Verantwortlich für die Datenverarbeitung auf dieser Website ist sseH nailimixaM, dnalhcstueD ,niaM ma trufknarF 98306 ,35 eelladlihcshtoR, E-Mail: moc.dirgesrevitlum@olleh. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind.
Wir verarbeiten personenbezogene Daten nur, soweit es für die Website und deine Bestellung nötig ist oder du eingewilligt hast. Eine Bestellung umfasst: dein Foto, deine E-Mail-Adresse, Liefername und -adresse, Zahlungsdaten (nur bei Stripe) und die aus deinem Foto erzeugten Bilder. Wir verkaufen keine Daten und nutzen dein Foto nicht für andere Zwecke, etwa als Beispielbild oder zum Training von KI.
Die Website läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Deutschland. Beim Aufruf speichert der Webserver technische Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser) in Log-Dateien, um den Betrieb und die Sicherheit zu gewährleisten. Die Logs werden nach 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
Wenn du ein Foto hochlädst und bestellst, speichern wir das Foto, deine E-Mail-Adresse, deine Sprache und die Bestelldaten bei Cloudflare R2 (Cloudflare, Inc., USA). Nach der Zahlung erzeugen wir daraus die 8 Stilvarianten, den Druck und eine Vorschau (Abschnitt 5) und speichern sie ebenfalls dort.
Rechtsgrundlagen sind die Erfüllung des Vertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und deine Einwilligung zur KI-Verarbeitung des Fotos (Art. 6 Abs. 1 lit. a DSGVO), die du im Bestellformular gibst. Du kannst sie jederzeit per E-Mail widerrufen. Bis zur Freigabe deiner Bestellung entfällt dann die Bestellung, danach kann der Druck schon in Produktion sein.
Speicherdauer: Foto, erzeugte Bilder und Druckdateien löschen wir automatisch spätestens 45 Tage nach der Bestellung. So können wir bei einem Transportschaden noch einmal drucken. Die Bestelldaten selbst (Bestellnummer, Produkt, Betrag, Lieferadresse, E-Mail) bewahren wir auf, solange es handels- und steuerrechtliche Aufbewahrungspflichten verlangen (bis zu 10 Jahre, Art. 6 Abs. 1 lit. c DSGVO).
Auf Wunsch löschen wir Foto und Bilder sofort. Schreib uns dafür eine E-Mail.
Weihnachtskarten: Für die Vorschau laden wir dein Foto hoch und lassen daraus schon vor einer Bestellung ein Bild erzeugen, über denselben KI-Bilddienst wie bei den Rastern (Abschnitt 5). Foto, erzeugtes Bild und Vorschau speichern wir bei Cloudflare R2 und löschen sie spätestens 45 Tage nach dem Hochladen, auch wenn du nichts bestellst. Für die Begrenzung kostenloser Vorschauen verarbeiten wir deine IP-Adresse kurzzeitig im Arbeitsspeicher (höchstens 24 Stunden, keine Speicherung). Bei einer Bestellung erhält Gelato die Druckdatei und deine Lieferadresse (Abschnitt 7). Rechtsgrundlagen wie oben: deine Einwilligung zur KI-Verarbeitung und vorvertragliche Maßnahmen bzw. der Vertrag; für die IP-Begrenzung unser berechtigtes Interesse, Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).
Zur Erzeugung der Stilvarianten senden wir dein Foto an Replicate, Inc. (USA). Replicate führt für uns ein Bildmodell von Google aus, dabei wird das Foto auch an Google LLC (USA) übermittelt. Beide verarbeiten das Foto nur, um die Bilder zu erzeugen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Mehr: Replicate, Google.
Die Stilvarianten werden automatisiert erzeugt. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Auf den KI-Einsatz weisen wir nach Art. 50 der KI-Verordnung (EU) 2024/1689 hin.
Die Zahlung wickelt Stripe Payments Europe, Ltd. (Irland) ab. Stripe erhält die für die Zahlung nötigen Daten (Name, Adresse, E-Mail, Kartendaten) und verarbeitet sie auch zur Betrugsprävention in eigener Verantwortung. Wir selbst sehen keine vollständigen Kartendaten. Bei der Bestellung eines Rasters wird der Betrag auf deiner Karte nur reserviert und erst nach Ablauf der 4-Stunden-Frist abgebucht (siehe AGB); bei Weihnachtskarten wird er sofort abgebucht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mehr: Stripe.
Herstellung und Versand übernimmt Gelato AS (Norwegen). Gelato erhält die Druckdatei sowie Name, Lieferadresse und E-Mail-Adresse für die Zustellung und gibt die Adresse an den jeweiligen Versanddienstleister weiter. Gelato druckt in Partnerdruckereien möglichst nahe am Lieferland, für Lieferungen außerhalb Europas auch in Drittländern. Norwegen hat als EWR-Staat das gleiche Datenschutzniveau wie die EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Bestellbezogene E-Mails (Vorschau mit Ablehnungslink, Bestätigung, Versandinfo) verschicken wir über Resend (Plus Five Five, Inc., USA). Resend verarbeitet dafür deine E-Mail-Adresse und den Inhalt der E-Mail. Werbe-E-Mails verschicken wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mehr: Resend.
Technisch nötig ist nur das Speichern deiner Auswahl im Cookie-Banner und deiner Sprache im Browser (localStorage, § 25 Abs. 2 TDDDG). Alles Weitere läuft erst, wenn du im Cookie-Banner „Akzeptieren“ wählst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst die Einwilligung jederzeit widerrufen, indem du die Website-Daten in deinem Browser löschst. Danach erscheint das Banner wieder.
PostHog: Besucherstatistik mit PostHog (PostHog Inc., USA), Daten gespeichert in der EU. PostHog setzt ein Cookie und erfasst aufgerufene Seiten und Klicks. Mehr: PostHog.
Meta Pixel und Conversions API: Zur Messung unserer Werbung auf Facebook und Instagram nutzen wir das Meta Pixel der Meta Platforms Ireland Ltd. (Irland). Es übermittelt Seitenaufrufe, den Beginn des Bezahlvorgangs und Käufe an Meta. Bei einem Kauf senden wir außerdem vom Server aus den Kauf mit deiner E-Mail-Adresse in gehashter (unkenntlich gemachter) Form an Meta, aber nur, wenn du bei der Bestellung eingewilligt hattest. Meta kann diese Daten auch in den USA verarbeiten. Mehr: Meta.
Einige der genannten Dienstleister sitzen in den USA (Cloudflare, Replicate, Google, Resend, PostHog, Meta) oder verarbeiten Daten dort. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit den Dienstleistern, die für uns tätig sind, bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO).
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dafür eine E-Mail.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.
Stand: 6. November 2026 / 6 November 2026
English translation for convenience. The German version is binding.
The controller for data processing on this website is sseH nailimixaM, ynamreG ,niaM ma trufknarF 98306 ,35 eelladlihcshtoR, email: moc.dirgesrevitlum@olleh. We have not appointed a data protection officer, as we are not required to.
We process personal data only as far as needed for the website and your order, or where you have consented. An order involves: your photo, your email address, delivery name and address, payment data (at Stripe only) and the images generated from your photo. We do not sell data and do not use your photo for anything else, such as example images or AI training.
The website runs on a server of Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Germany. On each request the web server stores technical data (IP address, time, requested address, browser) in log files for operation and security. Logs are deleted after 14 days. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in secure operation).
When you upload a photo and order, we store the photo, your email address, your language and the order data at Cloudflare R2 (Cloudflare, Inc., USA). After payment we generate the 8 style variations, the print and a preview from it (section 5) and store them there too.
Legal bases are performance of the contract and pre-contractual steps (Art. 6(1)(b) GDPR) and your consent to AI processing of the photo (Art. 6(1)(a) GDPR), which you give in the order form. You can withdraw it by email at any time. Before your order is approved this cancels the order; after that the print may already be in production.
Retention: we automatically delete the photo, generated images and print files 45 days after the order at the latest, so that we can reprint if a print is damaged in transit. The order data itself (order number, product, amount, delivery address, email) is kept as long as commercial and tax law requires (up to 10 years, Art. 6(1)(c) GDPR).
On request we delete the photo and images immediately. Just email us.
Christmas cards: for the preview we upload your photo and have a picture generated from it before any order, using the same AI image service as for the grids (section 5). We store the photo, the generated picture and the preview at Cloudflare R2 and delete them 45 days after upload at the latest, even if you do not order. To limit free previews we process your IP address briefly in memory (24 hours at most, not stored). When you order, Gelato receives the print file and your delivery address (section 7). Legal bases as above: your consent to AI processing and pre-contractual steps or the contract; for the IP limit, our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR).
To create the style variations we send your photo to Replicate, Inc. (USA). Replicate runs an image model by Google for us, so the photo is also transferred to Google LLC (USA). Both process the photo only to generate the images. Legal basis: your consent (Art. 6(1)(a) GDPR) and performance of the contract (Art. 6(1)(b) GDPR). More: Replicate, Google.
The style variations are generated automatically. There is no automated decision-making within the meaning of Art. 22 GDPR. We disclose the use of AI under Art. 50 of the AI Act (Regulation (EU) 2024/1689).
Payments are handled by Stripe Payments Europe, Ltd. (Ireland). Stripe receives the data needed for payment (name, address, email, card data) and also processes it for fraud prevention as an independent controller. We never see full card data. When you order a grid, the amount is only reserved on your card and charged after the 4-hour window ends (see terms); for Christmas cards it is charged immediately. Legal basis: Art. 6(1)(b) GDPR. More: Stripe.
Production and shipping are handled by Gelato AS (Norway). Gelato receives the print file and your name, delivery address and email address for delivery, and passes the address on to the carrier. Gelato prints at partner facilities as close as possible to the destination, for deliveries outside Europe also in third countries. Norway, as an EEA state, has the same level of data protection as the EU. Legal basis: Art. 6(1)(b) GDPR.
We send order emails (preview with decline link, confirmation, shipping updates) via Resend (Plus Five Five, Inc., USA), which processes your email address and the email content. We do not send marketing emails. Legal basis: Art. 6(1)(b) GDPR. More: Resend.
Only storing your cookie-banner choice and your language in the browser (localStorage) is technically necessary (§ 25(2) TDDDG). Everything else runs only after you choose “Accept” in the cookie banner (Art. 6(1)(a) GDPR, § 25(1) TDDDG). You can withdraw consent at any time by clearing this site’s data in your browser; the banner then appears again.
PostHog: visitor statistics with PostHog (PostHog Inc., USA), data stored in the EU. PostHog sets a cookie and records pages viewed and clicks. More: PostHog.
Meta Pixel and Conversions API: to measure our ads on Facebook and Instagram we use the Meta Pixel of Meta Platforms Ireland Ltd. (Ireland). It sends page views, checkout starts and purchases to Meta. For a purchase we also send the purchase from our server with your email address in hashed (unreadable) form to Meta, but only if you had consented when ordering. Meta may also process this data in the USA. More: Meta.
Some of the providers named are based in the USA (Cloudflare, Replicate, Google, Resend, PostHog, Meta) or process data there. Transfers rely on the EU Commission’s adequacy decision for the EU-US Data Privacy Framework where the provider is certified, and otherwise on EU standard contractual clauses (Art. 46(2)(c) GDPR). We have data processing agreements (Art. 28 GDPR) with the providers acting on our behalf.
You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21). You can withdraw consent at any time with effect for the future (Art. 7(3)). Just email us.
You can also lodge a complaint with a data protection supervisory authority, for example the Hessian Commissioner for Data Protection and Freedom of Information.
Last updated: 6. November 2026 / 6 November 2026