Datenschutzerklärung

Dominik Hennings, c/o flexdienst – #21838, Kurt-Schumacher-Straße 76, 67663 Kaiserslautern, Deutschland. Kontakt: kontakt@poesie-album.app. Vollständige Angaben im Impressum.

Das ist bei Poesiealbum geteilt, und der Unterschied ist wichtig:

Wir betreiben die Website, verwalten die Konten und speichern, welches Album zu wem gehört.

Die Gastgeberin oder der Gastgeber eines Albums entscheidet im privaten Umfeld, wer eingeladen wird und welche Bilder geteilt werden. Die Originale liegen grundsätzlich im persönlichen Google-Drive-, OneDrive- oder Dropbox-Konto dieser Person. Beim Schnell-Upload und für Vorschauen verarbeitet Poesiealbum Dateien zeitweise auch auf seinem Server. Poesiealbum ist für den sicheren Plattformbetrieb, Konten und eigene Moderationsentscheidungen verantwortlich. Ob für einen Host die Haushaltsausnahme der DSGVO greift, hängt von dessen tatsächlicher Nutzung ab.

Gespeichert werden deine E-Mail-Adresse, dein öffentlicher Benutzername, optional dein Vor- und Nachname und — bei der Anmeldung über Google — dein Google-Profilbild sowie die Kennung deines Google-Kontos. Dazu kommen Sitzungsdaten und die Alben, denen du mit deinem Konto beigetreten bist, damit sie in deiner Übersicht erreichbar bleiben.

Verbindest du Google Drive, OneDrive oder Dropbox, bewahren wir zusätzlich die Zugriffsschlüssel auf, mit denen die App in deinem Namen Dateien ablegen darf. Sie gelten ausschließlich für Ordner und Dateien, die diese App selbst angelegt hat. Google nutzt dafür drive.file, Microsoft den eingeschränkten Files.ReadWrite.AppFolder-Bereich, und bei Dropbox ist die App über den Zugriffstyp „App-Ordner“ auf einen eigenen Ordner beschränkt. Auf andere Dateien des verbundenen Speichers hat die App keinen Zugriff.

Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.

Ohne Konto brauchen wir nur den Namen, den du beim Beitreten angibst. Er wird zusammen mit einer Zufallskennung in einem Cookie gespeichert, damit du deine eigenen Uploads wiederfindest und zurückziehen kannst. Das Cookie gilt für genau ein Album, ist für JavaScript nicht lesbar und läuft nach 60 Tagen ab.

Der Name erscheint in der Galerie an deinen Uploads und wird auch in den Dateinamen im verbundenen Speicher der gastgebenden Person hinterlegt. Wähle also einen Namen, mit dem du dort einverstanden bist — ein Vorname genügt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Hochgeladene Dateien gehen entweder direkt aus deinem Browser in den Google Drive, OneDrive oder die Dropbox der gastgebenden Person oder werden – wenn der Gastgeber den Schnell-Upload aktiviert hat – vorübergehend auf unserem Server zwischengespeichert. Nach der erfolgreichen Übertragung zum Speicheranbieter wird diese temporäre Kopie automatisch gelöscht. Bei dauerhaftem Fehlschlag wird sie spätestens nach dem letzten Übertragungsversuch entfernt.

Bei Dropbox gilt das für große Dateien immer: Dropbox lässt einen Upload ohne Zugriffsschlüssel nur in einem Stück zu und begrenzt ihn dabei auf 140 MB. Größere Dateien — vor allem Videos — laufen deshalb auch ohne Schnell-Upload über unseren Server und werden dort nach der Übertragung ebenso gelöscht.

Ist die optionale Duplikaterkennung aktiviert, berechnen wir während dieser Zwischenspeicherung einen kryptografischen SHA-256-Prüfwert des Originals. Der Prüfwert wird beim Album gespeichert und nur dazu verwendet, identische Dateien innerhalb dieses Albums nicht erneut zu übertragen. Aus dem Prüfwert lässt sich das Foto oder Video nicht wiederherstellen.

Auf dem Server liegen daneben verkleinerte Vorschaubilder und, bei Videos, eine Fassung in geringerer Auflösung. Sie werden beim ersten Abruf erzeugt, damit die Galerie schnell lädt, und lassen sich jederzeit folgenlos löschen — das Original bleibt beim Speicheranbieter. Sie werden spätestens entfernt, wenn der zugehörige Medieneintrag oder das Album endgültig gelöscht wird; technische Sicherungskopien werden danach im regulären Backup-Zyklus überschrieben.

Bilder können Aufnahmeort und -zeit enthalten. Diese Angaben stecken in der Datei selbst; wir werten sie nicht aus, geben sie aber unverändert an den Speicheranbieter weiter.

Für Gastgeber und Co-Hosts protokollieren wir innerhalb eines Albums, wer Dateien hinzugefügt, freigegeben, ausgeblendet oder gelöscht und wer Einstellungen geändert hat. Gespeichert werden dabei der angezeigte Name, Zeitpunkt, Art der Aktion und bei Einstellungen die geänderten Werte. Zugangscodes werden niemals im Klartext protokolliert. Das Protokoll ist nur für die Verwalter des jeweiligen Albums sichtbar und wird mit dem Album gelöscht.

Nur technisch notwendige: eines für die Anmeldung, eines je Album für die Gastteilnahme, eines zum Schutz der Formulare vor Fälschung. Keine Analyse, kein Tracking, keine Werbenetzwerke — und deshalb auch kein Zustimmungsbanner.

Deine IP-Adresse wird verwendet, um die Zahl der Uploads und der Versuche bei der Codeeingabe zu begrenzen. Sie steht dafür kurzzeitig im Arbeitsspeicher und wird nicht in der Datenbank gespeichert — mit dem Ende des Zeitfensters, spätestens beim nächsten Neustart, ist sie weg.

Rechtsgrundlage: berechtigtes Interesse am Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO.

OVHcloud stellt den Server. Standort ist Deutschland; die Daten verlassen die EU dabei nicht.

Google (Google Ireland Ltd.) betreibt die Anmeldung mit Google-Konto und den Drive-Speicher. Dabei werden Daten auch in die USA übertragen; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Wer das vermeiden möchte, meldet sich stattdessen per E-Mail-Code an und nimmt an Alben als Gast teil — der Weg funktioniert ohne Google-Konto.

Microsoft (Microsoft Ireland Operations Ltd.) stellt optional OneDrive als Albumspeicher bereit. Dabei können Daten auch in die USA übertragen werden; Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert. Die Verbindung ist freiwillig.

Dropbox (Dropbox International Unlimited Company, Irland) steht ebenfalls als Albumspeicher zur Verfügung. Dabei können Daten auch in die USA übertragen werden; Dropbox, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Auch diese Verbindung ist freiwillig.

Für den Versand der Anmeldecodes nutzen wir Resend (Resend Inc., Versand über die EU-Region). Dorthin geht dabei deine E-Mail-Adresse.

Beim Kontaktformular speichern wir Name, E-Mail-Adresse, Kategorie, Betreff und Nachricht. Bei einer Inhaltsmeldung speichern wir außerdem das betroffene Album oder Medium, den Meldegrund, deine Beschreibung sowie unsere Bearbeitungsentscheidung. Diese Angaben benötigen wir zur Bearbeitung, Missbrauchsabwehr und nachvollziehbaren Moderation (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Deine IP-Adresse wird ausschließlich im flüchtigen Rate-Limit verwendet und nicht zusammen mit der Anfrage gespeichert.

Kontodaten bleiben, bis du das Konto löschst. Ein Album samt Zuordnungen verschwindet, wenn die gastgebende Person es löscht. Anmeldecodes laufen nach 10 Minuten ab, Sitzungen nach 30 Tagen ohne Nutzung.

Abgeschlossene Kontaktanfragen löschen wir nach 12 Monaten, abgeschlossene Inhaltsmeldungen nach 24 Monaten. Offene Vorgänge bleiben, bis sie erledigt sind.

Eingriffe der Administration werden protokolliert, damit sie nachvollziehbar bleiben; ein Eintrag enthält die Adresse der handelnden Person und die Kennung des betroffenen Kontos. Einträge zu Support- und Meldevorgängen löschen wir nach 24 Monaten, alle übrigen nach 36 Monaten — das entspricht der regelmäßigen Verjährungsfrist (§ 195 BGB).

Nachweise über angenommene Nutzungsbedingungen enthalten die Nutzer-ID, Dokumentversion, Anmeldeart und den Zeitpunkt. Während das Konto besteht, benötigen wir sie zur Vertragsdokumentation. Nach einer Kontolöschung bewahren wir sie nur so lange auf, wie dies zur Abwehr oder Durchsetzung möglicher Ansprüche erforderlich ist, regelmäßig höchstens drei Jahre ab Ende des Kalenderjahres.

Die Dateien beim verbundenen Speicheranbieter löscht ausschließlich die gastgebende Person — löschen wir ein Album, bleiben die Originale in deren Speicher erhalten.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Eine formlose E-Mail an die im Impressum genannte Adresse genügt.

Auskunft und Übertragbarkeit brauchen keine Anfrage: In deinem Profil lädst du unter „Deine Daten mitnehmen“ jederzeit selbst eine vollständige Kopie als JSON-Datei herunter. Ebenso kannst du dein Konto dort eigenständig löschen.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa der des Bundeslandes, in dem du wohnst.

Gegen eine Moderationsentscheidung kannst du unter Angabe der Referenz per Antwort auf die Entscheidungs-E-Mail oder über das Kontaktformular eine erneute Prüfung verlangen. Gesetzliche Rechtsbehelfe bleiben unberührt.