Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Fantastisch — Ana Belen Alvarez Ramirez (freiberufliche Künstlerin), Gehestr. 8, 01127 Dresden, Deutschland. E-Mail: info@fantastisch.mx.

2. Allgemeine Hinweise

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst und verarbeiten sie ausschließlich im Einklang mit der DSGVO und dieser Erklärung. Wir folgen dem Grundsatz der Datenminimierung und erheben nur, was für den Betrieb dieser Website und die Beantwortung Ihrer Anfragen erforderlich ist. Diese Website zeigt keinen Cookie-Banner, da beim normalen Seitenaufruf keine einwilligungspflichtige Technologie läuft — siehe Abschnitt 5.

3. Hosting (Cloudflare)

Diese Website wird bei Cloudflare Pages gehostet; Cloudflare stellt zudem unser DNS und CDN bereit. Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (mit EU-Niederlassung Cloudflare Germany GmbH). Beim Aufruf der Website verarbeitet Cloudflare Zugriffsdaten in Server-Logfiles (siehe Abschnitt 4). Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, stabilen und effizienten Bereitstellung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Es besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in die USA werden durch das EU-US Data Privacy Framework und ergänzend durch EU-Standardvertragsklauseln abgesichert (siehe Abschnitt 17). Datenschutzerklärung: cloudflare.com/privacypolicy.

4. Server-Logfiles

Unser Hoster erhebt und speichert automatisch Informationen in Server-Logfiles, die Ihr Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Geräts, Uhrzeit der Anfrage und IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und ausschließlich zur Auslieferung der Website sowie zur Gewährleistung ihrer Sicherheit und Stabilität verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Cloudflare speichert diese Daten in der Regel etwa 30 Tage.

5. Cookies und ähnliche Technologien

Wir beschränken die Speicherung auf Ihrem Gerät auf das Notwendigste:

• fantastisch.lang — First-Party-localStorage, speichert Ihre Sprachauswahl. Für die von Ihnen gewünschte Funktion unbedingt erforderlich; keine Einwilligung nötig.
• __cf_bm — ein Cookie von Cloudflare zur Bot-Erkennung, Laufzeit ca. 30 Minuten; eine von der Einwilligung ausgenommene Sicherheitsmaßnahme.
• Stripe lädt sein Skript (Stripe.js) ausschließlich auf unserer eigenen Kassenseite /checkout, die Sie nur durch einen bewussten Klick auf „Weiter zur Kasse“ erreichen. Sobald diese Seite lädt, setzt Stripe die Cookies __stripe_mid und __stripe_sid auf fantastisch.mx zur Betrugserkennung beim Zahlungsvorgang. Rechtsgrundlage ist die mit diesem Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), entsprechend dem Vorgehen bei der Karte (Abschnitt 10).

Da beim Standard-Seitenaufruf keine einwilligungspflichtige Technologie läuft, zeigen wir keinen Consent-Banner (§ 25 Abs. 2 TDDDG). Interaktive Drittinhalte (Karten, etwaige künftige Videos) werden erst nach ausdrücklichem Klick geladen — siehe Abschnitte 10 und 11.

6. Webanalyse (Cloudflare Web Analytics)

Wir nutzen Cloudflare Web Analytics zur Zählung von Seitenaufrufen. Das Verfahren ist cookielos, verwendet kein Fingerprinting, speichert keine personenbezogenen Daten und keine seiten- oder geräteübergreifenden Kennungen und liefert nur aggregierte Werte; technische Daten wie Ihre IP-Adresse werden dabei nur flüchtig zur Durchführung der Messung verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

7. Bot-Schutz (Cloudflare Turnstile)

Auf der Kontaktseite sowie in unseren Widerrufs- und Stornierungsformularen (Abschnitt 18) setzen wir Cloudflare Turnstile im Modus „Managed“ ein, um diese Formulare vor automatisiertem Missbrauch zu schützen. Auf allen anderen Seiten wird Turnstile nicht geladen. In den Widerrufs- und Stornierungsformularen wird Turnstile nur geladen, wenn JavaScript aktiv ist; ohne JavaScript bleibt das Formular auch ohne Turnstile nutzbar. Turnstile setzt keine Cookies, solange keine Challenge ausgelöst wird, und verwendet keine Tracking-Cookies. Die Verarbeitung dient unserem berechtigten Interesse an der Sicherheit und Integrität dieser Formularkanäle (Art. 6 Abs. 1 lit. f DSGVO); soweit dadurch eine vertragsbezogene Anfrage geschützt wird, stützt sie sich auch auf Art. 6 Abs. 1 lit. b. Übermittlungen in die USA sind durch das EU-US Data Privacy Framework und ergänzend durch Standardvertragsklauseln abgesichert (siehe Abschnitt 17).

8. Kontaktformular

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen eingegebenen Felder — Name, E-Mail-Adresse, gewählter Betreff, Nachricht — sowie die Sprache der Website. Die Einsendung gelangt von Ihrem Browser zu einer Cloudflare Pages Function, dann zu unserem eigenen Mailserver (siehe Abschnitt 13), der sie über Zoho SMTP an ein Postfach der Form info+<betreff>@fantastisch.mx weiterleitet. Wir verwenden diese Daten ausschließlich zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen, die einen Vertrag oder seine Anbahnung betreffen, ansonsten unser berechtigtes Interesse an der Beantwortung Ihrer Nachricht (Art. 6 Abs. 1 lit. f DSGVO). Die Pages Function protokolliert den Nachrichteninhalt nicht. Ihre Nachricht verbleibt im Postfach, bis Ihr Anliegen erledigt ist, vorbehaltlich gesetzlicher Aufbewahrungsfristen.

9. Zahlungen (Stripe Checkout)

Unser Shop nutzt Stripe Checkout mit Zahlung auf unserer eigenen Kassenseite (/checkout, „Stripe Elements“). Produktpreise werden von unserem eigenen Endpunkt /api/prices geladen, sodass beim Stöbern keine Anfrage an Stripe erfolgt. Klicken Sie im Produkt auf „Weiter zur Kasse“, gelangen Sie auf unsere Kassenseite; dort lädt Stripe.js (siehe Abschnitt 5), und unser eigener Endpunkt /api/checkout erstellt serverseitig eine Stripe-Checkout-Sitzung. Zahlungs- und etwaige Versanddaten geben Sie direkt auf dieser Seite ein — in von Stripe bereitgestellten eingebetteten iFrames (Payment Element und Adress-Element), die Stripe technisch von unserer Website isoliert betreibt; bei Kartenzahlung findet keine Weiterleitung auf eine Stripe-Domain statt. Wir sehen Ihre Kartendaten nie — sie gelangen ausschließlich an Stripe. Bei den Zahlarten PayPal, Klarna und iDEAL werden Sie zum Abschluss der Zahlung auf eine fremde Seite weitergeleitet und danach zu uns zurückgeführt (siehe unten). Nach Bestätigung der Zahlung fragt unser Server bei Stripe ab, ob sie erfolgreich war, und Sie werden anschließend zurück auf die Seite geleitet, von der aus Sie den Kauf begonnen haben, wo eine Bestätigung angezeigt wird. Anbieter: Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (USA); die US-Übermittlung ist durch das EU-US Data Privacy Framework und ergänzend durch Standardvertragsklauseln abgesichert (siehe Abschnitt 17). Rechtsgrundlage ist die Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Wählen Sie Klarna, werden Sie zum Abschluss der Zahlung auf die Seite von Klarna weitergeleitet. Anbieter ist die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Dabei werden die für die Zahlung erforderlichen Daten — Ihr Name, Ihre E-Mail-Adresse, Ihre Rechnungs- und gegebenenfalls Lieferanschrift, der Bestellbetrag und die Bestelldetails — über Stripe an Klarna übermittelt; durch die Weiterleitung erhält Klarna außerdem Ihre IP-Adresse. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Welche Zahlungsoptionen Klarna Ihnen anzeigt — etwa sofort bezahlen oder später bezahlen —, entscheidet Klarna selbst anhand von Land, Betrag und Bestellung; wir können sie nicht vorgeben oder einschränken. Soweit Klarna in Vorleistung geht, führt Klarna zur Betrugsprävention und Risikosteuerung eigene Identitäts- und Bonitätsprüfungen durch und kann dazu Wirtschaftsauskunfteien einbeziehen. Für diese Prüfungen ist Klarna eigenverantwortlich; Rechtsgrundlage ist das berechtigte Interesse an der Zahlungssicherheit und dem Schutz vor Zahlungsausfällen (Art. 6 Abs. 1 lit. f DSGVO). Näheres in der Datenschutzerklärung von Klarna: klarna.com/de/datenschutz.

Wählen Sie iDEAL, wählen Sie Ihre Bank aus und werden zur Freigabe der Zahlung auf die Seite Ihrer Bank weitergeleitet; abgewickelt wird die Zahlung über Stripe. Übermittelt werden dabei die für die Überweisung erforderlichen Angaben, insbesondere Betrag und Zahlungsreferenz; von Ihrer Bank erhält Stripe eine Zahlungsbestätigung mit Ihrem Namen und den letzten Stellen Ihrer IBAN. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Wählen Sie PayPal, werden Sie zum Abschluss der Zahlung auf die Seite von PayPal weitergeleitet und melden sich dort bei Ihrem PayPal-Konto an. Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Die für die Zahlung erforderlichen Daten — Ihr Name, Ihre E-Mail-Adresse, Ihre Rechnungs- und gegebenenfalls Lieferanschrift, der Bestellbetrag und die Bestelldetails — werden über Stripe an PayPal übermittelt; durch die Weiterleitung erhält PayPal außerdem Ihre IP-Adresse. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). PayPal verarbeitet Ihre Daten darüber hinaus eigenverantwortlich als eigener Verantwortlicher, insbesondere zur Betrugsprävention, zur Erfüllung eigener gesetzlicher Pflichten und im Rahmen des PayPal-Käuferschutzes; hierauf haben wir keinen Einfluss. Da PayPal in Luxemburg ansässig ist, findet insoweit keine Übermittlung in ein Drittland statt. Näheres in der Datenschutzerklärung von PayPal: paypal.com/de/webapps/mpp/ua/privacy-full.

Gemäß § 19 UStG wird beim Checkout keine Umsatzsteuer ausgewiesen. Bei Workshop-Buchungen werden nur die Daten der zahlenden Person erhoben; gesonderte Teilnehmerdaten – auch keine Daten zu etwaig teilnehmenden Kindern – erheben wir online nicht. Bei der Buchung können Sie uns freiwillig eine kurze Nachricht in einem Freitextfeld hinterlassen. Die Angabe ist freiwillig und für die Buchung nicht erforderlich; Sie entscheiden, was Sie schreiben, und wir bitten Sie, dort nur mitzuteilen, was für die Buchung relevant ist. Ihre Nachricht wird zusammen mit der Buchung bei Stripe gespeichert und erreicht dasselbe Bestell-Postfach wie die übrigen Bestelldaten. Nach erfolgreicher Zahlung informiert der Webhook von Stripe auch unsere eigenen Systeme über die Bestellung – Produkt, Preis, Menge, eine von Ihnen gewählte Option, eine von Ihnen hinterlassene Nachricht, Ihren Namen und Ihre E-Mail-Adresse sowie, bei Versandartikeln, Ihre Lieferanschrift –, die wir über unseren eigenen Mailserver (siehe Abschnitt 13) an ein Bestell-Postfach bei fantastisch.mx weiterleiten, um Ihre Bestellung abzuwickeln. Diese Kopie wird gemäß den Regeln in Abschnitt 16 aufbewahrt. Datenschutzerklärung von Stripe: stripe.com/privacy.

Nach erfolgreicher Zahlung senden wir Ihnen außerdem eine Bestellbestätigung an die E-Mail-Adresse, die Sie im Checkout angegeben haben. Dazu sind wir gesetzlich verpflichtet: § 312f Abs. 2 BGB verlangt eine Bestätigung des Vertrags auf einem dauerhaften Datenträger. Die E-Mail enthält Ihre Bestelldaten sowie die gesetzlich vorgeschriebenen Verbraucherinformationen einschließlich der Widerrufsbelehrung, und sie ist in der Sprache verfasst, in der Sie den Shop genutzt haben. Versendet wird sie über unseren eigenen Mailserver (Abschnitt 13) und Zoho (Abschnitt 12); weitere Empfänger gibt es nicht. Rechtsgrundlage ist die Erfüllung dieser rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

10. Eingebettete Karten (OpenStreetMap)

Auf Veranstaltungsseiten bieten wir eine interaktive Karte an, die erst auf Klick geladen wird („Click-to-Load“). Bis Sie klicken, wird keine Verbindung zu einem Kartenanbieter hergestellt. Beim Klick werden Kartenkacheln von tile.openstreetmap.org geladen, wobei Ihre IP-Adresse als technische Notwendigkeit an die OpenStreetMap Foundation (Vereinigtes Königreich) übermittelt wird. Rechtsgrundlage ist Ihre durch den Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Datenschutzerklärung: osmfoundation.org/wiki/Privacy_Policy.

11. Eingebettete Videos

Diese Website bindet derzeit keine Videos Dritter ein. Sollten wir dies später tun, geschieht dies nach demselben Click-to-Load-Prinzip und über eine No-Cookie-Domain (z. B. youtube-nocookie.com oder Vimeo); diese Erklärung wird dann entsprechend aktualisiert.

12. E-Mail-Hosting (Zoho)

Wir nutzen Zoho zum Betrieb unserer Postfächer. Anbieter: Zoho Corporation B.V. (EU). E-Mails werden auf EU-Servern verarbeitet, und es besteht ein Auftragsverarbeitungsvertrag. Die Verarbeitung dient unserem berechtigten Interesse am Betrieb eines funktionierenden E-Mail-Kanals und, bei vertragsbezogener Korrespondenz, der Vertragserfüllung (Art. 6 Abs. 1 lit. f und b DSGVO). Datenschutzerklärung: zoho.com/privacy.

13. Selbst betriebener Mailserver

Einsendungen aus dem Kontaktformular (Abschnitt 8) und Bestellbenachrichtigungen nach erfolgreicher Zahlung (Abschnitt 9) werden zunächst von unserem eigenen Server (eine virtuelle Maschine in der Oracle Cloud in einer EU-Region) verarbeitet und anschließend über Zoho SMTP versendet. Ein Drittanbieter-Relay ist nicht beteiligt. Es handelt sich um von uns selbst betriebene Infrastruktur.

14. Selbst gehostete Schriftarten

Alle Schriftarten werden lokal von unserem eigenen Server ausgeliefert (über Fontsource). Es besteht keine Verbindung zu Google Fonts oder einem anderen Drittanbieter für Schriftarten, und es werden keine Daten zu Typografiezwecken an Dritte übermittelt.

15. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Beruht eine Verarbeitung auf Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Zur Ausübung dieser Rechte wenden Sie sich an info@fantastisch.mx.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre personenbezogenen Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren; für uns zuständig ist der Sächsische Datenschutzbeauftragte, Dresden — datenschutz.sachsen.de.

Wir nutzen Ihre personenbezogenen Daten nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die hier beschriebenen Zwecke erforderlich oder gesetzlich vorgeschrieben ist. Server-Logfiles werden etwa 30 Tage aufbewahrt. Kontaktanfragen werden bis zur Erledigung Ihres Anliegens gespeichert; betrifft die Korrespondenz einen handels- oder steuerrelevanten Vorgang, können gesetzliche Aufbewahrungsfristen gelten: sechs Jahre für Geschäftsbriefe (§ 147 Abs. 1 Nr. 2, 3, 5 AO) bzw. acht Jahre für Buchungsbelege (§ 147 Abs. 1 Nr. 4 AO in der Fassung des BEG IV). Bestellbenachrichtigungen in unserem eigenen Postfach (Abschnitt 9) werden so lange aufbewahrt, wie wir sie zur Abwicklung und Buchhaltung der Bestellung benötigen; da sie einen handelsrelevanten Vorgang betreffen, gelten für sie in der Regel die vorgenannten gesetzlichen Aufbewahrungsfristen. Bei Stripe gespeicherte Bestell- und Zahlungsdaten werden gemäß den Vorgaben von Stripe und geltendem Recht aufbewahrt.

17. Datenübermittlung in Drittländer

Einige Auftragsverarbeiter haben ihren Sitz in den USA oder übermitteln Daten dorthin (Cloudflare und Stripe, Inc.). Solche Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework — unter dem sowohl Cloudflare als auch Stripe zertifiziert sind — sowie ergänzend auf EU-Standardvertragsklauseln, um ein angemessenes Schutzniveau zu gewährleisten. Laden Sie die interaktive Karte (Abschnitt 10), wird Ihre IP-Adresse an die OpenStreetMap Foundation im Vereinigten Königreich übermittelt; diese Übermittlung ist durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich abgedeckt.

18. Widerrufsformular

Wenn Sie unsere Online-Widerrufsfunktion nutzen (die Formulare „Vertrag widerrufen“ bzw. zur Workshop-Stornierung), verarbeiten wir die von Ihnen eingegebenen Daten: eine Bestell- oder Belegnummer oder ersatzweise eine Bezeichnung der Ware oder Dienstleistung, das Bestell- und — bei Waren — das Erhaltsdatum bzw. bei Workshops das Veranstaltungsdatum, Ihren Namen, bei Waren eine optionale Anschrift, Ihre E-Mail-Adresse sowie eine etwaige Freitextnachricht. Die Einsendung gelangt von Ihrem Browser zu einer Cloudflare Pages Function, die sie in einer Datenbank bei Cloudflare speichert (Cloudflare ist unser Auftragsverarbeiter, siehe Abschnitt 3) und über unseren eigenen Mailserver (Abschnitt 13) sowie Zoho (Abschnitt 12) eine Eingangsbestätigung an Ihre E-Mail-Adresse und eine interne Kopie an unser Bestell-Postfach versendet. Wir verwenden diese Daten zur Bearbeitung Ihres Widerrufs oder Ihrer Stornierung und zur Erfüllung unserer gesetzlichen Pflicht, den Eingang zu bestätigen. Rechtsgrundlagen sind die Erfüllung eines bzw. der Widerruf von einem Vertrag (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung unserer rechtlichen Verpflichtungen aus § 356a BGB und dem Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO). Die dreijährige Aufbewahrung zur Abwehr möglicher Ansprüche (§§ 195, 199 BGB) stützt sich auf unser berechtigtes Interesse an der Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO).

Wir bewahren diesen Datensatz nach zwei Fristen auf, die manuell angewendet werden: Der Freitext und die Daten zur Anspruchsabwehr werden drei Jahre nach dem Ende des Jahres der Erklärung gelöscht (§§ 195, 199 BGB); die steuerlich relevanten Felder (Name, Vertragsbezeichnung sowie Datum und Uhrzeit der Erklärung) werden sechs Jahre aufbewahrt (§ 147 Abs. 1 Nr. 2, 3, 5 AO). Etwaige mit der Einbindung von Cloudflare verbundene Übermittlungen in die USA sind wie in Abschnitt 17 beschrieben abgesichert. Die Postfachkopien werden als Korrespondenz gemäß Abschnitt 16 behandelt.

19. Stand dieser Erklärung

Diese Erklärung hat den Stand 6. September 2026. Wir überprüfen sie regelmäßig und aktualisieren sie, wenn sich unsere Verarbeitung oder die von uns genutzten Dienste ändern.