Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Allgemeines zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.

2.2 Rechtsgrundlage

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3. Hosting und Server

3.1 netcup Server

Unsere Website wird bei netcup GmbH gehostet. Der Anbieter erhebt und speichert Informationen, die Ihr Browser automatisch übermittelt, in sogenannten Server-Log-Dateien:

• IP-Adresse
• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage

3.2 Hetzner S3 Storage

Für die Speicherung von Bildern und Dateien nutzen wir Hetzner Object Storage (S3-kompatibel). Die hochgeladenen Dateien werden auf Servern in Deutschland gespeichert.

3.3 IONOS S3 Storage

Zusätzlich nutzen wir IONOS Object Storage (S3-kompatibel) für die Speicherung von Bildern und Dateien. Die hochgeladenen Dateien werden auf Servern in Deutschland gespeichert.

4. E-Mail-Kommunikation

4.1 Microsoft Outlook 365

Für unsere E-Mail-Kommunikation nutzen wir Microsoft Outlook 365 (Microsoft 365). Wenn Sie uns per E-Mail kontaktieren, werden Ihre Daten auf Servern von Microsoft verarbeitet.

4.2 Google-Nutzerdaten / Gmail- und Google-Calendar-API (Connect mit Google)

Fotografinnen und Fotografen, die sefodo nutzen, können ihr eigenes Google-/Gmail-Konto mit der Plattform verbinden, um individuelle Kunden-E-Mails über die eigene Absenderadresse zu versenden, Antworten sowie Unzustellbarkeits-Nachrichten automatisch der Kommunikations-Historie des jeweiligen Kunden zuzuordnen (CRM-Funktion) und ihren Google-Kalender mit der Terminplanung in sefodo abzugleichen. Für Newsletter-/Massenversand wird das Gmail-Konto nicht verwendet; dafür setzt sefodo dedizierte Versand-Anbieter ein.

Bei der Verbindung über den sicheren OAuth-2.0-Anmeldedialog von Google erhält sefodo Zugriff auf folgende Daten des verbundenen Kontos:

• E-Mail-Adresse und Anzeigename des Kontos (zur Einrichtung des Absenders),
• Versand von E-Mails über die Gmail-API im Auftrag der Nutzerin/des Nutzers (Berechtigung „gmail.send"),
• lesender Zugriff auf das Postfach über die Gmail-API (Berechtigung „gmail.readonly"), ausschließlich zur Anzeige der über sefodo versendeten Original-E-Mails in der Kommunikations-Historie sowie zur automatischen Erkennung von Antworten und unzustellbaren E-Mails (Bounces) der über sefodo versendeten Nachrichten,
• Zugriff auf Kalender-Termine (Google-Calendar-API, Berechtigung „calendar.events"): Termine des primären Google-Kalenders werden für den jeweils angezeigten Zeitraum gelesen und in der Terminübersicht von sefodo angezeigt; in sefodo geplante Termine werden auf Wunsch in den Google-Kalender eingetragen. Geändert oder gelöscht werden dabei ausschließlich Termine, die sefodo selbst angelegt hat.

Speicherung und Schutz: sefodo speichert dauerhaft nur das für die Verbindung erforderliche OAuth-Zugriffstoken (Refresh-Token) — verschlüsselt in einem dedizierten Secrets-Speicher (HashiCorp Vault) bzw. mit AES-256-GCM. E-Mail-Inhalte werden nicht dauerhaft kopiert: Zu über sefodo versendeten E-Mails und zu erkannten Antworten/Bounces werden nur Metadaten als Referenz gespeichert (Absender, Empfänger, Betreff, Datum, Message-ID) — das Original verbleibt im jeweiligen Postfach und wird erst beim Öffnen des Eintrags live von dort geladen. Wird die E-Mail im Postfach gelöscht, ist ihr Inhalt auch in sefodo nicht mehr abrufbar. Kalender-Termine werden nur zur Anzeige abgerufen und nicht dauerhaft gespeichert; für von sefodo eingetragene Termine wird lediglich die Kennung des angelegten Kalender-Eintrags gespeichert, um spätere Änderungen oder Löschungen nachziehen zu können. Die Verbindung kann jederzeit in den Einstellungen oder über das Google-Sicherheitscenter (myaccount.google.com/permissions) widerrufen werden; gespeicherte Tokens werden beim Löschen des Absenders entfernt.

Weitergabe, Übertragung und Offenlegung von Google-Nutzerdaten: sefodo gibt Google-Nutzerdaten (OAuth-Tokens, Postfach- und Kalenderdaten der verbundenen Konten) nicht an Dritte weiter, überträgt sie nicht an Dritte und legt sie Dritten nicht offen — mit folgenden, eng begrenzten Ausnahmen:

• Technische Auftragsverarbeiter: Die Daten werden auf Servern der netcup GmbH, Karlsruhe (Hosting, siehe Abschnitt 3.1) verarbeitet; verschlüsselte Sicherungskopien (serverseitige AES-256-Verschlüsselung) liegen bei der IONOS SE (siehe Abschnitt 3.3). Beide Anbieter verarbeiten die Daten ausschließlich in Deutschland, in unserem Auftrag und auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO); ein eigener Zugriff dieser Anbieter auf die Inhalte erfolgt nicht.
• Rechtliche Verpflichtung: soweit wir gesetzlich zur Offenlegung verpflichtet sind (z. B. gegenüber Behörden aufgrund einer rechtskräftigen Anordnung).
• Ausdrückliche Einwilligung: soweit die Nutzerin/der Nutzer einer Weitergabe im Einzelfall ausdrücklich zugestimmt hat.

Ein Verkauf von Google-Nutzerdaten findet nicht statt. Es erfolgt keine Übermittlung in Drittländer außerhalb der EU/des EWR.

Limited-Use-Erklärung: Die Nutzung der von Google-APIs erhaltenen Informationen durch sefodo richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Insbesondere werden Google-Nutzerdaten nicht an Dritte verkauft, nicht für Werbung verwendet und nicht für das Training von KI-/ML-Modellen genutzt; menschlicher Zugriff erfolgt nur mit Einwilligung, aus Sicherheitsgründen oder soweit rechtlich erforderlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber der Nutzerin/dem Nutzer der Plattform).

5. Datenverarbeitung innerhalb der Plattform

Die folgenden Verarbeitungen betreffen registrierte Nutzerinnen und Nutzer der SEFODO-Plattform sowie deren eingeladene Endkunden. Sie finden nur statt, wenn die jeweilige Funktion aktiv genutzt wird.

5.1 Zahlungsdienstleister (Stripe & Mollie)

Für die Abwicklung von Abonnements und Verkäufen nutzen wir die Zahlungsdienstleister Stripe und Mollie. Dabei werden die für die Zahlung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Zahlungsdaten) an den jeweiligen Anbieter übermittelt.

5.2 Social-Media-Planung (Meta Platforms)

Nutzer können über SEFODO Beiträge für ihre eigenen Instagram- und Facebook-Konten planen und veröffentlichen. Dazu hinterlegt der Nutzer einen selbst erzeugten Zugriffstoken seines Meta-Kontos; dieser wird verschlüsselt gespeichert und niemals im Klartext angezeigt. Beim Veröffentlichen werden die vom Nutzer gewählten Inhalte (Bilder, Videos, Texte) an Meta Platforms übermittelt.

5.3 Newsletter- und E-Mail-Versand im Auftrag des Nutzers

Nutzer können über SEFODO Newsletter und Einladungen an ihre eigenen Kunden versenden. Der Versand erfolgt über vom Nutzer selbst hinterlegte Absender-Konten (z. B. SMTP, Microsoft 365, Gmail, Maileon); die Zugangsdaten werden verschlüsselt gespeichert und sind über die Plattform nicht auslesbar. Empfängerdaten (Name, E-Mail-Adresse, Versand- und Zustellstatus) verarbeiten wir insoweit als Auftragsverarbeiter des Nutzers (Art. 28 DSGVO). Abmeldungen werden über eine Sperrliste (Suppression-Liste) dauerhaft berücksichtigt.

5.4 Gesichtserkennung in Galerien

Auf Wunsch des Nutzers können Fotos einer Galerie automatisch nach Personen gruppiert werden, damit Endkunden ihre eigenen Bilder schneller finden. Dabei werden aus den Fotos biometrische Merkmale (Gesichts-Embeddings) berechnet. Diese Verarbeitung findet ausschließlich auf unseren eigenen Servern in Deutschland statt; es werden keine externen KI- oder Cloud-Dienste eingebunden und keine Daten an Dritte übermittelt. Die berechneten Merkmale dienen nur der Gruppierung innerhalb der jeweiligen Galerie und werden mit der Galerie bzw. auf Anforderung gelöscht.

5.5 Archivierung (Dropbox, optional)

Nutzer können ihre Galerien optional in ein eigenes Dropbox-Konto archivieren. Die Verbindung wird vom Nutzer selbst per OAuth autorisiert; übertragen werden ausschließlich die vom Nutzer gewählten Inhalte.

6. Webfonts

6.1 Google Fonts

Diese Website nutzt zur einheitlichen Darstellung von Schriftarten sogenannte Google Fonts. Beim Aufruf einer Seite lädt Ihr Browser die benötigten Fonts in ihren Browsercache, um Texte und Schriftarten korrekt anzuzeigen.

Zu diesem Zweck muss der von Ihnen verwendete Browser Verbindung zu den Servern von Google aufnehmen. Hierdurch erlangt Google Kenntnis darüber, dass über Ihre IP-Adresse diese Website aufgerufen wurde.

7. Analyse-Tools

7.1 Google Analytics 4

Diese Website benutzt Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited. Google Analytics verwendet Cookies, die auf Ihrem Endgerät gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen.

Einwilligungsbasiertes Laden: Google Analytics wird ausschließlich geladen, nachdem Sie über unseren Cookie-Banner aktiv „Alle akzeptieren“ gewählt haben. Ohne Ihre Einwilligung werden keine Analyse-Cookies gesetzt und keine Daten an Google übermittelt.

Anonymisierung der IP-Adresse: Wir haben die IP-Anonymisierung aktiviert (anonymize_ip). Ihre IP-Adresse wird innerhalb der EU bzw. des EWR vor einer etwaigen Übermittlung gekürzt.

7.2 Google Tag Manager

Wir verwenden den Google Tag Manager. Der Google Tag Manager ist eine Lösung, mit der wir sogenannte Website-Tags über eine Oberfläche verwalten können. Der Tag Manager selbst verarbeitet keine personenbezogenen Daten.

8. Werbung und Marketing

8.1 Google Ads

Wir nutzen Google Ads zur Schaltung von Werbeanzeigen. Wenn Sie auf eine unserer Anzeigen klicken, wird ein Conversion-Cookie auf Ihrem Gerät gespeichert. Diese Cookies verlieren nach 30 Tagen ihre Gültigkeit.

8.2 Meta Pixel (Facebook Pixel)

Auf unserer Werbe-Landingpage (landing.sefodo.com) setzen wir das Meta Pixel der Meta Platforms Ireland Limited ein. Damit können wir die Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram messen (Conversion-Tracking) und Besuchern unserer Seiten dort interessenbezogene Anzeigen ausspielen (Retargeting).

Einwilligungsbasiertes Laden: Das Meta Pixel wird ausschließlich geladen, nachdem Sie über unseren Cookie-Banner aktiv „Alle akzeptieren“ gewählt haben. Ohne Ihre Einwilligung werden keine Marketing-Cookies gesetzt und keine Daten an Meta übermittelt.

Bei aktiver Einwilligung verarbeitet Meta unter anderem Ihre IP-Adresse, Geräte- und Browserinformationen sowie Informationen über Ihre Nutzung unserer Seiten (z. B. besuchte Seiten und ausgelöste Ereignisse) und kann diese Daten mit Ihrem Meta-Konto verknüpfen, sofern Sie eines besitzen. Für die Erhebung und Übermittlung dieser Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung durch Meta erfolgt in deren alleiniger Verantwortung.

9. Bestellabwicklung und Druckprodukte (Print-on-Demand)

9.1 Gelato (Druck und Versand)

Über unseren Shop (shop.sefodo.com) können physische Druckprodukte (z. B. Foto-Abzüge, Poster, Leinwände, Fotobücher) bestellt werden. Produktion, Verpackung und Versand dieser Produkte erfolgen durch unseren Druckdienstleister Gelato sowie dessen weltweites Netzwerk lokaler Produktionspartner. Zur Abwicklung Ihrer Bestellung übermitteln wir die hierfür erforderlichen Daten an Gelato.

Übermittelte Daten: Name, Liefer- und ggf. Rechnungsadresse, E-Mail-Adresse, Bestell- und Produktdaten sowie die zu druckenden Bilddateien.

10. Ihre Rechte

Sie haben folgende Rechte gegenüber uns hinsichtlich Ihrer personenbezogenen Daten:

• Art. 15Auskunftsrecht – Recht auf Auskunft über Ihre gespeicherten Daten
• Art. 16Berichtigung – Recht auf Berichtigung unrichtiger Daten
• Art. 17Löschung – Recht auf Löschung Ihrer Daten
• Art. 18Einschränkung – Recht auf Einschränkung der Verarbeitung
• Art. 20Datenübertragbarkeit – Recht auf Datenübertragbarkeit
• Art. 21Widerspruch – Widerspruchsrecht gegen die Verarbeitung
• Art. 7 Abs. 3Widerruf – Recht auf Widerruf erteilter Einwilligungen

11. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen geltendes Recht verstößt.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies erfordern.

13. Datensicherheit

Wir verwenden innerhalb des Website-Besuchs das verbreitete SSL-Verfahren (Secure Socket Layer) in Verbindung mit der jeweils höchsten Verschlüsselungsstufe, die von Ihrem Browser unterstützt wird. Alle Server befinden sich in Deutschland.

14. Aktualität der Datenschutzerklärung

Durch die Weiterentwicklung unserer Website oder aufgrund geänderter gesetzlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Datenschutzerklärung kann jederzeit auf dieser Seite abgerufen werden.

Stand: 07.08.2026  ·  Kontakt Datenschutz: hm@sefodo.com