Datenschutzerklärung

Hier steht in einfachen Worten, welche Daten beim Besuch von picturebynele.de, beim Anfragen eines Shootings und im Kundenbereich anfallen, wofür ich sie brauche, wie lange sie bleiben und welche Rechte du hast.

1. Verantwortliche

Nele Brettschneider
Thuner Straße 85
21680 Stade
E-Mail: kontakt@picturebynele.de

2. Das Wichtigste in Kürze

• Die öffentlichen Seiten setzen keine Cookies und laden keine Werbe- oder Analysedienste von Dritten (kein Google Analytics, kein Meta-Pixel, keine Google Fonts).
• Besuche zähle ich selbst – ohne Cookies, ohne IP-Adresse und ohne dich wiederzuerkennen (Abschnitt 5).
• Schickst du eine Anfrage, wird sie in meiner Datenbank gespeichert und mir zugestellt (Abschnitt 4).
• Nur der Kundenbereich setzt nach der Anmeldung ein einziges, technisch nötiges Cookie (Abschnitt 8).
• In der Galerie kommen die Bilder direkt aus meinem Bildspeicher bei Cloudflare (Abschnitt 6).

3. Aufruf der Website (Hosting)

Die Website und die kleinen Serverprogramme dahinter (Anfrageformular, Galerie, Kundenbereich) laufen bei Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA. Bei jedem Aufruf verarbeitet Netlify technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser und Betriebssystem. Ohne diese Daten lässt sich die Seite nicht ausliefern. Meine Serverprogramme schreiben außerdem kurze Betriebsprotokolle (zum Beispiel Fehlermeldungen), die bei Netlify liegen; Inhalte deiner Anfrage stehen dort nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionierenden Website). Wie lange Netlify Verbindungsprotokolle aufbewahrt, legt Netlify fest.

4. Anfrageformular

Über das Formular unter „Anfragen“ fragst du ein Shooting an. Verarbeitet werden: die gewählte Leistung, dein Name, deine E-Mail-Adresse und/oder Telefonnummer, der gewünschte Rückweg (WhatsApp, Anruf oder E-Mail) und alles, was du freiwillig dazuschreibst – zum Beispiel Name deines Tieres, Verein, Wunschzeitraum, Ort, Paketwunsch und wie du auf mich gekommen bist. Dazu kommen der Zeitpunkt und die Seite, von der die Anfrage kam.

Was mit der Anfrage passiert:

• Sie wird zuerst in meiner Datenbank gespeichert (Supabase, Server in der EU – Abschnitt 9), damit keine Anfrage verloren geht. Ich sehe sie in meinem passwortgeschützten Verwaltungsbereich.
• Danach geht sie an meinen eigenen Automatisierungs-Server (n8n unter n8n.picturebynele.de). Er benachrichtigt mich über die neue Anfrage und schickt dir – wenn du eine E-Mail-Adresse angegeben hast – automatisch eine Bestätigungs-E-Mail.
• Ich antworte dir auf dem Weg, den du angegeben hast.

Zwischenstand im Browser: Damit bei einem versehentlichen Neuladen nichts verloren geht, merkt sich dein Browser die Eingaben im Sitzungsspeicher des Tabs (sessionStorage, Eintrag „pbn-anfrage-v1“) – und dass du das Formular schon begonnen hast, damit ein Neuladen nicht als neue Anfrage gezählt wird. Diese Daten bleiben auf deinem Gerät, werden nach dem Absenden gelöscht und verschwinden spätestens, wenn du den Tab schließt.

Schutz vor Missbrauch: Das Formular enthält ein für Menschen unsichtbares Feld gegen automatische Einträge und nimmt von einem Anschluss höchstens fünf Anfragen in zehn Minuten an. Dafür bildet der Server aus deiner IP-Adresse, dem Tagesdatum und einem geheimen Schlüssel einen Prüfwert. Gespeichert wird nur dieser Prüfwert, nie die IP-Adresse. Nach 24 Stunden ist er zum Löschen fällig und wird mit der nächsten eingehenden Anfrage entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Auftrags); für den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO. Der Sitzungsspeicher ist für das von dir gewünschte Formular erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Reichweitenmessung ohne Cookies

Ich möchte wissen, welche Seiten gelesen werden und ob das Anfrageformular funktioniert. Dafür zählt ein eigenes kleines Serverprogramm Ereignisse – ohne Dienst von Dritten.

• Gezählt wird: Seitenaufruf, Klick auf „Anfragen“, begonnene und gesendete Anfrage, welcher Schritt des Anfrageformulars erreicht wurde, Klick auf einen WhatsApp-, Telefon-, E-Mail- oder Instagram-Link.
• Gespeichert wird je Ereignis: Zeitpunkt, Art des Ereignisses, Adresse der Seite ohne Zusätze, die Leistung (zum Beispiel „Pferde“), beim Formular der Schritt (1 bis 4) und das angeklickte Paket (zum Beispiel „Koppelstunde“), von welcher Website du gekommen bist (nur deren Name, etwa „instagram.com“) und ob es ein Handy oder ein Computer war. Trägt der Link, über den du kommst, eine Herkunftsangabe (utm_source, utm_medium), wird daraus nur ein Wert aus einer festen Liste gespeichert, zum Beispiel „instagram/social“.
• Nicht gespeichert wird: deine IP-Adresse (auch nicht gekürzt oder verschlüsselt), eine Besucher- oder Gerätekennung, dein Browsertyp, Inhalte deiner Anfrage. Es werden keine Cookies gesetzt und nichts auf deinem Gerät abgelegt. Die Ereignisse lassen sich nicht zu einem Besuch oder einer Person zusammensetzen.
• So schaltest du es ab: Ist in deinem Browser „Nicht verfolgen“ (Do Not Track) oder „Global Privacy Control“ eingeschaltet, wird nichts gezählt. Der Kundenbereich wird von dieser Messung nie erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, das eigene Angebot zu verbessern). Die gespeicherten Zählwerte haben keinen Personenbezug.

6. Galerie und Bildspeicher (Cloudflare R2)

Fotos, Vorschaubilder und Filme liegen bei Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Dienst „R2“). Die Vorschaubilder der öffentlichen Galerie lädt dein Browser direkt von einer Cloudflare-Adresse (Endung r2.dev). Dabei erfährt Cloudflare deine IP-Adresse und technische Angaben deines Browsers – so wie jeder Server, von dem du ein Bild abrufst. Alle anderen Bilder der öffentlichen Seiten liegen direkt auf dieser Website.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zuverlässige, schnelle Auslieferung der Bilder). Bist du auf einem öffentlich gezeigten Bild zu sehen und möchtest das nicht (mehr), schreib mir – ich nehme es herunter.

7. WhatsApp, Telefon, E-Mail und Instagram

Die WhatsApp-Knöpfe sind gewöhnliche Links (wa.me). Solange du sie nicht anklickst, geht nichts an WhatsApp. Erst mit dem Klick öffnet sich WhatsApp mit einem vorbereiteten Text; gesendet wird nur, wenn du dort selbst auf Senden tippst. Ab dann gelten die Datenschutzbestimmungen von WhatsApp (WhatsApp Ireland Limited, Meta). Meine Antwort und unser weiterer Austausch laufen dann über WhatsApp.

Rufst du an oder schreibst du eine E-Mail, verarbeite ich deine Angaben, um dir zu antworten (Art. 6 Abs. 1 lit. b DSGVO). Der Link zu Instagram ist ein einfacher Link – es wird kein Instagram-Inhalt in die Seite eingebunden. Erst nach dem Klick gelten die Bestimmungen von Instagram (Meta).

8. Kundenbereich und Kundengalerie

Nach einem Shooting bekommst du einen Zugang zu deiner Galerie (Passwort oder persönlicher Link).

• Ein Cookie: Nach der Anmeldung setzt die Seite das Cookie pbn_session. Es enthält nur eine zufällige Sitzungskennung, ist für Skripte nicht lesbar und gilt 7 Tage oder bis du dich abmeldest. In der Datenbank liegt davon nur ein Prüfwert, dazu dein Kundenkonto, dein Anzeigename und Zeitpunkte. Es ist für den Kundenbereich unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Passwort: Für die Prüfung liegt es nur als Prüfwert (Hash) vor. Damit ich es dir erneut mitteilen kann, ist es zusätzlich verschlüsselt gespeichert und nur in meinem Verwaltungsbereich einsehbar.
• Schutz vor Erraten: Fehlversuche werden gezählt. Dafür speichere ich einen Prüfwert aus IP-Adresse und Datum, nicht die IP-Adresse selbst. Nach 24 Stunden ist er zum Löschen fällig und wird beim nächsten automatischen Aufräumen entfernt.
• Vorname: Beim Öffnen der Galerie fragt die Seite „Wie heißt du?“. Der Vorname ist nötig, damit ich sehe, wer hineingeschaut hat – oft teilen sich mehrere Personen einen Zugang (zum Beispiel Brautpaar und Familie). Er wird zu deiner Sitzung gespeichert, nicht zu deinem Kundenkonto, und ändert nichts an deinen Rechten in der Galerie.
• Besuche und Aktivität in der Galerie: Nur bei angemeldeten Personen halte ich fest, was in der Galerie passiert, und zwar mit Vorname, Kundenkonto, Shooting und Zeitpunkt: wann du die Galerie geöffnet hast und wie lange sie sichtbar offen war (die Seite meldet dafür alle 30 Sekunden ein kurzes Lebenszeichen, solange sie im Vordergrund ist), welche Bilder du angesehen, als Favorit markiert, heruntergeladen, in einer ZIP-Datei gespeichert, über „In Fotos sichern“ gesichert oder geteilt hast, ob du Film, Intro oder Diashow angesehen und die Auswahl geschickt hast, und ob du ein Handy, Tablet oder einen Computer benutzt. Den Gerätetyp leite ich grob aus der Kennung deines Browsers ab; Gerätemodell, Browserversion oder IP-Adresse speichere ich dafür nicht.
• Wofür: Damit ich dich nach dem Shooting gut betreuen und die Auslieferung deiner Bilder begleiten kann – ich sehe, ob die Bilder angekommen und gesichert sind, kann nachfassen, wenn noch etwas fehlt, und weiß, welche Bilder dir besonders gefallen (etwa für Abzüge oder ein Album). Die Daten sieht nur ich in meinem passwortgeschützten Verwaltungsbereich; ich gebe sie nicht weiter und nutze sie nicht für Werbung.
• Speicherdauer: Besuche und Aktivität werden nach 12 Monaten automatisch gelöscht, mit deinem Kundenkonto auch früher.
• Favoriten und Auswahl: Ich speichere, welche Bilder du markierst. „Auswahl schicken“ öffnet WhatsApp mit deinen Bildnummern (Abschnitt 7).
• Bilder und Downloads: Deine Bilder liegen in einem nicht öffentlichen Speicher bei Cloudflare. Dein Browser lädt sie direkt von dort über zeitlich begrenzte Links (10 Minuten bis 2 Stunden).
• Film: In einzelnen Galerien ist ein Film über Vimeo eingebunden (Vimeo.com, Inc., USA). Beim Öffnen des Film-Bereichs lädt dein Browser den Vimeo-Player; Vimeo erhält dabei deine IP-Adresse und kann eigene Cookies setzen.
• Fragebogen vor dem Shooting: Deine Antworten (Anlass, Ort, Wünsche, ob Bilder gezeigt werden dürfen) werden in der Datenbank gespeichert; mein Automatisierungs-Server weist mich auf den ausgefüllten Fragebogen hin.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Fotoauftrags – dazu gehören die Betreuung nach dem Shooting und die Auslieferung der Bilder, also auch Vorname, Besuche und Aktivität in der Galerie); Schutz vor Erraten: Art. 6 Abs. 1 lit. f DSGVO; Freigabe von Bildern für Website und Instagram: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar.

9. Datenbank (Supabase)

Anfragen, Kundenkonten, das Verzeichnis der Shootings und Bilder, Sitzungen, Favoriten, Besuche und Aktivität in der Galerie, Fragebögen und die Zählwerte der Reichweitenmessung liegen in einer Datenbank von Supabase, Inc. Der Datenbankserver steht in der Europäischen Union (Region Irland). Der Zugriff ist nur meinen Serverprogrammen und meinem passwortgeschützten Verwaltungsbereich möglich.

10. Schriftarten

Die Schriften dieser Website (Cormorant Garamond, DM Sans; im Kundenbereich Playfair Display, DM Sans, Great Vibes) liegen auf dem eigenen Server. Es wird keine Verbindung zu Google Fonts aufgebaut.

11. Angebote

Erstelle ich dir ein schriftliches Angebot, kann ich dafür zwei Hilfsdienste nutzen: einen Textvorschlag von OpenAI (übermittelt werden dein Name und die Art des Shootings) und die Umwandlung in ein PDF durch html2pdf.app (übermittelt wird der Angebotstext mit Name und Preisen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Empfänger und Übermittlung in Länder außerhalb der EU

Ich gebe deine Daten nicht weiter – außer an die Dienstleister, die ich für den Betrieb brauche, und nur so weit wie nötig:

Bei Anbietern mit Sitz in den USA kann ein Zugriff aus den USA nicht ausgeschlossen werden. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission für zertifizierte US-Unternehmen (EU-U.S. Data Privacy Framework) beziehungsweise auf die Standardvertragsklauseln der EU-Kommission.

13. Speicherdauer im Überblick

14. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – zum Beispiel der Freigabe deiner Bilder.

Schreib mir dafür einfach an kontakt@picturebynele.de. Es entstehen dir keine Nachteile.

15. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für mich zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Stand: Oktober 2026