← Photo&You

Datenschutzerklärung

Information nach Art. 13 und 14 DSGVO · Stand: 25.10.2026

Photo&You speichert die Arbeitsdaten seiner Nutzer (Kunden, Shootings, Buchhaltung, Galeriefotos) im Browser auf dem eigenen Gerät. Die Anbieterin hat darauf keinen Zugriff. Daten verlassen das Gerät nur bei den unten beschriebenen Vorgängen, und bei den meisten davon nur, wenn der Nutzer sie selbst einschaltet.

1. Verantwortliche

Mandy Haar, Moments to Memories
Bergmühlenweg 3, 17429 Neu Sallenthin, Deutschland
Telefon: +49 1556 0211867
E-Mail: hello@photoandyou.de

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Grundsatz

Photo&You verwendet keine Cookies zu Werbezwecken, keine Werbe-Pixel, keine Zähl- oder Analysedienste fremder Anbieter und keine Schriften von Google oder anderen fremden Servern. Schriften und alle Bestandteile der Oberfläche werden vom eigenen Server ausgeliefert. Verarbeitet wird, was für den Betrieb und die Vertragsabwicklung nötig ist.

3. Hosting und Server-Protokolle

Webseite und App werden über Cloudflare betrieben (Cloudflare Workers), Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare ist als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden.

Beim Aufruf einer Seite verarbeitet der Server technisch bedingt Angaben wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Sie dienen der Auslieferung der Seite, dem sicheren Betrieb, der Abwehr von Angriffen und der Fehlersuche und werden nach kurzer Zeit gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot).

4. Reichweitenmessung auf der Verkaufsseite

Auf der Verkaufsseite von Photo&You setzt die Anbieterin eine eigene, cookielose Reichweitenmessung ein. Erfasst werden zusammengefasste Ereignisse, etwa dass die Seite besucht wurde, welche Abschnitte gelesen wurden, ob der Preis angesehen und ob ein Kaufen-Knopf angetippt wurde, sowie die Herkunft des Besuchs (zum Beispiel eine Anzeige oder ein Affiliate-Link), soweit sie sich aus Parametern in der aufgerufenen Adresse ergibt.

Die IP-Adresse wird dafür nicht gespeichert. Es werden keine Cookies gesetzt, keine personenbezogenen Nutzerprofile gebildet und keine Daten an Dritte weitergegeben. Die Messung dient dazu, die Verkaufsseite und die eigene Werbung zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung und Verbesserung des eigenen Angebots und der eigenen Werbung).

5. Affiliate-Links

Kommt ein Besucher über einen Affiliate-Link (eine Adresse mit dem Zusatz ?p= und einem Affiliate-Code), wird dieser Code nur innerhalb der Adresse an die Kasse weitergereicht. Im Browser wird dafür nichts gespeichert, es werden keine Cookies gesetzt.

Kommt es zu einem Kauf, wird der Affiliate-Code zusammen mit der Bestellung gespeichert. Die empfehlende Person erfährt dabei nur, dass und zu welchem Tarif über ihren Link gekauft wurde, nicht wer gekauft hat; das dient der Abrechnung ihrer Vergütung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abrechnung des Affiliate-Programms).

6. Die App: Speicherung auf dem eigenen Gerät

Alle Inhalte, die in Photo&You angelegt werden (Kunden, Shootings, Buchhaltung, Galeriefotos, Einstellungen), speichert die App im Browser auf dem Gerät des Nutzers (IndexedDB und localStorage). Diese Daten werden nicht an den Server der Anbieterin übertragen, außer der Nutzer richtet den Abgleich zwischen Geräten oder den Rechnungs-Posteingang ein (Abschnitte 8 und 9), und auch dann nur verschlüsselt.

Das Speichern im Browser ist technisch erforderlich, damit die vom Nutzer ausdrücklich gewünschte App funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Gelöscht werden die Daten, wenn der Nutzer sie in der App löscht oder die Website-Daten im Browser entfernt.

7. Sicherung als Datei

Die App kann eine Sicherung als verschlüsselte Datei in einem Ordner nach Wahl des Nutzers ablegen. Die Verschlüsselung (AES-GCM) erfolgt im Browser mit einem Passwort, das der Nutzer festlegt. Das Passwort wird nirgends gespeichert und kann von der Anbieterin nicht wiederhergestellt werden. Die Sicherungsdatei bleibt beim Nutzer.

8. Abgleich zwischen Geräten (optional)

Richtet der Nutzer selbst den Abgleich ein (zum Beispiel zwischen Rechner und Handy), werden die Daten im Browser mit einem Schlüssel verschlüsselt, der aus dem Abgleich-Passwort abgeleitet wird, und erst danach übertragen. Gespeichert werden sie verschlüsselt in einer Datenbank bei Cloudflare (Cloudflare D1, Cloudflare, Inc.).

Der Server sieht nur verschlüsselte Daten und einen Hash (nicht umkehrbaren Prüfwert) des Zugangs. Weder die Anbieterin noch Cloudflare können die Inhalte lesen. Ohne Abgleich-Passwort lassen sie sich nicht entschlüsseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Die Daten werden gelöscht, wenn der Nutzer den Abgleich beendet oder der Vertrag endet.

9. Rechnungs-Posteingang per E-Mail (optional)

Schaltet der Nutzer den Rechnungs-Posteingang ein, erhält er eine persönliche Adresse der Form rechnung.<kennung>@photoandyou.de. E-Mails an diese Adresse nimmt Cloudflare Email Routing (Cloudflare, Inc.) an. Der Server verschlüsselt die Anhänge sofort mit dem öffentlichen Schlüssel des Kontos, sodass nur die App des Nutzers sie wieder öffnen kann, und löscht sie, sobald die App sie abgeholt hat.

Beim Empfang fallen technisch Absenderadresse, Empfängeradresse, Betreff und Zeitpunkt an. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Verbindungen, die der Nutzer selbst einschaltet

Die folgenden Verbindungen bestehen nur, wenn der Nutzer sie in der App ausdrücklich nutzt. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Einschalten) bzw. lit. b DSGVO; sie lassen sich jederzeit wieder ausschalten.

Meta (Werbekonto-Zahlen)

Verbindet der Nutzer sein Meta-Werbekonto, ruft Photo&You über die Graph API Kennzahlen dieses Werbekontos ab. Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Meta erfährt dabei, dass mit dem Zugang des Nutzers Daten abgerufen werden. Es gelten zusätzlich die Datenschutzbestimmungen von Meta.

KI-Assistent (Anthropic)

Den KI-Assistenten nutzt der Nutzer mit einem eigenen API-Schlüssel bei Anthropic PBC, San Francisco, USA. Bei jeder Anfrage gehen der eingegebene Auftrag und, soweit für die Antwort nötig, Angaben wie Kunden- oder Location-Namen an Anthropic. Der Vertrag über diese Nutzung besteht zwischen dem Nutzer und Anthropic. Wer Daten seiner Kunden an den Assistenten gibt, ist dafür selbst verantwortlich.

Karte

Beim Öffnen der Location-Karte lädt der Browser Kartenkacheln direkt vom Dienst OpenFreeMap (openfreemap.org). Dabei wird die IP-Adresse des Geräts an diesen Dienst übermittelt. Solange die Karte nicht geöffnet wird, besteht keine Verbindung.

Spracheingabe

Die Spracheingabe nutzt die Spracherkennung des Browsers und startet nur, wenn das Mikrofon-Symbol angetippt wird. Je nach Browser wird der Ton dabei an den Hersteller des Browsers übertragen und dort ausgewertet (zum Beispiel Google bei Chrome, Apple bei Safari). Darauf hat die Anbieterin keinen Einfluss; es gelten die Datenschutzbestimmungen des jeweiligen Herstellers.

11. Kauf und Bezahlung

Beim Kauf verarbeitet die Anbieterin Name, Firma, Anschrift, E-Mail-Adresse, USt-IdNr., den gewählten Tarif sowie Angaben zur Zahlung (Zeitpunkt, Betrag, Status). Diese Daten werden für den Vertragsschluss, die Freischaltung des Zugangs und die Rechnung benötigt.

Die Zahlung läuft wahlweise über:

Zahlungsdaten wie Kartennummer oder PayPal-Zugang gibt der Käufer direkt beim Zahlungsdienst ein; die Anbieterin erhält sie nicht. Der Zahlungsdienst verarbeitet die Daten auch in eigener Verantwortung, etwa zur Betrugsabwehr und wegen gesetzlicher Pflichten. Die Kasse des Zahlungsdienstes wird erst im Bestellvorgang geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten). Rechnungen und Buchungsbelege werden 10 Jahre aufbewahrt (§ 147 AO, § 14b UStG).

12. Kontakt per E-Mail oder Telefon

Wer Kontakt aufnimmt, dessen Angaben werden zur Bearbeitung der Anfrage verarbeitet und gelöscht, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Fragen zum Vertrag, sonst lit. f DSGVO.

Online-Galerien

Stellt ein Nutzer eine Galerie online, liegen die Bilder, die Galerie-Seite und die Einstellungen (Titel, Passwort als Prüfwert, Download an oder aus) bei Cloudflare in einem Speicher innerhalb der EU. Gezählt werden nur die Aufrufe einer Galerie, ohne Cookies und ohne Daten der Besucher. Ist eine Galerie mit Passwort geschützt, merkt sich der Browser nach der richtigen Eingabe ein technisch notwendiges Cookie nur für diese Galerie. Für die Bilder ist der Nutzer verantwortlich; wir handeln für ihn als Auftragsverarbeiter (Art. 28 DSGVO). Nimmt der Nutzer die Galerie offline, löschen wir Bilder und Seite.

Galerie-Shop

Nutzer können in ihren Online-Galerien Bilder, Pakete und Prints verkaufen. Bestellt ein Besucher, speichern wir die Bestellung mit Name, Anschrift, E-Mail-Adresse und den gekauften Positionen als Rechnung des Nutzers in unserem Speicher bei Cloudflare innerhalb der EU, damit Rechnung, Zahlungswege und nach Zahlung die Downloads über einen persönlichen Link abrufbar sind. Die Rechnung und die Freischaltung verschicken wir über Brevo. Verantwortlich ist der Nutzer; wir handeln für ihn als Auftragsverarbeiter (Art. 28 DSGVO). Die Bestellung bleibt gespeichert, solange der Nutzer sie braucht, längstens bis zum Ende seines Vertrags.

Online-Terminbuchung und Kontaktformular

Nutzer können Terminbuchungen und Kontaktformulare veröffentlichen (photoandyou.de/f/…), auch eingebettet auf ihrer eigenen Website. Auf dem Server liegen dafür nur die öffentlichen Inhalte des Formulars und die vergebenen Zeiten ohne Namen. Was Besucher eintragen, wird beim Eingang sofort mit dem öffentlichen Schlüssel des Nutzers verschlüsselt und kann nur von dessen Photo&You gelesen werden; danach wird es vom Server gelöscht. Die Bestätigung an den Besucher und die Benachrichtigung an den Nutzer verschicken wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin) als Auftragsverarbeiter; diese Mails enthalten die Angaben im Klartext. Verantwortlich für die Daten ist der Nutzer; wir handeln für ihn als Auftragsverarbeiter (Art. 28 DSGVO).

Newsletter und Mails aus der App über das eigene Postfach

Nutzer können aus der App Mails an ihre eigenen Kunden schicken, zum Beispiel einen Newsletter. Verschickt wird über das Postfach des Nutzers: Die App übergibt dafür je Empfänger die fertige Mail (Name und E-Mail-Adresse des Empfängers, Betreff, Text) zusammen mit den Zugangsdaten des Postfachs an unseren Server, der sie über eine verschlüsselte Verbindung an den Mailserver des Nutzers weiterreicht. Auf unserem Server wird dabei nichts gespeichert, weder Zugangsdaten noch Empfänger noch Inhalte. Für diese Daten ist der Nutzer verantwortlich; wir handeln für ihn als Auftragsverarbeiter (Art. 28 DSGVO). Das Passwort des Postfachs bleibt im Browser des Geräts, auf dem es eingetragen wurde.

Wishlist in der App

Wer in der App einen Wunsch auf die Wishlist schreibt, schickt uns den Text, freiwillige Anhänge (Screenshots, Fotos, Sprachnachrichten), den Vornamen, die E-Mail-Adresse und, falls vorhanden, den Zugangsschlüssel. Kundendaten aus der App werden dabei nicht übertragen. Wir speichern den Wunsch in unserer Datenbank bei Cloudflare, um ihn zu bearbeiten, und schreiben eine E-Mail, sobald sich am Wunsch etwas tut. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Weiterentwicklung der Software im Rahmen des Nutzungsvertrags) bzw. lit. f DSGVO bei Nutzung ohne Zugang. Die E-Mails verschicken wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin) als Auftragsverarbeiter. Wünsche löschen wir, sobald sie erledigt sind und keine Rückfragen mehr zu erwarten sind, spätestens nach zwei Jahren; auf Anfrage sofort.

13. Daten, die Nutzer über ihre eigenen Kunden speichern

Für Daten, die ein Fotograf in Photo&You über seine eigenen Kunden anlegt, ist der Fotograf selbst Verantwortlicher im Sinne der DSGVO. Diese Daten liegen lokal auf seinem Gerät bzw. Ende-zu-Ende verschlüsselt im Abgleich; die Anbieterin hat darauf keinen Zugriff.

Soweit beim Abgleich zwischen Geräten oder beim Rechnungs-Posteingang verschlüsselte Daten auf dem Server liegen, handelt die Anbieterin als Auftragsverarbeiterin nach Art. 28 DSGVO. Einen Vertrag zur Auftragsverarbeitung stellt sie auf Anfrage zur Verfügung.

14. Übermittlung in Drittländer

Cloudflare, Inc. und Anthropic PBC haben ihren Sitz in den USA. Für Übermittlungen in die USA stützt sich die Verarbeitung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der EU-Kommission (Art. 45, 46 DSGVO).

15. Speicherdauer im Überblick

16. Rechte der Betroffenen

Jede betroffene Person hat das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Eine formlose Nachricht an hello@photoandyou.de genügt.

Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für die Anbieterin ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Werderstraße 74a, 19055 Schwerin.

17. Änderungen

Ändert sich an Photo&You etwas, das für den Datenschutz von Bedeutung ist, wird diese Erklärung angepasst. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 25.10.2026