Datenschutzerklärung
Letzte Aktualisierung: September 2026
1. Verantwortliche Stelle
Verantwortliche Stelle ist die Studioinhaberin oder der Studioinhaber, die oder der über die StudioFlow-Plattform tätig ist. Für Anfragen zum Datenschutz wenden Sie sich bitte an die Administration der Organisation über die in den Einstellungen der Organisation hinterlegte E-Mail-Adresse.
2. Welche Daten wir erheben
Kontodaten
Name, E-Mail-Adresse und Telefonnummer der Teammitglieder, welche die Plattform nutzen.
Kundendaten
Namen, E-Mail-Adressen, Telefonnummern, Projektangaben und Kommunikationsverlauf von Kundinnen und Kunden — vom Studioteam erfasst, um das eigene Geschäft zu führen.
Foto- & Dateidaten
In Galerien hochgeladene Bilder, einschliesslich EXIF-Metadaten (Kameramodell, Aufnahmedatum, GPS-Koordinaten, falls vorhanden), Dateimetadaten (Grösse, Abmessungen, Format) sowie zugehörige Notizen der Administration und der Kundschaft.
Daten von Galeriebesuchenden
Wenn Galeriebesuchende mit öffentlichen Galerien interagieren: E-Mail-Adresse (falls für die Favoriten-Funktion eingegeben), ein Identifikations-Token der Kundschaft und die IP-Adresse (erfasst für die Zeitstempel bei der Annahme von Verträgen und Offerten).
Technische Daten
Browser-User-Agent (für die Abonnemente von Push-Benachrichtigungen), Gerätetyp und übliche Zugriffsprotokolle des Webservers.
Nutzungsdaten
Aktivitätsprotokolle innerhalb der Plattform zu Audit- und Sicherheitszwecken.
3. Rechtsgrundlage (Art. 6 DSGVO)
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Bearbeitung von Kundendaten zum Betrieb und zur Führung des Fotogeschäfts.
- Vertragserfüllung (Art. 6 Abs. 1 lit. b): Erbringung des Dienstes gegenüber registrierten Teammitgliedern.
- Einwilligung (Art. 6 Abs. 1 lit. a): Galeriebesuchende, die freiwillig ihre E-Mail-Adresse für die Favoriten-Funktion eingeben.
4. Zwecke der Datenbearbeitung
Wir bearbeiten Personendaten zu den folgenden Zwecken:
- Studio- und Projektverwaltung
- Terminplanung und Kommunikation mit der Kundschaft
- Erstellung von Rechnungen, Offerten und Verträgen
- Auslieferung von Fotogalerien und Durchsicht durch die Kundschaft
- Zusammenarbeit im Team und Aufgabenverwaltung
- Kalendersynchronisation
- Sicherheit der Plattform und Missbrauchsprävention
5. Datenspeicherung & Speicherort
- Anwendungsdatenbank: Hetzner VPS, Deutschland (EU) — auf dem Übertragungsweg mit TLS verschlüsselt.
- Foto- & Videospeicher: Objektspeicher Backblaze B2, EU-Region (eu-central) — im Ruhezustand und auf dem Übertragungsweg verschlüsselt.
- Auslieferung von Inhalten: Das Cloudflare-CDN liefert zwischengespeicherte Foto- und Videodaten von Edge-Standorten aus. Cloudflare wirkt als durchleitende Zwischenspeicherschicht; Ihre Inhalte werden über die üblichen CDN-Cache-TTLs hinaus nicht dauerhaft gespeichert.
- Sicherungen: Dateisystem des Servers auf demselben Hetzner VPS (Deutschland, EU) — tägliche XLSX-Exporte der Anwendungsdatenbank mit rollender Aufbewahrung von 30 Tagen. Die Sicherungsdateien verlassen die EU nicht. Foto- und Video-Originaldateien sind nicht Teil der Anwendungssicherung; siehe die Allgemeinen Geschäftsbedingungen, Ziffer 5.5.
6. Aufbewahrungsdauer
- Aktive Daten: Werden für die Dauer des Bestehens der Organisation auf der Plattform aufbewahrt.
- Weich gelöschte Daten: Werden bis zu 30 Tage aufbewahrt, um eine Wiederherstellung zu ermöglichen, und danach endgültig entfernt.
- Sicherungen: Tägliche Sicherungen werden 30 Tage aufbewahrt, monatliche Archive 2 Jahre.
- Audit-Protokolle: Werden 12 Monate aufbewahrt.
7. Auftragsverarbeiter (Dritte)
- Hetzner Online GmbH — Serverhosting (Deutschland, EU)
- Backblaze, Inc. — Objektspeicher für Fotos und Videos (B2, EU-Region)
- Cloudflare, Inc. — Content Delivery Network (CDN) für die zwischengespeicherte Auslieferung von Fotos und Videos; stellt zudem DNS und die TLS-Terminierung am Edge bereit. Keine dauerhafte Speicherung von Kundeninhalten.
- Google LLC — ausschliesslich Kalendersynchronisation (über das eigene Google-Konto der Organisationsinhaberin oder des Organisationsinhabers; es werden keine Sicherungsdaten an Google übermittelt)
- Web-Push-Dienste — Zustellung von Push-Benachrichtigungen im Browser (über die Endpunkte der Browser-Anbieter)
8. Ihre Rechte
Nach der EU-Datenschutz-Grundverordnung (DSGVO) und dem Schweizer Bundesgesetz über den Datenschutz (nDSG / DSG) stehen Ihnen die folgenden Rechte zu:
- Auskunftsrecht (Art. 15 DSGVO): Eine Kopie Ihrer Personendaten verlangen.
- Recht auf Berichtigung (Art. 16): Die Berichtigung unrichtiger Daten verlangen.
- Recht auf Löschung (Art. 17): Die Löschung Ihrer Daten verlangen. Inhaberinnen und Inhaber einer Organisation können ihre gesamte Organisation über die Funktion «Organisation löschen» in den Einstellungen löschen.
- Recht auf Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten Format exportieren (ein XLSX-Sicherungsexport steht zur Verfügung).
- Widerspruchsrecht (Art. 21): Der Bearbeitung auf Grundlage berechtigter Interessen widersprechen.
- Recht auf Widerruf der Einwilligung: Beruht eine Bearbeitung auf Einwilligung, können Sie diese jederzeit widerrufen.
- Beschwerderecht: Beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) in der Schweiz oder bei der zuständigen Aufsichtsbehörde in Ihrem EU-Mitgliedstaat.
9. Cookies & lokaler Speicher
StudioFlow verwendet keine Tracking-Cookies, keine Analyse-Skripte und keine Werbung Dritter. Den lokalen Speicher des Browsers nutzen wir ausschliesslich für:
- Authentifizierungs-Token (JWT) zur Aufrechterhaltung Ihrer Anmeldesitzung
- Identifikations-Token der Kundschaft für Galerie-Favoriten
- Voreinstellungen der Oberfläche (Erscheinungsbild, Zustand der Seitenleiste)
10. Meldung von Datenschutzverletzungen
Gemäss Art. 33/34 DSGVO und Art. 24 des Schweizer DSG melden wir eine Verletzung des Schutzes von Personendaten, die voraussichtlich zu einem Risiko für Ihre Rechte und Freiheiten führt, innerhalb von 72 Stunden nach Kenntnisnahme der zuständigen Aufsichtsbehörde. Betroffene Personen werden ohne unangemessene Verzögerung benachrichtigt, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt.
11. Kinder
StudioFlow richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Personendaten von Kindern.
12. Schweizerisches Bundesgesetz über den Datenschutz (nDSG / DSG)
Da die Plattform von Zürich, Schweiz, aus betrieben wird, gilt zusätzlich zur DSGVO das Schweizer Bundesgesetz über den Datenschutz (nDSG, in Kraft seit dem 1. September 2023). Das bedeutet:
- Wir führen ein Verzeichnis der Bearbeitungstätigkeiten gemäss Art. 12 nDSG.
- Grenzüberschreitende Datenbekanntgaben erfolgen im Einklang mit Art. 16-17 nDSG (alle Daten bleiben in der EU/Schweiz).
- Meldungen von Datenschutzverletzungen richten sich nach den Anforderungen von Art. 24 nDSG.
13. Änderungen dieser Erklärung
Wir können diese Datenschutzerklärung von Zeit zu Zeit anpassen. Bei wesentlichen Änderungen benachrichtigen wir die Inhaberin oder den Inhaber der Organisation mindestens 30 Tage im Voraus per E-Mail. Die aktualisierte Erklärung wird mit einem angepassten Datum der letzten Aktualisierung auf dieser Seite veröffentlicht.
14. Kontakt
Für Anfragen zum Datenschutz, zur Ausübung Ihrer Rechte oder bei Fragen zu dieser Datenschutzerklärung wenden Sie sich bitte an die Administration der Organisation unter der E-Mail-Adresse, die auf der Einstellungsseite der Plattform aufgeführt ist.
15. Sprache
Diese Datenschutzerklärung wird in englischer und in deutscher Sprache veröffentlicht. Die englische Fassung ist die Referenzfassung; die deutsche Fassung dient ausschliesslich dem besseren Verständnis. Bei Widersprüchen, Unstimmigkeiten oder Auslegungsunterschieden zwischen den beiden Fassungen ist die englische Fassung massgebend. Die englische Fassung finden Sie unter /privacy.