Datenschutzerklärung

Dario Khojaste-Mohtachem (Cosmokid)
Schillerstraße 35
10627 Berlin
Deutschland
E-Mail: hallo@cosmokid.de

Für alle Fragen zum Datenschutz erreichst du uns unter hallo@cosmokid.de. Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten müssen wir nicht benennen.

• Die Daten deines Kindes verwenden wir nur, um die bestellten Karten und die Geschichte zu erstellen.
• Keine Werbung mit den Daten des Kindes, keine Profilbildung, kein Verkauf von Daten.
• Keine Analyse- oder Tracking-Dienste, keine Tracking-Cookies.
• Deine Daten kannst du jederzeit selbst herunterladen oder löschen: auf Meine Daten oder per E-Mail.

Beim Aufruf der Website verarbeitet unser Hoster Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Kennung und die zuvor besuchte Seite. Zweck ist die Auslieferung der Website, die Fehlersuche und der Schutz vor Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Logdaten werden automatisch gelöscht, spätestens nach 30 Tagen.

Gegen massenhafte Anfragen zählen wir Bestell- und Formularaufrufe je IP-Adresse eine Minute lang im Arbeitsspeicher des Servers; danach ist der Zähler weg.

Die Schriftarten liegen auf unserem eigenen Server. Beim Aufruf der Website wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut.

Für die Karten fragen wir im Bestellformular ab: Vorname und Geburtsdatum des Kindes, optional Geburtszeit und Geburtsort, optional Vorlieben (z. B. Lieblingstier, Lieblingsessen, Lieblingsserie, Traumberuf, Hobby), bei der Sternenwelt die Geburtsdaten von Mama und Papa, bei einer Geschwisterkarte Vorname und Geburtsdatum des Geschwisterkinds. Dazu kommt deine E-Mail-Adresse für Bestätigung und Lieferung, gegebenenfalls ein Gutschein- oder Empfehlungscode.

Diese Angaben machen Eltern oder andere Erwachsene, die die Karte bestellen oder verschenken. Wir verwenden sie ausschließlich, um die bestellten Karten und die Geschichte zu erstellen, auszuliefern und auf Wunsch zu korrigieren. Das Kind selbst kontaktieren wir nie. Bitte gib nur Daten von Kindern an, für die du sorgeberechtigt bist oder deren Eltern einverstanden sind.

Rechtsgrundlage für deine eigenen Daten ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten des Kindes und der anderen Familienmitglieder ist es unser berechtigtes Interesse und das der bestellenden Person, den gewünschten Auftrag auszuführen (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Angaben können wir keine persönliche Karte erstellen.

Bevor wir die Karten freischalten, sehen wir sie uns an. Über eine neue Bestellung informiert uns eine interne Nachricht, die nur den Anfangsbuchstaben des Vornamens, das Sternenwesen und das Paket enthält.

Kartentexte, Geschichte und Sternenwesen-Bild entstehen mithilfe von KI-Diensten (Liste unter Punkt 10). Dabei schützen wir die Daten deines Kindes: Der Text-KI übermitteln wir statt des echten Vornamens einen Ersatznamen, den wir erst auf unserem Server wieder ersetzen. Das Geburtsdatum verlässt unseren Server nicht; die KI bekommt nur die daraus berechneten Sternzeichen. Die Bild-KI bekommt weder Name noch Geburtsdatum. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), weil die KI-gestützte Erstellung die bestellte Leistung ist, für die Daten des Kindes Art. 6 Abs. 1 lit. f DSGVO wie oben. Eine automatisierte Entscheidung mit rechtlicher Wirkung findet nicht statt.

Bezahlt wird über Paddle.com Market Ltd, Judd House, 18–29 Mora Street, London EC1V 8BT, Vereinigtes Königreich. Paddle ist als Wiederverkäufer Vertragspartner beim Kauf und verarbeitet die Daten, die du im Bezahlformular eingibst (z. B. Name, E-Mail-Adresse, Land, Zahlungsdaten), als eigener Verantwortlicher. Auf der Bezahlseite lädt dafür das Bezahlformular von Paddle. Wir erhalten von Paddle nur Bestellnummer, Betrag und Zahlungsstatus, keine Zahlungsdaten. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Details stehen in der Datenschutzerklärung von Paddle.

Rechtsgrundlage für die Übermittlung der Bestelldaten an Paddle ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Nach der Lieferung schicken wir dir eine Willkommensmail und drei kurze Mails mit Ideen rund um das Sternenwesen deines Kindes, zum Kartedex und zu unserem Empfehlungsprogramm (nach etwa 2, 5 und 10 Tagen). Rechtsgrundlage ist unser berechtigtes Interesse an der Pflege der Kundenbeziehung (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Darauf weisen wir schon im Bestellformular hin.

Du kannst dieser Verwendung deiner E-Mail-Adresse jederzeit widersprechen, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen: beim Bestellen mit dem Häkchen „Keine weiteren Mails“, über den Abmeldelink in jeder dieser Mails (ein Klick genügt) oder per E-Mail an hallo@cosmokid.de. Damit wir den Widerspruch dauerhaft beachten können, speichern wir dafür nur deine E-Mail-Adresse und den Zeitpunkt.

Nutzt du das Empfehlungsprogramm, speichern wir deinen Empfehlungscode, wer ihn eingelöst hat und das daraus entstandene Guthaben. Das Guthaben ziehen wir bei deiner nächsten Bestellung mit derselben E-Mail-Adresse automatisch ab. Beim Kauf eines Gutscheins speichern wir deine E-Mail-Adresse, das Paket und den Code. Rechtsgrundlage ist jeweils die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Bestell- und Kartendaten speichern wir, solange deine Karten und die Geschichte über deinen Link abrufbar sein sollen, also bis du sie löschst oder ihre Löschung verlangst.

Löschen geht jederzeit selbst: Auf Meine Daten gibst du Bestellnummer und E-Mail-Adresse ein und bekommst einen Bestätigungslink an diese Adresse. Darüber lädst du alle gespeicherten Daten als Datei herunter oder löschst sie. Eine formlose E-Mail an hallo@cosmokid.de genügt ebenso.

Beim Löschen entfernen wir Namen und Geburtsdaten von Kind, Geschwisterkind und Eltern, Vorlieben, Kartentexte, Sternenwesen-Bilder, Karten, Geschichten und deine E-Mail-Adresse. Erhalten bleiben nur die Angaben, die wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen (Bestellnummer, Paket, Betrag, Zeitpunkt, Zahlungsbeleg bei Paddle), gesperrt bis zum Ablauf der gesetzlichen Frist von bis zu zehn Jahren (§ 147 AO, § 257 HGB). Die Widerspruchsliste für Folgemails bleibt bestehen, damit dein Widerspruch wirkt.

Für den Betrieb setzen wir folgende Dienstleister ein. Sie verarbeiten die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) und nur für die genannten Zwecke. Paddle ist eigener Verantwortlicher (Punkt 6). An Dritte zu Werbezwecken geben wir nichts weiter.

• Vercel Inc.

  Sitz: Covina, Kalifornien, USA

  Zweck: Hosting der Website, Ausführung der Serverfunktionen (Bestellung, Kartenerstellung), Server-Logdaten.

  Daten: Alle Daten, die beim Aufruf der Website und beim Bestellen anfallen.

  Drittland: USA. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), vereinbart im Auftragsverarbeitungsvertrag des Anbieters.

• Supabase Inc.

  Sitz: Singapur (Datenbank-Region Frankfurt am Main, EU)

  Zweck: Datenbank und Dateiablage für Bestellungen, Karten, Geschichten und die Widerspruchsliste.

  Daten: Bestell- und Kartendaten, E-Mail-Adresse, erstellte Bilder, Karten und Geschichten.

  Drittland: Die Daten liegen in Frankfurt. Für mögliche Zugriffe von außerhalb der EU: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), vereinbart im Auftragsverarbeitungsvertrag des Anbieters.

• Anthropic (KI-Texte)

  Sitz: Anthropic Ireland, Limited, Dublin, Irland; Verarbeitung durch Anthropic PBC, San Francisco, USA

  Zweck: Erzeugung der Kartentexte und der Gutenachtgeschichte.

  Daten: Ein Ersatz-Vorname statt des echten Namens, die aus dem Geburtsdatum berechneten Sternzeichen und die angegebenen Vorlieben. Der echte Vorname und das Geburtsdatum werden nicht übermittelt.

  Drittland: USA. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), vereinbart im Auftragsverarbeitungsvertrag des Anbieters.

• OpenAI (KI-Bilder)

  Sitz: OpenAI Ireland Ltd, Dublin, Irland; Verarbeitung durch OpenAI, L.L.C., San Francisco, USA

  Zweck: Erzeugung des Sternenwesen-Bilds, sofern es nicht schon in unserer eigenen Bildsammlung vorliegt.

  Daten: Sternzeichen, aus den Vorlieben abgeleitete Bildmotive (z. B. ein Gegenstand passend zum Traumberuf) und ein rechnerisch erzeugter Zahlenwert. Kein Name, kein Geburtsdatum.

  Drittland: USA. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), vereinbart im Auftragsverarbeitungsvertrag des Anbieters.

• Resend (E-Mail-Versand)

  Sitz: Plus Five Five, Inc., San Francisco, USA; Versand über Server in Irland (EU)

  Zweck: Versand der Bestell- und Liefermails, der Folgemails und der Bestätigungslinks für Datenexport und Löschung; außerdem interne Hinweise an den Betreiber, dass ein neues Sternenwesen vor der Auslieferung angesehen werden soll (darin nur Anfangsbuchstabe des Vornamens, Name des Sternenwesens, Paket und ein Link zum Freigabe-Arbeitsplatz).

  Daten: E-Mail-Adresse, Vorname des Kindes (in der Liefermail), Bestellnummer, Links zu den Karten.

  Drittland: Für mögliche Zugriffe aus den USA: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), vereinbart im Auftragsverarbeitungsvertrag des Anbieters.

Wir setzen keine Analyse-, Werbe- oder Tracking-Cookies ein und binden keine solchen Dienste ein. Deshalb gibt es kein Cookie-Banner.

Die Seite speichert einige Angaben lokal in deinem Browser, damit sie sich wie eine Anwendung verhält: ob du die Eingangs-Sequenz schon gesehen hast, ob Klang und Bewegung an oder aus sind und welche Sternenwesen du im Kartedex entdeckt hast. Diese Angaben bleiben auf deinem Gerät, werden nicht an uns übertragen und dienen weder der Wiedererkennung noch der Profilbildung (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit über die Website-Daten deines Browsers löschen.

Auf der Bezahlseite kann das Bezahlformular von Paddle eigene, für die Zahlung und die Betrugsvorbeugung notwendige Cookies setzen. Dafür ist Paddle verantwortlich (Punkt 6).

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Auskunft und eine Kopie deiner Daten bekommst du direkt auf Meine Daten.

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Der Verwendung deiner E-Mail-Adresse für Folgemails kannst du ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO, Punkt 7).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.