Datenschutzerklärung

Stand: Oktober 2026

Verantwortlicher
Herzberger Fotografie, Daria Herzberger, In der Aue 3, 63486 Bruchköbel, Deutschland.
Telefon: +49 170 9945877, E‑Mail: kontakt@herzberger-fotografie.de.

Zwecke und Rechtsgrundlagen der Verarbeitung
Wir verarbeiten personenbezogene Daten zur Beantwortung von Anfragen, zur Vorbereitung und Durchführung von Verträgen (Fotoshootings, Angebote, Rechnungen), zur Pflege der Kundenbeziehung und – soweit eine Einwilligung erteilt wird – zur Veröffentlichung von Bildern im Portfolio und in sozialen Netzwerken.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anbahnung), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, insbesondere bei Veröffentlichungen von Personenfotos), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. IT‑Sicherheit, Beantwortung allgemeiner Anfragen) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten).

Kategorien verarbeiteter Daten
Stammdaten, Kommunikationsdaten, Vertrags‑ und Zahlungsdaten, technische Nutzungsdaten (Server‑Logs), Bild‑ und Videodaten aus Shootings sowie Einwilligungserklärungen (Model‑Release).

Quellen der Daten
Grundsätzlich erheben wir Daten direkt bei Ihnen, etwa per E‑Mail, Telefon, Messenger oder Formular. In Einzelfällen erhalten wir Daten von Dritten, etwa wenn ein Ansprechpartner Sie benennt; in diesem Fall informieren wir nach Art. 14 DSGVO, soweit erforderlich.

Pflicht zur Bereitstellung
Die Bereitstellung bestimmter Daten ist für Vertragsschluss und Durchführung erforderlich. Ohne diese Daten kann kein Shooting durchgeführt werden.

Empfänger und Auftragsverarbeiter
Wir setzen folgende Dienstleister ein und haben mit ihnen Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen:

  • Hosting: ALL-INKL.COM (Neue Medien Münnich), Rechenzentren ausschließlich in Deutschland. Weitere Informationen: https://all-inkl.com/info/rechenzentrum/
  • E-Mail/Newsletter und Formularversand: Brevo (Sendinblue GmbH/SAS). Verarbeitung in der EU laut Anbieterangaben.
  • Datei- und Galerie-Services (projektabhängig): scrappbook.de, Fotograf.de, pictrs.com sowie ggf. Google Drive (Google Ireland Ltd.) oder iCloud Drive (Apple Distribution International Ltd.).
  • Online-Galerie und Shop bei Fotoaktionen in Kitas: Pictrs (pictrs.com), siehe Abschnitte „Fotoaktionen in Kitas: Einwilligung und Bilder“ und „Online-Galerie und Bestellung bei Fotoaktionen in Kitas“. Zahlungsabwicklung für diese Bestellungen: Stripe Payments Europe, Ltd. (Irland), siehe Abschnitt „Zahlungsabwicklung“.
  • IT-Wartung und Support: Zugriff nur bei Bedarf.
  • KI-Funktionen im Kundenverwaltungssystem: Anthropic PBC (USA), siehe Abschnitt „Künstliche Intelligenz zur Unterstützung der Büroarbeit“.
  • Google (Google Ireland Ltd.): Bildanalyse mit Gemini im Posing-Guide sowie, mit Ihrer Einwilligung, Google Analytics, Google Tag Manager und Google Search Console. Zudem die Streckenberechnung für unser Fahrtenbuch (Routen-Schnittstelle), siehe Abschnitt „Fahrtenbuch und Streckenberechnung“.
  • Datenbank für Kundenverwaltungssystem und Posing-Guide: Supabase Inc. (Rechenzentrum Frankfurt).
  • Elektronische Vertragsunterzeichnung: eSignatures.com (Speicherung der Verträge in der EU, Rechenzentrum Frankfurt), siehe Abschnitt „Elektronische Vertragsunterzeichnung“.

Drittlandübermittlungen
Soweit bei Anbietern Konzernzugriffe aus Drittländern nicht ausgeschlossen werden können (z. B. Google, Apple, Supabase, Anthropic, Adobe oder Stripe), stützen wir Übermittlungen auf EU-Angemessenheitsbeschlüsse oder die EU-Standardvertragsklauseln (SCC). Wir wählen nach Möglichkeit europäische Rechenzentrums‑Standorte; Details stellt der jeweilige Anbieter bereit.

Speicherdauer
Wir speichern personenbezogene Daten grundsätzlich für die Dauer der Vertragsbeziehung und entsprechend gesetzlicher Aufbewahrungspflichten. Bilddaten werden, soweit vertraglich nicht anders vereinbart, für 6 Monate nach Lieferung auf einem externen Datenträger ohne zusätzliche Sicherheitskopie oder Cloud‑Backup vorgehalten. Eine Wiederherstellung kann nicht garantiert werden.

Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch aus Gründen, die sich aus Ihrer besonderen Situation ergeben. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Kontaktformulare, E‑Mail, Telefon oder Messenger
Wenn Sie uns über ein Kontaktformular, per E‑Mail, Telefon oder Messenger (z. B. WhatsApp, Instagram Direct) kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b/f DSGVO). Bei Messengern gelten zusätzlich die Datenschutzbestimmungen der jeweiligen Anbieter; bitte übermitteln Sie darüber keine sensiblen Inhalte.

Cookies, lokale Speicherung und externe Inhalte
Wir setzen technisch erforderliche Cookies bzw. lokale Speicherung ein, um grundlegende Funktionen bereitzustellen. Für nicht erforderliche Cookies oder externe Inhalte holen wir vorab Ihre Einwilligung ein (§ 25 TDDDG in Verbindung mit Art. 6 Abs. 1 DSGVO). Das betrifft insbesondere eingebettete Instagram‑Feeds und Google‑Bewertungen/-Dienste, die IP‑Adresse und Nutzungsdaten an die jeweiligen Anbieter übermitteln können. Die Einwilligung kann jederzeit im Cookie‑Layer widerrufen werden.

Google Fonts: Wir verwenden lokal eingebundene Web‑Fonts; beim Aufruf unserer Seiten wird keine Verbindung zu Google‑Servern hergestellt.

Reichweitenmessung mit Google Analytics
Mit Ihrer Einwilligung nutzen wir Google Analytics 4 und den Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um zu erfahren, welche Seiten besucht werden und wie Besucher zu uns finden. Verarbeitet werden unter anderem Ihre gekürzte IP-Adresse, Gerät, Browser und Seitenaufrufe. Google kann Daten in die USA übermitteln (Standardvertragsklauseln bzw. EU-US Data Privacy Framework); mit Google besteht eine Vereinbarung zur Auftragsverarbeitung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie im Cookie-Layer jederzeit ändern oder widerrufen können. Zusätzlich nutzen wir die Google Search Console, um zu sehen, mit welchen Suchbegriffen unsere Website gefunden wird; dabei werden keine Daten einzelner Besucher erhoben.

Wetter und Karten im Kunden-Infobereich
Auf der persönlichen Info-Seite zu Ihrem Shooting zeigen wir bei Bedarf die Wettervorhersage an. Dafür ruft Ihr Browser Daten bei Open-Meteo (open-meteo.com) ab, und zur Ermittlung von Koordinaten nutzen wir den Suchdienst Nominatim von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich). Die Anbieter erhalten dabei technisch bedingt Ihre IP-Adresse und den abgefragten Ort. Links zu Google Maps, Instagram und Facebook sind einfache Verweise; erst nach dem Klick gelten die Hinweise des jeweiligen Anbieters. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Server‑Logfiles und Sicherheit
Der Hosting‑Provider erhebt Server‑Logfiles (z. B. IP‑Adresse, Zeitpunkt, aufgerufene Seiten, User‑Agent) zur Sicherstellung des technischen Betriebs und zur Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logdaten werden regelmäßig kurzfristig gelöscht.

Veröffentlichung von Personenbildern
Die Veröffentlichung von Personenfotos erfolgt ausschließlich auf Basis einer dokumentierten Einwilligung (Model‑Release). Ein Widerruf wirkt nur für die Zukunft; bereits erfolgte rechtmäßige Veröffentlichungen bleiben unberührt.

Fotoaktionen in Kitas: Einwilligung und Bilder
Bei Fotoaktionen in Kitas fotografieren wir nur Kinder, für die vorab eine Einwilligung der Sorgeberechtigten vorliegt. Nur diese Kinder sind auch auf Gruppenbildern zu sehen. Die Einwilligung erteilen die Sorgeberechtigten in der Regel bei der digitalen Anmeldung. Sie ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO). Hierfür verarbeiten wir den Namen und die Gruppe des Kindes, Name und E-Mail-Adresse der Sorgeberechtigten, die Einwilligungserklärung sowie die aufgenommenen Bilder einschließlich Gruppenbildern. Eine Nutzung von Bildern für eigene Werbung (zum Beispiel Website oder Social Media) erfolgt nur mit gesonderter Einwilligung, siehe „Veröffentlichung von Personenbildern“.

Online-Galerie und Bestellung bei Fotoaktionen in Kitas
Die Bilder stellen wir in einer geschützten Online-Galerie des Dienstleisters Pictrs (pictrs.com) bereit. Der Zugang erfolgt über einen Zugangscode je Kind und ist für die Sorgeberechtigten bestimmt. Die Galerie ist in der Regel etwa 90 Tage online und wird danach geschlossen; unsere Bilddaten löschen wir spätestens sechs Monate nach Lieferung. Für Bestellung, Produktion, Versand und Zahlung erhalten Pictrs und beteiligte Produktionspartner (zum Beispiel Fotolabore und Versanddienstleister) die dafür erforderlichen Daten, etwa Name, Anschrift, E-Mail-Adresse, Bestelldaten und die ausgewählten Bilder. Mit Pictrs besteht ein Vertrag zur Auftragsverarbeitung; nach Angaben von Pictrs werden die Daten in Deutschland gespeichert. Nach Angaben von Pictrs werden Bilddateien für Print-Bestellungen in der Regel spätestens sechs Wochen nach der Bestellung gelöscht, digitale Bestellungen stehen 90 Tage zum Download bereit, und Rechnungsdaten (ohne Bilder) werden bis zu zehn Jahre aufbewahrt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Fragen zu Zahlung und Lieferung beantwortet der Pictrs-Support in unserem Namen. Im Online-Shop kann Google Analytics zur Reichweitenmessung eingesetzt werden, und zwar nur, wenn Sie über den Cookie-Banner eingewilligt haben; weitere Informationen finden Sie im Abschnitt zu Google Analytics.

Zahlungsabwicklung
Sofern Sie Zahlungen per Überweisung leisten, verarbeiten wir hierfür die erforderlichen Zahlungsdaten. Bestellungen in der Online-Galerie bei Fotoaktionen in Kitas werden über den Zahlungsdienstleister Stripe Payments Europe, Ltd. (Irland) abgewickelt. Stripe verarbeitet dabei Zahlungsdaten wie Name, E-Mail-Adresse, gewählte Zahlungsart und Betrag sowie technische Daten wie die IP-Adresse, unter anderem zur Betrugsprävention, teilweise in eigener datenschutzrechtlicher Verantwortung. Eine Übermittlung an Unternehmen der Stripe-Gruppe in Drittländern (zum Beispiel USA) ist möglich und stützt sich auf Standardvertragsklauseln oder den EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen finden Sie unter https://stripe.com/de/privacy. Bei Nutzung weiterer externer Zahlungsdienste gelten deren Datenschutzinformationen zusätzlich.

Aktualisierungen
Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Verarbeitungen oder Dienste ändern. Die jeweils aktuelle Fassung ist hier abrufbar.

Nutzung eines internen Kundenverwaltungssystems (CRM)

Art und Umfang der Verarbeitung
Wir nutzen zur Organisation, effizienten Abwicklung eurer Aufträge und Shootings sowie zur internen Kundenbetreuung ein selbst entwickeltes Kundenverwaltungssystem (CRM-System). In diesem System verarbeiten und speichern wir die von euch angegebenen Stammdaten sowie projektspezifische Details. Dazu gehören konkret:

  • Persönliche Stammdaten: Kundennamen, Postanschrift, E-Mail-Adresse und Telefonnummer.
  • Projektdaten: Informationen zur Familie, Details und Ablaufpläne zum Shooting sowie ausgewählte Locations.
  • Präferenzen: Notizen zu euren spezifischen Wünschen, Vorlieben und Projektmerkmalen.

Infrastruktur und Dienstleister
Unser CRM-System ist modular aufgebaut und nutzt die folgenden technischen Infrastrukturen von spezialisierten Dienstleistern:

  • Hosting & Webserver: Die Web-Applikation des CRM-Systems wird auf den Servern der ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, gehostet. Mit ALL-INKL besteht ein gesetzlich vorgeschriebener Vertrag zur Auftragsverarbeitung (AVV). Die Daten verbleiben auf Servern in Deutschland.
  • Datenbank-Infrastruktur: Als sichere Datenbanktechnologie nutzen wir die Dienste von Supabase (Supabase Inc., 970 Summer St, Stamford, CT 06905, USA). Um ein datenschutzkonformes Niveau zu gewährleisten, nutzen wir die Standardvertragsklauseln (EU Standard Contractual Clauses) von Supabase. Die Datenhaltung ist strikt auf die EU-Region (EU-Zentral/Frankfurt) beschränkt. Eine Speicherung oder Verarbeitung eurer personenbezogenen Daten außerhalb der Europäischen Union findet auf Datenbankebene nicht statt.

Zweck und Rechtsgrundlage
Die Verarbeitung eurer Daten im CRM-System erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrages oder Durchführung vorvertraglicher Maßnahmen, wie z. B. die Erstellung eines Angebots oder einer Shooting-Agenda). Zudem liegt die effiziente, strukturierte und sichere Verwaltung unserer Kundendaten in unserem berechtigten Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer
Die Daten verbleiben in unserem CRM-System, bis der Zweck für die Datenspeicherung entfällt (z. B. nach vollständiger Abwicklung eures Auftrags und der Bildübergabe) oder ihr uns zur Löschung auffordert. Zwingende gesetzliche Bestimmungen – insbesondere steuer- und handelsrechtliche Aufbewahrungsfristen (z. B. für Rechnungen und Buchhaltungsunterlagen) – bleiben davon unberührt.

Online-Formulare für Kundinnen und Kunden
Für einzelne Schritte stellen wir euch persönliche Links bereit (Kundenfragebogen, Stammdatenblatt, Gruppenfoto-Planer, Info-Seite zu eurem Shooting). Eure Eingaben, zum Beispiel Kontakt- und Adressdaten, Geburtstage, Angaben zu Familienangehörigen (auch Kindern) und Wünsche zum Shooting, speichern wir im Kundenverwaltungssystem. Ihr entscheidet selbst, welche Angaben ihr macht. Die Links sind nur mit dem persönlichen Zugangscode abrufbar und laufen nach 90 Tagen ab. Angaben zu Kindern oder anderen Personen macht ihr in deren Namen; wir nutzen sie nur für die Vorbereitung und Durchführung eures Shootings.

Fahrtenbuch und Streckenberechnung
Für die Abrechnung unserer Fahrten zu Shootings berechnen wir Strecken über die Routen-Schnittstelle von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei übermitteln wir ausschließlich die Adressen von Start und Zielen, zum Beispiel den Ort eures Shootings oder eure Adresse, wenn wir euch besuchen. Euren Namen oder weitere Angaben zu euch übermitteln wir nicht. Die Fahrten speichern wir mit Datum, Strecke und Projektbezug in unserem Kundenverwaltungssystem für unsere Buchhaltung. Google kann Daten in die USA übermitteln (Standardvertragsklauseln beziehungsweise EU-US Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Abrechnung und Nachweis unserer Betriebsausgaben).

Elektronische Vertragsunterzeichnung
Verträge und Einwilligungen (Auftragsvertrag, Model Release) können wir euch zur elektronischen Unterzeichnung zusenden. Dafür nutzen wir den Dienst eSignatures.com. Übermittelt werden euer Name, eure E-Mail-Adresse und der Vertragsinhalt (zum Beispiel Angaben zum Shooting und zum Honorar). Beim Unterzeichnen protokolliert der Dienst zum Nachweis den Zeitpunkt, eure E-Mail-Adresse und technische Verbindungsdaten wie die IP-Adresse. Die Verträge werden bei eSignatures in der EU (Rechenzentrum Frankfurt) gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags) und lit. f DSGVO (Nachweis des Vertragsschlusses). Wenn ihr es lieber analog mögt, könnt ihr einen Vertrag auch ausgedruckt unterschreiben.

Newsletter via Brevo
Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E‑Mail‑Adresse sowie optional Ihren Namen zur Zusendung von E‑Mails (Art. 6 Abs. 1 lit. a DSGVO). Wir verwenden das Double‑Opt‑In‑Verfahren. Zur statistischen Auswertung kann erfasst werden, ob eine E‑Mail geöffnet oder ein Link geklickt wurde (Zählpixel). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink.

Bildbearbeitung, Sortierung und Software-Tools
Wir bearbeiten und organisieren eure Bilder mit spezialisierter Software, um die bestmögliche Qualität zu garantieren. Dabei kommen die Programme Adobe Lightroom/Photoshop (teilweise Adobe Creative Cloud), Excire Foto, Radiant Photo 2 sowie die Reblum App zum Einsatz.

Die Organisation und Vorsortierung (Culling) der Bilddateien erfolgt lokal auf unseren eigenen Systemen. Bei der Nutzung von spezifischen Bearbeitungs- und Cloud-Funktionen der jeweiligen Anbieter findet jedoch eine serverbasierte Verarbeitung statt:

  • Adobe KI-Funktionen (Generatives Entfernen): Bei der Nutzung von KI-gestützten Retusche-Werkzeugen (wie dem generativen Entfernen in Adobe Lightroom/Photoshop) werden Bildausschnitte zur Berechnung an die Server der Adobe Systems Software Ireland Limited übermittelt. Nach aktueller Anbieteraussage verwendet Adobe diese Kundendaten nicht zum Training eigener generativer KI-Modelle.
  • Lokale Tools (Reblum / Excire Foto): Die Nutzung der Reblum App sowie von Excire Foto erfolgt rein lokal. Es findet kein Upload eurer Bilddaten in eine Cloud dieser Anbieter statt.
  • Zukunftshinweis: Falls zukünftig weitere KI-gestützte Tools mit Cloud-Verarbeitung genutzt werden, erfolgt dies unter Einhaltung der DSGVO.

Künstliche Intelligenz zur Unterstützung der Büroarbeit
In unserem internen Kundenverwaltungssystem nutzen wir KI-Funktionen von Anthropic (Anthropic PBC, USA). Sie helfen uns, E-Mail-Entwürfe zu erstellen, Gesprächsnotizen und Fragebogen-Antworten zu strukturieren, Kontaktdaten aus Fotos von Notizen oder Visitenkarten auszulesen und Aufnahmeorte zu recherchieren. Dabei können die jeweils nötigen Angaben übermittelt werden, zum Beispiel Name, Kontaktdaten, Shooting-Angaben, Notizen und Fragebogen-Antworten, auch zu Familienangehörigen und Kindern. Fotos aus euren Shootings werden nicht übermittelt.
Wir prüfen jedes Ergebnis selbst, bevor wir es verwenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Mit Anthropic besteht eine Vereinbarung zur Auftragsverarbeitung; für die Übermittlung in die USA gelten Standardvertragsklauseln. Nach den Vertragsbedingungen werden die Eingaben nicht zum Training der Modelle verwendet. Ihr könnt der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).

Posing-Guide (interne Bilddatenbank)
Für die Vorbereitung unserer Shootings nutzen wir eine interne, passwortgeschützte Bilddatenbank mit Referenzbildern für Posen und Bildideen (Speicherung bei Supabase, Frankfurt). Zur Analyse einzelner Bilder (Schlagworte, Hinweise zu Regie und Licht) übermitteln wir diese an Google Gemini (Google Ireland Limited; die Verarbeitung kann in den USA erfolgen). Wir nutzen die kostenpflichtige Schnittstelle, bei der Google die Inhalte nach seinen Bedingungen nicht zur Verbesserung seiner Produkte verwendet. Auf den Bildern können Personen erkennbar sein.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mit Google besteht eine Vereinbarung zur Auftragsverarbeitung; für die USA gelten Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework. Einzelne Bilder können wir euch über einen befristeten, persönlichen Link zur Auswahl zeigen.

Es findet keine vollautomatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Das gilt auch für die eingesetzten KI-Dienste (Adobe, Anthropic, Google): Sie erzeugen Vorschläge, über die wir selbst entscheiden.