Datenschutzerklärung
Stand: 7. November 2026. Diese Erklärung beschreibt, wie wir personenbezogene Daten bei storydoors.app, beim Kauf und bei der Nutzung des Lichterwald-Kalenders verarbeiten.
3.1 Verantwortlicher
Alexander Söllner, Einzelunternehmen (StoryDoors), Am Weiherhaag 15, 65779 Kelkheim (Taunus), Deutschland. E-Mail: [email protected]. Telefon: 0179 690 6593 (international +49 179 690 6593). Ein Datenschutzbeauftragter ist nicht benannt.
3.2 Aufruf der Website und der Kalenderseite
Beim Aufruf verarbeitet unser Hosting-Dienstleister Cloudflare technisch notwendige Verbindungsdaten, insbesondere die IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserangaben, um die Seiten auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit für die gekaufte Leistung erforderlich, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb). Wir setzen keine Analyse- oder Werbe-Tracker ein. Unsere eigenen Seiten setzen keine Cookies; was wir im Browser speichern, steht in Abschnitt 3.5. Auf der Kaufseite kommen beim Bezahlen Einträge von Stripe hinzu (Abschnitt 3.3). Schriften werden von unserem eigenen Server geladen.
3.3 Kauf und Zahlung
Beim Kauf verarbeiten wir E-Mail-Adresse, gewählte Positionen, Preis, Bestellnummer, Zeitpunkt, Zahlungsstatus, die von Stripe übermittelte Zahlungsreferenz, das Land der Zahlungsadresse und die berechnete Umsatzsteuer. Bei Firmenbestellungen zusätzlich Firmenname, Ansprechperson, Rechnungsanschrift und gegebenenfalls USt-IdNr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung).
Die Zahlung wickelt Stripe ab. Zahlungsdaten wie Kartennummern gibst Du direkt bei Stripe ein; wir erhalten keine vollständigen Kartendaten. Vertragspartner für die Zahlungsabwicklung ist für unser deutsches Stripe-Konto die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (Stripe Legal Process Guide, https://stripe.com/de/legal/legal-process-guide); für einzelne Leistungen kann zusätzlich die Stripe Technology Europe, Limited beteiligt sein (Stripe Services Agreement, Abschnitt Stripe-Vertragspartner, https://stripe.com/de/legal/ssa). Stripe handelt bei der Zahlungsabwicklung für uns als Auftragsverarbeiter (Stripe-Datenverarbeitungsvereinbarung, https://stripe.com/de/legal/dpa) und verarbeitet Daten zusätzlich in eigener Verantwortung, etwa zur Betrugsprävention, Sicherheit und Erfüllung eigener rechtlicher Pflichten (https://stripe.com/de/privacy). Stripe übermittelt Daten auch in Drittländer, unter anderem in die USA, gestützt auf Angemessenheitsbeschlüsse, Standardvertragsklauseln und das EU-U.S. Data Privacy Framework, soweit anwendbar. Datenschutzhinweise von Stripe: https://stripe.com/de/privacy.
Beim Bezahlen lädt die Kaufseite das Zahlungsfenster von Stripe (Stripe.js von js.stripe.com, Zahlungsfelder in Rahmen von Stripe). Stripe setzt dabei zur Betrugsprävention eigene Cookies und Speichereinträge. Laut Stripe sind das unter anderem __stripe_mid (1 Jahr) und __stripe_sid (30 Minuten) sowie Sitzungseinträge auf m.stripe.network und ein Eintrag m auf m.stripe.com (2 Jahre); Stripe führt sie als erforderlich (https://stripe.com/de/cookie-settings). Wir nutzen diese Einträge nicht selbst. Sie sind für die von Dir gewünschte Zahlung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) Ohne Zahlungsfenster setzt die Kaufseite keine Cookies.. Je nach Zahlungsart (zum Beispiel PayPal, Apple Pay, Google Pay) gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters.
3.4 Nachweis Deiner Erklärungen beim Kauf
Wir speichern die Bestätigungen, die Du beim Kauf abgibst (Alter, AGB, Zustimmung zum sofortigen Beginn der Ausführung und Kenntnisnahme vom Verlust des Widerrufsrechts, freiwillig Neuigkeiten), dazu den Zeitpunkt, zu dem Deine Bestellbestätigung versandt wurde, und für jeden Kalenderzugang den Zeitpunkt, zu dem sein Link zum ersten Mal geöffnet wurde, jeweils mit Textfassung, Zeitpunkt und einer Prüfkennung, die aus Deiner IP-Adresse, dem Tagesdatum und einem geheimen Schlüssel berechnet wird (Hashwert). Die IP-Adresse selbst speichern wir dafür nicht. Ein Hashwert ist keine Verschlüsselung und keine Anonymisierung: Die Daten bleiben pseudonym und damit personenbezogen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis der Vertragserklärungen).
3.5 Zugang, Geräte und Wiedergaben
Für Gerätegrenzen, Wiedergabezählung und Missbrauchsschutz verarbeiten wir die Zugangskennung, eine zufällige Gerätekennung, Zeitpunkt der Einrichtung, Türchen, Sprache und Zeitpunkt jedes Starts sowie eine gekürzte, mit geheimem Schlüssel umgerechnete Netzkennung (Hashwert des Netzbereichs) und für Begrenzungen von Anfragen einen täglich wechselnden Hashwert der IP-Adresse. Auch diese Werte sind pseudonym, nicht anonym. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vereinbarte Gerätegrenzen und Wiedergaben) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
Auf Deinem Gerät speichert die Kalenderseite:
| Eintrag | Speicherort | Zweck | Dauer |
|---|---|---|---|
| lw_access_v1 | lokaler Speicher des Browsers | Dein Zugang (Paket und Zugangscode), damit Du den Link nicht jedes Mal öffnen musst | bis Du ihn löschst |
| lw_device_v1 | lokaler Speicher des Browsers | zufällige Gerätekennung für die vereinbarte Gerätegrenze | bis Du ihn löschst |
Cookies setzt die Kalenderseite nicht. Die beiden Einträge lw_access_v1 und lw_device_v1 sind für die gekaufte Leistung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie über die Browsereinstellungen löschen; danach muss der Zugang auf dem Gerät neu eingerichtet werden.
Automatische Entscheidungen: Wird die Gerätegrenze oder die Zahl der Wiedergaben erreicht, lehnt das System weitere Geräte oder Starts automatisch ab. Das ist die vereinbarte Leistungsgrenze, keine Bewertung Deiner Person. Bei Problemen hilft Dir ein Mensch unter [email protected].
3.6 Geschenke
Beim Geschenkkauf kannst Du einen Absendernamen und einen Gruß hinterlegen. Beides zeigen wir auf der Seite des jeweiligen Familienlinks an. Daten der beschenkten Familie fragen wir nicht ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.7 Filme
Die Filme werden über Cloudflare Stream mit zeitlich begrenzten, signierten Wiedergabeberechtigungen ausgeliefert; als technische Rückfallebene kann ein geschützter Cloudflare-Speicher dienen. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten einschließlich der IP-Adresse.
3.8 E-Mails
Bestell-, Zugangs-, Widerrufs- und Erstattungsmails versenden wir über den Cloudflare Email Service. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Neuigkeiten senden wir nur nach Deiner ausdrücklichen Einwilligung mit Bestätigung per Mail (Art. 6 Abs. 1 lit. a DSGVO); Abmeldung jederzeit mit einem Klick. Nach einer Abmeldung speichern wir nur einen Hashwert Deiner Adresse in einer Sperrliste, damit Du keine Werbung mehr erhältst.
Nachrichten an [email protected] verarbeiten wir in einem Postfach bei Cloudflare. Ein KI-System sortiert eingehende Nachrichten vor und erstellt Antwortentwürfe. Dafür nutzen wir Modelle, die bei Cloudflare (Workers AI) betrieben werden (laut Konfiguration: Kimi K2.5 von Moonshot AI, Llama 3.1 8B und Llama 4 Scout von Meta). Antworten werden von einem Menschen geprüft und freigegeben; ein automatischer Versand ist nicht eingerichtet. Es gibt keine automatischen Entscheidungen über Widerruf oder Erstattung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Vertragsfragen, sonst Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung Deines Anliegens).
3.9 Widerruf über die Website
Für die Widerrufsfunktion verarbeiten wir Name, Bestell- oder Vertragsangabe, E-Mail-Adresse, den Inhalt der Erklärung sowie Datum und Uhrzeit des Eingangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (§ 356a BGB).
3.10 Dienstleister und Übermittlung in Drittländer
- Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Hosting, Datenbank, Medienspeicher, Mailversand, Postfach und KI-Modelle (Workers AI) als Auftragsverarbeiter auf Grundlage des Cloudflare-Auftragsverarbeitungsvertrags. Übermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework, ersatzweise der EU-Standardvertragsklauseln. Laut Data-Privacy-Framework-Liste ist die Teilnahme von Cloudflare, Inc. aktiv (https://www.dataprivacyframework.gov/participant/5666, abgerufen am 7. November 2026).
- Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (siehe 3.3): Auftragsverarbeiter bei der Zahlungsabwicklung und eigener Verantwortlicher für Betrugsprävention, Sicherheit und eigene rechtliche Pflichten; Übermittlung an Stripe, Inc. (USA) nach den Angaben in den Stripe-Datenschutzhinweisen.
- Eine ausschließliche Verarbeitung in der EU wird nicht zugesagt.
3.11 Speicherdauer
Wir löschen Daten, sobald sie für den Zweck nicht mehr nötig sind und keine gesetzliche Aufbewahrungspflicht besteht. Die Fristen unten entsprechen den in unserem System eingerichteten Löschläufen; wo eine Frist erst später erreicht wird, steht das dabei.
| Daten | Frist | Grundlage |
|---|---|---|
| Bestell-, Zahlungs- und Rechnungsdaten (Bestellung, Positionen, Beträge, Umsatzsteuer, Zahlungsreferenz) | bis Ende des 10. Kalenderjahres nach dem Kaufjahr | steuerliche Aufzeichnungs- und Aufbewahrungspflichten (§ 147 Abs. 1, Abs. 3 AO, § 14b UStG, § 22 UStG); während dieser Zeit nur noch für diese Pflichten verwendet |
| Versandte Bestell-, Zugangs-, Widerrufs- und Erstattungsmails | 6 Jahre ab Ende des Versandjahres | § 147 Abs. 1 Nr. 2, 3, Abs. 3 AO (Handels- und Geschäftsbriefe) |
| Nachweis Deiner Erklärungen beim Kauf (Alter, AGB, sofortiger Beginn) und Widerrufserklärungen | bis Ende des dritten Kalenderjahres nach Ende der Nutzungsdauer (also bis 31.12.2030) | Abwehr und Durchsetzung von Ansprüchen, orientiert an der regelmäßigen Verjährung (§§ 195, 199 BGB) |
| Zugangs-, Geräte- und Wiedergabedaten | bis 90 Tage nach Ende der Nutzungsdauer (Löschung ab 1. Mai 2027) | Erfüllung des Vertrags, Klärung von Rückfragen |
| Wiedergabesignale zum Missbrauchsschutz (Netz-Hashwert, Netzbetreiber, Land) | 30 Tage | Schutz vor Missbrauch |
| Technische Ereignisprotokolle | 7 Tage | sicherer Betrieb |
| Nicht bestätigte Starts | 30 Tage | sicherer Betrieb |
| Abgebrochene oder offene Kaufvorgänge | 30 Tage | sicherer Betrieb |
| Hilfe-Anfragen ohne Bestellbezug im Kundensystem | 1 Jahr | Bearbeitung Deines Anliegens |
| Nachrichten im Postfach [email protected] | nach Erledigung, spätestens nach 1 Jahr (Löschung durch uns von Hand) | Bearbeitung Deines Anliegens |
| Sicherungskopien der Datenbank | täglich, 35 Tage; zusätzlich monatlich bis zu 13 Monate | Wiederherstellung nach Störungen |
| Sperrliste nach Werbeabmeldung (Hashwert) | solange zur Beachtung des Widerspruchs nötig | Art. 21 Abs. 3 DSGVO |
Gelöschte Daten können bis zum Ablauf der jeweiligen Sicherungskopie noch in dieser enthalten sein; Sicherungskopien werden nur zur Wiederherstellung verwendet.
3.12 Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung kannst Du jederzeit für die Zukunft widerrufen. Beruht eine Verarbeitung auf berechtigten Interessen, kannst Du aus Gründen Deiner besonderen Situation widersprechen; Werbung kannst Du jederzeit widersprechen. Wende Dich dafür an [email protected]. Du kannst Dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden (Dienstgebäude Wilhelmstraße 7, 65185 Wiesbaden), https://datenschutz.hessen.de.
3.13 Kinder
Verträge schließen wir nur mit Erwachsenen. Kinder müssen keine Daten eingeben.