Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und bei Bestellungen ist:

Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz und für deine Rechte schreibst du direkt an die E-Mail-Adresse oben.

2. Das Wichtigste in Kürze

3. Hosting und Server-Protokolle

Website, Adresssuche, Vorschau, Kasse und Datenbank laufen auf Servern, die wir selbst verwalten und bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, mieten. Die Server und der Speicher für das Kartenmaterial stehen in Rechenzentren von Hetzner in der Europäischen Union, in Deutschland oder Finnland. Hetzner stellt nur Rechner, Netz und Speicher bereit und verarbeitet Daten ausschließlich in unserem Auftrag (Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO).

Wenn du eine Seite aufrufst, schickt dein Browser technisch bedingt Angaben an unseren Server: deine IP-Adresse, den Zeitpunkt, die Adresse der aufgerufenen Seite, die Kennung deines Browsers (User-Agent) und die zuvor besuchte Seite (Referrer). Ohne sie kann der Server dir die Seite nicht ausliefern. Der Webserver schreibt Zugriffsprotokolle mit IP-Adresse, Zeitpunkt, aufgerufener Seite ohne den Teil nach dem „?“ (also ohne gesuchte Adressen), Statuscode, übertragener Datenmenge, verweisender Seite und Browserkennung; bei Fehlern zusätzlich ein Fehlerprotokoll mit IP-Adresse, Zeitpunkt und der betroffenen Anfrage. Wir brauchen diese Protokolle, um Störungen zu beheben und Angriffe zu erkennen, und löschen sie nach 14 Tagen.

Unsere eigenen Dienste für Adresssuche, Vorschau und Kasse protokollieren nur, welche Art von Anfrage wann mit welchem Ergebnis und welcher Dauer bearbeitet wurde, bei Bestellungen dazu die Bestellnummer und den Stand der Zahlung. IP-Adressen, getippte Adressen, Titel, Widmungen, Namen, E-Mail-Adressen und Lieferadressen stehen darin nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, dir die Website sicher und störungsfrei auszuliefern.

4. Besucherzählung ohne Cookies

Wir möchten wissen, wie viele Menschen Urblatt besuchen, woher sie kommen und an welcher Stelle sie den Kauf abbrechen. Dafür zählen wir Besuche auf unserem eigenen Server. Es gibt kein Zählskript, kein Zählpixel und kein Cookie; in deinem Browser wird dafür nichts gespeichert oder ausgelesen. Wir nutzen nur Angaben, die dein Browser beim Abruf ohnehin an unseren Server schickt.

• Bei jedem Seitenabruf sowie bei deiner ersten Adresssuche, deiner ersten Vorschau und beim Öffnen der Kasse bildet unser Server aus deiner IP-Adresse, deiner Browserkennung und einem zufälligen Tagesschlüssel eine Prüfsumme (eine Art Pseudonym). IP-Adresse und Browserkennung verwirft er sofort; gespeichert wird nur die Prüfsumme.
• Der Tagesschlüssel gilt einen Kalendertag und wird um 1 Uhr nachts des Folgetags gelöscht. Danach lässt sich die Prüfsumme keiner IP-Adresse mehr zuordnen, auch nicht von uns. Wer an zwei Tagen kommt, zählt als zwei verschiedene Besucher.
• Zu einem Besuch speichern wir: Zeitpunkte, die aufgerufenen Seiten ohne den Teil nach dem „?“, die Art der Seite, den Ort einer Ortsseite oder die Gemeinde der gesuchten Adresse (nie Straße oder Hausnummer), den Namen der Website, von der du kamst (nur den Rechnernamen wie „instagram.com“), eine Kampagnenangabe aus dem Link (utm_source), die Geräteart (Handy, Tablet oder Rechner) und ob du gesucht, eine Vorschau gesehen oder die Kasse geöffnet hast.
• Öffnest du die Kasse, vermerken wir am Besuch die Bestellnummer. So sehen wir, welcher Anteil der Besuche zu einer bezahlten Bestellung führt. Ein Besuch, aus dem eine Bestellung wird, ist damit über die Bestellnummer mit dieser Bestellung verbunden.
• Suchmaschinen und andere automatische Abrufe mit bekannter Kennung zählen wir nicht.

Wir werten die Zählung nur zusammengefasst aus, etwa Besucher je Tag, Herkunft, Geräte und Kaufquote. Die Daten sieht nur der Verantwortliche; an Dritte geben wir sie nicht. Wir löschen Besuche nach 400 Tagen, damit wir Zeiträume mit dem Vorjahr vergleichen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Urblatt zu verbessern und unser Angebot wirtschaftlich zu planen. Weil wir keine IP-Adresse speichern, dich nicht über Tage hinweg wiedererkennen und keine Daten weitergeben, überwiegen deine Interessen nach unserer Abwägung nicht. Du kannst jederzeit widersprechen.

5. Adresssuche und Vorschau

Wenn du deine Adresse eintippst, schickt dein Browser die getippten Zeichen an unseren Server. Er sucht in unserer eigenen Datenbank der amtlichen Gebäudereferenzen des Landes Nordrhein-Westfalen (offene Daten) und zeigt dir Vorschläge. Die getippten Zeichen gehen an niemanden sonst, und wir speichern sie nicht.

Wählst du eine Adresse, steht ihre Kennung aus den Gebäudereferenzen in der Adresse der Seite „Dein Druck“. Damit berechnet unser Server, welche Motive an dieser Stelle möglich sind, und rechnet die Vorschau deines Drucks aus Kartenmaterial in unserem eigenen Speicher. Für die Vorschau schickt dein Browser auch Motiv, Format, Titel und Widmung an unseren Server. Titel und Widmung stehen nie in der Adresse der Seite. Für die Vorschau allein speichern wir weder deine Adresse noch deine Texte.

Damit niemand Suche und Vorschau massenhaft abruft, zählt unser Server die Anfragen je IP-Adresse. Die IP-Adresse liegt dafür nur im Arbeitsspeicher und wird spätestens elf Minuten nach deiner letzten Anfrage vergessen.

Rechtsgrundlage für Suche und Vorschau ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor einem Vertrag auf deine Anfrage). Für die Abrufgrenze ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Dienstes vor Missbrauch und Überlastung.

6. Bestellung und Bezahlung

Bestellentwurf

Stripes Skript lädt nur auf „Dein Druck“ mit gewählter Adresse, und zwar sobald dort die Vorschau deiner Adresse steht. Im selben Moment legen wir einen Bestellentwurf an: Kennung und Anzeige der Adresse, Motiv, Format, Titel, Widmung, Ausschnitt und Kartenebenen des Drucks sowie den Preis. Der Entwurf enthält noch keinen Namen und keine E-Mail-Adresse. Wird er nicht bezahlt, löschen wir ihn 48 Stunden nach der letzten Änderung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Was du in Titel und Widmung schreibst, steht auf dem Druck und geht mit der Druckdatei an die Druckerei (Abschnitt 7). Schreib dort bitte nichts, was nicht auf ein Bild an der Wand gehört.

Bezahlung über Stripe

Bezahlt wird über Stripe. Unser Vertragspartner ist die Stripe Payments Europe, Limited, Irland. Die Bezahlknöpfe und das Bezahlformular sind Bausteine von Stripe, die in „Dein Druck“ eingebettet sind. Kartennummern und andere Zahlungsangaben gibst du in Felder von Stripe ein; sie erreichen unseren Server nie.

Unser Server teilt Stripe für jeden Bestellentwurf die Bestellnummer, den Betrag und den Namen des Postens mit (etwa „Urblatt · Damals | Heute · Poster 50 × 70 cm“). Beim Bezahlen erhält Stripe von dir oder aus deinem Wallet deine E-Mail-Adresse, Name und Lieferadresse, deine Rechnungsadresse (nur wenn die Zahlungsart sie braucht), deine Zahlungsangaben sowie deine IP-Adresse und Angaben zu deinem Gerät. Titel und Widmung erhält Stripe nicht. Den Zahlungsbeleg schickt dir Stripe in unserem Auftrag per E-Mail.

Stripe verarbeitet die Daten zum Teil in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO, geregelt in Stripes Datenverarbeitungsvereinbarung) und zum Teil in eigener Verantwortung: um Betrug zu erkennen und zu verhindern, Risiken und Verluste zu begrenzen, eigene gesetzliche Pflichten zu erfüllen (etwa zur Prüfung auf Geldwäsche), Banken und Zahlungsanbieter einzubinden und eigene Dienste zu verbessern, auch durch das Trainieren eigener Modelle zur Betrugserkennung. Verantwortlich ist dann die Stripe Technology Company, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, für erlaubnispflichtige Zahlungsdienste gemeinsam mit der Stripe Payments Europe, Limited und der Stripe Technology Europe, Limited. Stripe überträgt Daten auch an die Muttergesellschaft Stripe, LLC in den USA. Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für diese Übermittlung gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Mehr steht in der Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Rechtsgrundlage für die Bezahlung ist Art. 6 Abs. 1 lit. b DSGVO. Für die Betrugsabwehr ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das von Stripe ist es, dich, uns und Stripe vor dem Missbrauch von Zahlungsmitteln zu schützen.

Cookies und Gerätedaten von Stripe

Sobald Stripes Skript auf „Dein Druck“ geladen ist (sobald dort die Vorschau deiner Adresse steht):

• setzt Stripe zur Betrugsabwehr zwei Cookies auf urblatt.com: __stripe_sid (Laufzeit 30 Minuten) und __stripe_mid (Laufzeit ein Jahr); in einem eigenen Rahmen kann Stripe dazu das Cookie m setzen;
• liest das Skript Merkmale deines Geräts und Browsers aus und beobachtet, wie du die Seite bedienst (etwa Mausbewegungen und Verweildauer), um Menschen von automatischen Zugriffen zu unterscheiden. Diese Angaben schickt es mit dem Seitentitel, der zuvor besuchten Seite und der Adresse der aufgerufenen Seite an Stripe. Auf „Dein Druck“ enthält die Adresse der Seite die Kennung deiner gewählten Gebäudeadresse; aus ihr lässt sich die Adresse deines Motivs ablesen.
• kann Stripe zur Erkennung automatischer Zugriffe den Prüfdienst hCaptcha einbinden.

Auf allen anderen Seiten und auf „Dein Druck“ ohne gewählte Adresse lädt nichts von Stripe. Das Speichern und Auslesen dieser Angaben auf deinem Gerät stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG: Es ist unbedingt erforderlich, damit wir dir die gewünschte Bezahlung anbieten können. Ohne Stripes Skript funktionieren Bezahlknöpfe und Bezahlformular nicht, und die Betrugsabwehr gehört zu einer sicheren Zahlung.

Zahlungsarten

• Karte: Deine Bank kann die Zahlung mit einer zusätzlichen Freigabe prüfen (3-D Secure). Dafür übermittelt Stripe ihr Angaben wie Name, E-Mail-Adresse, Adresse, IP-Adresse und Gerätedaten. Deine Bank und die Kartenorganisation verarbeiten sie in eigener Verantwortung.
• Apple Pay und Google Pay: Dein Gerät oder Browser öffnet das Bezahlblatt. Name, E-Mail-Adresse und Lieferadresse kommen aus deinem Wallet, die Zahlungsangaben verschlüsselt über Apple oder Google zu Stripe. Apple (Apple Distribution International Limited, Irland) und Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) verarbeiten dabei Daten in eigener Verantwortung nach ihren Datenschutzhinweisen.
• PayPal: Du meldest dich bei PayPal an und gibst die Zahlung dort frei. PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, erhält dafür über Stripe Betrag und Bestellangaben und verarbeitet deine Daten in eigener Verantwortung: paypal.com/de/legalhub/paypal/privacy-full.
• Wero: Du gibst die Zahlung in deiner Banking-App oder der Wero-App frei. Dafür tauschen Stripe, deine Bank und die EPI Company SE, De Lignestraat 13, 1000 Brüssel, Belgien, die Wero betreibt, die nötigen Zahlungsdaten aus. Deine Bank und EPI verarbeiten sie nach ihren eigenen Datenschutzhinweisen.

Nach der Zahlung

Meldet Stripe die Zahlung, speichern wir zur Bestellung deine E-Mail-Adresse, Name und Lieferadresse des Empfängers, die Zahlungskennung von Stripe und den Zeitpunkt der Zahlung; später kommen Versanddienst und Sendungsnummer hinzu. Wir nutzen diese Daten, um den Druck fertigen und liefern zu lassen und dir zu deiner Bestellung zu schreiben, etwa mit der Sendungsnummer oder bei Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Schickst du den Druck an jemand anderen, etwa als Geschenk, verarbeiten wir Name und Anschrift dieser Person nur, um ihr den Druck zuzustellen. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Zustellung, die du wünschst.

Nach der Zahlung zeigt dir die Bestellseite den Stand deiner Bestellung mit Bestellnummer, Motiv, Format, Summe, Name, Postleitzahl und Ort des Empfängers und einer gekürzten E-Mail-Adresse. Diese Seite ist für Suchmaschinen gesperrt; sehen kann sie nur, wer den Link mit der Kennung deiner Zahlung kennt. Gib den Link deshalb nicht weiter.

Zwischenspeicher in deinem Browser

Wenn du die Zahlung bestätigst, legt die Seite Adresskennung, Motiv, Format, Titel und Widmung im Sitzungsspeicher deines Browsers ab (sessionStorage, Eintrag urblatt:selection). Brichst du die Zahlung ab, etwa bei PayPal oder Wero, und kehrst zu „Dein Druck“ zurück, stehen deine Texte so wieder im Formular. Der Eintrag bleibt in deinem Browser, wir lesen ihn nicht auf unserem Server aus, und dein Browser löscht ihn, wenn du den Tab schließt. Das Speichern stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG, weil es für die von dir begonnene Bestellung unbedingt erforderlich ist.

7. Druck und Versand

Deinen Druck fertigt und verschickt die Printful, Inc., USA, in unserem Auftrag. Printful erhält Name und Lieferadresse des Empfängers, die Bestellnummer und die Druckdatei. Die Druckdatei zeigt dein Motiv mit Titel und Widmung, also auch die Umgebung der gewählten Adresse. Deine E-Mail-Adresse und deine Zahlungsdaten erhält Printful nicht.

Printful arbeitet als unser Auftragsverarbeiter nach seinen Datenverarbeitungsbedingungen (Art. 28 DSGVO) und darf die Daten nur für deinen Auftrag nutzen. Gefertigt wird in Betrieben von Printful oder von Partnerbetrieben, die Printful als Unterauftragnehmer einsetzt; in Europa betreibt Printful eigene Betriebe in Lettland und Spanien. Printful hat seinen Sitz in den USA und kann Daten auch dort und bei verbundenen Unternehmen in Lettland, Polen, Spanien und dem Vereinigten Königreich verarbeiten. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), die Teil der Datenverarbeitungsbedingungen von Printful sind (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie schicken wir dir auf Anfrage.

Name und Lieferadresse stehen auf dem Paket und gehen an den Versanddienstleister, der es zustellt. Er verarbeitet sie in eigener Verantwortung. Rechtsgrundlage für Druck und Versand ist Art. 6 Abs. 1 lit. b DSGVO, bei einem anderen Empfänger Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 6, „Nach der Zahlung“).

8. Kontakt per E-Mail

Wenn du uns an mail@urblatt.com schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Bestellung oder einen geplanten Kauf geht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten). Unser Postfach liegt bei einem E-Mail-Anbieter, der die Nachrichten in unserem Auftrag speichert (Art. 28 DSGVO).

9. Empfänger und Übermittlung in Drittländer

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

10. Speicherdauer

Rechtsgrundlage für die Aufbewahrung nach Steuer- und Handelsrecht ist Art. 6 Abs. 1 lit. c DSGVO. In dieser Zeit nutzen wir die Daten nur noch, um diese Pflichten zu erfüllen. Die Frist verlängert sich, solange die Unterlagen für eine noch offene Steuerfestsetzung von Bedeutung sind (§ 147 Abs. 3 AO) oder solange ein Streit über eine Bestellung läuft (Art. 6 Abs. 1 lit. f DSGVO, Verteidigung von Rechtsansprüchen). Wie lange Stripe, Printful und die Anbieter der Zahlungsarten Daten in eigener Verantwortung aufbewahren, richtet sich nach deren Datenschutzhinweisen.

11. Musst du uns Daten geben?

Gesetzlich bist du dazu nicht verpflichtet. Um die Website anzusehen, braucht unser Server technisch deine IP-Adresse. Für eine Bestellung brauchen wir Name und Lieferadresse, deine E-Mail-Adresse und die Angaben deiner Zahlungsart; ohne sie können wir den Kaufvertrag nicht schließen und den Druck nicht liefern. Titel und Widmung gestaltest du selbst; eine Widmung ist freiwillig.

12. Keine automatisierten Entscheidungen, keine Bonitätsprüfung

Wir treffen keine Entscheidungen über dich, die allein auf automatisierter Verarbeitung beruhen (Art. 22 DSGVO), bilden keine Profile und prüfen deine Bonität nicht; wir holen keine Auskünfte bei Auskunfteien ein. Stripe prüft Zahlungen in eigener Verantwortung automatisch auf Betrugsrisiken und kann eine Zahlung ablehnen. Dann kannst du eine andere Zahlungsart wählen oder uns schreiben.

13. Deine Rechte

Du hast gegenüber uns das Recht

• auf Auskunft über deine Daten, die wir verarbeiten (Art. 15 DSGVO),
• auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• auf Löschung, soweit keine Pflicht zur Aufbewahrung entgegensteht (Art. 17 DSGVO),
• auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• auf Datenübertragbarkeit für Daten, die du uns für eine Bestellung gegeben hast (Art. 20 DSGVO),
• der Verarbeitung zu widersprechen (Art. 21 DSGVO, siehe Abschnitt 14).

Eine E-Mail an mail@urblatt.com genügt. In der Besucherzählung und in den Server-Protokollen erkennen wir niemanden namentlich; dort können wir Daten nur zuordnen, wenn du uns dafür zusätzliche Angaben gibst (Art. 11 Abs. 2 DSGVO). Eine Einwilligung holen wir für keine der hier beschriebenen Verarbeitungen ein.

14. Widerspruchsrecht

15. Beschwerde bei der Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Behörde deines Wohnorts. Für uns zuständig ist:

16. Datensicherheit und Änderungen

Alle Verbindungen zu Urblatt sind verschlüsselt (HTTPS). Bestelldaten sieht nur der Verantwortliche nach einer Anmeldung mit Passkey. Wenn sich unser Angebot, die eingesetzten Dienste oder die Rechtslage ändern, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht.

Stand: 12. November 2026