Datenschutzerklärung

Entwurf – Stand 23.10.2026. Stellen mit [PRÜFEN] vor Veröffentlichung klären. Keine Rechtsberatung; vor dem Livegang anwaltlich oder mit einem Generator (z. B. IT-Recht Kanzlei, eRecht24) gegenprüfen lassen.

1. Wer ist verantwortlich?

Manuela Küpper, wowpapy
Ringstraße 17, 56237 Nauort, Deutschland
E-Mail: bestellung@wowpapy.com [PRÜFEN: eigene Adresse für Datenschutz, z. B. datenschutz@wowpapy.com]

Einen Datenschutzbeauftragten müssen wir nicht benennen. Bei Fragen zum Datenschutz schreib uns einfach an die oben genannte Adresse.

2. Das Wichtigste in Kürze

Deine Fotos nutzen wir nur, um daraus Ausmalbilder zu machen. Die Fotos löschen wir direkt danach.
Für die Umwandlung schicken wir das Foto an OpenAI. OpenAI nutzt es nicht zum Training seiner KI.
Bezahlt wird über Stripe. Deine Kartendaten sehen wir nicht.
Werbe-Cookies und Pixel (Meta, TikTok, Pinterest, Google, Snapchat, Reddit, Microsoft) setzen wir nur, wenn du im Cookie-Banner zustimmst. Deine Zustimmung kannst du jederzeit über den Button „Cookie-Einstellungen“ unten links ändern.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf diesen Grundlagen der DSGVO:

Vertrag (Art. 6 Abs. 1 lit. b): Gestaltung, Bestellung, Bezahlung, Druck und Versand deines Buchs.
Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c): Rechnungen und Buchhaltung nach Steuer- und Handelsrecht.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): sicherer Betrieb der Website, Schutz vor Missbrauch, anonyme Auswertung, welche Werbekampagne zu Bestellungen führt.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG): Werbe-Cookies, Pixel und die Weitergabe von Ereignissen an Werbepartner.

4. Hosting und Server-Logfiles

Unsere Website liegt bei ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Mit ALL-INKL haben wir einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) [PRÜFEN: AV-Vertrag im KAS abgeschlossen?].

Bei jedem Aufruf speichert der Server technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das brauchen wir, damit die Seite funktioniert und sicher bleibt (Art. 6 Abs. 1 lit. f). Die Logfiles werden nach kurzer Zeit gelöscht [PRÜFEN: Frist in den KAS-Einstellungen, z. B. 7 Tage, ggf. IP-Kürzung].

5. Malbuch gestalten: Fotos, Name, Ausmalbilder

Wenn du ein Buch gestaltest, verarbeiten wir den Namen, den du auf das Cover schreibst, optional ein Geschlecht (für die richtige Ansprache im Buch) und die Fotos, die du hochlädst. Auf den Fotos sind oft Kinder zu sehen. Lade bitte nur Fotos hoch, die du dafür verwenden darfst; bei Fotos von Kindern brauchst du das Einverständnis der Sorgeberechtigten.

Fotos: Wir speichern sie nur kurz, um daraus eine Ausmalseite zu erzeugen, und löschen sie direkt danach.
Ausmalseiten ohne Bestellung: werden nach 7 Tagen automatisch gelöscht.
Ausmalseiten einer Bestellung: speichern wir, bis dein Buch gedruckt und geliefert ist und eventuelle Reklamationen erledigt sind [PRÜFEN: konkrete Frist festlegen, z. B. 90 Tage nach Versand – automatische Löschung ist noch nicht eingerichtet].

Rechtsgrundlage ist die Durchführung des Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b).

Umwandlung durch OpenAI

Für die Umwandlung in eine Ausmalseite schicken wir das Foto an die Bild-Schnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. OpenAI handelt als unser Auftragsverarbeiter. Laut OpenAI werden Daten aus der Schnittstelle nicht zum Training genutzt und zur Missbrauchskontrolle bis zu 30 Tage gespeichert. Dabei können Daten auch in den USA verarbeitet werden. Grundlage dafür sind die EU-Standardvertragsklauseln (Art. 46 DSGVO).

6. Bestellung, Zahlung, Druck und Versand

Für die Bestellung verarbeiten wir Name, E-Mail-Adresse, Rechnungs- und Lieferadresse, Bestellinhalt, Betrag und Zahlungsstatus (Art. 6 Abs. 1 lit. b).

Zahlung über Stripe: Die Bezahlung läuft über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Deine Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten nur Zahlungsstatus, Name, E-Mail und Adresse. Stripe verarbeitet die Zahlung für uns, ist für eigene Zwecke wie Betrugsprävention und gesetzliche Pflichten aber selbst verantwortlich. Datenübermittlungen in die USA sind über das EU-US Data Privacy Framework abgesichert (Stripe, LLC ist zertifiziert). Datenschutz bei Stripe: stripe.com/de/privacy.

Druck und Versand: Damit dein Buch gedruckt und verschickt wird, geben wir die Druckdateien, deinen Namen und die Lieferadresse an unsere Druckerei in Deutschland weiter [PRÜFEN: Name und Anschrift der Druckerei, AV-Vertrag] und, je nach Versandart, an den Versanddienstleister [PRÜFEN].

E-Mails: Bestellbestätigung, Rechnung und Versandinfos schicken wir dir per E-Mail über unseren Server bei ALL-INKL.

Aufbewahrung: Rechnungen und Buchungsbelege bewahren wir 8 Jahre auf, Bücher und Aufzeichnungen 10 Jahre (§ 147 AO, § 257 HGB). Die Frist beginnt mit dem Ende des Kalenderjahres. Danach löschen wir die Daten.

7. Cookies und Einwilligung

Für den Cookie-Banner nutzen wir das WordPress-Plugin CookieYes in der lokalen Variante. Deine Auswahl wird nur bei uns gespeichert, im Cookie cookieyes-consent (1 Jahr). Technisch notwendig ist außerdem das Cookie pll_language für die gewählte Sprache. Notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Alle anderen Cookies und Pixel unter Punkt 8 laden erst, wenn du in der Kategorie „Werbung“ zustimmst. Deine Einwilligung kannst du jederzeit über den Button „Cookie-Einstellungen“ unten links widerrufen; der Widerruf gilt für die Zukunft. Eine aktuelle Liste aller Cookies mit Laufzeit findest du ebenfalls dort.

8. Werbung und Erfolgsmessung (nur mit Einwilligung)

Wir werben auf sozialen Netzwerken und Suchmaschinen. Um zu messen, welche Anzeigen funktionieren, und um passende Anzeigen zu zeigen, nutzen wir – nur nach deiner Einwilligung – die Pixel bzw. Tags unserer Werbepartner. Dabei werden Ereignisse wie Seitenaufruf, Ansehen eines Buchs, Start der Gestaltung, Beginn des Checkouts und Kauf (mit Bestellwert und Bestellnummer) übertragen, zusammen mit IP-Adresse, Browserdaten und Cookie- bzw. Klick-IDs.

Zusätzlich senden wir diese Ereignisse von unserem Server direkt an die Partner (sogenannte Conversions-Schnittstellen). Bei einem Kauf übermitteln wir dabei deine E-Mail-Adresse, deinen Namen und deinen Wohnort nur verschlüsselt als Prüfsumme (SHA-256 Hash), damit der Partner den Kauf seiner Anzeige zuordnen kann. Ohne deine Einwilligung findet keine dieser Übermittlungen statt.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Partner verarbeiten die Daten teils auch in den USA und weiteren Ländern. Wo der Partner unter dem EU-US Data Privacy Framework zertifiziert ist, ist das angegeben, sonst gelten Standardvertragsklauseln. Wir setzen nur die Partner ein, die tatsächlich aktiv sind [PRÜFEN: nicht genutzte Partner vor Veröffentlichung streichen].

Meta (Facebook, Instagram)

Meta Pixel und Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Für die Erhebung und Übermittlung der Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu: facebook.com/legal/controller_addendum [PRÜFEN: Link im Browser öffnen]. Für die weitere Verarbeitung ist Meta allein verantwortlich. Übermittlung in die USA: Meta Platforms, Inc. ist unter dem Data Privacy Framework zertifiziert. Datenschutz: facebook.com/privacy/policy. Cookies: _fbp, _fbc.

TikTok

TikTok Pixel und Events API. Für Nutzer im EWR sind TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, und TikTok Information Technologies UK Limited, Kaleidoscope, 4 Lindsey Street, London EC1A 9HP, Vereinigtes Königreich, verantwortlich [PRÜFEN: Vertragspartner und Rollenverteilung laut TikTok Business Products (Data) Terms]. TikTok speichert Daten u. a. in den USA, Malaysia und Singapur und gewährt Konzerngesellschaften, auch in China, eingeschränkten Fernzugriff, gestützt auf Standardvertragsklauseln. Datenschutz: tiktok.com/legal/page/eea/privacy-policy. Cookies: _ttp, _wpt_ttclid.

Pinterest Tag und Conversions API der Pinterest Europe Ltd., Waterloo Exchange, 3rd Floor, Waterloo Road, Dublin 4, Irland. Übermittlung in die USA: Pinterest, Inc. ist unter dem Data Privacy Framework zertifiziert. Datenschutz: policy.pinterest.com/de/privacy-policy. Cookie: _epik.

Google Ads

Google Ads Conversion-Tracking mit erweiterten Conversions der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir nutzen den Google Consent Mode: Ohne deine Einwilligung setzt Google keine Werbe-Cookies [PRÜFEN: Bei Einstellung „Advanced“ ergänzen: „… sendet Google ohne Einwilligung nur cookielose Signale (z. B. dass ein Kauf stattgefunden hat), mit denen Google Conversions statistisch schätzt.“]. Bei einem Kauf übermitteln wir deine E-Mail-Adresse als Hash. Übermittlung in die USA: Google LLC ist unter dem Data Privacy Framework zertifiziert. Datenschutz: policies.google.com/privacy. Cookie: _gcl_aw.

Snapchat

Snap Pixel und Conversions API der Snap Inc., USA; Vertreterin in der EU ist die Snap B.V., Keizersgracht 165, 1016 DP Amsterdam, Niederlande [PRÜFEN: Vertragspartner für Werbekunden]. Snap Inc. ist unter dem Data Privacy Framework zertifiziert. Datenschutz: values.snap.com/privacy. Cookies: _scid, _wpt_sccid.

Reddit Pixel und Conversions API der Reddit, Inc., USA [PRÜFEN: EU-Vertragspartner, laut Drittquelle Reddit Netherlands B.V., Euro Business Center, Keizersgracht 62, 1015 CS Amsterdam]. Reddit, Inc. ist unter dem Data Privacy Framework zertifiziert. Datenschutz: reddit.com/policies/privacy-policy. Cookies: _rdt_uuid, _wpt_rdtcid.

Microsoft Advertising (Bing)

UET-Tag und UET Conversions API der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Microsoft verarbeitet die UET-Daten in eigener Verantwortung. Übermittlung in die USA: Microsoft Corporation ist unter dem Data Privacy Framework zertifiziert. Datenschutz: privacy.microsoft.com/privacystatement. Cookies: _uetsid, _uetvid, _uetmsclkid.

Eigene Kennung

Mit deiner Einwilligung setzen wir das Cookie _wpt_vid (13 Monate) mit einer zufälligen Kennung. Damit führen wir Ereignisse aus deinem Browser und von unserem Server zusammen, damit Partner nichts doppelt zählen.

9. Anonyme Kampagnen-Auswertung (ohne Cookies)

Links in unseren Anzeigen enthalten Kampagnen-Angaben (z. B. Name der Kampagne und der Anzeige). Bestellst du, speichern wir diese Angaben bei der Bestellung, um zu sehen, welche Anzeige zu Bestellungen geführt hat. Dafür setzen wir keine Cookies, speichern nichts auf deinem Gerät und übermitteln nichts an Werbepartner. Rechtsgrundlage ist unser berechtigtes Interesse an der Wirtschaftlichkeit unserer Werbung (Art. 6 Abs. 1 lit. f).

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dazu einfach eine E-Mail.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, poststelle@datenschutz.rlp.de.

11. Pflicht zur Bereitstellung

Für eine Bestellung brauchen wir Name, E-Mail und Lieferadresse, sonst können wir das Buch nicht liefern. Alle Einwilligungen sind freiwillig; der Shop funktioniert auch ohne sie.

Stand: Oktober 2026