Rechtliches

Datenschutzerklärung

Entwurf, Stand 26.10.2026. Vor dem Livegang von Steuerberatung bzw. Rechtsberatung prüfen lassen.

1. Verantwortlicher

PM Arts UG (haftungsbeschränkt)
Blumenstraße 3
26382 Wilhelmshaven
Deutschland
E-Mail:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen.

2. Das Wichtigste in Kürze

3. Aufruf der Website (Hosting)

Die Website wird bei Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) gehostet. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Seite und Browserinformationen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

4. Speicher in deinem Browser

Wir speichern deinen Warenkorb, deinen Posterentwurf und gesammelte Medaillen im lokalen Speicher deines Browsers (localStorage). Das ist für die Funktion des Shops unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Daten verlassen deinen Browser dabei nicht. Du kannst sie jederzeit über die Browsereinstellungen löschen.

5. Poster gestalten

Hochgeladene GPX-, TCX- oder Apple-Health-Dateien und Screenshots werden ausschließlich in deinem Browser gelesen. Für die Texterkennung in Screenshots lädt dein Browser beim ersten Screenshot die Programmbibliothek Tesseract.js und Sprachdaten vom Dienst jsDelivr (Prokopiou/Volentio Group Ltd., Content Delivery Network) – dabei wird deine IP-Adresse an jsDelivr übermittelt, dein Bild jedoch nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von dir gewünschten Funktion).

Wenn du dein Poster in den Warenkorb legst und zur Kasse gehst, übertragen wir deinen Entwurf (Strecke, Texte wie Name, Datum, Zeit und Widmung, Design, Format) an unseren Server, um die Druckdatei zu erzeugen. Entwürfe ohne Bestellung löschen wir automatisch nach 30 Tagen.

Eigenes Foto. Wählst du das Design „Foto“, bleibt dein Foto zunächst nur in deinem Browser (IndexedDB) und wird dort verkleinert und eingefärbt. Erst wenn du zur Kasse gehst, laden wir das fertig bearbeitete Bild in unseren nicht öffentlichen Speicher bei Cloudflare (R2), um daraus die Druckdatei zu erzeugen; es geht zusammen mit der Druckdatei an unseren Druckpartner. Das Foto kann Personen zeigen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir werten das Foto nicht aus, nutzen es nicht für Werbung und geben es nicht an KI-Dienste weiter. Hochgeladene Fotos löschen wir automatisch 90 Tage nach dem Hochladen.

Strava-Verbindung. Wenn du im Gestalter „Mit Strava verbinden“ wählst, meldest du dich bei Strava (Strava, Inc., USA) an und erlaubst uns, deine Aktivitäten zu lesen. Wir rufen damit nur die Liste deiner Aktivitäten und die Strecke der Aktivität ab, die du auswählst. Den Zugangsschlüssel speichern wir höchstens 6 Stunden in einem technisch notwendigen Cookie in deinem Browser, nicht auf unserem Server; Strava-Daten speichern wir nicht, außer der ausgewählten Strecke in deinem Posterentwurf wie bei einem Datei-Upload. Wir posten nichts in deinem Namen. Rechtsgrundlage ist deine Einwilligung bzw. die Durchführung deiner Bestellung (Art. 6 Abs. 1 lit. a und b DSGVO). Du kannst die Verbindung im Gestalter („Verbindung trennen“) oder in deinem Strava-Konto unter „Meine Apps“ jederzeit widerrufen. Es gelten zusätzlich die Datenschutzbestimmungen von Strava.

6. Bestellung und Vertragsabwicklung

Für Bestellungen verarbeiten wir Name, Lieferanschrift, E-Mail-Adresse, Bestellinhalt und Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie lit. c (gesetzliche Aufbewahrungspflichten).

Zahlung: Stripe

Die Zahlung wickelt Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) ab. Deine Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten sie nicht. Stripe verarbeitet Daten auch zur Betrugsprävention und kann sie in die USA übermitteln (Data Privacy Framework / Standardvertragsklauseln). Datenschutzhinweise: stripe.com/de/privacy.

Druck und Versand: Gelato

Gedruckte Poster stellt unser Druckpartner Gelato ASA (Dronning Eufemias gate 8, 0191 Oslo, Norwegen; EWR) bzw. ein von Gelato beauftragter Druckbetrieb in deiner Nähe her und versendet sie. Dafür erhält Gelato die Druckdatei, deinen Namen und deine Lieferanschrift. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; mit Gelato besteht ein Auftragsverarbeitungsvertrag.

E-Mails: Brevo

Bestellbestätigungen und Download-Links versenden wir über Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich; Server in der EU). Dafür erhält Brevo deine E-Mail-Adresse, deinen Namen und den Inhalt der Bestätigung. Wir versenden keine Werbe-Newsletter ohne deine ausdrückliche Einwilligung. Mit Brevo besteht ein Auftragsverarbeitungsvertrag.

Speicherung der Druck- und Download-Dateien

Druck- und Download-Dateien speichern wir in einem nicht öffentlichen Speicher bei Cloudflare (R2). Download-Links sind signiert und zeitlich begrenzt. Dateien löschen wir automatisch: Download-Dateien 2 Tage nach Ablauf des 14 Tage gültigen Links, Druckdateien und Bestelldetails 90 Tage nach der Bestellung.

Aufbewahrung

Rechnungen und Buchungsbelege bewahren wir aufgrund handels- und steuerrechtlicher Pflichten auf (§ 257 HGB, § 147 AO), in der Regel 8 bzw. 10 Jahre.

7. Meta-Pixel (nur mit Einwilligung)

Wenn du zustimmst, binden wir das Meta-Pixel ein, einen Dienst der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland. Wir messen damit, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und Bestellungen führen, und können Anzeigen an Personen ausspielen, die sich für unser Angebot interessieren.

Das Pixel wird erst nach deiner Zustimmung geladen. Dann erhält Meta Angaben zu deinem Besuch: IP-Adresse, Angaben zum Browser, die aufgerufene Seite, Cookie-Kennungen von Meta sowie die Ereignisse „Seite angesehen“, „Gestaltung begonnen“, „In den Warenkorb gelegt“, „Kasse begonnen“ und „Kauf“ mit Format und Bestellwert. Deine Strecke, Namen, Texte auf dem Poster, Adressen und Zahlungsdaten übermitteln wir nicht. Bist du bei Facebook oder Instagram angemeldet, kann Meta den Besuch deinem Konto zuordnen.

Die Ereignisse „Kasse begonnen“ und „Kauf“ melden wir mit deiner Einwilligung zusätzlich direkt von unserem Server an Meta (Conversions API), damit sie auch ankommen, wenn dein Browser die Übermittlung unterbricht. Dabei übermitteln wir dieselben Angaben (IP-Adresse, Browserangaben, Meta-Cookie-Kennungen, Format und Bestellwert), aber keine Namen, Adressen, E-Mail-Adressen oder Zahlungsdaten. Dafür merken wir uns diese Angaben beim Aufruf der Kasse in unserer Datenbank und löschen sie, sobald der Kauf gemeldet ist, spätestens nach zwei Tagen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ am Ende jeder Seite. Meta verarbeitet Daten auch in den USA; die Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Für die Erhebung und Übermittlung sind wir gemeinsam mit Meta verantwortlich, für die weitere Verarbeitung ist Meta allein verantwortlich. Näheres: facebook.com/privacy/policy.

8. Gutscheine

Für verkaufte Gutscheine speichern wir den Code, den Wert, das Restguthaben, das Ablaufdatum und die zugehörige Bestellung, um Einlösungen prüfen zu können – bis zum Ablauf des Gutscheins und darüber hinaus im Rahmen der Aufbewahrungspflichten.

9. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen sie, wenn sie nicht mehr benötigt werden.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreib uns dafür einfach eine E-Mail.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Landesbeauftragten für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.