Datenschutzerklärung

1. Verantwortlicher

Kill2Birds – Christopher Hartmann & Carsten Schrepper GbR
Blücherstr. 18
18055 Rostock
Deutschland
E-Mail: info@kill2birds.de

Datenschutzbeauftragter: Carsten Schrepper, erreichbar unter: dsb@kill2birds.de

2. Erhebung und Verarbeitung personenbezogener Daten

2.1 Server-Logfiles

Beim Besuch unserer Website erhebt unser Hosting-Anbieter (IONOS SE, Elgendorfer Str. 57, 56410 Montabaur) automatisch folgende Daten in Server-Logfiles:

• IP-Adresse (anonymisiert nach 7 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite / Datei
• Browser-Typ und -Version
• Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit)
Speicherdauer: 7 Tage, danach automatische Löschung

2.2 Kauf digitaler Downloads

Beim Kauf eines digitalen Downloads erheben wir:

• E-Mail-Adresse (zur Zustellung des Download-Links und der Rechnung)
• Zahlungsdaten (werden ausschließlich vom gewählten Zahlungsdienstleister PayPal oder Stripe verarbeitet, siehe 3.1 bzw. 3.7)
• Kaufzeitpunkt und gekauftes Produkt (für Rechnungsstellung und Buchführung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: 10 Jahre (gesetzliche Aufbewahrungspflicht für Buchführungsunterlagen gem. § 147 AO)

2.3 Bestellung von Kunstdrucken (Print)

Bei Bestellung eines Kunstdrucks erheben wir zusätzlich zur E-Mail:

• Name und Lieferadresse (zur Übergabe an den Druckdienstleister Gelato, siehe 3.2)
• Telefonnummer (optional, für Lieferbenachrichtigungen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: 10 Jahre (Buchführungspflicht)

2.4 Newsletter

Bei Anmeldung zum Newsletter erheben wir:

• E-Mail-Adresse
• Datum der Anmeldung und Bestätigung (Double Opt-in)
• IP-Adresse zum Zeitpunkt der Anmeldung (Nachweis der Einwilligung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Abmeldung: Jederzeit möglich über den Abmelde-Link in jeder Newsletter-E-Mail oder per E-Mail an info@kill2birds.de
Speicherdauer: Bis zum Widerruf der Einwilligung, danach unverzügliche Löschung

2.5 Live-Sitzungen im Kollaborationsbereich (Video)

Registrierte Künstlerinnen, Künstler und Models können im internen Kollaborationsbereich auf ausdrücklichen Wunsch eine Live-Video- und Audio-Sitzung mit ihren Kooperationspartnern starten. Dabei werden verarbeitet:

• die übertragenen Bild- und Tondaten (Echtzeit-Stream, wird von uns nicht aufgezeichnet oder gespeichert)
• IP-Adresse und technische Verbindungsdaten (Gerätetyp, Browser, Latenz- und Fehlerprotokolle) zur Herstellung und Stabilisierung der Verbindung

Die Video-Sitzung wird erst nach aktivem Klick auf „Anrufen" bzw. „Beitreten" aufgebaut. Die Übertragung erfolgt über unseren Dienstleister LiveKit (siehe 3.6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Kooperation) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktiven Verbindungsaufbau)
Speicherdauer: Die Inhalte der Sitzung werden nicht gespeichert; technische Verbindungsprotokolle werden nur kurzzeitig zur Betriebssicherheit vorgehalten.

2.6 Widerruf, Rückgabe und Reklamationen

Wenn Sie einen Kauf widerrufen, einen Mangel melden oder eine Bestellung stornieren — sei es über das Formular unter jedermannart.de/widerruf, den Link in Ihrer Bestätigungs-E-Mail oder formlos per E-Mail — verarbeiten wir:

• E-Mail-Adresse und Bestellnummer (zur Zuordnung des Vorgangs zur ursprünglichen Bestellung)
• Art des Anliegens (Widerruf, Reklamation/Mangel oder Storno) sowie die betroffene(n) Position(en)
• eine optionale Begründung — bei einem Widerruf ist die Angabe eines Grundes freiwillig (Datenminimierung); bei einer Mangelmeldung ist eine kurze Beschreibung erforderlich, um den Mangel prüfen zu können
• Zeitpunkt und Bearbeitungsstatus des Vorgangs

Die Daten dienen der Abwicklung Ihres gesetzlichen Widerrufs- bzw. Gewährleistungsrechts und der Rückzahlung. Für die Erstattung geben wir die hierfür nötigen Angaben an den ursprünglichen Zahlungsdienstleister (PayPal oder Stripe, siehe 3.1 bzw. 3.7) und — bei Stornierung eines noch nicht produzierten Drucks — an den Druckdienstleister Gelato (siehe 3.2) weiter. Eine freiwillig angegebene Begründung nutzen wir zusätzlich, um wiederkehrende Ursachen von Rückgaben zu erkennen (Qualitätsverbesserung) und Missbrauch vorzubeugen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung / Erfüllung des Widerrufs) und lit. c DSGVO (Erfüllung gesetzlicher Pflichten, §§ 355 ff. BGB); die Auswertung freiwilliger Begründungen zu Qualitäts- und Betrugspräventionszwecken stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Speicherdauer: Belege über die Rückabwicklung (Storno-Belege, Gutschriften) unterliegen der 10-jährigen Aufbewahrungspflicht (§ 147 AO / GoBD). Die übrigen Vorgangsdaten löschen wir, sobald sie für die Abwicklung und etwaige Rechtsansprüche nicht mehr erforderlich sind.

2.7 Hochladen von Werken und KI-gestützte Vorschläge

Registrierte Künstlerinnen und Künstler stellen ihre Werke über den internen Bereich ein. Beim Hochladen wird das Bild nicht analysiert. Wer möchte, kann ein bereits eingestelltes Werk anschließend im Werk-Editor mit einem Klick analysieren lassen. Vorgeschlagen werden dann: eine Werkbeschreibung, Schlagworte, Stimmung, Stilbegriff und Farbpalette, ein Alternativtext für Screenreader sowie Titel und Kurzbeschreibung für Suchmaschinen.

Nur in diesem Fall werden an unseren Dienstleister Anthropic (siehe 3.9) übermittelt:

• eine verkleinerte Fassung des Werkbildes (längste Kante ca. 1024 Pixel)
• die bereits eingetragenen Angaben zum Werk (Titel, Kategorie, Format, vorhandene Schlagworte)

Zeigt das Werk Personen, sind deren Abbildungen Teil dieser Übermittlung. Eine Gesichtserkennung findet dabei nicht statt — die Analyse beschreibt das Bild, sie identifiziert niemanden (zur Wiedererkennung siehe 2.8). Werke, die als Aktdarstellung oder Inhalt für Erwachsene eingestuft sind, sind von der Analyse ausgenommen: ihr Bild verlässt unsere Server nicht.

Davon unabhängig ist die Übersetzung: Ist zu einer deutschen Beschreibung keine englische Fassung hinterlegt, erzeugt derselbe Dienst beim Speichern eine englische Fassung. Dabei geht ausschließlich Text hinaus, nie das Bild.

Alle Ergebnisse sind Vorschläge: Sie erscheinen als vorausgefüllte, jederzeit änderbare Felder im Dashboard. Ob und in welcher Form ein Text veröffentlicht wird, entscheidet die Künstlerin oder der Künstler.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Plattform gegenüber den Mitgliedern) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an auffindbaren und barrierefrei beschriebenen Werken)
Speicherdauer: Die übernommenen Texte werden als Teil des Werks gespeichert und mit diesem gelöscht. Beim Dienstleister werden die übermittelten Inhalte nur zur Erbringung der Analyse verarbeitet und nicht für das Training von KI-Modellen verwendet (siehe 3.9).

2.8 Gesichts-Wiedererkennung bei Personen-Markierungen (biometrische Daten)

Auf Werken abgebildete Personen können markiert und dadurch mit ihrem Profil verknüpft werden. Dabei arbeiten zwei getrennte Schritte, die wir bewusst unterscheiden:

• Gesichter finden (kein Personenbezug): Beim Markieren schlägt eine lokal auf unserem Server laufende Erkennung Bildbereiche vor, in denen ein Gesicht zu sehen ist. Das Ergebnis sind ausschließlich Bildkoordinaten. Es wird kein Merkmal einer Person berechnet oder gespeichert, und es findet kein Abgleich statt.
• Wiedererkennen (biometrisches Merkmal): Erst nachdem die markierte Person die Markierung selbst bestätigt hat, berechnen wir aus dem markierten Gesichtsausschnitt ein mathematisches Merkmalsmuster (eine Zahlenreihe, „Embedding") und speichern es zu dieser Markierung. Zweck ist allein, dieselbe Person bei künftigen Uploads derselben Künstlerin oder desselben Künstlers vorzuschlagen, statt sie jedes Mal neu suchen zu lassen.

Dieses Merkmalsmuster ist ein biometrisches Datum im Sinne von Art. 9 DSGVO. Deshalb gilt: Ohne Bestätigung entsteht kein Muster. Das Muster wird ausschließlich auf unseren eigenen Servern berechnet und gespeichert — es wird nicht an Anthropic oder einen anderen Dienstleister übermittelt. Es erlaubt keine Rekonstruktion des Gesichts, wird nicht mit fremden Datenbanken abgeglichen und nicht weitergegeben.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, erteilt durch die Bestätigung der Markierung) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO
Widerruf: Jederzeit möglich, indem Sie die Markierung im internen Bereich zurückziehen oder eine Nachricht an dsb@kill2birds.de senden. Wir löschen das Merkmalsmuster daraufhin unverzüglich; die Wiedererkennung entfällt, das Werk selbst bleibt davon unberührt.
Speicherdauer: Bis zum Widerruf, zum Zurückziehen der Markierung oder zur Löschung des Kontos. Bei einer Löschanfrage werden die Merkmalsmuster hart gelöscht, nicht nur anonymisiert. Aus Sicherheitsgründen geben wir sie auch bei einer Auskunft nach Art. 15 DSGVO nicht heraus (siehe 5.).

2.9 Merkliste und „Deine Wand“

Wenn Sie ein Werk merken oder es unter „Entdecken“ an Ihre Wand hängen, legen wir auf unserem Server eine Liste an. Sie besteht aus einer zufälligen Kennung, den gemerkten Werken sowie dem Zeitpunkt der Anlage und der letzten Änderung. Die Liste enthält keinen Namen, keine E-Mail-Adresse und keine IP-Adresse. Ihrem Browser ordnen wir sie über das Cookie jdmn_wish zu (Abschnitt 4); auf dem Server liegt davon nur ein Hash-Wert.

Die Liste wird 90 Tage nach ihrer letzten Änderung gelöscht. Sie gilt jeweils nur für den Bereich, in dem Sie sie angelegt haben (jedermannart.de oder akt.jedermannart.de).

Teilen: Mit „Liste teilen“ oder „Wand teilen“ erzeugen Sie einen Link. Wer diesen Link kennt, kann die Werke der Liste sehen, erfährt aber nicht, von wem sie stammt. Name und Wandfarbe Ihrer Wand stehen nur im Link selbst und werden nicht bei uns gespeichert; wie jeder Seitenaufruf erscheint der Link jedoch in den Server-Logfiles (Abschnitt 2.1). Geben Sie den Link nur an Personen weiter, die ihn sehen sollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die von Ihnen genutzte Merk- und Teilen-Funktion bereitzustellen)

2.10 Zählung ohne Nutzerprofil

Wir möchten wissen, welche Werke ankommen und über welche Wege Besucher zu uns finden. Dafür zählen wir so sparsam wie möglich:

• Entdecken: Beim Durchsehen unter „Entdecken“ zählen wir je Werk und Tag, wie oft es gezeigt, näher angesehen, in Ruhe betrachtet oder an eine Wand gehängt wurde, und die gesamte Betrachtungsdauer. Dabei wird keine Kennung gesetzt oder ausgelesen, und wir speichern keine IP-Adresse, sondern nur diese Summen je Werk. Um Missbrauch zu begrenzen, hält unser Server Ihre IP-Adresse bis zu zehn Minuten im Arbeitsspeicher, ohne sie zu speichern. Im Bereich für Aktkunst zählen wir genauso, ebenfalls nur je Werk.
• Kaufbestätigung: Nach einem Kauf zählt die Bestätigungsseite einen Aufruf je Werk, ebenfalls ohne Kennung.
• Kurzlinks: Wenn Sie einen unserer Kurzlinks aufrufen (Adressen mit /r/ oder /go/, etwa aus Instagram), speichern wir den Zeitpunkt, den Link, die angegebene Quelle, die Herkunftsseite (Referer), die Browserkennung (User-Agent), einen gekürzten Hash-Wert Ihrer IP-Adresse (mit einem geheimen Schlüssel gebildet) sowie einen täglich wechselnden Hash-Wert aus IP-Adresse, Browserkennung und Datum, mit dem wir die Besucher eines Tages zählen. Es wird kein Cookie gesetzt. Diese Einträge löschen wir nach 14 Monaten.

Wir und die jeweiligen Künstler sehen diese Angaben nur als Summen. Wir bilden keine Nutzerprofile und führen die Daten nicht mit anderen Daten zusammen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Angebot und Präsentation der Werke zu verbessern und die Wirkung unserer Kanäle zu messen)

2.11 Kanal: Folgen, Kommentare und Herzen

Unter jedermannart.de/kanal veröffentlichen Künstler Beiträge. Sie können einem Kanal auf drei Wegen folgen:

• Per E-Mail: Wir speichern Ihre E-Mail-Adresse, den gewünschten Takt (alles, nur neue Werke, einmal die Woche), die Herkunft (etwa „Telegram“), den Zeitpunkt der Anfrage und der Bestätigung (Double Opt-in). Erst nach Ihrer Bestätigung schicken wir Ihnen Mails. Bestätigen Sie nicht innerhalb von 72 Stunden, löschen wir die Anfrage samt Adresse.
• Per Hinweis (Web-Push): Ihr Browser erzeugt nach Ihrer Erlaubnis eine technische Adresse für Hinweise. Wir speichern nur diese Adresse, die zugehörigen Schlüssel, den Takt und die Herkunft, keinen Namen und keine E-Mail-Adresse. Der Hinweis selbst läuft über den Push-Dienst Ihres Browserherstellers (etwa Google, Apple oder Mozilla).
• Mit Konto: Wir vermerken an Ihrem Konto, dass Sie folgen. Bescheid bekommen Sie per E-Mail (abschaltbar im Profil) und, falls eingeschaltet, als Hinweis.

Leserliste und Nachrichten: Wer mit Konto folgt, hat zwei Schalter. „In der Leserliste zeigen“: Der Inhaber des Kanals, und nur er, sieht Ihren Namen, Ihr Profilbild und seit wann Sie folgen. Für Folgen ab dem 25.09.2026 ist dieser Schalter zunächst an, wie in anderen sozialen Netzwerken; Sie sehen das beim Folgen und können ihn jederzeit unter „Du folgst“ ausschalten. Wer vorher gefolgt ist, behält seine Einstellung. „Darf mir schreiben“ ist zunächst aus: Erst wenn Sie ihn einschalten, kann Ihnen der Inhaber eine Nachricht im Nachrichtenbereich schicken. Wer per E-Mail oder Hinweis folgt, erscheint in keiner Liste mit Namen; der Inhaber sieht je Weg nur, wie viele folgen, seit wann und über welchen Weg sie gekommen sind (etwa „Telegram“), nie eine Adresse. Der Inhaber kann Leser mit Konto aus seiner Liste entfernen oder sperren; gesperrte Personen können ihm nicht mehr folgen und nicht schreiben. Folgen Sie einem Künstler, der noch keinen Kanal hat, legen wir ihn an; er zeigt dann dessen neue, öffentliche Werke. Wer mit Konto folgt, sieht die Kanäle in seinem Bereich „Kanal“; dafür speichern wir, bis wann Sie einen Kanal gelesen haben (für die Zahl neuer Beiträge) und ob Sie ihn stumm geschaltet haben. Der Inhaber sieht beides nicht. Antworten Sie auf einen Beitrag, geht Ihre Nachricht nur an den Inhaber: mit Konto als Gespräch im Nachrichtenbereich, ohne Konto wie eine Anfrage über das Kontaktformular der Künstlerseite (Name, E-Mail-Adresse, Nachricht). Rechtsgrundlage für die Leserliste ist Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des Inhabers und unseres ist, dass er weiß, wer seinen Kanal liest, wie in anderen sozialen Netzwerken. Sichtbar ist das nur für ihn, Sie sehen es beim Folgen und können jederzeit widersprechen, indem Sie „In der Leserliste zeigen“ ausschalten (Art. 21 DSGVO). Rechtsgrundlage für „Darf mir schreiben“ Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für Antworten Art. 6 Abs. 1 lit. b DSGVO.

Kommentare und Herzen: Wer mit Konto einen Beitrag kommentiert, dessen Name, Profilbild und Kommentar sehen alle, die den Kanal lesen; der Name führt höchstens auf eine öffentliche Künstlerseite. Wir speichern dazu den Text, den Zeitpunkt und an welchem Beitrag er hängt. Löschen Sie einen Kommentar, ist er sofort nicht mehr sichtbar und wir überschreiben den Text. Kommentare, die wir wegen eines Verstoßes entfernen, bewahren wir für einen möglichen Widerspruch höchstens sechs Monate auf. Der Inhaber des Kanals kann Kommentare in seinem Kanal ausblenden, freigeben und Personen sperren. Ein Herz geht auch ohne Konto: Dann setzen wir das Cookie jdmn_geraet mit einer Zufallskennung, damit ein Gerät nur ein Herz je Beitrag gibt; gespeichert wird davon nur ein nicht umkehrbarer Hashwert, nie Ihre IP-Adresse. Mit Konto hängt das Herz an Ihrem Konto. Der Inhaber sieht nur, wie viele Herzen ein Beitrag hat, nicht von wem. Rechtsgrundlage für Kommentare und Herzen mit Konto ist Art. 6 Abs. 1 lit. b DSGVO, für das Herz ohne Konto samt Cookie Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer ausdrücklich gewünschte Funktion).

Damit Vorschaubilder für Folgende sichtbar sind, setzen wir das Cookie jdmn_kanal (Abschnitt 4). Es enthält nur eine Kennung Ihres Folgens, keine Adresse. Wie oft Beiträge gesehen, angeklickt oder gemerkt wurden und an welchem Schritt jemand das Folgen abbricht, zählen wir nur als Summe je Beitrag und Tag, ohne Kennung.

Abbestellen: jederzeit über den Link in jeder Mail, im Kanal über „Du folgst“ oder in den Einstellungen Ihres Browsers. Dann löschen wir Adresse bzw. Push-Adresse sofort. Stehen bleibt nur, dass es eine Folge gab, über welchen Weg und woher, ohne Bezug zu Ihnen, für unsere Zählung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für E-Mail und Hinweise, Art. 6 Abs. 1 lit. b DSGVO für Folgen mit Konto, Art. 6 Abs. 1 lit. f DSGVO für die anonyme Zählung.
Speicherdauer: bis zum Abbestellen, unbestätigte E-Mail-Anfragen höchstens 72 Stunden.

3. Drittanbieter und Auftragsverarbeiter

3.1 PayPal

Zahlungen werden über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, abgewickelt. Beim Bezahlvorgang werden Sie auf die PayPal-Seite weitergeleitet. Welche Daten PayPal erhebt und wie diese verwendet werden, entnehmen Sie der Datenschutzerklärung von PayPal: www.paypal.com/de/webapps/mpp/ua/privacy-full

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.2 Gelato (Druckdienstleister)

Für die Produktion und den Versand von Kunstdrucken nutzen wir Gelato AS, Dronning Eufemias gate 8, 0191 Oslo, Norwegen. Zur Auftragsabwicklung werden Name und Lieferadresse an Gelato übermittelt. Zur Herstellung des bestellten Kunstdrucks wird zudem die Bilddatei des bestellten Werks an Gelato übermittelt; diese stammt von der Urheberin/dem Urheber und enthält in der Regel keine personenbezogenen Daten des Bestellers. Gelato verarbeitet diese Daten ausschließlich zur Erfüllung des Druckauftrags.

Datenschutzerklärung Gelato: www.gelato.com/de/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Auftragsverarbeitungsvertrag (AVV): geschlossen gemäß Art. 28 DSGVO

3.3 IONOS (Hosting)

Unsere Website wird auf Servern der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, betrieben. IONOS verarbeitet Daten ausschließlich auf unsere Weisung (Auftragsverarbeitung gem. Art. 28 DSGVO). Die Server befinden sich in Deutschland.

Datenschutzerklärung IONOS: www.ionos.de/terms-gtc/datenschutzerklaerung/

3.4 E-Mail-Versand / Newsletter

Für den Versand von Download-Links, Rechnungen und dem Newsletter nutzen wir Brevo (ehem. Sendinblue), Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin. E-Mail-Adressen werden an Brevo übermittelt und ausschließlich zum E-Mail-Versand genutzt.

Datenschutzerklärung Brevo: www.brevo.com/de/legal/privacypolicy/

Auftragsverarbeitungsvertrag (AVV): geschlossen gemäß Art. 28 DSGVO

3.5 Social Media (externe Links)

Unsere Website enthält Links zu externen Social-Media-Plattformen (Bluesky, Instagram). Beim Klick auf diese Links verlassen Sie unsere Website. Wir haben keinen Einfluss auf die Datenverarbeitung durch diese Plattformen. Es werden keine Social-Media-Plugins oder Tracking-Pixel von Drittplattformen auf unserer Website eingesetzt.

3.6 LiveKit (Video- und Audio-Sitzungen)

Für Live-Video- und Audio-Sitzungen im Kollaborationsbereich nutzen wir die Echtzeit-Kommunikationsplattform LiveKit der LiveKit Incorporated (USA). Während einer Sitzung werden die Bild- und Tondaten der Teilnehmenden sowie technische Verbindungsdaten (IP-Adresse, Gerät- und Browser-Informationen, Latenz- und Fehlerprotokolle) über die Server von LiveKit geleitet, um die Verbindung herzustellen. Die Medienübertragung läuft über eine EU-Region; LiveKit Incorporated hat ihren Sitz jedoch in den USA und verarbeitet Daten auch dort.

Da es sich um eine Übermittlung in ein Drittland (USA) handelt, ist diese durch die EU-Standardvertragsklauseln im Auftragsverarbeitungs-Nachtrag (Data Processing Addendum) von LiveKit sowie durch die Zertifizierung unter dem EU-U.S. Data Privacy Framework abgesichert.

Datenschutzerklärung LiveKit: livekit.com/legal/privacy-policy
Auftragsverarbeitungs-Nachtrag: livekit.com/legal/data-processing-addendum

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Kooperation), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Auftragsverarbeitung: auf Grundlage des Data Processing Addendum von LiveKit (Art. 28 DSGVO, inkl. EU-Standardvertragsklauseln)

3.7 Stripe (Kartenzahlung)

Kartenzahlungen werden über Stripe abgewickelt; Anbieter für den europäischen Raum ist die Stripe Payments Europe, Limited, Dublin, Irland. Beim Bezahlen mit Karte werden die Zahlungs- und Kartendaten direkt von Stripe verarbeitet; wir selbst erhalten und speichern keine vollständigen Kartendaten. Welche Daten Stripe erhebt, entnehmen Sie der Datenschutzerklärung von Stripe: stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Auftragsverarbeitung: auf Grundlage des Stripe Data Processing Agreement (Art. 28 DSGVO)

3.8 Hetzner (Datei-Speicher / Object Storage)

Im Kollaborationsbereich hochgeladene Bilddateien (z. B. Moodboard-Referenzbilder) sowie hochauflösende Druckvorlagen speichern wir über den Object-Storage-Dienst der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Die Speicherung erfolgt auf Servern innerhalb der EU. Hetzner verarbeitet die Daten ausschließlich auf unsere Weisung im Rahmen eines Auftragsverarbeitungsverhältnisses gemäß Art. 28 DSGVO.

Datenschutzerklärung Hetzner: www.hetzner.com/legal/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb des Kollaborationsbereichs)

3.9 Anthropic (KI-gestützte Bildanalyse und Textvorschläge)

Für die Analyse hochgeladener Werke und die daraus abgeleiteten Textvorschläge (siehe 2.7) nutzen wir den KI-Dienst „Claude" der Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA. Für Kundinnen und Kunden im Europäischen Wirtschaftsraum tritt die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland als Vertragspartnerin auf; die Verarbeitung selbst findet auf Servern in den USA statt.

Übermittelt werden dabei:

• beim Einstellen eines Werks: das verkleinerte Werkbild und die zugehörigen Angaben (siehe 2.7)
• beim Speichern einer Beschreibung ohne englische Fassung: der deutsche Beschreibungstext zur Übersetzung
• für die technische Wartung: gesammelte Fehlermeldungen unserer Anwendung (Fehlertext, aufgerufene Route, Statuscode, Zeitpunkt) — keine Werkbilder, keine Bestell- oder Kundendaten

Da es sich um eine Übermittlung in ein Drittland (USA) handelt, ist diese durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2) im Auftragsverarbeitungs-Nachtrag von Anthropic abgesichert. Anthropic verarbeitet die Inhalte ausschließlich weisungsgebunden zur Erbringung des Dienstes und verwendet sie nicht zum Training seiner KI-Modelle.

Datenschutzerklärung Anthropic: anthropic.com/legal/privacy
Auftragsverarbeitungs-Nachtrag (DPA): anthropic.com/legal/commercial-terms

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Plattform) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an auffindbaren Werken und an einem fehlerfreien Betrieb)
Auftragsverarbeitung: auf Grundlage des Data Processing Addendum von Anthropic (Art. 28 DSGVO, inkl. EU-Standardvertragsklauseln)

4. Cookies und Speicher in Ihrem Browser

Wir verwenden keine Tracking- oder Werbe-Cookies und kein Web-Analytics eines Drittanbieters. Einige Funktionen legen Daten in Ihrem Browser ab, als Cookie oder im lokalen Speicher (localStorage). Das geschieht erst, wenn Sie die jeweilige Funktion nutzen, und nur soweit sie es braucht.

Einträge im lokalen Speicher und im Sitzungsspeicher werden nicht an uns übertragen. Die Cookies jdmn_wish und jdmn_cart sendet Ihr Browser bei Aufrufen an unseren Server; dort liegt nur ein Hash-Wert davon, verknüpft mit Ihrer Merkliste bzw. Ihrem Warenkorb. Das Cookie jdmn_age werten wir auf dem Server nicht aus. Wenn Sie Jedermannart als App installieren, legt Ihr Browser außerdem Seiten und Bilder im Zwischenspeicher ab, damit sie schneller und auch ohne Verbindung laden. Sie können all das jederzeit in den Einstellungen Ihres Browsers löschen; Merkliste und Warenkorb sind danach für Sie nicht mehr erreichbar.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für einen von Ihnen ausdrücklich gewünschten Dienst); für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (Warenkorb als Vorbereitung eines Kaufs) bzw. Art. 6 Abs. 1 lit. f DSGVO (Merkliste, Einstellungen, Jugendschutz)

4.1 Altersbestätigung

Jedermannart präsentiert Fine-Art-Fotografie, die in Teilen für ein erwachsenes Publikum bestimmt ist. Diese Werke liegen in einem eigenen Bereich (akt.jedermannart.de). Bevor er sich öffnet, bitten wir Sie einmalig zu bestätigen, dass Sie volljährig sind.

Ihre Bestätigung speichern wir im Cookie jdmn_age, das für jedermannart.de und akt.jedermannart.de gilt, damit Sie nicht zweimal gefragt werden. Es enthält nur das Datum der Bestätigung. Ältere Bestätigungen können zusätzlich im lokalen Speicher unter jdmn.ageConfirmed liegen. Beides gilt 365 Tage. Die Bestätigung wird nicht an uns gemeldet, und wir erheben dabei keine weiteren Angaben zu Ihrer Person. Sie können sie jederzeit löschen, indem Sie Cookies und Websitedaten für jedermannart.de in Ihrem Browser entfernen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Jugendschutz und der Erfüllung von Sorgfaltspflichten nach JuSchG); § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für die von Ihnen ausdrücklich gewünschte Funktion)

5. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15): Welche Daten wir über Sie speichern
• Berichtigung (Art. 16): Korrektur unrichtiger Daten
• Löschung (Art. 17): „Recht auf Vergessenwerden"
• Einschränkung (Art. 18): Verarbeitung einschränken statt löschen
• Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format erhalten
• Widerspruch (Art. 21): Gegen Verarbeitung auf Basis berechtigten Interesses
• Widerruf (Art. 7 Abs. 3): Einwilligung jederzeit widerrufen (z.B. Newsletter)

Zur Ausübung Ihrer Rechte wenden Sie sich an: dsb@kill2birds.de

Löschung & Auskunft in der Praxis: Auf eine Löschanfrage hin entfernen bzw. anonymisieren wir Ihre personenbezogenen Profildaten (Name, Kontaktdaten, Bio, Profilbild, Zahlungsdaten und etwaige biometrische Daten wie Gesichts-Erkennungsmerkmale) und sperren den Zugang zu Ihrem Konto; veröffentlichte Werke werden depubliziert. Rechnungs- und Zahlungsdaten zu bereits getätigten Käufen oder Verkäufen müssen wir aus steuer- und handelsrechtlichen Gründen für die gesetzliche Aufbewahrungsfrist (i. d. R. 10 Jahre, § 147 AO / § 257 HGB) aufbewahren; diese verbleiben anonymisiert mit Ihrem ehemaligen Konto verknüpft. Eine Auskunft nach Art. 15 stellen wir Ihnen auf Wunsch als maschinenlesbare Datei bereit.

Käufe ohne Konto (Gast-Bestellungen): Haben Sie ohne Benutzerkonto bestellt, ist Ihre E-Mail-Adresse nur mit der jeweiligen Bestellung gespeichert. Auf eine Löschanfrage hin neutralisieren wir die E-Mail-Adresse (und einen etwaigen Freitext aus einer Widerrufs-/Rückgabe-Anfrage) in der betreffenden Bestellung. Die Rechnung selbst sowie die steuerlich relevanten Bestelldaten (Betrag, Umsatzsteuer, Rechnungsnummer, Bestellland) bewahren wir aus gesetzlichen Gründen für die Aufbewahrungsfrist (i. d. R. 10 Jahre, § 147 AO / § 257 HGB) auf; sie sind danach nicht mehr mit Ihrer E-Mail-Adresse verknüpft.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Mecklenburg-Vorpommern:

Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern
Schloss Schwerin, Lennéstraße 1, 19053 Schwerin
www.datenschutz-mv.de

6. Datensicherheit

Unsere Website nutzt SSL/TLS-Verschlüsselung (HTTPS). Alle Verbindungen zwischen Ihrem Browser und unserem Server sind verschlüsselt. Sensible Daten (Passwörter, API-Keys) werden niemals im Browser oder in öffentlichen Dateien gespeichert.

7. Aktualität dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung bei Änderungen der Datenlage oder rechtlicher Anforderungen anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.

Stand: September 2026

Privacy Policy

1. Data Controller

Kill2Birds – Christopher Hartmann & Carsten Schrepper GbR
Blücherstr. 18
18055 Rostock
Germany
Email: info@kill2birds.de

Data Protection Officer: Carsten Schrepper, contact: dsb@kill2birds.de

2. Data We Collect and Why

2.1 Server Log Files

When you visit our website, our hosting provider (IONOS SE, Germany) automatically records the following data in server log files:

• IP address (anonymised after 7 days)
• Date and time of access
• Page or file accessed
• Browser type and version
• Operating system

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in operational security)
Retention: 7 days, then automatically deleted

2.2 Purchase of Digital Downloads

When you purchase a digital download, we collect:

• Email address (to deliver the download link and invoice)
• Payment data (processed exclusively by the chosen payment provider, PayPal or Stripe – see 3.1 / 3.7)
• Purchase time and product (for invoicing and accounting)

Legal basis: Art. 6(1)(b) GDPR (contract performance)
Retention: 10 years (statutory accounting retention obligation)

2.3 Art Print Orders

For print orders, we additionally collect:

• Name and delivery address (passed to Gelato – see 3.2)
• Phone number (optional, for delivery notifications)

Legal basis: Art. 6(1)(b) GDPR (contract performance)
Retention: 10 years

2.4 Newsletter

When you sign up for our newsletter, we collect:

• Email address
• Date of registration and confirmation (double opt-in)
• IP address at time of registration (proof of consent)

Legal basis: Art. 6(1)(a) GDPR (consent)
Unsubscribe: At any time via the unsubscribe link in any newsletter email, or by emailing info@kill2birds.de
Retention: Until consent is withdrawn, then immediately deleted

2.5 Live Sessions in the Collaboration Area (Video)

Registered artists and models can start a live video and audio session with their collaboration partners in our internal collaboration area, upon explicit request. This processes:

• the transmitted audio and video data (real-time stream; not recorded or stored by us)
• IP address and technical connection data (device type, browser, latency/error logs) to establish and stabilise the connection

The video session is only established after you actively click "Call" or "Join". Transmission is handled by our provider LiveKit (see 3.6).

Legal basis: Art. 6(1)(b) GDPR (performance of the collaboration) and Art. 6(1)(a) GDPR (consent through actively initiating the connection)
Retention: Session contents are not stored; technical connection logs are kept only briefly for operational security.

2.6 Withdrawal, Returns and Complaints

If you withdraw from a purchase, report a defect or cancel an order — whether via the form at jedermannart.de/widerruf, the link in your confirmation email or by informal email — we process:

• your email address and order number (to match the request to the original order)
• the type of request (withdrawal, complaint/defect or cancellation) and the affected item(s)
• an optional reason — for a withdrawal, providing a reason is voluntary (data minimisation); for a defect report a short description is required in order to assess the defect
• the time and processing status of the request

We use this data to handle your statutory right of withdrawal or warranty claim and to issue refunds. For refunds we pass the necessary details to the original payment provider (PayPal or Stripe, see 3.1 / 3.7) and — when cancelling a print that has not yet been produced — to our print provider Gelato (see 3.2). Any voluntarily provided reason is additionally used to identify recurring causes of returns (quality improvement) and to prevent abuse.

Legal basis: Art. 6(1)(b) GDPR (contract performance / handling the withdrawal) and (c) GDPR (compliance with legal obligations, §§ 355 et seq. German Civil Code); the evaluation of voluntarily provided reasons for quality and fraud-prevention purposes is based on Art. 6(1)(f) GDPR (legitimate interest).
Retention: Records of the reversal (cancellation receipts, credit notes) are subject to the 10-year retention obligation (§ 147 German Fiscal Code / GoBD). Other request data is deleted once it is no longer required for processing and for any legal claims.

2.7 Uploading Works and AI-Assisted Suggestions

Registered artists publish their works via the internal area. The image is not analysed when it is uploaded. If they wish, artists can have a work that is already on the platform analysed with one click in the work editor. It then suggests a description of the work, keywords, mood, a style term and colour palette, an alternative text for screen readers, and a title and short description for search engines.

Only in that case is the following transmitted to our processor Anthropic (see 3.9):

• a downscaled version of the image (longest edge approx. 1024 pixels)
• the details already entered for the work (title, category, orientation, existing keywords)

If the work depicts people, their likenesses form part of this transmission. No facial recognition takes place here — the analysis describes the image, it does not identify anyone (for recognition see 2.8). Works classified as nude or adult content are excluded from the analysis: their image does not leave our servers.

Translation works independently of this: if a German description has no English version on file, the same service produces one when the work is saved. Only text is transmitted, never the image.

All results are suggestions: they appear as pre-filled fields in the dashboard that can be changed at any time. Whether and in what form a text is published is the artist's decision.

Legal basis: Art. 6(1)(b) GDPR (providing the platform to its members) and Art. 6(1)(f) GDPR (legitimate interest in works that are discoverable and accessibly described)
Retention: Texts that are adopted are stored as part of the work and deleted along with it. At the processor, the transmitted content is processed solely to perform the analysis and is not used to train AI models (see 3.9).

2.8 Facial Recognition for People Tags (Biometric Data)

People depicted in a work can be tagged and thereby linked to their profile. Two separate steps are involved, and we deliberately distinguish between them:

• Finding faces (no personal identification): When tagging, a detector running locally on our own server suggests image areas containing a face. The result consists of image coordinates only. No characteristic of a person is computed or stored, and no comparison is made.
• Recognition (biometric feature): Only after the tagged person has confirmed the tag themselves do we compute a mathematical feature pattern (a sequence of numbers, an "embedding") from the tagged face region and store it with that tag. Its sole purpose is to suggest the same person on future uploads by the same artist, instead of requiring a fresh search each time.

This feature pattern is biometric data within the meaning of Art. 9 GDPR. Accordingly: without confirmation, no pattern is created. The pattern is computed and stored exclusively on our own servers — it is not transmitted to Anthropic or any other processor. It does not allow the face to be reconstructed, is not compared against third-party databases, and is not shared.

Legal basis: Art. 9(2)(a) GDPR (explicit consent, given by confirming the tag) in conjunction with Art. 6(1)(a) GDPR
Withdrawal: Possible at any time by withdrawing the tag in the internal area or by sending a message to dsb@kill2birds.de. We then delete the feature pattern without undue delay; recognition ceases, while the work itself is unaffected.
Retention: Until withdrawal, removal of the tag, or deletion of the account. On a deletion request, feature patterns are hard-deleted, not merely anonymised. For security reasons we also do not release them in response to an access request under Art. 15 GDPR (see 5.).

2.9 Wishlist and “Your wall”

When you save a work or hang it on your wall under “Discover”, we create a list on our server. It consists of a random identifier, the saved works, and the time of creation and last change. The list contains no name, no email address and no IP address. It is linked to your browser through the cookie jdmn_wish (Section 4); our server only stores a hash of it.

The list is deleted 90 days after its last change. It only applies to the area in which you created it (jedermannart.de or akt.jedermannart.de).

Sharing: “Share list” or “Share wall” creates a link. Anyone who has this link can see the works on the list, but not who created it. The name and wall colour of your wall are only part of the link itself and are not stored by us; like any page request, however, the link appears in our server log files (Section 2.1). Only pass the link on to people who are meant to see it.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in providing the save and share function you use)

2.10 Counting Without User Profiles

We want to know which works resonate and how visitors find us. We count as sparingly as possible:

• Discover: While you browse under “Discover”, we count per work and day how often it was shown, looked at more closely, held for a calm look or hung on a wall, and the total viewing time. No identifier is set or read, and we do not store any IP address, only these totals per work. To limit abuse, our server keeps your IP address in memory for up to ten minutes without storing it. In the nude art area we count the same way, again only per work.
• Purchase confirmation: After a purchase, the confirmation page counts one view per work, again without an identifier.
• Short links: When you open one of our short links (addresses containing /r/ or /go/, for example from Instagram), we store the time, the link, the stated source, the referring page (referer), the browser identifier (user agent), a shortened hash of your IP address (created with a secret key) and a daily changing hash of IP address, browser identifier and date that lets us count the visitors of a day. No cookie is set. We delete these entries after 14 months.

We and the respective artists only see these figures as totals. We do not create user profiles and do not combine the data with other data.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in improving our offer and the presentation of the works and in measuring the effect of our channels)

2.11 Channel: Following, Comments and Hearts

Artists publish posts at jedermannart.de/kanal. You can follow a channel in three ways:

• By email: We store your email address, the frequency you chose (everything, new works only, once a week), where you came from (for example “Telegram”), and the time of your request and confirmation (double opt-in). We only send emails after you confirm. If you do not confirm within 72 hours, we delete the request including the address.
• By notification (web push): With your permission, your browser creates a technical address for notifications. We only store this address, its keys, the frequency and where you came from, no name and no email address. The notification itself is delivered through your browser vendor's push service (for example Google, Apple or Mozilla).
• With an account: We note on your account that you follow. You are informed by email (can be switched off in your profile) and, if enabled, by notification.

Reader list and messages: If you follow with an account, there are two switches. "Show me in the reader list": the channel owner, and only the owner, sees your name, your profile picture and since when you follow. For follows from 25 September 2026 this switch starts on, as in other social networks; you see this when you follow and can switch it off at any time under "Following". Earlier followers keep their setting. "May message me" starts off: only once you turn it on can the owner send you a message in the messages area. Followers by email or notification never appear in a list with a name; per way, the owner only sees how many follow, since when and where they came from (for example "Telegram"), never an address. The owner can remove readers with an account from the list or block them; blocked people can no longer follow or message the owner. If you follow an artist who has no channel yet, we create one; it then shows the artist's new public works. If you follow with an account, you see your channels in your "Channel" area; for this we store until when you have read a channel (for the number of new posts) and whether you muted it. The owner sees neither. If you reply to a post, your message goes only to the owner: with an account as a conversation in the messages area, without an account like a request through the contact form on the artist page (name, email address, message). The legal basis for the reader list is Art. 6(1)(f) GDPR: the owner's and our legitimate interest is that the owner knows who reads the channel, as in other social networks. Only the owner can see it, you are told when you follow, and you can object at any time by switching off "Show me in the reader list" (Art. 21 GDPR). The legal basis for "May message me" your consent (Art. 6(1)(a) GDPR), for replies Art. 6(1)(b) GDPR.

Comments and hearts: If you comment on a post with an account, everyone reading the channel sees your name, profile picture and comment; your name links at most to a public artist page. We store the text, the time and the post it belongs to. If you delete a comment, it disappears immediately and we overwrite the text. Comments we remove for a violation are kept for at most six months in case you object. The channel owner can hide and approve comments in their channel and block people. A heart also works without an account: we then set the cookie jdmn_geraet with a random identifier so that one device gives only one heart per post; we only store an irreversible hash of it, never your IP address. With an account, the heart is linked to your account. The owner only sees how many hearts a post has, not from whom. Legal basis for comments and hearts with an account is Art. 6(1)(b) GDPR, for hearts without an account including the cookie Art. 6(1)(f) GDPR in conjunction with Section 25(2) no. 2 TDDDG (a function you expressly requested).

So that previews are visible to followers, we set the cookie jdmn_kanal (Section 4). It only contains an identifier of your follow, no address. How often posts were seen, clicked or saved, and at which step someone stops following, we only count as totals per post and day, without an identifier.

Unsubscribe: any time via the link in every email, in the channel via “Following”, or in your browser settings. We then delete the address or push address immediately. Only the fact that there was a follow, by which way and from where, remains, with no link to you, for our statistics.

Legal basis: Art. 6(1)(a) GDPR (consent) for email and notifications, Art. 6(1)(b) GDPR for following with an account, Art. 6(1)(f) GDPR for anonymous counting.
Storage period: until you unsubscribe; unconfirmed email requests for at most 72 hours.

3. Third-Party Processors

3.1 PayPal

Payments are processed by PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg. You will be redirected to PayPal's platform during checkout. See PayPal's privacy policy: www.paypal.com/en/webapps/mpp/ua/privacy-full

3.2 Gelato (Print Fulfillment)

Print production and shipping is handled by Gelato AS, Oslo, Norway. Name and delivery address are shared with Gelato solely to fulfil print orders. To produce the ordered art print, the image file of the ordered artwork is also transmitted to Gelato; it originates from the artist and generally contains no personal data of the purchaser. Privacy policy: www.gelato.com/privacy-policy

3.3 IONOS (Hosting)

Our website is hosted on servers operated by IONOS SE, Germany. All servers are located in Germany.

3.4 Brevo (Email Delivery)

Download links, invoices and newsletters are sent via Brevo (Sendinblue GmbH, Berlin). Email addresses are shared with Brevo solely for email delivery. Privacy policy: www.brevo.com/legal/privacypolicy/

3.5 Social Media (External Links)

Our website contains links to Bluesky and Instagram. Clicking these links takes you to external platforms. We do not use any social media plugins or tracking pixels.

3.6 LiveKit (Video/Audio Sessions)

Live video and audio sessions in the collaboration area are provided via the real-time communication platform LiveKit, operated by LiveKit Incorporated (USA). During a session, participants' audio and video data and technical connection data (IP address, device/browser information, latency and error logs) are routed through LiveKit's servers to establish the connection. Media is routed via an EU region; however, LiveKit Incorporated is based in the USA and also processes data there.

As this involves a transfer to a third country (USA), it is safeguarded by the EU Standard Contractual Clauses in LiveKit's Data Processing Addendum and by certification under the EU-U.S. Data Privacy Framework.

LiveKit privacy policy: livekit.com/legal/privacy-policy
Data Processing Addendum: livekit.com/legal/data-processing-addendum

Legal basis: Art. 6(1)(b) GDPR (performance of the collaboration), Art. 6(1)(a) GDPR (consent)
Data processing: based on LiveKit's Data Processing Addendum (Art. 28 GDPR, incl. EU Standard Contractual Clauses)

3.7 Stripe (Card Payments)

Card payments are processed by Stripe; the provider for Europe is Stripe Payments Europe, Limited, Dublin, Ireland. When you pay by card, payment and card data are processed directly by Stripe; we do not receive or store full card details. See Stripe's privacy policy: stripe.com/privacy

Legal basis: Art. 6(1)(b) GDPR (contract performance)
Data processing: based on the Stripe Data Processing Agreement (Art. 28 GDPR)

3.8 Hetzner (File Storage / Object Storage)

Image files uploaded in the collaboration area (e.g. moodboard reference images) and high-resolution print masters are stored via the Object Storage service of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany. Storage is on servers located within the EU. Hetzner processes this data solely on our instructions as a processor under Art. 28 GDPR. Privacy policy: www.hetzner.com/legal/privacy-policy

Legal basis: Art. 6(1)(b) GDPR (contract performance) or Art. 6(1)(f) GDPR (legitimate interest in operating the collaboration area)

3.9 Anthropic (AI Image Analysis and Text Suggestions)

For the analysis of uploaded works and the resulting text suggestions (see 2.7) we use the AI service "Claude" provided by Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA. For customers in the European Economic Area, Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ireland is the contracting entity; the processing itself takes place on servers in the USA.

The following is transmitted:

• when a work is published: the downscaled image and the associated details (see 2.7)
• when saving a description with no English version: the German description text, for translation
• for technical maintenance: collected error reports from our application (error text, route called, status code, timestamp) — no images of works, no order or customer data

As this involves a transfer to a third country (USA), it is safeguarded by the EU Standard Contractual Clauses (Implementing Decision (EU) 2021/914, Module 2) in Anthropic's Data Processing Addendum. Anthropic processes the content solely on our instructions to provide the service and does not use it to train its AI models.

Anthropic privacy policy: anthropic.com/legal/privacy
Data Processing Addendum: anthropic.com/legal/commercial-terms

Legal basis: Art. 6(1)(b) GDPR (providing the platform) and Art. 6(1)(f) GDPR (legitimate interest in discoverable works and in error-free operation)
Data processing: based on Anthropic's Data Processing Addendum (Art. 28 GDPR, incl. EU Standard Contractual Clauses)

4. Cookies and Storage in Your Browser

We do not use tracking or advertising cookies and no third-party web analytics. Some functions store data in your browser, as a cookie or in local storage (localStorage). This only happens once you use the function in question, and only as far as it needs to.

Entries in local and session storage are not transmitted to us. Your browser sends the cookies jdmn_wish and jdmn_cart to our server with each request; the server only keeps a hash of them, linked to your wishlist or cart. We do not evaluate the cookie jdmn_age on the server. If you install Jedermannart as an app, your browser also caches pages and images so they load faster and offline. You can delete all of this at any time in your browser settings; your wishlist and cart will then no longer be reachable for you.

Legal basis: § 25(2) No. 2 TDDDG (strictly necessary for a service you expressly requested); for further processing Art. 6(1)(b) GDPR (cart as preparation of a purchase) or Art. 6(1)(f) GDPR (wishlist, settings, youth protection)

4.1 Age Confirmation

Jedermannart presents fine-art photography that is in part intended for mature audiences. These works are kept in a separate area (akt.jedermannart.de). Before it opens, we ask you once to confirm that you are of legal age.

We store your confirmation in the cookie jdmn_age, which applies to jedermannart.de and akt.jedermannart.de so you are not asked twice. It only contains the date of the confirmation. Older confirmations may also be stored in local storage under jdmn.ageConfirmed. Both are valid for 365 days. The confirmation is not reported to us, and we collect no further information about you. You can delete it at any time by removing cookies and site data for jedermannart.de in your browser.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in youth protection and compliance with duty-of-care obligations); § 25(2) No. 2 TDDDG (strictly necessary for a function you expressly requested)

5. Your Rights

Under the GDPR you have the right to: access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20), objection (Art. 21), and withdrawal of consent (Art. 7(3)).

Deletion & access in practice: Upon a deletion request we remove or anonymise your personal profile data (name, contact details, bio, profile photo, payment data and any biometric data such as facial-recognition features) and disable account access; published works are unpublished. Invoice and payment records for purchases or sales already made must be retained for the statutory retention period (generally 10 years, § 147 AO / § 257 HGB) and remain linked to your former account in anonymised form. An access report (Art. 15) is provided on request as a machine-readable file.

Purchases without an account (guest orders): If you ordered without a user account, your email address is stored only with the respective order. Upon a deletion request we neutralise the email address (and any free text from a cancellation/return request) in that order. The invoice itself and the tax-relevant order data (amount, VAT, invoice number, order country) are retained for statutory reasons for the retention period (generally 10 years, § 147 AO / § 257 HGB); thereafter they are no longer linked to your email address.

To exercise your rights, contact: dsb@kill2birds.de

You also have the right to lodge a complaint with a supervisory authority. For EU residents, the authority in your country of residence is competent.

6. Security

Our website uses SSL/TLS encryption (HTTPS). All connections between your browser and our server are encrypted.

7. Updates to This Policy

We reserve the right to update this policy as our data practices or legal requirements change. The current version is always available on this page.

Last updated: September 2026