Rechtliches

Datenschutzerklärung

Stand: 21. Oktober 2026 · Alle Rechtsdokumente

Diese deutsche Fassung ist die verbindliche.

1. Verantwortliche und Kontakt

Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Matthias Anderer GmbH
Abt-Kaspar-Str. 19, 83607 Holzkirchen, Deutschland
Geschäftsführer: Matthias Anderer
E-Mail: privacy@snapories.com · Telefon: +49 151 22837719
Amtsgericht München HRB 224848 · USt-IdNr. DE305934264

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte: privacy@snapories.com.

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist derzeit nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nach unserer Prüfung nicht vor. Ändert sich das, veröffentlichen wir die Kontaktdaten an dieser Stelle.

---

2. Wofür wir verantwortlich sind — und wofür die Veranstalter:in

Snapories wird immer im Rahmen eines Events genutzt, das jemand gebucht hat. Wer datenschutzrechtlich verantwortlich ist, hängt davon ab, wer bucht:

Unabhängig davon sind wir stets eigene Verantwortliche für: Vertragsabwicklung und Abrechnung, Betriebs- und IT-Sicherheit, Missbrauchsabwehr, aggregierte Nutzungszahlen ohne Personenbezug, die Messung unserer eigenen Werbung (Ziffer 4) sowie die Erfüllung gesetzlicher Pflichten.

Für die Gäste-App haben wir außerdem eine unmittelbare Beziehung zu dir als Gast: Du nutzt die App auf eigenen Entschluss; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis).

---

3. Die sechs Oberflächen im Überblick

Snapories besteht aus sechs getrennten Websites/Anwendungen. Sie liegen auf eigenen Domains und teilen keinen Speicher im Browser — mit Ausnahme der Cookies des Reddit-Pixels, die nur nach deiner Einwilligung auf der Marketing-Website entstehen (Ziffer 4.6):

---

4. Marketing-Website (snapories.com)

4.1 Server-Logdaten. Beim Aufruf werden technisch erforderliche Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Statuscode, übertragene Datenmenge, Referrer, User-Agent. Zweck: Auslieferung, Stabilität, IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot). Speicherdauer: kurzfristig im Rahmen der Betriebsprotokolle unseres Hosting-Anbieters.

Unser Auslieferungsnetz schreibt für die Marketing-Website zusätzlich ein Zugriffsprotokoll mit denselben Angaben. Wir werten es einmal täglich aus, um zu zählen, welche Seiten automatisierte Programme (etwa die Crawler von Suchmaschinen) abrufen, und um Programme zu erkennen, die sich als solche ausgeben, ohne es zu sein. Gespeichert wird danach nur, wie oft ein solches Programm eine Seite an einem Tag abgerufen hat — ohne IP-Adresse. Das Protokoll selbst wird nach 7 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die Auffindbarkeit der Website zu beobachten und missbräuchliche Abrufe zu erkennen).

4.2 Seitenzählung ohne Cookie. Damit wir wissen, welche Seiten weiterhelfen und an welcher Stelle das Buchungsformular Besucher:innen verliert, sendet jede Seite unserem eigenen Server eine kurze Meldung: welche Seite aufgerufen wurde, wie weit du im Buchungsformular gekommen bist, die Domain der verweisenden Seite (nicht deren vollständige Adresse) sowie Kampagnenangaben, die in der Adresse standen, über die du auf die Website gekommen bist (etwa utm_source oder die Klickkennung eines Werbenetzwerks). Diese Meldung enthält keine Kennung und setzt weder ein Cookie noch einen anderen Eintrag auf deinem Gerät.

Um die Seiten eines Besuchs zusammenzufassen, bildet unser Server aus deiner IP-Adresse — gekürzt auf den Netzbereich (IPv4 /24, IPv6 /64) — und einem täglich neu erzeugten Zufallswert einen Hashwert. Er dient nur dazu, einen laufenden Besuch wiederzufinden; gespeichert wird zu einem Besuch eine zufällige Nummer, die nach 30 Minuten ohne Seitenaufruf verfällt. Der tägliche Zufallswert wird nach 2 Tagen gelöscht; danach lässt sich auch von uns nicht mehr nachvollziehen, welcher Netzbereich zu welchem Besuch gehörte. Den User-Agent deines Browsers lesen wir dabei nur, um erklärte Crawler auszusortieren; er wird nicht gespeichert. Was bleibt, sind zusammengefasste Tageszahlen — Seitenaufrufe, Besuche, Schritte im Buchungsformular, Herkunft der Besuche — ohne Bezug zu einer Person. Die Daten verlassen unsere eigenen Systeme nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, zu verstehen, welche Inhalte genutzt werden und wo die Buchung scheitert, um das Angebot zu verbessern. Deine Interessen sehen wir dadurch gewahrt, dass keine Kennung über einen Besuch hinaus entsteht, nichts auf deinem Gerät gespeichert wird, kein Profil gebildet und nichts an Dritte weitergegeben wird. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Ziffer 13). Weil die Zählung ohne Kennung arbeitet, erkennen wir dich bei einem späteren Besuch nicht wieder und können einen Widerspruch deshalb keinem künftigen Besuch zuordnen; die Meldung selbst lässt sich aber jederzeit mit einem Inhaltsblocker in deinem Browser unterbinden, ohne dass die Website dadurch eingeschränkt wird.

4.3 Buchungsformular. Zur Buchung verarbeiten wir Name, E-Mail-Adresse, Rechnungsanschrift und Land, Eventname und -zeitraum, gewählte Gästezahl und Kontingente sowie einen etwaigen Rabattcode. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), für die Rechnungs- und Steuerdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO (§ 14 UStG, § 147 AO).

Bist du über eine Anzeige oder einen Kampagnenlink auf die Website gekommen, speichern wir zur Buchung außerdem die Kampagnenangaben aus der Einstiegsadresse (Quelle, Kampagne, Klickkennung des Werbenetzwerks), die Einstiegsadresse selbst und die daraus abgeleitete Herkunft der Buchung. So erkennen wir, welche Werbung zu Buchungen führt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, den Erfolg der eigenen Werbung zu messen). Diese Angaben bleiben bei uns. An ein Werbenetzwerk gehen sie nur mit deiner Einwilligung nach Ziffer 4.6; nur dann erfassen wir bei der Buchung zusätzlich deine IP-Adresse und deine Browserkennung (User-Agent), und zwar nur kurzzeitig für diese Meldung (Ziffer 4.6, 14).

4.4 Kontaktaufnahme. Schreibst du uns, verarbeiten wir deine Angaben zur Beantwortung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie nicht mehr benötigt wird und keine Aufbewahrungspflicht entgegensteht.

4.5 Deine Wahl beim ersten Besuch. Beim ersten Besuch der Marketing-Website fragen wir dich, ob du die Werbemessung nach Ziffer 4.6 erlaubst. Ablehnen ist genauso einfach wie Zustimmen, und bis du zugestimmt hast, wird nichts davon geladen. Sendet dein Browser das Signal „Global Privacy Control", werten wir das als Ablehnung und fragen nicht. Deine Wahl speichern wir im lokalen Speicher deines Browsers (Datum, Fassung dieser Abfrage und deine Antwort, ohne Kennung), damit wir nicht bei jedem Seitenaufruf erneut fragen; sie gilt 12 Monate oder bis wir den Inhalt der Abfrage ändern. Über den Link „Cookies" in der Fußzeile jeder Seite kannst du deine Wahl jederzeit ansehen und ändern. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung); das Speichern der Wahl ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Die Gäste-App, das Veranstalter-Dashboard und unsere übrigen Oberflächen fragen nicht, weil dort keine Werbemessung stattfindet.

4.6 Messung unserer Reddit-Anzeigen (nur mit deiner Einwilligung). Wir werben auf der Plattform Reddit. Damit wir erkennen, welche dieser Anzeigen zu Besuchen und Buchungen führen, und damit Reddit unsere Anzeigen denjenigen zeigen kann, für die sie interessant sind, nutzen wir — nur auf der Marketing-Website und nur, wenn du zugestimmt hast — zwei Wege der Messung von Reddit:

a) Das Reddit-Pixel im Browser. Nach deiner Zustimmung lädt die Seite ein Skript von www.redditstatic.com. Es legt auf unserer Domain bis zu zwei Cookies an: _rdt_uuid, eine Zufallsnummer, an der Reddit deinen Browser über mehrere Besuche hinweg wiedererkennt, und — wenn du über eine Reddit-Anzeige gekommen bist — _rdt_cid mit der Klickkennung dieser Anzeige. Beide gelten 90 Tage. Sie liegen auf der Domain snapories.com und werden deshalb technisch auch bei Aufrufen unserer übrigen Oberflächen mitgesendet; dort liest sie niemand aus. Das Skript meldet Reddit bei jedem Seitenaufruf ein Seitenaufruf-Ereignis und nach einer bezahlten Buchung ein Kauf-Ereignis mit dem Nettobetrag, der Währung und einer Ereigniskennung. Dabei erhält Reddit die Adresse der Seite, die verweisende Seite, die Werte der genannten Cookies, Angaben zu deinem Browser und zur Bildschirmgröße sowie — technisch bedingt — deine IP-Adresse. Bist du bei Reddit angemeldet, sendet dein Browser dabei auch die Cookies von reddit.com mit; Reddit kann die Meldung dann deinem Reddit-Konto zuordnen. Wir geben dem Pixel keine E-Mail-Adresse und keine Telefonnummer mit, und der automatische Abgleich von auf der Seite angezeigten Kontaktdaten ist abgeschaltet.

b) Die Meldung einer Buchung von unserem Server. Weil Browser und Werbeblocker Meldungen aus dem Browser häufig verhindern, meldet zusätzlich unser Server eine bezahlte Buchung an Reddit (Conversions API) — ebenfalls nur, wenn du bei der Buchung in die Werbemessung eingewilligt hattest. Übermittelt werden: das Ereignis „Kauf" und sein Zeitpunkt, Nettobetrag und Währung, dieselbe Ereigniskennung wie im Browser (damit Reddit eine Buchung nicht doppelt zählt), ein SHA-256-Hashwert deiner E-Mail-Adresse, die Reddit-Klickkennung, der Wert des Cookies _rdt_uuid, die Adresse, über die du auf die Website gekommen bist, sowie die IP-Adresse und die Browserkennung (User-Agent), mit denen du die Buchung abgeschickt hast. Reddit nutzt IP-Adresse und Browserkennung, um die Buchung der Anzeige zuzuordnen, über die du gekommen bist. Beide erfassen wir beim Klick auf „Bezahlen" nur, wenn du in diesem Moment in die Werbemessung eingewilligt hast, und wir speichern sie nicht bei deiner Buchung, sondern getrennt davon nur so lange, bis die Meldung an Reddit gesendet ist: Unsere Kopie löschen wir, sobald die Meldung übermittelt wurde, spätestens aber nach 14 Tagen — auch dann, wenn die Meldung nicht zustande kommt. Deinen Namen, deine Anschrift und Angaben zu deinem Event übermitteln wir nicht. Ein Hashwert ist keine Anonymisierung: Reddit gleicht ihn mit den Hashwerten der E-Mail-Adressen seiner Nutzer:innen ab und kann die Buchung so einem Reddit-Konto zuordnen.

Was Reddit damit tut. Reddit verwendet diese Daten nach seinen Bedingungen, um uns zu zeigen, wie viele Besuche und Buchungen auf unsere Anzeigen zurückgehen, um die Auslieferung unserer Anzeigen zu optimieren und um seine Werbedienste zu verbessern; Reddit darf daraus auch Zielgruppen für Werbung auf Reddit bilden. Wir erhalten von Reddit nur zusammengefasste Auswertungen, keine Angaben über einzelne Personen.

Rechtsgrundlage. Das Speichern der Cookies und das Auslesen von Informationen aus deinem Browser: § 25 Abs. 1 TDDDG, also deine Einwilligung. Die weitere Verarbeitung, einschließlich der Meldung von unserem Server: Art. 6 Abs. 1 lit. a DSGVO, ebenfalls deine Einwilligung.

Gemeinsame und eigene Verantwortlichkeit. Für das Erheben der Daten auf unserer Website und ihre Übermittlung an Reddit entscheiden wir und Reddit gemeinsam über Zwecke und Mittel; insoweit sind wir mit Reddit gemeinsam verantwortlich im Sinne des Art. 26 DSGVO (EuGH, Urteil vom

29. Juli 2019, C-40/17 — Fashion ID). Für das Einholen deiner Einwilligung und für die

Information nach dieser Erklärung sind wir zuständig. Für alles, was Reddit nach dem Empfang mit den Daten tut, ist Reddit allein verantwortlich; die Werbebedingungen von Reddit (Reddit Business Tool Terms und Reddit Advertising Data Processing Agreement) beschreiben Reddit insoweit als eigenständige Verantwortliche. Deine Rechte nach Ziffer 13 kannst du uns gegenüber und gegenüber Reddit geltend machen; was du an uns richtest, das Reddits Verarbeitung betrifft, leiten wir weiter. Wie Reddit Daten verarbeitet, beschreibt die Datenschutzerklärung von Reddit.

Empfänger. Vertragspartnerin für Werbekunden im Europäischen Wirtschaftsraum ist die Reddit Netherlands B.V., Euro Business Center, Looiersgracht 43, 1016 VR Amsterdam, Niederlande. Die Daten werden außerdem von der Reddit, Inc., 548 Market St. #16093, San Francisco, CA 94104, USA, verarbeitet. Datenschutzkontakt von Reddit: dpo@reddit.com.

Drittlandtransfer. Die Reddit, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom

10. Juli 2023. Für den Fall, dass diese Grundlage nicht greift oder entfällt, haben Reddit und

wir ergänzend die Standardvertragsklauseln der EU-Kommission (Modul 1, Übermittlung zwischen Verantwortlichen) vereinbart (Ziffer 11).

Speicherdauer. Die Cookies _rdt_uuid und _rdt_cid gelten 90 Tage. Zu einer Buchung speichern wir, dass du eingewilligt hattest, und den Wert von _rdt_uuid, solange wir die Buchung aufbewahren (Ziffer 14). IP-Adresse und Browserkennung der Buchung löschen wir, sobald die Meldung an Reddit gesendet ist, spätestens nach 14 Tagen. Wie lange Reddit die Daten speichert, richtet sich nach der Datenschutzerklärung von Reddit.

Widerruf. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — am einfachsten über den Link „Cookies" in der Fußzeile jeder Seite. Ab diesem Moment meldet die Website nichts mehr an Reddit und lädt das Pixel bei weiteren Besuchen nicht mehr, die beiden Cookies werden von unserer Domain entfernt, und unser Server meldet keine weitere Buchung an Reddit. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Was Reddit bereits erhalten hat, liegt bei Reddit; seine Löschung kannst du bei Reddit verlangen, wir unterstützen dich dabei. Ohne Einwilligung kannst du die Website und die Buchung uneingeschränkt nutzen.

---

5. Gäste-App (app.snapories.com)

5.1 Identität ohne Konto

Du legst kein Konto an. Damit deine Bilder und deine Filmrolle dir zugeordnet bleiben, stellt unser Server dir einen signierten Zugangspass aus. Dieser Pass liegt an drei Stellen: im lokalen Speicher deines Browsers, in einem von uns gesetzten Cookie (spr_id) und — für den aktuellen Aufruf — in einem kurzlebigen zweiten Eintrag.

Wir verwenden ausdrücklich kein Geräte-Fingerprinting. Ein früher eingesetztes Verfahren, das dein Gerät anhand technischer Merkmale wiedererkannte, wurde vollständig entfernt: Es konnte zwei baugleiche Geräte verwechseln und war datenschutzrechtlich nicht zu rechtfertigen. Ein Gerät ohne gültigen Pass ist für uns eine neue, unbekannte Person.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Setzen des Passes ist technisch unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

5.2 Dein Name

Der beim Beitritt eingegebene Name ist frei wählbar. Er wird anderen Teilnehmenden dieses Events angezeigt, wenn die Veranstalter:in das eingestellt hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Fotos und Bilder

Wir verarbeiten die von dir aufgenommenen Bilder, technisch abgeleitete Fassungen (Vorschaubilder) sowie Metadaten (Zeitpunkt, Abmessungen, Zuordnung zu dir und zum Event). Zweck: Bereitstellung der Galerie des Events. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dir; hinsichtlich weiterer abgebildeter Personen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Teilnehmenden an der gemeinsamen Dokumentation eines Ereignisses im geschlossenen Kreis).

Abgebildete Personen, die die App nicht nutzen, haben die Rechte aus Ziffer 13 — insbesondere das Widerspruchsrecht nach Art. 21 DSGVO. Praktisch stehen zwei Wege offen: die Veranstalter:in kann ein einzelnes Bild sofort sperren, und wir löschen Bilder auf Verlangen. Eine automatische Gesichtserkennung, ein automatisches Unkenntlichmachen oder ein Abgleich mit einer Referenzaufnahme findet nicht statt.

Keine biometrischen Daten. Snapories erstellt keine Gesichtsvorlagen (Templates) und keine Gesichtsvektoren und führt keinen biometrischen Abgleich durch. Wir erkennen niemanden an seinem Gesicht wieder, gleichen keine Bilder mit einer Referenzaufnahme ab und können einem Bild nicht entnehmen, wer darauf zu sehen ist. Eine früher geplante Funktion zum Unkenntlichmachen des eigenen Gesichts wurde vor der Markteinführung gestrichen und ist im System nicht vorhanden.

Was die KI-Analyse beschreibt. Wird ein Bild für die KI-Fotobox analysiert (Ziffer 6), entsteht dabei eine kurze Beschreibung jeder im Vordergrund abgebildeten Person — einschließlich ihres augenscheinlichen Hauttons und ihrer augenscheinlichen ethnischen Herkunft. Sie dient dazu, dass das erzeugte Bild das Aussehen der abgebildeten Personen bewahrt und nicht durch ein fremdes ersetzt. Das sind Angaben einer besonderen Kategorie im Sinne des Art. 9 DSGVO, und wir benennen sie hier, statt zu behaupten, sie fielen nicht an. Sie werden ausschließlich zu diesem einen Zweck verwendet: Wir nutzen sie nicht, um jemanden einzuordnen, zu profilieren, zu segmentieren, zu bewerten oder wiederzuerkennen, und sie beeinflussen im Dienst nichts außer dem Bild, das erzeugt wird. Sie werden nicht in unsere Datenbank geschrieben. Für eine Generierung werden sie verschlüsselt in dem Sitzungs-Token mitgeführt, das deine App für die Dauer dieser Sitzung hält; bei der automatischen Prüfung nach Ziffer 6.1a werden sie verworfen, sobald daraus die Ja/Nein-Antwort abgeleitet ist. Einzelheiten zur Übermittlung, zur Rechtsgrundlage und zur Speicherung beim KI-Anbieter: Ziffer 6.

5.4 Kontingente und Teilen

Wir zählen, wie viele Aufnahmen und Credits du verbraucht hast und ob ein Bild geteilt wurde. Diese Zähler sind für den Betrieb notwendig (Kontingentverwaltung) und fließen in aggregierte, nicht personenbezogene Statistiken ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5.5 Zugang zur Galerie

Die Galerie eines Events ist über den siebenstelligen, zufälligen Beitrittscode erreichbar. Der Code ist praktisch nicht erratbar, stellt aber keine Anmeldung dar: Wer ihn kennt, kann die freigegebenen Bilder des Events sehen. Wir weisen darauf hin, damit du einschätzen kannst, wer deine Bilder sehen kann.

Dieser Zugang besteht nur während des Eventzeitraums. Mit dem Ende des Events ist die Galerie für Gäste nicht mehr erreichbar; die veranstaltende Person kann die Bilder danach über einen zeitlich befristeten Freigabelink bereitstellen (Ziffer 14).

5.6 Persönlicher Wiederherstellungs-Link

Über die Funktion „Fotos sichern" erzeugst du einen Link, der deine Kennung enthält. Wer den Link besitzt, erhält Zugriff auf deine Bilder und Kontingente. Behandle ihn wie ein Passwort. Der Link ist bis zu 400 Tage gültig und lässt sich nur zum Übernehmen der Identität verwenden, nicht als allgemeiner Zugangsschlüssel.

---

6. KI-Fotobox und automatische Bildprüfung — Übermittlung an den KI-Anbieter

6.1 Was in der Fotobox passiert. Die Fotobox hat keine eigene Kamera. Du fotografierst mit der einen Kamera der App; anschließend wählst du eines deiner eigenen Bilder aus, das bereits in der Galerie liegt, und beschreiben, was damit geschehen soll. Dieses Bild wird zusammen mit deiner Texteingabe an den KI-Anbieter Google übermittelt (Gemini API, generativelanguage.googleapis.com). Dort wird in mehreren Schritten die Anzahl der abgebildeten Personen ermittelt, es werden Kostümvorschläge erzeugt und schließlich das Ergebnisbild generiert. Das Ergebnis speichern wir als zusätzliches Bild deines Events.

Dein ursprüngliches Bild wird weder verändert noch ersetzt — es bleibt genau so in der Galerie, wie du es aufgenommen hast. Wendest du die KI zweimal auf dasselbe Bild an, erhältst du zwei Ergebnisbilder.

Für die Dauer einer Generierung legen wir in der Datenregion des Events eine Arbeitskopie des von dir gewählten Bildes an. Sie wird nirgends angezeigt; sie besteht, damit ein Bild, das wir als ungeeignet ablehnen, verworfen werden kann, ohne dein Foto in der Galerie anzutasten. Wird dein Bild abgelehnt, löschen wir diese Kopie sofort. Andernfalls gehört sie zu den Daten des Events und wird mit ihm gelöscht; du kannst ihre Löschung jederzeit verlangen (Ziffer 13).

6.1a Automatische Prüfung jedes hochgeladenen Bildes. Damit die App weiß, bei welchen Bildern sie dir die KI-Funktion überhaupt anbieten kann, wird jedes von dir hochgeladene Bild automatisch geprüft — nicht nur die, die du später tatsächlich verwendest. Das geschieht ohne dein Zutun, unmittelbar nach dem Hochladen, und dafür wird das Bild an denselben KI-Anbieter unter denselben Bedingungen wie nach Ziffer 6.1 übermittelt (Google, Gemini API) — verkleinert auf eine Kantenlänge von höchstens 1.280 Pixeln, soweit unsere Software das Bild neu kodieren kann, andernfalls unverkleinert.

Was wir fragen und was wir behalten. Wir fragen zweierlei: ob überhaupt eine Person auf dem Bild ist und ob der Bildausschnitt weit genug ist, damit ein Kostüm Platz findet. Daraus leiten wir eine einzige Ja/Nein-Antwort ab, und allein diese Antwort — ein Wert, sonst nichts — speichern wir zu dem Bild. Die Antwort des Anbieters selbst speichern wir nicht; sie wird verworfen, sobald die Ja/Nein-Antwort daraus abgeleitet ist (was sie enthält, beschreibt der Kasten in Ziffer 5.3).

Wann sie unterbleibt. Die Prüfung läuft nur bei Events, für die die veranstaltende Person KI-Bilder gebucht hat. Bei einem Event ohne sie wird nichts übermittelt und nichts geprüft. Schlägt die Prüfung fehl oder dauert sie zu lange, bleibt dein Bild schlicht unbewertet — es wird hochgeladen, gespeichert und angezeigt wie zuvor, und an ihm ändert sich nichts.

Was das für dich bedeutet. Die Antwort entscheidet allein darüber, ob die KI-Funktion zu diesem Bild angeboten wird. Sie ist kein Urteil über das Bild oder über die darauf abgebildeten Personen, wird niemandem angezeigt, nicht weitergegeben und wirkt sich auf nichts anderes im Dienst aus.

6.2 Rechtsgrundlage. Für eine von dir angeforderte Generierung: Art. 6 Abs. 1 lit. b DSGVO — die Generierung ist die von dir angeforderte Leistung. Für die automatische Prüfung nach Ziffer 6.1a: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse und das der veranstaltenden Person daran, die gebuchte KI-Funktion nur dort anzubieten, wo sie auch funktionieren kann, statt eine Aktion anzubieten, die scheitern würde. Du kannst nach Art. 21 DSGVO jederzeit widersprechen (Ziffer 13); eine Nachricht an uns genügt.

6.3 Was der Anbieter damit tut. Nach den für kostenpflichtige Nutzung geltenden Bedingungen verwendet Google Eingaben und Ergebnisse nicht zum Training seiner Modelle. Google protokolliert Eingaben und Ergebnisse für einen begrenzten Zeitraum ausschließlich zur Erkennung von Missbrauch und zur Erfüllung rechtlicher Pflichten.

6.4 Verarbeitungsort und Drittlandtransfer. Die genutzte Schnittstelle verarbeitet auch für Events mit Datenregion EU außerhalb der Europäischen Union, insbesondere in den Vereinigten Staaten. Grundlage sind der Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, ergänzend die Standardvertragsklauseln der EU-Kommission nebst zusätzlichen Schutzmaßnahmen. Trotz dieser Instrumente bestehen bei einer Übermittlung in die USA Restrisiken, insbesondere hinsichtlich staatlicher Zugriffsmöglichkeiten.

6.5 Grenzen. Wir übermitteln Bilder und, für eine Generierung, deine Texteingabe — sonst nichts: nicht deinen Namen, nicht deine Kennung, nicht deine E-Mail-Adresse und nicht die Bilder anderer Gäste. Bei einer Generierung ist das genau das eine von dir gewählte Bild. Bei der automatischen Prüfung nach Ziffer 6.1a ist es das jeweils hochgeladene Bild, einzeln beim Hochladen — nie deine Galerie als Ganzes.

6.6 Kennzeichnung. Ergebnisse der Fotobox werden in der Anwendung sichtbar als KI-erzeugt gekennzeichnet (Art. 50 Abs. 4 KI-VO).

---

7. Schutz vor automatisiertem Missbrauch (Cloudflare Turnstile)

7.1 Auf den Formularen, die eine Generierung auslösen oder eine E-Mail versenden, setzen wir Cloudflare Turnstile ein — eine datenschutzfreundliche Alternative zu Bilderrätseln.

7.2 Was dabei verarbeitet wird. Das Prüfmodul lädt von challenges.cloudflare.com und wertet Signale deines Browsers aus. Bei der serverseitigen Bestätigung übermitteln wir Cloudflare den ausgestellten Prüf-Token und deine IP-Adresse.

7.3 Was dabei nicht passiert. Wir haben gemessen, dass Turnstile auf unserer Domain weder ein Cookie noch einen anderen Eintrag im Speicher deines Browsers hinterlässt. Es wird keine Werbekennung gesetzt und kein seitenübergreifendes Profil gebildet.

7.4 Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (Erwägungsgrund 49: Netz- und Informationssicherheit, Betrugsprävention). Der Abruf des Prüfmoduls ist technisch unbedingt erforderlich für die von dir angeforderte Funktion und damit nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

7.5 Empfänger und Drittland. Cloudflare, Inc., USA, bzw. die Cloudflare Germany GmbH. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework und ergänzend der Standardvertragsklauseln.

---

8. Weitere Verarbeitungen im Betrieb

8.1 Missbrauchsgrenzen der kostenlosen Demo. Damit die kostenlose Ausprobier-Funktion nicht automatisiert ausgenutzt wird, zählen wir Generierungen je Zugangspass und je Netzbereich. Deine IP-Adresse wird dabei nicht gespeichert: Sie wird zunächst auf einen Netzbereich gekürzt (IPv4 /24, IPv6 /64) und dieser Wert anschließend mit einem kryptografischen Hashverfahren unumkehrbar verkürzt. Gespeichert wird nur dieser Hash und ein Zähler. Speicherdauer: 2 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und vor unkontrollierten Kosten).

8.2 Zahlungsabwicklung. Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland). Dabei werden Zahlungs- und Rechnungsdaten unmittelbar an Stripe übermittelt; vollständige Kartendaten erreichen unsere Systeme nicht. Bezahlst du mit PayPal, geschieht das als Zahlungsmethode innerhalb von Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die steuerliche Dokumentation Art. 6 Abs. 1 lit. c DSGVO. Stripe verarbeitet Zahlungsdaten teilweise auch als eigene Verantwortliche zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten.

8.3 Anmeldung per Einmalcode. Für die Anmeldung im Veranstalter-Dashboard und in der internen Konsole versenden wir einen sechsstelligen Einmalcode an die angegebene Adresse. Der Code ist 10 Minuten gültig und wird danach gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.3a Wiederherstellung der Admin-Schlüssel. Über die Wiederherstellungsfunktion senden wir die Admin-Schlüssel eines Events ausschließlich an die hinterlegte Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Veranstalter-, Partner- und Empfehlungsdaten. Wir verarbeiten Name, E-Mail-Adresse, Region, gebuchte Events, Rechnungs- und Zahlungsdaten sowie — bei Partnern — Firmenname, Website, Land, Logo und Markenfarbe und — im Empfehlungsprogramm — den persönlichen Code, die zugehörigen Einlösungen und den Punktestand. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für steuerlich relevante Daten Art. 6 Abs. 1 lit. c DSGVO.

8.5 Interne Konsole. Unsere Mitarbeitenden sehen in der internen Konsole Geschäftskennzahlen, Event- und Kontostammdaten, Codes, Einlösungen und Partnerdaten. Der Zugang ist auf eine ausdrücklich hinterlegte Liste von Adressen beschränkt und alle Mitarbeitenden sind zur Vertraulichkeit verpflichtet.

8.6 Nachbereitung eines Events: Bilder und eine Rückfrage per E-Mail. Rund 35 Stunden nach dem Ende eines gebuchten Events schreiben wir an die E-Mail-Adresse, mit der das Event gebucht wurde. Die Nachricht enthält einen zeitlich befristeten Link, über den sich alle Bilder des Events als Archiv herunterladen lassen, und die Bitte, uns kurz zu antworten, wie es gelaufen ist. Sie geht ausschließlich an die buchende Person — zu Gästen ist bei uns keine E-Mail-Adresse gespeichert (Ziffer 5.1). Verarbeitet werden dafür die E-Mail-Adresse und der Name der buchenden Person, Name und Zeitraum des Events sowie der dafür erzeugte Freigabelink.

Zwei Zwecke, zwei Rechtsgrundlagen. Die Bereitstellung der Bilder ist die von dir gekaufte Leistung: Art. 6 Abs. 1 lit. b DSGVO. Die Rückfrage ist Direktwerbung für eigene ähnliche Leistungen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, das eigene Angebot zu bewerben und zu verbessern), bereichsspezifisch geregelt in § 7 Abs. 3 UWG. Dessen Voraussetzungen halten wir ein: Wir haben die Adresse von dir im Zusammenhang mit dem Verkauf erhalten, verwenden sie nur für eigene ähnliche Leistungen, schreiben niemandem, der widersprochen hat, und weisen dich sowohl bei der Erhebung der Adresse als auch in jeder solchen E-Mail auf dein Widerspruchsrecht hin.

8.7 Widerspruch gegen diese E-Mail, und was wir dazu speichern. Du kannst der Verwendung deiner Adresse für die Rückfrage jederzeit widersprechen — über den Link in jeder solchen E-Mail oder formlos an support@snapories.com. Es entstehen dir dabei keine Kosten außer den Übermittlungskosten nach den Basistarifen. Nach einem Widerspruch erhältst du die E-Mail mit deinen Bildern weiterhin, denn sie ist die Erfüllung des Vertrags; die Rückfrage entfällt. Näheres zum Widerspruchsrecht steht in Ziffer 13.

Zum Widerspruch selbst speichern wir deine E-Mail-Adresse, den Zeitpunkt und den Weg, über den er uns erreicht hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 7 Abs. 3 Nr. 3 UWG sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, einen einmal erklärten Widerspruch dauerhaft beachten zu können). Dieser Eintrag wird nicht gelöscht; warum, steht in Ziffer 14.

---

9. Speicherung auf deinem Endgerät

Ohne deine Einwilligung speichert Snapories nur, was für den angeforderten Dienst unbedingt erforderlich ist. Konkret sind das: wenige von uns gesetzte Cookies — spr_id in der Gäste-App, damit deine Bilder dir zugeordnet bleiben, spr_oclaim während einer Buchung, mit dem wir erkennen, dass deine Bestätigungsseite die ist, von der aus du bezahlt hast, und spr_lang für die von dir gewählte Sprache — sowie einige Einträge im lokalen Speicher deines Browsers für Zugangspass, Sprachwahl, Erscheinungsbild, zuletzt geöffnetes Event, deine Wahl in der Einwilligungsabfrage und die Offline-Fassung der App. Für diese Speicherung verlangt § 25 Abs. 2 Nr. 2 TDDDG eine Information, keine Einwilligung.

Mit deiner Einwilligung kommen auf der Marketing-Website die Cookies des Reddit-Pixels hinzu (Ziffer 4.6). Sie werden erst gesetzt, nachdem du der Werbemessung zugestimmt hast, und entfernt, wenn du deine Einwilligung widerrufst. In der Gäste-App, im Veranstalter-Dashboard und auf unseren übrigen Oberflächen gibt es keine einwilligungspflichtige Speicherung; dort erscheint deshalb auch keine Abfrage.

Die vollständige, jederzeit aktuelle Liste jedes einzelnen Eintrags — Schlüssel, Zweck, Lebensdauer, Anbieter — findest du unter snapories.com/de/cookies. Diese Liste wird unmittelbar aus dem Quellcode erzeugt und durch einen automatischen Abgleich erzwungen: Ein neuer Speichereintrag im Code lässt den Test fehlschlagen, bis er dort deklariert ist. Damit kann die Angabe nicht veralten.

---

10. Empfänger deiner Daten

Wir geben personenbezogene Daten nur weiter, soweit dies für den Betrieb erforderlich ist oder wir rechtlich dazu verpflichtet sind. Empfängerkategorien:

• Hosting und Speicherung: Amazon Web Services (Rechenzentren in Frankfurt bzw. Nord-Virginia, je nach Datenregion des Events; Konto- und Geschäftsdatensätze stets Frankfurt — Ziffer 12) sowie die Auslieferung der Bilder über das Content-Delivery-Netz desselben Anbieters (Ziffer 12)
• KI-Generierung und automatische Bildprüfung: Google (Ziffer 6)
• Missbrauchsschutz: Cloudflare (Ziffer 7)
• Werbemessung, nur mit deiner Einwilligung: Reddit (Ziffer 4.6) — nicht als Auftragsverarbeiter, sondern als gemeinsam mit uns bzw. eigenständig Verantwortliche
• Zahlungsabwicklung: Stripe (Ziffer 8.2)
• E-Mail-Versand: unser Versanddienstleister
• Berater:innen und Behörden: Steuerberatung, Rechtsberatung, Wirtschaftsprüfung sowie Behörden und Gerichte, soweit gesetzlich vorgeschrieben

Die namentliche, jeweils aktuelle Aufstellung mit Sitz, Verarbeitungsort und Transfergrundlage steht in der Liste der Unterauftragsverarbeiter.

Außer an Reddit im Rahmen deiner Einwilligung nach Ziffer 4.6 geben wir deine Daten nicht an Werbenetzwerke weiter, und nicht an Datenhändler oder Analyseanbieter. Ein Verkauf findet nicht statt.

---

11. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums findet statt bei der KI-Generierung und der automatischen Bildprüfung (Google, USA — Ziffer 6), beim Missbrauchsschutz (Cloudflare, USA), bei der Werbemessung mit deiner Einwilligung (Reddit, USA — Ziffer 4.6) sowie bei der Auslieferung der Bilder (Amazon Web Services): Während ein Event läuft, werden die Bilder zur Auslieferung vorübergehend an Edge-Standorten zwischengespeichert, auch außerhalb der EU (Ziffer 12). Grundlage ist:

• der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, soweit das empfangende Unternehmen zertifiziert ist, sowie
• ergänzend die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nebst Transfer-Folgenabschätzung und zusätzlichen Schutzmaßnahmen (Verschlüsselung in Transport und Ruhe, Datenminimierung, keine Übermittlung von Namen oder Kennungen an den KI-Anbieter).

Eine Kopie der jeweiligen Garantien erhältst du auf Anfrage unter privacy@snapories.com.

---

12. Datenregion (EU / USA)

Für jedes Event wird bei der Buchung eine Datenregion festgelegt. Sie bestimmt, in welcher Region die Daten dieses Events gespeichert und von uns verarbeitet werden:

• EU → Frankfurt am Main (eu-central-1)
• USA → Nord-Virginia (us-east-1)

Eine Spiegelung der Daten eines Events zwischen den Regionen findet nicht statt. Jede Region hat dafür eigene Datenbanken und eigene Speicherbereiche.

Konto- und Abrechnungsdaten. Dein Konto bei uns — E-Mail-Adresse, Anmeldecodes und die damit verwalteten Events — liegt in der Europäischen Union (Frankfurt am Main), und zwar bei jedem Event, unabhängig von dessen Datenregion. Dasselbe gilt für Partner- und Empfehlungskonten, für Rabattcodes und deren Einlösungen, für Empfehlungsansprüche sowie für die Rechnungsempfängerin und die Rechnung zu einer Buchung. Diese Datensätze werden einmal vorgehalten und aus beiden Regionen gelesen: Ein Konto verwaltet Events in beiden Regionen, und ein in der einen Region ausgegebener Gutschein muss in der anderen einlösbar sein — eine Aufteilung auf die Regionen hieße, dass ein Code in der Region zurückgewiesen wird, in der er nicht ausgegeben wurde. Für ein Event mit Datenregion USA heißt das: Die Bilder des Events und die Daten seiner Gäste liegen in Nord-Virginia, das Konto, mit dem es gebucht wurde, und die Rechnung dazu liegen in Frankfurt.

Auslieferung der Bilder. Damit die Bilder überall schnell und zuverlässig ankommen, liefern wir sie über ein Content-Delivery-Netz aus (Amazon CloudFront). Dabei werden sie vorübergehend an Edge-Standorten zwischengespeichert — auch außerhalb der EU; der Standortumfang umfasst die Vereinigten Staaten, Kanada, Europa und Israel. Diese Zwischenspeicherung besteht nur, solange das Event läuft; mit dem Ende des Events leeren wir den Zwischenspeicher, und ein Abruf über diesen Weg ist nicht mehr möglich. Die gespeicherte Fassung eines Bildes verlässt die Datenregion nicht.

Was die Datenregion abdeckt und was nicht: Die Datenregion bestimmt über die Daten dieses Events — seine Bilder und das, was zum Event und zu den daran beteiligten Personen erfasst wird — und legt fest, wo diese gespeichert, verarbeitet und gelöscht werden. Drei Dinge liegen außerhalb. Sie beschreibt nicht jeden Ort, an dem ein Byte für die Auslieferung kurzzeitig vorgehalten wird (oben). Sie erfasst nicht die Konto- und Geschäftsdatensätze (oben), die einmal in der EU vorgehalten und aus beiden Regionen gelesen werden. Und sie deckt nicht die in Ziffer 6 und Ziffer 7 beschriebenen Aufrufe externer Anbieter ab; diese verarbeiten unabhängig von der gewählten Datenregion, maßgeblich ist dort Ziffer 11.

---

13. Deine Rechte

Du hast nach der DSGVO das Recht auf:

So übst du deine Rechte aus: formlos per E-Mail an privacy@snapories.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Können wir dich ohne zusätzliche Angaben nicht identifizieren — was bei kontofreier Nutzung der Gäste-App der Regelfall ist —, benötigen wir Angaben, die die Zuordnung ermöglichen (Art. 11 Abs. 2 DSGVO), etwa den Beitrittscode des Events, den verwendeten Namen und den ungefähren Zeitpunkt.

Sonderfall abgebildete Personen: Wenn du auf einem Bild zu sehen bist, ohne die App zu nutzen, wende dich an privacy@snapories.com und beschreibe das Event und das Bild so genau wie möglich. Wir entfernen das Bild oder leiten die Anfrage — bei geschäftlichen Events, in denen wir Auftragsverarbeiterin sind — unverzüglich an die verantwortliche Organisation weiter und unterstützen sie bei der Erledigung.

Sonderfall Direktwerbung. Der Verarbeitung deiner Daten zum Zweck der Direktwerbung — das ist bei uns allein die Rückfrage in der Nachbereitungs-E-Mail (Ziffer 8.6) — kannst du nach Art. 21 Abs. 2 DSGVO jederzeit widersprechen. Dieser Widerspruch ist unbedingt: Es findet keine Interessenabwägung statt, und du musst ihn nicht begründen. Danach verarbeiten wir deine Daten nicht mehr zu diesem Zweck. Am schnellsten geht es über den Link in jeder solchen E-Mail; eine formlose Nachricht an support@snapories.com genügt ebenso.

Beschwerderecht. Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der für uns zuständigen:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
https://www.lda.bayern.de

---

14. Speicherdauern im Überblick

---

15. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Die KI-Fotobox erzeugt ein Bild; sie trifft keine Entscheidung über eine Person und hat keine rechtliche Wirkung. Die automatische Bildprüfung (Ziffer 6.1a) entscheidet allein darüber, ob die KI-Funktion zu einem einzelnen Bild angeboten wird; sie bewertet niemanden, hat keine rechtliche Wirkung und entfaltet auch keine vergleichbar erhebliche Beeinträchtigung. Entscheidungen über die Entfernung von Inhalten treffen Menschen.

---

16. Sicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören Transportverschlüsselung (TLS), Verschlüsselung ruhender Daten, strikte Trennung der Datenregionen für Eventdaten, zugriffsbeschränkte interne Systeme, signierte, kurzlebige Zugriffstoken für Bilddateien, ein serverseitiger Missbrauchsschutz sowie regelmäßige Aktualisierung der eingesetzten Komponenten. Die Einzelheiten stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

---

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter snapories.com/privacy.html abrufbar; das Datum am Kopf zeigt den Stand.

---

18. Maßgebliche Sprachfassung

Maßgeblich ist ausschließlich die deutsche Fassung dieser Datenschutzerklärung. Fassungen in anderen Sprachen stellen wir ausschließlich zu Informationszwecken bereit. Bei Abweichungen geht die deutsche Fassung vor. Gegenüber betroffenen Personen, die sich auf eine von uns bereitgestellte anderssprachige Fassung verlassen haben, gilt dies nur, soweit die deutsche Fassung für sie nicht ungünstiger ist.