Datenschutzerklärung

Wir verarbeiten personenbezogene Daten nur, soweit das für den Kauf und die Auslieferung eines Scherzartikel-Ablassbriefs erforderlich ist, sowie für eine datensparsame Besuchsstatistik ohne Cookies mit der selbst betriebenen Software Matomo (Abschnitt 11). Es gibt bei uns kein Benutzerkonto, keine Werbe- oder Marketing-Tracker, keine Werbemails und keine Weitergabe von Daten zu Werbezwecken. Nachfolgend informieren wir nach Art. 13 und Art. 14 DSGVO über Zwecke, Datenkategorien, Rechtsgrundlagen, Empfänger und Speicherdauern.

1. Verantwortlicher und Kontakt

• Verantwortlich: twentyonepixels, Einzelunternehmen
• Anschrift: Helenenburgweg 3/5, 74321 Bietigheim-Bissingen
• Vertreten durch: Alexander Seidler
• E-Mail: info@scherzurkunden.de
• Telefon: +49 163 1357321

Wir haben keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten benannt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: Es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, es findet keine umfangreiche Verarbeitung besonderer Datenkategorien statt und es erfolgt keine geschäftsmäßige Übermittlung von Daten zu Zwecken der Markt- oder Meinungsforschung. Alle Anfragen richten Sie bitte an die oben genannten Kontaktdaten oder über das Kontaktformular.

2. Bestellabwicklung

• Zweck: Vertragsschluss, Erstellung und Auslieferung des personalisierten PDF-Zertifikats, Nachweis der Bestellung, Vertragsbestätigung.
• Datenkategorien: E-Mail-Adresse der bestellenden Person, Name der beschenkten Person, Name der schenkenden Person, eingegebene „Sünden“, Widmung, gewünschter Gültigkeitszeitraum, Bestellnummer, Zertifikatsnummer, Prüfcode, Zeitstempel der abgegebenen Bestätigungen, Rechnungsland.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Aufbewahrung der Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.
• Empfänger: Zahlungsdienstleister und E-Mail-Dienstleister (siehe Abschnitte 3 und 4), im Übrigen niemand.
• Speicherdauer: siehe Tabelle in Abschnitt 12.

Die Angaben zu Name, „Sünden“ und Widmung stammen ausschließlich aus Ihren freien Eingaben. Sie erscheinen unverändert auf dem Dokument. Bitte geben Sie dort keine besonders sensiblen Angaben ein; für die Erstellung eines Scherzartikels sind sie nicht erforderlich.

3. Zahlung

• Zweck: Abwicklung der Zahlung, Erstattungen, Prüfung der Zahlungsintegrität, Missbrauchsvermeidung.
• Datenkategorien: E-Mail-Adresse, Zahlungsbetrag, Währung, Zahlungsart, Vorgangskennungen, Rechnungsland (zwei Buchstaben).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; hinsichtlich der Prüfung auf Betrug und Fehlbuchungen Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.
• Speicherdauer: bei uns nach Abschnitt 12; bei Stripe nach den dortigen Fristen.

Stripe handelt als eigenverantwortlicher Zahlungsdienstleister und nicht als unser Auftragsverarbeiter. Die Rechnungsadresse erheben Stripe und die Zahlungsdienstleister selbst; wir speichern davon ausschließlich das Länderkennzeichen, weil wir nur an Rechnungsadressen in DE verkaufen. Die Zahlungsdaten selbst verarbeitet und speichert Stripe eigenverantwortlich. Kartennummern, Bankverbindungen oder PayPal-Zugangsdaten erreichen unsere Server nicht.

Im Rahmen der Zahlungsabwicklung kann eine Übermittlung an die Stripe Inc., USA, erfolgen. Grundlage sind die Standardvertragsklauseln der EU-Kommission und, soweit anwendbar, die Zertifizierung nach dem EU-US Data Privacy Framework. Die Datenschutzerklärung von Stripe finden Sie unter stripe.com/de/privacy.

4. E-Mail-Versand

• Zweck: Zustellung der Vertragsbestätigung, des Zertifikats, der Wiederfinden-Links, der Geschenk-E-Mail und von Antworten auf Anfragen.
• Datenkategorien: E-Mail-Adresse, Betreff, Inhalt der Nachricht samt Anhang, Zustellprotokolle.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei der Geschenk-E-Mail zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: Eigener Mailserver (Hetzner, server1) als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.
• Speicherdauer: Zustellprotokolle beim Dienstleister für kurze Zeit zur Fehlersuche; Inhalte bei uns nach Abschnitt 12.

Unsere E-Mails enthalten keine Zählpixel, keine Tracking-Links und keine extern nachgeladenen Bilder. Wir versenden keine Newsletter und keine Werbung.

5. Hosting und Server-Protokolle

• Zweck: Bereitstellung der Website, Stabilität, Fehlersuche, Abwehr von Angriffen.
• Datenkategorien: IP-Adresse, Datum und Uhrzeit, angefragter Pfad, Statuscode, übertragene Datenmenge, Referrer, Browserkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse am sicheren Betrieb.
• Empfänger: unser Hosting-Dienstleister als Auftragsverarbeiter.
• Speicherdauer: Löschung der Server-Protokolle spätestens nach 7 Tagen.

In der Anwendungsdatenbank speichern wir weder IP-Adressen noch Browserkennungen. Anwendungsprotokolle werden ohne personenbezogene Inhalte geführt und nach 7 Tagen gelöscht.

6. Missbrauchsschutz und Begrenzung der Anfragen

• Zweck: Schutz vor automatisierten Massenbestellungen, vor Spam über unsere Formulare und vor missbräuchlichem Versand an fremde Adressen.
• Datenkategorien: gekürzte und mit einem Schlüssel gehashte IP-Werte (bei IPv6 auf die ersten 64 Bit gekürzt), E-Mail-Adressen ausschließlich als SHA-256-Hashwert, Zähler.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: keine.
• Speicherdauer: Zählwerte liegen im Cache und verfallen automatisch nach höchstens 24 Stunden; die Hashwerte lassen keinen Rückschluss auf die Ausgangsdaten zu.

7. Daten der beschenkten Person im Geschenkmodus

• Zweck: einmalige Zusendung des Dokuments an die von der schenkenden Person angegebene Adresse.
• Datenkategorien: E-Mail-Adresse der beschenkten Person, deren Name, Widmung, Name der schenkenden Person.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Empfänger: E-Mail-Dienstleister nach Abschnitt 4.
• Speicherdauer: Löschung der Klartext-Adresse spätestens 90 Tage nach dem Versand, außerdem jederzeit auf Wunsch über den Löschlink.

Information nach Art. 14 DSGVO. Wenn Sie eine solche E-Mail erhalten haben: Ihre Adresse hat die schenkende Person beim Kauf angegeben und dabei bestätigt, dass Sie mit dieser E-Mail einverstanden sind. Wir verwenden die Adresse ausschließlich für diese einmalige Zusendung, niemals für Werbung. In jeder Geschenk-E-Mail finden Sie einen Löschlink; ein Klick auf der dortigen Bestätigungsseite löscht Ihre E-Mail-Adresse und deaktiviert die Links. Soll zusätzlich Ihr Name aus dem Dokument entfernt werden, schreiben Sie uns über das Kontaktformular; wir sperren die Urkunde innerhalb von 48 Stunden. Die Bestelldaten der schenkenden Person bleiben davon unberührt, weil sie zur Vertragsabwicklung erforderlich sind.

8. Kontaktformular

• Zweck: Bearbeitung Ihrer Anfrage, etwa zu einer Bestellung, zu einem technischen Problem, zu einer Namenskorrektur, zu einer Löschung oder zu einer Missbrauchsmeldung.
• Datenkategorien: Name, E-Mail-Adresse, Anliegen, freiwillige Bestellreferenz, Nachrichtentext. Melden Sie ein technisches Problem über die Schaltfläche auf einer Fehlerseite, kommen die aufgerufene Adresse innerhalb dieser Website und der HTTP-Statuscode hinzu; beides wird Ihnen vor dem Absenden im Formular angezeigt. Ihre IP-Adresse und Ihre Browserkennung erheben wir dabei nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zum Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anliegen und Behebung von Störungen).
• Empfänger: E-Mail-Dienstleister nach Abschnitt 4.
• Speicherort: Ihre Anfrage wird in unserer Anwendungsdatenbank gespeichert und zusätzlich per E-Mail an uns gemeldet. Die Speicherung ist erforderlich, damit eine Anfrage nicht verlorengeht, wenn der E-Mail-Versand ausfällt.
• Speicherdauer: Löschung 90 Tage, nachdem die Anfrage abschließend bearbeitet ist, sofern keine Aufbewahrungspflicht entgegensteht. Eine noch nicht bearbeitete Anfrage wird nicht gelöscht.

Spam-Schutz mit Cloudflare Turnstile. Damit uns keine automatisierten Nachrichten erreichen, binden wir auf der Kontaktseite und auf der Seite „Ablassbrief wiederfinden“ den Dienst Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ein. Beim Laden der Seite verarbeitet Cloudflare technische Angaben Ihres Browsers und Ihre IP-Adresse, um einen automatisierten Zugriff zu erkennen; Turnstile setzt dafür keine Cookies. Wir selbst erhalten von Cloudflare nur ein Prüfergebnis und speichern davon nichts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz des Formulars vor Missbrauch). Eine Übermittlung in die USA stützt sich auf die Zertifizierung von Cloudflare nach dem EU-US Data Privacy Framework. Näheres unter cloudflare.com/de-de/privacypolicy.

9. Produktbewertungen

• Zweck: Veröffentlichung echter Kundenbewertungen auf der jeweiligen Produktseite und Bildung der dort angezeigten Durchschnittsnote.
• Datenkategorien: der von Ihnen selbst gewählte Anzeigename, die Sternebewertung, Ihr freiwilliger Bewertungstext sowie der interne Bezug zu Ihrer Bestellung. Ihr Anzeigename und Ihr Text werden öffentlich sichtbar und können von Suchmaschinen erfasst werden. Ihre E-Mail-Adresse veröffentlichen wir nicht. Ihre IP-Adresse und Ihre Browserkennung erheben wir dabei nicht.
• Freiwilligkeit: Die Abgabe einer Bewertung ist vollständig freiwillig. Sie ist weder Voraussetzung für den Vertrag noch für die Nutzung Ihrer bestellten Datei, und wir bieten dafür keine Gegenleistung an.
• Bezug zur Bestellung: Bewerten kann nur, wer hier bestellt hat. Der Bewertungslink ist an Ihre Bestellung gebunden und läuft nach 90 Tagen ab. Dieser Bezug dient allein dem Nachweis, dass die Bewertung von einer echten Bestellung stammt.
• Prüfung vor Veröffentlichung: Jede Bewertung wird vor der Veröffentlichung gesichtet. Wir kürzen oder verändern eingereichte Texte nicht; wir geben sie frei oder lehnen sie ab.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die nachvollziehbare Darstellung echter Kundenmeinungen; Ihr Interesse an Datensparsamkeit wahren wir dadurch, dass Sie den Anzeigenamen frei wählen und keinen Klarnamen angeben müssen.
• Empfänger: keine. Die Bewertung wird ausschließlich auf dieser Website angezeigt und nicht an Bewertungsportale weitergegeben.
• Speicherdauer: siehe Tabelle in Abschnitt 12. Sie können Ihre Bewertung jederzeit über das Kontaktformular zurückziehen; wir löschen sie dann vollständig.

10. Cookies und Sitzung

• Zweck: technisch notwendige Sitzungsverwaltung und Schutz vor Formularmissbrauch (CSRF-Schutz), Zwischenspeichern der Formulareingaben.
• Datenkategorien: verschlüsselte Sitzungskennung, verschlüsselter Zwischenstand des Bestellformulars.
• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für die technisch notwendige Speicherung, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: keine.
• Speicherdauer: Ablauf der Sitzung nach 2 Stunden Inaktivität, Löschung der Sitzungsdaten anschließend automatisch.

Wir setzen keine Analyse-, Marketing- oder Drittanbieter-Cookies; auch unsere Webanalyse mit Matomo (Abschnitt 11) kommt ohne Cookies aus. Deshalb gibt es bei uns kein Cookie-Banner. Schriftarten, Skripte, Bilder und Stile werden von unseren eigenen Servern geladen: das Statistik-Skript von matomo.twentyonepixels.de, alles Übrige von dieser Website. Externe Schriftdienste binden wir nicht ein.

11. Webanalyse mit Matomo

Um zu verstehen, wie unsere Website genutzt wird, setzen wir die Open-Source-Software Matomo ein. Matomo betreiben wir selbst unter matomo.twentyonepixels.de auf unserem eigenen Server bei der Hetzner Online GmbH in Deutschland, demselben Hosting-Dienstleister, bei dem auch diese Website liegt. Die erhobenen Daten werden nicht an Dritte weitergegeben und nicht in Drittländer übermittelt.

• Zweck: statistische Auswertung der Nutzung unserer Website, etwa welche Seiten aufgerufen werden und von welchen Seiten Besucherinnen und Besucher zu uns kommen.
• Datenkategorien: IP-Adresse, die sofort um 2 Bytes gekürzt und ausschließlich in gekürzter Form gespeichert wird; die aus der gekürzten IP-Adresse abgeleitete ungefähre Region; aufgerufene Seiten; die zuvor besuchte Seite (Referrer); Browser- und Gerätetyp; Bildschirmauflösung; Zeitpunkt und Dauer des Besuchs.
• Keine Cookies: Matomo ist bei uns so eingestellt, dass es keine Cookies setzt und nichts auf Ihrem Endgerät speichert oder von dort ausliest. Eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die statistische Analyse der Nutzung unserer Website.
• Empfänger: keine. Es findet keine Weitergabe an Dritte und keine Übermittlung in Drittländer statt.
• Speicherdauer: Die Rohdaten löschen wir nach 180 Tagen; danach bleiben ausschließlich zusammengefasste (aggregierte) Statistiken erhalten.

Widerspruch. Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen. Am einfachsten aktivieren Sie in Ihrem Browser die Einstellung „Do Not Track“ (auch „Nicht verfolgen“): Matomo respektiert diese Einstellung, und Ihre Besuche werden dann nicht erfasst. Sie können uns Ihren Widerspruch auch über die Kontaktdaten in Abschnitt 1 oder das Kontaktformular mitteilen.

12. Speicher- und Löschfristen

Hinweis zu Sicherungskopien. Von der Datenbank erstellen wir verschlüsselte Backups mit einer Aufbewahrung von höchstens 30 Tagen. Eine Löschung im laufenden Betrieb wirkt in den Sicherungskopien erst, wenn die betroffene Backup-Generation abgelaufen ist. Sicherungskopien werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an info@scherzurkunden.de oder an das Kontaktformular. Wir antworten innerhalb von 30 Tagen.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Landesbeauftragte fuer den Datenschutz und die Informationsfreiheit Baden-Wuerttemberg.

Praktische Wege zur Selbstbedienung: Über Ablassbrief wiederfinden lassen Sie sich Ihre Links erneut zusenden. Über den Löschlink in der Geschenk-E-Mail löschen beschenkte Personen ihre Adresse selbst. Weitere Antworten stehen in den häufigen Fragen und im Scherz-Hinweis.

14. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung nach Art. 22 DSGVO findet nicht statt. Die technischen Prüfungen von Zahlungsbetrag, Rechnungsland und Texteingaben dienen allein der Vertragsabwicklung und dem Missbrauchsschutz; eine Ablehnung führt zur vollständigen Erstattung des Kaufpreises und kann jederzeit über das Kontaktformular von uns überprüft werden.