Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:
Coatly UG (haftungsbeschränkt)
Hanelanden 59
23843 Bad Oldesloe
Deutschland
E-Mail: hello@kudos-studios.com

Vertreten durch Finn Jannik Ripp. Weitere Angaben stehen im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt. Eine Pflicht dazu besteht nicht: Es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 BDSG), und die Kerntätigkeit besteht weder in umfangreicher systematischer Überwachung noch in der Verarbeitung besonderer Datenkategorien (Art. 37 DSGVO). Anfragen zum Datenschutz beantwortet der Verantwortliche unter der oben genannten Adresse.

2. Rechte der betroffenen Person

Betroffenen Personen stehen folgende Rechte zu:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO). Gegen Direktwerbung ist der Widerspruch jederzeit und ohne Begründung möglich,
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine E-Mail an hello@kudos-studios.com. Die Beantwortung erfolgt innerhalb eines Monats.

Daneben besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel. Die Beschwerde kann ebenso bei der Behörde des eigenen Wohnorts eingelegt werden.

3. Aufruf der Website: Server-Logfiles

Beim Aufruf jeder Seite übermittelt der Browser technisch bedingt Daten, die der Server in einer Protokolldatei festhält: IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, den HTTP-Statuscode, die übertragene Datenmenge, die verweisende Seite sowie Browser- und Betriebssystemtyp.

Die Verarbeitung ist erforderlich, um die Seite auszuliefern und den Betrieb stabil und sicher zu halten, etwa zur Erkennung von Angriffen. Rechtsgrundlage ist das berechtigte Interesse an einem störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden spätestens nach sieben Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

Hosting

Die Website läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in Deutschland. Hetzner verarbeitet die Daten ausschließlich weisungsgebunden in unserem Auftrag; ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO liegt vor.

4. Speicherung auf dem Endgerät

Ohne Einwilligung werden keine Cookies zu Werbe- oder Analysezwecken gesetzt. Einwilligungsfrei gespeichert wird nur, was für den ausdrücklich gewünschten Dienst erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG): die gewählte Sprache, damit die Seite beim nächsten Aufruf in derselben Sprache erscheint; die Entscheidung über die Einwilligung; und der Inhalt des Warenkorbs, damit er bis zur Bestellung erhalten bleibt, ohne dass es dafür ein Kundenkonto braucht; und die laufende Bearbeitung im Konfigurator (hochgeladene Route, Foto und Einstellungen), damit ein Neuladen der Seite die Arbeit nicht verwirft. Alle vier liegen im Speicher des Browsers, nicht in Cookies; keiner davon wird an uns übermittelt, solange keine Bestellung ausgelöst wird. Sie lassen sich durch Löschen der Websitedaten im Browser entfernen. Eine vollständige Aufstellung mit Inhalt und Speicherdauer enthält die Cookie-Seite.

5. Hochgeladene Route (GPX-Datei) und Foto

Einordnung

Ein aufgezeichneter Track ist ein Standortdatensatz mit erheblichem Aussagegehalt: Der Startpunkt einer Laufrunde entspricht häufig der Wohnadresse, Zeitstempel lassen Rückschlüsse auf Gewohnheiten zu, und aus dem Verlauf können sich Hinweise auf Gesundheit oder Lebensumstände ergeben. Routen werden daher als personenbezogene Daten behandelt und die Verarbeitung auf das technisch Notwendige beschränkt.

Die Datei verlässt den Browser nicht

Die hochgeladene GPX-Datei wird vollständig im Browser des Nutzers gelesen und ausgewertet. Sie wird nicht zu uns übertragen. Abgesehen vom Kartenausschnitt (Abschnitt 6) wird erst mit einer Bestellung etwas an uns übermittelt, und dann nur, was zur Herstellung erforderlich ist: die vereinfachten Koordinaten des gezeichneten Linienzugs sowie die Gestaltungsangaben (Format, Farbe, Strichstärke, Titel und Beschriftung).

Das gilt auch für den Warenkorb. Legt der Nutzer ein Poster hinein, speichert sein Browser die Koordinaten, die Gestaltungsangaben und eine Vorschau auf seinem eigenen Gerät (s. Abschnitt 4). An uns übertragen werden sie erst, wenn er mit „Zur Kasse“ die Bestellung einleitet.

Nicht übermittelt werden: die Originaldatei, Zeitstempel einzelner Punkte, Herzfrequenz, Trittfrequenz, Höhenprofil, Geräte-Kennungen sowie alle sonstigen Felder, die Aufzeichnungs-Apps in GPX-Dateien schreiben.

Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist die Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Route ist der Gegenstand der Leistung.

Die Koordinaten werden nach Ausführung der Bestellung 90 Tage aufbewahrt und danach gelöscht. Die Frist deckt Reklamation und Nachdruck ab. Die Druckdatei wird 7 Tage nach ihrer Erzeugung gelöscht und für einen Nachdruck aus den Koordinaten neu erzeugt. Auf Wunsch erfolgt die Löschung früher; dafür genügt eine Nachricht an hello@kudos-studios.com. Wird der Konfigurator ohne Bestellung genutzt, werden bei uns keine Routendaten gespeichert. Wird der Bezahlvorgang nach „Zur Kasse“ abgebrochen, löschen wir die bereits übertragenen Daten nach 14 Tagen.

Davon unberührt bleiben die Rechnungsdaten: Name, Anschrift, Betrag und Bestellnummer sind nach Handels- und Steuerrecht bis zu zehn Jahre aufzubewahren (§ 147 AO, § 257 HGB; Art. 6 Abs. 1 lit. c DSGVO). Die Route zählt nicht dazu.

Hochgeladenes Foto

Bei Designs mit Bildfläche kann ein Foto eingesetzt werden. Der Browser verkleinert es und speichert es neu; dabei entfallen die Metadaten der Kameradatei (EXIF), darunter Aufnahmeort, Aufnahmezeit und Gerät. Wie die Route bleibt das Foto bis zur Bestellung auf dem Gerät des Nutzers und wird erst mit „Zur Kasse“ an uns übertragen.

Sind auf dem Foto Personen zu sehen, verarbeiten wir auch deren Daten. Wir verwenden das Foto ausschließlich für Druck, Reklamation und Nachdruck der Bestellung. Es wird weder ausgewertet noch zu Werbezwecken genutzt; außer dem Druckpartner, der es als Teil der Druckdatei erhält (Abschnitt 8), bekommt es niemand. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für abgebildete Dritte unser berechtigtes Interesse, den vom Kunden erteilten Auftrag auszuführen (Art. 6 Abs. 1 lit. f DSGVO). Es gelten dieselben Speicherfristen wie für die Route.

6. Kartenhintergrund und Ortsname

Erzeugung auf dem eigenen Server

Der Kartenhintergrund wird vollständig auf unserem Server erzeugt. Grundlage ist ein Kartenarchiv, das als Datei dort vorliegt (Protomaps, Daten von OpenStreetMap-Mitwirkenden unter ODbL, ergänzt um Natural Earth). Der Browser des Nutzers fragt keinen fremden Kartendienst ab. Es kommen weder Google Maps noch Mapbox noch Kachel-Server Dritter zum Einsatz, die IP-Adresse oder Lage der Route erfahren könnten.

Damit unser Server den passenden Ausschnitt erzeugen kann, sendet der Browser ihm das Rechteck, in dem die Route liegt: vier Koordinaten, keine Punkte der Route selbst. Dasselbe Rechteck dient für die Ortsnamen und den Titelvorschlag. Es steht als Teil der Adresse in den Server-Logfiles (Abschnitt 3, sieben Tage) und wird bis zum nächsten Neustart des Servers im Arbeitsspeicher zwischengespeichert, damit derselbe Ausschnitt nicht zweimal berechnet wird. Einer Person zugeordnet wird es nicht. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Anfrage des Nutzers (Art. 6 Abs. 1 lit. b DSGVO).

Auch der Titelvorschlag bleibt im Haus

Der vorgeschlagene Titel („Hamburg“) stammt aus demselben Kartenarchiv auf unserem Server. Es findet keine Abfrage bei einem Geokodierungsdienst statt; die Koordinaten der Route verlassen unseren Server dafür nicht. Bis zum 10. August 2026 wurde hierfür der Dienst Nominatim der OpenStreetMap Foundation abgerufen, wobei das umgebende Rechteck der Route übermittelt wurde. Diese Abfrage entfällt seither ersatzlos.

7. Bestellung und Zahlung

Bei einer Bestellung werden Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse sowie Bestell- und Zahlungsdaten zur Vertragserfüllung verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Pflichtfelder sind im Bestellablauf gekennzeichnet; ohne sie kann der Vertrag nicht ausgeführt werden.

Shopsystem: Shopify

Warenkorb-Übergabe, Bestellabschluss und Bestellverwaltung laufen über das Shopsystem von Shopify International Limited, Victoria Buildings, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland. Mit dem Klick auf „Zur Kasse“ wird die Bestellseite bei Shopify aufgerufen; dort werden die genannten Bestelldaten eingegeben und gespeichert. Übermittelt wird aus dem Konfigurator nur, was zur Herstellung erforderlich ist: das gewählte Format, die Stückzahl und eine Kennung des Entwurfs. Route, Foto und Druckdatei bleiben auf unserem Server; Shopify erhält sie nicht.

Shopify verarbeitet die Bestelldaten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags von Shopify. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Bestelldaten werden für die Dauer der handels- und steuerrechtlichen Aufbewahrungspflichten gespeichert (§ 257 HGB, § 147 AO: sechs bis zehn Jahre). Zur Übermittlung an Konzerngesellschaften von Shopify außerhalb der EU siehe Abschnitt 11.

Zahlung: Shopify Payments

Die Zahlungsabwicklung übernimmt Shopify Payments, ein Dienst von Shopify International Limited (Anschrift oben). Zahlungsdaten wie Kartennummer oder Bankverbindung werden dort unmittelbar eingegeben. Wir erhalten und speichern sie nicht. Der Zahlungsdienstleister verarbeitet sie in eigener Verantwortung nach seinen Datenschutzhinweisen und kann bei einzelnen Zahlungsarten eine Identitäts- oder Bonitätsprüfung durchführen. Wir erhalten lediglich die Mitteilung, ob die Zahlung erfolgt ist, sowie die Zahlungsart.

Zahlung mit PayPal

Wählst du im Checkout PayPal, werden die für die Zahlung nötigen Angaben (Name, Anschrift, E-Mail-Adresse, Bestellbetrag) an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, übermittelt. PayPal verarbeitet sie in eigener Verantwortung nach seiner Datenschutzerklärung (paypal.com/de/legalhub/privacy-full) und kann dabei eine Identitäts- oder Bonitätsprüfung durchführen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zur Übermittlung in die USA siehe Abschnitt 11.

8. Druck und Versand

Der Druck erfolgt nicht durch uns. Zur Ausführung der Bestellung werden die Druckdatei sowie Name und Lieferanschrift an die Posterflow GmbH, Markircher Str. 17, 68229 Mannheim, übermittelt. Sie druckt das Poster, verpackt es und versendet es in unserem Namen. Die Druckdatei löscht sie nach rund 60 Tagen; die Lieferanschrift speichert sie nicht in ihrem eigenen System, sondern gibt sie nur für den Versand an DHL weiter. Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Für die Zustellung gibt Posterflow GmbH Name, Anschrift und E-Mail-Adresse an DHL weiter. Die E-Mail-Adresse dient dort der Sendungsinformation und Rückfragen zur Zustellung. Rechtsgrundlage ist unser berechtigtes Interesse an einer reibungslosen Zustellung (Art. 6 Abs. 1 lit. f DSGVO); der Weitergabe der E-Mail-Adresse kann jederzeit unter der in Abschnitt 1 genannten Adresse widersprochen werden.

9. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail werden die Adresse und der Inhalt der Nachricht zur Bearbeitung verarbeitet. Rechtsgrundlage ist die Vertragserfüllung oder eine vorvertragliche Maßnahme (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen das berechtigte Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Korrespondenz wird gelöscht, sobald der Vorgang abgeschlossen ist und keine Aufbewahrungspflicht besteht.

Unser E-Mail-Postfach ist ein Microsoft-365-Postfach, das wir über GoDaddy beziehen. Vertragspartner ist die GoDaddy Europe Limited, Studio 4th Floor, Parts C&D at East West, Tollhouse Hill, Nottingham NG1 5FW, Vereinigtes Königreich. Den Dienst selbst betreibt die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Die Postfachdaten werden in Rechenzentren in der Europäischen Union gespeichert. Beide verarbeiten die Nachrichten ausschließlich in unserem Auftrag; Verträge über Auftragsverarbeitung nach Art. 28 DSGVO liegen vor. Zur Übermittlung in Drittländer siehe Abschnitt 11.

10. Reichweitenmessung und Werbung

Alle nachfolgend genannten Dienste setzen Cookies oder lesen Informationen vom Endgerät. Sie werden ausschließlich nach vorheriger Einwilligung geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung wird weder ein Skript geladen noch ein Eintrag gesetzt. Die Entscheidung lässt sich jederzeit über die Cookie-Seite ändern; der Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

Einwilligungsverwaltung

Zum Einholen, Verwalten und Nachweisen der Einwilligung wird ein eigenes Werkzeug eingesetzt. Es speichert die Entscheidung samt Zeitpunkt und Fassung auf dem Endgerät und übermittelt sie zum Nachweis an unseren Server. Grundlage ist die Nachweispflicht aus Art. 7 Abs. 1 DSGVO (Art. 6 Abs. 1 lit. c DSGVO); die Verarbeitung ist daher selbst nicht einwilligungspflichtig. Einzelheiten enthält die Cookie-Seite.

Google Analytics

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics 4 dient der Auswertung, welche Seiten aufgerufen werden, über welche Wege Besucher gelangen und an welcher Stelle der Konfigurator abgebrochen wird. Verarbeitet werden gekürzte IP-Adresse, Zeitpunkt des Besuchs, Geräte- und Browserinformationen sowie Angaben zur Nutzung der Seite; daraus entstehen pseudonyme Nutzungsprofile.

Google verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Funktionen für Werbeberichte und die Datenfreigabe an Google sind deaktiviert, soweit sie nicht für die Reichweitenmessung erforderlich sind. Die Speicherdauer beträgt 14 Monate.

Meta-Pixel (Facebook und Instagram)

Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Das Meta-Pixel misst, ob eine Anzeige auf Facebook oder Instagram zu einer Bestellung geführt hat, und ermöglicht die Bildung von Zielgruppen. Verarbeitet werden IP-Adresse, Zeitpunkt, Geräte- und Browserinformationen sowie definierte Ereignisse, etwa der Aufruf des Konfigurators oder der Abschluss einer Bestellung. Beim erweiterten Abgleich werden zusätzlich verschlüsselte Angaben wie die E-Mail-Adresse übermittelt, anhand derer Meta eine Zuordnung zu einem Konto vornehmen kann.

Auch hier besteht für Erhebung und Übermittlung gemeinsame Verantwortlichkeit nach Art. 26 DSGVO; die weitere Verarbeitung verantwortet Meta allein. Bei bestehendem Konto bei Facebook oder Instagram kann Meta den Besuch damit verknüpfen.

11. Übermittlung in Drittländer

Die in Abschnitt 10 genannten Dienste haben ihre europäischen Sitze in Irland, übertragen Daten aber regelmäßig an ihre Muttergesellschaften in den Vereinigten Staaten. Die Europäische Kommission hat für die USA am 10. Juli 2023 ein angemessenes Datenschutzniveau festgestellt, soweit das empfangende Unternehmen nach dem EU-US Data Privacy Framework zertifiziert ist. Google LLC und Meta Platforms Inc. sind zertifiziert. Ergänzend sind die Standardvertragsklauseln der Europäischen Kommission vereinbart.

Der Angemessenheitsbeschluss ist gerichtlich angegriffen worden. Ein Zugriff US-amerikanischer Behörden ohne wirksame Rechtsbehelfe lässt sich nicht vollständig ausschließen. Dieser Teil der Verarbeitung beruht daher auf Einwilligung und nicht auf einem berechtigten Interesse.

Nicht betroffen sind Route und Poster. Sie werden weder an Google noch an Meta noch in die USA übermittelt.

Für das Shopsystem aus Abschnitt 7 gilt: Shopify International Limited kann Bestelldaten an die Muttergesellschaft Shopify Inc., 151 O’Connor Street, Ottawa, Ontario, Kanada, und an weitere Konzerngesellschaften übermitteln, auch in den Vereinigten Staaten. Für Kanada besteht ein Angemessenheitsbeschluss der Europäischen Kommission für Empfänger, die dem kanadischen PIPEDA unterliegen. Für die Vereinigten Staaten ist Shopify Inc. nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission im Auftragsverarbeitungsvertrag von Shopify. Diese Übermittlung ist Teil der Auftragsverarbeitung und beruht nicht auf einer Einwilligung.

PayPal (Abschnitt 7) kann Zahlungsdaten an die PayPal, Inc. in den Vereinigten Staaten übermitteln. PayPal stützt diese Übermittlungen auf verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Art. 47 DSGVO) und die Standardvertragsklauseln der Europäischen Kommission.

Für den E-Mail-Dienst aus Abschnitt 9 gilt: Unser Vertragspartner GoDaddy Europe Limited sitzt im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht. GoDaddy und Microsoft können Daten an ihre Muttergesellschaften in den Vereinigten Staaten übermitteln. GoDaddy.com, LLC und Microsoft Corporation sind nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission. Diese Übermittlung ist Teil der Auftragsverarbeitung und beruht nicht auf einer Einwilligung.

12. Schriften, Bilder und soziale Netzwerke

Schriftarten und Bilder werden von unserem eigenen Server ausgeliefert. Beim Aufruf der Seite entsteht keine Verbindung zu Google Fonts oder einem anderen Schrift-Dienst; die Schriftdateien liegen bei uns, eine Übermittlung der IP-Adresse dorthin findet nicht statt. Karten, Videos und Social-Media-Inhalte sind nicht eingebettet.

Die Symbole im Seitenfuß sind gewöhnliche Verweise auf unsere Profile bei Instagram, TikTok, Facebook und LinkedIn. Eine Verbindung zum jeweiligen Netzwerk entsteht erst beim Anklicken; ab diesem Zeitpunkt gilt dessen Datenschutzerklärung. Für die Verarbeitung auf den dortigen Profilen besteht gemeinsame Verantwortlichkeit mit dem jeweiligen Betreiber; auf dessen Auswertungen besteht praktisch kein Einfluss.

13. Löschfristen im Überblick

• Server-Logfiles: sieben Tage
• Route und Foto bei abgebrochenem Bezahlvorgang: 14 Tage
• Koordinaten der Route und Foto: 90 Tage nach Ausführung der Bestellung
• Druckdatei: 7 Tage nach ihrer Erzeugung
• Rechnungs- und Buchhaltungsdaten: sechs bis zehn Jahre, gesetzlich vorgeschrieben
• Anfragen per E-Mail: nach Abschluss des Vorgangs
• Bestelldaten bei Shopify: sechs bis zehn Jahre, gesetzlich vorgeschrieben
• Nachweis einer Einwilligung: bis zu drei Jahre nach Widerruf, Änderung oder Ablauf
• Nachweis der Zustimmung zu AGB und Widerrufsbelehrung (Zeitpunkt und Fassung, ohne Personenbezug, Zuordnung nur über die Bestellung): so lange, wie Ansprüche aus dem Vertrag geltend gemacht werden können

14. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert, etwa durch Hinzutreten eines Dienstleisters. Es gilt die hier abrufbare Fassung.

Stand: 1. Oktober 2026