Datenschutzerklärung.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:

Sebastian Libuda, Colourmatch, Carlshöhe 29, 24340 Eckernförde, E-Mail: info@colourmatch.de.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse).

3. Hosting (Vercel)

Diese Website wird bei der Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet; die Serverless-Funktionen werden in der EU-Region fra1 (Frankfurt am Main) ausgeführt. Beim Aufruf der Seiten werden technisch notwendige Zugriffsdaten (z. B. IP-Adresse, Datum und Uhrzeit, abgerufene Seite) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mit Vercel besteht ein Auftragsverarbeitungsvertrag; da Vercel ein US-Unternehmen ist, ist ein etwaiger Zugriff aus den USA durch den EU-US Data Privacy Framework-Beschluss (10.07.2023) bzw. ergänzend durch EU-Standardvertragsklauseln abgesichert.

4. Content-Management (Sanity)

Die Inhalte der Website werden über das Headless-CMS Sanity verwaltet; die Inhaltsdaten werden innerhalb der EU gespeichert (Google Cloud Platform, Region europe-west1, Belgien). Anbieter ist die Sanity AS (Norwegen) bzw. Sanity Inc. (USA). Bilder werden über das global verteilte Content-Delivery-Network von Sanity (cdn.sanity.io) ausgeliefert; dabei wird Ihre IP-Adresse technisch bedingt an Sanity übermittelt. Damit geänderte Inhalte ohne Neuladen erscheinen, baut Ihr Browser zudem eine Verbindung zur Schnittstelle von Sanity (api.sanity.io) auf; auch dabei wird Ihre IP-Adresse übermittelt. Auf Ihrem Gerät wird dafür nichts gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Kursbuchung, Werk-Bestellungen und Nutzerkonten (Supabase)

(1) Für Kursanmeldungen und Buchungen sowie für Werk-Bestellungen im Shop verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, ggf. Telefonnummer, bei Versand die Lieferadresse, gewählter Termin bzw. gekauftes Werk, Anzahl/Plätze, Nachricht). Diese Daten werden zur Abwicklung an die jeweilige Kursleitung bzw. an die verkaufende Künstler:in (Verkäufer:in) weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Die Speicherung erfolgt in einer Datenbank des Anbieters Supabase, die in einem Rechenzentrum innerhalb der EU (Frankfurt am Main, Deutschland; AWS-Region eu-central-1) betrieben wird. Anbieter ist die Supabase Inc. (USA), mit der ein Auftragsverarbeitungsvertrag besteht; ein etwaiger Zugriff aus einem Drittland ist durch EU-Standardvertragsklauseln abgesichert.

(3) Registrierte Künstlerinnen und Künstler legen über Supabase ein Nutzerkonto an (Authentifizierung per E-Mail). Verarbeitet werden E-Mail-Adresse und Anmeldedaten zur Bereitstellung des geschützten Profilbereichs.

6. Zahlungsabwicklung (Stripe)

(1) Für die Abwicklung kostenpflichtiger Kursbuchungen und Werk-Käufe nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Die Zahlung erfolgt auf einer von Stripe gehosteten Bezahlseite (checkout.stripe.com); vollständige Zahlungsdaten (z. B. Kartennummern) werden ausschließlich von Stripe verarbeitet und gelangen nicht zu uns.

(2) Bei einer Zahlung werden die zur Zahlungsabwicklung erforderlichen Daten (u. a. Name, E-Mail-Adresse, Zahlungsdaten, Betrag) unmittelbar an Stripe übermittelt und dort verarbeitet. Wir selbst erhalten und speichern keine vollständigen Zahlungsdaten (z. B. Kreditkartennummern), sondern lediglich Transaktions- und Statusinformationen (z. B. Zahlungsstatus, Betrag, Transaktionskennung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(3) Die Auszahlung an die Kursleitung bzw. an die verkaufende Künstler:in erfolgt über Stripe Connect. Einzelheiten zur Datenverarbeitung durch Stripe finden Sie unter https://stripe.com/de/privacy.

7. E-Mail-Versand (Resend)

Für den Versand von Bestätigungs-, Ticket- und Benachrichtigungs-E-Mails nutzen wir den Dienst Resend. Der E-Mail-Versand erfolgt über die EU-Region des Anbieters (Irland, eu-west-1). Hierbei werden Ihre E-Mail-Adresse und die im jeweiligen Vorgang erforderlichen Daten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Anbieter ist die Resend, Inc. (USA); Konto- und Protokolldaten können dort verarbeitet werden. Es besteht ein Auftragsverarbeitungsvertrag; eine etwaige Übermittlung in die USA ist durch den EU-US Data Privacy Framework-Beschluss bzw. ergänzend durch EU-Standardvertragsklauseln abgesichert.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtliche Fristen von bis zu zehn Jahren) dies vorsehen.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21). Zur Ausübung genügt eine formlose Nachricht an die oben genannte Kontaktadresse.

Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, in der Regel beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD).

10. Datensicherheit

Wir verwenden eine SSL-/TLS-Verschlüsselung zum Schutz der Übertragung vertraulicher Inhalte. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile Ihres Browsers.

11. Aktualität

Diese Datenschutzerklärung hat den Stand Oktober 2026. Durch die Weiterentwicklung der Plattform oder geänderte rechtliche Vorgaben kann eine Anpassung erforderlich werden.

12. Cookies und lokale Speicherung

Unsere Website verwendet technisch notwendige Cookies und den lokalen Speicher Ihres Browsers. Für die Anmeldung im geschützten Profilbereich (Künstler:innen) setzt unser Authentifizierungsdienst Supabase Session-Cookies (z. B. „sb-…-auth-token“), die für die sichere Anmeldung und die Aufrechterhaltung der Sitzung erforderlich sind. Ihre Entscheidung im Cookie-Banner speichern wir im lokalen Speicher Ihres Browsers (Eintrag „kk-consent“ mit Datum; nach 12 Monaten fragen wir erneut). Rechtsgrundlage für beides ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f DSGVO. Den Cookie-Banner betreiben wir selbst; dabei werden keine Daten an Dritte übermittelt. Analyse-Cookies (Google Analytics, siehe Abschnitt 16) setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite mit Wirkung für die Zukunft ändern oder widerrufen. Marketing- oder Werbe-Cookies setzen wir nicht ein. Beim Bezahlvorgang kann der Zahlungsdienstleister Stripe auf seiner eigenen Bezahlseite eigene Cookies (u. a. zur Betrugsprävention) setzen; hierfür ist Stripe verantwortlich.

13. Übermittlung in Drittländer (USA)

Die Datenverarbeitung erfolgt grundsätzlich innerhalb der EU (Ausnahme: Google Analytics, nur mit Ihrer Einwilligung, siehe Abschnitt 16): Hosting (Vercel) in Frankfurt am Main (fra1), Datenbank (Supabase) in Frankfurt am Main (AWS eu-central-1), CMS-Inhalte (Sanity) in der EU (Google Cloud, Belgien) und der E-Mail-Versand (Resend) über die EU-Region Irland (eu-west-1); Vertragspartner der Zahlungsabwicklung ist die Stripe Payments Europe, Ltd. (Dublin, Irland). Ein verbleibender USA-Bezug ergibt sich daraus, dass mehrere Anbieter US-Unternehmen sind (insbesondere können bei Resend Konto- und Protokolldaten in den USA verarbeitet werden) und ein Zugriff aus den USA daher nicht vollständig ausgeschlossen werden kann. Soweit personenbezogene Daten in die USA übermittelt werden, stützt sich dies auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO) bzw. ergänzend auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

14. Schriftarten

Die auf dieser Website verwendeten Schriftarten werden lokal von unserem Server ausgeliefert (Self-Hosting). Es findet kein Abruf bei externen Anbietern wie Google Fonts statt; Ihre IP-Adresse wird hierfür nicht an Dritte übermittelt.

15. Newsletter-Abonnement

(1) Über das Anmeldeformular auf dieser Website können Sie unseren E-Mail-Newsletter abonnieren. Wir verarbeiten dabei Ihren Vornamen und Ihre E-Mail-Adresse. Der Versand erfolgt im Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine Bestätigungsmail mit einem Bestätigungslink; erst nach Klick auf diesen Link wird Ihre Adresse in den Verteiler aufgenommen. Die Daten werden in unserer Datenbank (Supabase, Frankfurt am Main) gespeichert; der technische Versand der E-Mails erfolgt über Resend (siehe Abschnitt 7). Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

(2) Die Abmeldung ist jederzeit möglich, z. B. über den Abmelde-Link am Ende jeder Newsletter-Mail oder durch formlose Nachricht an die oben genannte Kontaktadresse. Nach der Abmeldung werden Vorname und E-Mail-Adresse unverzüglich aus dem Verteiler gelöscht. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).

16. Webanalyse (Google Analytics)

(1) Mit Ihrer Einwilligung nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics wird erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben; vorher besteht keine Verbindung zu Google.

(2) Verarbeitet werden Nutzungsdaten wie aufgerufene Seiten, Verweildauer, Herkunft des Besuchs (z. B. Suchmaschine oder verweisende Website), ungefährer Standort (aus der IP-Adresse abgeleitet, ohne die IP-Adresse zu speichern), Gerätetyp, Browser und Betriebssystem sowie Aktionen auf der Website (Kursbuchung, Werk-Kauf und Beginn der Bezahlung mit Betrag, Kurs bzw. Werk und Bestellnummer; Kursanmeldung, Werk-Anfrage, Newsletter-Anmeldung, Klick auf E-Mail- oder Telefon-Link), jeweils ohne Namen oder Kontaktdaten. Google-Signale und Werbefunktionen sind deaktiviert. Zur Wiedererkennung setzt Google Analytics die Cookies „_ga“ und „_ga_<ID>“ mit einer Speicherdauer von bis zu 2 Jahren.

(3) Zweck ist die statistische Auswertung, welche Inhalte der Website genutzt werden, um das Angebot zu verbessern. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Daten können an die Google LLC in den USA übermittelt werden; Google ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Die Nutzungsdaten werden in Google Analytics nach 2 Monaten automatisch gelöscht.

(4) Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ am Ende jeder Seite widerrufen. Danach wird Google Analytics nicht mehr ausgeführt, und die genannten Cookies werden gelöscht. Weitere Informationen: https://policies.google.com/privacy