Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist FastTip Sp. z o.o. mit Sitz in Kraków (os. 2 Pułku Lotniczego 13 lok. 2, 31-868 Kraków, Polen), NIP: 6751808533, KRS: 0001148920, Registergericht: Rayongericht für Kraków-Śródmieście in Kraków, XI. Wirtschaftsabteilung des KRS, Stammkapital: 5.000,00 PLN („Verantwortlicher“). Kontakt zu Datenschutzthemen: [email protected].

2. Rechtsgrundlagen und Zwecke

Personenbezogene Daten werden auf folgenden Rechtsgrundlagen verarbeitet:

• Art. 6 Abs. 1 lit. b DSGVO - Vertragserfüllung (Bereitstellung des Dienstes, Abonnement).
• Art. 6 Abs. 1 lit. c DSGVO - rechtliche Verpflichtung (z. B. Rechnungen, Steuer- und Buchführungsrecht).
• Art. 6 Abs. 1 lit. f DSGVO - berechtigtes Interesse (Sicherheit, Missbrauchsprävention, Produktentwicklung).
• Art. 6 Abs. 1 lit. a DSGVO - Einwilligung (rein marketingbezogene Maßnahmen, sofern erteilt).

Die Angabe von Daten ist freiwillig, für ein Konto und kostenpflichtige Funktionen jedoch erforderlich.

3. Kategorien der Daten

• Kryptografische Hashwerte der Gerätekennung und der IP-Adresse - ausschließlich zur Vergabe des einen kostenlosen Bildes (Ziffer 8).
• E-Mail-Adresse und Google-Kennung (bei OAuth-Anmeldung).
• Firmenname, Adresse, USt-IdNr. (Abrechnung).
• Zahlungsdaten - Verarbeitung durch Stripe, Inc.; der Verantwortliche speichert keine vollständigen Kartennummern.
• Hochgeladene Quelldateien und KI-generierte Inhalte.
• Server-Logs: IP-Adresse, Browsertyp, Zeitstempel.

4. Auftragsverarbeiter

Zur Erbringung des Dienstes können Daten an Auftragsverarbeiter übermittelt werden:

• PostHog (Produktanalyse) - nur nach Einwilligung; Verarbeitung auf Servern in der Europäischen Union.
• Functional Software, Inc. (Sentry) - Erkennung von Fehlern im Dienst und in der App; ein Fehlerbericht enthält die Fehlermeldung, die Stelle im Code und die Version von App, Browser oder Betriebssystem, aber weder die IP-Adresse noch hochgeladene Fotos; Verarbeitung auf Servern in der Europäischen Union auf Grundlage des berechtigten Interesses des Verantwortlichen (Art. 6 Abs. 1 lit. f DSGVO).
• Meta Platforms Ireland Limited - Messung der Werbewirkung, nur nach Einwilligung; übermittelt wird ausschließlich ein nicht umkehrbarer Hash der E-Mail-Adresse, niemals die Adresse im Klartext.
• TikTok Technology Limited - Messung der Werbewirkung, nur nach Einwilligung; übermittelt werden ausschließlich nicht umkehrbare Hashes der E-Mail-Adresse und der Kontonummer, niemals die Werte im Klartext.
• Stripe, Inc. - Zahlungen und Abonnements.
• Google LLC - OAuth, Cloud-Infrastruktur.
• Spezialisierte KI-Modellanbieter - ausschließlich zur Generierung von Inhalten auf Anforderung des Nutzers.
• Anbieter der Dateispeicher-Infrastruktur (Object Storage) - Speicherung hochgeladener Materialien und generierter Inhalte.
• Anbieter für mobile Abo-Abrechnung - Abwicklung von In-App-Käufen (App Store / Google Play).
• Hosting- und Buchhaltungsdienstleister von FastTip Sp. z o.o.

5. Speicherdauer

• Kontodaten: für die Dauer des Kontos und bis zu 30 Tage nach Löschung.
• KI-Inhalte: solange das Konto aktiv ist; bei Löschung endgültige Entfernung.
• Rechnungsbelege: 5 Jahre ab Ende des Kalenderjahres, in dem die Steuerfälligkeit ablief (gesetzliche Pflicht).

6. Ihre Rechte

Nach DSGVO haben Sie unter anderem folgende Rechte:

• Auskunft über Ihre personenbezogenen Daten.
• Berichtigung unrichtiger Daten.
• Löschung („Recht auf Vergessenwerden“).
• Einschränkung der Verarbeitung und Datenübertragbarkeit.
• Widerspruch gegen bestimmte Verarbeitungen.
• Beschwerde bei einer Aufsichtsbehörde (in Polen: Präsident des Amts für den Schutz personenbezogener Daten, UODO).

Kontakt: [email protected].

7. Cookies und Drittlandübermittlungen

Die Website verwendet technisch notwendige Cookies (u.a. Sitzungsverwaltung, Sicherheit, CSRF-Schutz bei der API-Kommunikation). Die Web-Anwendung kann Anmelde-Token und Oberflächeneinstellungen (z.B. Sprache) im Local Storage des Browsers speichern. Analysewerkzeuge werden ausschließlich nach Einwilligung über das Banner gestartet und speichern bis dahin nichts im Browser und senden keine Anfragen; Einzelheiten in Ziffer 8. Einige Auftragsverarbeiter (z.B. Stripe, Google) können Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten. Der Verantwortliche stellt sicher, dass solche Übermittlungen auf Standardvertragsklauseln (SCC) oder anderen von der Europäischen Kommission genehmigten Mechanismen beruhen.

8. Produktanalyse und Gerätekennung

Nach Einwilligung in die Analyse verarbeitet PostHog außerdem eine Installationskennung, Angaben zu Gerät und Betriebssystem sowie das ungefähre Land, die Region oder Stadt, die aus der IP-Adresse abgeleitet werden. Die App fragt für die Analyse keinen GPS-Standort ab. Fehlerberichte aus der App enthalten die Kontokennung, den eingegebenen Text, App- und Systemversion, Sprache und einen optionalen Screenshot. Berichte und Anhänge werden zur Bearbeitung Ihrer Anfrage nicht öffentlich gespeichert. Käufe in mobilen App-Stores werden nicht an Werbenetzwerke übermittelt; die oben beschriebene Werbemessung gilt für die Website.

Diese Ziffer beschreibt zwei getrennte Vorgänge. Sie haben unterschiedliche Rechtsgrundlagen und werden deshalb getrennt dargestellt.

Produktanalyse. Der Verantwortliche setzt PostHog ein, um festzustellen, welche Teile der Website und der App genutzt werden und welche Schwierigkeiten bereiten. Erfasst werden Ereignisse wie Seitenaufruf, Beginn und Abschluss einer Bilderzeugung, Aufruf der Preisübersicht und Start eines Zahlungsvorgangs, nach der Anmeldung zusätzlich die Konto-Kennung. Die Daten werden auf Servern von PostHog in der Europäischen Union verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, also die Einwilligung. Bis zu ihrer Erteilung wird das Werkzeug überhaupt nicht gestartet und sendet keine Daten. Unabhängig von der Einwilligung übermittelt der Server des Dienstes an PostHog nur Zahlen: wie viele Käufe, neue Konten und abgeschlossene Generierungen es gab. Darin stehen weder eine Konto-ID noch eine IP-Adresse oder andere Angaben, über die sich eine Person erkennen lässt. Die Einwilligung kann jederzeit widerrufen werden: auf der Website durch Löschen der Websitedaten im Browser, in der mobilen App per Nachricht an [email protected]. Sitzungsaufzeichnung ist deaktiviert. Der Inhalt hochgeladener Fotos wird nicht an das Analysewerkzeug übermittelt.

Messung der Werbewirkung. Willigt der Nutzer in die Analyse ein, setzt der Verantwortliche zusätzlich Meta Pixel und die Conversions API sowie TikTok Pixel und die Events API ein, um festzustellen, welche Werbekampagnen zu einem kostenpflichtigen Abonnement führen. Übermittelt werden der Seitenaufruf, der Abschluss der Registrierung sowie die Tatsache einer bezahlten Subskription samt Betrag. Zur Zuordnung eines Kaufs zu einem Anzeigenklick wird ein nicht umkehrbarer kryptografischer Hash der E-Mail-Adresse (SHA-256) übermittelt, im Fall von TikTok zusätzlich ein ebensolcher Hash der beim Verantwortlichen geführten Kontonummer; im Klartext verlassen diese Werte die Systeme des Verantwortlichen nicht. Inhalte hochgeladener Fotos werden nicht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, also die Einwilligung, dieselbe, die für die Produktanalyse gilt. Bis zu ihrer Erteilung startet das Werkzeug überhaupt nicht. Die Einwilligung kann jederzeit auf die oben beschriebene Weise widerrufen werden.

Gerätekennung und das eine kostenlose Bild. Jedes neu angelegte Konto erhält einmalig eine kostenlose Bilderzeugung. Um festzustellen, ob ein Gerät sie bereits genutzt hat, übermittelt die Anwendung eine Gerätekennung, die sofort in einen nicht umkehrbaren kryptografischen Hash (HMAC) umgewandelt und nur in dieser Form gespeichert wird. Ebenso wird die IP-Adresse behandelt, deren Hash allein dem Schutz vor massenhaftem Anlegen von Konten dient. Weder die rohe Gerätekennung noch die rohe IP-Adresse werden in diesem Verzeichnis gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an der Missbrauchsverhinderung: ohne diesen Mechanismus könnte dieselbe Person beliebig viele Konten anlegen und unbegrenzt kostenlose Erzeugungen beziehen. Der Vorgang dient weder Profilbildung noch Marketing und hängt nicht von der Einwilligung in die Analyse ab. Die Hashwerte werden für die Dauer des Kontos gespeichert. Gegen diese Verarbeitung besteht ein Widerspruchsrecht (Art. 21 DSGVO).