Datenschutz beim InfoGrafik‑Creator

1. Wofür diese Hinweise gelten

Diese Hinweise gelten für alles unter creator.kulturmanagement-online.de: die Info-Seiten (Startseite, Preise, Fragen und Antworten, Video-Tutorials, Kommunikations-Kit, Neuerungen und die Seiten für einzelne Zielgruppen), das Anfrageformular, die Anwendung selbst, das Organisations-Modul und die Kampagnenseiten.

Was hier nicht eigens geregelt ist, etwa Ihre Rechte im Einzelnen oder unsere Social-Media-Auftritte, steht in der Datenschutzerklärung von kulturmanagement-online.de.

2. Verantwortlich

Ansprechperson für Fragen zum Datenschutz ist Daniel Hoffmann. Weitere Angaben zum Anbieter stehen im Impressum.

Für Konten und Inhalte im Organisations-Modul ist die jeweilige Organisation verantwortlich. Wir arbeiten dort in ihrem Auftrag (siehe Abschnitt 10).

3. Server und Protokolldaten

Der Creator läuft auf einem Server der Host Europe GmbH in einem Rechenzentrum in der Europäischen Union. Ruft Ihr Browser eine Seite auf, speichert der Server in einer Protokolldatei: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, die Seite, von der Sie kommen, sowie Browser und Betriebssystem.

Wir brauchen diese Daten, um den Betrieb stabil und sicher zu halten und Angriffe abzuwehren. Häufen sich verdächtige Aufrufe von einer Adresse, sperrt der Server sie vorübergehend. Die IP-Adressen in den Protokollen werden nach spätestens sieben Tagen anonymisiert, die Protokolle selbst nach etwa zehn Wochen gelöscht. Braucht es sie zur Aufklärung eines Vorfalls, heben wir sie so lange auf, bis er geklärt ist.

Programm, Schriften, Symbole, Vorlagen und Erklärvideos lädt Ihr Browser ausschließlich von unserem Server. Die Anwendung fragt außerdem bei unserem Server nach, ob es eine neue Version gibt. Dabei werden keine weiteren Daten übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Betrieb.

4. Reichweitenmessung auf den Info-Seiten

Auf den Info-Seiten und im Anfrageformular zählen wir mit Matomo, welche Seiten aufgerufen und welche Videos, Fragen und Schaltflächen genutzt werden. Matomo läuft auf unserem eigenen Server (stats.meet21.de), die Daten gehen an niemanden sonst.

• Es werden keine Cookies gesetzt und keine Geräte- oder Browser-Merkmale ausgelesen.
• Die IP-Adresse wird vor dem Speichern um zwei Bytes gekürzt.
• Suchbegriffe und Formulareingaben werden nicht erfasst.
• Ein Profil über mehrere Besuche entsteht nicht.

Sendet Ihr Browser „Do Not Track“ oder „Global Privacy Control“, wird nichts gezählt. Sie können die Zählung auch hier für Ihren Browser abschalten. Damit wir uns das merken, wird ein Eintrag im Speicher Ihres Browsers abgelegt.

Zählung in diesem Browser abschalten

In der Anwendung selbst, im Organisations-Modul und auf den Kampagnenseiten wird nicht gezählt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO. Unser berechtigtes Interesse ist, das Informationsangebot zu verbessern.

5. Anfrageformular

Über das Anfrageformular fordern Sie ein Angebot an. Pflicht sind Organisation, Ansprechperson und E-Mail-Adresse. Freiwillig sind Anschrift, Telefonnummer, Website, Ihre Nachricht, die gewünschten Leistungen und wie Sie auf uns aufmerksam geworden sind. Kommen Sie über den Link einer Partnerorganisation, speichern wir deren Kennung mit, um die Empfehlung zuordnen zu können.

Zum Schutz vor Missbrauch speichern wir beim Absenden einen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst) mit dem Zeitpunkt. Er wird eine Stunde lang ausgewertet und danach gelöscht. Aufrufe über Partner-Links zählen wir ohne Personenbezug, zusammengefasst nach Quartal, verweisender Seite und grober Geräteklasse.

Anfragen, aus denen kein Angebot wird, löschen wir nach sechs Monaten, abgelehnte Angebote nach drei Jahren. Kommt ein Vertrag zustande, gelten die gesetzlichen Aufbewahrungsfristen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO (Vertragsanbahnung), für Missbrauchsschutz und Zählung der Partner-Links Art. 6 Abs. 1 lit. f) DSGVO.

6. Hilfe-Chat auf den Info-Seiten

Auf den Info-Seiten können Sie Fragen zum Creator an einen Chat stellen. Die Antworten erzeugt eine KI auf Grundlage unserer eigenen Texte (Fragen und Antworten, Preise, Anleitungen). Sie können Fehler enthalten. Verbindlich sind die Preisseite und Ihr Vertrag.

Den Chat betreibt für uns die DiCarlo Software Solutions LLC, 425 W Colonial Dr Ste 101, Orlando, FL 32801, USA (Chatwith, Datenschutz). Wir haben mit ihr einen Vertrag zur Auftragsverarbeitung geschlossen.

• Solange Sie nicht auf „Chat starten“ klicken, wird von Chatwith nichts geladen und nichts übertragen. Sie sehen nur unsere eigene Schaltfläche.
• Nach dem Klick lädt Ihr Browser das Chatfenster von chatwith.tools. Dabei werden Ihre IP-Adresse, Angaben zum Browser und die aufgerufene Seite übertragen, im Chat außerdem Ihre Eingaben.
• Für die Antworten gibt Chatwith Ihre Eingaben an KI-Anbieter weiter (derzeit OpenAI, OpenRouter und Cohere). Die vollständige Liste führt Chatwith unter Unterauftragnehmer.
• Die Chatverläufe speichert Chatwith, solange wir den Dienst nutzen. Wir werten sie aus, um die Antworten zu verbessern. Nach Vertragsende löscht Chatwith sie innerhalb von 30 Tagen. Ihr Recht auf Löschung (Abschnitt 13) bleibt davon unberührt.
• Damit nicht auf jeder Seite neu gefragt wird, merkt sich Ihr Browser die Zustimmung bis zum Schließen des Tabs (sessionStorage). Das Chatfenster selbst legt im Speicher Ihres Browsers einen Eintrag ab, ob es schon geöffnet war.

Bitte geben Sie im Chat keine persönlichen oder vertraulichen Daten ein. Für ein Angebot nutzen Sie das Anfrageformular, für Support den Helpdesk.

Die Daten werden in den USA verarbeitet. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c) DSGVO), die Teil des Vertrags mit Chatwith sind. Behörden in den USA könnten trotzdem auf die Daten zugreifen, ohne dass Ihnen dagegen dieselben Rechtsmittel offenstehen wie in der EU.

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie den Tab schließen. Danach wird bis zu einem neuen Klick nichts mehr geladen.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO und § 25 Abs. 1 TDDDG, für die Übermittlung in die USA zusätzlich Art. 49 Abs. 1 lit. a) DSGVO.

7. Speicherung im Browser

Die Anwendung arbeitet in Ihrem Browser. Damit Ihre Arbeit nicht verloren geht, legt sie im Speicher des Browsers (localStorage und IndexedDB) ab:

• den automatisch gesicherten Arbeitsstand,
• Ihre eigenen Vorlagen und Favoriten,
• Anzeige-Einstellungen wie den Dunkelmodus,
• falls Sie sie eintragen, Schlüssel und Freigaben für die Dienste zum Einschalten.

Diese Daten bleiben auf Ihrem Gerät. Wir sehen sie nicht, und sie gehen auch nicht an Dritte. Sie löschen sie in der Anwendung über „Einstellungen › Lokale Daten löschen“ oder in Ihrem Browser, indem Sie die Website-Daten für diese Adresse entfernen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG. Die Speicherung ist nötig, damit die von Ihnen gewünschte Funktion arbeitet.

8. Hintergrund entfernen (Freistellen)

Beim Freistellen eines Fotos rechnet ein KI-Modell, das Ihr Browser einmal von unserem Server lädt. Die Berechnung läuft vollständig auf Ihrem Gerät. Das Foto wird nicht hochgeladen und nicht zum Trainieren verwendet.

9. Dienste zum Einschalten

Von sich aus baut die Anwendung keine Verbindung zu fremden Anbietern auf. Die folgenden Dienste bleiben aus, bis Sie sie in den Einstellungen freigeben. Danach verbindet sich Ihr Browser direkt mit dem Anbieter, unser Server ist nicht dazwischen. Dabei werden technisch bedingt Ihre IP-Adresse, Angaben zum Browser und Ihr Suchbegriff oder der gewählte Kartenausschnitt übertragen.

Die Schlüssel speichert nur Ihr Browser, wir bekommen sie nicht. Für die Verarbeitung beim Anbieter ist dieser selbst verantwortlich, es gilt seine Datenschutzerklärung. Für Kanada und das Vereinigte Königreich gibt es Angemessenheitsbeschlüsse der EU-Kommission. Wir können nicht ausschließen, dass einzelne Anbieter Daten auch in den USA verarbeiten.

Sie können jede Freigabe in den Einstellungen zurücknehmen. Danach findet keine Verbindung mehr statt. Wir selbst speichern zu diesen Funktionen nichts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO. Unser berechtigtes Interesse ist, die von Ihnen gewünschte Funktion bereitzustellen.

10. Organisations-Modul

Organisationen können für ihren Creator Konten für Admins, Uploader*innen und Benutzer*innen einrichten. Wir betreiben diese Installationen auf unserem Server im Auftrag der jeweiligen Organisation (Art. 28 DSGVO). Der Vertrag zur Auftragsverarbeitung ist Anlage der Nutzungsbedingungen. Verantwortlich für die Daten der Konten ist die Organisation. Wünsche nach Auskunft oder Löschung richten Sie bitte an sie.

Kontodaten

Name, E-Mail-Adresse, Rolle und das Passwort, das nur als Hashwert gespeichert wird.

Cookies

Beim Anmelden setzt der Server ein Sitzungs-Cookie: im Upload-Bereich für 30 Minuten, in der Verwaltung für 2 Stunden, im Creator für 24 Stunden. Nur wenn Sie „Angemeldet bleiben“ wählen, kommt ein zweites Cookie mit 30 Tagen Gültigkeit dazu. Sein Wert lässt keinen Schluss auf das Passwort zu und liegt bei uns nur als Hashwert. Beide Cookies sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und dienen weder der Analyse noch der Werbung. Wer sich nicht anmeldet, bekommt kein Cookie.

Anmeldeschutz

Fehlgeschlagene Anmeldungen und sehr häufige Anfragen werden kurzzeitig gezählt, um Angriffe abzuwehren. Dafür speichern wir nur einen Hashwert aus IP-Adresse und E-Mail-Adresse. Einträge, die älter als 24 Stunden sind, werden bei der nächsten Anmeldung oder Änderung entfernt.

Inhalte

Vorlagen, Elemente, Marken-Dateien, Textbausteine, Nachrichten und Kampagnen, die die Organisation hochlädt, sowie persönliche Server-Sicherungen, die ein Konto selbst anlegt. Persönliche Sicherungen sieht nur dieses Konto. Gelöschte Vorlagen liegen 30 Tage im Papierkorb und werden dann endgültig entfernt.

Sicherungen

Admins können bis zu zehn Sicherungen des Organisationsbestands auf dem Server ablegen, ältere werden ersetzt. Unabhängig davon sichern wir den ganzen Server in der Regel täglich. Diese Sicherungen bleiben sieben Tage erhalten und dienen nur der Wiederherstellung nach einem Ausfall.

Audit-Log

Bei sicherheitsrelevanten Vorgängen werden Zeitpunkt, Name des Kontos und Art der Aktion festgehalten, höchstens die letzten 100 Einträge.

Nutzungsstatistik

Nur wenn die Organisation sie einschaltet: Beim Export einer Grafik wird ohne Personenbezug gezählt, welche Vorlage, welches Format, welches Seitenverhältnis und welche Element-Typen genutzt wurden, dazu die grobe Geräteklasse. Die Organisation kann die Statistik jederzeit zurücksetzen.

E-Mails

Einladungen und Nachrichten zum Zurücksetzen des Passworts verschickt unser Server oder der SMTP-Anbieter, den die Organisation hinterlegt hat.

KI-Vorlagen

Nur wenn die Organisation sie einschaltet: Beschreiben Admins oder Uploader*innen eine Vorlage in Worten, geht dieser Text über unseren Server an den Dienst, den die Organisation gewählt hat, mit deren eigenem Schlüssel. Zur Wahl stehen Anthropic Claude (Anthropic PBC, USA) und Google Gemini (Google Ireland Limited bzw. verbundene Unternehmen). Dabei können Daten in die USA gelangen. Die Anbieter sind dafür selbst verantwortlich. Personenbezogene Daten gehören nicht in diese Beschreibungen.

Ende des Hostings

Endet das Hosting einer Organisation bei uns, löschen wir ihre Installation mit allen Konten, Inhalten und Sicherungen 30 Tage danach.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO, für Anmeldeschutz und Audit-Log Art. 6 Abs. 1 lit. f) DSGVO (Sicherheit des Angebots).

11. Share-Pic-Kampagnen

Organisationen können öffentliche Kampagnenseiten anbieten. Dort setzen Sie ein eigenes Foto in eine Vorlage ein und laden das Ergebnis herunter. Foto und Texte werden nur in Ihrem Browser verarbeitet und nicht hochgeladen. Eine Anmeldung ist nicht nötig, Cookies werden nicht gesetzt. Gezählt wird nur, wie oft eine Kampagne aufgerufen und wie oft ein Bild erzeugt wurde, ohne Bezug zu Ihrer Person.

12. Kontakt und Support

Schreiben Sie uns per E-Mail oder über den Helpdesk, nutzen wir Ihre Angaben, um Ihre Anfrage zu bearbeiten. Ist sie erledigt und steht keine Aufbewahrungspflicht entgegen, löschen wir sie. Einzelheiten zum Ticket-System stehen in der Datenschutzerklärung von kulturmanagement-online.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO.

13. Ihre Rechte

Sie haben das Recht auf

• Auskunft über die Daten, die wir zu Ihnen verarbeiten, und eine Kopie davon (Art. 15 DSGVO),
• Berichtigung falscher oder unvollständiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) oder, wo wir Daten noch aufbewahren müssen, Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Herausgabe Ihrer Daten in einem gängigen Format (Art. 20 DSGVO),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Widerspruch: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f) DSGVO, können Sie dem nach Art. 21 DSGVO widersprechen.

Eine E-Mail an info@kulturmanagement-online.de genügt. Betrifft Ihre Frage ein Konto im Organisations-Modul, wenden Sie sich bitte an die Organisation, die es eingerichtet hat.

14. Für Organisationen

Setzen Sie den Creator in Ihrer Organisation ein, etwa für Mitarbeitende, Vereinsmitglieder oder eine öffentliche Kampagne, sind Sie für diese Nutzung selbst verantwortlich und sollten Ihre Nutzer*innen darüber informieren. Als Ausgangspunkt dient unsere Muster-Datenschutzerklärung.