Datenschutzerklärung

1 · Verantwortliche Stelle

Verantwortlich für die Bearbeitung eurer Personendaten im Sinne des Schweizer Datenschutzgesetzes (DSG) ist:

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Schweiz
info@migumento.com

Eine Datenschutzbeauftragte gibt es nicht.

2 · Welche Daten wir verarbeiten

Als gastgebende Person

• Eure E-Mail-Adresse. Damit wir euch die Links zum Event und den Code zum Löschen des Events schicken können, ihr euch die Links erneut zusenden lassen könnt und wir euch E-Mails zu eurem Event senden können. Abbestellen könnt ihr sie in jeder dieser E-Mails.
• Angaben zum Anlass, die ihr selbst eintragt: Titel, Datum, Ort, Gestaltung, Einstellungen des Events.
• Die Herkunft eures Besuchs. Beim Erstellen des Albums festgehalten: die Kampagnen-Angaben („utm_source", „utm_medium", „utm_campaign", „utm_content") der Seite, auf der ihr das Album anlegt; fehlen sie, die ersten desselben Besuchs; fehlen auch diese und ist das Cookie „migu_d" gesetzt (Abschnitt 3), die ersten desselben Geräts aus den 7 Tagen davor. Dazu der Pfad dieser Seite, der Host der Website, von der ihr kamt, falls euer Browser ihn mitschickt (nie die vollständige Adresse), und die freiwillige Antwort auf „Woher kennt ihr uns?". Ist „migu_d" gesetzt, seine Gerätekennung und seine Besuchskennung; habt ihr auf die Frage nach dem Cookie noch nicht geantwortet, die Kennung des Besuchs ohne Cookie (unten); und ob das Cookie gesetzt, abgelehnt, unbeantwortet oder nicht vorhanden war. Dazu die Fassung der Website, unter der das Album angelegt wurde, und, ist „migu_d" gesetzt, die Kennung aus „migu_xp" (Abschnitt 3). Zweck: zu wissen, wie viele Leute über welchen Weg zu uns finden, das Album den Seitenaufrufen desselben Browsers zuzuordnen, und den ersten Kauf zum Angebot dieser Fassung abzurechnen. Diese Angaben werten nur wir aus und geben sie an keine Dritten weiter; auf der Website läuft kein Tracking von Dritten. Sie hängen am Album und werden mit ihm gelöscht, die Kennungen spätestens nach zwölf Monaten.
• Zahlungsangaben — siehe Abschnitt 5.

Als Gast

• Der Name, den ihr selbst eingebt. Er steht bei euren Fotos und Kommentaren, damit die anderen wissen, von wem sie sind.
• Ein Passwort, wenn ihr eines setzt. Freiwillig. Damit kommt ihr auf einem anderen Gerät wieder unter eurem Namen hinein. Gespeichert wird nur ein Hashwert.
• Einen Zugangscode, wenn ihr oder die Gastgeber:innen einen erstellen. Acht Zeichen, 30 Minuten gültig, nur einmal verwendbar — damit verbindet ihr ein weiteres Gerät mit eurem Namen. Gespeichert wird nur ein Hashwert. Die Gastgeber:innen können einen solchen Code für euch erstellen: Wer ihn in diesen 30 Minuten einlöst, lädt danach unter eurem Namen hoch.
• Fotos, Videos, Kommentare und Reaktionen, die ihr hochladet oder abgebt.
• Messwerte zu jedem Upload. Die Dauer jedes Schritts vom Senden bis zur Anzeige, wie oft ein Schritt wiederholt wurde, die gemessene Übertragungsrate und auf welchem unserer Server ein Schritt lief. Zweck: Uploads und ihre Verarbeitung zu verbessern. Gelöscht zwölf Monate nach dem Upload, oder früher mit dem Event.
• Welche Fotos ihr als Favorit markiert habt. Ein Eintrag pro Foto und Gast, mit dem Zeitpunkt. Diese Liste sieht nur die Gästin oder der Gast, die oder der sie angelegt hat. Ohne Namen bleibt die Liste auf diesem Gerät, bis ihr einen eingebt. Sie wird mit dem Event gelöscht.
• Welche Fotos ihr in der Grossansicht geöffnet habt („Angeschaut"). Gezählt wird pro Gerät und pro Foto, ab etwa einer Sekunde Betrachtungszeit; eure eigenen Fotos zählen nicht. Das bleibt innerhalb dieses einen Events: Beim Foto steht, wie viele verschiedene Gäste es geöffnet haben, und die anderen Gäste desselben Events können diese Liste öffnen. Habt ihr einen Namen eingegeben, steht ihr mit diesem Namen darin; habt ihr keinen, erscheint ihr nur als Anzahl („+ 3 weitere Gäste") und seid dort nicht unterscheidbar.
• Gezählt wird auch dann, wenn die Anzeige ausgeschaltet ist. Die Gastgeber:innen können „Angeschaut" für ihr Event abschalten; dann sieht niemand Zahlen oder Namen. Die Zählung läuft weiter.
• Gerätetyp, Modell und Betriebssystem eures Browsers, soweit er sie verrät — z. B. „Pixel 7 · Android 15". Zweck: Migumento für die verwendeten Geräte zu verbessern; ausserdem steht es bei euch in der Gäste-Liste der Gastgeber:innen. Nutzt ihr mehrere Geräte unter demselben Namen, führen wir das in dieser Liste zusammen: Die Gastgeber:innen sehen dann, wie viele Geräte zu euch gehören, die Angaben des ersten, und ob ihr ein Passwort gesetzt habt. Es ist an das Event gebunden und wird mit ihm gelöscht.
• Meldungen. Meldet ihr ein Foto, ein Video oder einen Kommentar, halten wir fest: den gemeldeten Inhalt, den Grund, eure freiwillige Ergänzung, euren Gast-Eintrag mit eurem Namen, falls ihr einen eingegeben habt, und den Zeitpunkt. Zweck: unzulässige Inhalte prüfen und entfernen. Meldungen zu Fotos und Videos sehen die gastgebende Person und die Moderator:innen des Events, Meldungen zu Kommentaren die gastgebende Person.
• Wer Fotos gesammelt herausnimmt. Ladet ihr über den Gäste-Link ein ZIP-Archiv herunter oder startet ihr einen Export nach Google Drive oder Google Fotos, auch als gastgebende Person, halten wir fest: euren Namen in diesem Moment, den Weg (ZIP, Google Drive oder Google Fotos), was ihr genommen habt (das ganze Event, ein Album, eure Favoriten oder eine Auswahl), die Anzahl der Aufnahmen, beim ZIP die übertragene Datenmenge und den Zeitpunkt. Zweck: nachvollziehen zu können, wer die Fotos eines Events gesammelt herausgenommen hat.
• Nutzung des Events. Festgehalten wird die Nutzung: Aufrufe und Aktionen, App oder Browser, der Zeitpunkt. Dazu das Event, euer Gast-Eintrag, falls es einen gibt, die Kennung eures Browsers und eure gekürzte IP-Adresse (unten), und, ist das Cookie „migu_d" gesetzt (Abschnitt 3), seine Gerätekennung und seine Besuchskennung; habt ihr auf die Frage nach dem Cookie noch nicht geantwortet, die Kennung des Besuchs ohne Cookie (unten). Nach „Ablehnen" nur das Event. Zweck: zu wissen, welche Funktionen eines Events wie genutzt werden. Gelöscht nach zwölf Monaten.
• Bewertung. Gebt ihr nach dem Event eine Bewertung ab, auch als gastgebende Person, halten wir fest: die Sterne, den freiwilligen Text, euren Gast-Eintrag oder dass ihr gastgebende Person seid, die Anzahl eurer hochgeladenen und in der Grossansicht geöffneten Fotos, App oder Browser, die Sprache und den Zeitpunkt. Schliesst ihr die Frage, halten wir fest, wie oft und wann. Zweck: Migumento zu verbessern und auf der Website den Durchschnitt und die Anzahl aller Bewertungen ohne Namen zu zeigen. Den Text lesen nur wir. Gelöscht mit dem Event.

Wenn etwas kaputtgeht

• Fehlerberichte aus eurem Browser. Geht in der App etwas schief, schickt euer Browser uns dazu einen Bericht. Er enthält: die Fehlermeldung samt technischer Herkunftszeile, die Adresse der Seite, auf der ihr wart (also den Link zu eurem Event), die Version unserer App, sowie Angaben zur Umgebung — Browser, Betriebssystem, Bildschirmgrösse, Verbindungsqualität, verfügbarer Speicher — und die letzten Schritte, die zum Fehler geführt haben. Bei einem fehlgeschlagenen Upload steht auch der Dateiname der betroffenen Datei darin. Lädt ein Teil der Seite nicht, steht die Adresse der Datei darin, die gefehlt hat.
• Wofür und wie lange. Zweck: Fehler finden und beheben. Gleiche Fehler werden zu einem Eintrag zusammengefasst und nach 90 Tagen gelöscht. Die Berichte liegen auf demselben Server wie das Event selbst.

Mit einem Konto (freiwillig)

Ein Konto ist freiwillig. Zweck: alle eure Events an einem Ort und auf jedem Gerät zu finden. Dafür speichern wir:

• Eure E-Mail-Adresse und den Namen, den ihr im Konto angebt. Die Adresse ist der Schlüssel zum Konto; jeder Anmeldecode geht an sie.
• Ein Passwort, wenn ihr eines setzt — als Hashwert. Ohne Passwort meldet ihr euch mit einem sechsstelligen Code an, der zehn Minuten gilt; auch von ihm speichern wir nur einen Hashwert.
• Eure Sitzungen: pro angemeldetem Gerät eine Kennung, wann sie zuletzt benutzt wurde, die IP-Adresse und die Browserkennung des Geräts — damit ihr unter „Sitzungen" seht, wo ihr angemeldet seid, und einzelne Geräte abmelden könnt. Eine Sitzung endet nach einem Jahr ohne Nutzung, oder wenn ihr sie beendet.
• Welche Events zum Konto gehören — als gastgebende Person oder als Gast unter dem Namen, den ihr dort führt.
• Ein Protokoll der Anmeldungen — wann, von welcher IP-Adresse, mit welchem Ergebnis —, damit wir Missbrauch erkennen können.

Anmeldung mit Google. Wählt ihr „Mit Google weiter", übermittelt uns Google eure Konto-Kennung („sub"), eure E-Mail-Adresse und euren Namen. Wir speichern die Kennung, um euch beim nächsten Mal wiederzuerkennen. Was Google selbst über die Anmeldung festhält, richtet sich nach Googles eigener Datenschutzerklärung.

Anmeldung mit Apple. Wählt ihr „Mit Apple weiter", übermittelt uns Apple eure Konto-Kennung („sub"), eine bestätigte E-Mail-Adresse und, nur beim ersten Mal, euren Namen. Wählt ihr bei Apple „E-Mail-Adresse verbergen", ist die Adresse eine Weiterleitungsadresse von Apple. Wir speichern die Kennung, um euch beim nächsten Mal wiederzuerkennen. Für die Anmeldung bei Apple ist Apple eigenständig verantwortlich; was Apple dabei festhält, richtet sich nach Apples eigener Datenschutzerklärung.

Schutz vor automatisierten Anmeldungen. Die Anmeldeseite kann eine Prüfung von Cloudflare („Turnstile") einbinden, die Anmeldeversuche eines Menschen von denen eines Programms unterscheidet. Dabei verarbeitet Cloudflare die IP-Adresse und technische Merkmale eures Browsers — nur während der Prüfung, und nur auf dieser Seite.

Ein Konto löscht ihr selbst unter „Anmeldung → Konto löschen". Dabei werden die Zuordnungen zu Events und die Sitzungen entfernt; Events, Fotos und Gästenamen bleiben beim Event.

Mit der App für Android (freiwillig)

Die App ist freiwillig. Sie zeigt dieselbe Website, und alles in diesem Abschnitt gilt dort genauso. Dazu kommt:

• Die Installation der App. Beim ersten Start registriert sich die App bei uns: mit einer Kennung, einem Schlüssel, von dem wir nur einen Hashwert speichern, der Version der App und der Sprache, in der ihr sie nutzt. Dazu halten wir fest, wann sie sich zuletzt gemeldet hat. Zweck: Benachrichtigungen in eurer Sprache an dieses Handy zu senden, und nur dieses Handy darf sie einstellen.
• Benachrichtigungen, wenn ihr sie erlaubt. Die Kennung, unter der Firebase Cloud Messaging von Google euer Handy erreicht (eine Firebase-Installations-ID oder ein Registrierungstoken). Pro Event: zu welchem Gast das Handy dort gehört, ob es den Verwalten-Link besitzt, eure Schalter unter «Benachrichtigungen», bis wann ihr die Fotos gesehen habt und wann wir welche Benachrichtigung verschickt haben. Zu jedem Sendeversuch halten wir zusätzlich fest: die Art der Benachrichtigung, ob das Handy zu diesem Zeitpunkt als Gast oder als gastgebende Person zählte, die Sprache, das Betriebssystem, den Kanal, auf dem die Benachrichtigung angezeigt wird, und die Anzahl, die sie nennt. Dazu kommt das Ergebnis: die Antwort von Firebase Cloud Messaging oder unser eigener Grund, wenn von dort keine Antwort kam. Tippt ihr eine Benachrichtigung an, meldet die App uns das, und wir halten den Zeitpunkt fest. Zweck: zu sehen, ob die Benachrichtigungen ankommen und angetippt werden. Eine Benachrichtigung enthält den Titel des Events, einen Text mit einer Anzahl und den Namen von Gästen, die hochgeladen haben, den Link zum Album, die Kennung des Sendeversuchs — sofern wir ihn festhalten konnten — und die Adresse eines Vorschaubilds, das ihr im Album sehen könnt. Sie geht über Firebase Cloud Messaging an euer Handy, auf einem iPhone weiter über den Apple Push Notification Service (Abschnitt 6). Ist ein Schalter aus, senden wir diese Art von Benachrichtigung nicht. In den Einstellungen des Handys schaltet ihr die Anzeige für die ganze App aus.
• Zugriff auf die Fotos und Videos des Handys, wenn ihr ihn erlaubt. Die App liest die Mediathek auf dem Handy, um sie zur Auswahl anzuzeigen und um Fotos vorzuschlagen, die während des Events aufgenommen wurden; für Vorschläge auch, wenn die App nicht offen ist. Eine Aufnahme verlässt das Handy erst, wenn ihr sie hochladet. Damit die App Aufnahmen, die das Album schon hat, markieren und nicht vorschlagen kann, sendet sie uns vorher deren Dateigrösse, Aufnahmezeitpunkt und Dateinamen. Wir antworten, welche davon das Event schon enthält, und speichern diese Angaben nicht.
• Ein Installationscode, wenn ihr Events aus dem Browser in die App importiert. Der Browser holt dafür je Event einen Code, der 24 Stunden gilt und nur einmal verwendbar ist. Die App öffnet damit das Event unter eurem Namen. Wir speichern von dem Code einen Hashwert und den Code selbst verschlüsselt: Er lässt sich höchstens 15 Minuten lang abholen und wird danach gelöscht.
• QR-Code scannen. Das Kamerabild werten die Google Play-Dienste auf dem Handy aus. Die App erhält nur den Inhalt des Codes.
• Anmelden in der App. Die Anmeldung mit Google läuft über die Google Play-Dienste auf dem Handy. Die Anmeldung mit Apple und das Verbinden eines Google-Kontos für den Export laufen im Browser des Handys; ihr Ergebnis übergeben wir der App mit einem Ticket, das nur einmal gilt und nach fünf Minuten verfällt.

Technisch, bei jedem Aufruf

• IP-Adresse und Browserkennung. Sie fallen bei jedem Aufruf einer Website an und stehen zusammen mit der angefragten Adresse in unseren Betriebsprotokollen. Zweck: Missbrauch abwehren (Begrenzung der Anfragen pro Absender) und Störungen finden.
• Ein Seitenaufruf, vom Server gezählt. Festgehalten wird: die aufgerufene Seite als deutsche Grundadresse (etwa „/hochzeit") — ein Album-Link steht in dieser Zählung nie, ein Album zählt nur als Album, Verwalten oder Upload-Zugang; Sprache und Preisregion der Adresse; die Kampagnen-Angaben aus dem Link; die Kennung, die eine Werbeplattform selbst an ihren Link hängt; der kurze Schlüssel aus einem unserer eigenen Links; und, falls ihr von einer anderen Website kamt, deren Host — also etwa „www.google.com" und nie die vollständige Adresse. Zweck: zu wissen, welche Seiten wie oft und über welchen Weg aufgerufen werden. Ist das Cookie „migu_d" gesetzt (Abschnitt 3), stehen seine Gerätekennung und seine Besuchskennung in der Zeile; habt ihr auf die Frage nach dem Cookie noch nicht geantwortet, die Kennung des Besuchs ohne Cookie (unten). In der Zeile steht ausserdem, ob das Cookie gesetzt, abgelehnt oder unbeantwortet war, und welche Fassung der Website ausgeliefert wurde; ist „migu_d" gesetzt, auch die Kennung aus „migu_xp" (Abschnitt 3). Legt ihr eine Demo an, wird dafür eine Zeile mit denselben Angaben festgehalten. Von eurem Gerät gelesen werden nur die Sprache, die ihr gewählt habt, „migu_d" und „migu_xp" (Abschnitt 3).
• Nutzung der Website. Festgehalten wird die Nutzung der Website: Aufrufe und Aktionen, der Zeitpunkt. Dazu die Seite als deutsche Grundadresse, Sprache und Preisregion der Adresse, die Kennung eures Browsers und eure gekürzte IP-Adresse (unten), und, ist das Cookie „migu_d" gesetzt (Abschnitt 3), seine Gerätekennung und seine Besuchskennung; habt ihr auf die Frage nach dem Cookie noch nicht geantwortet, die Kennung des Besuchs ohne Cookie (unten). Dazu die Fassung der Website, die ausgeliefert wurde, und, ist „migu_d" gesetzt, die Kennung aus „migu_xp" (Abschnitt 3). Nach „Ablehnen" dasselbe ohne die Kennung eures Browsers, die IP-Adresse und die Kennungen des Geräts und des Besuchs. Zweck: zu wissen, welche Teile dieser Seiten wie genutzt werden. Gelöscht nach zwölf Monaten.
• Eine Kennung pro Tag. Damit mehrere Seiten eines Besuchs nicht als mehrere Besucher zählen, berechnet unser Server aus eurer IP-Adresse, der Kennung eures Browsers und eurer Spracheinstellung eine Prüfsumme. In die Berechnung geht ein geheimer Wert ein, der für jeden Tag neu erzeugt und nach zwei Tagen gelöscht wird. Gespeichert wird dafür nur die Prüfsumme. Die Kennung eures Browsers beantwortet zusätzlich, ob der Aufruf von einem automatischen Programm kam. Nach „Ablehnen" (Abschnitt 3) wird diese Prüfsumme nicht berechnet.
• Browserkennung und gekürzte IP-Adresse zum Seitenaufruf. In der Zeile eines Seitenaufrufs und einer Demo stehen ausserdem die Kennung eures Browsers und eure IP-Adresse ohne ihren letzten Teil: bei IPv4 ohne die letzte der vier Zahlen, bei IPv6 nur die ersten drei Blöcke. Zweck: unsere eigenen Aufrufe nach Regeln, die wir festlegen, zu erkennen und als intern zu markieren, und Aufrufe automatischer Programme zu erkennen. Wir löschen beide zwölf Monate nach dem Aufruf aus der Zeile.
• Ein Besuch ohne Cookie. Habt ihr in der EU, im EWR, im Vereinigten Königreich oder ohne zugeordnetes Land auf die Frage nach dem Cookie „migu_d" (Abschnitt 3) noch nicht geantwortet, fasst unser Server eure Seitenaufrufe zu einem Besuch zusammen. Dafür berechnet er aus eurer IP-Adresse, der Kennung eures Browsers, dem Merkmal eurer verschlüsselten Verbindung, das unser Netzwerkanbieter bildet („JA4"), und eurer Spracheinstellung eine Prüfsumme. In die Berechnung geht der geheime Wert des Tages aus dem vorigen Punkt ein, der nach zwei Tagen gelöscht wird. Gespeichert werden die Prüfsumme, eine zufällige Besuchskennung und Beginn und letzter Aufruf des Besuchs. Ein Besuch endet nach 30 Minuten ohne Aufruf oder 24 Stunden nach seinem Beginn. Zweck: die Seitenaufrufe eines Besuchs einander und einem Album zuzuordnen, das in diesem Besuch angelegt wird. Nach „Ablehnen" wird nichts davon berechnet.
• Kampagnen-Angaben in Links. Kommt ihr über einen Link mit Kampagnen-Angaben („utm_source", „utm_medium", „utm_campaign", „utm_content") und habt auf die Frage nach dem Cookie „migu_d" noch nicht geantwortet oder sie abgelehnt, hängt unser Server diese Angaben an die Links der Seite, die auf Migumento weiterführen. Ist das Cookie gesetzt, entfernt die Seite die Kampagnen-Angaben, die Kennung einer Werbeplattform und unseren kurzen Schlüssel aus der Adresszeile, sobald der Seitenaufruf gezählt ist.

3 · Was auf eurem Gerät bleibt, und die Cookies

Lokal auf eurem Gerät, ohne an einen Server gesendet zu werden: welche Alben seit eurem letzten Besuch neue Fotos haben, eure Farb- und Anzeigeeinstellungen, und Uploads, die noch in der Warteschlange stehen. Auf eurem Gerät liegt ausserdem eine Kopie eurer Favoriten (Abschnitt 2).

Cookies für dieses eine Event. Fünf, gesetzt von eurem Browser, höchstens ein Jahr gültig. Der Server liest sie, um die erste Seite im Zustand auszuliefern, den sie beschreiben:

• welche Ansicht ihr in diesem Event zuletzt offen hattet;
• ob dieses Gerät den Verwalten-Link besitzt;
• eure Anzeige-Einstellungen und der Stand, bis zu dem ihr die Fotos dieses Events gesehen habt;
• wie viele Fotos ihr als Favorit markiert habt — eine Zahl, keine Liste;
• eine Prüfsumme (SHA-256) der Kennung, die euer Browser für dieses Event angelegt hat. Damit erkennt der Server eure eigenen Uploads und zeigt sie euch nicht als neu.

Cookies für die ganze Website. Wählt ihr eine Sprache oder eine Preisregion, halten zwei Cookies diese Wahl ein Jahr lang fest. Ein drittes merkt sich für diesen Besuch, dass ihr den Hinweis auf eine andere Preisregion weggeklickt habt.

Mit einem Konto (Abschnitt 2) kommen weitere dazu. Sie gelten für die ganze Website, solange ihr angemeldet seid:

• ein Cookie, das euch als angemeldet ausweist und beim nächsten Besuch die passende Sitzung findet — es endet nach einem Jahr ohne Nutzung, oder wenn ihr euch abmeldet;
• ein zweites, das nur festhält, dass ihr angemeldet seid und eure Initialen für das Symbol oben rechts bereithält;
• meldet ihr euch mit Google oder Apple an, zusätzlich eines, das diesen einen Anmeldevorgang gegen Manipulation absichert und nach zehn Minuten von selbst verfällt, ob ihr die Anmeldung abschliesst oder nicht.

Ihr werdet sie und alles andere los, indem ihr euch abmeldet oder die Website-Daten in eurem Browser löscht.

In der App für Android liegen diese Cookies und alles oben im Speicher der App statt im Browser. Dazu speichert die App auf dem Handy die Liste eurer Events mit den Zugängen dazu, die Kennung der Installation mit ihrem Schlüssel, welche Aufnahmen aus der Mediathek sie hochgeladen hat und welche Vorschläge ihr weggewischt habt. Diese beiden Listen bleiben auf dem Handy. Ihr werdet alles los, indem ihr die App deinstalliert oder in den Android-Einstellungen ihre Daten löscht.

Ein Cookie, das diesen Browser wiedererkennt: „migu_d". Gesetzt von unserem Server, wenn er eine Seite von Migumento ausliefert. Gültig 400 Tage ab dem letzten Aufruf. Inhalt: eine zufällige Gerätekennung, eine zufällige Besuchskennung, Beginn und letzter Aufruf des Besuchs und ob ihr eingewilligt habt. Ein Besuch endet nach 30 Minuten ohne Aufruf oder 24 Stunden nach seinem Beginn. Zweck: die Seitenaufrufe eines Browsers über mehrere Tage und von der Website bis in ein Album einander zuzuordnen, und ein neues Album dem Besuch, aus dem es angelegt wurde (Abschnitt 2). Seine Kennungen gehen an niemanden.

Wo es ohne Rückfrage gesetzt wird: in der Schweiz und in jedem Land ausserhalb der EU, des EWR und des Vereinigten Königreichs. Massgeblich ist das Land, das unser Netzwerkanbieter eurer Verbindung zuordnet. In der EU, im EWR, im Vereinigten Königreich und wenn kein Land zugeordnet werden kann, wird es nur mit eurer Einwilligung gesetzt; ohne sie wird dort nichts gesetzt und ein vorhandenes Cookie nicht gelesen. Bis ihr geantwortet habt, gilt dort „Ein Besuch ohne Cookie" (Abschnitt 2).

Eure Wahl: Diesen Browser nicht mehr wiedererkennen — das Cookie wird durch eines ersetzt, das 400 Tage lang nur eure Ablehnung festhält. Wiedererkennen erlauben — das ist eure Einwilligung, wo eine nötig ist. Ihr könnt die Wahl jederzeit ändern.

Ein Cookie, das festlegt, welche Fassung der Website ihr seht: „migu_xp". Gesetzt von unserem Server, wenn er eine Seite von Migumento ausliefert, in jedem Land. Gültig 400 Tage. Inhalt: eine zufällige Kennung und, nach einem Aufruf über eine Anzeige von Google, ein Vermerk dazu. Zweck: dass dieser Browser bei jedem Aufruf dieselbe Fassung der Website und dieselben Preise sieht. Seine Kennung geht an niemanden.

Jedes andere Cookie dieser Liste braucht der Dienst, den ihr verlangt habt.

Ein weiteres Cookie setzen wir ausschliesslich hinter der Anmeldung zu unserer internen Verwaltung. Inhalt: die Angabe, dass die Aufrufe dieses Geräts nicht in unsere Zahlen einfliessen. Dauer: ein Jahr.

Nicht von uns: Die Prüfung von Cloudflare („Turnstile") auf den beiden Anmelde-Feldern kann ein Cookie setzen. Zweck: einen Menschen von einem Programm unterscheiden. Anbieter: Abschnitt 6. Nach unserer Einschätzung ist es für den von euch verlangten Vorgang unbedingt erforderlich und darum nicht einwilligungspflichtig.

4 · Standortdaten in euren Fotos

Eine Kamera schreibt in jedes Bild unsichtbare Zusatzangaben — Zeitpunkt, Kameramodell, und bei vielen Telefonen die Koordinaten des Aufnahmeorts. Wir entfernen diese Angaben nicht.

Wer Zugriff auf ein Event hat und ein Original herunterlädt, kann daraus den Aufnahmeort ablesen.

Über die App für Android kommen Fotos und Videos mit diesen Angaben an, die Koordinaten inbegriffen. Wählt ihr unter Android im Browser aus, entfernt Android die Koordinaten vor dem Hochladen; in der App ebenso, wenn sie keinen Zugriff auf die Mediathek hat.

Die gastgebende Person kann diese Angaben für andere Gäste entfernen lassen. Schaltet sie unter «Originale herunterladen» «Metadaten mitgeben» aus, entfernen wir beim Herunterladen und beim Export durch Gäste aus den Aufnahmen anderer Gäste die Koordinaten, Angaben zum Gerät wie die Seriennummer, hinterlegte Namen, Texte und eingebettete Vorschaubilder. Eigene Aufnahmen bekommt jeder Gast unverändert, ebenso alle Aufnahmen über den Verwalten-Link.

Bei Videos gilt das nur fürs Original. Die Fassung, die in der App abgespielt wird, rechnen wir selbst neu — dabei fallen die Zusatzangaben des Geräts weg, die Koordinaten inbegriffen.

5 · Zahlungen

Bezahlt wird über Stripe. Kartennummern, TWINT-Angaben und alles Vergleichbare werden direkt von Stripe erhoben und verarbeitet. Zu uns zurück kommen nur: dass eine Zahlung erfolgreich war, über welchen Betrag, und eine Referenznummer.

Anbieterin ist Stripe Payments Europe Ltd., Irland, für europäische Zahlungen, mit der Stripe, Inc. (USA) als Konzernmutter. Deren Datenschutzerklärung: stripe.com/privacy.

Liegt eure Rechnungsadresse ausserhalb der Schweiz, ist Stripe die eingetragene Händlerin des Kaufs (Link, LLC (Stripe)) und für diese Zahlung eigenständig verantwortlich — sie erhebt eure Rechnungsangaben für sich, stellt die Quittung aus und braucht sie für ihre eigenen steuerlichen Pflichten.

6 · Wer die Daten sonst noch verarbeitet

Wir setzen sie alle als Auftragsbearbeiter ein; sie verarbeiten die Daten ausschliesslich für uns.

Eine Ausnahme: Bei einer Rechnungsadresse ausserhalb der Schweiz ist Stripe für die Zahlung selbst nicht Auftragsbearbeiterin, sondern als eingetragene Händlerin eigenständig verantwortlich (siehe Abschnitt 5).

Soweit dabei Daten in die USA gelangen, stützen wir uns auf die Standardvertragsklauseln der EU-Kommission und den Angemessenheitsbeschluss des Bundesrats zum Swiss-U.S. Data Privacy Framework. Wir geben Daten an niemanden weiter, der hier nicht steht — ausser ihr weist selbst einen Export in euer eigenes Google-Konto an (Abschnitt 7) oder wir sind gesetzlich dazu verpflichtet.

7 · Export in euer eigenes Google-Konto

Migumento kann die Fotos und Videos eines Events in euer eigenes Google Drive oder in eure eigenen Google Fotos kopieren. Das geschieht nur dann, wenn ihr selbst ein Google-Konto verbindet und den Export startet. Den Export gibt es für gastgebende Personen und für Gäste; jede Person verbindet ihr eigenes Google-Konto und exportiert nur in dieses. Beim Verbinden leiten wir euch zu Google weiter; dabei sieht Google eure IP-Adresse, wie bei jedem Aufruf einer Website.

Übertragen werden: die Fotos und Videos, die ihr für diesen Export ausgewählt habt, ihre Dateinamen und ihr Aufnahmezeitpunkt. Dazu kommt der Name des Anlasses und des Albums — bei Google Drive als Namen der Ordner, in denen die Dateien liegen, bei Google Fotos als Text bei jedem Bild. An jede Datei in Google Drive hängen wir ausserdem eine technische Kennung der Aufnahme; und wenn ihr den Export nach Google Drive als ein einziges Archiv (ZIP) verlangt, trägt dieses Archiv die Kennung des Exports. Zweck: Ein zweiter Export erkennt daran, was schon übertragen ist.

Ein Original geht so hinüber, wie es aufgenommen wurde — mit allen unsichtbaren Zusatzangaben der Kamera aus Abschnitt 4, den Koordinaten des Aufnahmeorts inbegriffen. Nur wenn ihr für den Export nach Google Drive die kleinere Fassung eines Fotos oder die umgerechnete Fassung eines Videos wählt, geht die neu gerechnete Datei hinüber, und die trägt diese Angaben nicht mehr. Nach Google Fotos gehen immer die Originale.

Die Kopien liegen danach in eurem Konto, unter eurer eigenen Vereinbarung mit Google. Google ist für diese Kopien nicht unser Auftragsbearbeiter. Was Google mit den Daten in eurem Konto macht, richtet sich nach Googles eigener Datenschutzerklärung: policies.google.com/privacy.

Wir können in euer Google-Konto hineinlegen, aber nicht darin lesen. Pro Verbindung fragen wir für eure Aufnahmen genau eine Berechtigung an — die des Ziels, das ihr gewählt habt: bei Google Drive nur den Zugriff auf Dateien und Ordner, die unsere eigene Anwendung dort angelegt hat (drive.file). Bei Google Fotos nur das Hinzufügen (photoslibrary.appendonly): wir können Aufnahmen ablegen und ein Album dafür anlegen, eure Mediathek aber weder durchsuchen noch ansehen noch etwas daraus löschen. Wollt ihr beide Ziele nutzen, verbindet ihr zweimal, und wir halten dann beide Berechtigungen. Dazu kommt beim Anmelden die Freigabe eurer Konto-Adresse (openid, email).

Von der Verbindung selbst speichern wir bei uns nur, was ein Export braucht: einen Zugang, den ihr uns bei Google erteilt und den wir nur verschlüsselt aufbewahren, damit ein Export ohne neue Anmeldung laufen kann; die E-Mail-Adresse des verbundenen Kontos, damit ihr seht, in welches Konto exportiert wird; welche Berechtigungen ihr uns erteilt habt; sowie die Kennung des angelegten Ordners und der angelegten Alben, damit ein zweiter Export dieselben weiterverwendet.

Trennen könnt ihr jederzeit. Beim Export, auf der Seite für Google Drive und der für Google Fotos, gibt es «Trennen», für Gäste wie für gastgebende Personen; es trennt nur die eigene Verbindung. Unseren Eintrag löschen wir in jedem Fall — danach haben wir weder diesen Zugang noch die Adresse eures Google-Kontos, und euer laufender Export wird gestoppt. Und wir fordern Google auf, die Berechtigung zu widerrufen — das ist eine Anfrage an Google, und im Normalfall führt Google sie aus. Erreicht sie Google nicht, oder lehnt Google sie ab, kann die Berechtigung in eurem Google-Konto weiter bestehen, obwohl bei uns nichts mehr davon übrig ist.

Nachschauen und selbst entziehen könnt ihr die Berechtigung jederzeit in eurem Google-Konto unter «Sicherheit», bei den Drittanbieter-Apps mit Kontozugriff: myaccount.google.com.

Wird das Event gelöscht, verschwindet unser Eintrag mit ihm; Google fragen wir dabei nicht. Bei einem Widerruf direkt bei Google verliert unser Zugang sofort seine Gültigkeit; der Eintrag mit eurer Konto-Adresse bleibt dann stehen, bis ihr «Trennen» wählt oder das Event gelöscht wird. Was bereits exportiert wurde, bleibt in eurem Konto.

8 · Was wir nicht tun

• Keine automatisierte Einzelentscheidung.

9 · Wie lange wir etwas aufbewahren

• Event samt Inhalten: solange die Zugriffsdauer läuft (siehe AGB). Danach wird das Event gesperrt, und ab diesem Zeitpunkt können wir es jederzeit löschen. In der Regel behalten wir ein gesperrtes Event länger, damit ihr es wieder öffnen könnt. Vorher gelöscht wird, wenn ihr es selbst löscht oder es bei uns verlangt. Löscht ihr ein Event mit Fotos oder Videos selbst, ist es sofort nicht mehr erreichbar und wird sieben Tage danach endgültig gelöscht; bis dahin wird es nur verwendet, um es wiederherzustellen.
• Nie benutzte Events: ein Event, das 12 Monate nach dem Anlegen noch völlig unberührt ist, löschen wir automatisch. Unberührt heisst: nie ein Foto oder Video hochgeladen, nie ein Name von einem Gast eingetragen, die E-Mail-Adresse nie bestätigt, nichts bezahlt, keine Tischkarte erstellt. Sobald auch nur eines davon passiert ist, gilt der erste Punkt.
• Demo-Events: automatisch und vollständig nach 48 Stunden.
• Fehlgeschlagene Uploads: nach 30 Tagen.
• Dateien gelöschter Fotos und Videos: innerhalb von 30 Tagen nach dem Löschen endgültig gelöscht, auch aus den Sicherungskopien. Bis dahin werden sie nur verwendet, um sie wiederherzustellen. Dafür bewahren wir zu jeder Löschung 45 Tage lang einen Eintrag auf: die Kennungen der Aufnahme, des Albums, des Events und des Gastes, die Speicherpfade der Dateien sowie Zeitpunkt und Anlass der Löschung. Danach wird der Eintrag gelöscht.
• E-Mail-Adresse der gastgebenden Person: solange das Event besteht.
• Verbindung zu einem Google-Konto: bis ihr sie trennt, längstens solange das Event besteht — danach ist der ganze Eintrag dazu weg, Zugang und Konto-Adresse (siehe Abschnitt 7).
• Meldungen: solange das Event besteht. Hebt die gastgebende Person die Meldungen zu einem Inhalt auf, werden sie gelöscht.
• Protokoll der gesammelten Downloads und Exporte: solange das Event besteht. Wird ein Gast entfernt, bleibt sein Name darin stehen.
• Installation der App und Benachrichtigungen: Der Eintrag dieses Handys zu einem Event (Abschnitt 2) besteht nie länger als das Event und nie länger als die Installation. Gelöscht wird er zum Beispiel, wenn ihr alle Schalter unter «Benachrichtigungen» ausschaltet, wenn ihr das Event aus der Liste der App entfernt oder wenn der Gäste-Link neu vergeben wird und der Eintrag zu einem Gast oder zu einem älteren Verwalten-Link gehörte. Entfernt ihr das letzte Event, löscht die App ihre Installation bei uns und ihre Firebase-Installations-ID bei Google; Google entfernt diese ID danach innerhalb von 180 Tagen auch aus seinen Sicherungen. Die Installation löschen wir, wenn sie sich 270 Tage nicht bei uns gemeldet hat, etwa nach dem Deinstallieren. Für den Eintrag zu einem Sendeversuch gilt der nächste Punkt.
• Eintrag zu einem Sendeversuch: 270 Tage ab dem Versuch, dann gelöscht. Er verweist auf das Event, auf die Installation und auf den Eintrag dieses Handys zu diesem Event; wird eines davon gelöscht, entfernen wir nur den Verweis darauf.
• Benachrichtigungen, die das Handy nicht erreichen: höchstens 24 Stunden bei Firebase Cloud Messaging.
• Gezählte Seitenaufrufe: unbefristet.
• Browserkennung und gekürzte IP-Adresse aus einem Seitenaufruf (Abschnitt 2): zwölf Monate nach dem Aufruf.
• Der geheime Wert für die Tages-Prüfsumme aus Abschnitt 2: zwei Tage.
• Gerätekennung und Besuchskennung aus „migu_d" (Abschnitt 3): zwölf Monate — in der Zeile eines Seitenaufrufs ab dem Aufruf, an einem Album ab dem Anlegen. Das Cookie selbst: 400 Tage nach dem letzten Aufruf, oder bis ihr es in eurem Browser löscht.
• Die Kennung aus „migu_xp" (Abschnitt 3): zwölf Monate — in der Zeile eines Seitenaufrufs ab dem Aufruf, an einem Album ab dem Anlegen. Das Cookie selbst: 400 Tage nach dem ersten Aufruf, oder bis ihr es in eurem Browser löscht.
• Prüfsumme eines Besuchs ohne Cookie (Abschnitt 2): spätestens zwei Tage nach dem letzten Aufruf gelöscht. Seine Besuchskennung in der Zeile eines Seitenaufrufs und an einem Album: zwölf Monate, wie die Kennungen aus „migu_d".
• Die Kennung, die eine Werbeplattform an ihren Link gehängt hat: zwölf Monate. Zweck: der Plattform melden zu können, welche Anzeige zu einem Album geführt hat. Gelöscht zwölf Monate nach dem Aufruf.
• Betriebsprotokolle: bis die Rotation sie überschreibt.
• Sicherungskopien der Datenbank: höchstens 16 Monate, dann gelöscht. Verwendet werden sie nur, um Daten wiederherzustellen.
• Zahlungsbelege: zehn Jahre (Art. 958f OR).

10 · Eure Rechte

Ihr habt das Recht auf Auskunft über die Daten, die wir über euch bearbeiten, auf Berichtigung falscher Angaben, auf Löschung, auf Herausgabe in einem gängigen Format und darauf, einer Bearbeitung zu widersprechen. Eine Mail an info@migumento.com genügt.

Wenn ihr auf einem Foto in einem Event zu sehen seid und das nicht möchtet, schreibt uns ebenfalls.

Ihr könnt euch ausserdem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) in Bern beschweren.

11 · Sicherheit

Zwischen eurem Gerät und uns läuft alles ausschliesslich über verschlüsselte Verbindungen (TLS). Ein Event ist über einen langen, nicht erratbaren Link erreichbar; wer ihn nicht hat, kommt nicht hinein. Originaldateien werden nur über einzeln signierte Links herausgegeben, die nach 24 Stunden ungültig werden. Der Link zum Verwalten und der Link für die Gäste sind getrennt. Wer einen Link hat, ist drin.

Im Internet gibt es keine absolute Sicherheit. Was das für die Haftung bedeutet, steht in Abschnitt 12 der AGB.

12 · Änderungen

Wir passen diese Erklärung an, wenn sich am Produkt etwas ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum unten sagt, wann sie zuletzt geändert wurde.