Datenschutzerklärung

Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO für den Betrieb der Plattform KitaMoment ist die Altovate GmbH, Max-Planck-Str. 6, 54439 Saarburg, vertreten durch Geschäftsführer Alex Buchmann.

Wichtig für die Einordnung: KitaMoment ist eine zweiseitige Plattform. Eine selbstständige Kita-Fotograf:in lädt die Fotos eines Shootings hoch, Eltern rufen sie ab und kaufen sie. Daraus ergibt sich eine geteilte Verantwortung:

• Für die Inhalte der Fotos selbst (Aufnahme, Auswahl, Einholung der Einwilligung der Erziehungsberechtigten nach Art. 6 Abs. 1 lit. a DSGVO und § 22 Kunsturhebergesetz) ist die jeweilige Fotograf:in verantwortlich — nicht Altovate.
• Für den technischen Betrieb der Plattform (Hosting, Speicherung, Zugriffssteuerung, Login, Löschroutinen) handelt Altovate GmbH im Auftrag der jeweiligen Fotograf:in nach Art. 28 DSGVO (Auftragsverarbeitung) bzw. — je nach konkreter Vereinbarung — als gemeinsam Verantwortliche nach Art. 26 DSGVO.
• Für die Kontodaten der Eltern (E-Mail zur Einladung, Login) ist Altovate GmbH eigenständig verantwortlich, soweit es um den Betrieb des Nutzerkontos geht (Art. 6 Abs. 1 lit. b DSGVO).

[PRÜFEN: Mit der aktiven Fotograf:in sollte ein Vertrag geschlossen werden, der diese Rollenverteilung eindeutig als Auftragsverarbeitungsvertrag (Art. 28 DSGVO) oder als Vereinbarung über gemeinsame Verantwortlichkeit (Art. 26 DSGVO) festlegt — liegt nach unserem Kenntnisstand noch nicht vor.]

• Kinderfotos und Namenszuordnung: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung der Erziehungsberechtigten) i.V.m. § 22 Kunsturhebergesetz. Diese Einwilligung holt die jeweilige Fotograf:in bzw. die Kita ein — nicht Altovate direkt.
• Elternkonto, Login, Einladung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, missbrauchssicheren Login).
• Zahlungsabwicklung: läuft bei Stripe im Rahmen des Kaufvertrags zwischen Eltern und Fotograf:in (Art. 6 Abs. 1 lit. b DSGVO). Altovate ist an diesem Kaufvertrag nicht beteiligt.
• Aufbewahrung von Bestelldaten: Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 257 HGB und § 147 AO.

Lovable Cloud (Hosting, Datenbank, Datei-Speicher) — Serverstandort EU-Region, verarbeitet auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Stripe (Zahlungsabwicklung) — über den eigenen Stripe-Account der jeweiligen Fotograf:in, nicht über Altovate. Stripe Inc. hat Sitz in den USA; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO). Stripe, Inc. ist dort mit aktivem Status gelistet (Stand: 16.09.2026, dataprivacyframework.gov).

E-Mail-Versand (Login-Links, Einladungen) — technisch über Supabase Auth im Rahmen der Lovable-Cloud-Infrastruktur, ebenfalls auf Grundlage von Art. 28 DSGVO.

Eine Weitergabe an sonstige Dritte findet nicht statt, außer gesetzlich vorgeschrieben.

• Fotos: grundsätzlich 12 Monate nach dem Shooting, danach Löschung. Kann je nach Vereinbarung mit der einzelnen Kita abweichen.
• Bestell- und Rechnungsdaten: 10 Jahre gemäß § 257 HGB, § 147 AO.
• Elternkonto: solange die Plattformnutzung fortbesteht bzw. Fotos des Kindes noch verfügbar sind, danach Löschung innerhalb angemessener Frist.

Der Zugriff auf Fotos ist technisch so beschränkt, dass jede Familie ausschließlich Fotos des eigenen Kindes sowie das Gruppenfoto der eigenen Gruppe einsehen kann. Das wird über Zugriffsregeln auf Datenbankebene (Row-Level-Security) durchgesetzt — nicht nur über eine Einstellung in der Oberfläche, sondern direkt auf Ebene der Datenabfrage.

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), insbesondere Widerruf der Einwilligung zur Veröffentlichung der Kinderfotos mit Wirkung für die Zukunft
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) jederzeit

Da die Einwilligung zur Veröffentlichung der Kinderfotos in der Regel bei der jeweiligen Fotograf:in bzw. Kita eingeholt wird, empfiehlt sich für Löschungs- und Widerrufswünsche eine Anfrage sowohl an die Fotograf:in als auch an Altovate GmbH.

Zuständig für Altovate GmbH:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI)
Hintere Bleiche 34, 55116 Mainz
Telefon: 06131 8920-0 · E-Mail: poststelle@datenschutz.rlp.de

Die Website setzt nach aktuellem Stand keine Analyse-, Marketing- oder sonstige nicht technisch notwendige Cookies ein. Es werden ausschließlich technisch erforderliche Cookies bzw. vergleichbare Speichertechnologien verwendet (Login-Funktion, sicherer Betrieb). [PRÜFEN: Diese Aussage gilt nur, solange tatsächlich kein Analytics-/Tracking-Tool eingebunden wird — vor Einbau eines solchen Tools diesen Abschnitt überarbeiten]

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) statt.

Altovate GmbH, Max-Planck-Str. 6, 54439 Saarburg
E-Mail: info@altovate.de

Stand: 14.09.2026. Wird bei Änderungen der Datenverarbeitung, insbesondere bei Einbindung neuer Dienste oder Tracking-Tools, angepasst.