Datenschutz

1. Verantwortlicher

Florian Gansmeier
Achwaldstraße 4d
80999 München
Deutschland

E-Mail allgemein: hello@skazka-book.com
E-Mail Datenschutz und Widerruf: privacy@skazka-book.com

Wir haben keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG nicht erfüllt sind (kleines Team, keine umfangreiche systematische Überwachung). Sollte sich das ändern, kontaktieren wir vorab eine spezialisierte Stelle.

2. Allgemeines

Wir verarbeiten personenbezogene Daten ausschließlich, um dir die bestellte Leistung (personalisiertes zweisprachiges Kinder-Märchenbuch mit der Stimme deiner Großmutter) zu liefern, gesetzliche Pflichten zu erfüllen, und um — soweit du eingewilligt hast — über neue Produkte zu informieren. Wir verkaufen oder vermieten deine Daten nicht.

Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bestelldaten, Personalisierungseingaben, Lieferadresse
• Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung in besondere Kategorie): Voice-Sample der Großmutter und daraus erstellter KI-Voice-Klon
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): steuerliche Aufbewahrung von Rechnungen
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Newsletter, optional Analytics-Cookies
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Server-Logs, IT-Sicherheit, betrugsabwehrende Webhooks

3. Welche Daten wir wofür verarbeiten

3.1 Konto- und Bestelldaten

• E-Mail-Adresse (Käufer)
• Name, Lieferadresse, Telefon (für Versand)
• Rechnungsdaten
• Bestellhistorie (Inhalt der Bestellung, Bestelldatum, Zahlstatus)

Zweck: Vertragsabschluss und -abwicklung, Kundenservice, gesetzliche Aufbewahrung.
Aufbewahrung: Rechnungsrelevante Daten 10 Jahre (§ 147 AO, § 257 HGB). Sonstige Bestelldaten bis maximal 3 Jahre nach letztem Kontakt, sofern keine längere gesetzliche Frist greift.

3.2 Personalisierungsdaten des Buches

• Vor-/Spitzname und Geschlecht des Kindes (für korrekte russische Grammatik)
• Vorname von Mutter, Vater und Geschwistern (optional)
• Vorname und Wohnort der Babuschka (Großmutter)
• Lieblingstier aus kuratierter Pickliste
• Optionale Widmung (Freitext, durch automatischen Filter geprüft)

Zweck: Erstellung des personalisierten Märchens.
Aufbewahrung: so lange das Buch zur Wiederbestellung verfügbar gehalten wird; auf Wunsch jederzeit Löschung an privacy@skazka-book.com.

3.3 Voice-Sample und Voice-Klon (besondere Kategorie nach Art. 9 DSGVO)

• Roh-Audio-Aufnahme der Großmutter (mindestens 30 Sekunden, in der Regel 60–90 Sekunden)
• davon abgeleiteter KI-Voice-Klon (ein numerischer „Fingerabdruck" bei unserem TTS-Anbieter ElevenLabs)
• davon erzeugte Audio-Dateien je Buchseite

Rechtsgrundlage: ausdrückliche Einwilligung der aufgenommenen Person (Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung wird vor dem Upload erteilt; der genaue, zum Zeitpunkt der Einwilligung gültige Text wird zusammen mit Zeitstempel und IP-Adresse versioniert gespeichert.

Zweckbindung: ausschließlich Erstellung persönlicher Kinder-Gutenachtgeschichten für die in der Buchung genannte Familie. Keine Übertragung des Voice-Klons auf andere Personen, keine kommerzielle Drittnutzung, keine Werbung.

Empfänger:

• ElevenLabs, Inc. (USA) — TTS-Anbieter, der das Sample technisch klont und Audio-Generierung durchführt. Übermittlung in die USA gestützt auf den EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) sowie zusätzlich auf Standardvertragsklauseln. Auftragsverarbeitungsvertrag (DPA) liegt vor; ElevenLabs ist DPF-zertifiziert.
• Supabase (Server EU-Frankfurt, eu-central-1) — Speicherung der Roh-Audio-Datei und der generierten Audio-Seiten.

Aufbewahrung und Löschung:

• Roh-Audio-Sample: bis zur Lieferung des Buchs + 30 Tage (für Reklamationen, Korrektur-Aufnahmen); danach automatische Löschung sowohl in unserem Storage als auch der Voice-Slot bei ElevenLabs.
• Generierte Buch-Audios: bis zur Lieferung des Buchs + 12 Monate (damit der QR-Code im Buch funktioniert), danach automatische Löschung auf Wunsch oder spätestens 5 Jahre nach Bestellung.
• Du kannst jederzeit die sofortige Löschung des Voice-Samples und/oder Voice-Klons verlangen: privacy@skazka-book.com. Wir bestätigen die Löschung innerhalb von 7 Tagen und löschen sowohl bei uns als auch beim TTS-Anbieter.

3.4 Server-Logs und IT-Sicherheit

• IP-Adresse (anonymisiert oder gekürzt, soweit technisch möglich)
• aufgerufene URL, Zeitstempel, User-Agent
• bei API-Aufrufen: HTTP-Status, Antwortzeit

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Betrugsabwehr).
Aufbewahrung: maximal 30 Tage; sicherheitsrelevante Logs ggf. länger, dann pseudonymisiert.

3.5 Analyse — Plausible Analytics

Wir nutzen Plausible Analytics, einen DSGVO-konformen Webanalyse-Dienst aus der EU (Server in der EU, ohne Cookies, ohne personenbezogene IDs, ohne Cross-Site-Tracking). Plausible verarbeitet nur aggregierte, anonyme Statistik (Seitenaufrufe, Verweildauer, Quelle). Es werden keine Profile gebildet, keine Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung ohne intrusive Tracking-Mechanismen). Eine separate Cookie-Einwilligung ist für Plausible nicht erforderlich, weil keine personenbezogenen Daten verarbeitet und keine Cookies gesetzt werden.

3.6 Marketing-Mails — Klaviyo

Falls du in den Newsletter eingewilligt hast (Double-Opt-In), verarbeiten wir deine E-Mail-Adresse und ggf. Vornamen über Klaviyo, Inc. (USA) zur Versendung von Produkt-News.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Empfänger: Klaviyo, Inc., USA. Übermittlung gestützt auf den EU-US Data Privacy Framework (Angemessenheitsbeschluss) sowie zusätzlich Standardvertragsklauseln. Klaviyo ist DPF-zertifiziert.
Widerruf: jederzeit per Abmelde-Link in jeder Mail oder Mail an privacy@skazka-book.com. Der Widerruf wirkt für die Zukunft.

3.7 Transaktional-Mails — Resend

Für transaktionale E-Mails (Bestellbestätigung, Magic-Link an die Großmutter, Versandbenachrichtigung) nutzen wir Resend, Inc. (USA).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und/oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an reibungsloser Bestellabwicklung).
Empfänger: Resend, Inc., USA. Übermittlung gestützt auf EU-US Data Privacy Framework und Standardvertragsklauseln.

3.8 Bezahlung — Shopify / Stripe / PayPal / Klarna

Die Bezahlung läuft über Shopify. Wir selbst speichern keine Kartendaten. Was bei uns ankommt: Bestellstatus, Käuferadresse und E-Mail, Bestellsumme.

Empfänger je nach gewählter Zahlungsart:

• Shopify International Ltd. (Irland, EU)
• Stripe Payments Europe Ltd. (Irland, EU) — Kreditkarte
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg, EU)
• Klarna Bank AB (Schweden, EU)

Datenschutzerklärungen: Shopify · Stripe · PayPal · Klarna

3.9 Druck und Versand — Gelato

Den Druck und den Versand des Buchs übernimmt Gelato Group (Hauptsitz Norwegen; europäische Druckereien). Wir übermitteln dafür: Lieferadresse, das fertige Buch-PDF, Bestellreferenz.

Empfänger: Gelato Group AS. Datenschutzerklärung Gelato

3.10 Hosting — Vercel

Die Web-App wird auf Vercel, Inc. (USA) gehostet. Edge-Caching erfolgt überwiegend in der EU. Vercel kann technisch IP-Adressen sehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website).
Übermittlung: USA, gestützt auf EU-US Data Privacy Framework und Standardvertragsklauseln. Vercel ist DPF-zertifiziert.

4. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung aus berechtigtem Interesse (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — besonders relevant für Voice-Sample-Verarbeitung und Newsletter
• Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für München zuständig: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Zur Wahrnehmung deiner Rechte: privacy@skazka-book.com

5. Sicherheit

Wir setzen TLS-Verschlüsselung für die gesamte Datenübertragung ein, speichern Voice-Samples nur in einem zugriffsgeschützten Bucket (Supabase EU mit Row-Level-Security), und protokollieren administrative Zugriffe.

6. Aktualisierungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich unsere Verarbeitung ändert (z. B. neuer Subprozessor). Wesentliche Änderungen, die deine Voice-Daten betreffen, werden wir aktiv per E-Mail kommunizieren.

Stand: 2026-06-04.