Datenschutzhinweis

Stand: August 2026 · Version 1.1

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

2. Anwendungsbereich

Dieser Datenschutzhinweis gilt für die Nutzung der SaaS-Plattform Pixalo sowie der zugehörigen Website. Pixalo richtet sich ausschließlich an gewerbliche Nutzer (B2B) und bietet professionellen Fotografen eine technische Plattform zum Betrieb digitaler Shops.

Pixalo ist weder Marktplatz noch Vermittler. Es bestehen keine Vertragsbeziehungen zwischen Pixalo und den Endkunden der Fotografen.

3. Rollenverteilung nach DSGVO

3.1 Pixalo als Verantwortlicher

Pixalo ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für folgende Verarbeitungen:

• Registrierung und Verwaltung von Tenant-Konten (Fotografen)
• Abrechnung des Pixalo-Abonnements über Stripe
• Betrieb und Sicherheit der Plattform
• Kommunikation mit Tenants
• Besucherstatistiken der Website (nach Einwilligung)

3.2 Pixalo als Auftragsverarbeiter

Soweit Fotografen (Tenants) über die Plattform personenbezogene Daten ihrer Endkunden verarbeiten, handelt Pixalo ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Der Tenant ist in diesem Fall Verantwortlicher für die Datenverarbeitung. Ein Auftragsverarbeitungsvertrag (AVV) wird bei Registrierung verbindlich abgeschlossen.

4. Verarbeitete Daten und Rechtsgrundlagen

4.1 Tenant-Kontodaten

Daten: Name, E-Mail-Adresse, Unternehmensname, Anschrift, Login-Daten, Abrechnungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Dauer des Vertragsverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen

4.2 Abonnement-Zahlung (Stripe)

Die Zahlung des Pixalo-Abonnements erfolgt über Stripe. Pixalo übermittelt hierzu erforderliche Daten an Stripe Payments Europe Ltd. (Irland).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Stripe verarbeitet Zahlungsdaten eigenverantwortlich. Weitere Informationen: stripe.com/de/privacy

4.3 Zahlungsabwicklung durch Tenants

Tenants können ihre eigenen Zahlungsanbieter (z. B. Stripe, PayPal) anbinden. Pixalo stellt hierfür lediglich die technische Schnittstelle bereit.

4.4 Protokoll- und Sicherheitsdaten

Daten: IP-Adresse, Zeitstempel, Zugriffspfade, User-Agent, Fehlerprotokolle

Zweck: Sicherheit, Stabilität, Fehleranalyse, Missbrauchsprävention

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Speicherdauer: Maximal 90 Tage, sofern keine längere Aufbewahrung zur Aufklärung erforderlich

4.5 Rechtliche Nachweise (AVV, AGB)

Daten: Zeitpunkt der Zustimmung, IP-Adresse, Dokumentenversion

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

Speicherdauer: Unbefristet (rechtliche Nachweispflicht)

4.6 Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail oder über unser Kontaktformular verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Inhalt der Anfrage) ausschließlich zur Bearbeitung Ihrer Anfrage. Das Kontaktformular wird von uns selbst betrieben; ein externer Dienstleister ist nicht eingebunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen)

Speicherdauer: Löschung nach vollständiger Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen

4.7 KI-gestützte Texterkennung (Klassenlisten)

Tenants können Fotos gedruckter oder handschriftlicher Klassenlisten hochladen, aus denen automatisch Schülernamen und Klassen extrahiert werden (Texterkennung). Die Verarbeitung erfolgt über Amazon Bedrock mit Modellen von Anthropic; die Anbindung erfolgt über die AWS-Region Frankfurt (eu-central-1), die Inferenz ausschließlich in EU-Regionen von AWS (EU-Inferenzprofil) — die Daten verlassen die EU nicht. Ein- und Ausgaben werden weder von AWS noch von Anthropic zum Training der Modelle verwendet und nicht dauerhaft gespeichert. Die extrahierten Daten werden dem Tenant vor der Übernahme zur Prüfung angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Endkundendaten Auftragsverarbeitung nach Weisung des Tenants (Art. 28 DSGVO)

Speicherdauer: Das Listenbild wird nur zur Extraktion verarbeitet und nicht dauerhaft gespeichert; übernommene Schülerdaten unterliegen den regulären Speicherfristen

5. Fotos, Downloads und Datenminimierung

Pixalo verfolgt konsequent das Prinzip der Datenminimierung:

• Vorschaubilder: Niedrig aufgelöst, wasserzeichenbehaftet. Kein Zugriff auf Originale ohne Kauf.
• Download-Links: Maximal 7 Tage gültig. Nach Ablauf ist kein Zugriff mehr möglich.
• Endkundendaten: Werden ausschließlich nach Weisung des Tenants verarbeitet (Auftragsverarbeitung).

6. Speicherfristen

7. Hosting und Infrastruktur

Die Plattform wird auf Servern innerhalb der Europäischen Union betrieben (Amazon Web Services, Region Frankfurt/eu-central-1 — Hosting, Datenbank, Objektspeicher, tägliche Datenbank-Backups sowie E-Mail-Versand über Amazon SES).

Für die Auslieferung von Inhalten kommen Amazon CloudFront sowie das Netzwerk von Cloudflare (DNS, Reverse-Proxy, TLS-Terminierung, DDoS-Schutz) zum Einsatz; dabei können verschlüsselte Inhalte und Verbindungsdaten an weltweiten Standorten zwischengespeichert oder verarbeitet werden (siehe Abschnitt 9). Eine vollständige Liste der Unterauftragsverarbeiter enthält Anlage 2 des AVV.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO

8. Mobile App (Pixalo Photographer)

Die Pixalo Mobile App wird von Fotografen verwendet, um Shooting-Sessions zu starten und Schüler-Tags zu erstellen.

Die App speichert oder verarbeitet keine Fotos direkt auf dem mobilen Gerät. Fotos werden später über das Pixalo Dashboard verarbeitet.

Die App kann folgende Daten übertragen:

• Session-ID
• Tagging-Informationen (Zuordnung von Schülern zu Fotos)
• Benutzerkonto des Fotografen (Authentifizierung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

9. Drittlandübermittlung

Sofern personenbezogene Daten in Länder außerhalb der EU/des EWR übermittelt werden, geschieht dies ausschließlich auf Grundlage von:

• Angemessenheitsbeschlüssen der EU-Kommission (Art. 45 DSGVO, z. B. EU-US Data Privacy Framework)
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• Zusätzlichen technischen und organisatorischen Schutzmaßnahmen

10. Cookies und Tracking

Pixalo verwendet ein Cookie-Einwilligungsbanner gemäß § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ihre Auswahl wird lokal in Ihrem Browser gespeichert und kann dort jederzeit geändert oder gelöscht werden.

Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Plattform erforderlich und werden ohne Einwilligung gesetzt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO

Analyse-Cookies

Statistik- und Analyse-Tools (derzeit Google Analytics) werden nur nach ausdrücklicher Einwilligung aktiviert. Dabei können Daten in die USA übermittelt werden; Grundlage sind das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Die Einwilligung kann jederzeit über das Cookie-Banner widerrufen werden.

11. Weitergabe von Daten

Eine Weitergabe personenbezogener Daten erfolgt ausschließlich:

• zur Vertragserfüllung (z. B. Zahlungsabwicklung über Stripe)
• bei Vorliegen einer gesetzlichen Verpflichtung
• im Rahmen der Auftragsverarbeitung mit entsprechenden Verträgen

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten erfolgt nicht.

12. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

13. Rechte der betroffenen Personen

Betroffene Personen haben folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten bestehen
• Einschränkung (Art. 18 DSGVO) der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richten Sie bitte an: [email protected]

Sofern Pixalo als Auftragsverarbeiter tätig ist, sind Anfragen an den jeweiligen Verantwortlichen (Tenant) zu richten.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

13.1 Recht auf Datenlöschung

Nutzer haben das Recht, die Löschung ihres Benutzerkontos sowie aller zugehörigen personenbezogenen Daten zu verlangen (Art. 17 DSGVO).

Die Löschung erfolgt in der Regel innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. steuer- oder handelsrechtliche Pflichten gemäß § 147 AO, § 257 HGB) bestehen.

14. Änderungen dieses Datenschutzhinweises

Dieser Datenschutzhinweis kann bei rechtlichen, technischen oder organisatorischen Änderungen angepasst werden. Die aktuelle Version ist jederzeit auf dieser Seite abrufbar.