1. Überblick
Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie photogala.net besuchen, ein Konto anlegen, eine Galerie erstellen oder als Gast einer Galerie beitreten — und welche Rechte Sie dabei haben.
Das Wichtigste in Kürze: Galerien sind nicht öffentlich und erscheinen nicht in Suchmaschinen. Wir verkaufen keine Daten und nutzen Ihre Fotos weder für Werbung noch für das Training von KI-Modellen. Analyse- und Werbe-Cookies setzen wir nur mit Ihrer Einwilligung — und auf Galerieseiten für Gäste überhaupt nicht.
2. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für photogala.net und den Betrieb der Plattform ist:
Peter Wassermair
Rödham 20, 4922 Geiersberg, Österreich
E-Mail: [email protected]
Ein Datenschutzbeauftragter ist nicht bestellt, weil dafür keine gesetzliche Pflicht besteht. Alle Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.
3. Wer ist wofür verantwortlich?
Bei Galerien gibt es zwei Rollen:
- Veranstalter (z. B. ein Brautpaar, eine Firma oder ein Verein) legen eine Galerie an, laden Gäste ein und bestimmen ihre Einstellungen: wer Zugang hat, ob Gäste hochladen und herunterladen dürfen, ob Inhalte vor der Veröffentlichung geprüft werden und ob die Gesichtserkennung aktiv ist. Für die Inhalte ihrer Galerie sind die Veranstalter Verantwortliche.
- Photogala verarbeitet die Inhalte einer Galerie im Auftrag des Veranstalters (Art. 28 DSGVO, siehe den Anhang unserer Nutzungsbedingungen). Für Konten, die Sicherheit der Plattform, die Abrechnung und diese Website sind wir selbst Verantwortliche.
Bietet ein Partner (z. B. ein Fotograf oder eine Agentur) eine Galerie unter eigener Marke an, gelten zusätzlich die Rechtstexte des Partners, die in der Galerie verlinkt sind.
Fragen zu einer bestimmten Galerie stellen Sie am besten zuerst dem Veranstalter. Sie können sich aber jederzeit auch an uns wenden; wir helfen direkt oder leiten Ihre Anfrage weiter.
4. Informationen für Gäste
Wenn Sie einer Galerie per Link, QR-Code oder Einladungscode beitreten, verarbeiten wir:
- den Anzeigenamen, den Sie freiwillig angeben, und ein Gastkonto auf Ihrem Gerät, damit Sie Ihre Uploads, Likes und Kommentare wiederfinden und löschen können;
- die Fotos und Videos, die Sie hochladen, samt den Metadaten der Datei (z. B. Aufnahmezeit, Kameramodell und — wenn Ihr Gerät ihn speichert — Aufnahmeort);
- technische Daten wie IP-Adresse, Browser und Gerät, die für einen sicheren Betrieb nötig sind;
- welche Fassung der Nutzungsbedingungen Ihnen beim Betreten angezeigt wurde und wann — als Nachweis.
Rechtsgrundlagen sind die Bereitstellung der Galerie, der Sie beitreten (Art. 6 Abs. 1 lit. b DSGVO), sowie das berechtigte Interesse des Veranstalters und unser eigenes an einer gemeinsamen Erinnerung an die Veranstaltung und einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Vorschau- und Webversionen Ihrer Fotos enthalten keine Kamera- oder Standortdaten. Die Originaldatei bleibt unverändert; erlaubt der Veranstalter Downloads, können andere Gäste sie mit allen Metadaten herunterladen. Wollen Sie das nicht, entfernen Sie den Standort vor dem Hochladen in den Einstellungen Ihres Geräts.
Sie sind auf einem Foto zu sehen und möchten das nicht? Öffnen Sie das Foto und tippen Sie auf „Melden“. Der Veranstalter wird benachrichtigt und kann es entfernen. Haben Sie keinen Zugang zur Galerie oder reagiert der Veranstalter nicht, schreiben Sie uns an [email protected] — wir prüfen jede Meldung. Ihre eigenen Uploads können Sie jederzeit selbst löschen.
Für ein Gastkonto brauchen Sie keine E-Mail-Adresse. Geben Sie eine an, etwa um über neue Fotos informiert zu werden oder einen Download zu erhalten, verwenden wir sie nur dafür. Werbung erhalten Gäste nur, wenn sie ausdrücklich eingewilligt haben.
5. Welche Daten wir außerdem verarbeiten
- Konto: E-Mail-Adresse, Name und Passwort (nur als sicherer Hash gespeichert) oder bei der Anmeldung mit Google Name, E-Mail-Adresse und Profilbild.
- Galerien: Name, Datum, Ort, Einstellungen und Gestaltung, Einladungen, Aufgaben, Alben sowie alle Inhalte, die Veranstalter und Gäste hochladen.
- Kommunikation: Ihre Support-Anfragen und die E-Mails, die wir Ihnen senden (z. B. Bestätigungen oder Hinweise zu Ihrer Galerie).
- Käufe: Name, E-Mail-Adresse, Land, gekauftes Paket und Zahlungsstatus. Ihre Karten- oder Kontodaten erhält nur unser Händler Paddle, nie wir.
- Nutzung und Technik: IP-Adresse, Browser, Gerät, aufgerufene Seiten, Zeitpunkte und Fehlerberichte.
6. Zwecke und Rechtsgrundlagen
- Bereitstellung der Plattform (Konto, Galerien, Uploads, Downloads, Benachrichtigungen): Vertrag, Art. 6 Abs. 1 lit. b DSGVO.
- Sicherheit und Schutz vor Missbrauch (Server-Logs, Begrenzung von Anfragen, reCAPTCHA, Prüfung von Meldungen, automatische Erkennung unzulässiger Inhalte): berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, sowie unsere Pflichten als Hostingdiensteanbieter nach dem Digital Services Act, Art. 6 Abs. 1 lit. c DSGVO.
- Nachweis der Annahme der Nutzungsbedingungen: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
- Abrechnung und Buchhaltung: gesetzliche Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 BAO.
- Seitenstatistik ohne Cookies auf photogala.net (anonym und zusammengefasst, mit Plausible): berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
- Produktanalyse und Werbe-Tracking: nur mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021.
- Newsletter und Werbe-E-Mails: mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, oder an Kunden für eigene ähnliche Produkte mit jederzeitiger Abmeldemöglichkeit, § 174 Abs. 4 TKG 2021.
- Gesichtserkennung: ausdrückliche Einwilligung, siehe Abschnitt 7.
Stützen wir uns auf berechtigte Interessen, können Sie widersprechen (Abschnitt 13). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen.
7. Gesichtserkennung (optional)
Veranstalter können für ihre Galerie die Funktion „Finde mich“ einschalten. Standardmäßig ist sie aus.
Ist sie aktiv, erkennt ein KI-Modell auf unseren eigenen Servern Gesichter auf den hochgeladenen Fotos und berechnet daraus Merkmalsvektoren. Lädt ein Gast ein Selfie hoch, vergleichen wir es mit diesen Vektoren und zeigen ihm die Fotos, auf denen er zu sehen ist. Solche Vektoren sind biometrische Daten (Art. 9 DSGVO).
Wir verarbeiten sie nur mit ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Ihr Selfie wird nur analysiert, nachdem Sie das ausdrücklich bestätigt haben. Für die übrigen Personen auf den Fotos ist der Veranstalter verantwortlich: Er muss die Gäste vorab informieren und ihre Einwilligung einholen, bevor er die Funktion einschaltet.
Die Vektoren werden verschlüsselt gespeichert, nicht an Dritte weitergegeben und nicht für das Training von KI-Modellen verwendet. Wir löschen sie, sobald der Veranstalter die Funktion abschaltet, die Galerie gelöscht wird oder Sie Ihre Einwilligung widerrufen. Ihr Selfie dient nur dem Vergleich und erscheint nicht in der Galerie.
Außerdem prüft ein KI-Modell auf unseren Servern Uploads auf eindeutig unzulässige Inhalte wie Nacktheit, damit der Veranstalter sie vor der Veröffentlichung kontrollieren kann. Personen werden dabei nicht identifiziert.
8. Empfänger und Dienstleister
Wir geben Daten nur weiter, soweit es für die genannten Zwecke nötig ist, und verkaufen keine personenbezogenen Daten. Unsere Dienstleister verarbeiten Daten in unserem Auftrag und sind vertraglich gebunden (Art. 28 DSGVO):
- Hetzner Online GmbH, Deutschland: Server, Datenbank und Speicher aller Plattformdaten in einem Rechenzentrum in Helsinki, Finnland.
- Backblaze, Inc., USA: Sicherungskopien der Medien in einem Rechenzentrum in Amsterdam, Niederlande.
- Cloudflare, Inc., USA: Netzwerk, schnelle Auslieferung von Inhalten und Schutz vor Angriffen; dabei werden IP-Adressen und Anfragedaten verarbeitet.
- Paddle.com Market Ltd, Vereinigtes Königreich: Verkauf und Zahlungsabwicklung als Händler (Merchant of Record). Für den Kauf ist Paddle selbst Verantwortlicher; es gilt dessen Datenschutzerklärung.
- Google Ireland Ltd und Google LLC: Anmeldung mit Google (nur wenn Sie sie wählen) und reCAPTCHA zum Schutz von Formularen vor Bots; dabei werden IP-Adresse und Browserdaten an Google übermittelt.
- Klaviyo, Inc., USA: Versand von E-Mails an Kunden und Interessenten; Newsletter nur mit Einwilligung.
- OpenStreetMap Foundation und CARTO: Kartenkacheln, wenn eine Galerie eine Karte zeigt. Ihr Browser lädt sie direkt und übermittelt dabei Ihre IP-Adresse.
- Werbeplattformen — nur nach Ihrer Einwilligung, siehe Abschnitt 11.
Auf unseren eigenen Servern und ohne Weitergabe an Dritte betreiben wir: den E-Mail-Server (Mailcow), die Fehlerberichte (GlitchTip), die Seitenstatistik (Plausible), die Produktanalyse (OpenPanel, nur mit Einwilligung) sowie die KI-Modelle für Bildprüfung, Gesichtserkennung und Übersetzungen.
Innerhalb einer Galerie sehen der Veranstalter und die anderen Gäste Ihre Uploads, Ihren Anzeigenamen, Likes und Kommentare — je nach den Einstellungen der Galerie. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.
9. Übermittlung in Drittländer
Ihre Daten speichern wir in der EU. Einige Dienstleister (Cloudflare, Backblaze, Google, Klaviyo und — nach Einwilligung — die Werbeplattformen) haben ihren Sitz in den USA oder können von dort aus zugreifen. Grundlage ist das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Für das Vereinigte Königreich (Paddle) besteht ein Angemessenheitsbeschluss der EU-Kommission.
11. Werbung und Erfolgsmessung (nur mit Einwilligung)
Willigen Sie auf photogala.net ein, messen wir, welche Anzeigen zu Registrierungen und Käufen führen. Dafür verwenden wir Pixel und serverseitige Schnittstellen von:
- Google Ads (Google Ireland Ltd)
- Meta Pixel und Conversions API (Meta Platforms Ireland Ltd)
- TikTok Pixel und Events API (TikTok Technology Ltd, Irland)
- Microsoft Advertising (Microsoft Ireland Operations Ltd, Irland)
- Pinterest (Pinterest Europe Ltd)
- Amazon Ads (Amazon Europe Core S.à r.l., Luxemburg)
- Taboola (Taboola Europe Ltd)
- OpenAI Ads (OpenAI Ireland Ltd)
Übermittelt werden Klick-Kennungen (z. B. gclid oder fbclid), das Ereignis (z. B. „Registrierung“ oder „Kauf“), der Zeitpunkt, IP-Adresse und Browserdaten sowie Ihre E-Mail-Adresse in gehashter Form. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung wird nichts übermittelt; widerrufen können Sie jederzeit.
12. Speicherdauer
- Konto: bis Sie es löschen. Danach entfernen wir Ihre Daten innerhalb von 30 Tagen, soweit keine Aufbewahrungspflicht besteht.
- Galerien und Medien: solange die Galerie besteht, längstens bis zum Ende der gebuchten Laufzeit. Gelöschte Inhalte sind 90 Tage lang wiederherstellbar, auch in der Sicherungskopie, und werden danach endgültig gelöscht.
- Gastkonten: solange die Galerie besteht. Auf Anfrage löschen wir sie früher.
- Nachweis der Nutzungsbedingungen: solange die Galerie besteht und danach drei Jahre (Verjährungsfrist, § 1489 ABGB).
- Rechnungs- und Buchhaltungsdaten: sieben Jahre (§ 132 BAO).
- Server-Logs und Fehlerberichte: in der Regel höchstens 90 Tage, bei Sicherheitsvorfällen bis zu deren Klärung.
- Einwilligungen: bis zum Widerruf, der Nachweis darüber drei Jahre länger.
13. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung können Sie jederzeit widerrufen (Art. 7 Abs. 3); was bis dahin verarbeitet wurde, bleibt rechtmäßig.
Schreiben Sie dazu an [email protected]. Wir antworten innerhalb eines Monats.
Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
Automatisierte Entscheidungen mit rechtlicher Wirkung für Sie (Art. 22 DSGVO) treffen wir nicht. Die automatische Prüfung von Uploads markiert Inhalte nur, damit ein Mensch sie kontrolliert.
14. Kinder
Galerien anlegen und Pakete kaufen dürfen nur Volljährige. Kinder unter 14 Jahren dürfen einer Galerie nur mit Zustimmung eines Elternteils beitreten (§ 4 Abs. 4 DSG).
Fotos von Kindern verdienen besonderen Schutz. Veranstalter sollten vorher die Zustimmung der Eltern einholen, und Eltern können Fotos ihrer Kinder jederzeit über „Melden“ oder per E-Mail an uns entfernen lassen.
15. Datensicherheit
Alle Verbindungen sind TLS-verschlüsselt. Galerien sind nur mit Link, Code oder Passwort erreichbar und Mediendateien nur über zeitlich begrenzte, signierte Adressen. Zugriffe sind nach Rollen beschränkt, Passwörter werden nur als Hash gespeichert, und Sicherungskopien liegen bei einem zweiten Anbieter.
Absolute Sicherheit kann niemand garantieren. Kommt es zu einer Datenpanne, informieren wir die Behörde und die Betroffenen nach Art. 33 und 34 DSGVO.
16. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail oder in der App.
17. Hinweise für Einwohner der USA
Wenn Sie in Kalifornien oder einem anderen US-Bundesstaat mit eigenem Datenschutzgesetz wohnen, können Sie erfahren, welche personenbezogenen Daten wir über Sie verarbeiten, sie berichtigen oder löschen lassen und dem „Verkauf“ oder „Teilen“ für Werbezwecke widersprechen. Wir verkaufen keine personenbezogenen Daten. Werbe-Tracking findet nur nach Einwilligung statt, die Sie jederzeit widerrufen können. Wenn Sie Ihre Rechte ausüben, entstehen Ihnen keine Nachteile. Anfragen an [email protected].
18. Kontakt
Fragen zum Datenschutz beantworten wir gern:
Peter Wassermair, Rödham 20, 4922 Geiersberg, Österreich
E-Mail: [email protected]