1. Verantwortliche Stelle
Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:
My First Loveletter
Einzelunternehmer
Inhaber: Olga Matuschek
Düpheid 57
22149 Hamburg
Deutschland
E-Mail: kontakt@myfirstloveletter.de
2. Erhobene Daten
Wir erheben und verarbeiten folgende personenbezogene Daten:
- E-Mail-Adresse (für Bestellbestätigung und Kommunikation)
- Lieferadresse (Name, Straße, PLZ, Ort, Land)
- Bestelldaten (Produktauswahl, Briefinhalt, Zahlungsstatus)
- Freiwillige Einwilligung in eine einmalige Feedback-Mail mit Datum und Textversion
- Freiwillige Rückmeldungen zum Liebesbrief: Ankunftsstatus, Sternebewertung, Reaktion und gegebenenfalls ein freier Kommentar
- Kontodaten, wenn Sie ein Kundenkonto anlegen: E-Mail-Adresse und Passwort in verschlüsselter Form, gespeicherte Adressen, Bestellhistorie (Abschnitt 13)
- Gespeicherte Briefentwürfe, wenn Sie einen Brief unterbrechen und später weiterschreiben
- Anlässe und Termine, die Sie für Jahrestags-Erinnerungen hinterlegen (Abschnitt 14)
- Abo-Daten bei einem Liebesbrief-Abo: Empfängeradresse, Laufzeit, Zahlungsstatus
- Ihre Cookie-Entscheidung als Nachweis — in pseudonymisierter Form, ohne Ihre IP-Adresse im Klartext (Abschnitt 10)
- IP-Adresse und technische Zugriffsdaten (Server-Logs)
- Technische Fehlerprotokolle ohne personenbezogene Inhalte (Abschnitt 12)
3. Zweck der Verarbeitung
Wir verarbeiten Ihre Daten ausschließlich zur:
- Abwicklung und Erfüllung Ihrer Bestellung (Art. 6 Abs. 1 lit. b DSGVO)
- Kommunikation bezüglich Ihrer Bestellung
- Einhaltung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO)
- Verbesserung unserer Dienste auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO)
- Analyse der Website-Nutzung nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
- Einmalige persönliche Feedback-Anfrage nach dem Versand, nur mit gesonderter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
4. Speicherdauer
Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung des Vertragszwecks erforderlich ist. Bestelldaten und Rechnungsinformationen unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten von bis zu 10 Jahren. Nach Ablauf dieser Fristen werden die Daten routinemäßig gelöscht.
Abweichend davon gilt: Ihre Antworten aus dem Schreibassistenten dienen ausschließlich dazu, Ihren Brief zu erstellen, und werden nicht dauerhaft gespeichert. Ein Kundenkonto samt Adressen und Entwürfen besteht, bis Sie es löschen — die Löschung können Sie jederzeit selbst im Konto auslösen. Hinterlegte Anlässe für Erinnerungen löschen wir, sobald Sie die Erinnerung abbestellen. Nachweise über Ihre Cookie-Entscheidung bewahren wir bis zu sechs Monate auf, den Zeitraum, für den die Entscheidung gilt. Rechnungs- und Einwilligungsnachweise bleiben von einer Kontolöschung unberührt, soweit wir gesetzlich zur Aufbewahrung verpflichtet sind.
5. Weitergabe an Dritte
Eine Weitergabe Ihrer Daten an Dritte erfolgt ausschließlich, soweit dies für die Vertragserfüllung notwendig oder gesetzlich vorgeschrieben ist. Dies umfasst:
- Stripe Inc. (Zahlungsabwicklung — siehe Abschnitt 6)
- Supabase Inc. (Datenspeicherung — siehe Abschnitt 7)
- Resend Inc. (E-Mail-Versand — siehe Abschnitt 8)
- Anthropic PBC (KI-Textgenerierung — siehe Abschnitt 9)
- Google Ireland Ltd. (Website-Analyse und Werbung, jeweils nach Einwilligung — siehe Abschnitt 10)
- Hostinger International Ltd. (Betrieb der Website — siehe Abschnitt 11)
- Functional Software, Inc. d/b/a Sentry (technisches Fehler-Monitoring — siehe Abschnitt 12)
- Versanddienstleister (zur Zustellung Ihrer Bestellung)
Eine darüber hinausgehende Weitergabe an Dritte zu Werbezwecken findet nicht statt.
6. Stripe (Zahlungsabwicklung)
Für die Zahlungsabwicklung nutzen wir Stripe (Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA). Stripe verarbeitet Zahlungsdaten direkt und sicher. My First Loveletter speichert keine vollständigen Zahlungsdaten. Die Datenschutzerklärung von Stripe: stripe.com/de/privacy.
7. Supabase (Datenspeicherung)
Zur Speicherung von Bestelldaten und Kundendaten nutzen wir Supabase (Supabase Inc., 970 Toa Payoh North, Singapur). Die Daten werden auf Servern in der EU (Frankfurt am Main, Deutschland) gespeichert. Mit Supabase besteht ein Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO. Datenschutzerklärung: supabase.com/privacy.
8. Resend (E-Mail-Versand)
Für den Versand transaktionaler E-Mails (Bestellbestätigung, Zahlungsbestätigung, Versandbenachrichtigung) sowie freiwilliger Feedback-Anfragen nutzen wir Resend (Resend Inc., San Francisco, USA). Resend verarbeitet dafür Ihre E-Mail-Adresse und den Inhalt der jeweiligen Nachricht. Eine Feedback-Anfrage senden wir frühestens 72 Stunden nach dem Versand und nur, wenn Sie beim Kauf gesondert zugestimmt haben. Die Einwilligung ist freiwillig, wird je Bestellung nachgewiesen und kann jederzeit über den Link in der E-Mail oder per Nachricht an uns widerrufen werden. Datenschutzerklärung: resend.com/legal/privacy-policy.
9. Anthropic (KI-Textgenerierung)
Zur Generierung Ihres persönlichen Briefes nutzen wir die KI-API von Anthropic (Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA). Dabei werden die von Ihnen eingegebenen Angaben (Anlass, Empfänger, Ton, persönliche Details) an die Anthropic-API übermittelt. Diese Daten werden nicht für das Training von KI-Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Datenschutzerklärung: anthropic.com/privacy.
10. Google Analytics und Google Ads
Diese Website verwendet Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics wird nur nach Ihrer ausdrücklichen Einwilligung (Cookie-Consent) aktiviert.
Seit dem 09.09.2026 entscheiden Sie je Zweck getrennt: notwendige Cookies (Warenkorb, Anmeldung, Sicherheit, Ihre Cookie-Wahl selbst) laufen immer, Komfort, Analyse und Werbung nur, wenn Sie sie einzeln erlauben. Google Analytics hängt am Zweck „Analyse“, Google Ads und der Google Tag Manager am Zweck „Werbung“ — wer nur die Analyse erlaubt, bei dem wird nichts davon geladen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Auswahl jederzeit mit Wirkung für die Zukunft ändern oder ganz widerrufen:
- IP-Anonymisierung ist aktiviert
- Daten werden auf Google-Servern in den USA gespeichert (Standardvertragsklauseln)
- Opt-out über Browser-Add-on: tools.google.com/dlpage/gaoptout
Datenschutzerklärung Google: policies.google.com/privacy.
11. Hostinger (Betrieb der Website)
Diese Website wird bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, betrieben. Beim Aufruf einer Seite verarbeitet Hostinger technische Zugriffsdaten in Server-Logs — IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp. Das ist für den Betrieb einer Website technisch notwendig und dient auch der Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb). Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Server stehen innerhalb der Europäischen Union.
12. Sentry (technisches Fehler-Monitoring)
Damit wir Fehler bemerken, bevor sie jemandem den Brief verderben, setzen wir Sentry der Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, San Francisco, CA 94105, USA ein. Übertragen werden Fehlermeldungen, Stacktraces und technische Metadaten wie Browsertyp und aufgerufene Route.
Was nicht übertragen wird: Brieftexte, Empfängeradressen, Namen, E-Mail-Adressen, Kontaktnachrichten und Zugangstoken. Das ist nicht nur eine Zusage, sondern im Code durchgesetzt: alle Ereignisse laufen vor dem Versand durch eine zentrale Bereinigung, die Felder mit personenbezogenen Inhalten ersetzt und Adressen in Anfragen von ihren Parametern befreit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am fehlerfreien Betrieb). Sentry verarbeitet Daten auch in den USA; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
13. Kundenkonto
Ein Kundenkonto ist freiwillig — bestellen können Sie auch ohne. Legen Sie eines an, speichern wir Ihre E-Mail-Adresse, Ihr Passwort in verschlüsselter Form (es wird nie im Klartext gespeichert und ist auch für uns nicht lesbar), Ihre Bestellhistorie, von Ihnen hinterlegte Adressen sowie Briefentwürfe, die Sie speichern.
Die Anmeldung ist wahlweise mit Passwort oder über einen einmaligen Anmeldelink per E-Mail möglich. Die Verwaltung der Konten übernimmt Supabase als Auftragsverarbeiter (Abschnitt 7).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen). Sie können Ihr Konto jederzeit selbst löschen; die Löschung entfernt Ihre Zugangsdaten, Adressen und Entwürfe. Rechnungsdaten, für die eine gesetzliche Aufbewahrungspflicht besteht, bleiben davon unberührt.
14. Jahrestags-Erinnerungen
Sie können Anlässe hinterlegen — einen Jahrestag, einen Geburtstag, den Tag Ihres ersten Treffens — und wir schreiben Ihnen rechtzeitig vorher eine E-Mail. Gespeichert werden dafür die Bezeichnung des Anlasses, das Datum und Ihre E-Mail-Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), die Sie mit dem Eintragen des Anlasses erteilen. Jede Erinnerungs-E-Mail enthält einen Abmeldelink; nach der Abmeldung löschen wir den hinterlegten Anlass. Der Versand läuft über Resend (Abschnitt 8).
15. Liebesbrief-Abo und wiederkehrende Zahlungen
Beim Liebesbrief-Abo verarbeiten wir zusätzlich zu den Bestelldaten die Empfängeradresse, die Laufzeit und den Zahlungsstatus. Die wiederkehrende monatliche Zahlung wickelt Stripe als Auftragsverarbeiter ab (Abschnitt 6); dafür hinterlegt Stripe ein Zahlungsmittel bei sich — wir sehen und speichern keine vollständigen Kartendaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Nach Kündigung und Ablauf der gesetzlichen Aufbewahrungsfristen werden die Abodaten gelöscht.
16. Instagram und andere externe Verweise
Auf unserer Website finden Sie Verweise auf unser Instagram-Profil und gelegentlich auf andere externe Seiten. Es handelt sich um gewöhnliche Links, nicht um eingebettete Inhalte: Es wird kein Instagram-Skript geladen, kein Pixel gesetzt und keine Verbindung zu Instagram aufgebaut, solange Sie nicht selbst klicken.
Erst wenn Sie einen solchen Link öffnen, erfährt der Anbieter der Zielseite, dass Sie von uns kommen, und es gilt dessen Datenschutzerklärung. Für Instagram ist das die Meta Platforms Ireland Ltd.
17. Ihre Rechte
Sie haben gemäß DSGVO folgende Rechte gegenüber uns:
- Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich an: kontakt@myfirstloveletter.de. Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (zuständig für Hamburg: Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, datenschutz.hamburg.de).