Datenschutzerklärung – Dieline Generator

1. Verantwortlicher

dielinegenerator.com – Inhaber Mehmet Basbayandur, Zur Jenfelder Au 21, 22045 Hamburg, Deutschland, E-Mail: info@dielinegenerator.com, Telefon: +49 (0)40 27880832.

Datenschutzbeauftragter: nicht benannt, da keine gesetzliche Pflicht besteht Offen: prüfen. Kontakt für Datenschutzanfragen: Offen: datenschutz@dielinegenerator.com anlegen oder info@ verwenden.

Vertreter in der EU/UK: nicht erforderlich (Sitz in Deutschland).

2. Überblick und Grundsätze

Wir verarbeiten nur die Daten, die für Konto, Dienst, Abrechnung und Sicherheit nötig sind (Datensparsamkeit). Zahlungsdaten (Karten-/Bankdaten) erhalten wir nicht; sie werden beim Zahlungsdienstleister verarbeitet. Wir nutzen kein Werbe-Tracking, keine Werbenetzwerke und verkaufen keine Daten. Server und Datenbank liegen in der EU (Frankfurt).

3. Verarbeitungen im Einzelnen

3.1 Besuch der Website, Server-Logs

• Daten: IP-Adresse (gekürzt/gehasht in Anwendungslogs), Datum/Uhrzeit, aufgerufene URL, Statuscode, übertragene Datenmenge, Browser/Betriebssystem (User-Agent), Referrer, Request-ID.
• Zweck: Auslieferung, Stabilität, Sicherheit, Fehleranalyse, Missbrauchsabwehr.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb).
• Speicherdauer: Offen: Anwendungs-Logs 30 Tage bestätigen; Aufbewahrung der Zugriffs-Logs des selbst betriebenen Reverse-Proxys (Caddy) auf unseren Servern festlegen.
• Anwendungs-Logs enthalten keine personenbezogenen Klartextdaten (E-Mail wird gehasht).

3.2 Konto und Anmeldung (Better Auth)

• Daten: E-Mail-Adresse, optional Name/Profilbild (bei Google/Apple), Zeitstempel von Anmeldungen, Sitzungs-/Geräteinformationen, gekürzte IP, einmalige Anmelde-Token (Magic Link, gültig 15 Minuten).
• Anmeldearten: E-Mail-Link („Magic Link“), „Mit Google anmelden“, „Mit Apple anmelden“, optional Passkeys.
• Zweck: Konto, Anmeldung, Zuordnung der Projekte, Sicherheit (z. B. Benachrichtigung bei neuem Gerät).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), Sicherheitsaspekte lit. f.
• Google/Apple: Bei Nutzung der Anmeldung über Google (Google Ireland Limited / Google LLC) bzw. Apple (Apple Distribution International Ltd. / Apple Inc.) werden Daten (E-Mail, Name, Kennung) an uns übermittelt. Hierbei ist der jeweilige Anbieter eigenverantwortlich; es gelten deren Datenschutzhinweise. Bei Apple „E-Mail verbergen“ erhalten wir eine Relay-Adresse. Es werden keine Daten aus Ihrem Google-/Apple-Konto über die Anmeldung hinaus abgefragt. Offen: Scopes bestätigen.
• Cookies: Technisch notwendige Sitzungs-Cookies (httpOnly, Secure, SameSite=Lax). Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).
• Speicherdauer: bis zur Kontolöschung, danach Löschung innerhalb von 30 Tagen; Sitzungen laufen ab/werden rotiert.

3.3 Projekte und Dateien

• Daten: Projektdaten (Maße, Einstellungen), hochgeladenes Artwork, Bilder, Schriften, Logos, exportierte Dateien, Metadaten. Diese Inhalte können personenbezogene Daten enthalten, wenn Sie solche hochladen; bitte laden Sie keine Daten Dritter ohne Grund hoch.
• Zweck: Bereitstellung des Dienstes (Speichern, Vorschau, Export).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung durch Sie; gelöschte Projekte liegen 30 Tage im Papierkorb; bei Kontolöschung Entfernung nach 30 Tagen; verschlüsselte Sicherungskopien der Datenbank laufen nach 35 Tagen aus (siehe tom.md) Offen: Frist anwaltlich bestätigen.
• Verarbeitung ausschließlich zur Vertragserfüllung; kein Training von KI-Modellen, keine Weitergabe an Werbepartner.

3.4 Zahlung und Abrechnung (Stripe Managed Payments)

• Rolle: Der Verkauf des Pro-Plans läuft über Stripe Managed Payments; eine Gesellschaft der Stripe-Gruppe ist Merchant of Record (nach Stripe-Bedingungen „Sold through Link, LLC“, Offen: Firma/Anschrift bestätigen) und verarbeitet Zahlungsdaten als eigener Verantwortlicher für Zahlung, Betrugsprävention, Steuer- und Buchführungspflichten. Es gelten deren Datenschutzhinweise (Stripe Privacy Policy, Link-Hinweise im Checkout).
• Daten, die bei uns ankommen: Stripe-Kunden-ID, Abo-Status, Plan, Laufzeit, Zeitpunkte von Zahlungen/Erstattungen, ggf. Land/Steuerbezug, E-Mail. Keine vollständigen Karten- oder Bankdaten.
• Daten bei Stripe: Name, E-Mail, Rechnungsadresse, Steuer-ID (B2B), Zahlungsmittel, IP, Geräte-/Betrugsdaten.
• Zweck: Vertragsabwicklung, Abrechnung, Freischaltung des Pro-Plans, Erstattungen, Steuer.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung nach HGB/AO/UStG: lit. c (in der Regel 6 bzw. 10 Jahre; Aufbewahrung für Belege beim Merchant of Record und in unserer Buchhaltung).
• Speicherdauer: Kundendaten bei uns: bis zum Ende der Geschäftsbeziehung plus gesetzliche Fristen; Stripe nach eigener Richtlinie.
• Zahlung kann je Zahlungsmittel Dritte (Banken, Kartenorganisationen, Wallet-Anbieter) einbeziehen.
• Bei Kontolöschung bleiben abrechnungsrelevante Daten gesetzlich bis zum Fristablauf gespeichert (beschränkte Verarbeitung).

3.5 E-Mail-Versand

• Zweck: Magic Links, Konto-/Sicherheitsmeldungen, Vertragsbestätigungen, Kündigungsbestätigung, Hinweise zu Abo/Verlängerung/Zahlungsproblemen, Support-Antworten. Beleg-E-Mails versendet Stripe bzw. der Merchant of Record.
• Dienstleister: Offen: SMTP-Anbieter mit Verarbeitung in der EU, Anbieter noch nicht gewählt als Auftragsverarbeiter.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: Versandprotokolle beim Dienstleister Offen: z. B. 30 Tage; Support-Korrespondenz bis zu 3 Jahre (Verjährung).
• Newsletter: nur mit Einwilligung (Double-Opt-in), jederzeit widerrufbar. Offen: nur falls Newsletter eingeführt wird; sonst streichen.

3.6 Fehlerüberwachung (Sentry)

• Daten: Fehlermeldungen, Stacktraces (inkl. WASM), Browser/OS, Release-/Kernel-Version, gekürzte IP, Request-ID; keine Projektinhalte.
• Zweck: Stabilität und Fehlerbehebung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anbieter: Sentry (Functional Software, Inc., USA) mit EU-Datenregion; Offen: Einsatz von Sentry noch nicht entschieden (optional); falls ja, Region/Vertrag bestätigen; falls nein, Abschnitt streichen. Speicherdauer 30 Tage [OFFEN].

3.7 Produktanalyse

• Server-seitig: pseudonyme Ereignisse (z. B. Projekt angelegt, Export angefordert, Abo gestartet) selbst gehostet in unserer eigenen Datenbank in der EU (kein externer Analyseanbieter). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 13 Monate. Widerspruchsmöglichkeit nach Art. 21 DSGVO.
• Im Browser: keine Analyse-Cookies oder Tracker ohne Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Offen: Ob browserseitige Analyse überhaupt eingesetzt wird; falls nein, Absatz streichen und Hinweis „keine Einwilligung nötig“.

3.8 Hosting und Infrastruktur

• Anbieter: Hetzner Online GmbH (Deutschland, Rechenzentren Falkenstein/Nürnberg) als Auftragsverarbeiter Offen: Firmierung/Anschrift und AV-Vertrag bestätigen. Wir betreiben den Dienst dort selbst: Webanwendung/API, Datenbank (PostgreSQL) und Export-Worker laufen auf eigenen, bei Hetzner gemieteten Servern; Dateien liegen im Hetzner Object Storage (Deutschland). Ein externes CDN oder eine externe WAF setzen wir nicht ein; die Auslieferung erfolgt über unseren eigenen Reverse-Proxy. DNS Offen: DNS-Anbieter noch nicht gewählt (Registrar oder Hetzner DNS).
• Zweck: sicherer, verfügbarer Betrieb.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; Auftragsverarbeitung nach Art. 28 DSGVO.
• Inhalte (Konto, Projekte) werden in der EU (Deutschland) gespeichert; auch statische Inhalte werden von dort ausgeliefert.

3.9 Kontakt und Support

• E-Mail an uns: Name, E-Mail, Inhalt. Zweck: Beantwortung. Rechtsgrundlage Art. 6 Abs. 1 lit. b oder f DSGVO. Speicherdauer: bis zu 3 Jahre nach Abschluss.

3.10 Kündigungsfunktion

• Eingaben (Name, E-Mail, Vertrag, Art/Zeitpunkt), Zeitstempel, gekürzte IP; Rechtsgrundlage Art. 6 Abs. 1 lit. b, c, f; Speicherdauer 3 Jahre [OFFEN].

3.11 Externe Inhalte, Schriften

Wir binden Schriften lokal ein; Google Fonts werden nicht von Google-Servern geladen Offen: bestätigen. Karten, Video-Einbettungen o. Ä. sind nicht vorgesehen [OFFEN].

3.12 Rechtliche Verpflichtungen und Ansprüche

Wir speichern Daten, soweit nötig zur Erfüllung gesetzlicher Pflichten (Handels-, Steuerrecht) und zur Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. c, f DSGVO).

4. Empfänger

Interne Empfänger: nur Inhaber/berechtigte Personen. Externe: Auftragsverarbeiter (Hosting, Datenbank, Speicher, E-Mail, Fehlerüberwachung, Analyse) laut unterauftragsverarbeiter.md; Stripe-Gruppe als Merchant of Record und Zahlungsdienstleister (eigenständiger Verantwortlicher); Steuerberater [OFFEN]; Behörden bei gesetzlicher Pflicht.

5. Drittlandübermittlung

Hauptspeicherung in der EU. Einzelne Dienstleister haben Muttergesellschaften oder Unterauftragnehmer in den USA (u. a. Stripe, Sentry Offen: nur falls eingesetzt, Google, Apple); der Hosting-Anbieter Hetzner verarbeitet in Deutschland. Übermittlungen stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (soweit der Empfänger zertifiziert ist) oder Standardvertragsklauseln (Art. 46 DSGVO) und prüfen ergänzende Maßnahmen. Stripe verarbeitet Daten weltweit; Kunden außerhalb der EU nutzen den Dienst auf eigene Veranlassung und es werden Daten nach Ihrem Standort verarbeitet. Offen: Zertifizierungen und Verträge pro Anbieter verifizieren; Transfer Impact Assessment ablegen.

6. Speicherdauer (Übersicht)

7. Ihre Rechte

Sie haben nach DSGVO: Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (21) sowie Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Im Produkt: Datenexport (ZIP mit Profil, Projekten als .packdieline, Assets, Rechnungsliste) unter /api/v1/account/export; Kontolöschung unter /account/delete. Anfragen auch per E-Mail an info@dielinegenerator.com. Wir antworten innerhalb eines Monats.

Beschwerderecht: Sie können sich bei einer Aufsichtsbehörde beschweren, z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, oder bei der Behörde an Ihrem Wohnort. Offen: Anschrift verifizieren.

8. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung von E-Mail ist für ein Konto erforderlich, andernfalls ist keine Nutzung möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Offen: Betrugsprüfung (Stripe Radar) läuft beim Merchant of Record – dessen Hinweise gelten.

9. Minderjährige

Der Dienst richtet sich nicht an Kinder unter Offen: 16 Jahren.

10. Datensicherheit

TLS-Verschlüsselung, Verschlüsselung ruhender Daten beim Anbieter, Zugriffsbeschränkung, Rollen, Backups; Details in tom.md.

11. Besondere Hinweise für Kunden außerhalb der EU

Offen: UK GDPR/Addendum, Schweiz, Kalifornien (CCPA/CPRA – „Verkauf“/„Weitergabe“ findet nicht statt), Brasilien (LGPD). Ergänzende Hinweise je Markt anwaltlich erstellen.

12. Änderungen

Wir passen diese Erklärung an, wenn sich Dienst oder Rechtslage ändern. Stand: 7. Oktober 2026 (Entwurf).