Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Narrative Fotoschule personenbezogene Daten beim Besuch von fotografie-schule.de, bei Anfragen, Bestellungen und Fotokursen verarbeitet.

A. Verantwortlicher und Kontakt

Oleg Rostovtsev
Narrative Fotoschule
Albertstraße 26
30451 Hannover
Deutschland

E-Mail: info@fotografie-schule.de
Telefon: +49 177 977 22 99

Für Fragen zum Datenschutz und zur Ausübung deiner Rechte kannst du dich direkt an mich wenden.

B. Hosting, technische Bereitstellung und Sicherheit

Website und E-Mail

Die Website und die für die Schule verwendete E-Mail-Infrastruktur werden bei ALL-INKL.COM - Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, betrieben. Beim Abruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser- und Betriebssysteminformationen, Referrer und technische Statusinformationen. Server- und Fehlerprotokolle dienen der Auslieferung der Website, der Fehlerbehebung und der Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse ist ein zuverlässiger und sicherer Betrieb. Die Daten werden dem Hostinganbieter und berechtigten Personen zugänglich, die die Website betreuen. Für Protokolle ist maßgeblich, wie lange sie zur technischen Fehleranalyse oder Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden; Vertrags-, Mail- und Sicherungsdaten folgen den gesonderten Kriterien in Abschnitt K. Weitere Informationen: Datenschutzinformationen von ALL-INKL.

Wordfence und Sicherungskopien

Wordfence schützt die WordPress-Installation vor unberechtigten Zugriffen und Angriffen. Es verarbeitet dafür IP-Adressen, angeforderte URLs, Zeitpunkte, Browserinformationen und sicherheitsbezogene Zugriffs- oder Anmeldeereignisse. Der Modus für die Verkehrserfassung ist auf „Security Only“ eingestellt; für diese Live-Traffic-Daten sind höchstens 30 Tage und 2.000 Einträge konfiguriert. Das ist keine einheitliche Frist für sämtliche Server-, Bestell- oder Maildaten.

Die IP-Ermittlung über Wordfence-Server und die Teilnahme am Sicherheitsnetzwerk sind aktiviert. Dabei können IP- und Angriffsinformationen an den Anbieter Defiant Inc., USA, übermittelt werden. Zweck und berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO sind die Erkennung und Abwehr von Missbrauch. Informationen zu Verarbeitung und Garantien findest du in der Wordfence-Datenschutzerklärung und den Datenschutzinformationen des Anbieters. Ein Widerspruch kann unter den Voraussetzungen von Art. 21 DSGVO geltend gemacht werden; notwendige Schutzmaßnahmen lassen sich nicht über Marketing-Cookies abschalten.

Zur Wiederherstellung nach Fehlern oder Datenverlust erstellt UpdraftPlus Sicherungskopien von WordPress-Dateien und der Datenbank. Diese können Kontaktanfragen, Bestellungen und weitere in WordPress gespeicherte Daten enthalten. Die Sicherungen umfassen Datenbank, Uploads, Plugins, Themes und weitere WordPress-Dateien einschließlich MU-Plugins. Die eingerichtete FTP-Ablage nutzt ebenfalls ALL-INKL-Infrastruktur in Deutschland. Dateien werden wöchentlich, die Datenbank täglich gesichert; eingestellt sind jeweils zehn geplante Sicherungen. Zusätzliche manuelle Sicherungen können gesondert bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, mit dem berechtigten Interesse an Verfügbarkeit und Wiederherstellung. Die Bezeichnung eines lokal eingesetzten Plugins allein macht seinen Entwickler nicht zum Empfänger des gesamten Datenbestands.

C. Cookies und Einwilligungsverwaltung

Cookies und ähnliche Techniken speichern oder lesen Informationen auf deinem Gerät. Für unbedingt erforderliche Vorgänge, etwa Warenkorb, angeforderte Anmeldung und Speicherung deiner Datenschutzauswahl, gilt § 25 Abs. 2 TDDDG. Für andere Zugriffe ist grundsätzlich deine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Davon getrennt richtet sich die anschließende Verarbeitung personenbezogener Daten nach der jeweils genannten Grundlage der DSGVO.

Die Auswahl wird mit Complianz verwaltet, einer Software von Complianz B.V., Kalmarweg 14-5, 9723 JG Groningen, Niederlande. Gespeichert werden insbesondere deine Auswahl zu Statistik und Marketing sowie technische Angaben zur verwendeten Richtlinien- und Bannerfassung. Die Auswahl wird im Browser mit Cookies unter dem Präfix „cmplz_“ gespeichert; die konfigurierte Laufzeit beträgt 365 Tage. Die zusätzlich eingesetzte WP Consent API hat eine eigene, auf 30 Tage konfigurierte Cookie-Laufzeit. Cookies können vorher von dir gelöscht oder durch eine neue Auswahl geändert werden.

Die Verwaltung und Beachtung deiner Auswahl dient der Erfüllung datenschutzrechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c DSGVO. Nicht erforderliche Analyseverarbeitung beruht auf Art. 6 Abs. 1 lit. a DSGVO. Eine Ablehnung darf nicht durch die Annahme der AGB oder das Absenden einer Kursanfrage ersetzt werden. Die Zustimmung zu Analyse und Marketing ist für das Lesen dieser Datenschutzerklärung nicht erforderlich.

Du kannst deine Auswahl jederzeit öffnen und eine Einwilligung mit Wirkung für die Zukunft widerrufen:

Cookie-Einstellungen

Weitere Informationen stehen in der Cookie-Richtlinie und den rechtlichen Informationen von Complianz. Das Löschen von Cookies im Browser entfernt nicht automatisch bereits gespeicherte Bestellungen oder Kontaktanfragen.

D. Kontaktanfragen und Formularspeicherung

Wenn du über das Kontaktformular, per E-Mail oder telefonisch Kontakt aufnimmst, verarbeite ich deine Angaben zur Bearbeitung und Beantwortung der Anfrage. Das Formular mit Contact Form 7 enthält Name, E-Mail-Adresse und Nachricht. Ein gesondertes Betreff- oder Telefonfeld gibt es dort nicht. Eine von dir freiwillig in der Nachricht mitgeteilte Telefonnummer oder andere Information kann Bestandteil der Korrespondenz werden.

Die Nachricht wird als E-Mail-Benachrichtigung übermittelt und zusätzlich mit Flamingo in der WordPress-Datenbank gespeichert. Neben den sichtbaren Angaben werden technische Metadaten gespeichert, insbesondere IP-Adresse, Browserkennung, Formular-URL, Datum und Uhrzeit sowie das Übermittlungsergebnis. Hinzu kommen technische Angaben zur Spamprüfung, etwa das Turnstile-Antworttoken und das Ergebnis beziehungsweise der Inhalt des versteckten Prüfungsfelds. Soweit eine Anfrage aus einer angemeldeten Sitzung stammt, können zugehörige Kontometadaten hinzukommen.

Bei Fragen zu einem Kurs oder einem bestehenden Vertrag ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage. Bei anderen Anfragen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, die von dir gewünschte Kommunikation zu bearbeiten. Empfänger sind der Hosting- und Mailanbieter und befugte Personen, die die Korrespondenz bearbeiten. Die lokalen Formular- und Speicherplugins geben nicht schon aufgrund ihrer Installation die gesamte Nachricht an ihre Entwickler weiter.

Anfragen werden so lange benötigt, wie die Beantwortung und eine damit zusammenhängende Abstimmung dauern. Wenn daraus ein Vertrag entsteht oder die Korrespondenz geschäftliche Nachweispflichten betrifft, gelten die entsprechenden Aufbewahrungskriterien in Abschnitt K. Für Flamingo ist keine bestimmte automatische Löschfrist als zugesicherter Ablauf festgelegt. Das Absenden einer Anfrage ist keine Anmeldung zu Werbung und reserviert für sich allein keinen Termin.

Cloudflare Turnstile

Das Kontaktformular wird durch Cloudflare Turnstile vor automatisiertem Missbrauch geschützt. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Verarbeitet werden technische Signale wie IP-Adresse, Browserkennung, TLS-Fingerabdruck und die zugehörige Website; ein Prüftoken wird an das Formular zurückgegeben. Die Einbindung kann bereits beim Laden des geschützten Formulars eine Verbindung zu Cloudflare herstellen.

Rechtsgrundlage für die notwendige Missbrauchsabwehr ist Art. 6 Abs. 1 lit. f DSGVO, mit dem Interesse an einer funktionsfähigen und sicheren Kontaktmöglichkeit. Soweit unbedingt erforderliche Gerätezugriffe stattfinden, ist § 25 Abs. 2 TDDDG zu beachten. Turnstile ist keine Werbeeinwilligung. Cloudflare verarbeitet Signale für den Schutz der Website im Auftrag und für die Verbesserung der Bot-Erkennung in eigener Verantwortung. Eine Verarbeitung außerhalb des EU/EWR ist möglich; siehe Abschnitt J und das Turnstile Privacy Addendum. Für eine Anfrage kannst du alternativ die direkte E-Mail-Adresse verwenden; die Formularprüfung betrifft dann nicht diese Übermittlung. Rechte und Widerspruchsmöglichkeiten bleiben bestehen.

E. Bestellungen, Zahlungen und Terminverwaltung

Bei einer Online-Terminbuchung verarbeiten wir den ausgewählten Kurs, Stadt, Datum und Uhrzeit, Teilnehmerzahl, erforderliche Kontaktangaben, Reservierungs- und Buchungsstatus sowie zugehörigen Bestell- und Zahlungsstatus. Die Angaben dienen der Reservierung, Durchführung und Abrechnung des Kurses sowie der technischen Vermeidung von Doppelbuchungen und nicht erfüllbaren Terminüberschneidungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Konkrete Maßnahmen gegen manipulierte oder missbräuchliche Buchungsversuche dienen unserem berechtigten Interesse an einer verlässlichen Buchungsmöglichkeit und beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Booking Activities und die lokale Terminlogik werden innerhalb unserer WordPress-Installation betrieben. Die bloße Nutzung dieser Software übermittelt Buchungsdaten nicht automatisch an deren Entwickler. Empfänger sind die für Hosting, E-Mail und Zahlung erforderlichen Dienste. Buchungsdaten werden für die Durchführung und notwendige Nachbereitung gespeichert; danach verbleiben nur erforderliche Geschäftsunterlagen, gesetzlich aufzubewahrende Daten und Nachweise für konkrete Ansprüche. Die technische Verfügbarkeitsprüfung ist keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO.

PayPal und Kartenzahlung über PayPal

In der Zahlungsverwaltung sind PayPal Standard und der Standard-Karten-Button des PayPal-Payment-Plugins aktiviert. Zahlungsanbieter ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22 - 24 Boulevard Royal, L-2449 Luxembourg. Bei Nutzung einer angebotenen PayPal-Zahlungsmethode werden die zur Abwicklung benötigten Angaben, insbesondere Betrag, Währung, Bestellbezug und erforderliche Kontakt- oder Rechnungsdaten, an PayPal übermittelt. PayPal verarbeitet die dort eingegebenen Zahlungsdaten und teilt der Schule Zahlungsstatus und Transaktionsinformationen mit. Vollständige Kartenangaben werden nicht als erforderliche Bestelldaten der Schule beschrieben.

Die Weitergabe zur Zahlungsabwicklung beruht auf Art. 6 Abs. 1 lit. b DSGVO. PayPal verarbeitet Daten auch in eigener Verantwortung, unter anderem zur Betrugsprävention und Erfüllung gesetzlicher Pflichten; mögliche Übermittlungen außerhalb des EU/EWR erläutert PayPal. Informationen: PayPal-Datenschutzerklärung. Eine Zahlung ist keine Einwilligung in Newsletter. Aufbewahrung bei der Schule richtet sich nach Abschnitt K, diejenige bei PayPal nach dessen Zahlungs- und Nachweispflichten.

F. Gutscheine und Einlösung

Der Online-Verkauf neuer Gutscheine ist derzeit nicht freigeschaltet. Die zugehörige Bestellseite bittet um einen Empfängernamen und eine persönliche Nachricht im Anmerkungsfeld. Diese freiwilligen Angaben sind von den notwendigen Käufer- und Rechnungsdaten zu unterscheiden. Sie werden für die gewünschte Personalisierung des Geschenks verarbeitet. Bitte übermittle keine unnötigen Angaben über andere Personen.

Für Ausstellung, Zuordnung und Einlösung werden außerdem Gutscheinnummer beziehungsweise Code, Wert oder zugesagte Leistung, die bei Ausgabe vereinbarte Gültigkeit, vorhandener Restwert und Einlösungsstand verarbeitet. Nach dem derzeit beschriebenen Ablauf wird die Gutscheinnummer bei der Kursbuchung angegeben. Diese Angaben dienen der Leistungserbringung und verhindern Mehrfacheinlösungen. Eine zusätzliche automatisierte Ausstellung oder Einlösung wird nicht allein aus dem Vorhandensein eines Gutscheinprodukts abgeleitet.

Käuferdaten werden nach Art. 6 Abs. 1 lit. b DSGVO für den Kaufvertrag und nach Art. 6 Abs. 1 lit. c DSGVO für notwendige Aufbewahrungspflichten verarbeitet. Wenn der Käufer Angaben über einen anderen Geschenkempfänger übermittelt, ist dieser nicht automatisch Vertragspartei. Für die gewünschte Personalisierung und Zuordnung kommt Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an der ordnungsgemäßen Bearbeitung des Geschenks in Betracht, unter Berücksichtigung der Rechte des Empfängers. Bei einer eigenen Terminvereinbarung des Empfängers gilt Art. 6 Abs. 1 lit. b DSGVO.

Der Empfänger erhält die für ihn erforderlichen Datenschutzinformationen nach Art. 14 DSGVO grundsätzlich spätestens innerhalb eines Monats, bei einer früheren Kontaktaufnahme spätestens bei dieser und vor einer ersten Weitergabe, soweit keine gesetzliche Ausnahme greift. Quelle der zunächst übermittelten Angaben ist der Schenkende. Käufer und Empfänger werden dadurch nicht zu Newsletter-Abonnenten. Empfänger der Bestelldaten sind die in Abschnitt E genannten Dienste; Daten werden für Ausstellung, offene Ansprüche und dokumentierte Einlösung sowie erforderliche gesetzliche Nachweise aufbewahrt.

G. Widerrufserklärungen

Bei Nutzung der elektronischen Widerrufsfunktion verarbeiten wir Name, E-Mail-Adresse, Bestell- oder Vertragszuordnung, Inhalt der Erklärung, Eingangsdatum und Eingangszeit sowie Bearbeitungsstatus. Dies dient dem Empfang, der Bestätigung und Bearbeitung des Widerrufs sowie dem Nachweis gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO. Soweit zur Rückabwicklung eines Vertrags erforderlich, gilt ergänzend Art. 6 Abs. 1 lit. b DSGVO.

Empfänger sind die erforderlichen Hosting- und E-Mail-Dienste sowie bei einer Erstattung der beteiligte Zahlungsdienst. Die Daten werden bis zur Bearbeitung und anschließend im Umfang der gesetzlichen Nachweispflichten oder konkret offener Ansprüche gespeichert. Eine Widerrufserklärung wird nicht als Marketinganfrage, Analyse-Lead oder Newsletter-Anmeldung verwendet. Die Erklärung zum Verbrauchervertrag ist von einem Widerruf einer Datenschutz-Einwilligung zu unterscheiden.

H. Teilnehmerfotos und fotografische Dokumentation

Deine Fotografien für die Bildbesprechung

Du kannst eigene Fotografien für eine vereinbarte Bildbesprechung übermitteln. Die erforderliche Entgegennahme, Speicherung, Anzeige und Besprechung dient dem gebuchten Unterricht. Soweit dabei deine personenbezogenen Daten verarbeitet werden, beruht dies auf Art. 6 Abs. 1 lit. b DSGVO. Sind andere Personen abgebildet, werden deren Rechte gesondert berücksichtigt; Art. 6 Abs. 1 lit. b DSGVO ist keine pauschale Grundlage für beliebige Drittpersonen. Für einen begrenzten nicht öffentlichen Unterrichtszweck kommt eine konkret zu prüfende Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO in Betracht.

Nicht jede Fotografie enthält personenbezogene Daten. Solche Daten können sich aber aus erkennbaren Personen, einer Autorensignatur, Dateinamen, Standort- und Aufnahmemetadaten oder dem Zusammenhang ergeben. Ein fehlendes sichtbares Gesicht macht einen Menschen nicht automatisch unidentifizierbar. Übermittle nur Dateien, die für den vereinbarten Unterricht benötigt werden und die du dafür verwenden darfst. Die Aufnahmen werden für die vereinbarte Besprechung und eine vereinbarte Nachbereitung benötigt; eine weitere Aufbewahrung benötigt einen eigenen Zweck.

Freiwillige Freigabe ausgewählter Teilnehmerarbeiten

Die Buchung, Teilnahme und bloße Übersendung für eine Besprechung erlauben keine automatische öffentliche oder werbliche Nutzung. Du kannst bereits vorhandene, eindeutig bezeichnete Arbeiten freiwillig als Kursbeispiele freigeben. Die urheberrechtliche Erlaubnis nach Abschnitt 11 der AGB und die datenschutzrechtliche Grundlage für personenbezogene Bildinhalte oder Namensnennung sind unterschiedliche Voraussetzungen.

Für eine Veröffentlichung personenbezogener Inhalte zu diesen Zwecken ist eine passende freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich, soweit keine andere im konkreten Fall tragfähige Grundlage besteht. Die Rechte erkennbarer Drittpersonen werden nicht allein durch deine Bildlizenz geklärt. Eine Namensnennung richtet sich nach der ausdrücklich vereinbarten Wahl; sie ist nicht Voraussetzung der Teilnahme.

Vor der Freigabe werden die konkret vorgesehenen Veröffentlichungswege mitgeteilt. Abhängig von der konkret erteilten Freigabe kommen folgende Nutzungswege in Betracht: eigene Kursdarstellungen auf fotografie-schule.de und rostovtsev.de, eigene Social-Media-Beiträge zur Schule, Kursangebote auf Portalen sowie digitale und gedruckte Kursmaterialien sowie bezahlte Onlinewerbung für Fotokurse nur bei gesonderter Freigabe dieses Zwecks. Diese Beschreibung erklärt keine bisher unveröffentlichte Aufnahme für freigegeben und behauptet nicht, dass jede dieser Plattformen bereits genutzt wird. Je nach ausdrücklich vereinbartem Weg werden Veröffentlichungen öffentlich sichtbar oder an benannte Gestaltungs-, Druck-, Hosting- beziehungsweise Plattformdienste weitergegeben. Technische Größen- und Formatanpassungen sind von eigenständigen neuen Nutzungszwecken zu unterscheiden.

Soweit Freigaben erteilt werden, wird dokumentiert, wer wann welche Fotografien oder welchen Kurs für welche Zwecke und Kanäle freigegeben hat und ob später ein Widerruf erfolgt. Diese Nachweise werden nicht an Analyse- oder Werbedienste weitergegeben. Die zugeordneten Freigabe- und Rechteerklärungen werden als Nachweis gespeichert, solange eine Nutzung erfolgt und soweit sie anschließend zur Klärung konkreter Ansprüche benötigt werden. Für diesen Nachweis besteht ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Freigabe kann für die Zukunft beendet und eine personenbezogene Einwilligung widerrufen werden. Die vertragliche Regelung zur Beendigung einer Bildlizenz ist keine allgemeine Löschfrist für alle personenbezogenen Daten.

Aufnahmen des Kursgeschehens

Davon getrennt sind Übersichts- und Situationsaufnahmen des Unterrichts: gemeinsames Fotografieren, Übungen, Arbeit mit Geräten und Bildbesprechung. Bei gewöhnlichen persönlich gebuchten Einzel- und Zweierkursen werden identifizierbare Teilnehmer für eine öffentliche Kursdarstellung nur mit vorheriger freiwilliger Einwilligung aufgenommen und veröffentlicht. Grundlage ist Art. 6 Abs. 1 lit. a DSGVO. Zwecke, konkreter Kurstermin und Veröffentlichungswege werden vor der Aufnahme erläutert und dokumentiert.

Eine Einwilligung kann die Situationsaufnahmen eines benannten Termins innerhalb der ausdrücklich vereinbarten Zwecke gemeinsam erfassen. Teilnahme, Schweigen oder die Zustimmung zu dieser Datenschutzerklärung gelten nicht als Einwilligung. Eine Verwendung identifizierbarer Teilnehmeraufnahmen in bezahlten Anzeigen oder werblichen Angeboten externer Kursportale wird gesondert vereinbart. Auch eine Namensnennung oder Verlinkung eines persönlichen Profils erfordert eine entsprechende Vereinbarung.

Wer nicht aufgenommen oder veröffentlicht werden möchte, kann dies vor oder während des Kurses mündlich oder per E-Mail mitteilen; die Teilnahme bleibt ohne Nachteile möglich. Ein Widerruf ist jederzeit für die Zukunft möglich. Von mir kontrollierte Veröffentlichungen werden dann unverzüglich entfernt oder so geändert, dass die Person nicht mehr identifizierbar ist. Soweit weitere Empfänger betroffen sind, werden erforderliche und zumutbare Schritte veranlasst. Bereits unabhängig angefertigte Kopien und Suchmaschinen-Caches lassen sich nicht vollständig kontrollieren. Gesetzliche Lösch- und weitere Rechte bleiben bestehen; ein Widerruf macht eine zuvor rechtmäßige Verarbeitung nicht rückwirkend unzulässig.

Bei öffentlich zugänglichen Veranstaltungen kann eine andere Grundlage nur nach einer dokumentierten Einzelfallprüfung in Betracht kommen. Aufnahme und Veröffentlichung sind getrennt zu beurteilen; eine öffentliche Veranstaltung begründet kein allgemeines Recht auf Teilnehmerwerbung. Bei Minderjährigen werden die erforderliche Mitwirkung der Sorgeberechtigten und die Einsichtsfähigkeit des Kindes berücksichtigt. Die Erklärung des Buchenden ersetzt weder die des tatsächlichen Rechteinhabers noch erforderliche Einwilligungen anderer abgebildeter Menschen.

I. Tatsächlich eingesetzte Analyse- und externe Dienste

Google Tag Manager und Google Analytics 4

Google Tag Manager verwaltet die eingebundenen Messtags; Google Analytics 4 dient der Auswertung der Nutzung und der Verbesserung der Kursseiten. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google LLC und weitere Konzerngesellschaften können an der Verarbeitung beteiligt sein.

Erfasst werden Seitenaufrufe und technische beziehungsweise nutzungsbezogene Angaben, insbesondere Browser- und Gerätetyp, Zeitpunkte, Referrer, Seitenadressen, pseudonyme Kennungen und Informationen zu Interaktionen. Die eingebundene Ereignismessung umfasst unter anderem Kursaufrufe, Nutzung wichtiger Schaltflächen, Beginn einer Formularinteraktion, längere Nutzung, Scrolltiefe und eine erfolgreiche Kontaktformularübermittlung als „generate_lead“. Im Shop können Bestell- und Warenkorbinteraktionen mit Produktbezug, Betrag, Währung und Transaktionsbezug hinzukommen. Ein Ereignis über eine erfolgreiche Anfrage enthält nicht den Nachrichtentext oder Namen und E-Mail aus dem Formular. Technische Kennungen bleiben trotzdem datenschutzrechtlich relevant.

Für die freiwillige Statistikmessung gilt Art. 6 Abs. 1 lit. a DSGVO; für nicht erforderliche Gerätezugriffe § 25 Abs. 1 TDDDG. Die vorhandene Einbindung ordnet das Laden des Google-Tag-Manager-Scripts der Kategorie Statistik zu. Bei der überprüften Auswahl „Nur notwendige Cookies“ und anschließendem Neuladen wurde dieses Script blockiert. Google Consent Mode übermittelt Auswahlzustände an bereits freigegebene Tags. Das ist keine allgemeine Aussage, dass jeder Google-Dienst oder jede denkbare serverseitige Übermittlung vor Einwilligung ausgeschlossen ist.

Du kannst die Statistikmessung über die Cookie-Einstellungen ablehnen oder deine Einwilligung widerrufen. Google kann Daten außerhalb des EU/EWR verarbeiten; siehe Abschnitt J. Die Speicherdauer unterscheidet sich zwischen Browsercookies, nutzerbezogenen Ereignisdaten und aggregierten Berichten. Für nutzer- und ereignisbezogene Daten sind jeweils 14 Monate eingestellt. Bei neuer Nutzeraktivität wird die Aufbewahrungsfrist der zugehörigen Nutzerkennung zurückgesetzt. Diese Einstellung begrenzt nicht die meisten aggregierten Standardberichte. Weitere Informationen: Google-Datenschutzerklärung.

Werbetags und Verweislinks

Die Google-Ads-Conversion-Tags und der Conversion Linker sind in der veröffentlichten Tag-Manager-Version pausiert. Sie werden hier nicht als aktuell laufende Conversion-Messung dargestellt. Ein installierter oder vorbereiteter Werbedienst ist von einer aktiven Übermittlung zu unterscheiden. Ein gewöhnlicher Verweis auf Instagram oder Facebook ist kein eingebetteter Feed und kein Nachweis für einen Meta Pixel. Bei Auswahl eines externen Links gelten für die anschließend aufgerufene Plattform deren Datenschutzhinweise.

WooCommerce verwendet eine Herkunftszuordnung von Bestellungen, etwa anhand Referrer und Kampagnenparametern. Die dafür eingebundene Geräte-Speicherung ist der Kategorie Marketing zugeordnet. Diese zusätzliche Marketingauswertung setzt die entsprechende Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO voraus; sie ist für die eigentliche Bearbeitung einer Bestellung nicht erforderlich.

Newsletter und Verwaltung der Abonnenten mit Mailchimp

Für Newsletter und die Verwaltung freiwilliger Newsletter-Anmeldungen wird Mailchimp verwendet. Anbieter ist The Rocket Science Group LLC d/b/a Mailchimp, ein Unternehmen der Intuit-Gruppe mit Sitz in den USA. Verarbeitet werden die für die Anmeldung erforderliche E-Mail-Adresse, gegebenenfalls freiwillige Namensangaben, Abonnementstatus und Nachweise der Anmeldung beziehungsweise eines Widerrufs. Eine Bestellung, Kontaktanfrage oder Cookie-Auswahl meldet dich nicht zum Newsletter an. Das Newsletter-Feld im Checkout ist nicht vorausgewählt.

Grundlage für den Newsletter ist deine gesonderte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie über den Abmeldelink im Newsletter oder über den Kontakt in Abschnitt A jederzeit für die Zukunft widerrufen. Newsletter-Daten werden für das bestehende Abonnement verarbeitet; nach einer Abmeldung können begrenzte Nachweis- oder Sperrvermerke zur Beachtung des Widerrufs und Klärung konkreter Ansprüche erforderlich bleiben. Dafür besteht ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Eine unbegrenzte Speicherung aller Newsletter-Daten wird dadurch nicht gerechtfertigt.

Die laufende Synchronisation neuer nicht abonnierter Shopkontakte, Warenkorbverfolgung und der externe Mailchimp-Site-Tracking-Code sind in der Website-Verbindung deaktiviert. Daten werden an Mailchimp in den USA übermittelt; Garantien werden in Abschnitt J erläutert. Weitere Informationen: Datenschutzhinweise von Intuit/Mailchimp und Mailchimp Data Processing Addendum.

Imagify

Imagify ist für die automatische Optimierung von Bildern beim Hochladen in WordPress aktiviert. Anbieter ist WP Media SAS, 4 rue de la République, 69001 Lyon, Frankreich. Zu optimierende Bilddateien werden über die API an den Dienst übertragen. Soweit die Bilder identifizierbare Menschen, Signaturen oder personenbezogene Metadaten enthalten, betrifft dies ebenfalls personenbezogene Daten. Der normale Seitenbesuch bedeutet nicht, dass dein Gerät oder deine privaten Fotos zur Optimierung hochgeladen werden.

Die Optimierung dient einer effizienten Bildauslieferung. Soweit personenbezogene Inhalte betroffen sind, kommt Art. 6 Abs. 1 lit. f DSGVO für das berechtigte Interesse an der technischen Bereitstellung in Betracht; die zugrunde liegende Aufnahme und Veröffentlichung benötigen ihre eigene Grundlage nach Abschnitt H. Die technische Verarbeitung beim Anbieter ist von der Aufbewahrung der Originale und Sicherungen bei der Schule zu unterscheiden. Eine bestimmte automatische Löschfrist für hochgeladene Bilder wird hier nicht zugesichert. Informationen zu weiteren Empfängern und Verarbeitung stehen in der Imagify-Datenschutzerklärung und den Nutzungsbedingungen von Imagify.

J. Empfänger und Übermittlungen außerhalb des EU/EWR

Empfänger ergeben sich aus dem jeweiligen Zweck: Hosting und E-Mail, Zahlungsabwicklung, Sicherheitsprüfung, freigegebene Analyse, die bestehende Mailchimp-Verbindung und Bildoptimierung. Öffentlich freigegebene Fotos erreichen zusätzlich das Publikum und die vorher benannten Veröffentlichungsdienste. Steuerberater, Rechtsberater, Behörden oder Gerichte kommen nur insoweit hinzu, wie eine konkrete Beauftragung oder rechtliche Verpflichtung die Weitergabe erfordert. Lokale WordPress-Plugins und ein interner Mechanismus zur Terminorganisation machen ihren Entwickler nicht automatisch zum Empfänger von Kundendaten.

Bei Google, Cloudflare, Mailchimp, Wordfence und den internationalen Abläufen von PayPal können Daten außerhalb des EU/EWR verarbeitet werden. Bei dortigen Zugriffen können andere gesetzliche Zugriffs- und Rechtsschutzbedingungen gelten. Eine allgemeine Zustimmung zu dieser Datenschutzerklärung ist keine Grundlage für regelmäßige internationale Übermittlungen.

Cloudflare nennt für erfasste US-Übermittlungen das EU - US Data Privacy Framework und in seinem Data Processing Addendum ergänzende vertragliche Regelungen. Mailchimp wird nach den Anbieterinformationen zu europäischen Datenübermittlungen vom DPF-Programm der Intuit-Gruppe erfasst; sein DPA sieht außerdem Standardvertragsklauseln für entsprechende Fälle vor. Für Google sind die Datenverarbeitungsbedingungen für Messdienste und die Informationen zu internationalen Übermittlungen maßgebliche Anbieterunterlagen. Wordfence stellt Standardvertragsklauseln bereit. PayPal erläutert seine internationalen Regeln einschließlich verbindlicher interner Datenschutzvorschriften.

Diese Anbieterunterlagen sind von den für das konkrete Kundenkonto geltenden Vereinbarungen zu unterscheiden. Aus der Existenz eines öffentlichen DPA wird hier nicht abgeleitet, dass jede erforderliche Vereinbarung bereits nachgewiesen ist. Informationen zu den für deine Daten einschlägigen Garantien und gegebenenfalls eine Kopie kannst du über den Kontakt in Abschnitt A anfordern.

K. Speicherdauer

Die Dauer richtet sich nach Zweck und Datenkategorie. Eine technische Speicherung ohne voreingestellte Löschfrist begründet kein Recht auf unbegrenzte Aufbewahrung. Eine für alle Daten geltende Frist von sieben, dreißig Tagen oder zehn Jahren wird nicht verwendet.

• Kontaktanfragen: Dauer der Bearbeitung und notwendigen Nachbereitung. Bei einer daraus entstandenen Bestellung wird nur die benötigte Korrespondenz dem Vertragsvorgang zugeordnet. Für andere abgeschlossene Anfragen ist maßgeblich, ob eine Anschlussfrage, ein konkreter Nachweisbedarf oder ein gesetzlicher Aufbewahrungsgrund besteht.
• Bestellungen, Rechnungen und Geschäftsunterlagen: Bis zur Abwicklung und anschließend nur im Umfang gesetzlicher Pflichten oder offener Ansprüche. Buchungsbelege sind nach § 147 AO grundsätzlich acht Jahre, bestimmte Bücher und Aufzeichnungen zehn Jahre und sonstige dort erfasste Geschäftsunterlagen regelmäßig sechs Jahre aufzubewahren. Welche Frist gilt, richtet sich nach der Art der Unterlage und gesetzlichen Ausnahmen; der Beginn liegt regelmäßig am Ende des maßgeblichen Kalenderjahres. Die Fristen gelten nicht pauschal für jede Nachricht oder jedes Foto. WooCommerce hat derzeit keine feste automatische Aufbewahrungsdauer für die geprüften Bestell- und Kontokategorien eingestellt.
• Gutscheine und Terminabstimmungen: Solange die zugesagte Leistung beziehungsweise ein Restwert oder Anspruch offen ist und anschließend im erforderlichen Umfang für Nachweis, Abrechnung und konkrete Rechtsansprüche. Personenbezogene Geschenktexte müssen nicht allein deshalb über die gesamte Rechnungsfrist gespeichert werden.
• Widerruf und Erstattung: Bis zur Bearbeitung und anschließend nach den für die zugehörigen Geschäftsunterlagen geltenden Pflichten beziehungsweise einem konkret offenen Streit.
• Unterrichtsfotos und Bildfreigaben: Für vereinbarte Besprechung und Nachbereitung beziehungsweise für die ausdrücklich freigegebene Nutzung. Bei Wegfall des Zwecks oder Widerruf wird die weitere Nutzung geprüft und erforderliche Löschung veranlasst. Ein begrenzter Nachweis einer früheren Freigabe kann zur Klärung konkreter Ansprüche gesondert erforderlich bleiben.
• Technische Daten: Wordfence-Live-Traffic wie in Abschnitt B konfiguriert; andere Server-, Fehler- und Angriffsdaten nach ihrer Erforderlichkeit für Betrieb und konkrete Sicherheitsklärung. Sicherungen folgen den in Abschnitt B genannten Zyklen. Eine Löschung im aktiven System ist deshalb nicht zwingend gleichzeitig in jeder Sicherung umgesetzt; noch vorhandene Sicherungsstände sind kein eigener Grund für eine erneute Nutzung gelöschter Daten.
• Einwilligung und Analyse: Cookie-Auswahl nach den Laufzeiten in Abschnitt C. GA4-Nutzer- und Ereignisdaten sind auf jeweils 14 Monate eingestellt, mit Zurücksetzen der Nutzerfrist bei neuer Aktivität. Newsletter-Daten folgen den Kriterien in Abschnitt I. Daten eigenverantwortlicher Zahlungs- oder Sicherheitsanbieter haben getrennte Speicherbedingungen.

Bei gesetzlichen Aufbewahrungspflichten oder einer notwendigen Rechtsverteidigung kann eine Löschung eingeschränkt sein. Die betroffenen Daten dürfen dann nur für den verbleibenden Zweck verarbeitet werden. Die maßgeblichen gesetzlichen Kategorien findest du in § 147 AO und, soweit anwendbar, § 257 HGB.

L. Rechte der betroffenen Personen

Du hast unter den gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18). Das Recht auf Datenübertragbarkeit nach Art. 20 gilt insbesondere für von dir bereitgestellte Daten, die auf Grundlage einer Einwilligung oder eines Vertrags automatisiert verarbeitet werden. Löschrechte können durch gesetzliche Aufbewahrungspflichten oder die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen begrenzt sein.

Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Bei Website-Analyse verwendest du dafür die Cookie-Einstellungen, bei Bildveröffentlichungen oder anderer Kommunikation den Kontakt in Abschnitt A. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruch bei berechtigten Interessen: Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, kannst du aus Gründen deiner besonderen Situation nach Art. 21 Abs. 1 DSGVO widersprechen. Ich verarbeite die Daten dann nicht weiter, sofern nicht zwingende schutzwürdige Gründe überwiegen oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Widerspruch gegen Direktwerbung: Gegen die Verarbeitung für Direktwerbung kannst du jederzeit ohne Angabe einer besonderen Situation widersprechen. Das gilt auch für damit zusammenhängendes Profiling. Die Daten dürfen anschließend nicht mehr für diese Werbung verarbeitet werden.

Beschwerde: Du kannst dich an eine Datenschutzaufsichtsbehörde wenden, insbesondere am Ort deines gewöhnlichen Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für die Schule in Hannover ist eine zuständige Anlaufstelle der Landesbeauftragte für den Datenschutz Niedersachsen: Postfach 221, 30002 Hannover; Besucheradresse Prinzenstraße 5, 30159 Hannover; Telefon +49 511 120-4500; E-Mail poststelle@lfd.niedersachsen.de. Aktuelle Kontaktinformationen. Diese Behörde ist nicht die einzig zulässige Beschwerdestelle.

Bereitstellung von Daten: Die für eine Anfrage, Bestellung, Zahlung oder Durchführung erforderlichen Angaben werden dafür benötigt. Ohne ausreichende Kontaktangaben lässt sich eine Anfrage gegebenenfalls nicht beantworten; ohne notwendige Bestell- und Zahlungsangaben kann der Vertrag nicht bearbeitet werden. Freiwillige Geschenkangaben, Werbeeinwilligungen und Bildfreigaben sind davon zu unterscheiden.

Automatisierte Entscheidungen: Die Schule setzt nach dem beschriebenen Ablauf keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO ein. Eine technische Spamprüfung oder die Organisation eines Zeitfensters ist nicht bereits deshalb eine solche Entscheidung. Bei einer fehlerhaften Formularblockierung kannst du dich direkt per E-Mail melden. Eigenständige Entscheidungen eines Zahlungsdienstes werden von dessen Datenschutzhinweisen erfasst.

M. Stand der Datenschutzerklärung

Redaktionsstand: 2. Oktober 2026.