Datenschutzerklärung

Der Dienst Fuze wird angeboten von TexturingXYZ SARL, 71 rue Ampère, 31670 Labège, Frankreich — SIRET 819 447 558 00027, Handelsregister Toulouse 819 447 558, USt-IdNr. FR03819447558. Fuze („wir“) betreibt den unter fuze.photo verfügbaren Dienst. Bei Fragen zu Ihren personenbezogenen Daten: privacy@fuze.photo.

Letzte Aktualisierung: 2026-08-08.

Für Ihre Fotografen-Daten (Konto, Einstellungen, Katalog, Marke) handeln wir als Verantwortlicher.

Für die Daten Ihrer Endkunden, die aus Ihrem Kalender synchronisiert werden (Termine, Kontakte, Notizen), sind Sie Verantwortlicher und wir handeln als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ein AVV (DPA) ist in unsere Nutzungsbedingungen integriert.

• Konto & Identität — E-Mail, Name, Avatar. Zweck: Authentifizierung, Service-Kommunikation. Rechtsgrundlage: Vertragserfüllung (Art. 6.1.b).
• Studio & Katalog — Studioname, Stadt, Angebote, Preise, Einschränkungen. Zweck: Personalisierung der Studio-Brain-Empfehlungen. Grundlage: Vertrag.
• Synchronisierter Kalender — Termine (Titel, Daten, Dauer, Beschreibung, Teilnehmer). Zweck: Shooting-Erkennung, Auslastungsberechnung, Chancen. Grundlage: Vertrag + berechtigtes Interesse an Geschäftsanalysen.
• Abgeleitete Metriken — Shooting-Statistiken, Auslastungsquote, geschätzter Umsatz. Zweck: Chancen-Engine und KI-Aktionspläne.
• Nutzung & Logs — Aktionen in der App, KI-Aufrufe, Kosten. Zweck: Sicherheit, Abrechnung, Verbesserung. Grundlage: berechtigtes Interesse.
• Cookies — siehe Abschnitt 8.
• Marketing-E-Mails — nur mit ausdrücklicher Einwilligung (Opt-in). Grundlage: Einwilligung (Art. 6.1.a).

Die Studio-Brain-Engine sendet eine kompakte Zusammenfassung Ihres Studio-Kontexts (Angebote, Einschränkungen, aggregierte Metriken) an Sprachmodelle Dritter. Diese Zusammenfassung ist so strukturiert, dass Namen, E-Mail-Adressen und Telefonnummern Ihrer Endkunden nicht übertragen werden.

Briefings, Aktionspläne und Storyboards werden von KI erzeugt. Die Entscheidung bleibt bei Ihnen: Es erfolgt keine ausschließlich automatisierte Entscheidung gegenüber Ihren Kunden (Art. 22 DSGVO).

Unsere KI-Auftragsverarbeiter sind unter /legal/subprocessors aufgeführt.

Ihre Daten werden niemals verkauft. Empfänger sind ausschließlich unsere technischen Auftragsverarbeiter, gebunden durch Verträge nach Art. 28 DSGVO und, soweit erforderlich, Standardvertragsklauseln (SCC) für Übermittlungen außerhalb der EU.

Vollständige und aktuelle Liste: /legal/subprocessors.

Siehe auch Abschnitt 13 „Google API Services“ zur eingeschränkten Nutzung von Daten aus Google-APIs.

Einige Auftragsverarbeiter arbeiten außerhalb der EU. Diese Übermittlungen erfolgen auf Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln sowie der in Abschnitt 9 beschriebenen technischen und organisatorischen Maßnahmen.

• Konto: Dauer der Vertragsbeziehung + 3 Jahre (handelsrechtliche Verjährung).
• Rohdaten des synchronisierten Kalenders: rollierend 36 Monate, danach automatische Löschung.
• Abgeleitete Metriken & KI-Lernen: Dauer der Beziehung.
• Technische Logs: rollierend 12 Monate.
• Administrative Audit-Logs: 3 Jahre (gesetzliche Nachweispflicht).
• Cookie-Einwilligungen: maximal 13 Monate.

Wir verwenden drei Kategorien von Cookies:

• Essenziell (immer aktiv): Authentifizierungssitzung, Sicherheit, Sprachwahl.
• Analyse (Opt-in): anonymisierte Reichweitenmessung zur Verbesserung der App.
• Marketing (Opt-in): Conversion-Tracking, standardmäßig deaktiviert.

Sie können Ihre Wahl jederzeit über das Banner ändern oder das Cookie amb_consent_v1 löschen.

• Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand.
• Kalender-Zugriffstokens in der Datenbank mit dediziertem Schlüssel verschlüsselt.
• Postgres Row-Level Security für alle sensiblen Tabellen.
• Prüfung auf geleakte Passwörter bei der Registrierung.
• Protokollierung der Administratorzugriffe.
• Geprüfte tägliche Backups.

Sie haben jederzeit folgende Rechte:

• Auskunft und Datenübertragbarkeit — Export Ihrer Daten als JSON unter Einstellungen → Konto.
• Berichtigung — über die Seiten Einstellungen, Studio, Marke und Kanäle.
• Löschung — Schaltfläche „Konto löschen“ in den Einstellungen.
• Einschränkung / Widerspruch — Schaltfläche „KI-Verarbeitung pausieren“.
• Beschwerde — bei Ihrer Aufsichtsbehörde (z. B. CNIL: cnil.fr).

Antwortfrist: maximal 30 Tage. Kontakt: privacy@fuze.photo.

Bei einer Verletzung, die ein Risiko für Ihre Rechte und Freiheiten mit sich bringen kann, benachrichtigen wir die zuständige Behörde innerhalb von 72 Stunden und informieren Sie bei hohem Risiko unverzüglich direkt (Art. 33 & 34 DSGVO).

Jede wesentliche Änderung dieser Erklärung wird Ihnen per E-Mail und über ein Banner in der App mindestens 15 Tage vor Inkrafttreten mitgeteilt.

Die Nutzung und Übertragung von Informationen, die Fuze über Google-APIs erhält, erfolgt gemäß der Google API Services User Data Policy, einschließlich der Limited Use-Anforderungen.

13.1 Genutzte Google-Dienste und Berechtigungen (Scopes)

• Google Calendar API — Scope calendar.readonly (nur Lesen). Zweck: Erkennung Ihrer Shootings, Berechnung Ihrer Auslastung und freien Slots. Fuze erstellt, ändert oder löscht niemals Termine.
• Google Analytics Data API (GA4) — Scope analytics.readonly (nur Lesen). Zweck: Abruf aggregierter Metriken Ihrer eigenen GA4-Property (Sitzungen, Conversions, Trafficquellen) zur Messung Ihrer Kampagnen. Es werden keine identifizierbaren Endnutzerdaten gelesen.
• Google Maps / Places / Geocoding API — Serverschlüssel, keine Google-Kontodaten. Zweck: Geocodierung Ihrer Studioadresse und Ermittlung öffentlicher Wettbewerber-Studios in einem von Ihnen festgelegten Radius.
• Google Sign-In (OAuth 2.0 / OpenID Connect) — Scopes openid, email, profile. Zweck: Erstellung und Authentifizierung Ihres Kontos.

13.2 Limited-Use-Verpflichtungen

• Google-Daten werden ausschließlich genutzt, um die für Sie in Fuze sichtbaren Funktionen bereitzustellen und zu verbessern.
• Sie werden niemals verkauft, nicht an Datenhändler übermittelt und nicht für Werbung, Targeting oder Weiterverkauf verwendet.
• Sie werden nicht zum Training allgemeiner KI-Modelle verwendet. Aufrufe an Sprachmodelle erfolgen mit aktiviertem Trainings-Opt-out (siehe Abschnitt 4).
• Kein Mensch liest Ihre Google-Daten, außer: (a) mit Ihrer ausdrücklichen Einwilligung, (b) aus Sicherheitsgründen (Untersuchung von Missbrauch oder Vorfällen), (c) zur Erfüllung einer rechtlichen Pflicht oder (d) nach Aggregation und Anonymisierung für interne Statistiken.
• Die Weitergabe an unsere technischen Auftragsverarbeiter ist auf das für den Betrieb strikt Notwendige begrenzt (siehe /legal/subprocessors).

13.3 Speicherung und Widerruf

• Google-OAuth-Tokens sind im Ruhezustand verschlüsselt und werden ausschließlich serverseitig verwendet.
• Sie können den Zugriff jederzeit unter Einstellungen → Integrationen oder über myaccount.google.com/permissions widerrufen.
• Bei Widerruf werden die Tokens sofort vernichtet und importierte Kalenderdaten innerhalb von 30 Tagen gelöscht.
• Synchronisierte Kalendertermine werden maximal 36 Monate rollierend gespeichert (siehe Abschnitt 7).

13.4 Google Maps

Die Nutzung der Kartenfunktionen unterliegt zusätzlich den Google Maps Platform Terms of Service und der Datenschutzerklärung von Google.