Anbieter über deren Vertragsbedingungen.

Details finden Sie in unserem Auftragsverarbeitungsvertrag.

11.7 Speicherdauer von Bildern

• Erzeugte Vorlagen und zugehörige Dateien: Speicherung auf Servern in Frankfurt am Main (Supabase), automatische Löschung nach 30 Tagen.
• Bilder in „Meine Bilder" (auch die im Generator oder in der KI-Werkstatt hochgeladenen): Speicherung in Frankfurt am Main, bis Sie das Bild oder Ihr Konto löschen — aus diesen Bildern entstehen weitere Versionen Ihrer Projekte.
• Fotos über die Programmierschnittstelle (API): automatische Löschung 24 Stunden nach dem Hochladen (stündlicher Löschlauf, also spätestens nach 25 Stunden).
• „Bild verbessern": Das hochgeladene Bild wird direkt nach der Verarbeitung gelöscht, das Ergebnis nach Ablauf von 24 Stunden beim nächsten Auftrag (Ziffer 11.1).
• KI-Dienstleister: Bilder werden nur für die jeweilige Anfrage übermittelt und dort nicht dauerhaft für uns gespeichert; einzelne Anbieter können Anfragen für einen begrenzten Zeitraum zur Missbrauchserkennung protokollieren.

12. Zwei-Faktor-Authentifizierung (2FA)

Sie koennen Ihr Konto optional mit einer Authenticator-App (TOTP — Time-based One-Time Password nach RFC 6238) zusaetzlich absichern. Die Aktivierung ist freiwillig und jederzeit wieder aufhebbar unter Konto → Sicherheit.

12.1 Welche Daten wir verarbeiten

• Faktor-ID + Geheim-Schluessel (gespeichert bei Supabase, Frankfurt/EU): Identifiziert die Verbindung zwischen Ihrem Konto und Ihrer Authenticator-App. Notwendig, damit der bei Login eingegebene 6-stellige Code geprueft werden kann.
• 10 Backup-Codes (bei uns als Bcrypt-Hash in der profiles-Tabelle gespeichert): Im Klartext werden sie nur einmalig bei der Erzeugung an Sie ausgeliefert. Wir koennen sie nicht zurueckrechnen.
• Audit-Log-Eintraege (Aktivierung, Deaktivierung, Backup-Code-Verwendung, fehlgeschlagene Versuche): Verbleiben mit IP-Adresse + Zeitstempel 90 Tage in unserer audit_logs-Tabelle (DSGVO Art. 32 — Stand der Technik / Betrugs-Praevention).

Was wir nicht speichern: den 6-stelligen Authenticator-Code (er existiert nur 30 Sekunden in Ihrer App und wird im Server-Log nicht aufbewahrt) sowie das Geraet, auf dem die App laeuft.

12.2 Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Konto-Sicherheit) sowie Art. 32 DSGVO (Stand der Technik bei der Verarbeitung). Die zusaetzliche Authentifizierungs-Schicht schuetzt Sie und uns vor Konto-Uebernahmen durch geleakte oder wiederverwendete Passwoerter.

12.3 Speicherdauer

• Aktive 2FA-Faktoren: solange das Konto besteht oder Sie 2FA selbst deaktivieren.
• Backup-Code-Hashes: bis zur naechsten Neuerzeugung oder Deaktivierung.
• Audit-Log: 90 Tage rollend; danach Anonymisierung.

12.4 Ihre Rechte

Sie koennen 2FA jederzeit unter Konto → Sicherheit → 2FA deaktivieren abschalten (erfordert einen aktuellen TOTP-Code als Bestaetigung). Bei Verlust des Authenticator-Geraetes UND aller Backup-Codes nehmen Sie Kontakt mit unserem Support auf (info@colorcanvas.eu); zur Identifikation kann ein Identitaetsnachweis erforderlich sein.

11a. Stock-Image-Suche

Wenn Sie unsere Stock-Bilder-Suche nutzen, leiten wir Ihre Suchanfrage ueber unseren Server an folgende Anbieter weiter:

• Pixabay GmbH, Hannelore-Kohl-Allee 1, 53113 Bonn, Deutschland (EU)
• Pexels GmbH, Helene-Lange-Strasse 13, 14469 Potsdam, Deutschland (EU)
• Unsplash Inc., 400-1080 Beaver Hall Hill, Montreal H2Z 1S8, Kanada (Drittland)

Es werden ausschliesslich Ihre Suchbegriffe weitergegeben, keine personenbezogenen Daten von Ihnen — insbesondere nicht Ihre IP-Adresse, da der Aufruf serverseitig erfolgt.

Bei Auswahl eines Bildes laden wir es einmalig vom jeweiligen Anbieter und speichern es auf unserem EU-Server (Frankfurt). Spaetere Anzeigen des Bildes erfolgen ausschliesslich von unserem Server.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b) DSGVO (Vertragserfuellung — Sie waehlen das Bild aus und beauftragen die PBN-Generierung).

Drittland-Transfer (Unsplash, Kanada)

Bei Suchanfragen an Unsplash erfolgt eine Datenuebermittlung in ein Drittland (Kanada). Da Kanada nach Adequacy-Beschluss der EU-Kommission ein "angemessenes Datenschutz-Niveau" hat, ist die Uebermittlung gemaess Art. 45 DSGVO zulaessig. Zusaetzlich nutzen wir EU-Standard-Vertragsklauseln (SCC) gemaess Art. 46 DSGVO als Backup-Garantie.

Click-Wrap-Beweis-Kette

Bei der Auswahl eines Stock-Bildes erfassen wir mit Ihrer ausdruecklichen Zustimmung folgende Daten in einer manipulationssicheren Audit-Kette (Hash-Chain):

• URL der angezeigten Lizenz-Seite
• SHA-256-Hash des angezeigten Lizenz-Volltextes (zum Zeitpunkt der Anzeige)
• Versions-Identifier des Lizenz-Stands
• Zeitstempel der Zustimmung
• Ihre IP-Adresse + User-Agent
• Welche Warnhinweise (Personen/Markenlogos) angezeigt wurden

Die Speicherung erfolgt in einer append-only Tabelle mit kryptografischer Hash-Verkettung. Aenderungen sind nicht moeglich; Manipulationsversuche werden durch ein automatisches Audit-Skript erkannt. Speicherdauer: bis zur Konto-Loeschung + nachfolgend gemaess Aufbewahrungsfristen (3 Jahre Verjaehrung gemaess § 195 BGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b) und f) DSGVO.

Detaillierte technische Informationen finden Sie in unserer Transparenz-Seite sowie in den AGB §§ 22-23.

12. Zahlungsverfahren

Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Stripe.

Stripe Payments

Anbieter: Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA
Datenschutzerklärung:https://stripe.com/de/privacy

Stripe verarbeitet Zahlungsdaten direkt. Wir speichern keine vollständigen Kreditkartendaten, sondern nur einen Referenz-Token und Transaktionsdetails.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

12a. Token-Transaktionen

(1) Wir speichern alle Token-Käufe und -Verbräuche in einem unveränderlichen Buchhaltungs-Ledger. Dies ist nach § 257 HGB für 10 Jahre vorgeschrieben.

(2) Zweckbindung: Abrechnung, Steuerprüfung durch Finanzamt, interne Revision, Betrugsprävention und Abuse-Analyse.

(3) Datenübermittlung an Drittländer: Für die Zahlungsabwicklung nutzen wir Stripe, Inc. (USA). Der Datentransfer erfolgt auf Basis der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

(4) Betroffenenrechte: Auskunfts-, Berichtigungs- und Widerspruchs- recht können per E-Mail an info@colorcanvas.eu geltend gemacht werden. Bei Token-Transaktionen ist eine Löschung vor Ablauf der HGB-Aufbewahrungspflicht nicht möglich; Daten werden anonymisiert (user_id → NULL) bei Kontolöschung, bleiben aber als Zeile erhalten.

Rechtsgrundlage: Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, § 257 HGB), Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

13. Kontaktaufnahme

Bei der Kontaktaufnahme (z.B. per E-Mail oder Kontaktformular) werden die Angaben des Nutzers zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen verarbeitet.

Verarbeitete Daten

• Kontaktdaten (E-Mail, Name)
• Inhaltsdaten (Nachrichtentext)
• Nutzungsdaten (Zeitpunkt der Anfrage)

KI-Unterstützung und interne Benachrichtigungen

Support-Nachrichten und eingehende E-Mails lassen wir von unserem KI-Dienstleister Scaleway (Paris, EU) einordnen und Antwortvorschläge erstellen. Vorher entfernen wir automatisch E-Mail-Adressen, Telefonnummern, Bankdaten, IP-Adressen und erkennbare Namen. Interne Benachrichtigungen an uns (z. B. per Telegram über eine neue Support-Anfrage) enthalten keine personenbezogenen Daten, nur eine interne Vorgangsnummer.

Rechtsgrundlage: Vertragserfüllung, berechtigte Interessen (Art. 6 Abs. 1 lit. b, f DSGVO).

14. Newsletter und E-Mail-Kommunikation

Wir versenden Newsletter und E-Mails mit werblichen Informationen nur mit Einwilligung der Empfänger oder einer gesetzlichen Erlaubnis.

E-Mail-Versand über eigene Infrastruktur

Der Versand sämtlicher E-Mails (Transaktionsmails wie Registrierungsbestätigungen, Rechnungen sowie Newsletter) erfolgt über unsere eigene SMTP-Infrastruktur, betrieben auf Servern der IONOS SE in Deutschland.

SMTP-Anbieter: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland
Datenschutzerklärung:https://www.ionos.de/terms-gtc/terms-privacy/
Versand-Adressen: noreply@colorcanvas.eu (Transaktion), info@colorcanvas.eu (Newsletter, Support)

Es findet keine Übermittlung Ihrer E-Mail-Adresse oder anderer Daten an externe E-Mail-Dienstleister (z.B. Mailjet, Sendgrid, Mailchimp) statt. Alle Versanddaten bleiben in unserer eigenen Datenbank in der EU gespeichert.

Double-Opt-In-Verfahren

Für die Anmeldung zum Newsletter nutzen wir das Double-Opt-In-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink wird Ihre E-Mail-Adresse in den Verteiler aufgenommen. Wir protokollieren Anmeldung, Bestätigung und Abmeldung mit anonymisierter IP-Adresse und Zeitstempel zur Nachweispflicht.

Abmeldung

Sie können den Newsletter jederzeit abbestellen. Jede Newsletter-E-Mail enthält einen Abmeldelink sowie einen RFC-8058-konformen List-Unsubscribe-Header (One-Click-Unsubscribe in modernen Mail-Clients).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für Transaktionsmails Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

14.1 Onboarding-E-Mails (Welcome-Drip)

Wenn Sie bei der Registrierung die optionale Checkbox "Ich möchte 3 kurze Onboarding-Tipps per E-Mail erhalten" aktivieren, senden wir Ihnen drei kurze Onboarding-Mails an den Tagen 0, 2 und 7 nach Ihrer Anmeldung. Inhalt: Hinweise zur optimalen Foto-Auswahl, Tipps für die erste Mal-nach-Zahlen-Vorlage, Hinweise auf Token-Pakete.

Rechtsgrundlage Tag 0 (Begrüßung): Vertragsanbahnung gemäß Art. 6 Abs. 1 lit. b DSGVO. Diese einmalige Begrüßungsmail erhalten alle neuen Konten. Ohne Einwilligung enthält sie keine Werbung und kündigt keine weiteren Mails an — danach schreiben wir Ihnen nur noch zu Konto und Käufen.

Rechtsgrundlage Tag 2 + Tag 7 (werbliche Onboarding-Tipps): Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Checkbox bei der Registrierung ist nicht vorausgewählt — Sie müssen sie aktiv anhaken. Dadurch erfüllen wir die Anforderung der aktiven Einwilligung (DSGVO Art. 7 Abs. 1).

Widerruf: Sie können die Einwilligung jederzeit widerrufen — entweder per Klick auf "Keine Tipps-Mails mehr" am Ende jeder Onboarding-Mail oder über den Schalter "Marketing" unter E-Mail-Einstellungen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Audit-Trail: Wir speichern den Konsens-Zeitpunkt (marketing_opt_in_at) und ggf. den Widerrufs-Zeitpunkt (marketing_opt_out_at) als Nachweis gemäß DSGVO Art. 7 Abs. 1. Diese Felder sind in Ihrem DSGVO-Datenexport (Art. 15) enthalten.

Speicherdauer: Die Drip-Versand-Flags werden gelöscht, sobald Sie Ihr Konto löschen (DSGVO Art. 17 Recht auf Vergessenwerden).

15. Webanalyse und Optimierung

Wir setzen keine externen Webanalyse-Dienste ein. Die Reichweite messen wir ausschließlich mit unserer eigenen, cookielosen Zählung (Ziffer 17).