Datenschutz

Datenschutz ist so ein Thema, bei dem viele direkt an Cookie-Banner, endlose Texte und „Alle akzeptieren“ denken. Muss aber nicht sein.

Für uns bedeutet Datenschutz vor allem eins: so wenig Daten wie möglich sammeln. Nicht alles tracken, nicht jeden Klick analysieren und schon gar keine Daten speichern, nur weil man es könnte.

Das Wichtigste zuerst: Wenn du ein Bild hochlädst, hat das zuerst einen Zweck: Es soll – nach einer manuellen Prüfung durch uns – auf unserer öffentlichen Karte veröffentlicht werden. Das ist der Sinn der Sache: Dein Bild wird damit für alle Besucher der Seite sichtbar.

Optional kannst du beim Upload zusätzlich erlauben, dass wir das Foto auch auf unseren Social-Media-Kanälen zeigen (derzeit Instagram, Threads und Facebook). Ohne diesen Extra-Toggle bleibt es bei der Karte. Details stehen im Abschnitt „Social-Media-Veröffentlichung“.

Deine Bilder werden nicht verkauft und von uns nicht zum Trainieren von KI-Modellen verwendet. Ohne deine gesonderte Social-Media-Einwilligung geben wir sie auch nicht an Dritte weiter. Mit Einwilligung erfolgt die Weitergabe an Meta nur, soweit das für die Veröffentlichung nötig ist – siehe unten.

Sollten auf einem hochgeladenen Bild Personen zu sehen sein, schauen wir uns das persönlich an. Falls nötig, werden Gesichter oder andere Personen von Hand unkenntlich gemacht. Dabei kommt ausdrücklich keine automatische KI-Erkennung zum Einsatz. Lieber einmal selbst draufschauen als blind einer Software vertrauen.

Bei uns gibt es übrigens keinen Cookie-Banner. Warum? Weil wir keinen brauchen. Die Cookies, die wir einsetzen, sind ausschließlich technisch notwendig und sorgen dafür, dass der Shop und dein Warenkorb funktionieren.

Cookies? Ja.
Musst du zustimmen? Nein.

Die Karte auf der Website kommt übrigens von OpenStreetMap und nicht von Google Maps. Funktioniert super und ist deutlich datenschutzfreundlicher.

Wissen wir, wer du bist? Nein.
Wissen wir, welche Seiten beliebt sind? Ja.
Wissen wir, wie viel Umsatz wir machen? Leider auch. (Spoiler: Das ist ein Minusgeschäft, wir machen es aus Lokalpatriotismus 😄)

Dafür nutzen wir eine eigene, selbst gehostete Statistik – komplett ohne Tracking-Cookies und ohne externen Dienstleister. Die Daten bleiben auf unserem Server; wir bekommen anonyme Statistiken, ohne dich quer durchs Internet zu verfolgen.

Und für alle, die jetzt immer noch weiterlesen: Respekt. Ab hier kommt der offizielle Datenschutz-Kram.

Hartmann Contractor KG
Paul-Klee-Str. 38
42781 Haan
E-Mail: info@serend.de

Büroanschrift
serend.design
c/o Hartmann Bürotechnik
Viehhofstr. 121
42117 Wuppertal

Einen Datenschutzbeauftragten müssen wir nicht benennen; die gesetzlichen Voraussetzungen liegen bei uns nicht vor.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21).

Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

Für Anliegen genügt eine formlose Nachricht an info@serend.de. Vermutlich ist die Antwort kürzer als diese Datenschutzerklärung 🙂

Die Website läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Standort Nürnberg. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf werden technisch bedingt IP-Adresse, Datum und Uhrzeit, Browserinformationen und die aufgerufene Seite verarbeitet.

Rechtsgrundlage: berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Server-Logs werden nach 14 Tagen automatisch gelöscht.

Um unsere Formulare (Foto-Upload, Kontakt, Foto-Löschung, Widerruf und den Admin-Login) vor automatisiertem Missbrauch und Spam zu schützen, setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA).

Wenn du eines dieser Formulare absendest, wird zur Prüfung technisch bedingt deine IP-Adresse sowie Browser-Informationen an Cloudflare übermittelt. Damit ist ein Datentransfer in die USA (Drittland) verbunden. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln als Transfergrundlage. Turnstile arbeitet bewusst ohne Tracking-Cookies.

Rechtsgrundlage: berechtigtes Interesse an einer sicheren, missbrauchsfreien Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO).

Bilder, die du hochlädst, verwenden wir – nach manueller Prüfung –, um sie auf unserer öffentlichen Karte zu veröffentlichen. Optional und nur mit gesonderter Einwilligung können sie zusätzlich auf unseren Social-Media-Kanälen erscheinen (siehe Abschnitt „Social-Media-Veröffentlichung“). Sie werden weder verkauft noch von uns für Werbung oder zum Training von KI-Modellen genutzt.

Deine Originaldatei wird nicht gespeichert. Sie wird beim Upload ausschließlich im Arbeitsspeicher verarbeitet und dabei umgewandelt; dabei werden sämtliche Metadaten entfernt (z. B. Kameramodell, Aufnahmezeit, Seriennummer). Aus den GPS-Koordinaten ermitteln wir – falls vorhanden – nur den ungefähren Ort und versetzen den Kartenpunkt um 100–250 m. Die exakten Koordinaten werden zu keinem Zeitpunkt gespeichert – auf die Platte geschrieben wird ausschließlich diese bereinigte, metadatenfreie Fassung deines Bildes samt dem bereits ungenau gemachten Ort.

Falls Personen auf einem Bild zu sehen sind, prüfen wir das Bild manuell. Wenn erforderlich, werden Personen oder sensible Bereiche von Hand unkenntlich gemacht. Dabei findet keine automatische Gesichtserkennung oder KI-Auswertung statt. Hier ist noch Handarbeit am Start.

Der von dir gewählte Anzeigename ist frei wählbar und erscheint öffentlich unter dem Foto. Wir prüfen ihn nicht auf Echtheit und erheben keine weiteren Angaben zu deiner Person.

Rechtsgrundlage: deine Einwilligung durch das Absenden des Uploads (Art. 6 Abs. 1 lit. a DSGVO) sowie berechtigtes Interesse am Betrieb der Karte (lit. f). Speicherdauer: bis zur Löschung durch dich oder durch uns. Die Löschung kannst du jederzeit über die Bild-ID beantragen.

Zweck: Wenn du beim Upload den optionalen Toggle aktivierst, erlaubst du uns zusätzlich, dein Foto auf den Social-Media-Kanälen dieses Projekts zu veröffentlichen. Derzeit sind das Instagram, Threads und Facebook (Meta). Ohne diesen Toggle bleibt die Nutzung auf die öffentliche Karte beschränkt.

Die Veröffentlichung kann Beiträge, Stories, Reels und Karussells umfassen sowie technisch nötige Anpassungen (Zuschneiden, Format, ergänzender Text oder Grafik), ohne den Bildinhalt zu verfälschen.

Rechtsgrundlage: deine gesonderte Einwilligung beim Upload (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist freiwillig; der Upload auf die Karte funktioniert auch ohne sie.

Widerruf: Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – auch isoliert nur für Social Media – über das Formular „Foto melden oder löschen“ mit deiner Bild-ID. Wir nehmen unsere Beiträge auf Social Media dann innerhalb von 7 Tagen herunter. Kopien, die Dritte bereits geteilt, gespeichert oder weiterverbreitet haben, können wir nicht zurückholen. Was der Plattformbetreiber (z. B. Meta) aus dem Beitrag bereits abgeleitet, gespeichert oder weiterverwendet hat – etwa für eigene Systeme oder KI-Training –, liegt außerhalb unseres Einflusses und wird durch den Widerruf nicht rückgängig gemacht. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Empfänger und Drittlandtransfer: Für die Veröffentlichung übermitteln wir das Foto (und ggf. den von dir gewählten Anzeigenamen) an den Plattformbetreiber Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland. Meta kann die Daten auch an Meta Platforms, Inc. in den USA weiterleiten bzw. dort verarbeiten. Damit ist ein Datentransfer in ein Drittland verbunden. Meta beruft sich für Transfers in die USA auf das EU-U.S. Data Privacy Framework; ergänzend können Standardvertragsklauseln gelten. Mit dem Posten erhält Meta nach seinen eigenen Nutzungsbedingungen Rechte am Inhalt; nach eigenen Angaben nutzt Meta öffentliche Beiträge auch zum Training von KI-Modellen. Darauf haben wir keinen Einfluss. Es gelten zusätzlich die Datenschutzhinweise von Meta.

Weil wir bei Uploads bewusst keine Kontaktdaten erheben, können wir dich über Entscheidungen nicht aktiv benachrichtigen. Stattdessen hinterlegen wir das Ergebnis samt Begründung zu deiner Bild-ID; du kannst es jederzeit über die Statusseite abrufen. Damit erfüllen wir die Begründungspflicht aus Art. 17 DSA im Rahmen der uns vorliegenden Informationen.

Der Abruf der Statusseite wird nicht personenbezogen protokolliert. Es wird kein Cookie gesetzt und keine Reichweitenmessung ausgelöst.

Über das Formular „Foto melden oder löschen“ kannst du rechtswidrige Inhalte melden oder – als Uploader – dein eigenes Foto entfernen lassen. Wir verarbeiten dabei die von dir angegebenen Daten (Name, E-Mail-Adresse, Beschreibung und ggf. Bild-ID), um deine Meldung zu prüfen, dir eine Empfangsbestätigung und die Entscheidung mitzuteilen (Art. 16 und 17 DSA) und – bei berechtigten Meldungen – künftige, kerngleiche Verstöße zu verhindern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus dem Digital Services Act) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung wiederholter Rechtsverstöße).

Aufbewahrung: Deine als meldende Person angegebenen Daten (Name, E-Mail) werden sechs Monate nach Abschluss des Vorgangs anonymisiert. Erhalten bleiben anschließend nur die Ticket-Nummer und die Entscheidung ohne Personenbezug. Zur dauerhaften Wiederholungssperre speichern wir zudem einen technischen Bild-Fingerabdruck (perceptual Hash), gesperrte Fundort-Zonen (aus bereits unscharfen, um 100–250 m versetzten Koordinaten abgeleitet) sowie ein manipulationssicheres Protokoll (Audit-Log). Die eigentliche Bilddatei eines entfernten Fotos wird vollständig gelöscht.

Angaben der meldenden Person werden dem Uploader gegenüber nicht offengelegt und umgekehrt. Gegen jede Entscheidung kann über die Ticket-Nummer widersprochen werden.

Bestellst du Aufkleber, verarbeiten wir Name, Lieferanschrift und E-Mail-Adresse sowie die Bestelldaten.

Zahlung: Die Abwicklung übernimmt die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, als eigener Verantwortlicher. Wir erhalten keine vollständigen Zahlungsdaten und speichern weder Kontonummern noch Kartendaten.

Rechnung und Buchhaltung: Dafür nutzen wir lexoffice der Haufe-Lexware GmbH & Co. KG, Munzinger Str. 9, 79111 Freiburg. Es besteht ein Vertrag zur Auftragsverarbeitung.

E-Mail-Versand: Bestell- und Versandbestätigungen sowie Rechnungen versenden wir über den SMTP-Server der webgo GmbH, Heidenkampsweg 81, 20097 Hamburg. Es besteht ein Vertrag zur Auftragsverarbeitung.

Versand: Wir beschriften die Briefsendung selbst und geben sie bei der Deutschen Post auf. Die Deutsche Post AG ist dabei eigenständig verantwortlich; ein Auftragsverarbeitungsverhältnis besteht nicht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für die Aufbewahrung rechtliche Verpflichtung (lit. c).

Speicherdauer: Rechnungen und sonstige Buchungsbelege bewahren wir gemäß § 147 AO und § 14b UStG grundsätzlich acht Jahre auf. Für andere handels- und steuerrechtliche Unterlagen gelten – je nach Art – Aufbewahrungsfristen von sechs bzw. zehn Jahren. Das schreibt das Steuerrecht vor, nicht wir. Angaben, die darüber hinaus nicht benötigt werden, löschen wir nach Abschluss des Vorgangs.

Über den Button „Vertrag widerrufen“ neben der EU-Gewährleistungsmitteilung im Shop können Sie einen Shop-Vertrag online widerrufen. Dabei verarbeiten wir die von Ihnen eingegebenen Angaben (Name, E-Mail-Adresse, optional Bestellnummer und Nachricht) sowie den Zeitpunkt der Bestätigung und eine Vorgangsnummer. Technisch bedingt speichern wir zudem einen Hash Ihrer IP-Adresse und, ob die Bot-Prüfung (Cloudflare Turnstile) erfolgreich war.

Zweck: Entgegennahme, Nachweis und Bearbeitung Ihres Widerrufs sowie Versand der gesetzlich vorgeschriebenen Eingangsbestätigung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB (rechtliche Verpflichtung).

Speicherdauer: entsprechend den Nachweis- und Aufbewahrungspflichten zum Widerruf (insbesondere zur Rechtzeitigkeit); darüber hinausgehende Angaben werden gelöscht, sobald sie nicht mehr benötigt werden.

Bot-Schutz: Beim Absenden kann Cloudflare Turnstile (Cloudflare, Inc., USA) Ihre IP-Adresse und Browserinformationen prüfen. Es handelt sich um einen Datentransfer in die USA; Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Turnstile arbeitet ohne Tracking-Cookies. Rechtsgrundlage für den Einsatz: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an missbrauchsfreier Bereitstellung). Ein Fehlschlagen von Turnstile blockiert Ihren Widerruf nicht.

Wenn du uns über das Kontaktformular schreibst oder einen Widerruf erklärst, verwenden wir deine Angaben ausschließlich zur Bearbeitung des jeweiligen Anliegens.

Rechtsgrundlage: Vertragserfüllung oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) bzw. berechtigtes Interesse an der Beantwortung (lit. f). Bei Widerrufserklärungen zusätzlich rechtliche Verpflichtung (lit. c) — siehe auch Abschnitt „Elektronische Widerrufsfunktion“.

Speicherdauer: bis zur abschließenden Bearbeitung, anschließend Löschung – soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Wir setzen nur wenige, sparsame Cookies ein – keine Tracking- oder Werbecookies:

· Warenkorb & Sitzung: technisch notwendig, damit der Shop, dein Warenkorb und der geschützte Admin-Bereich funktionieren. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Verarbeitung nach Art. 6 Abs. 1 lit. b und f DSGVO. Laufzeit: Sitzung.

· Like-Cookie (cm_vid): Wenn du ein Foto likest, speichern wir eine zufällige, anonyme Besucher-Kennung (Laufzeit ca. 1 Jahr). Sie dient ausschließlich dazu, Mehrfach-Likes desselben Browsers zu erkennen und zu verhindern – sie enthält keine personenbezogenen Daten und wird nicht zum Tracking eingesetzt. Dieses Cookie wird erst gesetzt, wenn du aktiv likest; Rechtsgrundlage ist unser berechtigtes Interesse an einer fairen Like-Funktion (Art. 6 Abs. 1 lit. f DSGVO).

Um zu verstehen, welche Inhalte gut funktionieren, führen wir eine eigene, selbst gehostete Statistik – es kommt kein externer Dienst (z. B. Google Analytics oder Matomo Cloud) zum Einsatz, und die Daten verlassen unseren Server nicht.

Die Messung läuft komplett ohne Cookies. Statt dich wiederzuerkennen, bilden wir pro Seitenaufruf eine täglich wechselnde, pseudonyme Kennung aus IP-Adresse und Browser-Kennung (per SHA256-Verfahren). Die rohe IP-Adresse wird dabei nicht gespeichert, und die Kennung ist nicht auf eine Person rückführbar und wechselt jeden Tag. So sehen wir anonyme Statistiken, können dich aber weder identifizieren noch über verschiedene Websites hinweg verfolgen.

Rechtsgrundlage: berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: 12 Monate in aggregierter Form.

Für die Karte auf unserer Website verwenden wir OpenStreetMap. Beim Laden der Kartenkacheln kann technisch bedingt eine Verbindung zu Servern der OpenStreetMap Foundation aufgebaut werden, wobei deine IP-Adresse übertragen wird.

Rechtsgrundlage: berechtigtes Interesse an der Darstellung der Karte (Art. 6 Abs. 1 lit. f DSGVO).

Schriftarten werden über Next.js Font Optimization lokal vom Server geladen. Es findet kein Abruf von externen Servern statt, und es werden keine personenbezogenen Daten übertragen.

Über das Instagram-Symbol verlassen Besucher unsere Seite. Für die Datenverarbeitung dort sind wir nicht verantwortlich; es gelten die Bestimmungen des jeweiligen Anbieters.

Die Website ist durchgehend per TLS verschlüsselt. Der Admin-Bereich ist durch Authentifizierung geschützt und nur berechtigten Personen zugänglich. Änderungen an Fotos und Meldungen werden in einem gegen nachträgliche Veränderung gesicherten Protokoll festgehalten.

Wir passen diese Erklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.

Stand: 30. September 2026