Datenschutzerklärung

Stand: 5. November 2026

Präambel

Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als „Daten“ bezeichnet) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung unserer Leistungen als auch insbesondere auf unserer Webseite und innerhalb externer Onlinepräsenzen, wie z. B. unserer Social-Media-Profile (nachfolgend zusammenfassend als „Onlineangebot“ bezeichnet). Für die Paperfield-App gilt eine eigene Datenschutzerklärung, die wir in der App und im App Store bereitstellen.

Diese deutsche Fassung hat denselben Inhalt wie die englische Fassung (Privacy policy).

Inhaltsübersicht

Verantwortlicher

Jan Schüler
Paperfield
Havemannstraße 5
30165 Hannover
Deutschland

E-Mail: hello@paperfield.de
Telefon: +49 177 7290167
Impressum: Impressum

Übersicht der Verarbeitungen

Arten der verarbeiteten Daten

Kategorien betroffener Personen

Zwecke der Verarbeitung

Maßgebliche Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der folgenden Rechtsgrundlagen der Datenschutz-Grundverordnung (DSGVO). Sofern im Einzelfall speziellere Rechtsgrundlagen maßgeblich sind, nennen wir sie im jeweiligen Abschnitt.

Nationale Datenschutzregelungen in Deutschland: Zusätzlich zur DSGVO gilt das Bundesdatenschutzgesetz (BDSG). Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf (z. B. Cookies oder den lokalen Speicher des Browsers) gilt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG): Wir holen Ihre Einwilligung ein (§ 25 Abs. 1 TDDDG), es sei denn, die Speicherung oder der Zugriff ist unbedingt erforderlich, um einen von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und des Ausmaßes der Bedrohung der Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere die Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten durch Kontrolle des physischen und elektronischen Zugangs, der Eingabe, der Weitergabe und der Trennung der Daten sowie Verfahren zur Wahrnehmung von Betroffenenrechten, zur Löschung von Daten und zur Reaktion auf Gefährdungen. Den Schutz personenbezogener Daten berücksichtigen wir bereits bei der Entwicklung bzw. Auswahl von Hardware, Software und Verfahren (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen).

Konkret speichern wir auf unseren eigenen Systemen keine IP-Adressen. Zur Begrenzung der Anfragen (Schutz vor Missbrauch) wird die IP-Adresse nur kurzzeitig in verschlüsselter, nicht umkehrbarer Form verwendet (ein kryptografischer Hash mit geheimem Schlüssel). In unserem eigenen Datenspeicher liegen E-Mail-Adressen nur als solcher Hash (Pseudonym); die E-Mail-Adresse selbst liegt ausschließlich bei unserem E-Mail-Dienstleister Brevo.

Alle Verbindungen zu unserer Webseite sind mit TLS (HTTPS) verschlüsselt.

Übermittlung von personenbezogenen Daten

Im Rahmen unserer Verarbeitung kann es vorkommen, dass Daten an andere Stellen, Unternehmen oder Personen übermittelt oder ihnen gegenüber offengelegt werden. Empfänger sind insbesondere die in dieser Datenschutzerklärung genannten Dienstleister, die in unserem Auftrag tätig sind (Cloudflare, Brevo, Plausible), und, nur wenn wir deren Inhalte einbinden und Sie sie laden, Anbieter eingebetteter Inhalte (YouTube). Mit unseren Auftragsverarbeitern haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Internationale Datentransfers

Sofern wir Daten in ein Drittland (außerhalb der EU oder des Europäischen Wirtschaftsraums) übermitteln oder dies im Rahmen der Nutzung von Diensten Dritter geschieht, erfolgt dies nur im Einklang mit den gesetzlichen Vorgaben.

Für Datenübermittlungen in die USA stützen wir uns vorrangig auf das EU-US Data Privacy Framework (DPF), das mit dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 als sicherer Rechtsrahmen anerkannt wurde. Soweit wir Anbieter als Auftragsverarbeiter einsetzen (z. B. Cloudflare), enthalten deren Auftragsverarbeitungsverträge zusätzlich die Standardvertragsklauseln (SCC) der Europäischen Kommission, die als Absicherung dienen, falls sich das DPF ändert.

Bei jedem Anbieter geben wir an, ob er unter dem DPF zertifiziert ist und ob Standardvertragsklauseln gelten. Weitere Informationen und eine Liste der zertifizierten Unternehmen: https://www.dataprivacyframework.gov/. Informationen zu Drittlandtransfers und Angemessenheitsbeschlüssen: Europäische Kommission.

Datenspeicherung und Löschung

Wir löschen personenbezogene Daten nach den gesetzlichen Bestimmungen, sobald eine Einwilligung widerrufen wird oder keine andere Rechtsgrundlage für die Verarbeitung mehr besteht, insbesondere wenn der ursprüngliche Zweck entfällt. Ausnahmen gelten, wenn gesetzliche Pflichten oder berechtigte Gründe eine längere Aufbewahrung erfordern, z. B. die Aufbewahrung aus handels- oder steuerrechtlichen Gründen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gelten mehrere Aufbewahrungsfristen, ist die längste maßgeblich. Daten, die nur noch aus diesen Gründen aufbewahrt werden, verarbeiten wir ausschließlich zu diesen Zwecken.

Zu den gesetzlichen Aufbewahrungsfristen nach deutschem Recht gehören: 10 Jahre für Bücher, Aufzeichnungen und Jahresabschlüsse (§ 147 AO, § 257 HGB); 8 Jahre für Buchungsbelege wie Rechnungen (§ 147 AO, § 14b UStG, § 257 HGB); 6 Jahre für übrige steuerlich relevante Geschäftskorrespondenz (§ 147 AO, § 257 HGB); 3 Jahre für Daten, die zur Abwicklung möglicher Gewährleistungs- oder ähnlicher Ansprüche nötig sind (regelmäßige Verjährungsfrist, §§ 195, 199 BGB). Fristen von mindestens einem Jahr beginnen mit Ablauf des Kalenderjahres, in dem das auslösende Ereignis eingetreten ist.

Weitere Angaben zur Speicherdauer einzelner Verarbeitungen finden Sie in den folgenden Abschnitten.

Rechte der betroffenen Personen

Ihnen stehen nach der DSGVO, insbesondere nach Art. 15 bis 21 DSGVO, folgende Rechte zu:

Geschäftliche Leistungen

Wir verarbeiten Daten unserer Vertrags- und Geschäftspartner, z. B. Kunden, Beta-Tester, Interessenten und sonstiger Partner, um vertragliche und vergleichbare Rechtsverhältnisse anzubahnen, durchzuführen und abzuwickeln, einschließlich vorvertraglicher Maßnahmen auf Anfrage und der damit verbundenen Kommunikation. Dazu gehören die Bereitstellung der Beta-Version sowie die Bearbeitung von Feedback und Supportanfragen. Wir verarbeiten insbesondere Bestandsdaten wie den Namen, Kontaktdaten wie die E-Mail-Adresse, Vertragsdaten und Kommunikationsinhalte. Die App wird über den App Store von Apple verkauft; Zahlungsdaten erhalten wir nicht. Außerdem verarbeiten wir Daten zur Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten; dabei können externe Stellen wie Steuerberater beteiligt sein.

Bereitstellung des Onlineangebots und Webhosting

Um unsere Webseite an Ihren Browser auszuliefern, müssen wir Ihre IP-Adresse verarbeiten. Schriften und das Trailer-Video liefern wir von unserem eigenen Server aus; dafür werden keine Daten an Dritte wie Google Fonts übermittelt.

Schutz vor Missbrauch (Cloudflare Turnstile)

Um unser Anmeldeformular vor automatisierten Eintragungen (Spam, Bots) zu schützen, setzen wir Cloudflare Turnstile ein. Turnstile wird erst geladen, wenn Sie beginnen, das Anmeldeformular zu nutzen (wenn Sie in das E-Mail-Feld klicken oder dort tippen, das Einwilligungskästchen anhaken oder das Formular absenden); der bloße Besuch unserer Webseite lädt es nicht. Turnstile prüft dann technische Merkmale der Verbindung und des Browsers (z. B. IP-Adresse, Browser- und Geräteinformationen, Interaktionssignale), um zu erkennen, ob eine Anfrage von einem Menschen stammt. In der Regel müssen Sie dabei kein Bilderrätsel lösen. Laut Cloudflare nutzt Turnstile die Daten nicht für Werbung. Turnstile legt im lokalen Speicher von challenges.cloudflare.com in Ihrem Browser einen Eintrag namens cf.turnstile.u an (siehe „Einsatz von Cookies und vergleichbaren Technologien“). Zusätzlich nutzen wir eigene Maßnahmen (ein verstecktes Feld, eine Mindestausfülldauer und eine Begrenzung der Anfragen pro Zeitraum), für die wir keine Daten dauerhaft speichern.

Einsatz von Cookies und vergleichbaren Technologien

Unter „Cookies“ verstehen wir hier jede Technik, die Informationen auf Ihrem Endgerät speichert oder von dort ausliest, einschließlich des lokalen Speichers des Browsers. Für Analyse- oder Werbezwecke setzen wir selbst keine Cookies ein.

Zwei-Klick-Lösung: Binden wir externe Inhalte wie ein YouTube-Video ein, laden wir sie erst, nachdem Sie auf den Platzhalter geklickt und damit eingewilligt haben. Vor diesem Klick wird keine Verbindung zu YouTube aufgebaut; das Vorschaubild liefern wir selbst aus. Ihre Einwilligung gilt nur für den aktuellen Seitenaufruf und wird nicht gespeichert; beim nächsten Besuch werden Sie erneut gefragt. Sie können sie widerrufen, indem Sie das Video nicht erneut laden und die Cookies von YouTube in Ihrem Browser löschen. Außerdem können Sie der Verarbeitung jederzeit widersprechen, auch über die Datenschutzeinstellungen Ihres Browsers.

Kontakt- und Anfrageverwaltung

Wenn Sie uns kontaktieren (z. B. per E-Mail oder über soziale Medien) sowie im Rahmen bestehender Nutzer- und Geschäftsbeziehungen, etwa bei Feedback von Beta-Testern, verarbeiten wir Ihre Angaben, soweit dies zur Beantwortung Ihrer Anfrage und für gewünschte Maßnahmen erforderlich ist. Dazu gehören in der Regel Ihre Kontaktdaten, der Inhalt Ihrer Nachricht und Zeitangaben. Anfragen löschen wir, sobald sie vollständig bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Beta-Warteliste und E-Mails

E-Mails zur Paperfield-Beta („Newsletter“) versenden wir nur mit Einwilligung der Empfänger. Für die Anmeldung genügt Ihre E-Mail-Adresse. Ihre Einwilligung umfasst die bei der Anmeldung beschriebenen Inhalte: eine Bestätigungs-E-Mail (Double-Opt-in), Neuigkeiten zur Entwicklung und zur Beta (höchstens eine E-Mail pro Woche) und eine Einladung, sobald ein Testplatz frei wird.

Double-Opt-in: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick darauf werden Sie in die Liste aufgenommen, damit sich niemand mit fremden E-Mail-Adressen anmelden kann. Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung, die Version des Einwilligungstextes und die Stelle auf der Webseite, an der Sie sich angemeldet haben.

Bei der Anmeldung verarbeitete Daten:

Freiwillige Kurzumfrage: Direkt nach der Anmeldung können Sie freiwillig einige Fragen beantworten (z. B. ob Sie studieren, welche Geräte und Apps Sie nutzen, welches Problem Sie lösen möchten und wie Sie von uns erfahren haben; optional als Freitext). Wir nutzen die Antworten, um die Beta zu planen und Testplätze bevorzugt an die Menschen zu vergeben, für die die App gemacht ist (z. B. Studierende mit iPad oder Mac). Über Testplätze entscheiden wir selbst; eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Wenn Sie nicht antworten, hat das keinen Nachteil für Ihre Anmeldung. Für Auswertungen nutzen wir die Antworten nur zusammengefasst und ohne E-Mail-Adressen. Bitte geben Sie im Freitext keine sensiblen Daten (z. B. zu Ihrer Gesundheit) an.

Messung von Öffnungs- und Klickraten: Unsere E-Mails enthalten einen sogenannten Web-Beacon, ein winziges Bild, das beim Öffnen der E-Mail vom Server von Brevo abgerufen wird, und Links in den E-Mails werden über Brevo geleitet. So erfasst Brevo, ob und wann eine E-Mail geöffnet und welche Links angeklickt wurden, zusammen mit technischen Informationen wie Browser, System und IP-Adresse. Wir nutzen dies, um zu sehen, welche Inhalte auf Interesse stoßen, und um unsere E-Mails zu verbessern. Die Messung ist von Ihrer Einwilligung in den Empfang der E-Mails umfasst; Sie können sie nur widerrufen, indem Sie die E-Mails insgesamt abbestellen. Sie können sie außerdem verhindern, indem Sie in Ihrem E-Mail-Programm keine Bilder laden.

Löschung: Brevo nimmt Ihre Adresse erst nach Ihrer Bestätigung in unsere Empfängerliste auf. Den pseudonymen Datensatz einer nicht bestätigten Anmeldung löschen wir spätestens 30 Tage nach der Anmeldung (wir prüfen das wöchentlich). Wenn Sie sich abmelden, löschen wir Ihre Daten bei Brevo (mit Ausnahme des unten beschriebenen Sperrlisteneintrags) und innerhalb einer Woche den pseudonymen Datensatz einschließlich Ihrer Umfrageantworten. Endet die Beta-Phase, löschen wir Ihre Daten bei Brevo und den pseudonymen Datensatz. Den Nachweis Ihrer früheren Einwilligung (E-Mail-Adresse, Zeitpunkte, Version des Einwilligungstextes) können wir auf Grundlage unserer berechtigten Interessen bis zu drei Jahre aufbewahren, um die Einwilligung belegen zu können (Art. 17 Abs. 3 lit. e DSGVO); die Verarbeitung dieser Daten beschränkt sich auf die Abwehr möglicher Ansprüche. Eine frühere individuelle Löschung können Sie jederzeit verlangen, wenn Sie zugleich bestätigen, dass die Einwilligung bestand. Damit wir Ihnen nach einer Abmeldung keine E-Mails mehr senden, können wir Ihre E-Mail-Adresse allein zu diesem Zweck in einer Sperrliste speichern.

Webanalyse

Um zu verstehen, wie unsere Webseite genutzt wird, und sie zu verbessern, setzen wir Plausible Analytics ein. Plausible arbeitet ohne Cookies und ohne etwas auf Ihrem Endgerät zu speichern. Es erstellt keine Nutzerprofile und nutzt die Daten nicht für Werbung.

Plausible erfasst zusammengefasste Informationen wie aufgerufene Seiten, die verweisende Webseite, Kampagnenparameter, Land, Gerätetyp, Browser und Betriebssystem sowie bestimmte Ereignisse (z. B. das Abspielen des Trailers oder das Absenden des Anmeldeformulars). Um eindeutige Besucher zu zählen, bildet Plausible einen Hash aus IP-Adresse und Browserkennung zusammen mit einem täglich wechselnden Zufallswert. Die IP-Adresse selbst wird nicht gespeichert, und der Zufallswert wird täglich gelöscht, sodass Besuche nicht über Tage hinweg verknüpft werden können.

Ist eine Anmeldung zur Warteliste erfolgreich, kann unser Server ein entsprechendes Ereignis an Plausible senden. Es übermittelt dieselben technischen Daten wie ein Seitenaufruf (IP-Adresse und Browserkennung, nur zur Bildung des oben beschriebenen Hashs), aber keine E-Mail-Adresse und keine Umfrageantworten.

Wir können verschiedene Versionen der Startseite vergleichen (z. B. unterschiedliche Überschriften). Dafür wird nichts auf Ihrem Endgerät gespeichert; wir werten nur aus, welche Version angezeigt wurde.

Präsenzen in sozialen Netzwerken

Wir unterhalten Profile in sozialen Netzwerken, um dort mit Nutzern zu kommunizieren und über uns zu informieren. Links auf unserer Webseite zu diesen Netzwerken sind einfache Links; Daten werden erst übertragen, wenn Sie sie anklicken.

Daten der Nutzer können außerhalb der Europäischen Union verarbeitet werden, was die Durchsetzung Ihrer Rechte erschweren kann. Soziale Netzwerke verarbeiten Nutzerdaten in der Regel für Marktforschung und Werbung, z. B. indem sie aus Ihrem Verhalten und Ihren Interessen Nutzungsprofile erstellen, häufig mithilfe von Cookies und auch geräteübergreifend (insbesondere, wenn Sie eingeloggt sind). Einzelheiten und Widerspruchsmöglichkeiten finden Sie in den Datenschutzerklärungen der Netzwerke. Auskunftsanfragen und andere Betroffenenrechte lassen sich am wirksamsten bei den Anbietern geltend machen, da nur sie Zugriff auf die Daten haben; Sie können sich aber gern auch an uns wenden.

Eingebettete Inhalte (YouTube)

Derzeit binden wir keine YouTube-Inhalte ein: Der Trailer wird nur von unserem eigenen Server ausgeliefert, und es wird keine Verbindung zu YouTube aufgebaut. Das Folgende gilt nur, wenn wir die YouTube-Fassung des Trailers aktivieren. Damit beim bloßen Besuch unserer Webseite keine Daten an YouTube übermittelt werden, nutzen wir dann eine Zwei-Klick-Lösung: Zunächst sehen Sie nur ein von uns bereitgestelltes Vorschaubild mit einem Hinweis. Erst wenn Sie auf „Play on YouTube“ klicken und damit einwilligen, wird der YouTube-Player im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen. Alternativ können Sie denselben Trailer ohne YouTube von unserem eigenen Server ansehen.

Ab diesem Zeitpunkt erhält YouTube Ihre IP-Adresse und technische Informationen über Ihren Browser und Ihr Gerät und kann Cookies oder vergleichbare Technologien auf Ihrem Endgerät einsetzen. Sind Sie in einem Google-Konto angemeldet, kann YouTube den Aufruf Ihrem Konto zuordnen. YouTube/Google kann diese Daten auch für eigene Zwecke verarbeiten, z. B. für Statistiken, die Verbesserung seiner Dienste und Werbung; dafür ist allein Google verantwortlich.

Organisations- und Hilfswerkzeuge

Für Organisation, Verwaltung und die Erbringung unserer Leistungen nutzen wir Dienste, Plattformen und Software anderer Anbieter. Dabei können personenbezogene Daten, insbesondere Kontaktdaten, Nachrichteninhalte und Angaben zu Beta-Testern, auf deren Servern verarbeitet und gespeichert werden.

Änderung und Aktualisierung

Wir passen diese Datenschutzerklärung an, sobald Änderungen unserer Datenverarbeitung dies erforderlich machen, und informieren Sie, sobald eine Änderung eine Mitwirkungshandlung Ihrerseits (z. B. eine Einwilligung) oder eine sonstige individuelle Benachrichtigung erfordert. Adressen und Kontaktdaten der hier genannten Unternehmen können sich im Laufe der Zeit ändern; bitte prüfen Sie diese vor einer Kontaktaufnahme.

Begriffsdefinitionen

Auf Grundlage eines Textes, der mit dem Datenschutz-Generator.de von Dr. Thomas Schwenke erstellt wurde.

Zurück zur Startseite