Datenschutzerklärung

1. Verantwortlicher

Andreas Bartels, i42.de, [Anschrift wie im Impressum]. Kontakt: hallo@artists-love.de.

2. Daten, die wir verarbeiten

• Konto-Daten: Name, E-Mail, Passwort-Hash (bcrypt), Geburtsjahr/Ort (optional), Galerie-Vertretung (optional).
• Werks-Daten: Bilder, Titel, Material, Preise und alle weiteren Angaben, die du selbst einstellst.
• Bestell-Daten: Rechnungs- und Versandadresse, E-Mail, Zahlungs-Referenz von Stripe (kein Zugriff auf Kartendaten).
• Mailinglisten-Daten: E-Mail und ggf. Name der Sammler:innen, die sich für deinen Newsletter angemeldet haben.
• Analytics-Daten: anonymisierte IP-Adresse (IPv4 auf /24, IPv6 auf /48 gekürzt), User-Agent, Datum/Uhrzeit, besuchte Seite. Es werden keine Cookies gesetzt, kein Browser-Fingerprint erhoben.

3. Rechtsgrundlage und Zwecke

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags (Konto, Werke, Verkäufe, Rechnungen).
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Mailinglisten-Anmeldung mit Double-Opt-In, jederzeit widerrufbar).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (anonymisierte Reichweitenmessung, Missbrauchsprävention).
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtungen (Aufbewahrung von Rechnungen 10 Jahre nach AO/HGB).

4. Cookies

Wir setzen genau einen technisch notwendigen Cookie zur Session- Verwaltung (al_session, JWT, HTTP-only, 7 Tage). Kein Tracking-Cookie, kein Marketing-Cookie. Eine Einwilligung ist nach TTDSG nicht erforderlich.

5. Auftragsverarbeiter

• Hosting: [Anbieter ergänzen, z. B. Hetzner Online GmbH, Gunzenhausen, DE]. Server stehen in Deutschland.
• Zahlungsabwicklung: Stripe Payments Europe, Limited (Irland). Datenverarbeitung gemäß deren Datenschutzerklärung.
• E-Mail-Versand (geplant): deutscher Mail-Provider (CleverReach oder Brevo EU-Server).

Mit allen Auftragsverarbeitern besteht bzw. wird ein Auftragsverarbeitungs-Vertrag (AVV) nach Art. 28 DSGVO geschlossen.

6. Speicherdauer

• Konto-Daten: bis zur Löschung des Kontos.
• Werks- und Profil-Daten: bis du sie löschst oder dein Konto löschst.
• Rechnungen: 10 Jahre nach gesetzlicher Aufbewahrungspflicht (§ 147 AO, § 257 HGB).
• Mailinglisten-Eintrag: bis zur Abmeldung; Abmelde-Token bleibt für Audit-Zwecke 12 Monate.
• Analytics-Events: 12 Monate, danach automatische Anonymisierung bzw. Aggregation.

7. Deine Rechte

Nach Art. 15 ff. DSGVO hast du jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Die Auskunft und den Export deiner Daten kannst du selbst unter /profile anstoßen („Daten exportieren" / „Konto löschen"). Beschwerden kannst du bei der zuständigen Aufsichtsbehörde einreichen.

8. Sicherheit

Übertragung verschlüsselt per TLS, Passwörter werden mit bcryptjs (Cost-Faktor 12) gehasht, Session-Cookies sind HTTP-only und SameSite=Lax.