Datenschutzerklärung

Hier erfahren Sie, welche personenbezogenen Daten im Zusammenhang mit dieser Website und meiner fotografischen Tätigkeit verarbeitet werden, wofür sie benötigt werden und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die in dieser Erklärung beschriebenen eigenen Verarbeitungsvorgänge ist:

Lorenz Gempper
Lersnerstr. 41
60322 Frankfurt am Main
Deutschland
Telefon: 0176 568 755 01
E-Mail: kontakt@main-eventfotograf.de

2. Welche Daten verarbeitet werden

Personenbezogene Daten sind Angaben, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu können Kontaktdaten, technische Verbindungsdaten und Fotografien erkennbarer Personen gehören.

Beim Besuch dieser Website, bei einer Anfrage und im Rahmen eines Auftrags fallen je nach Nutzung unterschiedliche Daten an. Kontaktdaten und Veranstaltungsangaben erhalte ich von Ihnen oder Ihren Ansprechpartnern beim Veranstalter. Fotografien entstehen während des vereinbarten Einsatzes. Für Auswahl, Bearbeitung, Übergabe und Archivierung nutze ich die nachfolgend beschriebenen Programme und Dienste.

Bei Veranstaltungen kann zusätzlich der Veranstalter für eigene Verarbeitungsvorgänge verantwortlich sein. Die jeweiligen Zuständigkeiten werden auftragsbezogen geklärt; diese Website-Erklärung ersetzt nicht automatisch die Informationen für Veranstaltungsgäste.

3. Zwecke und Rechtsgrundlagen

Für Anfragen, die auf einen Vertrag mit Ihnen gerichtet sind, und für die Durchführung eines solchen Vertrags kommt Art. 6 Abs. 1 Buchst. b DSGVO zur Anwendung. Die Kommunikation mit Ansprechpersonen eines Unternehmens kann auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen; berechtigtes Interesse ist die Bearbeitung geschäftlicher Anfragen und Aufträge.

• Soweit eine Verarbeitung zur Erfüllung gesetzlicher Pflichten erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO.
• Eine erteilte Einwilligung bildet im betreffenden Umfang die Grundlage nach Art. 6 Abs. 1 Buchst. a DSGVO.

Ich verarbeite Veranstaltungsfotos, um den vereinbarten Auftrag auszuführen: von der Aufnahme über Auswahl und Bearbeitung bis zur Übergabe der Bilder. Soweit ich hierfür datenschutzrechtlich verantwortlich bin und die abgebildete Person selbst mein Vertragspartner ist, beruht die für diesen Vertrag erforderliche Verarbeitung auf Art. 6 Abs. 1 Buchst. b DSGVO.

Für Aufnahmen anderer Veranstaltungsteilnehmer kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Berechtigte Interessen sind die fotografische Dokumentation der Veranstaltung und die vereinbarte Veranstaltungs- und Unternehmenskommunikation des Auftraggebers. Voraussetzung ist, dass die konkrete Verarbeitung dafür erforderlich ist und keine überwiegenden Interessen oder Rechte der abgebildeten Personen entgegenstehen. Dabei sind insbesondere Veranstaltungsart, Aufnahmesituation, berechtigte Erwartungen der Gäste und die vorgesehene Verwendung zu berücksichtigen. Die bloße Teilnahme an einer Veranstaltung gilt nicht als Einwilligung.

Eine Veröffentlichung für meine eigene Werbung oder Referenzdarstellung ist ein gesonderter Zweck. Ich spreche diese Nutzung im Angebot an und stimme nach dem Event die konkrete Bildauswahl mit dem Auftraggeber ab. Bilder erkennbarer Personen dürfen hierfür nur verwendet werden, soweit eine entsprechende Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO oder eine im Einzelfall geprüfte andere gesetzliche Erlaubnis vorliegt. Eine Einwilligung muss die vorgesehenen Bilder, Zwecke und Veröffentlichungswege, etwa Website oder soziale Medien, abdecken. Eine Freigabe des Auftraggebers ersetzt die erforderliche Zustimmung abgebildeter Personen nur, wenn er nachweislich für diese handeln darf. Hinweise zu Widerruf und Widerspruch finden Sie in Abschnitt 9.

Für Bildbearbeitung, Onlinegalerie und Archivierung nutze ich die in den Abschnitten 7 und 11 beschriebenen Dienste. Auch deren Einsatz muss durch die für den jeweiligen Vorgang geltende Rechtsgrundlage gedeckt sein. Die befristete Archivierung dient der erneuten Bereitstellung ausgelieferter Bilder. Soweit sie gegenüber einer betroffenen Person nicht zur Vertragserfüllung erforderlich ist, kommt hierfür Art. 6 Abs. 1 Buchst. f DSGVO nur bei entsprechender Erforderlichkeit und Interessenabwägung in Betracht. Eine Veröffentlichungsfreigabe erlaubt nicht automatisch sämtliche Cloud-Verarbeitungen.

Falls die konkrete Verarbeitung besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betrifft, müssen zusätzlich die dortigen Voraussetzungen erfüllt sein, beispielsweise durch eine ausdrückliche Einwilligung oder eine andere einschlägige Ausnahme.

4. Kontaktaufnahme und Anfrageformular

Wenn Sie mir eine Anfrage schicken, verarbeite ich die von Ihnen übermittelten Kontaktdaten und Angaben zu Ihrer Veranstaltung, um zu antworten und gegebenenfalls ein Angebot vorzubereiten. Für das Formular werden Name und E-Mail-Adresse benötigt. Weitere Angaben sind freiwillig, soweit sie nicht als Pflichtfeld gekennzeichnet sind. Ohne eine Rückkontaktmöglichkeit kann ich eine Anfrage nicht beantworten.

Das Kontaktformular wird mit Contact Form 7 bereitgestellt. Zusätzlich ist in CF7 Apps die Honeypot-Funktion aktiviert: Ein verborgenes Formularfeld dient der Erkennung automatisierter Eingaben. Die Funktion „Entries“ zur Datenbankablage und die Weitergabe per Webhook sind deaktiviert. Der Versand der Formularnachrichten erfolgt mit WP Mail SMTP über den SMTP-Server von STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Für Empfang und Bearbeitung meiner E-Mails nutze ich Google Workspace mit Gmail; eine zusätzliche Weiterleitung an ein privates @gmail.com-Postfach erfolgt nicht. Verarbeitet werden insbesondere Absender- und Empfängeradresse, Nachrichteninhalt, gegebenenfalls Anhänge sowie technische Versanddaten. Die Rechtsgrundlage richtet sich nach der Art der Anfrage, wie in Abschnitt 3 erläutert.

Die Formularangaben werden zur Zustellung der Nachricht an die beteiligten E-Mail-Dienste übermittelt. Die deaktivierte Datenbankablage von CF7 Apps bedeutet nicht, dass auch die empfangenen E-Mails oder technische Versanddaten ungespeichert bleiben. Für die Aufbewahrung der Korrespondenz gelten die in Abschnitt 11 beschriebenen Zwecke und Kriterien.

Sie können mich außerdem über die Standardversion von WhatsApp kontaktieren. Dabei verarbeite ich Ihre Telefonnummer, gegebenenfalls Ihren Profilnamen und die von Ihnen übermittelten Nachrichten und Dateien zur Bearbeitung Ihres Anliegens. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. WhatsApp verarbeitet daneben eigene Nutzungs- und Verbindungsdaten. Sie können stattdessen jederzeit E-Mail oder Telefon verwenden. Anbieterinformationen: https://www.whatsapp.com/legal/privacy-policy-eea

Für die Bearbeitung Ihrer WhatsApp-Anfrage gelten die in Abschnitt 3 beschriebenen Rechtsgrundlagen für Anfragen und geschäftliche Kommunikation. Die Nutzung dieses Kontaktwegs ist freiwillig. Eine Nachricht über WhatsApp ist keine pauschale Einwilligung in Werbung, Bildveröffentlichungen oder eine davon unabhängige Nutzung Ihrer Daten. Die Aufbewahrung der bei mir vorhandenen Korrespondenz richtet sich nach Abschnitt 11. Die Verarbeitung durch WhatsApp kann auch außerhalb des Europäischen Wirtschaftsraums erfolgen; dazu informiert die verlinkte Datenschutzerklärung des Anbieters.

5. Cookies, Einwilligungen und Reichweitenmessung

Zur Verwaltung der Cookie-Auswahl nutze ich Complianz | GDPR/CCPA Cookie Consent. Das Plugin verwendet Speicher auf Ihrem Endgerät, um beispielsweise Ihre Auswahl und den Status des Hinweises zu berücksichtigen. Anbieter des Plugins ist Complianz B.V., Kalmarweg 14-5, 9723 JG Groningen, Niederlande. Zweck ist es, Ihre Datenschutzauswahl zu berücksichtigen und erforderliche Einwilligungen zu verwalten. Soweit dabei personenbezogene Daten zur Erfüllung gesetzlicher Nachweispflichten verarbeitet werden, beruht dies auf Art. 6 Abs. 1 Buchst. c DSGVO; die technische Bereitstellung der Auswahlverwaltung dient dem berechtigten Interesse an einem funktionsfähigen Datenschutzangebot nach Art. 6 Abs. 1 Buchst. f DSGVO.

• Soweit für die Speicherung oder den Zugriff auf Informationen auf Ihrem Endgerät eine Einwilligung erforderlich ist, richtet sich dies nach § 25 Abs. 1 TDDDG.
• Für unbedingt erforderliche Vorgänge können die Ausnahmen des § 25 Abs. 2 TDDDG gelten.
• Eine anschließende Verarbeitung personenbezogener Daten benötigt daneben eine passende Rechtsgrundlage nach der DSGVO.

Für die Speicherung der Cookie-Auswahl ist in der Complianz-Konfiguration eine Laufzeit von 365 Tagen eingestellt. Dieser Wert ist keine einheitliche Speicherfrist sämtlicher Website-Dienste. Sie können gespeicherte Cookies und Website-Daten über die Einstellungen Ihres Browsers löschen; dadurch kann die Abfrage Ihrer Auswahl erneut erscheinen. Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Die Löschung im Browser entfernt nicht automatisch bereits an Dienstleister übermittelte Daten.

Für die Auswertung meiner Sichtbarkeit in der Google-Suche nutze ich Google Search Console. Dort werden Suchleistungsdaten wie Suchanfragen, Impressionen und Klicks ausgewertet. Diese Nutzung ist von einer in die Website eingebundenen Besucheranalyse wie Google Analytics zu unterscheiden.

Google Search Console dient der Auswertung von Suchergebnissen bei Google. Allein für diese Auswertung wird kein Google-Analytics-Trackingcode auf dieser Website benötigt. Die auf der Website eingebundenen externen Dienste werden gesondert in Abschnitt 8 beschrieben.

6. Hosting und technische Protokolle

Diese Website wird bei WPspace, Broll IT & Media GmbH, Universitätsstraße 3, 56070 Koblenz, Deutschland, betrieben. Beim Abruf werden die für die Bereitstellung und Absicherung der Website benötigten technischen Daten verarbeitet. Dazu gehört insbesondere die IP-Adresse, damit der Server die angeforderten Inhalte an Ihren Browser übermitteln kann. Zweck und berechtigtes Interesse sind der sichere und funktionsfähige Betrieb der Website. Die hierfür erforderliche Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO.

Technische Verbindungs- und Protokolldaten dienen der Auslieferung der Website, der Fehleranalyse und der Abwehr missbräuchlicher Zugriffe. Für ihre Aufbewahrung ist maßgeblich, wie lange die Daten für diese Zwecke erforderlich sind. Bei einem konkreten Sicherheitsvorfall kann eine längere Aufbewahrung der zur Untersuchung und Beweissicherung erforderlichen Daten notwendig sein. Protokolldaten dürfen nicht allein wegen ihrer technischen Verfügbarkeit unbegrenzt aufbewahrt werden.

Für Weiterleitungen und die Behandlung nicht gefundener Seiten nutze ich Redirection. Zur Optimierung der Auslieferung sind AccelerateWP und Autoptimize eingebunden. Diese Funktionen dienen der Erreichbarkeit und der effizienten technischen Bereitstellung der Website.

Soweit bei diesen Funktionen personenbezogene technische Daten zur Fehlerbehebung und Absicherung verarbeitet werden, ist der zuverlässige Betrieb der Website das berechtigte Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO. Für Zugriffe auf Informationen im Endgerät gelten zusätzlich die in Abschnitt 5 beschriebenen Voraussetzungen. Eine technische Protokollierung ist von einer Auswertung des Besucherverhaltens zu Werbezwecken zu unterscheiden.

7. Empfänger und eingesetzte Dienstleister

Zur technischen Bereitstellung, Kommunikation, Auftragsabwicklung und Bildübergabe können die jeweils beschriebenen Dienstleister Daten erhalten.

• Soweit Dienstleister Daten weisungsgebunden verarbeiten, sind die Anforderungen an eine Auftragsverarbeitung zu beachten.
• Andere Empfänger können für eigene Verarbeitungsvorgänge verantwortlich sein.

Zu den eingesetzten Diensten gehören WPspace für das Hosting, STRATO für den E-Mail-Versand der Website, Google Workspace mit Gmail für die E-Mail-Bearbeitung, WhatsApp für dort geführte Gespräche, PicDrop für die Bildübergabe und Microsoft OneDrive im Tarif Microsoft 365 Family für das Bildarchiv. Für die Bildbearbeitung nutze ich Evoto und Apple Fotos mit aktiviertem iCloud-Fotos. Rechnungen erstelle ich mit Microsoft Word. Externe Website-Einbindungen werden in Abschnitt 8 erläutert.

Evoto wird zur Bearbeitung und Retusche von Fotografien eingesetzt. Zusätzliche Cloud-Speicher- und Synchronisationsfunktionen von Evoto nutze ich nicht. Der Anbieter nennt für Nutzer außerhalb der USA grundsätzlich TRUESIGHT PTE. LTD. Nach seiner aktuellen Beschreibung werden bereits beim Import in die Desktop-Anwendung verkleinerte Bildkopien zur Cloud-Analyse übertragen. Dabei entstehen vorübergehende Daten über Gesichts- und Körperregionen für die Bearbeitung. Nach der Anbieterbeschreibung werden diese verkleinerten Bildkopien nach Abschluss der Verarbeitung gelöscht; die zugehörigen Erkennungsdaten können höchstens acht Tage zwischengespeichert werden. Für gespeicherte Nutzerdaten nennt Evoto AWS-Server in Oregon, USA. Weitere Informationen: https://res.evoto.ai/protocol/en/evoto/privacy

Für die Verwaltung und Bearbeitung meiner Fotos nutze ich außerdem Apple Fotos mit eingeschaltetem iCloud-Fotos. Dadurch werden die betroffenen Fotos, Videos und Dateimetadaten in iCloud gespeichert und zwischen den dafür eingerichteten Geräten synchronisiert. Für Nutzer in Deutschland nennt Apple die Apple Distribution International Limited in Cork, Irland, als zuständige Gesellschaft. Diese Speicherung ist von der Übergabe in PicDrop und dem OneDrive-Archiv zu unterscheiden. Informationen: https://www.apple.com/de/legal/privacy/data/de/photos/

Die Bildbearbeitung dient der Auswahl, Korrektur und Fertigstellung der vereinbarten Fotografien; die Synchronisation dient ihrer Verwaltung und Verfügbarkeit auf meinen eingerichteten Geräten. Die Rechtsgrundlagen richten sich nach dem jeweiligen Auftrag und der Stellung der abgebildeten Person, wie in Abschnitt 3 erläutert. Die Speicherzwecke der Bearbeitungsdateien und Rohaufnahmen unterscheiden sich von der befristeten Aufbewahrung der ausgelieferten Bilder im Archiv.

Die eingesetzten internationalen Dienste können Daten auch außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums verarbeiten. Bei Evoto nennt der Anbieter insbesondere Server in den USA. Für solche Übermittlungen sind neben der Rechtsgrundlage der eigentlichen Verarbeitung die Voraussetzungen der Art. 44 ff. DSGVO zu beachten. Ein Angemessenheitsbeschluss ist nur im jeweiligen Anwendungsbereich maßgeblich; bei einer Übermittlung an einen US-Empfänger umfasst dies gegebenenfalls dessen einschlägige Zertifizierung. Standardvertragsklauseln kommen nur bei wirksamer Einbeziehung und unter Beachtung der weiteren Anforderungen als Garantie in Betracht. Eine bloße Zustimmung zum Fotoauftrag ersetzt diese Voraussetzungen nicht. Evoto veröffentlicht Vertragsinformationen unter https://res.evoto.ai/protocol/en/evoto/findme. Weitere Anbieterinformationen finden Sie bei Google, Microsoft und Apple. Für Auskünfte zur Verarbeitung Ihrer Daten können Sie sich an mich wenden.

8. Spamschutz, externe Inhalte und Links

Zum Schutz der Formulare vor automatisierten Anfragen nutze ich Cloudflare Turnstile, eingebunden über „Simple CAPTCHA with Cloudflare Turnstile“. Anbieter ist Cloudflare, Inc. Turnstile wertet technische Signale aus, darunter IP-Adresse, Browserkennung, Verbindungsmerkmale und die aufrufende Website. Dies dient der Unterscheidung menschlicher Nutzung von automatisierten Zugriffen. Cloudflare beschreibt daneben eine eigene Verarbeitung zur Verbesserung der Erkennung. Informationen: https://www.cloudflare.com/turnstile-privacy-policy/

Die Website verwendet AddToAny Share Buttons zum Teilen von Inhalten. Auf der Kontaktseite ist hierfür eine Skriptdatei von static.addtoany.com eingebunden. Bei einem Abruf dieser Datei wird eine Verbindung zum Anbieter hergestellt; dabei fallen technische Verbindungsdaten an. Beim anschließenden Teilen können zusätzlich Daten an den gewählten Dienst übermittelt werden. Anbieterinformationen: https://www.addtoany.com/privacy

Auf der Kontaktseite ist außerdem die JavaScript-Bibliothek jQuery über Google Hosted Libraries unter ajax.googleapis.com eingebunden. Ihr Abruf stellt eine Verbindung zu Google her und übermittelt die dafür erforderlichen Verbindungsdaten. Diese Einbindung ist technisch von der Nutzung der Search Console und vom Link zu Google-Bewertungen getrennt. Informationen: https://developers.google.com/speed/libraries/terms?hl=de

Zu Google-Bewertungen führt ein normaler Link. Über diesen Link allein wird keine Bewertungsansicht in die Seite eingebettet. Wenn Sie dem Link folgen, öffnen Sie den jeweiligen Google-Dienst. Entsprechendes gilt für andere reine externe Links; dort gelten zusätzlich die Informationen des jeweiligen Anbieters. Für die WhatsApp-Kommunikation gelten die Angaben in Abschnitt 4.

Bei extern eingebundenen Skripten kann bereits deren Abruf technische Daten wie Ihre IP-Adresse, Browserinformationen und die angeforderte Ressource an den jeweiligen Anbieter übermitteln. Hierfür müssen Sie noch keinen Teilen-Button betätigt haben. Für einwilligungsbedürftige Vorgänge gelten § 25 Abs. 1 TDDDG und, soweit personenbezogene Daten verarbeitet werden, Art. 6 Abs. 1 Buchst. a DSGVO. Soweit eine konkrete Sicherheitsverarbeitung ohne Einwilligung zulässig und erforderlich ist, dient sie dem berechtigten Interesse an der Abwehr automatisierter und missbräuchlicher Zugriffe nach Art. 6 Abs. 1 Buchst. f DSGVO. Die Verarbeitung zu eigenen Zwecken eines Anbieters ist hiervon gesondert zu beurteilen.

9. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft über Ihre personenbezogenen Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.

• Beruht eine Verarbeitung auf Art. 6 Abs. 1 Buchst. e oder f DSGVO, können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen.
• Gegen eine Verarbeitung für Direktwerbung besteht ein jederzeitiges Widerspruchsrecht.

Für die Ausübung Ihrer Rechte können Sie mich über die oben angegebenen Kontaktdaten erreichen. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. In Hessen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden; https://datenschutz.hessen.de/service/beschwerde-uebermitteln

Anfragen und die Annahme von Fotoaufträgen bearbeite ich persönlich. Der eingesetzte Spamschutz kann automatisierte Formulareingaben zurückweisen; bei Problemen können Sie mich auch per E-Mail oder telefonisch erreichen. Die KI-gestützten Funktionen der Bildbearbeitung dienen der Bearbeitung der Fotografien. Sie treffen keine Entscheidung darüber, ob ich einen Fotoauftrag annehme.

10. Schutz Ihrer Daten

Ich bearbeite Anfragen und Aufträge persönlich. Es sind derzeit keine weiteren eigenen Mitarbeitenden mit Zugriff auf die Kundendaten eingesetzt. Die in dieser Erklärung beschriebenen Dienstleister sind hiervon zu unterscheiden. Kundengalerien in PicDrop sind passwortgeschützt. Bitte geben Sie Galeriepasswörter und Zugangsdaten nur an die für Ihren Auftrag vorgesehenen Empfänger weiter.

Technische und organisatorische Schutzmaßnahmen müssen Art, Umfang, Zweck und Risiken der jeweiligen Verarbeitung berücksichtigen. Ein vollständiger Ausschluss aller Risiken bei elektronischer Kommunikation und Speicherung ist nicht möglich. Wenn Sie einen unberechtigten Zugriff auf Ihre Kundengalerie vermuten, informieren Sie mich bitte über die oben genannten Kontaktdaten.

11. Onlinegalerie, Bildarchiv und Löschung

Die Kundengalerie dient der Übergabe der vereinbarten Bilder. Hierfür nutze ich PicDrop, angeboten von PicDrop GmbH, Am Kupfergraben 4/4a, 10117 Berlin. Die Galerie ist passwortgeschützt und steht ab Bereitstellung vier Wochen zum Download zur Verfügung; vor Ablauf erhalten Kunden eine Erinnerung. Dabei werden die zur Übergabe erforderlichen Bilder und die bei einem Galerieaufruf entstehenden technischen Daten verarbeitet. PicDrop gibt an, seine Server in Deutschland zu betreiben. Informationen: https://www.picdrop.com/web/de/privacy

Für eine mögliche erneute Bereitstellung bewahre ich die fertig bearbeiteten, ausgelieferten Bilder fünf Jahre ab ihrer Zustellung an den Kunden auf. Dieses Archiv wird über OneDrive im Tarif Microsoft 365 Family geführt und ist von der vierwöchigen PicDrop-Galerie getrennt. Dabei werden die Bilddateien bei Microsoft gespeichert. Eine dauerhafte öffentliche oder für Kunden frei zugängliche Galerie ist damit nicht zugesagt. Die fünfjährige Archivfrist gilt für ausgelieferte, fertig bearbeitete Bilder und nicht pauschal für sämtliche Rohaufnahmen.

Für die Löschung gelten folgende Kriterien: Nach Ablauf der vierwöchigen Bereitstellung endet der reguläre Zugang zur Kundengalerie; eine Verlängerung wird gesondert vereinbart. Nach Ablauf der fünfjährigen Archivfrist entfällt der vorgesehene Zweck der erneuten Bereitstellung. Rohaufnahmen, Zwischenstände und nicht ausgelieferte Bilder werden nur so lange benötigt, wie sie für Auswahl, vereinbarte Bearbeitung und Nachbearbeitung sowie die Klärung konkreter Rückfragen erforderlich sind. Danach sind personenbezogene Dateien zu löschen, sofern keine gesonderte Rechtsgrundlage eine weitere Aufbewahrung rechtfertigt. Dies betrifft auch entsprechende Kopien und synchronisierte Dateien. Ein abgelaufener Galerielink allein bedeutet noch nicht, dass alle gespeicherten Kopien gelöscht sind.

Für Kontakt-, Vertrags- und Abrechnungsdaten gelten die jeweiligen Zwecke und gesetzlichen Aufbewahrungspflichten. Für Rechnungen sieht § 14b UStG grundsätzlich eine Aufbewahrung von acht Jahren vor; die Frist beginnt mit dem Ende des Kalenderjahres der Rechnungsausstellung. Gesetzliche Verlängerungen bleiben vorbehalten. Diese Frist betrifft Rechnungen, nicht automatisch alle zugehörigen Fotos, Nachrichten oder sonstigen Unterlagen.

Bei Anfragen ohne anschließenden Auftrag ist das Anliegen abgeschlossen, wenn es abschließend beantwortet wurde oder feststeht, dass kein Auftrag zustande kommt. Soweit keine gesetzliche Aufbewahrungspflicht oder ein anderer erforderlicher Speicherzweck besteht, sind die zugehörigen personenbezogenen Angaben danach zu löschen. Dies gilt unabhängig davon, ob die Kommunikation per Formular, E-Mail oder WhatsApp erfolgt. Für empfangene und abgesandte Geschäftsbriefe gilt, soweit die gesetzlichen Voraussetzungen vorliegen, grundsätzlich eine sechsjährige Aufbewahrungspflicht nach § 147 AO, beginnend mit dem Ende des Kalenderjahres des Empfangs beziehungsweise Versands. Nicht jede Nachricht fällt automatisch darunter. Nachweise über Bildfreigaben und Einwilligungen werden für die Dauer der darauf gestützten Nutzung und, soweit erforderlich, zur Klärung konkreter rechtlicher Ansprüche benötigt. Bei laufenden Streitigkeiten oder anderen gesetzlichen Aufbewahrungspflichten kann eine längere Aufbewahrung der dafür erforderlichen Unterlagen notwendig sein; ihre Verwendung ist dann auf diesen Zweck zu beschränken.

12. Stand und Änderungen

Diese Hinweise werden angepasst, wenn sich die beschriebenen Abläufe oder die rechtlichen Anforderungen ändern. Die jeweils veröffentlichte Fassung ist auf dieser Seite erreichbar.

Stand: 9. Oktober 2026