Datenschutzerklärung

1. Verantwortlicher und Kontakt

karten.ai ist ein Produkt der The Nexus Collective GmbH, vertreten durch Geschäftsführer Daniel Hanelt. Für Datenschutzanfragen schreiben Sie bitte an post@karten.ai.

2. Konto, Karten und Adressbuch

Wir verarbeiten Ihre E-Mail-Adresse, Authentifizierungsdaten und freiwillige Profilangaben, etwa Name und Anschrift. Hinzu kommen die von Ihnen gespeicherten Karten, Fotos, Beschreibungen, Texte, Layouts, Kontakte, Haushalte, Adressen, Geburtstage, Interessen, Anlässe und Versandinformationen.

Dies dient der Erstellung, Speicherung und Bereitstellung Ihrer Karten und der von Ihnen gewählten Funktionen. Rechtsgrundlage für Ihre Vertragsdaten ist Art. 6 Abs. 1 lit. b DSGVO. Außerhalb der nachfolgend beschriebenen Firmenkampagnen verarbeiten wir Empfängerdaten zur Durchführung des vom Absender gewünschten persönlichen Kartendienstes auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Bitte speichern Sie nur Angaben anderer Personen, die Sie hierfür rechtmäßig verwenden dürfen.

Wenn Sie eine Karte erhalten, können Ihre Daten vom Absender stammen. Dazu gehören insbesondere Ihr Name, Ihre E-Mail-Adresse und die in der Karte verwendeten Informationen. Sie können uns zu Herkunft, Auskunft, Löschung oder Widerspruch kontaktieren.

Im optionalen Schritt „Drucken & Versenden“ speichern wir pro Karte, ob der Schritt aufgerufen wurde und ob Sie Interesse an einem künftigen Druckversand angegeben haben. Eine fehlende Antwort zählt nicht als Ablehnung. Die Angaben dienen der Einschätzung der Nachfrage und werden mit der Karte oder Ihrem Konto gelöscht. Eine gewünschte E-Mail zur Verfügbarkeit speichern wir separat für Ihr Konto. Diese Benachrichtigung ist standardmäßig ausgeschaltet; Sie können Ihre Auswahl im selben Schritt ändern. Eine Ja-Antwort zur Karte aktiviert keine E-Mail.

Geschäftliche Kontakte und Firmenkampagnen

Für das geschäftliche Kontaktverzeichnis und die Firmenkampagnen ist das beauftragende Unternehmen für Zwecke, Empfängerauswahl, Inhalte, Rechtsgrundlagen und Informationen an betroffene Personen verantwortlich. Wir verarbeiten diese Auftragsdaten nach seinen dokumentierten Weisungen auf Grundlage einer Vereinbarung zur Auftragsverarbeitung (AVV). Dazu zählen Kontaktdaten, Gruppen und individuelle Felder, Empfängersnapshots, Motive, Referenzbilder, Logos, persönliche Texte, Freigabeeinstellungen sowie Versand-, Abmelde- und Sperrinformationen. Die AVV-Annahme schafft keine eigene Erlaubnis für Werbenachrichten.

Für die Verwaltung unserer Kundenbeziehung, Abrechnung und die Sicherheit unseres Dienstes handeln wir dagegen in eigener Verantwortung. Hierzu verarbeiten wir insbesondere Konto- und Firmenangaben, Ansprechpartner, Kaufdaten sowie Nachweise über die AVV-Annahme mit Vertragsfassung, annehmender Person, Firmenname, Anschrift und Zeitpunkt sowie spätere Änderungsmitteilungen, Zugangsnachweise, Fristen und Widersprüche. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Verträgen mit der betroffenen Person, Art. 6 Abs. 1 lit. f DSGVO für die Betreuung geschäftlicher Ansprechpartner und Sicherheitszwecke sowie Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Pflichten. Diese Zwecke umfassen keine pauschale eigene Nutzung der Kontaktlisten oder Kampagneninhalte.

3. KI-gestützte Gestaltung

Persönliche Karten

Für neue Motive, vollständige Neugenerierungen, Änderungen des Gesamteindrucks und Änderungen an markierten Bildbereichen verwenden wir OpenAI über den direkten API-Zugang. Übermittelt werden die für die Anfrage benötigten Beschreibungen, Änderungswünsche und Bilder beziehungsweise vorbereiteten Motive. Ausgewählte Referenzbilder können erkennbare Personen enthalten. Nicht benötigte Adressbuchdaten werden nicht allein wegen ihrer Speicherung an KI-Dienste gesendet.

Rechtsgrundlage für den persönlichen Kartendienst ist Art. 6 Abs. 1 lit. b DSGVO für die angeforderte Leistung; soweit Daten anderer Personen betroffen sind, Art. 6 Abs. 1 lit. f DSGVO. Vermeiden Sie unnötige sensible Angaben. Wir treffen mit KI-Ergebnissen keine automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über Sie.

KI in Firmenkampagnen

Die Bildgenerierung für Firmenkampagnen erfolgt über Vercel AI Gateway. Je nach aktivierter Modellauswahl werden Eingaben an die in Abschnitt 7 genannten KI-Dienste weitergeleitet. Mehrere Varianten können von unterschiedlichen Modellen erstellt werden; bei Fehlern können weitere aktivierte, geeignete Modelle zum Einsatz kommen. Deaktivierte Modelle werden für diese Generierungen und Ersatzversuche nicht ausgewählt. Die Verarbeitung personenbezogener Auftragsdaten erfolgt nach den Weisungen des Firmenkunden gemäß AVV.

Die Anfragen enthalten Motivbeschreibungen, technische Gestaltungsvorgaben, Notizen, ausgewählte Referenzbilder oder frühere Motive und gegebenenfalls das Firmenlogo zur künstlerischen Integration. Das bloße nachträgliche Platzieren eines Logos auf der Karte übermittelt es nicht an die KI. Kontaktlisten, Empfängeradressen, Kartenpasswörter und personalisierte Rückseitentexte werden nicht automatisch an die Bildgenerierung angehängt. Die Personalisierung der Empfängertexte erfolgt durch Platzhalterersetzung in der Anwendung. Freie Eingaben und Bilder können dennoch personenbezogene Angaben enthalten.

Trainingsausschluss und optionales ZDR für Kampagnen-Generierungen

Standardmäßig sind die angebotenen Kampagnenmodelle aktiviert. Alle Kampagnen-Generierungen werden ausschließlich über Anbieterzugänge angefragt, die das Training mit den übermittelten Eingaben ausschließen. Dieser Trainingsausschluss ist stets aktiv und nicht abschaltbar. Er bedeutet nicht automatisch, dass keine Speicherung erfolgt.

Zusätzlich kann der Firmenkunde Zero Data Retention (ZDR) aktivieren; diese Option ist standardmäßig ausgeschaltet. ZDR beschränkt die Weiterleitung auf geeignete Anbieterzugänge mit entsprechenden Nichtaufbewahrungsvereinbarungen. Trainingsausschluss und gewähltes ZDR gelten auch für Ersatzversuche. Fehlt ein geeigneter Zugang, wird die Generierung nicht unter Abschaltung der Schutzvorgaben fortgesetzt.

Die Modellauswahl und Schutzoptionen ersetzen weder eine Einwilligung betroffener Personen noch eine erforderliche Rechtsgrundlage für deren Datenverarbeitung. Sie ändern nicht unsere eigene Speicherung von Entwürfen, Referenzen, Ergebnissen und technischen Nutzungsdaten. ZDR ist keine Zusage ausschließlicher EU-Verarbeitung; anbieterabhängige gesetzliche und Sicherheitsausnahmen sind gesondert zu berücksichtigen.

4. Teilen und E-Mail-Versand

Freigabelinks stellen die von Ihnen veröffentlichten Karteninhalte entsprechend den gewählten Einstellungen bereit. Empfänger können Links weitergeben oder Kopien anfertigen. Sie können Links im Konto deaktivieren; bereits gespeicherte Kopien werden dadurch nicht entfernt.

Für E-Mails verarbeiten wir Absender- und Empfängerangaben, Kartenlinks, E-Mail-Inhalte, Versandzeitpunkte sowie Zustell- und Fehlermeldungen. Resend übernimmt den Versand. Wir verwenden keine Öffnungs- oder Klickmessung für Karten-E-Mails. Technische Zustell-, Unzustellbarkeits- und Beschwerdemeldungen werden zur zuverlässigen Zustellung und Missbrauchsvermeidung verarbeitet.

Für dienstweite Schutzmaßnahmen bei Versandwidersprüchen, Beschwerden oder dauerhaften Zustellproblemen speichern wir gegebenenfalls einen nicht im Klartext vorliegenden, pseudonymen Fingerabdruck der E-Mail-Adresse zur Verhinderung weiterer unerwünschter Sendungen. Diese Sperrinformation kann unabhängig vom Absenderkonto bestehen bleiben. Betroffene können uns zur Prüfung oder Aufhebung einer Sperre kontaktieren. Grundlage ist unser berechtigtes Interesse am Schutz der Empfänger und des Versanddienstes nach Art. 6 Abs. 1 lit. f DSGVO.

Versand und Schutz von Firmenkampagnen

Bei Firmenkampagnen verarbeiten wir zusätzlich die vom Unternehmen gewählten Empfängerdaten, persönliche Textfelder, individuelle Kartenlinks, Abmeldungen und Versandstatus im Auftrag. Für optionalen Passwortschutz werden Passwort-Prüfwerte und, soweit für den gewünschten Versand nötig, verschlüsselte Passwörter gespeichert. Wird ein Passwort gemeinsam mit dem Kartenlink versendet, erhält der E-Mail-Dienstleister auch dieses Passwort. Ein Abmeldelink ermöglicht den Widerspruch gegen weitere Kampagnen-E-Mails dieses Unternehmens.

„Zugestellt“ bezeichnet die technische Bestätigung des empfangenden Mailservers, nicht das Lesen einer Nachricht. Es erfolgt keine personenbezogene Öffnungs- oder Klickmessung für Firmenkampagnen. Kundenbezogene Abmelde- und Sperrinformationen werden zur Beachtung der Versandwünsche im Auftrag geführt. Davon zu unterscheiden sind die oben beschriebenen dienstweiten Schutzmaßnahmen in eigener Verantwortung.

5. Zahlung, Credits und Erstattungen

Stripe verarbeitet Zahlungen einschließlich Zahlungs- und Rechnungsinformationen. Wir speichern keine vollständigen Zahlungskartendaten. Wir verarbeiten Kaufreferenzen, Beträge, Credit-Buchungen, Zahlungsstatus sowie Erstattungs- und Streitfalldaten, um Käufe zu erfüllen und abzurechnen.

Bei Widerrufs- oder Erstattungsanfragen speichern wir die Erklärung, Kontaktdaten, Bearbeitungsschritte und relevante Nutzungsnachweise, etwa Zeitpunkte und Credit-Verbrauch. Diese Nachweise enthalten nicht allein zu diesem Zweck Kopien Ihrer Bildbeschreibungen oder Kartenmotive. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie lit. f für Missbrauchsprävention und die Geltendmachung oder Verteidigung von Ansprüchen.

6. Technische Protokolle und Website-Statistik

Beim Aufruf der Website verarbeiten Hosting- und Sicherheitsdienste technisch notwendige Verbindungsdaten, etwa IP-Adresse, Zeitpunkt, angeforderte Ressource und Browserinformationen. Betriebsprotokolle können mit einem Konto verbundene Vorgänge wie Generierungen, Credit-Buchungen und Versandereignisse enthalten. Sie dienen Betrieb, Fehlerbehebung und Schutz vor Missbrauch nach Art. 6 Abs. 1 lit. f DSGVO.

Für zusammengefasste Statistiken öffentlicher Seiten setzen wir Simple Analytics ein. Die Integration verwendet keine Analyse-Cookies, keine Sitzungsaufzeichnungen und keine dauerhaften Besucherkennungen im Browser. Kontoseiten, Administration, Authentifizierungsseiten und geteilte Karten sowie Kampagnen- und Abmeldeseiten sind von dieser Website-Analyse ausgenommen. Auf diesen Seiten wird das Statistik-Skript nicht eingebunden. Auf den übrigen Seiten können beim Laden des Skripts IP-Adresse und Browserangaben an den Auslieferungsdienst gelangen. Soweit hierbei personenbezogene Daten verarbeitet werden, dient dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO unserem Interesse an einer datensparsamen Verbesserung der Website.

Bei persönlichen geteilten Karten zählen wir getrennt davon ausschließlich gemeinsame Tagessummen für das Öffnen, Umdrehen und die ungefähre sichtbare Anzeigedauer (höchstens fünf Minuten pro geöffnetem Tab). Die Summen enthalten keine Besucher-, Karten-, Konto- oder Empfängerkennungen. Dafür verwenden wir weder Analyse-Cookies noch lokalen Browserspeicher oder Drittanbieter. Vorschauen und Aufrufe durch angemeldete Ersteller werden nicht gezählt. Absender erhalten keine Lesebestätigungen. Die Tagessummen werden nach 90 Tagen beim nächsten Statistikzugriff gelöscht. Technisch notwendige Hosting-Protokolle sind davon unabhängig.

Kampagnenbewertungen und technische Generierungsdaten

Wir speichern freiwillige Motivbewertungen, die Auswahl eines Motivs sowie Modell, Generierungseinstellungen, Laufzeit, Kosten und Ergebnisstatus einzelner Generierungsversuche. Diese Angaben sind dem Kundenkonto und der Kampagne zugeordnet und daher nicht automatisch anonym. Sie dienen der Darstellung der Motivhistorie und Bewertungen im Auftrag sowie der technischen Fehleranalyse und Abrechnung.

Für den Vergleich der Ergebnisqualität, die Auswahl geeigneter Modelle und die Verbesserung des technischen Betriebs können wir technische Generierungsdaten und Motivbewertungen in eigener Verantwortung auswerten. Grundlage ist unser berechtigtes Interesse an Qualität und Wirtschaftlichkeit des Dienstes nach Art. 6 Abs. 1 lit. f DSGVO. Diese Auswertung erfordert keine Kontaktlisten, Empfängertexte oder Auswertung erkennbarer Personen in Motiven und ist kein Training eines Bildmodells. Es gelten die unten beschriebenen Rechte einschließlich des Widerspruchs.

7. Eingesetzte Dienstleister

Für Firmenkampagnen finden Sie die eingesetzten Dienste einschließlich der KI-Modellhersteller über Vercel AI Gateway in unserem Unterauftragnehmerverzeichnis.

Für freiwillige Änderungsmitteilungen speichern wir Ihre E-Mail-Adresse, Sprache, die Fassung Ihrer Einwilligung sowie Anmelde- und Bestätigungszeitpunkt. Bei Anmeldung im Firmenprofil wird die Anmeldung Ihrem Konto zugeordnet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Erst nach Bestätigung per E-Mail erhalten Sie Mitteilungen; unbestätigte Anmeldungen werden nach Ablauf von 48 Stunden innerhalb der nächsten Stunde gelöscht. Abmeldung ist jederzeit über den individuellen Link möglich und stoppt die Mitteilungen sofort. Die Abmeldung wird zusätzlich bei Resend für dieses Benachrichtigungsthema hinterlegt. Bis zur erfolgreichen Übertragung bleibt der gesperrte Eintrag zur Wiederholung gespeichert; anschließend wird die lokale Anmeldung gelöscht. Bei Resend bleibt die Sperrinformation erhalten, damit die Abmeldung auch nach einer Wiederherstellung berücksichtigt werden kann. Kontogebundene Anmeldungen werden bei Kontoschließung ebenfalls abgemeldet. Wir nutzen diese Angaben nicht für Werbung oder Analytics. Der Bestätigungsversand erfolgt über Resend; Änderungsmitteilungen können über unseren Support-Maildienst versandt werden.

Je nach genutzter Funktion werden Daten an folgende Dienstleister übermittelt. Diese handeln je nach Verarbeitung als Auftragsverarbeiter oder, insbesondere bei eigenen gesetzlichen Zahlungs- und Betrugspräventionspflichten, in eigener Verantwortung.

• Supabase: Datenbank, Authentifizierung und Dateispeicherung; Konto-, Karten-, Kontakt- und Anwendungsdaten.
• Vercel: Hosting, Ausführung der Anwendung und AI Gateway für Firmenkampagnen; technische Verbindungsdaten, Anwendungsdaten und die für die gewählte KI-Anfrage erforderlichen Eingaben und Ergebnisse.
• OpenAI: KI-Generierung und Überarbeitung; ausgewählte Texte, Bilder und die für die Anfrage verwendeten Angaben. Persönliche Karten verwenden den direkten API-Zugang; Firmenkampagnen nutzen OpenAI-Modelle über Vercel AI Gateway.
• KI-Dienste über Vercel AI Gateway: Je nach Modellauswahl kommen neben OpenAI Dienste für Modelle von Google, Microsoft und Meta zum Einsatz. Sie verarbeiten die in Abschnitt 3 beschriebenen Generierungseingaben und Ergebnisse.
• Stripe: Zahlung, Abrechnung und Betrugsprävention; Zahlungs-, Rechnungs- und Transaktionsdaten.
• Resend: Versand von Konto-, Kauf- und Karten-E-Mails; E-Mail-Adressen, Namen, Nachrichteninhalte und technische Versanddaten.
• Upstash: Planung und Auslösung von Hintergrundaufgaben; technische Job-Kennungen, Ausführungsversionen und Zeitplaninformationen. Der Job-Nachrichteninhalt enthält keine Kartenmotive oder Empfängeradressen.
• Simple Analytics: datensparsame Statistiken der öffentlichen Website.

Bei Nutzung einer angebotenen Google-Anmeldung erhält Google die für diesen Anmeldevorgang erforderlichen Informationen; wir erhalten die freigegebenen Identitätsdaten. Alternativ können Sie die angebotene E-Mail-Anmeldung nutzen.

Ein Modellhersteller ist nicht zwangsläufig der tatsächlich verarbeitende Dienstleister. Für Firmenkampagnen nennt das Unterauftragnehmerverzeichnis der vereinbarten AVV die Vertragsparteien, Leistungen und Übermittlungsgrundlagen. Die technische Verfügbarkeit oder Auswahl eines Modells ersetzt nicht die erforderliche vertragliche Freigabe. Änderungen an weiteren Auftragsverarbeitern erfolgen nach dem Informations- und Widerspruchsverfahren der AVV.

8. Verarbeitung außerhalb des EWR

Bei unseren Dienstleistern kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden, insbesondere in den USA. Für solche Übermittlungen sind die Voraussetzungen der Art. 44 ff. DSGVO maßgeblich, beispielsweise ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln. Informationen zu den für eine konkrete Verarbeitung einschlägigen Garantien können Sie bei uns anfordern.

9. Speicherdauer und Löschung

Wir speichern Daten, solange sie für den jeweiligen Zweck erforderlich sind. Karten und Kontakte können Sie im Konto löschen. Bei Kontoschließung werden private Anwendungsdaten im Rahmen des Löschprozesses entfernt; notwendige Zahlungs-, Streitfall- und Aufbewahrungsdaten können davon ausgenommen sein.

Für kaufmännische und steuerliche Unterlagen gelten je nach Dokument gesetzliche Aufbewahrungsfristen. Offene Erstattungs- oder Streitfälle werden bis zu ihrer Klärung und dem Ende einschlägiger Nachweispflichten aufbewahrt. Technische Protokolle werden nach ihrem Betriebs- und Sicherheitszweck begrenzt gespeichert. Nicht zuordenbare E-Mail-Zustellmeldungen werden durch den Wartungsprozess nach sieben Tagen entfernt. Versand-Sperrinformationen bleiben so lange erhalten, wie sie zur Verhinderung unerwünschter Sendungen erforderlich sind. Löschungen aus Sicherungskopien folgen deren Sicherungszyklus.

Auftragsdaten aus Firmenkampagnen

Geschäftliche Kontakte und Gruppen bleiben bis zur Löschung durch den Firmenkunden oder zur Kontoschließung gespeichert. Bereits in eine Kampagne übernommene Empfängerangaben sind eigenständige Snapshots und werden durch das Löschen des ursprünglichen Kontakts nicht automatisch entfernt. Entwürfe, Motivvarianten, Bewertungen, Generierungsdaten, Referenzbilder, veröffentlichte Snapshots und Versanddaten werden im Rahmen der Löschung der jeweiligen Kampagne oder der Kontoschließung bereinigt. Für Auftragsdaten gelten ergänzend die Rückgabe- und Löschregelungen der vereinbarten AVV.

Das Ablaufen oder Deaktivieren eines öffentlichen Kartenlinks sperrt den externen Zugriff, löscht aber keine privaten Kampagnendaten. Abmelde- und Sperrinformationen des Firmenkunden bleiben auch nach dem Löschen einzelner Kontakte oder Kampagnen erhalten, damit der Versandwiderspruch beachtet wird; ihre Löschung erfolgt nach Weisung beziehungsweise im Rahmen der Kontoschließung. Dienstweite Schutzinformationen und gesetzlich aufzubewahrende eigene Geschäftsunterlagen sind davon getrennt.

Audit-Protokolle über Konto- und Kampagnenaktionen können handelnde Person, E-Mail-Adresse, IP-Adresse, Zeitpunkt und Aktion enthalten. Wir verarbeiten sie zur Sicherheit und Nachvollziehbarkeit in eigener Verantwortung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und löschen sie nach zwölf Monaten im regelmäßigen Bereinigungslauf. Aufbewahrungsfristen bei Infrastruktur- und KI-Diensten sowie für Sicherungskopien sind davon getrennt; die für Auftragsdaten vereinbarten Fristen stehen in der AVV. Eine optionale KI-Schutzmaßnahme löscht keine bereits zuvor gespeicherten Daten.

10. Ihre Rechte

Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen. Schreiben Sie dazu an post@karten.ai. Export- und Löschfunktionen finden Sie außerdem in Ihren Kontoeinstellungen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für unseren Sitz ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig.

Bezieht sich Ihre Anfrage auf eine Firmenkampagne oder ein geschäftliches Kontaktverzeichnis, ist grundsätzlich das absendende Unternehmen für die Bearbeitung als Verantwortlicher zuständig. Sie können sich auch an uns wenden; wir leiten entsprechende Anfragen weiter und unterstützen das Unternehmen nach der AVV. Über Auftragsdaten entscheiden wir nicht eigenständig ohne Weisung oder gesetzliche Pflicht. Für unsere eigenen Verarbeitungen bleiben wir Ihr Ansprechpartner.

11. Pflichtangaben und Cookies

Angaben, die zur Kontoerstellung, Zahlung oder gewählten Zustellung erforderlich sind, benötigen wir zur Erbringung dieser Funktion. Ohne diese Angaben kann die jeweilige Funktion nicht genutzt werden. Weitere Profil- und Gestaltungsangaben sind freiwillig. Einzelheiten zu Cookies und Browser-Speicherung finden Sie in unseren Cookie-Hinweisen.