Datenschutzerklärung

§ 1. Verantwortlicher

Verantwortlicher für die personenbezogenen Daten, die im Dienst gorzko.app sowie in der Anwendung app.gorzko.app (im Folgenden zusammen: „Dienst“) verarbeitet werden, ist die Codewarbler spółka z ograniczoną odpowiedzialnością mit Sitz in Hadykówka, Anschrift: Hadykówka 140, 36-105 Cmolas, eingetragen in das Unternehmerregister des Landesgerichtsregisters (Krajowy Rejestr Sądowy, KRS), geführt vom Amtsgericht Rzeszów (Sąd Rejonowy w Rzeszowie), XII. Wirtschaftsabteilung des KRS, unter der Nummer KRS 0001174966, NIP 8141702783, REGON 541845968 (im Folgenden: „Verantwortlicher“).

Kontakt in allen Angelegenheiten, die personenbezogene Daten betreffen: [email protected] oder schriftlich an die Anschrift des Sitzes. Der Verantwortliche hat keinen Datenschutzbeauftragten benannt; er ist dazu nicht verpflichtet.

Definierte Begriffe (u. a. Organisator, Gast, Veranstaltung, Inhalte) haben die Bedeutung, die ihnen in den AGB gegeben wird.

§ 2. Zwecke, Rechtsgrundlagen und Dauer der Verarbeitung

a) Kontaktformular auf gorzko.app

Umfang: E-Mail-Adresse. Zweck: Bearbeitung der Anfrage und Hilfe bei der Einrichtung des Albums, einschließlich des Versands einer automatischen Bestätigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Anfrage der Person vor Abschluss eines Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Führen der Korrespondenz). Dauer: bis zum Abschluss der Bearbeitung der Anfrage, nicht länger als 12 Monate ab dem letzten Kontakt.

b) Konto des Organisators und Zahlungen

Umfang: Name, E-Mail-Adresse, Passwort (ausschließlich in Form eines kryptografischen bcrypt-Hashes gespeichert), Daten zu Veranstaltungen sowie beim Kauf — Zahlungshistorie (Betrag, PayU-Transaktionsnummer, Status, Zeitpunkt des Verlangens, mit der Erbringung der Dienstleistung vor Ablauf der Frist für den Rücktritt vom Vertrag zu beginnen) und die zusammen mit der Bestellung an PayU übermittelte IP-Adresse. Zweck: Abschluss und Erfüllung des Vertrags über die Erbringung elektronischer Dienstleistungen, einschließlich der Verifizierung der E-Mail-Adresse, der Wiederherstellung des Passworts, der für den Betrieb des Dienstes erforderlichen Nachrichten sowie der Abwicklung von Zahlungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Buchhaltungsunterlagen — Art. 6 Abs. 1 lit. c DSGVO; Geltendmachung und Abwehr von Ansprüchen — Art. 6 Abs. 1 lit. f DSGVO. Dauer: bis zur Löschung des Kontos (auf Verlangen, gemäß den AGB) und nach seiner Löschung — für die Dauer der Verjährungsfrist etwaiger Ansprüche. Daten, die Teil der Buchhaltungsunterlagen sind, werden 5 Jahre lang gespeichert, gerechnet ab dem Ende des Kalenderjahres, in dem die Frist für die Zahlung der Steuer abgelaufen ist.

c) Gästeliste und RSVP-Antworten

Umfang: Name der Einladung, Vor- und Nachnamen der eingeladenen Personen, Art der Person (Erwachsener, Kind, Begleitperson), Antwort auf die Einladung und ihr Datum, Angaben zur Ernährung, Nachricht an das Brautpaar, Notizen des Organisators, Gruppe sowie Platz am Tisch. Quelle: Die Daten gibt der Organisator ein (manuell oder durch Einfügen einer Tabelle); die Antwort, die Angaben zur Ernährung, den Vornamen der Begleitperson und die Nachricht kann die eingeladene Person selbst über den Link zu ihrer Einladung ergänzen. Zweck: dem Organisator die Vorbereitung der Hochzeit zu ermöglichen — das Führen der Gästeliste, das Sammeln der Antworten, die Planung des Saals und der Sitzordnung sowie den Druck des Tischplans und der Tischkarten; der QR-Code auf der Tischkarte ermöglicht der darauf genannten Person, dem Album beizutreten. Rechtsgrundlage:Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Organisators und des Verantwortlichen — Organisation der Hochzeit, zu der die Person eingeladen wurde). Die Angaben zur Ernährung dienen ausschließlich der Zubereitung der Mahlzeit. Das RSVP-Formular fragt nach Menüpräferenzen; Angaben zum Gesundheitszustand sollten darin nicht gemacht werden. Macht eine Person dennoch solche Angaben, werden sie ausschließlich zur Zubereitung der Mahlzeit verwendet; der Organisator sollte solche Angaben nicht ohne Einwilligung dieser Person eintragen. Die eingeladene Person kann die Angaben zur Ernährung löschen, indem sie ihre Antwort bis zum Ablauf der vom Brautpaar festgelegten Antwortfrist ändert, und nach deren Ablauf, indem sie sich an den Organisator oder an den Verantwortlichen wendet (§ 5). Dauer:bis zur Löschung der Daten durch den Organisator oder bis zu ihrer Löschung auf Verlangen des Organisators oder der Person, die sie betreffen (§ 5). Der Verantwortliche löscht diese Daten nicht von sich aus nach Ablauf einer bestimmten Zeit.

d) Gäste des Albums

Umfang: Vorname (Anzeigename), Telefonnummer, hinzugefügte Fotos, Videos und Bildunterschriften, Avatar, Reaktionen, optionale PIN (ausschließlich als bcrypt-Hash gespeichert), Aufrufe von Storys, Angaben zu den Telefonen, auf denen der Gast das Album nutzt (aus dem Browser ausgelesener Gerätetyp, Datum der letzten Nutzung), sowie zugehörige Metadaten. Zweck: Erbringung des Dienstes des gemeinsamen Albums — Identifizierung des Gastes im Rahmen der Veranstaltung, Anmeldung auf einem weiteren Telefon und Bereitstellung der Inhalte für die Teilnehmer der Veranstaltung. Die Telefonnummer dient der Wiedererkennung des Gastes sowie — wenn die Verifizierung per SMS-Code aktiviert ist — dem Versand eines einmaligen SMS-Codes an ihn (siehe lit. e); der Verantwortliche sendet an diese Nummer keine anderen Nachrichten, insbesondere keine Marketingnachrichten, und tätigt keine Anrufe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Erbringung der Dienstleistung der Teilnahme an der Veranstaltung) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Albums). Dauer:bis zur Löschung auf Verlangen des Organisators oder der Person, die die Daten betreffen (§ 5). Der Verantwortliche löscht diese Daten nicht von sich aus nach Ablauf einer bestimmten Zeit. Ein vom Gast gelöschter oder vom Organisator ausgeblendeter Inhalt ist im Album unverzüglich nicht mehr sichtbar, seine Datei verbleibt jedoch auf dem Server — und ist unter ihrer direkten Adresse für eine Person abrufbar, die diese Adresse kennt — bis zu ihrer Löschung auf ein in § 5 beschriebenes Verlangen. Entfernt der Organisator einen Gast aus dem Album, werden dessen Inhalte ausgeblendet, er wird auf allen Telefonen abgemeldet und seine Telefonnummer wird gesperrt, sodass er derselben Veranstaltung nicht erneut beitreten kann; die übrigen Daten seines Kontos und seine Inhalte werden nach den oben beschriebenen Grundsätzen gespeichert.

e) Verifizierung der Telefonnummer per SMS-Code

Der Anbieter des SMS-Versands verarbeitet die Daten im Auftrag des Verantwortlichen auf Grundlage eines Vertrags über die Auftragsverarbeitung (Art. 28 DSGVO), der zu den Bedingungen der Nutzungsbedingungen (regulamin) des Dienstes SMS-fly.pl geschlossen wurde. Solange die Verifizierung per SMS-Code nicht aktiviert ist, wird die Telefonnummer nicht verifiziert, es werden keine SMS versendet und die in diesem Punkt beschriebenen Daten werden nicht erhoben. Umfang: Telefonnummer, Veranstaltung, einmaliger sechsstelliger Code (ausschließlich als HMAC-Hash gespeichert, 10 Minuten gültig, höchstens fünf Versuche), Kennung des Telefons, auf dem der Code angefordert wurde (in Form eines Hashes), sowie ein Protokoll der versendeten Nachrichten: Nummer, Veranstaltung, Zweck (Beitritt oder Anmeldung), Kennung der Nachricht beim Anbieter, Kosten, Status und Zustellbericht. Das Protokoll enthält den Code nicht. Zweck: Bestätigung, dass die Person, die dem Album beitritt oder sich auf einem neuen Telefon anmeldet, Zugang zu der angegebenen Nummer hat — damit niemand das Album als eine andere Person betreten kann — sowie Begrenzung von Missbrauch (Begrenzung der Anzahl der Nachrichten) und Abrechnung der Versandkosten. Die Nachricht kommt vom Absender „gorzko.app“; der Code wird ausschließlich an Nummern aus Polen, den übrigen Staaten des Europäischen Wirtschaftsraums und dem Vereinigten Königreich versendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung beim Dienst) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Konten und Verhinderung von Missbrauch). Dauer: Codes — 7 Tage ab dem Versand; Protokoll der versendeten Nachrichten — 90 Tage ab dem Versand.

f) Sicherheit und technische Daten

Umfang: IP-Adresse (verwendet für die Begrenzung der Anzahl der Anfragen und von Cloudflare), Datum und Uhrzeit der Anfrage, Adresse der aufgerufenen Seite. Zweck: Gewährleistung der Sicherheit und der Kontinuität des Betriebs des Dienstes, einschließlich der Begrenzung der Anzahl der Anfragen, der Erkennung von Missbrauch und der Behebung von Störungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Dauer: Serverprotokolle werden bis zu 30 Tage gespeichert, Daten der Begrenzung der Anzahl der Anfragen — bis zu einer Stunde. Sicherungskopien der Datenbanken und Dateien werden bis zu 14 Tage gespeichert; daher verschwinden aus dem Dienst gelöschte Daten spätestens nach dieser Zeit aus den Sicherungskopien.

g) Besuchsstatistiken (Google Analytics 4)

Umfang: Daten über die Nutzung der Website gorzko.app, die mithilfe von Cookies erhoben werden — ausschließlich nach Erteilung der Einwilligung im Banner. Vor Erteilung der Einwilligung wird das Google-Analytics-Skript nicht geladen und es gelangen keine Daten an Google. Zweck: Statistik und Weiterentwicklung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 399 Abs. 1 des Gesetzes vom 12. Juli 2024 über die elektronische Kommunikation (Prawo komunikacji elektronicznej) (Einwilligung). Dauer: Die Einwilligung gilt 6 Monate, danach fragen wir erneut danach; die Google-Analytics-Cookies laufen zusammen mit ihr ab. Die auf Grundlage der Einwilligung erhobenen Daten werden in Google Analytics nicht länger als 14 Monate gespeichert; der Widerruf der Einwilligung beendet die weitere Erhebung und entfernt die Google-Analytics-Cookies aus dem Browser.

§ 3. Empfänger der Daten

1. Die Daten werden auf Servern des Verantwortlichen gespeichert, die sich in Deutschland (Europäischer Wirtschaftsraum) befinden.

2. Empfänger der Daten sind Stellen, die sie im Auftrag des Verantwortlichen verarbeiten: Cloudflare, Inc. (Schutz und Auslieferung des Netzwerkverkehrs, einschließlich der Dateien des Albums), Karolina Fiuk, die eine Gewerbetätigkeit unter der Firma PUH Karolina Fiuk (hostline.pl) mit Sitz in Lębork betreibt (E-Mail), PROMOHUB sp. z o.o. mit Sitz in Warszawa (KRS 0001077455), Betreiberin des Dienstes SMS-fly.pl (Versand der SMS-Codes, ab der Aktivierung der in § 2 lit. e beschriebenen Verifizierung), sowie — ausschließlich im Umfang der Einwilligung — Google Ireland Ltd. (Statistiken). Die SMS stellt außerdem der Betreiber des Mobilfunknetzes zu, in dem die Nummer des Empfängers betrieben wird.

3. Daten zu Zahlungen verarbeitet die PayU S.A. mit Sitz in Poznań, die im Rahmen der Abwicklung der Zahlungen ein eigenständiger Verantwortlicher ist und darüber in ihrer Datenschutzerklärung informiert.

4. Im Rahmen des Dienstes sehen andere Nutzer Daten: der Organisator — die Gästeliste mit den Antworten sowie die Konten im Album (Vorname, Telefonnummer, Telefone, auf denen der Gast das Album nutzt, und Inhalte); die Teilnehmer der Veranstaltung — Vorname, Avatar, Reaktionen und Inhalte des Gastes.

5. Die Daten können Behörden offengelegt werden, die dazu auf Grundlage gesetzlicher Vorschriften befugt sind. Der Verantwortliche verkauft keine personenbezogenen Daten.

§ 4. Übermittlung von Daten außerhalb des EWR

1. Im Zusammenhang mit der Nutzung der Dienste von Cloudflare und Google kann es zu einer Übermittlung von Daten in die Vereinigten Staaten kommen. Grundlage der Übermittlung ist der Beschluss der Europäischen Kommission über die Angemessenheit des Schutzniveaus im Rahmen des EU-U.S. Data Privacy Framework (beide Anbieter verfügen über eine aktive Zertifizierung) und ergänzend — die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

2. Ein an eine Nummer aus dem Nummernraum des Vereinigten Königreichs (+44) gesendeter SMS-Code wird von einem Betreiber im Vereinigten Königreich oder auf der Isle of Man, Jersey oder Guernsey zugestellt — für jedes dieser Gebiete gilt ein Beschluss der Europäischen Kommission über die Angemessenheit des Schutzniveaus. Der Anbieter des SMS-Versands wickelt den Versand über Server in Deutschland ab; gemäß seiner Datenschutzerklärung erfolgt eine etwaige Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums unter Anwendung geeigneter Garantien, einschließlich der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Informationen über diese Garantien sind erhältlich, wenn Sie an die Adresse [email protected] schreiben.

§ 5. Rechte der betroffenen Personen

1. Jeder Person steht das Recht zu auf: Auskunft über die Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) sowie Übertragbarkeit der auf Grundlage eines Vertrags oder einer Einwilligung verarbeiteten Daten (Art. 20). Jeder Person steht außerdem das Recht zu, jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO einzulegen (Art. 21 DSGVO). Die Einwilligung kann jederzeit widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

2. Ein Verlangen kann an die Adresse [email protected] oder schriftlich an die Anschrift des Sitzes gerichtet werden. Der Verantwortliche antwortet unverzüglich, spätestens innerhalb eines Monats, und kann um Informationen bitten, die zur Bestätigung der Identität erforderlich sind — zum Beispiel um die Telefonnummer und den Namen der Veranstaltung. Eine Person auf der Gästeliste kann sich auch direkt an den Organisator wenden, der ihre Daten berichtigen oder löschen kann.

3. Der betroffenen Person steht das Recht auf Beschwerde beim Präsidenten des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych, PUODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa (uodo.gov.pl), zu.

§ 6. Freiwilligkeit der Angabe von Daten

Die Angabe der Daten ist freiwillig, jedoch jeweils erforderlich für: die Bearbeitung der Anfrage (Formular), die Einrichtung eines Kontos (Organisator) oder die Teilnahme am Album der Veranstaltung (Gast) — einschließlich der Angabe einer Telefonnummer und, wenn die Verifizierung per SMS-Code aktiviert ist, einer Nummer, unter der ein SMS-Code empfangen werden kann. Die Antwort auf die Einladung und die Angaben zur Ernährung sind freiwillig. Die Einwilligung in die Statistiken ist vollständig freiwillig und keine Voraussetzung für die Nutzung des Dienstes.

§ 7. Automatisierte Entscheidungen und Profiling

Der Verantwortliche trifft gegenüber Personen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhen und ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Der Vorschlag für die Sitzordnung der Gäste ist lediglich eine Empfehlung für den Organisator, der über seine Anwendung entscheidet.

§ 8. Kinder

Der Dienst richtet sich nicht an Kinder. Die Gästeliste kann vom Organisator eingegebene Vornamen von Kindern enthalten, und Inhalte im Album können bei der Hochzeit anwesende Kinder zeigen. Die Rechte des Kindes in Bezug auf seine Daten üben die Eltern oder Erziehungsberechtigten aus, einschließlich des Verlangens nach Löschung von Inhalten in der in § 5 beschriebenen Weise. Inhalte können auch andere bei der Hochzeit anwesende Personen zeigen; Quelle dieser Daten ist der Gast, der den Inhalt hinzugefügt hat.

§ 9. Cookies und ähnliche Technologien

1. Die Website gorzko.app verwendet zwei Kategorien von Speicherungen im Endgerät:

a) notwendige — ein Eintrag im Speicher des Browsers (localStorage, Schlüssel gorzko.consent), der die Entscheidung über Cookies, ihr Datum, die Art ihrer Abgabe und die Version des Einwilligungsfensters speichert; der Eintrag wird weder an den Verantwortlichen noch an sonst jemanden gesendet und verliert nach 6 Monaten oder nach einer Änderung der Version des Fensters seine Gültigkeit — dann fragt die Website erneut. Er erfordert keine Einwilligung (Art. 399 Abs. 3 Nr. 2 des Gesetzes über die elektronische Kommunikation);

b) analytische — Cookies von Google Analytics 4 (Anbieter: Google Ireland Ltd.): _ga, der Browser voneinander unterscheidet, sowie _ga_9Q6Z1SWJ48, der den Status des Besuchs speichert; sie werden ausschließlich nach Erteilung der Einwilligung gesetzt und laufen zusammen mit ihr ab, spätestens nach 6 Monaten. Die Werbesignale von Google sind deaktiviert. Die Übermittlung von Daten in die USA beschreibt § 4.

2. Beim ersten Besuch fragt die Website nach der Einwilligung; die Schaltflächen „Alle akzeptieren“ und „Alle ablehnen“ sind gleichrangig, und in den „Einstellungen“ können Kategorien ausgewählt werden. Das Schließen des Einwilligungsfensters (mit der Schaltfläche „ד oder der Esc-Taste) bedeutet, dass keine Einwilligung erteilt wird. Die Einwilligung kann jederzeit geändert oder widerrufen werden, indem Sie auf „Cookie-Einstellungen“ in der Fußzeile der Startseite, unterhalb der AGB oder hier klicken: Cookie-Einstellungen. Der Widerruf der Einwilligung schaltet die Statistiken in allen geöffneten Tabs der Website sofort ab und entfernt die Google-Analytics-Cookies. Die Anwendung app.gorzko.app verwendet keine Analyse- oder Werbe-Cookies; sie nutzt lediglich eine technische Speicherung der Sitzung und der Einstellungen im Speicher des Browsers, die für den Betrieb des Dienstes erforderlich ist (Art. 399 Abs. 3 Nr. 2 des Gesetzes über die elektronische Kommunikation).

§ 10. Änderungen der Datenschutzerklärung

Über wesentliche Änderungen dieser Datenschutzerklärung informiert der Verantwortliche auf dieser Seite und Kontoinhaber zusätzlich per E-Mail. Die aktuelle Fassung gilt ab dem eingangs angegebenen Datum.

§ 11. Änderungen in dieser Fassung

Gegenüber der Fassung vom 18. August 2026: Die Verifizierung der Telefonnummer per SMS-Code und der Anbieter des SMS-Versands wurden hinzugefügt (§ 2 lit. e, § 3, § 4); beschrieben wurden die Gästeliste und die RSVP-Antworten (§ 2 lit. c), Zahlungen über PayU (§ 2 lit. b, § 3) sowie Protokolle und Sicherungskopien (§ 2 lit. f); präzisiert wurde, wie Inhalte des Albums gelöscht werden (§ 2 lit. d) und wie Anträge gestellt werden (§ 5); § 8 über Kinder wurde hinzugefügt; Google Analytics wird erst nach Erteilung der Einwilligung geladen, die Einwilligung gilt 6 Monate und kann in den „Cookie-Einstellungen“, die beide Kategorien von Speicherungen beschreiben, geändert oder widerrufen werden (§ 2 lit. g, § 9); die Rechtsgrundlage für Cookies wurde auf das Gesetz über die elektronische Kommunikation aktualisiert; die Anschrift des PUODO wurde aktualisiert.