Juridisch

Privacyverklaring

Stand: 21 oktober 2026 · Alle juridische documenten

Vertaling ter informatie. Alleen de Duitse versie is juridisch bindend.

Vertaling ter informatie. Alleen de Duitse versie is juridisch bindend.

---

1. Verwerkingsverantwoordelijke en contact

Verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG) is:

Matthias Anderer GmbH
Abt-Kaspar-Str. 19, 83607 Holzkirchen, Duitsland
Bedrijfsleider: Matthias Anderer
E-mail: privacy@snapories.com · Telefoon: +49 151 22837719
Amtsgericht München HRB 224848 · Btw-identificatienummer DE305934264

Voor alle vragen over gegevensbescherming en voor de uitoefening van jouw rechten: privacy@snapories.com.

Er is op dit moment geen functionaris voor gegevensbescherming aangesteld; naar ons oordeel is niet voldaan aan de voorwaarden van § 38 BDSG. Mocht dit veranderen, dan publiceren wij de contactgegevens op deze plaats.

---

2. Waarvoor wij verantwoordelijk zijn — en waarvoor de organisator

Snapories wordt altijd gebruikt in het kader van een evenement dat iemand heeft geboekt. Wie in de zin van het gegevensbeschermingsrecht verantwoordelijk is, hangt af van wie boekt:

Onafhankelijk daarvan zijn wij steeds eigen verwerkingsverantwoordelijke voor: contractafwikkeling en facturering, bedrijfs- en IT-beveiliging, misbruikbestrijding, geaggregeerde gebruikscijfers zonder persoonsgegevens, de meting van onze eigen reclame (punt 4) alsmede de naleving van wettelijke verplichtingen.

Voor de gasten-app hebben wij bovendien een rechtstreekse relatie met jou als gast: je gebruikt de app op eigen besluit; de rechtsgrondslag is in zoverre Art. 6 Abs. 1 lit. b DSGVO (gebruiksverhouding).

---

3. De zes oppervlakken in één oogopslag

Snapories bestaat uit zes afzonderlijke websites/toepassingen. Zij staan op eigen domeinen en delen geen opslag in de browser — met uitzondering van de cookies van de Reddit-pixel, die alleen na jouw toestemming op de marketingwebsite ontstaan (punt 4.6):

---

4. Marketingwebsite (snapories.com)

4.1 Serverlogbestanden. Bij het oproepen worden technisch noodzakelijke gegevens verwerkt: IP-adres, datum en tijdstip, opgeroepen bron, statuscode, overgedragen hoeveelheid gegevens, referrer, user-agent. Doel: levering, stabiliteit, IT-beveiliging. Rechtsgrondslag: Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang bij een veilig, functionerend aanbod). Bewaartermijn: kortstondig in het kader van de bedrijfslogs van onze hostingaanbieder.

Ons leveringsnetwerk schrijft voor de marketingwebsite daarnaast een toegangslogboek met dezelfde gegevens. Wij analyseren het eenmaal per dag om te tellen welke pagina's door geautomatiseerde programma's (zoals de crawlers van zoekmachines) worden opgevraagd, en om programma's te herkennen die zich als zodanig voordoen zonder het te zijn. Daarna wordt alleen bewaard hoe vaak zo'n programma een pagina op een dag heeft opgevraagd — zonder IP-adres. Het logboek zelf wordt na 7 dagen gewist. Rechtsgrondslag: Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang bij het observeren van de vindbaarheid van de website en het herkennen van oneigenlijke oproepen).

4.2 Paginatelling zonder cookie. Opdat wij weten welke pagina's nuttig zijn en op welk punt het boekingsformulier bezoekers verliest, stuurt elke pagina aan onze eigen server een korte melding: welke pagina werd opgeroepen, hoe ver je in het boekingsformulier bent gekomen, het domein van de verwijzende pagina (niet het volledige adres daarvan) alsmede campagnegegevens die stonden in het adres waarmee je op de website bent gekomen (bijvoorbeeld utm_source of de klik-identificatie van een advertentienetwerk). Deze melding bevat geen identificatie en plaatst noch een cookie noch een andere vermelding op je apparaat.

Om de pagina's van een bezoek samen te voegen, vormt onze server uit je IP-adres — ingekort tot het netwerkbereik (IPv4 /24, IPv6 /64) — en een dagelijks nieuw gegenereerde willekeurige waarde een hashwaarde. Deze dient er alleen toe een lopend bezoek terug te vinden; bij een bezoek wordt een willekeurig nummer opgeslagen dat na 30 minuten zonder paginaoproep vervalt. De dagelijkse willekeurige waarde wordt na 2 dagen gewist; daarna kan ook door ons niet meer worden nagegaan welk netwerkbereik bij welk bezoek hoorde. De user-agent van je browser lezen wij daarbij alleen om aangemelde crawlers eruit te filteren; deze wordt niet opgeslagen. Wat overblijft, zijn samengevatte dagcijfers — paginaoproepen, bezoeken, stappen in het boekingsformulier, herkomst van de bezoeken — zonder verband met een persoon. De gegevens verlaten onze eigen systemen niet.

Rechtsgrondslag: Art. 6 Abs. 1 lit. f DSGVO. Ons gerechtvaardigd belang bestaat erin te begrijpen welke inhoud wordt gebruikt en waar de boeking mislukt, om het aanbod te verbeteren. Jouw belangen zien wij daardoor gewaarborgd dat er geen identificatie ontstaat die een bezoek overleeft, er niets op je apparaat wordt opgeslagen, er geen profiel wordt gevormd en er niets aan derden wordt doorgegeven. Je kunt tegen deze verwerking bezwaar maken op grond van Art. 21 DSGVO (punt 13). Omdat de telling zonder identificatie werkt, herkennen wij je bij een later bezoek niet en kunnen wij een bezwaar daarom niet aan een toekomstig bezoek toewijzen; de melding zelf kan echter te allen tijde met een inhoudsblokkering in je browser worden verhinderd, zonder dat de website daardoor wordt beperkt.

4.3 Boekingsformulier. Voor de boeking verwerken wij naam, e-mailadres, factuuradres en land, evenementnaam en -periode, gekozen aantal gasten en contingenten alsmede een eventuele kortingscode. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO (uitvoering van de overeenkomst), voor de factuur- en belastinggegevens aanvullend Art. 6 Abs. 1 lit. c DSGVO (§ 14 UStG, § 147 AO).

Ben je via een advertentie of een campagnelink op de website gekomen, dan slaan wij voor de boeking bovendien de campagnegegevens uit het instapadres op (bron, campagne, klik-identificatie van het advertentienetwerk), het instapadres zelf en de daaruit afgeleide herkomst van de boeking. Zo herkennen wij welke reclame tot boekingen leidt. Rechtsgrondslag: Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang bij het meten van het succes van de eigen reclame). Deze gegevens blijven bij ons. Naar een advertentienetwerk gaan ze alleen met jouw toestemming op grond van punt 4.6; alleen dan registreren wij bij de boeking bovendien je IP-adres en je browseridentificatie (user-agent), en wel slechts kortstondig voor deze melding (punt 4.6, 14).

4.4 Contact opnemen. Als je ons schrijft, verwerken wij je gegevens om te antwoorden. Rechtsgrondslag: Art. 6 Abs. 1 lit. b resp. lit. f DSGVO. Wij wissen de correspondentie zodra deze niet meer nodig is en er geen bewaarplicht aan in de weg staat.

4.5 Jouw keuze bij het eerste bezoek. Bij het eerste bezoek aan de marketingwebsite vragen wij je of je de reclamemeting op grond van punt 4.6 toestaat. Weigeren is net zo eenvoudig als instemmen, en totdat je hebt ingestemd, wordt daarvan niets geladen. Stuurt je browser het signaal „Global Privacy Control", dan beschouwen wij dat als een weigering en vragen wij niet. Jouw keuze slaan wij op in de lokale opslag van je browser (datum, versie van deze vraag en je antwoord, zonder identificatie), zodat wij niet bij elke paginaoproep opnieuw vragen; deze geldt 12 maanden of totdat wij de inhoud van de vraag wijzigen. Via de link „Cookies" in de voettekst van elke pagina kun je je keuze te allen tijde bekijken en wijzigen. Rechtsgrondslag: Art. 6 Abs. 1 lit. c DSGVO in combinatie met Art. 7 Abs. 1 DSGVO (bewijs van de toestemming); het opslaan van de keuze is op grond van § 25 Abs. 2 Nr. 2 TDDDG toestemmingsvrij. De gasten-app, het organisator-dashboard en onze overige interfaces vragen niet, omdat daar geen reclamemeting plaatsvindt.

4.6 Meting van onze Reddit-advertenties (alleen met jouw toestemming). Wij adverteren op het platform Reddit. Opdat wij herkennen welke van deze advertenties tot bezoeken en boekingen leiden, en opdat Reddit onze advertenties kan tonen aan degenen voor wie ze interessant zijn, gebruiken wij — alleen op de marketingwebsite en alleen als je hebt ingestemd — twee manieren van meting van Reddit:

a) De Reddit-pixel in de browser. Na jouw toestemming laadt de pagina een script van www.redditstatic.com. Het plaatst op ons domein tot twee cookies: _rdt_uuid, een willekeurig nummer waaraan Reddit je browser over meerdere bezoeken heen herkent, en — als je via een Reddit-advertentie bent gekomen — _rdt_cid met de klik-identificatie van deze advertentie. Beide gelden 90 dagen. Zij liggen op het domein snapories.com en worden daarom technisch ook bij oproepen van onze overige interfaces meegestuurd; daar leest niemand ze uit. Het script meldt Reddit bij elke paginaoproep een paginaoproep-gebeurtenis en na een betaalde boeking een aankoop-gebeurtenis met het nettobedrag, de valuta en een gebeurtenisidentificatie. Daarbij ontvangt Reddit het adres van de pagina, de verwijzende pagina, de waarden van de genoemde cookies, gegevens over je browser en over de schermgrootte alsmede — technisch bepaald — je IP-adres. Ben je bij Reddit aangemeld, dan stuurt je browser daarbij ook de cookies van reddit.com mee; Reddit kan de melding dan aan je Reddit-account toewijzen. Wij geven de pixel geen e-mailadres en geen telefoonnummer mee, en de automatische vergelijking van op de pagina getoonde contactgegevens is uitgeschakeld.

b) De melding van een boeking vanaf onze server. Omdat browsers en advertentieblokkers meldingen uit de browser vaak verhinderen, meldt aanvullend onze server een betaalde boeking aan Reddit (Conversions API) — eveneens alleen als je bij de boeking in de reclamemeting had toegestemd. Overgedragen worden: de gebeurtenis „aankoop" en het tijdstip daarvan, nettobedrag en valuta, dezelfde gebeurtenisidentificatie als in de browser (zodat Reddit een boeking niet dubbel telt), een SHA-256-hashwaarde van je e-mailadres, de Reddit-klik-identificatie, de waarde van de cookie _rdt_uuid, het adres waarmee je op de website bent gekomen, alsmede het IP-adres en de browseridentificatie (user-agent) waarmee je de boeking hebt verzonden. Reddit gebruikt IP-adres en browseridentificatie om de boeking toe te wijzen aan de advertentie via welke je bent gekomen. Beide registreren wij bij het klikken op „Betalen" alleen als je op dat moment in de reclamemeting hebt toegestemd, en wij slaan ze niet bij je boeking op, maar daarvan gescheiden slechts zolang totdat de melding aan Reddit is verzonden: onze kopie wissen wij zodra de melding is overgedragen, uiterlijk echter na 14 dagen — ook dan, wanneer de melding niet tot stand komt. Je naam, je adres en gegevens over je evenement dragen wij niet over. Een hashwaarde is geen anonimisering: Reddit vergelijkt deze met de hashwaarden van de e-mailadressen van zijn gebruikers en kan de boeking zo aan een Reddit-account toewijzen.

Wat Reddit daarmee doet. Reddit gebruikt deze gegevens volgens zijn voorwaarden om ons te tonen hoeveel bezoeken en boekingen op onze advertenties teruggaan, om de levering van onze advertenties te optimaliseren en om zijn reclamediensten te verbeteren; Reddit mag daaruit ook doelgroepen voor reclame op Reddit vormen. Wij ontvangen van Reddit alleen samengevatte analyses, geen gegevens over afzonderlijke personen.

Rechtsgrondslag. Het opslaan van de cookies en het uitlezen van informatie uit je browser: § 25 Abs. 1 TDDDG, dus jouw toestemming. De verdere verwerking, inclusief de melding vanaf onze server: Art. 6 Abs. 1 lit. a DSGVO, eveneens jouw toestemming.

Gezamenlijke en eigen verantwoordelijkheid. Voor het verzamelen van de gegevens op onze website en de overdracht daarvan aan Reddit beslissen wij en Reddit gezamenlijk over doeleinden en middelen; in zoverre zijn wij met Reddit gezamenlijk verantwoordelijk in de zin van Art. 26 DSGVO (HvJ, arrest van 29 juli 2019, C-40/17 — Fashion ID). Voor het inwinnen van jouw toestemming en voor de informatie op grond van deze verklaring zijn wij verantwoordelijk. Voor alles wat Reddit na de ontvangst met de gegevens doet, is Reddit alleen verantwoordelijk; de reclamevoorwaarden van Reddit (Reddit Business Tool Terms en Reddit Advertising Data Processing Agreement) beschrijven Reddit in zoverre als zelfstandige verwerkingsverantwoordelijke. Je rechten op grond van punt 13 kun je tegenover ons en tegenover Reddit doen gelden; wat je aan ons richt dat Reddits verwerking betreft, leiden wij door. Hoe Reddit gegevens verwerkt, beschrijft de privacyverklaring van Reddit.

Ontvangers. Contractpartner voor adverteerders in de Europese Economische Ruimte is de Reddit Netherlands B.V., Euro Business Center, Looiersgracht 43, 1016 VR Amsterdam, Nederland. De gegevens worden daarnaast verwerkt door de Reddit, Inc., 548 Market St. #16093, San Francisco, CA 94104, USA. Gegevensbeschermingscontact van Reddit: dpo@reddit.com.

Doorgifte naar een derde land. Reddit, Inc. is gecertificeerd volgens het EU-US Data Privacy Framework; de overdracht naar de VS steunt op het adequaatheidsbesluit van de EU-Commissie van 10 juli 2023. Voor het geval dat deze grondslag niet van toepassing is of komt te vervallen, hebben Reddit en wij aanvullend de modelcontractbepalingen van de EU-Commissie (Module 1, overdracht tussen verwerkingsverantwoordelijken) overeengekomen (punt 11).

Bewaartermijn. De cookies _rdt_uuid en _rdt_cid gelden 90 dagen. Bij een boeking slaan wij op dat je had toegestemd, en de waarde van _rdt_uuid, zolang wij de boeking bewaren (punt 14). IP-adres en browseridentificatie van de boeking wissen wij zodra de melding aan Reddit is verzonden, uiterlijk na 14 dagen. Hoe lang Reddit de gegevens opslaat, richt zich naar de privacyverklaring van Reddit.

Herroeping. Je kunt je toestemming te allen tijde met werking voor de toekomst herroepen — het eenvoudigst via de link „Cookies" in de voettekst van elke pagina. Vanaf dat moment meldt de website niets meer aan Reddit en laadt de pixel bij verdere bezoeken niet meer, worden de beide cookies van ons domein verwijderd, en meldt onze server geen verdere boeking aan Reddit. De rechtmatigheid van de tot dan toe verrichte verwerking blijft daardoor onverlet. Wat Reddit reeds heeft ontvangen, ligt bij Reddit; de wissing daarvan kun je bij Reddit verlangen, wij ondersteunen je daarbij. Zonder toestemming kun je de website en de boeking onbeperkt gebruiken.

---

5. Gasten-app (app.snapories.com)

5.1 Identiteit zonder account

Je maakt geen account aan. Om ervoor te zorgen dat je foto's en je filmrol aan jou gekoppeld blijven, stelt onze server je een ondertekende toegangspas uit. Deze pas ligt op drie plaatsen: in de lokale opslag van je browser, in een door ons geplaatste cookie (spr_id) en — voor de huidige oproep — in een kortstondig tweede item.

Wij maken uitdrukkelijk geen gebruik van device-fingerprinting. Een eerder toegepaste methode, die je apparaat op basis van technische kenmerken herkende, is volledig verwijderd: ze kon twee identieke apparaten verwisselen en was uit het oogpunt van gegevensbescherming niet te rechtvaardigen. Een apparaat zonder geldige pas is voor ons een nieuwe, onbekende persoon.

Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO. Het plaatsen van de pas is technisch strikt noodzakelijk en daarom op grond van § 25 Abs. 2 Nr. 2 TDDDG vrijgesteld van toestemming.

5.2 Je naam

De bij het deelnemen ingevoerde naam is vrij te kiezen. Hij wordt aan andere deelnemers aan dit event getoond, wanneer de organisator dat zo heeft ingesteld. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Foto's en afbeeldingen

Wij verwerken de door jou gemaakte afbeeldingen, technisch afgeleide versies (voorbeeldafbeeldingen) alsmede metadata (tijdstip, afmetingen, koppeling aan jou en aan het event). Doel: het beschikbaar stellen van de galerij van het event. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO ten aanzien van jou; met betrekking tot andere afgebeelde personen Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang van de deelnemers bij de gezamenlijke documentatie van een gebeurtenis in besloten kring).

Afgebeelde personen die de app niet gebruiken, hebben de rechten uit punt 13 — in het bijzonder het recht van bezwaar op grond van Art. 21 DSGVO. In de praktijk staan twee wegen open: de organisator kan een afzonderlijke afbeelding onmiddellijk blokkeren, en wij verwijderen afbeeldingen op verzoek. Een automatische gezichtsherkenning, een automatisch onherkenbaar maken of een vergelijking met een referentieopname vindt niet plaats.

Geen biometrische gegevens. Snapories maakt geen gezichtssjablonen (templates) en geen gezichtsvectoren aan en voert geen biometrische vergelijking uit. Wij herkennen niemand aan zijn gezicht, vergelijken geen afbeeldingen met een referentieopname en kunnen uit een afbeelding niet afleiden wie daarop te zien is. Een eerder geplande functie om het eigen gezicht onherkenbaar te maken is vóór de marktintroductie geschrapt en is in het systeem niet aanwezig.

Wat de KI-analyse beschrijft. Wordt een afbeelding voor de KI-fotobox geanalyseerd (punt 6), dan ontstaat daarbij een korte beschrijving van elke op de voorgrond afgebeelde persoon — met inbegrip van hun ogenschijnlijke huidtint en hun ogenschijnlijke etnische herkomst. Deze dient ertoe dat de gegenereerde afbeelding het uiterlijk van de afgebeelde personen behoudt en niet door een vreemd uiterlijk wordt vervangen. Dit zijn gegevens van een bijzondere categorie in de zin van Art. 9 DSGVO, en wij benoemen ze hier, in plaats van te beweren dat ze niet voorkomen. Ze worden uitsluitend voor dit ene doel gebruikt: wij gebruiken ze niet om iemand in te delen, te profileren, te segmenteren, te beoordelen of te herkennen, en ze beïnvloeden binnen de dienst niets behalve de afbeelding die wordt gegenereerd. Ze worden niet in onze databank weggeschreven. Voor een generatie worden ze versleuteld meegevoerd in het sessie-token dat jouw app voor de duur van deze sessie vasthoudt; bij de automatische controle volgens punt 6.1a worden ze verworpen, zodra daaruit het ja/nee-antwoord is afgeleid. Bijzonderheden over de doorgifte, de rechtsgrondslag en de opslag bij de KI-aanbieder: punt 6.

5.4 Contingenten en delen

Wij tellen hoeveel opnamen en credits je hebt verbruikt en of een afbeelding is gedeeld. Deze tellers zijn voor de werking noodzakelijk (contingentbeheer) en vloeien in geaggregeerde, niet tot personen herleidbare statistieken. Rechtsgrondslag: Art. 6 Abs. 1 lit. b en lit. f DSGVO.

5.5 Toegang tot de galerij

De galerij van een event is bereikbaar via de zevencijferige, willekeurige deelnamecode. De code is praktisch niet te raden, maar vormt geen aanmelding: wie hem kent, kan de vrijgegeven afbeeldingen van het event zien. Wij wijzen hierop, zodat je kunt inschatten wie je afbeeldingen kan zien.

Deze toegang bestaat alleen gedurende de eventperiode. Met het einde van het event is de galerij voor gasten niet meer bereikbaar; de organiserende persoon kan de afbeeldingen daarna via een in de tijd beperkte vrijgavelink beschikbaar stellen (punt 14).

5.6 Persoonlijke herstel-link

Via de functie „Foto's veiligstellen" maak je een link aan die jouw kenmerk bevat. Wie de link bezit, krijgt toegang tot je afbeeldingen en contingenten. Behandel hem als een wachtwoord. De link is tot 400 dagen geldig en kan alleen worden gebruikt om de identiteit over te nemen, niet als algemene toegangssleutel.

---

6. KI-fotobox en automatische beeldcontrole — doorgifte aan de KI-aanbieder

6.1 Wat er in de fotobox gebeurt. De fotobox heeft geen eigen camera. Je fotografeert met de ene camera van de app; vervolgens kies je een van je eigen afbeeldingen die al in de galerij staat en beschrijf je wat ermee moet gebeuren. Deze afbeelding wordt samen met je tekstinvoer verzonden naar de AI-aanbieder Google (Gemini API, generativelanguage.googleapis.com). Daar wordt in meerdere stappen het aantal afgebeelde personen bepaald, worden kostuumsuggesties gegenereerd en wordt ten slotte de resultaatafbeelding gegenereerd. Het resultaat slaan we op als extra afbeelding van je event.

Je oorspronkelijke afbeelding wordt noch gewijzigd noch vervangen — zij blijft precies zo in de galerij staan als je haar hebt gemaakt. Pas je de AI tweemaal toe op dezelfde afbeelding, dan ontvang je twee resultaatafbeeldingen.

Voor de duur van een generatie maken we in de dataregio van het event een werkkopie aan van de door jou gekozen afbeelding. Zij wordt nergens weergegeven; zij bestaat opdat een afbeelding die we als ongeschikt afwijzen, kan worden verworpen zonder je foto in de galerij aan te tasten. Wordt je afbeelding afgewezen, dan verwijderen we deze kopie onmiddellijk. Anders behoort zij tot de gegevens van het event en wordt zij samen daarmee verwijderd; je kunt te allen tijde verlangen dat zij wordt verwijderd (punt 13).

6.1a Automatische controle van elke geüploade afbeelding. Opdat de app weet op welke afbeeldingen zij je de AI-functie ook maar kan aanbieden, wordt elke door jou geüploade afbeelding automatisch gecontroleerd — niet alleen de afbeeldingen die je later daadwerkelijk gebruikt. Dit gebeurt zonder dat je er iets voor hoeft te doen, onmiddellijk na het uploaden, en daarvoor wordt de afbeelding onder dezelfde voorwaarden als in punt 6.1 naar dezelfde AI-aanbieder verzonden (Google, Gemini API) — verkleind tot een maximale zijlengte van 1.280 pixels, voor zover onze software de afbeelding opnieuw kan coderen, en anders onverkleind.

Wat wij vragen en wat wij bewaren. Wij vragen twee dingen: of er wel een persoon op de afbeelding staat en of de beelduitsnede ruim genoeg is, zodat er plaats is voor een kostuum. Daaruit leiden wij één enkel ja/nee-antwoord af, en alleen dit antwoord — één waarde, verder niets — slaan wij bij de afbeelding op. Het antwoord van de aanbieder zelf slaan wij niet op; het wordt verworpen zodra het ja/nee-antwoord daaruit is afgeleid (wat het bevat, beschrijft het kader in punt 5.3).

Wanneer zij achterwege blijft. De controle loopt alleen bij events waarvoor de organiserende persoon AI-afbeeldingen heeft geboekt. Bij een event zonder deze wordt niets verzonden en niets gecontroleerd. Mislukt de controle of duurt zij te lang, dan blijft je afbeelding eenvoudigweg onbeoordeeld — zij wordt geüpload, opgeslagen en weergegeven als voorheen, en er verandert niets aan haar.

Wat dit voor jou betekent. Het antwoord beslist uitsluitend of de AI-functie bij deze afbeelding wordt aangeboden. Het is geen oordeel over de afbeelding of over de daarop afgebeelde personen, wordt aan niemand getoond, niet doorgegeven en heeft op niets anders in de dienst invloed.

6.2 Rechtsgrondslag. Voor een door jou aangevraagde generatie: Art. 6 Abs. 1 lit. b DSGVO — de generatie is de door jou aangevraagde prestatie. Voor de automatische controle volgens punt 6.1a: Art. 6 Abs. 1 lit. f DSGVO — ons gerechtvaardigd belang en dat van de organiserende persoon om de geboekte AI-functie alleen daar aan te bieden waar zij ook kan werken, in plaats van een actie aan te bieden die zou mislukken. Je kunt op grond van Art. 21 DSGVO te allen tijde bezwaar maken (punt 13); een bericht aan ons volstaat.

6.3 Wat de aanbieder ermee doet. Volgens de voor betaald gebruik geldende voorwaarden gebruikt Google invoer en resultaten niet om zijn modellen te trainen. Google registreert invoer en resultaten gedurende een beperkte periode uitsluitend om misbruik te herkennen en om aan wettelijke verplichtingen te voldoen.

6.4 Verwerkingslocatie en doorgifte aan derde landen. De gebruikte interface verwerkt ook voor events met dataregio EU buiten de Europese Unie, met name in de Verenigde Staten. Grondslag zijn het adequaatheidsbesluit van de Europese Commissie voor het EU-US Data Privacy Framework, voor zover de ontvanger gecertificeerd is, aanvullend de standaardcontractbepalingen van de Europese Commissie samen met aanvullende beschermingsmaatregelen. Ondanks deze instrumenten bestaan er bij een doorgifte naar de VS restrisico's, met name met betrekking tot toegangsmogelijkheden van overheidsinstanties.

6.5 Grenzen. Wij verzenden afbeeldingen en, voor een generatie, je tekstinvoer — verder niets: niet je naam, niet je kenmerk, niet je e-mailadres en niet de afbeeldingen van andere gasten. Bij een generatie is dat precies de ene door jou gekozen afbeelding. Bij de automatische controle volgens punt 6.1a is dat de desbetreffende geüploade afbeelding, afzonderlijk bij het uploaden — nooit je galerij als geheel.

6.6 Aanduiding. Resultaten van de fotobox worden in de toepassing zichtbaar aangeduid als door AI gegenereerd (Art. 50 Abs. 4 KI-VO).

---

7. Bescherming tegen geautomatiseerd misbruik (Cloudflare Turnstile)

7.1 Op de formulieren die een generatie activeren of een e-mail verzenden, zetten wij Cloudflare Turnstile in — een privacyvriendelijk alternatief voor beeldraadsels.

7.2 Wat daarbij wordt verwerkt. De controlemodule laadt van challenges.cloudflare.com en analyseert signalen van je browser. Bij de serverzijdige bevestiging verzenden wij Cloudflare het uitgegeven controletoken en je IP-adres.

7.3 Wat daarbij niet gebeurt. Wij hebben gemeten dat Turnstile op ons domein noch een cookie noch een andere vermelding in het geheugen van je browser achterlaat. Er wordt geen advertentiekenmerk geplaatst en geen domeinoverschrijdend profiel opgebouwd.

7.4 Rechtsgrondslag. Art. 6 Abs. 1 lit. f DSGVO (overweging 49: netwerk- en informatiebeveiliging, fraudepreventie). Het laden van de controlemodule is technisch strikt noodzakelijk voor de door jou aangevraagde functie en vereist daarom op grond van § 25 Abs. 2 Nr. 2 TDDDG geen toestemming.

7.5 Ontvanger en derde land. Cloudflare, Inc., VS, resp. de Cloudflare Germany GmbH. Doorgiften naar de VS vinden plaats op grond van het EU-US Data Privacy Framework en aanvullend de standaardcontractbepalingen.

---

8. Verdere verwerkingen binnen het bedrijf

8.1 Misbruikgrenzen van de gratis demo. Opdat de gratis uitprobeerfunctie niet geautomatiseerd wordt misbruikt, tellen wij generaties per toegangspas en per netwerkbereik. Je IP-adres wordt daarbij niet opgeslagen: het wordt eerst ingekort tot een netwerkbereik (IPv4 /24, IPv6 /64) en deze waarde wordt vervolgens met een cryptografische hashmethode onomkeerbaar verkort. Opgeslagen worden alleen deze hash en een teller. Bewaartermijn: 2 dagen. Rechtsgrondslag: Art. 6 Abs. 1 lit. f DSGVO (bescherming tegen misbruik en tegen ongecontroleerde kosten).

8.2 Betalingsverwerking. Betalingen verwerken wij via Stripe (Stripe Payments Europe, Ltd., Ierland). Daarbij worden betaal- en factuurgegevens rechtstreeks aan Stripe doorgegeven; volledige kaartgegevens bereiken onze systemen niet. Betaal je met PayPal, dan gebeurt dat als betaalmethode binnen Stripe. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO, voor de fiscale documentatie Art. 6 Abs. 1 lit. c DSGVO. Stripe verwerkt betaalgegevens deels ook als eigen verwerkingsverantwoordelijke ter voorkoming van fraude en ter nakoming van eigen toezichtsrechtelijke verplichtingen.

8.3 Aanmelding via eenmalige code. Voor de aanmelding in het organisatoren-dashboard en in de interne console versturen wij een zescijferige eenmalige code naar het opgegeven adres. De code is 10 minuten geldig en wordt daarna verwijderd. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO.

8.3a Herstel van de admin-sleutels. Via de herstelfunctie sturen wij de admin-sleutels van een event uitsluitend naar het opgegeven adres. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Organisator-, partner- en aanbevelingsgegevens. Wij verwerken naam, e-mailadres, regio, geboekte events, factuur- en betaalgegevens alsmede — bij partners — bedrijfsnaam, website, land, logo en merkkleur en — in het aanbevelingsprogramma — de persoonlijke code, de bijbehorende inwisselingen en de puntenstand. Rechtsgrondslag: Art. 6 Abs. 1 lit. b DSGVO, voor fiscaal relevante gegevens Art. 6 Abs. 1 lit. c DSGVO.

8.5 Interne console. Onze medewerkers zien in de interne console bedrijfskengetallen, event- en accountstamgegevens, codes, inwisselingen en partnergegevens. De toegang is beperkt tot een uitdrukkelijk vastgelegde lijst van adressen en alle medewerkers zijn tot vertrouwelijkheid verplicht.

8.6 Nabewerking van een event: beelden en één vraag per e-mail. Ongeveer 35 uur na het einde van een geboekt event schrijven wij naar het e-mailadres waarmee het event is geboekt. Het bericht bevat een in tijd beperkte link waarmee alle beelden van het event als archief kunnen worden gedownload, en het verzoek om ons kort te antwoorden hoe het is verlopen. Het gaat uitsluitend naar de boekende persoon — van gasten is bij ons geen e-mailadres opgeslagen (punt 5.1). Hiervoor worden het e-mailadres en de naam van de boekende persoon, de naam en de periode van het event alsmede de daarvoor aangemaakte deellink verwerkt.

Twee doeleinden, twee rechtsgrondslagen. Het beschikbaar stellen van de beelden is de door jou gekochte prestatie: Art. 6 Abs. 1 lit. b DSGVO. De vraag is directe reclame voor eigen soortgelijke diensten: Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang om het eigen aanbod te promoten en te verbeteren), gebiedsspecifiek geregeld in § 7 Abs. 3 UWG. Aan de voorwaarden daarvan voldoen wij: wij hebben het adres van jou in het kader van de verkoop verkregen, gebruiken het alleen voor eigen soortgelijke diensten, schrijven niemand aan die bezwaar heeft gemaakt, en wijzen je zowel bij het verzamelen van het adres als in elke dergelijke e-mail op je recht van bezwaar.

8.7 Bezwaar tegen deze e-mail, en wat wij daarover opslaan. Je kunt tegen het gebruik van je adres voor de vraag te allen tijde bezwaar maken — via de link in elke dergelijke e-mail of vormvrij aan support@snapories.com. Hierbij ontstaan voor jou geen kosten behalve de verzendkosten volgens de basistarieven. Na een bezwaar ontvang je de e-mail met je beelden nog steeds, want die is de nakoming van de overeenkomst; de vraag vervalt. Meer over het recht van bezwaar staat in punt 13.

Over het bezwaar zelf slaan wij je e-mailadres, het tijdstip en de weg waarlangs het ons heeft bereikt op. Rechtsgrondslag: Art. 6 Abs. 1 lit. c DSGVO in combinatie met § 7 Abs. 3 Nr. 3 UWG alsmede Art. 6 Abs. 1 lit. f DSGVO (gerechtvaardigd belang om een eenmaal verklaard bezwaar blijvend te kunnen eerbiedigen). Dit item wordt niet verwijderd; waarom, staat in punt 14.

---

9. Opslag op je apparaat

Zonder jouw toestemming slaat Snapories alleen op wat voor de gevraagde dienst strikt noodzakelijk is. Concreet is dat: enkele door ons geplaatste cookies — spr_id in de gasten-app, zodat je beelden aan jou toegewezen blijven, spr_oclaim tijdens een boeking, waarmee wij herkennen dat je bevestigingspagina de pagina is van waaruit je hebt betaald, en spr_lang voor de door jou gekozen taal — alsmede enkele items in de lokale opslag van je browser voor toegangspas, taalkeuze, weergave, laatst geopende event, je keuze in de toestemmingsvraag en de offline-versie van de app. Voor deze opslag vereist § 25 Abs. 2 Nr. 2 TDDDG een informatie, geen toestemming.

Met jouw toestemming komen op de marketingwebsite de cookies van de Reddit-pixel erbij (punt 4.6). Ze worden pas geplaatst nadat je met de reclamemeting hebt ingestemd, en verwijderd wanneer je je toestemming herroept. In de gasten-app, in het organisatoren-dashboard en op onze overige interfaces is er geen opslag waarvoor toestemming nodig is; daar verschijnt daarom ook geen vraag.

De volledige, steeds actuele lijst van elk afzonderlijk item — sleutel, doel, levensduur, aanbieder — vind je op snapories.com/de/cookies. Deze lijst wordt rechtstreeks uit de broncode gegenereerd en door een automatische controle afgedwongen: een nieuw opslagitem in de code laat de test mislukken totdat het daar is gedeclareerd. Daardoor kan de vermelding niet verouderen.

---

10. Ontvangers van je gegevens

Wij geven persoonsgegevens alleen door voor zover dit voor de bedrijfsvoering noodzakelijk is of wij daartoe wettelijk verplicht zijn. Categorieën van ontvangers:

• Hosting en opslag: Amazon Web Services (datacentra in Frankfurt resp. Noord-Virginia, afhankelijk van de dataregio van het event; account- en bedrijfsgegevens steeds Frankfurt — punt 12) alsmede de levering van de beelden via het content-delivery-netwerk van dezelfde aanbieder (punt 12)
• AI-generatie en automatische beeldcontrole: Google (punt 6)
• Misbruikbescherming: Cloudflare (punt 7)
• Reclamemeting, alleen met jouw toestemming: Reddit (punt 4.6) — niet als verwerker, maar als gezamenlijk met ons resp. zelfstandig verwerkingsverantwoordelijke
• Betalingsverwerking: Stripe (punt 8.2)
• E-mailverzending: onze verzenddienstverlener
• Adviseurs en autoriteiten: belastingadvies, juridisch advies, accountantscontrole alsmede autoriteiten en rechtbanken, voor zover wettelijk voorgeschreven

De bij name genoemde, steeds actuele lijst met vestigingsplaats, verwerkingslocatie en overdrachtsgrondslag staat in de Lijst van subverwerkers.

Behalve aan Reddit in het kader van jouw toestemming op grond van punt 4.6 geven wij jouw gegevens niet door aan advertentienetwerken, en niet aan datahandelaren of aanbieders van analysediensten. Verkoop vindt niet plaats.

---

11. Doorgifte aan derde landen

Een doorgifte naar landen buiten de Europese Economische Ruimte vindt plaats bij de AI-generatie en de automatische beeldcontrole (Google, VS — punt 6), bij de misbruikbescherming (Cloudflare, VS), bij de advertentiemeting met jouw toestemming (Reddit, VS — punt 4.6) en bij de aflevering van de beelden (Amazon Web Services): zolang een evenement loopt, worden de beelden voor de aflevering tijdelijk op edge-locaties opgeslagen, ook buiten de EU (punt 12). De grondslag is:

• het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 inzake het EU-US Data Privacy Framework, voor zover de ontvangende onderneming gecertificeerd is, en
• aanvullend de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), samen met een effectbeoordeling van de doorgifte en aanvullende beschermingsmaatregelen (versleuteling tijdens transport en in rust, dataminimalisatie, geen doorgifte van namen of identificatoren aan de AI-aanbieder).

Een kopie van de betreffende garanties ontvang je op aanvraag via privacy@snapories.com.

---

12. Dataregio (EU / VS)

Voor elk evenement wordt bij de boeking een dataregio vastgelegd. Deze bepaalt in welke regio de gegevens van dit evenement worden opgeslagen en door ons worden verwerkt:

• EU → Frankfurt am Main (eu-central-1)
• VS → Noord-Virginia (us-east-1)

De gegevens van een evenement worden niet tussen de regio's gespiegeld. Elke regio heeft daarvoor eigen databanken en eigen opslagruimtes.

Account- en factureringsgegevens. Jouw account bij ons — e-mailadres, aanmeldcodes en de evenementen die daarmee worden beheerd — bevindt zich in de Europese Unie (Frankfurt am Main), en wel bij elk evenement, ongeacht de dataregio daarvan. Hetzelfde geldt voor partner- en verwijzingsaccounts, voor kortingscodes en de verzilvering daarvan, voor verwijzingsaanspraken en voor de factuurontvanger en de factuur bij een boeking. Deze gegevensrecords worden eenmaal bewaard en vanuit beide regio's gelezen: één account beheert evenementen in beide regio's, en een in de ene regio uitgegeven waardebon moet in de andere verzilverbaar zijn — een verdeling over de regio's zou betekenen dat een code wordt geweigerd in de regio waarin hij niet is uitgegeven. Voor een evenement met dataregio VS betekent dit: de beelden van het evenement en de gegevens van zijn gasten bevinden zich in Noord-Virginia, terwijl het account waarmee het is geboekt en de bijbehorende factuur in Frankfurt staan.

Aflevering van de beelden. Opdat de beelden overal snel en betrouwbaar aankomen, leveren wij ze uit via een content-delivery-netwerk (Amazon CloudFront). Daarbij worden ze tijdelijk op edge-locaties opgeslagen — ook buiten de EU; het locatiebereik omvat de Verenigde Staten, Canada, Europa en Israël. Deze tussenopslag bestaat alleen zolang het evenement loopt; bij het einde van het evenement legen wij de tussenopslag, en opvragen via deze weg is dan niet meer mogelijk. De opgeslagen versie van een beeld verlaat de dataregio niet.

Wat de dataregio wel en niet omvat: De dataregio bepaalt over de gegevens van dit evenement — zijn beelden en datgene wat over het evenement en de daarbij betrokken personen wordt vastgelegd — en legt vast waar deze worden opgeslagen, verwerkt en gewist. Drie dingen vallen daarbuiten. Zij beschrijft niet elke plaats waar een byte voor de aflevering kortstondig wordt bewaard (hierboven). Zij omvat niet de account- en zakelijke gegevensrecords (hierboven), die eenmaal in de EU worden bewaard en vanuit beide regio's worden gelezen. En zij dekt niet de in punt 6 en punt 7 beschreven aanroepen van externe aanbieders; deze verwerken onafhankelijk van de gekozen dataregio, bepalend is daar punt 11.

---

13. Jouw rechten

Op grond van de DSGVO heb je recht op:

Zo oefen je jouw rechten uit: vormvrij per e-mail aan privacy@snapories.com. Wij antwoorden onverwijld, uiterlijk binnen één maand. Kunnen wij je zonder aanvullende gegevens niet identificeren — wat bij accountloos gebruik van de gasten-app doorgaans het geval is —, dan hebben wij gegevens nodig die de toewijzing mogelijk maken (Art. 11 Abs. 2 DSGVO), bijvoorbeeld de toetredingscode van het evenement, de gebruikte naam en het geschatte tijdstip.

Bijzonder geval afgebeelde personen: Als je op een afbeelding te zien bent zonder de app te gebruiken, neem dan contact op met privacy@snapories.com en beschrijf het evenement en de afbeelding zo nauwkeurig mogelijk. Wij verwijderen de afbeelding of leiden het verzoek — bij zakelijke evenementen waarin wij verwerker zijn — onverwijld door aan de verantwoordelijke organisatie en ondersteunen haar bij de afhandeling.

Bijzonder geval directe reclame. Tegen de verwerking van je gegevens voor het doel van directe reclame — dat is bij ons uitsluitend de vraag in de nabewerkings-e-mail (punt 8.6) — kun je volgens Art. 21 Abs. 2 DSGVO te allen tijde bezwaar maken. Dit bezwaar is onvoorwaardelijk: er vindt geen belangenafweging plaats en je hoeft het niet te motiveren. Daarna verwerken wij je gegevens niet meer voor dit doel. Het snelst gaat het via de link in elke dergelijke e-mail; een vormvrij bericht aan support@snapories.com volstaat eveneens.

Klachtrecht. Je hebt het recht om een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, in het bijzonder bij de voor ons bevoegde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
https://www.lda.bayern.de

---

14. Bewaartermijnen in overzicht

---

15. Geen geautomatiseerde besluitvorming

Er vindt geen geautomatiseerde besluitvorming in individuele gevallen plaats, met inbegrip van profilering in de zin van Art. 22 DSGVO. De AI-fotobox genereert een afbeelding; zij neemt geen besluit over een persoon en heeft geen rechtsgevolg. De automatische beeldcontrole (punt 6.1a) beslist uitsluitend over de vraag of de AI-functie bij een afzonderlijke afbeelding wordt aangeboden; zij beoordeelt niemand, heeft geen rechtsgevolg en heeft evenmin vergelijkbare aanzienlijke gevolgen. Besluiten over het verwijderen van inhoud worden door mensen genomen.

---

16. Beveiliging

Wij treffen technische en organisatorische maatregelen conform Art. 32 DSGVO. Daartoe behoren transportversleuteling (TLS), versleuteling van rustende gegevens, strikte scheiding van de dataregio's voor evenementgegevens, toegangsbeperkte interne systemen, ondertekende, kortlevende toegangstokens voor beeldbestanden, een serverzijdige misbruikbescherming alsook regelmatige actualisering van de ingezette componenten. De details staan in Bijlage 2 van de verwerkersovereenkomst.

---

17. Wijzigingen van deze verklaring

Wij passen deze verklaring aan wanneer de dienst, de ingezette dienstverleners of de rechtssituatie veranderen. De telkens actuele versie is opvraagbaar via snapories.com/privacy.html; de datum bovenaan toont de stand.

---

18. Maatgevende taalversie

Uitsluitend de Duitse versie van deze privacyverklaring is maatgevend. Versies in andere talen stellen wij uitsluitend voor informatiedoeleinden beschikbaar. Bij afwijkingen gaat de Duitse versie voor. Ten aanzien van betrokkenen die zich hebben verlaten op een door ons beschikbaar gestelde anderstalige versie, geldt dit slechts voor zover de Duitse versie voor hen niet ongunstiger is.