Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website (My Vision Board, myvisionboard.info) im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

MyTimeout GmbH
vertreten durch den Geschäftsführer Jens Schulze
Fontaneallee 27
15738 Zeuthen
Deutschland
E-Mail: mail@mytimeout.info
Telefon: 015152000600

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht. Bei allen Fragen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse.

2. Das Wichtigste in Kürze

• Wir setzen keine Tracking-, Analyse- oder Werbe-Cookies ein und binden keine Social-Media-Plugins ein.
• Schriften und Programmbibliotheken liegen auf unserem eigenen Server – beim Surfen werden keine Daten an Google oder andere Dritte übertragen.
• Deine Boards und eigenen Fotos sind privat und nur in deinem Konto sichtbar.
• Daten geben wir nur weiter, wenn es für deine Bestellung nötig ist: an unseren Zahlungsdienstleister Stripe und an unsere Druckerei. Wir verkaufen keine Daten.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für eine funktionsfähige Website sowie unsere Inhalte und Leistungen erforderlich ist. Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen (z. B. Nutzerkonto, Bestellung)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Pflicht (z. B. steuer- und handelsrechtliche Aufbewahrung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (z. B. sicherer Betrieb der Website, Schutz vor Missbrauch)
• Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung, sofern wir dich um eine bitten

4. Hosting und Server-Logfiles

Diese Website wird in Deutschland gehostet bei:
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland.

Alle Inhalte der Website – auch dein Konto, deine Boards und deine hochgeladenen Fotos – werden auf den Servern dieses Anbieters gespeichert. Auch unsere E-Mails (z. B. Bestellbestätigungen) werden über die Mailserver dieses Anbieters versendet. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; er verarbeitet die Daten nur nach unserer Weisung.

Bei jedem Aufruf der Website werden automatisch Informationen in sogenannten Server-Logfiles erfasst, die dein Browser übermittelt:

• IP-Adresse (gekürzt)
• Datum und Uhrzeit der Anfrage
• aufgerufene Seite bzw. Datei und übertragene Datenmenge
• Browsertyp und -version, Betriebssystem
• Referrer-URL (die zuvor besuchte Seite)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technisch fehlerfreien Darstellung und der Sicherheit der Website. Die Logfiles werden nach kurzer Zeit automatisch gelöscht, sofern sie nicht zur Aufklärung eines konkreten Missbrauchs benötigt werden.

Schutz vor massenhaften Versuchen

Zum Schutz vor Missbrauch (z. B. massenhafte Login-Versuche, Passwort-Raten, Ausprobieren von Gutschein- oder Rabattcodes) verarbeiten wir die IP-Adresse außerdem kurzzeitig in unserer Anwendung. Wir speichern dafür nur einen nicht umkehrbaren Hash-Wert und löschen ihn nach Ablauf des jeweiligen Zeitfensters, spätestens nach einem Tag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Automatische Sperre bei Angriffsversuchen

Automatisierte Programme durchsuchen Websites ständig nach Sicherheitslücken, z. B. indem sie gezielt nach Konfigurationsdateien, fremden Admin-Bereichen oder nicht vorhandenen Programmdateien fragen. Um unsere Website und deine Daten davor zu schützen, erkennt unsere Anwendung solche Anfragen automatisch. Wer nicht eingeloggt ist und mehrere solcher Anfragen stellt (in der Regel drei innerhalb von 24 Stunden) oder in kurzer Zeit sehr viele nicht vorhandene Seiten aufruft, wird vorübergehend gesperrt und erhält nur noch den Hinweis „Zugriff gesperrt“. Impressum und Datenschutzerklärung bleiben auch dann erreichbar.

Dafür speichern wir zu auffälligen Anfragen:

• die vollständige IP-Adresse (nötig, um genau diese Adresse sperren zu können)
• die aufgerufene Adresse und den Grund (z. B. „Suche nach Konfigurationsdatei“)
• eine grobe Kennung des Browsers bzw. Programms (z. B. „Bot“ oder „Safari · Mac“)
• Zeitpunkt, Anzahl der Versuche und die Dauer einer Sperre

Normale Besuche, ein Tippfehler in der Adresse oder ein veralteter Link führen nicht zu einer Sperre. Eingeloggte Nutzer werden nie automatisch gesperrt.

Speicherdauer: Einträge ohne Sperre löschen wir nach 7 Tagen automatisch. Eine Sperre dauert in der Regel 30 Tage und endet dann von selbst. Den Eintrag löschen wir 30 Tage nach dem Ende der Sperre automatisch. Diese Daten sind nicht Teil unserer Datensicherungen.

Die Daten sieht nur der Hauptverwalter der Website. Wir geben sie nicht an Dritte weiter, es sei denn, dies ist zur Verfolgung eines konkreten Angriffs erforderlich (z. B. an Ermittlungsbehörden). Im Einzelfall schlagen wir eine gesperrte IP-Adresse von Hand bei einem öffentlichen Auskunftsdienst nach, um den Netzbetreiber zu erkennen (z. B. eine Suchmaschine). Hältst du eine Sperre für einen Irrtum, schreib uns an mail@mytimeout.info. Wir heben sie dann auf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz unserer Website, unserer Systeme und der Daten unserer Nutzer vor Angriffen.

Fehler- und Sicherheitsprotokoll

Damit wir technische Fehler finden und Missbrauch nachvollziehen können, führt unsere Anwendung ein Protokoll. Darin stehen Meldungen wie „Seite nicht gefunden“, „Zahlung bestätigt“ oder „Zugriff verweigert“, jeweils mit Zeitpunkt, der aufgerufenen Adresse und ggf. der Seite, von der du kamst. Bist du eingeloggt, wird der Eintrag deinem Nutzerkonto zugeordnet. Manche Meldungen enthalten außerdem deine E-Mail-Adresse oder eine Bestellnummer, z. B. beim Versand einer Bestellbestätigung.

Im Protokoll speichern wir keine IP-Adresse. Stattdessen verwenden wir ein kurzes Kürzel, das aus der IP-Adresse berechnet wird, nicht zurückgerechnet werden kann und täglich wechselt. Es zeigt nur, ob mehrere Einträge vom selben Absender stammen. Dazu kommt eine grobe Kennung des Browsers (z. B. „Safari · Mac“).

Speicherdauer: Einträge werden automatisch gelöscht, Hinweise nach 30 Tagen, Warnungen nach 90 Tagen und Fehlermeldungen nach 180 Tagen. Das Protokoll sieht nur der Hauptverwalter der Website, und es ist nicht Teil unserer Datensicherungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im fehlerfreien und sicheren Betrieb der Website sowie in der Aufklärung von Fehlern und Missbrauch.

5. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

• Login-Cookie (__Host-mvb_token): hält dich nach der Anmeldung eingeloggt, bis zu 30 Tage oder bis du dich abmeldest.
• Einladungs-Cookie (mvb_ref): wird nur gesetzt, wenn du über einen persönlichen Einladungslink kommst (siehe „Freunde werben“), Laufzeit 30 Tage.

Außerdem speichert der Editor einzelne Einstellungen direkt in deinem Browser (Local Storage), z. B. ob du die Einführungs-Tour schon gesehen hast oder dein als Gast begonnenes Board, damit es bei der Registrierung nicht verloren geht. Diese Daten bleiben auf deinem Gerät und werden nicht an uns übertragen, solange du nicht speicherst.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, da die Speicherung unbedingt erforderlich ist, um den von dir gewünschten Dienst bereitzustellen, sowie Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung per Cookie-Banner ist dafür nicht erforderlich.

Beim Bezahlen bindet unser Zahlungsdienstleister Stripe eigene, für die sichere Zahlung und Betrugsprävention notwendige Technik ein (siehe Punkt 9).

6. Nutzung als Gast

Du kannst den Editor ohne Registrierung als Gast nutzen. Dabei legen wir kein Konto an und speichern dein Board nicht dauerhaft auf unserem Server. Es werden lediglich die Server-Logfiles (Punkt 4) verarbeitet.

7. Registrierung und Nutzerkonto

Für ein kostenloses Konto erheben wir deinen Namen, deine E-Mail-Adresse und ein Passwort. Das Passwort speichern wir nur verschlüsselt (gehasht), niemals im Klartext. Zur Bestätigung deiner E-Mail-Adresse senden wir dir einen Link. Außerdem erhältst du E-Mails, die für dein Konto und deine Bestellungen notwendig sind (z. B. Bestellbestätigung, Versandinformation, Erinnerung vor dem Löschen eigener Fotos). Einen Newsletter versenden wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Kontodaten speichern wir, bis du die Löschung deines Kontos verlangst. Schreib uns dazu einfach eine kurze Nachricht an mail@mytimeout.info. Wir löschen dann dein Konto, deine Boards und Fotos, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. für Rechnungen) entgegenstehen.

8. Boards und eigene Fotos

Deine Boards (Gestaltung, Texte, gewählte Bilder) und ein kleines Vorschaubild speichern wir in deinem Konto, bis du das Board oder dein Konto löschst. Deine Boards sind nicht öffentlich.

Eigene Fotos hochladen

Mit einem Konto kannst du eigene Fotos hochladen, um sie auf deinem Board zu verwenden. Wir speichern dazu die Originaldatei unverändert (damit der Druck die volle Qualität hat) sowie eine verkleinerte Vorschau für den Editor auf unserem Server in Deutschland (Punkt 4). Die Fotos sind nicht öffentlich abrufbar; nur du – und zur Abwicklung von Bestellungen oder bei Meldungen rechtswidriger Inhalte unsere Administration – kannst sie sehen. Die Originaldatei kann Metadaten enthalten, die deine Kamera oder dein Handy hineinschreibt (z. B. Aufnahmezeit, Gerät, ggf. Standort). Wir werten diese nicht aus.

Speicherdauer: Eigene Fotos werden 30 Tage nach dem Hochladen automatisch und endgültig gelöscht (Original und Vorschau). Drei Tage vorher erinnern wir dich per E-Mail. Bestellst du ein Board mit eigenen Fotos, bewahren wir diese bis zur Herstellung und bis 30 Tage nach dem Versand auf (für Druck und mögliche Reklamationen) und löschen sie danach automatisch. Du kannst eigene Fotos jederzeit vorher selbst im Editor löschen. Das kleine Vorschaubild deines Boards bleibt in deinem Konto, bis du das Board löschst. Technisch bedingt können gelöschte Dateien noch für kurze Zeit in den Sicherungskopien unseres Hosters enthalten sein, bis diese turnusmäßig überschrieben werden.

Bitte lade nur Fotos hoch, an denen du die Rechte hast, und – wenn Personen zu sehen sind – nur mit deren Einverständnis. Wir geben deine Fotos nicht an Dritte weiter, außer bei einer Bestellung an unsere Druckerei (Punkt 9).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Bestellung, Zahlung und Druck

Bestellst du dein Board als Leinwand, verarbeiten wir deinen Namen, deine E-Mail-Adresse, Liefer- und ggf. Rechnungsadresse, die Bestelldaten sowie die Druckdatei deines Boards. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Rechnungen und Buchungsbelege bewahren wir aufgrund handels- und steuerrechtlicher Pflichten bis zu zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

Zahlung über Stripe: Die Zahlung wickeln wir über den Zahlungsdienstleister Stripe ab: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Deine Zahlungsdaten (z. B. Kartendaten) gibst du direkt in die Zahlungsmaske von Stripe ein; wir erhalten sie nicht, sondern nur die Bestätigung der Zahlung und eine Kennung des Zahlungsmittels (keine Kartennummer). Stripe erhebt dabei zur sicheren Zahlungsabwicklung und Betrugsprävention auch Geräte- und Verbindungsdaten und kann Daten an Konzerngesellschaften in den USA übermitteln. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich bestehen EU-Standardvertragsklauseln. Stripe handelt bei der Zahlungsabwicklung als eigenständig Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer sicheren Zahlung). Mehr dazu: Datenschutzerklärung von Stripe.

Druck und Versand über Print API: Zur Herstellung und zum Versand deiner Leinwand übermitteln wir die Druckdatei deines Boards, deinen Namen, deine Lieferadresse und deine E-Mail-Adresse (für die Versandbenachrichtigung) an unseren Druckpartner Galeri.nl B.V. (Handelsname „Print API“), Osloweg 45, 9723 BJ Groningen, Niederlande. Der Druckpartner übergibt die Sendung an einen Paketdienst, der dafür Name und Lieferadresse erhält. Mit dem Druckpartner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; die Verarbeitung erfolgt innerhalb der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Freunde werben und Guthaben

Rufst du unsere Seite über einen persönlichen Einladungslink auf, speichern wir den Einladungscode 30 Tage in einem Cookie (mvb_ref) auf deinem Gerät. Registrierst du dich in dieser Zeit, verknüpfen wir dein Konto mit dem Konto der einladenden Person. Die einladende Person sieht dabei nur Zahlen (z. B. „1 Freund registriert“), aber weder deinen Namen noch deine Bestellungen.

Um Missbrauch (Selbst-Einladung) zu verhindern, vergleichen wir automatisch die Lieferadresse sowie die Kennung des Zahlungsmittels, die uns Stripe übermittelt (keine Kartennummer). Guthaben-Buchungen speichern wir in deinem Kundenkonto, solange es besteht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Aktion, an der du teilnimmst) sowie Art. 6 Abs. 1 lit. f DSGVO (Verhinderung von Missbrauch). Das Cookie ist für die von dir gewünschte Gutschrift erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

11. Kontaktaufnahme und Reklamationen

Schreibst du uns per E-Mail oder über die Nachrichtenfunktion zu einer Bestellung, verarbeiten wir die von dir mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Nachricht, ggf. Fotos eines Schadens), um dein Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO. Die Daten löschen wir, wenn sie nicht mehr erforderlich sind und keine Aufbewahrungspflichten bestehen.

12. Schriftarten und Programmbibliotheken

Alle Schriftarten (z. B. Nunito, Playfair Display, Caveat) und Programmbibliotheken (z. B. Bootstrap, Konva) liegen auf unserem eigenen Server. Beim Aufruf der Website wird dafür keine Verbindung zu Servern Dritter (z. B. Google Fonts oder Content-Delivery-Netzwerke) aufgebaut. Einzige Ausnahme ist die Zahlungsmaske von Stripe im Bezahlschritt (Punkt 9).

13. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Wende dich dazu an mail@mytimeout.info.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, www.lda.brandenburg.de

14. Datensicherheit

Diese Website ist durchgehend per SSL/TLS verschlüsselt (erkennbar an „https://“ in der Adresszeile). Passwörter und Login-Schlüssel speichern wir nur als nicht umkehrbaren Hash-Wert.

Unsere Anwendung wehrt automatisierte Angriffe selbst ab (siehe Automatische Sperre). Damit bei einem technischen Fehler keine Daten verloren gehen, erstellen wir außerdem täglich eine Sicherungskopie unserer Datenbank. Sie liegt geschützt auf unserem Server in Deutschland (Punkt 4) und ist nur dem Hauptverwalter der Website zugänglich. Wir bewahren in der Regel die letzten 14 Sicherungen auf und löschen ältere automatisch. Gelöschte Daten können deshalb noch bis zu diesem Zeitraum in einer Sicherungskopie enthalten sein. Sicherungskopien verschicken wir nie per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem sicheren und zuverlässigen Betrieb) sowie Art. 32 DSGVO.

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenverarbeitung ändert (z. B. durch neue Funktionen, Dienstleister oder gesetzliche Vorgaben). Es gilt die jeweils hier veröffentlichte Fassung.