Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die im Impressum genannte Stelle.

2. Datenschutzbeauftragte/r

Nach unserer Einschätzung sind wir derzeit nicht zur Bestellung einer/eines Datenschutzbeauftragten verpflichtet: Bei AmSaTech sind aktuell 1–3 Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten befasst und damit deutlich unter der Schwelle von § 38 Abs. 1 BDSG (mindestens 20 Personen). Auch die in Art. 37 Abs. 1 DSGVO genannten Ausnahmefälle (u. a. umfangreiche regelmäßige und systematische Überwachung oder umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit) treffen auf unsere Tätigkeit nicht zu. Wir prüfen diese Einschätzung erneut, sobald unser Team wächst.

3. Allgemeines

Wir verarbeiten personenbezogene Daten nur im gesetzlich zulässigen Rahmen, insbesondere zur Erbringung unseres Dienstes (Erstellung und Verwaltung digitaler Gedenkseiten), zur Vertragserfüllung, aufgrund Ihrer Einwilligung oder auf Basis berechtigter Interessen (Art. 6 Abs. 1 DSGVO). Die jeweilige Rechtsgrundlage ist bei den einzelnen Verarbeitungszwecken unten angegeben.

4. Registrierung und Nutzerkonto

Bei der Registrierung eines Nutzerkontos erheben wir:

• E-Mail-Adresse (Login, Kommunikation, Sicherheitshinweise)
• Vor- und Nachname
• Passwort (nur als Hash gespeichert, nie im Klartext)
• Bevorzugte Sprache und Zeitzone
• Zeitpunkt und Version der akzeptierten AGB/Datenschutzerklärung

Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Die E-Mail-Adresse muss vor Nutzung des Kontos bestätigt werden.

5. Erstellung von Gedenkseiten

Beim Anlegen einer Gedenkseite für eine verstorbene Person können unter anderem folgende Angaben gespeichert werden: Name(n), Geburts- und Sterbedatum, Geburts- und Sterbeort, Geschlecht, Kurzbeschreibung, Lebensgeschichte, Zeitleiste, Fotos/Videos, Familienbeziehungen und Beziehung der erstellenden Person zur verstorbenen Person.

Besonderer Hinweis zu Daten Verstorbener: Die DSGVO gilt grundsätzlich nicht für Daten verstorbener Personen; das postmortale Persönlichkeitsrecht nach deutschem Zivilrecht besteht jedoch fort. Werden auf einer Gedenkseite auch lebende Angehörige namentlich genannt (z. B. in der Biografie oder im Familienstammbaum), handelt es sich insoweit um personenbezogene Daten dieser lebenden Personen; die erstellende Person ist dafür verantwortlich, hierfür eine geeignete Rechtsgrundlage zu haben (z. B. Einwilligung der genannten Angehörigen oder berechtigtes Interesse an der Erinnerungskultur, Art. 6 Abs. 1 lit. f DSGVO).

Die Sichtbarkeit jeder Gedenkseite (privat / nur mit Link bzw. QR-Code / öffentlich) legt die erstellende Person selbst fest und kann sie jederzeit ändern.

6. Besucherfunktionen (Kerzen, Blumen, Nachrichten)

Besucherinnen und Besucher einer öffentlichen oder per Link freigegebenen Gedenkseite können ohne eigenes Nutzerkonto virtuelle Kerzen und Blumen hinterlassen oder Nachrichten hinterlassen. Dabei wird ein anonymes Sitzungs-Cookie gesetzt (siehe Cookie-Hinweise); gespeichert wird ausschließlich ein Hashwert dieses Sitzungsgeheimnisses, keine IP-Adresse und kein sonstiges Geräte-Fingerprinting. Freiwillig angegebene Angaben (Name, Nachricht, Beziehung zur verstorbenen Person) werden vor Veröffentlichung durch die Verwaltenden der Gedenkseite geprüft (Moderation).

Zum Schutz vor Missbrauch (z. B. massenhaftes automatisiertes Absenden) protokollieren wir zusätzlich, wie oft von welcher Netzadresse aus Aktionen ausgeführt wurden – auch hier wird ausschließlich ein irreversibler Hashwert der Netzadresse gespeichert, keine Klartext-IP. Rechtsgrundlage: berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

7. Melden von Inhalten und interne Prüfung (Moderation)

Mitglieder einer Gedenkseite können einzelne Inhalte (Fotos, Erinnerungen, Vermächtnisnachrichten, Familienbeziehungen, Biografie, Zeitleisteneinträge) über die Funktion „Melden" beanstanden. Dabei speichern wir: Ihre Nutzerkennung, den beanstandeten Inhalt, einen von Ihnen gewählten Grund (z. B. Datenschutzverletzung, unangemessener Inhalt, Belästigung) sowie eine optionale Freitext-Erläuterung. Jede Meldung wird einem plattformweiten internen Prüfvorgang zur Entscheidung vorgelegt (siehe auch die DSA-Hinweise im Impressum). Rechtsgrundlage: berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Dienst sowie Erfüllung unserer gesetzlichen Pflichten als Hostingdiensteanbieter (Art. 6 Abs. 1 lit. f bzw. lit. c DSGVO). Meldedaten werden für die Dauer der Bearbeitung und danach zu Dokumentationszwecken gespeichert (siehe Abschnitt 11).

8. Fotos, Videos und andere Medien

Hochgeladene Bilddateien werden auf einem Objektspeicher abgelegt und automatisch auf Schadsoftware geprüft. Für die Anzeige erzeugte Vorschaubilder werden neu kodiert; dabei werden technische Metadaten wie EXIF-Daten (z. B. GPS-Koordinaten, Kameramodell) entfernt. Das Originalbild wird derzeit unverändert gespeichert und kann daher weiterhin eingebettete Metadaten enthalten. Wir empfehlen Nutzenden, vor dem Hochladen sensible Metadaten in eigener Verantwortung zu entfernen, sofern gewünscht.

9. Push-Benachrichtigungen

Wenn Sie Web-Push-Benachrichtigungen in Ihrem Browser aktivieren, speichern wir die dafür vom Browser bereitgestellten technischen Kennungen (Endpoint, Schlüsselmaterial) verschlüsselt sowie eine kurze Geräte-/Browserkennung. Sie können Push-Benachrichtigungen jederzeit in den Profileinstellungen oder über die Berechtigungen Ihres Browsers widerrufen; die Daten werden dann zeitnah bzw. spätestens nach 90 Tagen gelöscht. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die durch die aktive Aktivierung erteilt wird.

10. Empfänger und Auftragsverarbeiter

Wir setzen zur Erbringung unseres Dienstes folgende Kategorien technischer Dienstleister ein:

Mit Google als Auftragsverarbeiter gilt automatisch das Cloud Data Processing Addendum nach Art. 28 DSGVO, ohne dass eine gesonderte Unterzeichnung nötig ist; Vertragspartner für EU-Kundschaft ist dabei in der Regel Google Cloud EMEA Limited (Irland). Die gewählte Rechenzentrumsregion ist europe-west3 (Frankfurt), die Daten verbleiben damit innerhalb der EU; für etwaige Zugriffe durch die Google LLC (USA), z. B. zu Supportzwecken, gelten die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework. Ebenso gelten die jeweiligen Auftragsverarbeitungsverträge mit Cloudflare (Turnstile) und Brevo (SMTP) automatisch mit der Nutzung des jeweiligen Dienstes, ohne gesonderte Unterzeichnung.

Es findet keine Übermittlung von Daten an Werbe-, Analyse- oder Tracking-Dienste Dritter statt; Lumemora setzt keinerlei Analytics- oder Tracking-Tools ein.

11. Speicherdauer

Diese Fristen orientieren sich jeweils am Zweck der zugehörigen Verarbeitung (Wiederherstellungsmöglichkeit, Missbrauchsschutz, technische Bereitstellung, Rechenschaftspflicht) und damit am Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO; für diese Datenkategorien schreibt das Gesetz keine festen Fristen vor, sondern verlangt nur, dass die Dauer zum Zweck verhältnismäßig ist. Für die Sicherheits- und Protokolldaten ist noch keine konkrete Löschfrist technisch umgesetzt; bis dahin ist der Zugriff auf berechtigtes Personal beschränkt. Wir prüfen diese Werte regelmäßig, insbesondere bei wachsendem Betrieb.

12. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Ein Datenexport (Kontodaten, Einwilligungen, Support-Verlauf) sowie die Löschung Ihres Kontos können Sie direkt und selbstständig im Bereich „Datenschutz" Ihres Kontos anstoßen. Medien (Fotos/Videos) sind im automatisierten Export derzeit nicht enthalten; bitte wenden Sie sich hierfür an info@amsatech.de. Können oder wollen Sie sich nicht selbst in Ihrem Konto anmelden, kann unser Support einen Datenexport auch stellvertretend für Sie anstoßen, nachdem wir Ihre Identität in zumutbarer Weise überprüft haben.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde am Sitz des Verantwortlichen (Frankfurt am Main, Hessen):
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung finden Sie stets an dieser Stelle.