Datenschutzerklärung

Gültig ab: 1. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Alexander Hundeshagen
handelnd für die SHARKD GmbH i. Gr.
Erftstraße 10
38120 Braunschweig
Deutschland
E-Mail: hallo@sharkd.de

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG besteht nicht.

2. Zwei getrennte Rollen — bitte zuerst lesen

SHARKD Photo ist eine Software für Fotograf:innen und Fotostudios. Daraus ergeben sich zwei unterschiedliche Verarbeitungssituationen:

a) Daten unserer Nutzer:innen — wir sind Verantwortlicher. Wenn Sie unsere Website besuchen, ein Konto anlegen, die Testphase nutzen oder ein Abonnement abschließen, verarbeiten wir Ihre Daten in eigener Verantwortung. Darum geht es in dieser Erklärung.

b) Daten, die Nutzer:innen in SHARKD Photo speichern — wir sind Auftragsverarbeiter. Legt eine Fotografin in SHARKD Photo Kund:innen, Termine, Angebote, Verträge, Rechnungen oder Galerien an, verarbeiten wir diese Daten ausschließlich in ihrem Auftrag und nach ihrer Weisung. Verantwortlich im Sinne der DSGVO ist dann die jeweilige Fotografin beziehungsweise das Studio, nicht wir.

Grundlage dafür ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den wir mit jeder Nutzerin schließen. Er ist abrufbar unter photo.sharkd.de/auftragsverarbeitung.

Sie sind Kundin oder Kunde eines Fotostudios? Wenn Sie wissen möchten, welche Daten dort über Sie gespeichert sind, wenden Sie sich bitte direkt an das Studio. Wir dürfen darüber keine Auskunft erteilen und keine Daten löschen, ohne dass das Studio uns dazu anweist. Auf Wunsch leiten wir Ihre Anfrage an das betreffende Studio weiter.

3. Welche Daten wir verarbeiten

3.1 Beim bloßen Aufruf der Website und der Anwendung

Auch ohne Registrierung werden technische Zugriffsdaten verarbeitet:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite oder Ressource
• Browsertyp und -version, Betriebssystem
• Referrer-URL

Diese Daten sind erforderlich, um die Seiten auszuliefern und ihre Stabilität und Sicherheit zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem störungsfreien und sicheren Betrieb)

Betroffen sind sowohl unsere Informationsseiten unter photo.sharkd.de als auch die Anwendung unter app.photo.sharkd.de.

3.2 Bei Registrierung und Nutzung eines Kontos

• E-Mail-Adresse und Passwort (ausschließlich als Hashwert gespeichert)
• Name beziehungsweise Studioname
• Kontaktdaten und Rechnungsanschrift
• Angaben zum Unternehmen, etwa Umsatzsteuer-Identifikationsnummer
• Einstellungen, Vorlagen und Branding-Angaben
• Zeitpunkte von Anmeldung und Aktivität zur Absicherung des Kontos

Die Registrierung ist wahlweise mit E-Mail-Adresse und Passwort oder über ein Google-Konto möglich. Bei der Anmeldung über Google erhalten wir von Google Ihre E-Mail-Adresse, Ihren Namen und Ihre Google-Kennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.3 Während der kostenlosen Testphase

Für die 14-tägige Testphase gelten dieselben Angaben wie unter 3.2. Zahlungsdaten werden nicht erhoben, da für den Start keine Kreditkarte erforderlich ist. Zusätzlich speichern wir Beginn und Ende der Testphase.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

3.4 Bei einem kostenpflichtigen Abonnement

• Zahlungsdaten, verarbeitet durch Stripe (siehe 4.3)
• Abonnementstatus, Tarif und Laufzeit
• Rechnungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung der Rechnungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB

3.5 Bei Kontaktaufnahme und Support

Wenn Sie uns per E-Mail oder über ein Formular schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Bezug zum Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen)

4. Empfänger und Auftragsverarbeiter

Mit allen genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie in unserem Auftrag tätig werden.

4.1 Hosting und Auslieferung — Vercel

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Vercel liefert Website und Anwendung aus und verarbeitet dabei technische Zugriffsdaten einschließlich der IP-Adresse.

Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission und ergänzender Schutzmaßnahmen nach dem geschlossenen Auftragsverarbeitungsvertrag.

Datenschutzerklärung: vercel.com/legal/privacy-policy

4.2 Datenbank, Dateispeicher und serverseitige Funktionen — Supabase

Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992

Supabase betreibt Datenbank, Dateispeicher und serverseitige Funktionen. Hier liegen Konten, Inhalte und hochgeladene Dateien einschließlich der Bildgalerien.

Speicherort: Europäische Union (Frankfurt am Main, Deutschland). Eine Speicherung außerhalb der EU findet nicht statt.

Datenschutzerklärung: supabase.com/privacy

4.3 Zahlungsabwicklung — Stripe

Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland

Daten werden erst an Stripe übermittelt, wenn Sie einen kostenpflichtigen Tarif auswählen. Stripe verarbeitet Zahlungsdaten eigenverantwortlich. Vollständige Kartendaten werden von uns nicht erhoben und nicht gespeichert; wir erhalten Angaben zum Abonnement- und Zahlungsstatus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

Datenschutzerklärung: stripe.com/de/privacy

4.4 E-Mail-Versand — Microsoft

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland

Wir versenden E-Mails über zwei Dienste desselben Anbieters. Nachrichten an Ihr Konto, die zur Anmeldung gehören — die Bestätigung Ihrer Registrierung, das Zurücksetzen des Passworts, die Bestätigung einer geänderten E-Mail-Adresse und Einladungen — laufen über Azure Communication Services. Unsere übrige geschäftliche Korrespondenz sowie System- und Automationsnachrichten laufen über Microsoft 365. In beiden Fällen werden Empfängeradresse, Betreff und Inhalt der Nachricht verarbeitet.

Für Azure Communication Services ist als Speicherort ausdrücklich Europa festgelegt. Eine Nachverfolgung von Öffnungen oder Klicks findet nicht statt und ist technisch abgeschaltet.

Über den Versand der kontobezogenen Nachrichten führen wir ein Protokoll. Darin werden Zeitpunkt, Art der Nachricht, Empfängeradresse, eine Vorgangskennung und der Status gespeichert — nicht jedoch Betreff, Inhalt oder Bestätigungslinks. Das Protokoll dient dem Nachweis des Versands und der Störungsdiagnose und wird nach 90 Tagen automatisch gelöscht.

Die Verarbeitung findet innerhalb der Europäischen Union statt. Soweit im Einzelfall eine Übermittlung in Drittländer erfolgt, etwa im Rahmen von Supportvorgängen, stützt sie sich auf die Standardvertragsklauseln der Europäischen Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Versand selbst; für das Versandprotokoll Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, den Versand belegen und Störungen aufklären zu können.

Datenschutzerklärung: privacy.microsoft.com

4.5 KI-gestützte Funktionen — Anthropic

Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA

SHARKD Photo enthält Funktionen, die auf Sprach- und Bildmodelle zurückgreifen, etwa den KI-Assistenten und die unterstützte Bildauswahl in Galerien. Bei Nutzung dieser Funktionen werden die jeweils verarbeiteten Inhalte an den Anbieter übermittelt.

Das können auch Daten sein, die Sie über Ihre Kund:innen gespeichert haben. In diesem Fall handeln wir als Auftragsverarbeiter für Sie und der Anbieter als Unterauftragsverarbeiter (siehe Abschnitt 2).

Wir haben mit dem Anbieter eine Datenverarbeitungsvereinbarung geschlossen. Die übermittelten Inhalte werden nicht zum Training von Modellen verwendet. Die unterstützte Bildauswahl bewertet ausschließlich technische Bildmerkmale; eine Analyse von Gesichtern oder eine Erkennung einzelner Personen findet nicht statt.

Die Übermittlung in die Vereinigten Staaten erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Funktion)

4.6 Kalender-Synchronisierung und Anmeldung — Google

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Wenn Sie die Synchronisierung mit Google Kalender aktivieren, verbinden Sie Ihr Google-Konto über OAuth mit SHARKD Photo. Dabei werden Termindaten zwischen beiden Systemen übertragen. Dasselbe Unternehmen ist Anbieter der Anmeldung über ein Google-Konto (siehe 3.2).

Die Verbindung entsteht ausschließlich durch Ihre aktive Freigabe und kann jederzeit in den Einstellungen oder in Ihrem Google-Konto widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen aktivierten Funktion)

Datenschutzerklärung: policies.google.com/privacy

4.7 Weitere Empfänger

Eine Weitergabe an sonstige Dritte erfolgt nicht, außer wir sind gesetzlich dazu verpflichtet. Schriftarten und Symbole werden von unserem eigenen Server ausgeliefert; es findet keine Verbindung zu Google Fonts oder vergleichbaren Diensten statt.

5. Verarbeitung im Auftrag unserer Nutzer:innen

Ergänzend zu Abschnitt 2 gilt für Daten, die Nutzer:innen in SHARKD Photo speichern, Folgendes.

Umfang. Verarbeitet werden können Stammdaten von Kund:innen, Termine, Angebote, Verträge, Rechnungen, Nachrichten sowie hochgeladene Bilddateien.

Kundenseitige Seiten. Einige Seiten richten sich unmittelbar an die Kund:innen unserer Nutzer:innen — etwa die Buchungsseite eines Studios, ein zur Unterschrift bereitgestellter Vertrag, ein Fragebogen oder das Kundenportal. Wer diese Seiten aufruft, tut das im Verhältnis zum jeweiligen Studio; verantwortlich für die dort erhobenen Angaben ist das Studio. Wir verarbeiten dabei zusätzlich die unter 3.1 genannten technischen Zugriffsdaten, um die Seiten auszuliefern. Auf diesen Seiten werden keine einwilligungspflichtigen Dienste geladen.

Elektronische Signatur. Bei Verträgen mit elektronischer Unterschrift wird zur Beweissicherung ein Protokoll gespeichert, das unter anderem Zeitpunkt, IP-Adresse und technische Angaben zum Gerät der unterzeichnenden Person enthält.

Bildgalerien. Hochgeladene Aufnahmen können Personen zeigen. Für die Rechtmäßigkeit der Verarbeitung und Veröffentlichung solcher Aufnahmen ist die jeweilige Fotografin verantwortlich, insbesondere für erforderliche Einwilligungen nach DSGVO und Kunsturhebergesetz.

Weisungsbindung. Wir verarbeiten diese Daten nur nach Weisung der verantwortlichen Nutzerin, nutzen sie nicht für eigene Zwecke und geben sie nicht an Dritte weiter, außer an die in Abschnitt 4 genannten Unterauftragsverarbeiter.

Löschung. Nach Beendigung des Vertragsverhältnisses werden die Daten gelöscht oder zurückgegeben, entsprechend der Regelung im Auftragsverarbeitungsvertrag.

6. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein:

• Anmeldung und Sitzung — damit Sie angemeldet bleiben
• Seitenleiste — merkt sich, ob die Seitenleiste ein- oder ausgeklappt ist
• Darstellungsmodus — merkt sich Ihre gewählte Ansicht

Ergänzend nutzen wir den Sitzungsspeicher Ihres Browsers für kurzfristige Zustände innerhalb eines Besuchs: den Fortschritt im Einrichtungsdialog sowie – wenn Sie zuvor ein Kontaktformular abgeschickt haben – einen Verweis auf diese Anfrage, damit Ihre spätere Registrierung ihr zugeordnet werden kann. Diese Angaben werden beim Schließen des Browsers verworfen.

Eine Reichweitenmessung, Werbe-Tracking oder eine Auswertung Ihres Verhaltens findet nicht statt. Es werden keine Skripte Dritter zu diesen Zwecken geladen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderliche Speicherung); ergänzend Art. 6 Abs. 1 lit. f DSGVO

7. Speicherdauer

• Kontodaten: solange das Konto besteht. Nach Löschung werden die Daten innerhalb von 30 Tagen entfernt, mit Ausnahme der unten genannten Rechnungs- und Buchhaltungsdaten, die den gesetzlichen Aufbewahrungsfristen unterliegen.
• Inhalte, die im Auftrag verarbeitet werden: nach Maßgabe des Auftragsverarbeitungsvertrags
• Server-Logdaten Vercel: Laufzeit-Protokolle werden eine Stunde vorgehalten
• Server-Logdaten Supabase: längstens sieben Tage
• Protokoll des E-Mail-Versands: 90 Tage. Erfasst werden Empfängeradresse, Zeitpunkt, Mailtyp und Zustellstatus der Systemnachrichten (etwa Registrierungsbestätigung, Passwort-Zurücksetzung).
• Rechnungs- und Buchhaltungsdaten: zehn Jahre gemäß § 147 AO und § 257 HGB
• Support-Korrespondenz: 24 Monate

8. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an hallo@sharkd.de.

Bitte beachten Sie Abschnitt 2: Betrifft Ihre Anfrage Daten, die ein Fotostudio in SHARKD Photo gespeichert hat, ist das Studio Ihr Ansprechpartner. Wir leiten Ihre Anfrage auf Wunsch weiter.

Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
lfd.niedersachsen.de

9. Datensicherheit

Die Übertragung erfolgt verschlüsselt über TLS. Der Zugriff auf Daten ist technisch auf berechtigte Konten beschränkt und durch Zugriffsregeln auf Datenbankebene abgesichert. Passwörter werden ausschließlich als Hashwert gespeichert.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert. Die jeweils aktuelle Fassung ist unter photo.sharkd.de/datenschutz abrufbar.

Zuletzt aktualisiert: 1. September 2026