Datenschutzerklärung

Wir verarbeiten personenbezogene Daten nur, soweit das für den Kauf und die Auslieferung eines Scherzartikel-Ablassbriefs erforderlich ist. Es gibt bei uns kein Benutzerkonto, kein Tracking, keine Werbemails und keine Weitergabe von Daten zu Werbezwecken. Nachfolgend informieren wir nach Art. 13 und Art. 14 DSGVO über Zwecke, Datenkategorien, Rechtsgrundlagen, Empfänger und Speicherdauern.

1. Verantwortlicher und Kontakt

Verantwortlich: twentyonepixels, Einzelunternehmen
Anschrift: Helenenburgweg 3/5, 74321 Bietigheim-Bissingen
Vertreten durch: Alexander Seidler
E-Mail: info@scherzurkunden.de
Telefon: +49 163 1357321

Wir haben keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten benannt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: Es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, es findet keine umfangreiche Verarbeitung besonderer Datenkategorien statt und es erfolgt keine geschäftsmäßige Übermittlung von Daten zu Zwecken der Markt- oder Meinungsforschung. Alle Anfragen richten Sie bitte an die oben genannten Kontaktdaten oder über das Kontaktformular.

2. Bestellabwicklung

Zweck: Vertragsschluss, Erstellung und Auslieferung des personalisierten PDF-Zertifikats, Nachweis der Bestellung, Vertragsbestätigung.
Datenkategorien: E-Mail-Adresse der bestellenden Person, Name der beschenkten Person, Name der schenkenden Person, eingegebene „Sünden“, Widmung, gewünschter Gültigkeitszeitraum, Bestellnummer, Zertifikatsnummer, Prüfcode, Zeitstempel der abgegebenen Bestätigungen, Rechnungsland.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Aufbewahrung der Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.
Empfänger: Zahlungsdienstleister und E-Mail-Dienstleister (siehe Abschnitte 3 und 4), im Übrigen niemand.
Speicherdauer: siehe Tabelle in Abschnitt 10.

Die Angaben zu Name, „Sünden“ und Widmung stammen ausschließlich aus Ihren freien Eingaben. Sie erscheinen unverändert auf dem Dokument. Bitte geben Sie dort keine besonders sensiblen Angaben ein; für die Erstellung eines Scherzartikels sind sie nicht erforderlich.

3. Zahlung

Zweck: Abwicklung der Zahlung, Erstattungen, Prüfung der Zahlungsintegrität, Missbrauchsvermeidung.
Datenkategorien: E-Mail-Adresse, Zahlungsbetrag, Währung, Zahlungsart, Vorgangskennungen, Rechnungsland (zwei Buchstaben).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; hinsichtlich der Prüfung auf Betrug und Fehlbuchungen Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.
Speicherdauer: bei uns nach Abschnitt 10; bei Stripe nach den dortigen Fristen.

Stripe handelt als eigenverantwortlicher Zahlungsdienstleister und nicht als unser Auftragsverarbeiter. Die Rechnungsadresse erheben Stripe und die Zahlungsdienstleister selbst; wir speichern davon ausschließlich das Länderkennzeichen, weil wir nur an Rechnungsadressen in DE verkaufen. Die Zahlungsdaten selbst verarbeitet und speichert Stripe eigenverantwortlich. Kartennummern, Bankverbindungen oder PayPal-Zugangsdaten erreichen unsere Server nicht.

Im Rahmen der Zahlungsabwicklung kann eine Übermittlung an die Stripe Inc., USA, erfolgen. Grundlage sind die Standardvertragsklauseln der EU-Kommission und, soweit anwendbar, die Zertifizierung nach dem EU-US Data Privacy Framework. Die Datenschutzerklärung von Stripe finden Sie unter stripe.com/de/privacy.

4. E-Mail-Versand

Zweck: Zustellung der Vertragsbestätigung, des Zertifikats, der Wiederfinden-Links, der Geschenk-E-Mail und von Antworten auf Anfragen.
Datenkategorien: E-Mail-Adresse, Betreff, Inhalt der Nachricht samt Anhang, Zustellprotokolle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei der Geschenk-E-Mail zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: Eigener Mailserver (Hetzner, server1) als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.
Speicherdauer: Zustellprotokolle beim Dienstleister für kurze Zeit zur Fehlersuche; Inhalte bei uns nach Abschnitt 10.

Unsere E-Mails enthalten keine Zählpixel, keine Tracking-Links und keine extern nachgeladenen Bilder. Wir versenden keine Newsletter und keine Werbung.

5. Hosting und Server-Protokolle

Zweck: Bereitstellung der Website, Stabilität, Fehlersuche, Abwehr von Angriffen.
Datenkategorien: IP-Adresse, Datum und Uhrzeit, angefragter Pfad, Statuscode, übertragene Datenmenge, Referrer, Browserkennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse am sicheren Betrieb.
Empfänger: unser Hosting-Dienstleister als Auftragsverarbeiter.
Speicherdauer: Löschung der Server-Protokolle spätestens nach 7 Tagen.

In der Anwendungsdatenbank speichern wir weder IP-Adressen noch Browserkennungen. Anwendungsprotokolle werden ohne personenbezogene Inhalte geführt und nach 7 Tagen gelöscht.

6. Missbrauchsschutz und Begrenzung der Anfragen

Zweck: Schutz vor automatisierten Massenbestellungen, vor Spam über unsere Formulare und vor missbräuchlichem Versand an fremde Adressen.
Datenkategorien: gekürzte und mit einem Schlüssel gehashte IP-Werte (bei IPv6 auf die ersten 64 Bit gekürzt), E-Mail-Adressen ausschließlich als SHA-256-Hashwert, Zähler.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: keine.
Speicherdauer: Zählwerte liegen im Cache und verfallen automatisch nach höchstens 24 Stunden; die Hashwerte lassen keinen Rückschluss auf die Ausgangsdaten zu.

7. Daten der beschenkten Person im Geschenkmodus

Zweck: einmalige Zusendung des Dokuments an die von der schenkenden Person angegebene Adresse.
Datenkategorien: E-Mail-Adresse der beschenkten Person, deren Name, Widmung, Name der schenkenden Person.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Empfänger: E-Mail-Dienstleister nach Abschnitt 4.
Speicherdauer: Löschung der Klartext-Adresse spätestens 90 Tage nach dem Versand, außerdem jederzeit auf Wunsch über den Löschlink.

Information nach Art. 14 DSGVO. Wenn Sie eine solche E-Mail erhalten haben: Ihre Adresse hat die schenkende Person beim Kauf angegeben und dabei bestätigt, dass Sie mit dieser E-Mail einverstanden sind. Wir verwenden die Adresse ausschließlich für diese einmalige Zusendung, niemals für Werbung. In jeder Geschenk-E-Mail finden Sie einen Löschlink; ein Klick auf der dortigen Bestätigungsseite löscht Ihre E-Mail-Adresse und deaktiviert die Links. Soll zusätzlich Ihr Name aus dem Dokument entfernt werden, schreiben Sie uns über das Kontaktformular; wir sperren die Urkunde innerhalb von 48 Stunden. Die Bestelldaten der schenkenden Person bleiben davon unberührt, weil sie zur Vertragsabwicklung erforderlich sind.

8. Kontaktformular

Zweck: Bearbeitung Ihrer Anfrage, etwa zu einer Bestellung, zu einer Namenskorrektur, zu einer Löschung oder zu einer Missbrauchsmeldung.
Datenkategorien: Name, E-Mail-Adresse, Anliegen, freiwillige Bestellreferenz, Nachrichtentext.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zum Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: E-Mail-Dienstleister nach Abschnitt 4.
Speicherdauer: Löschung, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflicht entgegensteht.

9. Cookies und Sitzung

Zweck: technisch notwendige Sitzungsverwaltung und Schutz vor Formularmissbrauch (CSRF-Schutz), Zwischenspeichern der Formulareingaben.
Datenkategorien: verschlüsselte Sitzungskennung, verschlüsselter Zwischenstand des Bestellformulars.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für die technisch notwendige Speicherung, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: keine.
Speicherdauer: Ablauf der Sitzung nach 2 Stunden Inaktivität, Löschung der Sitzungsdaten anschließend automatisch.

Wir setzen keine Analyse-, Marketing- oder Drittanbieter-Cookies. Deshalb gibt es bei uns kein Cookie-Banner. Schriftarten, Skripte, Bilder und Stile werden von unserem eigenen Server geladen; externe Schriftdienste binden wir nicht ein.

10. Speicher- und Löschfristen

Gestaffeltes Löschkonzept
Daten und Felder	Frist	Aktion
Abgelaufene und fehlgeschlagene Bestellungen, alle personenbezogenen Felder einschließlich des Anzeige-Datensatzes für das Dokument	30 Tage	anonymisieren
E-Mail-Adresse der beschenkten Person, Zeitpunkt ihrer Einverständnisbestätigung, Name der schenkenden Person sowie dieselben Angaben im Anzeige-Datensatz	90 Tage nach dem Versand, sonst nach der Zahlung	Klartext löschen, nur den Hashwert der Adresse behalten
Eingegebene „Sünden“, Widmung, Name der beschenkten Person, E-Mail-Adresse der bestellenden Person, Anzeige-Datensatz, Prüfcode, Download-Kennung, PDF-Datei	365 Tage	löschen und Bestellung als anonymisiert kennzeichnen; Download antwortet danach mit „gelöscht“, die Scherz-Prüfung mit „Aufbewahrungsfrist abgelaufen“
Protokoll der Zahlungsereignisse einschließlich des bereits bei der Speicherung gekürzten Inhalts	90 Tage	löschen
Abrechnungsdatensatz: Zertifikatsnummer, Betrag, erstatteter Betrag, Währung, Zahlungszeitpunkt, Rechnungsland, Zahlungskennung, Typ des Dokuments	8 Jahre (§ 147 AO)	bleibt gespeichert

Hinweis zu Sicherungskopien. Von der Datenbank erstellen wir verschlüsselte Backups mit einer Aufbewahrung von höchstens 30 Tagen. Eine Löschung im laufenden Betrieb wirkt in den Sicherungskopien erst, wenn die betroffene Backup-Generation abgelaufen ist. Sicherungskopien werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an info@scherzurkunden.de oder an das Kontaktformular. Wir antworten innerhalb von 30 Tagen.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Landesbeauftragte fuer den Datenschutz und die Informationsfreiheit Baden-Wuerttemberg.

Praktische Wege zur Selbstbedienung: Über Ablassbrief wiederfinden lassen Sie sich Ihre Links erneut zusenden. Über den Löschlink in der Geschenk-E-Mail löschen beschenkte Personen ihre Adresse selbst. Weitere Antworten stehen in den häufigen Fragen und im Scherz-Hinweis.

12. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung nach Art. 22 DSGVO findet nicht statt. Die technischen Prüfungen von Zahlungsbetrag, Rechnungsland und Texteingaben dienen allein der Vertragsabwicklung und dem Missbrauchsschutz; eine Ablehnung führt zur vollständigen Erstattung des Kaufpreises und kann jederzeit über das Kontaktformular von uns überprüft werden.