Datenschutzerklärung

1. Verantwortlicher

E-Mail: maxjonasdev@gmail.com · Telefon: +49 151 23465270 · weitere Angaben im Impressum

Ein Datenschutzbeauftragter ist nicht bestellt, da dafür keine gesetzliche Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

2. Wer ist betroffen?

Bei PartyMemories verarbeiten wir Daten von drei Gruppen:

• Kundinnen und Kunden – die Person, die eine Party anlegt und den Vertrag mit uns schließt,
• Gäste – Personen, die Fotos oder Videos hochladen oder die Galerie ansehen,
• Besucherinnen und Besucher unserer Website.

Auf Fotos und Videos können außerdem weitere Personen zu sehen sein. Wer eine Aufnahme hochlädt, ist dafür verantwortlich, dass die abgebildeten Personen damit einverstanden sind (siehe § 6 der AGB).

3. Zwecke, Rechtsgrundlagen und Speicherdauer

3.1 Anlegen und Verwalten einer Party

Daten: Name der Feier, Datum der Feier, E-Mail-Adresse, Passwörter für Gäste- und Admin-Zugang (nur als Hash gespeichert), Party-ID, gewählter Tarif, Kaufart (Erstkauf oder Upgrade), Aktivierungs- und Ablaufzeitpunkte, angenommene AGB-Version mit Zeitpunkt, Bestätigung der Volljährigkeit.

Zweck: Bereitstellung des Dienstes und Durchführung des Vertrags, Nachweis des Vertragsschlusses.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Speicherdauer: Bis zum Ablauf der Galerie-Frist deines Tarifs (siehe § 10 AGB); danach löschen wir die Party mit allen zugehörigen Daten automatisch. Eine Free-Anmeldung, deren E-Mail-Adresse nicht innerhalb von 24 Stunden bestätigt wird, löschen wir mit dem nächsten täglichen Lauf. Eine kostenpflichtige Bestellung, die nicht bezahlt wird, löschen wir automatisch, sobald der Bezahllink abgelaufen ist – etwa 30 Tage nach dem letzten Bezahlversuch. Eine vorzeitige Löschung der ganzen Party kannst du jederzeit per E-Mail verlangen.

3.2 Hochladen und Anzeigen von Fotos und Videos

Daten: Fotos und Videos einschließlich der darauf abgebildeten Personen, Dateiname, Dateigröße, Zeitpunkt des Uploads, Party-ID. Bilder werden beim Hochladen auf höchstens 3.000 × 3.000 Pixel verkleinert und als JPEG gespeichert; dabei werden eingebettete Metadaten (z. B. Kameradaten oder Aufnahmeort) entfernt. Videos speichern wir unverändert, also auch mit eventuell enthaltenen Metadaten.

Zweck: Gemeinsames Sammeln der Aufnahmen einer Feier und Bereitstellung an alle Personen mit Zugang zur Galerie (Galerie, Slideshow, Download einzeln oder als ZIP-Archiv).

Rechtsgrundlage: Gegenüber Kundinnen und Kunden Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Gäste laden freiwillig hoch, nachdem sie auf der Upload-Seite über die Speicherung und die Sichtbarkeit für alle Personen mit Galerie-Zugang informiert wurden (Art. 6 Abs. 1 lit. a DSGVO). Für abgebildete Personen, die nicht selbst hochladen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Feiernden, Erinnerungsfotos ihrer Feier zu teilen).

Speicherdauer: Bis die Gastgebenden die Aufnahme im Admin-Bereich löschen, spätestens bis zum Ablauf der Galerie-Frist des Tarifs. Für ZIP-Downloads erzeugte Archive löschen wir nach einem Tag automatisch. Uploads in der öffentlichen Demo-Party löschen wir nach 24 Stunden.

Wenn du als Gast eine Aufnahme entfernen lassen möchtest, wende dich an die Gastgebenden der Party oder direkt an uns.

3.3 Zugriffsschutz und Anmeldung

Daten: Passwort-Hashes (bcrypt), zeitlich begrenzte Zugriffstokens (Party-ID und Rolle Gast oder Admin), gehashte Einmal-Tokens für die Bestätigung der E-Mail-Adresse bei Free, für das Zurücksetzen von Passwörtern und für die Zahlung bei kostenpflichtigen Erstbestellungen.

Zweck: Schutz der Galerie und des Admin-Bereichs vor unbefugtem Zugriff.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (Sicherheit des Dienstes).

Speicherdauer: Zugriffstokens verfallen nach 8 Stunden. E-Mail-Bestätigungslinks gelten 24 Stunden, Links zum Zurücksetzen eines Passworts 30 Minuten; beide sind nur einmal verwendbar. Der Zahlungs-Token wird nach der Aktivierung widerrufen. Passwort-Hashes löschen wir mit der Party.

3.4 Protokolle und Missbrauchsschutz

Daten: IP-Adresse, Browserkennung (User-Agent), Zeitpunkt, aufgerufene Adresse und ausgeführte Aktion, z. B. Anmeldung, Upload, Download oder Löschung (Audit-Protokoll). Für die Begrenzung von Anfragen speichern wir IP-Adressen und E-Mail-Adressen nicht im Klartext, sondern nur als verschlüsselten Hashwert (HMAC) zusammen mit einem Zähler.

Zweck: Sicherer Betrieb, Fehleranalyse, Schutz vor Missbrauch (z. B. Ausprobieren von Passwörtern), Nachweis von Datenschutz-relevanten Vorgängen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst).

Speicherdauer: Audit-Protokolle löschen wir zusammen mit der Party. Server-Logs beim Hosting-Anbieter werden je nach Tarif nach 1 bis 30 Tagen gelöscht. Die Hashwerte der Anfragebegrenzung löschen wir 7 Tage nach Ablauf des jeweiligen Zeitfensters.

3.5 E-Mails

Daten: E-Mail-Adresse, Name der Feier, Party-ID, Tarif, Preis und Ablaufdaten, Upload-Link mit QR-Code, bei Free der Bestätigungslink, bei Passwort-Vergessen der Link zum Zurücksetzen. Passwörter versenden wir nie per E-Mail.

Zweck: Bestätigung der E-Mail-Adresse bei Free, Vertragsbestätigung mit den AGB als PDF, Erinnerungen vor dem Ablauf der Galerie, Zurücksetzen von Passwörtern, Eingangsbestätigung eines Widerrufs. Bei einer neuen Free-Anmeldung erhalten wir eine interne Benachrichtigung mit Name und Datum der Feier, E-Mail-Adresse und Party-ID.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); interne Benachrichtigung: lit. f DSGVO (Überblick über neue Anmeldungen).

Dienstleister: Resend als Auftragsverarbeiter, siehe Abschnitt 5.

Speicherdauer: Versandprotokolle beim Dienstleister nach dessen Fristen; die Inhalte speichern wir nicht zusätzlich.

3.6 Bitte um Feedback

Einige Tage nach deiner Feier bitten wir dich unter Umständen einmal per E-Mail um eine kurze Rückmeldung zu PartyMemories. Dafür verwenden wir deine E-Mail-Adresse und den Namen der Feier.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, unseren Dienst zu verbessern) in Verbindung mit § 7 Abs. 3 UWG.

Du kannst dem jederzeit widersprechen, zum Beispiel mit einer kurzen Antwort auf die E-Mail oder an maxjonasdev@gmail.com. Dafür entstehen dir keine anderen Kosten als die Übermittlungskosten nach den Basistarifen.

3.7 Zahlung

Daten bei uns: Tarif, Kaufart, Betrag, Währung, Zahlungs- und Checkout-ID von Stripe, Zeitpunkte, angenommene AGB-Version.

Daten bei Stripe: Name, E-Mail-Adresse, Rechnungsadresse, Telefonnummer und Zahlungsdaten (z. B. Karte, Klarna, PayPal oder Revolut Pay). Zahlungsdaten wie Kartennummern erhalten wir nicht.

Zweck: Abwicklung der Zahlung, Buchhaltung, Erstattungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (Aufbewahrungspflichten).

Dienstleister: Stripe Payments Europe, Ltd. (Irland) ist für die Zahlungsabwicklung eigenständig verantwortlich; es gilt zusätzlich die Datenschutzerklärung von Stripe. Stripe kann Daten in die USA übermitteln.

Speicherdauer: Buchhaltungsrelevante Unterlagen bis zu 10 Jahre (gesetzliche Aufbewahrungspflicht).

3.8 Online-Widerruf

Daten: Name, Angaben zum widerrufenen Vertrag, E-Mail-Adresse für die Eingangsbestätigung, Zeitpunkt des Eingangs. Zum Schutz vor Missbrauch verarbeiten wir IP-Adresse und E-Mail-Adresse zusätzlich als Hashwert (siehe 3.4).

Zweck: Entgegennahme und Bearbeitung deines Widerrufs und Versand der gesetzlich vorgeschriebenen Eingangsbestätigung. Die Erklärung wird per E-Mail an uns übermittelt und von uns bearbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB und Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung); Missbrauchsschutz: lit. f DSGVO.

Speicherdauer: Bis zum Ende der regelmäßigen Verjährungsfrist (drei Jahre, § 195 BGB); Unterlagen zu Rückzahlungen bis zu 10 Jahre.

3.9 Kontakt per E-Mail

Daten: Deine E-Mail-Adresse, dein Name und der Inhalt deiner Nachricht.

Zweck: Beantwortung deiner Anfrage, z. B. zum Support oder zu einer Löschung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um deinen Vertrag geht, sonst lit. f DSGVO (Beantwortung von Anfragen).

Speicherdauer: Bis die Anfrage erledigt ist, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

Dienstleister: Unser Postfach maxjonasdev@gmail.com wird von Google (Google Ireland Limited, Irland) betrieben; Google kann Daten in die USA übermitteln. Es gilt zusätzlich die Datenschutzerklärung von Google.

4. Speicherung im Browser, keine Tracking-Cookies

Wir setzen keine Cookies für Analyse, Tracking oder Werbung. Für technisch notwendige Funktionen speichern wir Daten im Speicher deines Browsers:

• localStorage weddingId, weddingToken, weddingType: deine Anmeldung in der Galerie oder im Admin-Bereich (Party-ID, Zugriffstoken, Rolle). Das Token ist 8 Stunden gültig; beim Abmelden werden die Einträge entfernt. (Die Namen der Einträge sind technisch bedingt und gelten für jede Art von Feier.)
• sessionStorage wm_onboarding_…: während einer kostenpflichtigen Bestellung die gewählten Passwörter und der Zahlungs-Token, damit sie dir nach der Zahlung angezeigt werden können. Sie werden danach entfernt, spätestens beim Schließen des Tabs.
• sessionStorage upgradePromptsDismissed:…: welche Upgrade-Hinweise du im Admin-Bereich ausgeblendet hast, bis zum Schließen des Tabs.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO. Du kannst diese Daten jederzeit in deinem Browser löschen. Auf der Zahlungsseite von Stripe gelten die Cookie-Hinweise von Stripe.

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein. Mit Vercel, Supabase, Amazon Web Services und Resend als Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Vercel Inc. (USA) – Hosting der Website und Programmlogik, Server-Logs, Reichweitenmessung (Abschnitt 6).
• Supabase Inc. (USA) – Datenbank. Die Datenbank liegt in einem Rechenzentrum in Frankfurt am Main.
• Amazon Web Services EMEA SARL (Luxemburg) – Speicherung der Fotos und Videos (Amazon S3) und Erstellung der ZIP-Downloads, in der Region Frankfurt am Main.
• Resend (Plus Five Five, Inc., USA) – Versand von E-Mails.
• Stripe – Zahlungsabwicklung als eigenständig Verantwortlicher (Abschnitt 3.7).
• Google – E-Mail-Postfach für Anfragen an uns (Abschnitt 3.9).

Vercel, Supabase, Resend, Amazon und Google sind US-Unternehmen bzw. gehören zu US-Konzernen. Eine Übermittlung in die USA oder ein Zugriff aus den USA ist daher möglich. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit das Unternehmen danach zertifiziert ist, und im Übrigen auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Fotos und Videos einer Party sehen außerdem alle Personen, denen die Gastgebenden das Gäste- oder Admin-Passwort gegeben haben. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

6. Reichweitenmessung mit Vercel Web Analytics

Um zu sehen, welche Seiten genutzt werden und wie schnell sie laden, verwenden wir Vercel Web Analytics. Dabei werden keine Cookies gesetzt. Erfasst werden: aufgerufene Seite (Adresse, bei Galerie- und Upload-Seiten also auch die Party-ID), verweisende Seite, Zeitpunkt, ungefährer Standort (Land, Region, Stadt), Betriebssystem, Browser und Gerätetyp. Besuche werden laut Vercel über einen Hashwert aus der Anfrage zugeordnet, der nach 24 Stunden verworfen wird; die Auswertung erfolgt nur zusammengefasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, schnellen Website).

Weitere Informationen: Datenschutz bei Vercel Web Analytics

7. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine formlose E-Mail an maxjonasdev@gmail.com genügt.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der Behörde deines Wohnorts oder bei der für uns zuständigen Behörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

8. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Die im Onboarding abgefragten Angaben brauchen wir, um den Vertrag zu schließen und den Dienst bereitzustellen; ohne sie kannst du keine Party anlegen. Gäste müssen für das Hochladen keine Angaben zur Person machen. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

9. Sicherheit

Verbindungen sind per TLS verschlüsselt. Passwörter speichern wir nur als Hash (bcrypt). Fotos und Videos sind nur über zeitlich begrenzte, signierte Links abrufbar. Zugriffe sind auf die nötigen Personen und Dienste beschränkt.

10. Stand

Letzte Aktualisierung: 2.11.2026. Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert.