Datenschutzerklärung

Stand: 19. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb der Plattform fotolio.one ist:
Alena Dittrich Photography (Einzelunternehmen, Inhaberin: Alena Dittrich)
Klosterstr. 1, 48431 Rheine
E-Mail: info@fotolio.one

2. Wen diese Erklärung betrifft

fotolio.one ist eine Plattform für Fotografinnen und Fotografen. Sie verwalten dort ihre Kundinnen und Kunden, Galerien, Anfragen, Angebote, Verträge, Rechnungen und Verkäufe. Dadurch verarbeitet Fotolio Daten von sechs Personengruppen: Fotografen (Abschnitt 4), Besucher von fotolio.one (Abschnitt 3), Anfragende über das Anfrageformular eines Fotografen (Abschnitt 5), Kundinnen und Kunden eines Fotografen mit Galerie- oder Portalzugang (Abschnitt 6), Gäste einer Galerie (Abschnitt 7) und Käuferinnen und Käufer (Abschnitt 8).

Bei den Daten, die ein Fotograf über seine Kundinnen, Anfragenden, Gäste und Käufer in die Plattform einträgt oder dort entstehen lässt, entscheidet der Fotograf, welche Daten er erhebt, welche Funktionen er einschaltet und wann er Daten löscht. Diese Erklärung beschreibt, was auf der Plattform mit diesen Daten geschieht. Wie der Fotograf selbst mit Ihren Daten umgeht, erfahren Sie von ihm.

3. Besuch von fotolio.one

a) Zugriffsprotokolle

Beim Aufruf von Seiten schreibt Fotolio keine Zugriffsprotokolle mit Ihrer IP-Adresse. Um Missbrauch zu begrenzen, zählt die Plattform Anfragen je IP-Adresse für kurze Zeit (eine Minute bis einen Tag) im Arbeitsspeicher; diese Zählung wird nicht dauerhaft gespeichert.

b) Sicherheitsereignisse

Bei sicherheitsrelevanten Vorgängen — zum Beispiel einer fehlgeschlagenen Passworteingabe an einer Galerie, der Online-Annahme eines Angebots, einer Anmeldung als Fotograf oder beim Erkennen von Spam — speichern wir ein Ereignis mit einem unumkehrbar umgerechneten Kürzel Ihrer IP-Adresse (fachlich: einem Hashwert mit geheimem Zusatzwert, „Salt“ – die IP-Adresse selbst wird nicht gespeichert und lässt sich daraus nicht zurückrechnen), einem aus den Verbindungsdaten gelesenen Länderkürzel und einem ebenso unumkehrbaren Kürzel Ihrer Browserkennung. Das Ereignis ist mit der Kennung des betroffenen Fotografen und — je nach Vorgang — mit der Kunden-, Projekt- oder Galerie-Kennung verknüpft. Wiederholte Fehlversuche führen zu einem Eintrag in einer Sperrliste, die ebenfalls nur dieses Kürzel der IP-Adresse enthält.

Aufbewahrung: erledigte Ereignisse 30 Tage, offene 90 Tage; Einträge der Sperrliste 30 Tage nach Ablauf oder Aufhebung der Sperre. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren Betrieb der Plattform und an der Abwehr von Missbrauch.

c) Bilder und Schriften

Alle Bilder und Schriften der Website werden von den Servern von Fotolio ausgeliefert. Beim bloßen Besuch von fotolio.one lädt Ihr Browser keine Inhalte von fremden Anbietern.

d) Cookies und Einwilligungsbanner

Siehe Abschnitt 9.

4. Fotografen (Nutzer der Plattform)

a) Registrierung und Profil

Bei der Registrierung erheben wir Name, E-Mail-Adresse und Passwort (Pflicht) sowie optional den Namen des Studios. Das Passwort wird nur als unumkehrbares Kürzel gespeichert (bcrypt-Hashwert), nie im Klartext. Im Profil können Sie Studio- und Rechnungsangaben (Anschrift, Umsatzsteuer-Identifikationsnummer, Bankverbindung, Logo) hinterlegen; sie erscheinen auf Ihren Angeboten, Verträgen und Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der Plattform).

b) Anmeldung, App und Desktop-Programme

Nach der Anmeldung setzt die Plattform ein Anmelde-Cookie mit einer Laufzeit von höchstens 30 Tagen. Ohne „Angemeldet bleiben“ endet Ihre Sitzung nach acht Stunden ohne Nutzung; mit „Angemeldet bleiben“ nach 30 Tagen (Abschnitt 9). Eine Passwort- oder E-Mail-Änderung beendet alle laufenden Sitzungen.

Die Fotolio-App meldet sich einmal mit E-Mail und Passwort an und erhält einen Geräteschlüssel, von dem wir nur ein unumkehrbares Kürzel (Hashwert) speichern — zusammen mit Gerätename, Plattform und dem Zeitpunkt der letzten Nutzung. Die Anmeldung läuft nach 60 Tagen ohne Nutzung ab und lässt sich in den Konto-Einstellungen unter „Angemeldete Geräte“ jederzeit beenden. Der Desktop-Uploader und Fotolio Select melden sich mit einem Schlüssel an, den wir ebenfalls nur als unumkehrbares Kürzel speichern.

c) Abonnement und Zahlung

Beim Abschluss oder Wechsel eines Abonnements übermitteln wir Name, E-Mail-Adresse und Zahlungsangaben an Stripe (Abschnitt 10, Nr. 5). Kreditkartendaten verarbeitet ausschließlich Stripe. Wenn Sie Ihr eigenes Stripe-Konto verbinden, übermitteln wir dafür Ihre E-Mail-Adresse an Stripe.

d) Funktionen, die Sie selbst einschalten — und die dann Empfänger auslösen

Mehrere Funktionen übertragen Daten Ihrer Kundinnen und Anfragenden an Dritte nur, wenn Sie sie einrichten: die Verbindung mit Google Kalender (Abschnitt 6 e; dabei liest Fotolio auch Ihre Belegtzeiten für das Buchungsformular), der Export von Foto-Originalen auf eine von Ihnen gewählte Cloud-Adresse (Abschnitt 6 f), das Hinterlegen einer Meta-Pixel-ID samt Conversion-API-Token oder einer Google-Ads-/Tag-Manager-Kennung für Ihre Anfrageseite (Abschnitt 5 c und d) sowie das Einbinden von YouTube- oder Vimeo-Videos in Galerien (Abschnitt 6 g).

e) Hilfe-Chat, Support-Tickets und Fehleranalyse (Anthropic)

Der Hilfe-Knopf in der Verwaltung öffnet einen Chat; im Chat steht der Hinweis, dass Ihre Eingaben zur Beantwortung an Anthropic übermittelt werden. Sobald Sie ihn benutzen, werden die letzten acht Nachrichten des Gesprächs (je höchstens 2.000 Zeichen) im Wortlaut an Anthropic übermittelt (Abschnitt 10, Nr. 6); der Chat steht nur angemeldeten Nutzern offen. Wenn Sie ein Support-Ticket anlegen, werden Betreff und Text automatisch zur Analyse an Anthropic übermittelt. Für die interne Fehleranalyse übermitteln wir gelegentlich gekürzte Fehlermeldungen zusammen mit Ihrer Fotografen-Kennung; das geschieht nur manuell durch uns.

Chat und Tickets übermitteln keine gespeicherten E-Mail-Adressen oder Kundendatensätze — aber alles, was Sie selbst in den Freitext schreiben. Bitte tragen Sie dort keine Daten Ihrer Kundinnen ein, die nicht nötig sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support als Teil des Nutzungsvertrags); Fehleranalyse Art. 6 Abs. 1 lit. f DSGVO.

f) E-Mails an Ihre Kundinnen

E-Mails, die Sie über Fotolio an Ihre Kundinnen schicken, gehen von einer Absenderadresse von Fotolio aus und tragen als Absendernamen Ihren Studionamen — im Gratis- und Starter-Tarif mit dem Zusatz „über Fotolio“. Antworten gehen an Ihre eigene E-Mail-Adresse. Die Zahl der Mails je Konto und Tag ist begrenzt. Zu jeder Mail speichert Fotolio einen Versandnachweis (Abschnitt 6 n).

g) Rechnungen, die Sie im System erstellen

Rechnungen, die Sie für Ihre Kundinnen erstellen, werden in der Plattform gespeichert und nicht automatisch gelöscht (Abschnitt 12 f).

h) Sicherungen

Die Datenbank der Plattform — und damit alle Daten aus Ihrem Konto — wird täglich in einen getrennten, nicht öffentlichen Speicherbereich im Objektspeicher von Hetzner in Deutschland gesichert; diese Sicherungen werden nach 30 Tagen gelöscht. Eine Kopie bei einem anderen Anbieter gibt es nicht (Abschnitt 10, Nr. 1).

i) Mitteilungen in der Fotolio-App

Nutzen Sie die Fotolio-App auf einem iPhone, schicken wir Ihnen Mitteilungen über den Apple Push Notification service (Abschnitt 10, Nr. 10) — zum Beispiel „Neue Anfrage von Vorname“ oder „Morgen: Shooting mit Vorname um 10:00 Uhr“. Dabei erhält Apple den Text der Mitteilung und eine Gerätekennung. Wir selbst speichern nur die Gerätekennung und ein Versandprotokoll ohne Mitteilungstext. Die Mitteilungen lassen sich je Gerät und Art unter „Angemeldete Geräte“ abschalten. Auf Android-Geräten werden keine Mitteilungen verschickt.

j) WhatsApp-Verknüpfung

In der Kundenverwaltung können Sie einen WhatsApp-Link öffnen. Erst mit Ihrem Klick werden die Telefonnummer der Kundin und ein vorausgefüllter Text an WhatsApp (wa.me) übergeben; ohne Klick fließt nichts.

5. Anfragen an einen Fotografen

a) Das Anfrageformular

Fotografen können ein Anfrageformular unter fotolio.one/anfrage/… betreiben oder es über ein Skript von fotolio.one in ihre eigene Website einbetten. In beiden Fällen werden die Angaben bei Fotolio gespeichert: Name, E-Mail-Adresse, Telefonnummer und Nachricht sowie — je nach Einrichtung — Wunschtermin, Art des Shootings, Budget, Quelle der Anfrage und vom Fotografen definierte Felder. Der Fotograf kann eine Datenschutz-Checkbox vorschalten; ist sie eingeschaltet, wird eine Anfrage ohne Zustimmung abgewiesen.

b) Klick-Kennungen und Herkunft

Mit der Anfrage speichern wir außerdem, sofern vorhanden, Werbe-Klick-Kennungen aus der aufgerufenen Adresse oder aus Cookies (fbclid, _fbc, _fbp, gclid, ttclid), die Adresse der Seite, von der die Anfrage kam, und den Einwilligungsstand, den die Website des Fotografen uns mitteilt („zugestimmt“, „abgelehnt“ oder unbekannt). Die Speicherung unterbleibt bei einer ausdrücklich abgelehnten Werbe-Einwilligung.

c) Übermittlung an Meta über die Conversion API (vom Server aus) — nur mit Ihrer Einwilligung

Hat der Fotograf eine Meta-Pixel-ID und ein Conversion-API-Token hinterlegt, meldet Fotolio Ihre Anfrage von seinem Server aus an Meta — nur, wenn die Website des Fotografen uns Ihre ausdrückliche Werbe-Einwilligung („zugestimmt“) mitgeteilt hat. Ist der Einwilligungsstand unbekannt oder haben Sie abgelehnt, wird nichts an Meta gesendet. Übermittelt werden dann E-Mail-Adresse und Telefonnummer als unumkehrbares Kürzel (SHA-256-Hashwert), die Klick-Kennungen _fbp/_fbc, Ihre IP-Adresse, Ihre Browserkennung und die Adresse der Herkunftsseite (Abschnitt 10, Nr. 7).

Wird aus Ihrer Anfrage eine Buchung, meldet Fotolio unter denselben Voraussetzungen zusätzlich das Ereignis „Buchung“ mit dem Buchungswert und E-Mail-Adresse und Telefonnummer als unumkehrbares Kürzel an Meta — jedoch nur, wenn die Anfrage selbst gemeldet worden ist. Ein Storno wird auf demselben Weg gemeldet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre auf der Website des Fotografen erteilte Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; den Widerruf erklären Sie gegenüber dem Fotografen, auf dessen Website Sie sie erteilt haben, oder gegenüber uns.

d) Meta Pixel, Google Tag Manager und Google Ads auf der Anfrageseite (im Browser)

Auf fotolio.one/anfrage/… werden die Skripte von Meta (Pixel) und Google (Tag Manager, Ads) nur geladen, wenn Sie im Cookie-Banner „Alle akzeptieren“ gewählt haben und der Fotograf die Kennungen hinterlegt hat. Dann setzen diese Anbieter Cookies (_fbp, _fbc, _gcl_au) und erhalten Browserdaten, Ihre IP-Adresse und die Klick-Kennung gclid. Wählen Sie „Nur notwendige“, werden die Skripte nicht geladen. Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

e) Antworten per E-Mail (Mailgun)

Antwortet der Fotograf über Fotolio auf Ihre Anfrage, trägt die E-Mail eine Antwortadresse unter reply.fotolio.one. Antworten Sie darauf, nimmt der Dienstleister Mailgun (EU-Region) die E-Mail entgegen und übergibt Absender, Empfänger, Betreff, Text und Anhänge an Fotolio, wo sie Ihrem Anfragevorgang zugeordnet werden (Abschnitt 10, Nr. 3). Anhänge werden im Speicher bei Hetzner abgelegt.

f) Anonymisierung nicht angenommener Anfragen

Anfragen, die der Fotograf nicht angenommen hat, werden nach einer von ihm eingestellten Frist automatisch anonymisiert: Name, E-Mail-Adresse, Telefonnummer, Nachricht, Zusatzfelder und Klick-Kennungen werden geleert. Die Voreinstellung beträgt 30 Tage; der Fotograf kann die Frist ändern oder die Anonymisierung abschalten. Angenommene Anfragen bleiben als Kundendaten beim Fotografen (Abschnitt 6).

6. Kundinnen und Kunden eines Fotografen (Galerie, Portal, Verträge)

a) Welche Daten der Fotograf hinterlegt

Der Fotograf legt Sie als Kundin in der Plattform an. Der Kundendatensatz kann Name, E-Mail-Adresse, Telefonnummer, Anschrift, Umsatzsteuer-Identifikationsnummer und interne Notizen des Fotografen enthalten; dazu kommen die Projekte, Termine, Angebote, Verträge, Rechnungen und Galerien, die er für Sie anlegt.

b) Galeriezugang und Link-Vorschau

Galerien sind mit einem Passwort geschützt oder über einen Gästelink ohne Passwort erreichbar (Abschnitt 7). Das Passwort gilt für Sie als Kundin über alle Ihre Galerien; Sie legen es über einen per E-Mail zugesandten Link selbst fest, oder der Fotograf erzeugt es für Sie. Gespeichert wird nur ein unumkehrbares Kürzel (bcrypt-Hashwert), nie das Passwort selbst. Nach erfolgreicher Eingabe setzt die Plattform ein Anmelde-Cookie mit 30 Tagen Laufzeit (Abschnitt 9); eine Passwortänderung beendet alle älteren Sitzungen. Fehlgeschlagene Eingaben werden als Sicherheitsereignis mit gehashter IP-Adresse gespeichert (Abschnitt 3 b).

Jeder Aufruf einer Galerie wird protokolliert — mit Zeitpunkt und dem Kennzeichen, ob er über den Gästelink kam; ohne IP-Adresse und ohne Browserdaten. Wird ein Galerielink in einem Messenger oder sozialen Netzwerk geteilt, zeigt dessen Vorschau — noch vor der Passworteingabe — den Projektnamen oder Ihren Vor- und Nachnamen, den Studionamen und das Titelbild der Galerie; der Vorschaudienst ruft diese Angaben dafür ab. Galerieseiten sind für Suchmaschinen gesperrt.

c) Kundenportal

Der Zugang zum Kundenportal erfolgt über einen persönlichen Portal-Link (jeder Link mit eigenem Ablauf) oder aus einer Galerie heraus. Nach der Anmeldung setzt die Plattform ein Anmelde-Cookie mit 30 Tagen Laufzeit (Abschnitt 9).

d) Hilfe-Chat (Anthropic)

In der Galerie und im Kundenportal gibt es einen Knopf „Hilfe“. Er öffnet einen Chat, der nur angemeldeten Kundinnen offensteht; im Chat steht der Hinweis, dass Ihre Eingaben zur Beantwortung an Anthropic übermittelt werden. Sobald Sie ihn benutzen, werden die letzten acht Nachrichten des Gesprächs im Wortlaut an Anthropic übermittelt (Abschnitt 10, Nr. 6). Vor dem Klick auf „Hilfe“ wird nichts übermittelt.

e) Google Kalender — nur wenn der Fotograf ihn verbunden hat

Hat der Fotograf seinen Google-Kalender mit Fotolio verbunden, legt Fotolio für jeden Termin einen Kalendereintrag bei Google an. Darin stehen Ihr Name, gegebenenfalls Ihre Firma, Ihre E-Mail-Adresse im Klartext, Ihre Telefonnummer, der Ort, der Paketpreis und die Notizen des Fotografen zum Projekt. Sie werden als Teilnehmerin eingetragen; Google verschickt daraufhin selbst eine Einladungs-E-Mail an Sie. (Abschnitt 10, Nr. 9)

f) Export auf einen Cloud-Speicher des Fotografen

Hat der Fotograf eine eigene Cloud-Adresse (WebDAV, zum Beispiel Nextcloud) hinterlegt, überträgt Fotolio Foto-Originale dorthin. Ordner- und Dateinamen können Ihren Namen enthalten. Fotolio kann dort abgelegte Kopien nicht löschen. (Abschnitt 10, Nr. 12)

g) Videos in Galerien (YouTube, Vimeo)

Vor dem Abspielen wird keine Verbindung zu diesen Anbietern aufgebaut; das Vorschaubild kommt aus dem Speicher von Fotolio, und unter dem Video steht der Anbieter. Erst mit Ihrem Klick lädt Ihr Browser den Player von youtube-nocookie.com bzw. player.vimeo.com (mit „Do not track“); dabei erhält der Anbieter Ihre IP-Adresse und Browserdaten. (Abschnitt 10, Nr. 11)

h) Angebote und Rechnungen

Nehmen Sie ein Angebot online an, wird die Annahme mit einem Sicherheitsereignis (Abschnitt 3 b) festgehalten. Angebote, Rechnungen und Galerie-Einladungen werden per E-Mail über Brevo versandt (Abschnitt 10, Nr. 2).

i) Fotos und Download-Pakete

Ihre Fotos liegen im Objektspeicher von Hetzner in Deutschland, jeweils als Original, in mehreren Verkleinerungen und — bei zum Kauf angebotenen Bildern — als Fassung mit Wasserzeichen (Abschnitt 10, Nr. 1). Löscht der Fotograf ein Projekt, eine Szene oder ein Foto, werden alle zugehörigen Dateien entfernt. Download-Pakete (ZIP) einer Galerie werden in einem getrennten, nicht öffentlichen Speicherbereich vorbereitet; ein Download-Link gilt sechs Stunden. Ein Paket wird gelöscht, wenn die Galerie geschlossen wird, spätestens 60 Tage nach dem letzten Download.

j) WhatsApp

Der Fotograf kann aus der Kundenverwaltung heraus einen WhatsApp-Link öffnen; dabei wird Ihre Telefonnummer mit einem vorausgefüllten Text an WhatsApp übergeben — nur durch seinen Klick. (Abschnitt 10, Nr. 13)

k) Verträge mit Unterschrift online

Schickt Ihnen der Fotograf einen Vertrag zum Unterschreiben, öffnen Sie ihn über einen persönlichen Link. Fotolio speichert den Vertragstext in der Fassung, die Sie gesehen haben (mit Prüfsumme), den Zeitpunkt des Öffnens, Ihren Namen, ein Bild Ihrer Unterschrift und den Zeitpunkt der Unterschrift. Eine Schreibdynamik wird nicht erfasst; das Bild erscheint nur im PDF des Vertrags, das Sie und der Fotograf erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: wie der zugehörige Beleg (Abschnitt 12 f); eine automatische Löschung ist derzeit nicht eingerichtet.

l) Unterschrift am Studio-Tablet

Buchen Sie im Studio eines Fotografen über das Buchungsformular auf seinem Tablet, bestätigen Sie Buchung und Preis sowie Ihre Entscheidung zur Nutzung der Bilder im Portfolio mit einer Unterschrift auf dem Tablet. Fotolio speichert dazu ein Bild der Unterschrift, Ihre Ja/Nein-Antwort zur Portfolio-Nutzung, die Hinweistexte, die Sie dabei gesehen haben, und den Zeitpunkt. Eine Schreibdynamik (Druck, Geschwindigkeit, Strichfolge) wird nicht erfasst, und die Unterschrift wird nicht automatisiert verglichen. Angezeigt wird sie nur dem Fotografen nach Eingabe einer eigenen PIN; jeder Abruf wird protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO (Aufbewahrungspflicht nach § 147 AO); als Nachweis Ihrer Einwilligung zur Portfolio-Nutzung dient sie nach Art. 7 Abs. 1 DSGVO.

Speicherdauer: Die Unterschrift ist Teil des Buchungsbelegs zur Rechnung und wird acht Jahre ab dem Ende des Jahres der Unterschrift aufbewahrt (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; Abschnitt 12 f). Haben Sie der Portfolio-Nutzung zugestimmt, bleibt sie zusätzlich bis drei Jahre nach dem Ende dieser Nutzung gespeichert; maßgeblich ist der spätere Zeitpunkt. Eine automatische Löschung nach Ablauf dieser Fristen ist derzeit nicht eingerichtet. Ihr Recht auf Löschung nach Art. 17 DSGVO bleibt davon unberührt, soweit keine Aufbewahrungspflicht entgegensteht (Abschnitt 13).

m) Zusätzliche Bilder aus einer Galerie (Zukauf)

Kaufen Sie in einer Galerie zusätzliche Bilder, geben Sie bei der Bestellung Ihre E-Mail-Adresse an. Bezahlt wird über Stripe (Abschnitt 10, Nr. 5) oder — wenn der Fotograf es so eingestellt hat — per Rechnung, die Sie als PDF per E-Mail erhalten. Fotolio speichert die Adresse zur Bestellung, um Ihnen die gesetzlich vorgeschriebene Vertragsbestätigung mit Widerrufsbelehrung zu schicken (§ 312f BGB) und den Vertragsschluss nachweisen zu können (§ 312m Abs. 2 BGB); verschickt wird sie über Brevo (Abschnitt 10, Nr. 2). Gespeichert werden außerdem die gekauften Bilder, der Preis, der Zeitpunkt Ihrer Zustimmung zum sofortigen Beginn der Ausführung und die Fassung der Texte, die Sie dabei gesehen haben; die Bestellung wird der Galerie zugeordnet, aus der Sie kaufen. Einen Namen speichert Fotolio dafür nicht. Verkäufer ist der Fotograf, aus dessen Galerie Sie kaufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kaufvertrag) und lit. c DSGVO (Bestätigungspflicht des Verkäufers nach § 312f BGB).

Speicherdauer: Die Bestellung — gekaufte Bilder, Betrag, Zeitpunkt Ihrer Zustimmung, Fassung der Texte — ist Grundlage der Rechnung des Fotografen und wird mindestens acht Jahre als Buchungsbeleg aufbewahrt (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; Abschnitt 12 f). Ihre E-Mail-Adresse bleibt Teil dieses Datensatzes, solange er besteht; eine gesonderte automatische Löschung der Adresse ist derzeit nicht eingerichtet. Ihr Recht auf Löschung nach Art. 17 DSGVO bleibt davon unberührt (Abschnitt 13).

n) Versandnachweis zu E-Mails

Zu jeder Mail, die ein Fotograf über Fotolio an Sie schickt, speichert Fotolio für ihn einen Nachweis: Zeitpunkt, Art der Mail, Betreff, Ihre Mail-Domain, ob Brevo die Zustellung gemeldet hat, und eine Kopie des Textes ohne Links und ohne Ihre Freitextangaben aus Buchung oder Anfrage. Bei Mails, die nur einen Zugangslink enthalten, wird kein Text gespeichert. Ob Sie eine Mail geöffnet haben, speichert Fotolio nicht. Einsehen kann den Nachweis nur der Fotograf, zu dessen Kundendaten Sie gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachweis, dass Rechnung, Vertragsbestätigung oder Vertrag Sie erreicht haben).

Speicherdauer: Nachweise zu Rechnungen, Bestätigungen und Verträgen so lange wie der zugehörige Beleg (Abschnitt 12 f), der Text davon drei Jahre ab Ende des Kalenderjahres; Nachweise zu Galerie-Einladungen und Erinnerungen 180 Tage; zu Zugangslinks 90 Tage.

o) Benachrichtigung, wenn Ihr Download bereit ist

Wird das Download-Paket einer Galerie gerade zusammengestellt, können Sie sich benachrichtigen lassen, sobald es fertig ist. Sind Sie Kunde des Fotografen, verwenden wir dafür nach Ihrer Bestätigung die bei ihm hinterlegte E-Mail-Adresse. Als Gast einer Galerie geben Sie dafür eine E-Mail-Adresse ein. Fotolio speichert diese Adresse zusammen mit der Galerie, dem angeforderten Paket und dem Zeitpunkt und schickt genau eine E-Mail mit einem Link zur Galerie; verschickt wird sie über Brevo (Abschnitt 10, Nr. 2). Für etwas anderes wird die Adresse nicht verwendet. Um Missbrauch zu verhindern, ist die Zahl der Benachrichtigungen je Adresse begrenzt. Rechtsgrundlage ist für Kunden Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Fotografen), für Gäste Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der von Ihnen selbst angeforderten Mitteilung).

Speicherdauer: Eine von einem Gast eingegebene Adresse wird gelöscht, sobald die E-Mail verschickt ist, spätestens sieben Tage nach der Eingabe – auch dann, wenn keine E-Mail verschickt wurde. Im Versandnachweis (Abschnitt 6 n) bleiben nur Zeitpunkt, Art der Mail, Ihre Mail-Domain und der Zustellstand für 90 Tage; ein Text wird dazu nicht gespeichert.

7. Gäste einer Galerie

Eine Galerie kann über einen Gästelink geteilt werden. Wer ihn öffnet, sieht ohne Passwort den Projektnamen oder den Namen der Kundin und die freigegebenen Fotos; jeder, der den Link hat, hat Zugang — auch Vorschaudienste (Abschnitt 6 b). Der Aufruf wird als Gast-Aufruf protokolliert, ohne IP-Adresse. Beim Abspielen eingebetteter Videos gilt Abschnitt 6 g; für Download-Benachrichtigungen Abschnitt 6 o.

8. Käuferinnen und Käufer (Shop, Gutscheine, Abzüge)

a) Digitale Produkte und Gutscheine

Der Verkauf digitaler Produkte und Gutscheine über Fotolio ist derzeit nicht freigeschaltet. Sobald er freigeschaltet wird, beschreibt diese Erklärung ihn vorher.

b) Abzüge aus einer Galerie

Bestellen Sie aus einer Galerie Abzüge, speichert Fotolio Name und Lieferadresse; die Zahlung läuft über Stripe, das Name, E-Mail-Adresse und Zahlungsdaten erhält, nicht die Lieferadresse (Abschnitt 10, Nr. 5). Ein Drucklabor ist derzeit nicht angebunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Cookies, lokale Speicherung und Einwilligungsbanner

a) Cookies, die Fotolio selbst setzt

Alle Cookies von Fotolio dienen der Anmeldung. Sie werden nicht beim Schließen des Browsers gelöscht, sondern haben eine feste Laufzeit:

__Secure-next-auth.session-token — Anmeldung als Fotograf; Cookie höchstens 30 Tage, die Sitzung selbst ohne „Angemeldet bleiben“ 8 Stunden ohne Nutzung.
gl_auth_[Galerie-Kennung] — Zugang zu einer passwortgeschützten Galerie; 30 Tage.
cust_session — Anmeldung im Kundenportal; 30 Tage.
buyer_session_[Fotografen-Kennung] — Käuferbereich; 30 Tage.

Beim Abmelden aus Kundenportal und Käuferbereich wird das Cookie gelöscht. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

b) Lokale Speicherung Ihrer Banner-Entscheidung

Ihre Wahl im Cookie-Banner wird im lokalen Speicher Ihres Browsers (localStorage, Schlüssel cookie_consent) ohne Ablaufdatum abgelegt. Sie können sie zurücksetzen, indem Sie die Website-Daten für fotolio.one in Ihrem Browser löschen — dann erscheint der Banner erneut.

c) Cookies von Meta und Google auf Anfrageseiten

Nur auf Anfrageseiten, nur nach „Alle akzeptieren“ und nur, wenn der Fotograf die Kennungen hinterlegt hat, setzen die Skripte von Meta und Google die Cookies _fbp und _fbc (Meta) sowie _gcl_au (Google). Rechtsgrundlage: § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO.

d) Der Banner

Der Banner erscheint auf jeder Seite von fotolio.one, solange keine Wahl gespeichert ist. Er fragt nach genau einer Art optionaler Cookies: den Werbe-Cookies von Meta und Google auf Anfrageseiten (Buchstabe c). Andere optionale Cookies gibt es nicht. In fremde Websites eingebettete Formulare zeigen den Banner nicht.

10. Empfänger und Dienstleister

Zu jedem Empfänger steht: wofür, welche Daten, wann, Sitz und ob Daten in ein Drittland gelangen (Abschnitt 11).

Nr. 1 · Hetzner Online GmbH

Industriestr. 25, 91710 Gunzenhausen, Deutschland. Betrieb der Server, der Datenbank, des Objektspeichers für Fotos und Download-Pakete sowie der Datenbank-Sicherungen und eines Ausweich-Mailservers, der E-Mails an Adressen unter @fotolio.one annimmt, wenn Google (Nr. 4) nicht erreichbar ist; alle in dieser Erklärung genannten Daten; immer; Standort Deutschland; kein Drittland. Datenschutzhinweise.

Nr. 2 · Brevo SAS

17 rue Salneuve, 75017 Paris, Frankreich. Versand aller E-Mails der Plattform; Name, E-Mail-Adresse, Inhalt der jeweiligen Mail; ereignisgebunden. Keine Kontaktlisten, keine Newsletter. Kein Drittland. Datenschutzhinweise.

Nr. 3 · Mailgun Technologies, Inc. (Sinch)

112 E Pecan St #1135, San Antonio, TX 78205, USA; genutzt wird die EU-Region. Entgegennahme von Antworten an reply.fotolio.one; Absender, Empfänger, Betreff, Text, Anhänge. Drittland: Anbieter mit Sitz in den USA (Abschnitt 11).

Nr. 4 · Google Ireland Limited (Google Workspace)

Gordon House, Barrow Street, Dublin 4, Irland. Alle E-Mails an Adressen unter @fotolio.one — auch an info@fotolio.one — werden in Postfächern bei Google empfangen und gespeichert; Absender, Inhalt, Anhänge. Drittland: USA möglich.

Nr. 5 · Stripe Payments Europe, Ltd.

1 Grand Canal Street Lower, Dublin, D02 H210, Irland. Zahlungsabwicklung für Abonnements, Konto-Verbindung, Zukauf und Abzüge; Name, E-Mail-Adresse, Zahlungsdaten. Drittland: USA möglich (verbundene Unternehmen). Datenschutzhinweise.

Nr. 6 · Anthropic Ireland, Limited

6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland; Anfragen gehen an api.anthropic.com. Hilfe-Chat, Ticketanalyse, interne Fehlerzusammenfassungen; Wortlaut der letzten acht Chat-Nachrichten, Betreff und Text von Tickets, gekürzte Fehlermeldungen. Nach den Vertragsbedingungen von Anthropic werden Eingaben nicht zum Training verwendet und Ein- und Ausgaben der Schnittstelle binnen 30 Tagen gelöscht. Drittland: USA (Standardvertragsklauseln).

Nr. 7 · Meta Platforms Ireland Limited

Merrion Road, Dublin 4, D04 X2K5, Irland. Werbe-Erfolgsmessung des jeweiligen Fotografen: (1) Pixel im Browser der Anfrageseite nach „Alle akzeptieren“; (2) Conversion API vom Server bei Anfragen und Buchungen, nur mit Ihrer Werbe-Einwilligung (Abschnitt 5 c). Drittland: USA.

Nr. 8 · Google Ireland Limited (Tag Manager, Google Ads)

Anschrift wie Nr. 4. Browserdaten, IP-Adresse, gclid, Cookie _gcl_au; nur auf Anfrageseiten nach „Alle akzeptieren“. Drittland: USA möglich.

Nr. 9 · Google Ireland Limited (Kalender-API)

Anschrift wie Nr. 4. Termine in den Kalender des Fotografen eintragen und seine Belegtzeiten lesen; Daten wie Abschnitt 6 e; nur bei verbundenem Kalender. Drittland: USA möglich.

Nr. 10 · Apple Inc.

One Apple Park Way, Cupertino, CA 95014, USA. Mitteilungen der Fotolio-App; Mitteilungstext und Gerätekennung; nur bei Nutzung der App auf einem iPhone. Drittland: USA.

Nr. 11 · YouTube (Google Ireland Limited) und Vimeo.com, Inc.

Vimeo: 330 West 34th Street, 10th Floor, New York, NY 10001, USA. Abspielen eingebetteter Videos nur nach Klick; IP-Adresse und Browserdaten. Drittland: USA.

Nr. 12 · Cloud-Speicher des Fotografen (WebDAV)

Anbieter und Sitz bestimmt der Fotograf. Foto-Originale, Ordner- und Dateinamen; nur bei verbundener Cloud.

Nr. 13 · WhatsApp Ireland Limited

4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Telefonnummer der Kundin und vorausgefüllter Text; nur nach Klick des Fotografen. Drittland: USA möglich.

11. Übermittlung in Drittländer

Für Meta, Google, Vimeo, Mailgun, Apple und Stripe stützt sich eine Übermittlung in die USA auf den Angemessenheitsbeschluss der EU-Kommission zum EU–US Data Privacy Framework (Art. 45 DSGVO), unter dem die jeweiligen US-Gesellschaften dieser Anbieter zertifiziert sind; soweit ein Anbieter dort nicht oder nicht mehr geführt ist, auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Anthropic stützt sich die Übermittlung auf die Standardvertragsklauseln. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@fotolio.one.

12. Speicherdauer und Löschung

a) Nicht angenommene Anfragen werden nach der vom Fotografen eingestellten Frist (Voreinstellung 30 Tage) anonymisiert (Abschnitt 5 f).
b) Sicherheitsereignisse: erledigte 30 Tage, offene 90 Tage; Sperrliste 30 Tage nach Aufhebung (Abschnitt 3 b).
c) Fotos werden gelöscht, wenn der Fotograf Projekt, Szene oder Foto löscht; Download-Pakete nach Abschnitt 6 i. Abgelaufene Galerien werden derzeit nicht automatisch gelöscht.
d) Kundendatensätze kann der Fotograf löschen oder archivieren; eine automatische Löschung gibt es nicht.
e) Konten von Fotografen: Bei Kündigung wird das Konto auf „gekündigt“ gesetzt. Daten und Fotos werden derzeit nicht automatisch gelöscht; eine Löschung auf Anfrage nehmen wir von Hand vor.
f) Rechnungen, Verträge und Buchungsbelege werden nicht automatisch gelöscht. Beim Rechnungssteller gelten gesetzliche Aufbewahrungsfristen — in Deutschland acht Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 14b Abs. 1 UStG, jeweils in der seit 1. Januar 2025 geltenden Fassung).
g) Datenbank-Sicherungen im Objektspeicher: 30 Tage (Abschnitt 4 h).
h) Chat- und Ticketinhalte bei Anthropic: nach Anbieterangabe 30 Tage (Abschnitt 10, Nr. 6).
i) Versandnachweise und Download-Benachrichtigungen: Abschnitt 6 n und 6 o.
j) Zukauf-Bestellungen und Unterschriften: Abschnitt 6 k–m.

13. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Sie können Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Wenden Sie sich an info@fotolio.one. Betrifft Ihre Anfrage Daten, die ein Fotograf über Sie eingetragen hat, beantworten wir sie gemeinsam mit ihm oder leiten sie an ihn weiter. Anfragen werden per E-Mail bearbeitet; eine Selbstbedienungsfunktion zum Exportieren oder Löschen Ihrer Daten gibt es derzeit nicht.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

15. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Plattform oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar. Stand: 19. Oktober 2026.