Datenschutzhinweis

Stand: September 2026 · Version 1.4

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

2. Anwendungsbereich

Dieser Datenschutzhinweis gilt für die Nutzung der SaaS-Plattform Pixalo sowie der zugehörigen Website. Pixalo richtet sich ausschließlich an gewerbliche Nutzer (B2B) und bietet professionellen Fotografen eine technische Plattform zum Betrieb digitaler Shops.

Pixalo ist weder Marktplatz noch Vermittler. Es bestehen keine Vertragsbeziehungen zwischen Pixalo und den Endkunden der Fotografen.

3. Rollenverteilung nach DSGVO

3.1 Pixalo als Verantwortlicher

Pixalo ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für folgende Verarbeitungen:

• Registrierung und Verwaltung von Tenant-Konten (Fotografen)
• Abrechnung des Pixalo-Abonnements über Stripe
• Betrieb und Sicherheit der Plattform
• Kommunikation mit Tenants
• Besucherstatistiken der Website (nach Einwilligung)

3.2 Pixalo als Auftragsverarbeiter

Soweit Fotografen (Tenants) über die Plattform personenbezogene Daten ihrer Endkunden verarbeiten, handelt Pixalo ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Der Tenant ist in diesem Fall Verantwortlicher für die Datenverarbeitung. Ein Auftragsverarbeitungsvertrag (AVV) wird bei Registrierung verbindlich abgeschlossen.

4. Verarbeitete Daten und Rechtsgrundlagen

4.1 Tenant-Kontodaten

Daten: Name, E-Mail-Adresse, Unternehmensname, Anschrift, Login-Daten, Abrechnungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Dauer des Vertragsverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen

4.2 Abonnement-Zahlung (Stripe)

Die Zahlung des Pixalo-Abonnements erfolgt über Stripe. Pixalo übermittelt hierzu erforderliche Daten an Stripe Payments Europe Ltd. (Irland).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Stripe verarbeitet Zahlungsdaten eigenverantwortlich. Weitere Informationen: stripe.com/de/privacy

4.3 Zahlungsabwicklung durch Tenants

Tenants können ihre eigenen Zahlungsanbieter (z. B. Stripe, PayPal) anbinden. Pixalo stellt hierfür lediglich die technische Schnittstelle bereit.

4.4 Protokoll- und Sicherheitsdaten

Daten: IP-Adresse, Zeitstempel, Zugriffspfade, User-Agent, Fehlerprotokolle

Zweck: Sicherheit, Stabilität, Fehleranalyse, Missbrauchsprävention

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Speicherdauer: Maximal 90 Tage, sofern keine längere Aufbewahrung zur Aufklärung erforderlich

4.5 Rechtliche Nachweise (AVV, AGB)

Daten: Zeitpunkt der Zustimmung, IP-Adresse, Dokumentenversion

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

Speicherdauer: Unbefristet (rechtliche Nachweispflicht)

4.6 Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail oder über unser Kontaktformular verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Inhalt der Anfrage) ausschließlich zur Bearbeitung Ihrer Anfrage. Das Kontaktformular wird von uns selbst betrieben; ein externer Dienstleister ist nicht eingebunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen)

Speicherdauer: Löschung nach vollständiger Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen

4.7 KI-gestützte Texterkennung (Klassenlisten)

Tenants können Fotos gedruckter oder handschriftlicher Klassenlisten hochladen, aus denen automatisch Schülernamen und Klassen extrahiert werden (Texterkennung). Die Verarbeitung erfolgt über Amazon Bedrock mit Modellen von Anthropic; die Anbindung erfolgt über die AWS-Region Frankfurt (eu-central-1), die Inferenz ausschließlich in EU-Regionen von AWS (EU-Inferenzprofil) — die Daten verlassen die EU nicht. Ein- und Ausgaben werden weder von AWS noch von Anthropic zum Training der Modelle verwendet und nicht dauerhaft gespeichert. Die extrahierten Daten werden dem Tenant vor der Übernahme zur Prüfung angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Endkundendaten Auftragsverarbeitung nach Weisung des Tenants (Art. 28 DSGVO)

Speicherdauer: Das Listenbild wird nur zur Extraktion verarbeitet und nicht dauerhaft gespeichert; übernommene Schülerdaten unterliegen den regulären Speicherfristen

4.8 Newsletter und Produktinformationen (Tenants)

Wenn Sie bei der Einrichtung Ihres Shops oder an anderer Stelle ausdrücklich zugestimmt haben, informieren wir Sie per E-Mail über Neuigkeiten, neue Funktionen und Angebote von Pixalo. Verarbeitet werden dabei Ihr Name, Ihre E-Mail-Adresse, Ihre Spracheinstellung sowie der Nachweis Ihrer Einwilligung (Zeitpunkt, IP-Adresse und der Ihnen angezeigte Einwilligungstext).

Die Einwilligung ist freiwillig und keine Voraussetzung für die Nutzung von Pixalo. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder E-Mail oder formlos an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); bei bestehenden Kundenbeziehungen zusätzlich § 7 Abs. 3 UWG.

Speicherdauer: bis zum Widerruf der Einwilligung bzw. bis zur Löschung Ihres Kontos. Der Einwilligungsnachweis wird zur Erfüllung der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) für die Dauer der Verarbeitung aufbewahrt; nach einer Abmeldung wird Ihre Adresse ausschließlich auf einer Sperrliste geführt, um weitere Zusendungen zu verhindern.

5. Fotos, Downloads und Datenminimierung

Pixalo verfolgt konsequent das Prinzip der Datenminimierung:

• Vorschaubilder: Niedrig aufgelöst, wasserzeichenbehaftet. Kein Zugriff auf Originale ohne Kauf.
• Download-Links: Gültig für den vom Fotografen festgelegten Zeitraum (7 bis 90 Tage ab Bestellung, Voreinstellung 7 Tage). Nach Ablauf ist kein Zugriff mehr möglich.
• Endkundendaten: Werden ausschließlich nach Weisung des Tenants verarbeitet (Auftragsverarbeitung).

6. Speicherfristen

7. Hosting und Infrastruktur

Die Plattform wird auf Servern innerhalb der Europäischen Union betrieben (Amazon Web Services, Region Frankfurt/eu-central-1 — Hosting, Datenbank, Objektspeicher, tägliche Datenbank-Backups sowie E-Mail-Versand über Amazon SES).

Für die Auslieferung von Inhalten kommen Amazon CloudFront sowie das Netzwerk von Cloudflare (DNS, Reverse-Proxy, TLS-Terminierung, DDoS-Schutz) zum Einsatz; dabei können verschlüsselte Inhalte und Verbindungsdaten an weltweiten Standorten zwischengespeichert oder verarbeitet werden (siehe Abschnitt 9). Eine vollständige Liste der Unterauftragsverarbeiter enthält Anlage 2 des AVV.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO

8. Mobile App (Pixalo Photographer)

Die Pixalo Mobile App wird von Fotografen verwendet, um Shooting-Sessions zu starten und Schüler-Tags zu erstellen.

Die App speichert oder verarbeitet keine Fotos direkt auf dem mobilen Gerät. Fotos werden später über das Pixalo Dashboard verarbeitet.

Die App kann folgende Daten übertragen:

• Session-ID
• Tagging-Informationen (Zuordnung von Schülern zu Fotos)
• Benutzerkonto des Fotografen (Authentifizierung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

9. Drittlandübermittlung

Sofern personenbezogene Daten in Länder außerhalb der EU/des EWR übermittelt werden, geschieht dies ausschließlich auf Grundlage von:

• Angemessenheitsbeschlüssen der EU-Kommission (Art. 45 DSGVO, z. B. EU-US Data Privacy Framework)
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• Zusätzlichen technischen und organisatorischen Schutzmaßnahmen

10. Cookies und Tracking

Pixalo verwendet ein Cookie-Einwilligungsbanner gemäß § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ihre Auswahl wird lokal in Ihrem Browser gespeichert und kann dort jederzeit geändert oder gelöscht werden.

Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Plattform erforderlich und werden ohne Einwilligung gesetzt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO

Analyse-Cookies

Statistik- und Analyse-Tools (derzeit Google Analytics) werden nur nach ausdrücklicher Einwilligung aktiviert. Dabei können Daten in die USA übermittelt werden; Grundlage sind das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Die Einwilligung kann jederzeit über das Cookie-Banner widerrufen werden.

Meta-Pixel (Facebook und Instagram)

Auf Teilen unserer Website – insbesondere auf Kampagnen-Landingpages sowie auf den Anmelde- und Registrierungsseiten – setzen wir den Meta-Pixel der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) ein. Der Pixel wird ausschließlich nach Ihrer ausdrücklichen Einwilligung geladen. Erteilen Sie keine Einwilligung, wird kein Skript von Meta geladen und es werden keine Daten an Meta übertragen.

Zweck ist die Messung und Auswertung unserer Werbeanzeigen auf Facebook und Instagram: Wir erfahren, ob eine Anzeige zu einem Seitenaufruf oder zu einer Registrierung für die kostenlose Testphase geführt hat, und können unsere Anzeigen entsprechend ausrichten. Meta verarbeitet dabei unter anderem Ihre IP-Adresse, Angaben zu Browser und Endgerät, die aufgerufene Seite sowie die ausgelösten Ereignisse (z. B. „Seitenaufruf“, „Interesse an der Testphase“, „Registrierung abgeschlossen“).

Ergänzend übermitteln wir dieselben Ereignisse über die Conversions API von unserem Server an Meta. Grund dafür ist, dass Browser-Erweiterungen und Tracking-Schutzmechanismen den Pixel häufig blockieren; ohne diesen zweiten Weg wäre die Messung unvollständig. Übertragen werden dabei die oben genannten Daten sowie eine SHA-256-verschlüsselte Fassung Ihrer E-Mail-Adresse, sofern Sie sich registriert haben — Ihre E-Mail-Adresse selbst erhält Meta zu keinem Zeitpunkt im Klartext. Beide Wege senden dieselbe Ereignis-Kennung, damit ein Vorgang nur einmal gezählt wird. Auch diese serverseitige Übermittlung findet ausschließlich mit Ihrer Einwilligung statt; widerrufen Sie sie, unterbleibt sie vollständig.

Für die Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO; die Einzelheiten sind im „Zusatz für Verantwortliche“ von Meta geregelt. Für die anschließende Verarbeitung der Daten ist Meta allein verantwortlich.

Eine Übermittlung von Daten in die USA kann nicht ausgeschlossen werden. Grundlage sind das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über das Cookie-Banner widerrufen. Weitere Informationen zur Datenverarbeitung durch Meta finden Sie in der Datenschutzrichtlinie von Meta.

11. Weitergabe von Daten

Eine Weitergabe personenbezogener Daten erfolgt ausschließlich:

• zur Vertragserfüllung (z. B. Zahlungsabwicklung über Stripe)
• bei Vorliegen einer gesetzlichen Verpflichtung
• im Rahmen der Auftragsverarbeitung mit entsprechenden Verträgen
• an Meta Platforms Ireland Limited zur Messung und Ausrichtung unserer Werbeanzeigen – ausschließlich nach Ihrer Einwilligung (siehe Abschnitt 10.3)

Ein Verkauf Ihrer Daten findet nicht statt. Eine Übermittlung zu Werbezwecken erfolgt ausschließlich im Rahmen des in Abschnitt 10.3 beschriebenen Meta-Pixels und nur dann, wenn Sie zuvor ausdrücklich eingewilligt haben.

12. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

13. Rechte der betroffenen Personen

Betroffene Personen haben folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten bestehen
• Einschränkung (Art. 18 DSGVO) der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richten Sie bitte an: [email protected]

Sofern Pixalo als Auftragsverarbeiter tätig ist, sind Anfragen an den jeweiligen Verantwortlichen (Tenant) zu richten.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

13.1 Recht auf Datenlöschung

Nutzer haben das Recht, die Löschung ihres Benutzerkontos sowie aller zugehörigen personenbezogenen Daten zu verlangen (Art. 17 DSGVO).

Die Löschung erfolgt in der Regel innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. steuer- oder handelsrechtliche Pflichten gemäß § 147 AO, § 257 HGB) bestehen.

14. Änderungen dieses Datenschutzhinweises

Dieser Datenschutzhinweis kann bei rechtlichen, technischen oder organisatorischen Änderungen angepasst werden. Die aktuelle Version ist jederzeit auf dieser Seite abrufbar.