Datenschutzerklärung
Stand: 24. Oktober 2026
1. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Maximilian Kuchlbauer, handelnd unter MaxBeautifulDesigns, Flurstr. 1, 84524 Neuötting, Deutschland
E-Mail: hello
Einen Datenschutzbeauftragten haben wir nicht benannt, weil dies nach den gesetzlichen Vorgaben nicht erforderlich ist.
2. Überblick: welche Daten wir wofür verarbeiten
- Besuch der Website (technische Zugriffsdaten, Server-Logs): Abschnitt 3
- Anpassung der Seite pro Aufruf (Land, Sprache, Herkunft), ohne Speicherung: Abschnitt 3b
- Warenkorb im Browser: Abschnitt 4
- Kauf und Zahlung: Abschnitt 5
- Bestellung, Download und „Bestellung finden“: Abschnitt 6
- E-Mail-Versand (Bestellbestätigung, Links zu Ihren Downloads): Abschnitt 7
- Kostenlose Probewoche („Free Week 1“) und freiwilliger Newsletter: Abschnitt 7a
- Widerruf über die Online-Funktion: Abschnitt 8
- Kontaktaufnahme per E-Mail: Abschnitt 9
- Reichweitenmessung ohne Cookies: Abschnitt 3a
- Messung unserer Werbung (Meta Conversions API): Abschnitt 5a
Wir setzen keine Cookies und keine Werbepixel ein. Zur Reichweitenmessung nutzen wir einen Dienst ohne Cookies (Abschnitt 3a). Kaufereignisse werden serverseitig an Meta übermittelt (Abschnitt 5a). Schriftarten werden von unserem eigenen Server geladen; es gibt keine Verbindung zu Google Fonts. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO durch uns statt.
3. Besuch der Website, Hosting bei Cloudflare, Server-Logs
Die Website läuft auf der Plattform Cloudflare Workers der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA („Cloudflare“). Dort liegen auch die statischen Seiten, die Dateispeicherung für Downloads (Cloudflare R2) und der Bestellspeicher (Cloudflare KV). Cloudflare verarbeitet beim Aufruf der Seiten Daten in unserem Auftrag, insbesondere Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse (URL), Angaben zu Browser und Gerät (User-Agent), die Spracheinstellung Ihres Browsers, die Seite, von der Sie kommen (Referer), das aus der IP-Adresse abgeleitete Land und den Antwortstatus. Wir haben die Protokollierung von Anfragen (Cloudflare Workers Logs) aktiviert, um Fehler zu finden und Missbrauch zu erkennen. Diese Protokolle können die genannten Angaben einschließlich der IP-Adresse enthalten. Nach der Dokumentation von Cloudflare werden Workers Logs 3 Tage (Tarif Free) bzw. 7 Tage (Tarif Paid) aufbewahrt und danach gelöscht; wir werten sie nicht dauerhaft aus.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und fehlerfreie Betrieb der Website sowie der Schutz vor Angriffen und Missbrauch. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) nach Art. 28 DSGVO.
Drittlandübermittlung: Cloudflare hat seinen Sitz in den USA. Cloudflare gibt an, nach dem EU-US Data Privacy Framework zertifiziert zu sein (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023); zusätzlich enthält der Auftragsverarbeitungsvertrag die EU-Standardvertragsklauseln als Garantie nach Art. 46 DSGVO. Informationen: cloudflare.com/
Zum Schutz vor Missbrauch zählen wir außerdem Anfragen pro IP-Adresse (beim Start des Kaufs und bei „Bestellung finden“). Dazu wird die IP-Adresse als Teil eines Zählerschlüssels im Cloudflare-KV-Speicher abgelegt und nach spätestens etwa 20 Minuten automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisierten Massenabfragen und Erraten von Bestellangaben).
3a. Reichweitenmessung mit Cloudflare Web Analytics
Wir nutzen Cloudflare Web Analytics der Cloudflare, Inc. (Anschrift siehe Abschnitt 3), um zu verstehen, welche Seiten besucht werden und wie schnell sie laden. Dazu lädt Ihr Browser ein kleines Skript von static.cloudflareinsights.com und sendet Messwerte an cloudflareinsights.com. Übermittelt werden nach den Angaben von Cloudflare die aufgerufene Seite (ohne Query-String), die Herkunftsseite (Referrer), Browser, Betriebssystem, Gerätetyp, Land sowie Leistungsmesswerte (Ladezeiten). Cloudflare gibt an, dass der Dienst keine personenbezogenen Daten der Besucher erhebt oder nutzt und nicht auf Cookies oder lokalen Speicher zurückgreift; das Skript setzt auf Ihrem Gerät nichts ab und liest dort keine Informationen aus. Technisch bedingt erhält Cloudflare bei jedem Aufruf Ihre IP-Adresse; sie wird nach den Angaben von Cloudflare nicht zur Wiedererkennung einzelner Besucher verwendet. Wir sehen nur zusammengefasste Statistiken.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer datensparsamen Auswertung der Nutzung und der Ladegeschwindigkeit, um die Website zu verbessern). Sie können der Messung jederzeit widersprechen (Abschnitt 12); eine Einwilligung ist wegen der fehlenden Speicherung auf Ihrem Gerät nicht vorgesehen. Drittlandübermittlung und Auftragsverarbeitung wie in Abschnitt 3 (Cloudflare Data Processing Addendum, EU-US Data Privacy Framework, Standardvertragsklauseln).
3b. Anpassung der Seite pro Aufruf (ohne Speicherung)
Beim Aufruf einer Produktseite oder des Warenkorbs passt unser Server die Seite für genau diesen Aufruf an. Dafür wertet er Angaben aus, die Ihr Browser ohnehin mit jeder Anfrage sendet: (1) das Land, das Cloudflare aus Ihrer IP-Adresse ableitet (wir nennen zuerst die Papiergröße, die dort üblich ist, US Letter oder A4, und weisen außerhalb des Euroraums darauf hin, dass in Euro abgerechnet wird); (2) die Spracheinstellung Ihres Browsers (Accept-Language: wir zeigen die Bestelltexte zuerst auf Deutsch oder auf Englisch und schreiben Preise in der Zahlenschreibweise Ihrer Sprache); (3) die Adressparameter utm_source, utm_medium, utm_campaign und utm_content sowie die Herkunftsseite (Referer): Kommen Sie über eine Anzeige von Meta oder Pinterest, zeigen wir eine schlankere Kopfzeile, verzichten auf den Warenkorb-Button und zeigen eine zur Kampagne passende Überschrift; kommen Sie von einer unserer Ratgeberseiten, zeigen wir einen Rücklink dorthin; kommen Sie von Etsy, weisen wir darauf hin, dass es dieselben Druckvorlagen wie in unserem Etsy-Shop sind; (4) das Kalenderdatum in Deutschland (saisonale Hinweise).
Diese Angaben werden nur während der Anfrage im Arbeitsspeicher ausgewertet und danach verworfen. Wir speichern sie nicht, bilden daraus kein Profil, vergeben keine Kennung, setzen keine Cookies, schreiben nichts auf Ihr Gerät und lesen nichts von Ihrem Gerät aus. Deshalb ist hierfür keine Einwilligung nach § 25 TDDDG erforderlich. Preis, Produkte und Vertragsbedingungen hängen nie von diesen Angaben ab; es ändern sich nur Wortlaut, Reihenfolge und angezeigte Verweise. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Soweit Angaben in den Server-Logs aus Abschnitt 3 erscheinen (zum Beispiel die aufgerufene Adresse mit den Adressparametern), gelten dort Zweck, Dauer und Löschung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, die Seite verständlich und passend zu Ihrer Region und Sprache darzustellen. Sie können dem widersprechen (Abschnitt 12). Ohne die Adressparameter und ohne Herkunftsseite sehen Sie die Standardansicht; die Herkunftsseite können Sie in den Einstellungen Ihres Browsers unterdrücken.
4. Warenkorb, lokale Speicherung, Cookies
Wir setzen keine Cookies. Der Warenkorb wird ausschließlich im lokalen Speicher (localStorage) Ihres Browsers abgelegt und enthält nur Produktkennungen, keine personenbezogenen Daten. Die Daten verlassen Ihr Gerät erst, wenn Sie zur Kasse gehen. Wenn Sie bei den Bestelltexten die Sprache umschalten (Deutsch oder Englisch), merken wir uns diese Wahl ebenfalls nur dort (Schlüssel mbd-ui); sie verlässt Ihr Gerät nie. Der Zugriff auf diese Information auf Ihrem Gerät ist für die von Ihnen gewünschte Warenkorbfunktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), eine Einwilligung ist daher nicht nötig. Sie können den lokalen Speicher jederzeit in den Browsereinstellungen löschen.
Auf den Zahlungsseiten von Stripe und Link können nach deren eigenen Angaben Cookies oder ähnliche Technologien eingesetzt werden; dafür sind Stripe und Link verantwortlich (siehe Abschnitt 5).
5. Kauf und Zahlung (Stripe Managed Payments, Link)
Für die Zahlung leiten wir Sie auf eine Zahlungsseite von Stripe weiter (Stripe Managed Payments). Dabei gilt:
- Händler („merchant of record“) der Zahlung ist nach den Bedingungen von Stripe die Stripe-Gesellschaft Sold through Link, LLC („Link“). Sie erscheint für Sie als „Über Link verkauft“, versendet Zahlungsbelege und Rechnungen, erhebt und führt Umsatzsteuer bzw. Sales Tax ab und bearbeitet Zahlungsanfragen, Erstattungen und Zahlungsstreitigkeiten.
- Stripe und Link erheben und verarbeiten dafür Ihre Zahlungsdaten und weitere Angaben, insbesondere Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmittel, IP-Adresse und Geräteinformationen, auch zur Betrugsprävention und für die Berechnung von Steuern. Dies geschieht in eigener datenschutzrechtlicher Verantwortung von Stripe bzw. Link. Maßgeblich sind deren Datenschutzerklärungen: stripe.com/privacy, stripe.com/
legal/ und link.com/privacy. Ihre Zahlungs- oder Kartendaten sehen wir nicht. Stripe kann automatisierte Verfahren zur Betrugserkennung einsetzen; das geschieht in der Verantwortung von Stripe.privacy-center - Wir erhalten von Stripe die Angaben, die wir zur Erfüllung des Vertrags und für Buchhaltung und Steuern benötigen, insbesondere Bestellnummer, gekaufte Produkte, Betrag, Zeitpunkt, Zahlungsstatus sowie Ihre E-Mail-Adresse und Ihren Namen, soweit Stripe sie uns bereitstellt. Diese Daten sind in unserem Stripe-Konto einsehbar.
- Stripe hat seinen Sitz in den USA. Stripe gibt an, am EU-US Data Privacy Framework teilzunehmen (stripe.com/
legal/ ) und zusätzlich Standardvertragsklauseln zu verwenden.data-privacy-framework
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Kaufvertrags) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungs- und Aufzeichnungspflichten, z. B. § 147 Abgabenordnung, § 257 Handelsgesetzbuch). Ohne diese Angaben ist ein Kauf nicht möglich. Wir speichern Ihre Zahlungsdaten, Ihre Anschrift und Ihre Klartext-E-Mail-Adresse nicht in unserem eigenen Bestellspeicher. Buchungsrelevante Daten in unserem Stripe-Konto bewahren wir entsprechend den gesetzlichen Fristen auf (bis zu 8 Jahre), danach werden sie gelöscht.
5a. Messung unserer Werbung (Meta Conversions API)
Wir schalten Werbeanzeigen bei Facebook und Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, „Meta“). Um zu messen, welche unserer Anzeigen zu Käufen führen, senden wir ein Ereignis von unserem Server an Meta (Conversions API). Auf unserer Website läuft dafür kein Meta-Pixel und kein Skript von Meta, es werden keine Cookies gesetzt oder gelesen, und Ihr Browser verbindet sich dafür nicht mit Meta.
Wann und was. Nur wenn Sie über eine Meta-Anzeige auf unsere Website gekommen sind (die Adresse enthält dann eine Klick-Kennung, fbclid) und etwas kaufen, übermitteln wir nach der bezahlten Bestellung ein Ereignis „Purchase“ mit: der Klick-Kennung (als fbc aufbereitet), der Bestellnummer, den Produktkennungen, dem Kaufbetrag und der Währung. Wir übermitteln keine E-Mail-Adresse, Telefonnummer, Name, Anschrift, IP-Adresse, Browserkennung, kein Land und keine Cookie-Kennung. Ohne Klick-Kennung (z. B. Direktaufruf, Suche, Etsy) wird nichts übermittelt. Die Klick-Kennung speichern wir dafür höchstens 8 Tage in unserem Bestellspeicher (danach automatische Löschung).
Rechtsgrundlage und Zweck. Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, die Wirkung unserer eigenen Anzeigenkampagnen datensparsam zu messen und die Werbeausgaben wirtschaftlich einzusetzen. Wir haben das Interesse gegen Ihre Interessen abgewogen: es werden nur die genannten wenigen Angaben ohne direkte Identifikationsmerkmale übermittelt, es findet kein Tracking auf unserer Website statt, und Sie können jederzeit widersprechen. Eine Einwilligung ist nicht erforderlich und wird nicht abgefragt; Ihr Kauf ist unabhängig davon möglich.
Empfänger und Verantwortlichkeit. Empfänger ist Meta Platforms Ireland Limited. Für die Erhebung und Übermittlung der Daten an Meta mit den Meta Business Tools sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO; Vereinbarung: facebook.com/
Widerspruch (Art. 21 DSGVO). Sie können der Übermittlung jederzeit ohne Angabe von Gründen widersprechen, auch vor einem Kauf: Schreiben Sie an hello
6. Bestellung, Download und „Bestellung finden“
Damit Sie Ihre Dateien erhalten, speichern wir in unserem Bestellspeicher (Cloudflare KV) einen Bestelldatensatz mit: Stripe-Checkout-Sitzungs-ID, Bestellnummer (MBD-...), gekaufte Produkte, Kaufzeitpunkt, Status, die Fassung und den Zeitpunkt Ihrer Zustimmung zur vorzeitigen Ausführung (§ 356 Abs. 6 BGB, Nachweis) und einen mit einem geheimen Schlüssel erzeugten Hashwert (HMAC) Ihrer E-Mail-Adresse. Ihre E-Mail-Adresse selbst, Ihren Namen und Ihre Anschrift speichern wir dort nicht. Außerdem speichern wir einen Zähler der Downloads je Datei (60 Tage). Der Hashwert ist pseudonymisiert und gilt weiterhin als personenbezogenes Datum, weil wir ihn mit einer eingegebenen E-Mail-Adresse abgleichen können.
Download-Links sind signiert und 14 Tage gültig. Bei „Bestellung finden“ geben Sie Ihre E-Mail-Adresse ein; wir bilden daraus den Hashwert und vergleichen ihn mit den gespeicherten Werten. Gibt es Bestellungen, senden wir Ihnen per E-Mail (Abschnitt 7) einen 24 Stunden gültigen Link, der neue Download-Links anzeigt. Die Antwortseite ist unabhängig vom Ergebnis immer dieselbe. Alternativ können Sie E-Mail-Adresse und Bestellnummer eingeben; die Links erscheinen dann auf der Seite. Die eingegebene E-Mail-Adresse wird nur im Arbeitsspeicher verarbeitet, zum Versand der E-Mail und nicht gespeichert.
Die Speicherung von Fassung und Zeitpunkt Ihrer Zustimmung beruht zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Erfüllung gesetzlicher Pflichten und Abwehr von Ansprüchen). Rechtsgrundlage ist im Übrigen Art. 6 Abs. 1 lit. b DSGVO (Lieferung der Dateien und Support) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch der Downloads durch Download-Zähler). Speicherdauer: Bestelldatensätze speichern wir ohne festes Ablaufdatum, solange der Shop betrieben wird, damit Sie Ihre gekauften Dateien dauerhaft erneut herunterladen können (lebenslanger Zugriff als Teil unseres Angebots). Sie können jederzeit die Löschung Ihres Datensatzes verlangen (Abschnitt 12); dann entfällt der erneute Zugriff über „Bestellung finden“. Steuerrechtlich relevante Belege liegen bei Stripe und Link und in unserer Buchhaltung (Abschnitt 5).
Die Dateien selbst liegen in einem nicht öffentlichen Cloudflare-R2-Speicher und werden nur über die signierten Links ausgeliefert. Für Cloudflare gilt Abschnitt 3.
7. E-Mail-Versand (Resend)
Wir senden Ihnen Bestellbestätigungen mit Download-Links, Links aus „Bestellung finden“ und Bestätigungen zu Widerrufen per E-Mail. Dafür nutzen wir den E-Mail-Dienst Resend der Plus Five Five, Inc. (Resend), USA, als Auftragsverarbeiter. Resend verarbeitet dabei Ihre E-Mail-Adresse, den Inhalt der Nachricht (Bestellnummer, Produktnamen, Download-Links) und Versandprotokolle (Zustellstatus). Wir haben als Absenderregion Irland (EU) gewählt; nach der Dokumentation von Resend bestimmt die Region aber nur den Versandstandort und nicht den Speicherort der Kundendaten, die Verarbeitung findet überwiegend in den USA statt. Mit Resend gilt der Auftragsverarbeitungsvertrag (Data Processing Addendum, resend.com/
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Lieferung der gekauften Dateien, Support, Eingangsbestätigung des Widerrufs). Die E-Mail-Adresse stammt aus Ihrer Zahlung bei Stripe (Bestellbestätigung) oder aus Ihrer Eingabe. Wir speichern sie nicht in unserem Bestellspeicher (nur als Hashwert, Abschnitt 6); beim E-Mail-Dienst bleiben Versandprotokolle nach dessen Einstellungen für begrenzte Zeit erhalten.
7a. Kostenlose Probewoche und Newsletter
Für die kostenlose Probewoche unseres Vorschul-Lehrplans („Free Week 1“) geben Sie Ihre E-Mail-Adresse ein und bestätigen sie per Link. Die Probewoche ist nicht an den Newsletter gekoppelt: Sie erhalten sie auch, wenn Sie den Newsletter nicht wünschen. Der Newsletter ist ein eigenes, freiwilliges Kästchen im Formular, das standardmäßig nicht angekreuzt ist. Inhalt des Newsletters: neue Druckvorlagen, kostenlose Proben, Anleitungen und gelegentliche Angebote von MaxBeautifulDesigns; in der ersten Woche zwei kurze E-Mails mit Tipps, danach etwa zweimal im Monat.
A. Probewoche ohne Newsletter. Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink (72 Stunden gültig; Double-Opt-in, damit niemand mit fremder Adresse Dateien anfordern kann). Bis zu Ihrer Bestätigung speichern wir Ihre E-Mail-Adresse nicht; sie steht nur verschlüsselt im Bestätigungslink. Nach der Bestätigung zeigen wir Ihnen die Download-Links und senden Ihnen einmalig eine E-Mail mit denselben Links. Danach erhalten Sie von uns keine weitere E-Mail, wir speichern Ihre Adresse nicht und nehmen sie nicht in eine Kontaktliste auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung Ihrer Anfrage nach der kostenlosen Datei). Für die Anmeldung und die Downloads zählen wir Anfragen je IP-Adresse und je Hashwert, um Missbrauch zu verhindern (Abschnitt 3, Art. 6 Abs. 1 lit. f DSGVO); ein für Menschen unsichtbares Feld hält automatisierte Anmeldungen ab.
B. Mit Newsletter (nur wenn Sie das freiwillige Kästchen ankreuzen). Mit demselben Bestätigungslink bestätigen Sie dann auch den Newsletter. Wir speichern in unserem Speicher (Cloudflare KV) einen mit einem geheimen Schlüssel erzeugten Hashwert (HMAC) Ihrer E-Mail-Adresse, die Fassung des Einwilligungstextes, den Zeitpunkt der Anmeldung und der Bestätigung sowie die Seite, auf der Sie sich angemeldet haben, um Ihre Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Ihre E-Mail-Adresse selbst speichern wir dort nicht. Für den Newsletter-Versand wird Ihre E-Mail-Adresse nach der Bestätigung in der Kontaktliste unseres Kontos bei Resend (Abschnitt 7, Auftragsverarbeiter) gespeichert; die beiden Tipps-E-Mails werden dort zeitversetzt eingeplant.
Rechtsgrundlage des Newsletters ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 3 UWG), für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c und f DSGVO. Die Einwilligung ist freiwillig und für die Probewoche nicht erforderlich (Art. 7 Abs. 4 DSGVO). Abmeldung und Widerruf: Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Newsletter-E-Mail, auf der Seite /unsubscribe oder per E-Mail an hello
Speicherdauer: Ohne Newsletter speichern wir Ihre Adresse nach dem Versand der Bestätigungs- und der Download-E-Mail nicht weiter (beim E-Mail-Dienst Resend bleibt das Versandprotokoll nach dessen Aufbewahrungsfristen kurzzeitig erhalten). Mit Newsletter bis zur Abmeldung; danach löschen wir Ihre Adresse aus der Kontaktliste bei Resend und brechen noch nicht versendete Tipps-E-Mails ab. Den Nachweis der Einwilligung (Hashwert, Fassung, Zeitpunkte, Zeitpunkt der Abmeldung) bewahren wir noch drei Jahre auf (regelmäßige Verjährungsfrist, § 195 BGB) und löschen ihn dann automatisch. Unbestätigte Anmeldungen hinterlassen außer den Zählern zum Missbrauchsschutz keine Daten.
8. Widerruf über die Online-Funktion
Wenn Sie über die Seite „Vertrag widerrufen“ widerrufen, verarbeiten wir Ihren Namen, die Angabe zum Vertrag (Bestellnummer oder Produkt und Datum), Ihre E-Mail-Adresse und gegebenenfalls Ihre Angabe, welche Produkte betroffen sind, sowie Datum und Uhrzeit. Wir senden Ihnen daraus eine Eingangsbestätigung und eine Benachrichtigung an unser Postfach, um den Widerruf zu bearbeiten und zu erstatten. Außerdem speichern wir die Angaben mit Datum und Uhrzeit in unserem Speicher (Cloudflare KV), damit der Eingang auch dann nachweisbar ist, wenn eine E-Mail nicht zugestellt werden kann; dort werden sie nach drei Jahren automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB (gesetzliche Pflicht zur Widerrufsfunktion und Eingangsbestätigung) und Art. 6 Abs. 1 lit. b DSGVO. Aufbewahrung: so lange, wie es für Erstattung, Buchführung und Nachweise erforderlich ist (steuerrechtlich bis zu 8 Jahre bei Buchungsbelegen, Handelsbriefe bis zu 6 Jahre). Zur Abwehr von Missbrauch zählen wir Anfragen je IP-Adresse (Abschnitt 3).
9. Kontakt per E-Mail
Wenn Sie uns schreiben, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht und gegebenenfalls Ihre Bestellnummer, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfragen zu einem Kauf oder vor einem Kauf), im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, wenn die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungsfristen (z. B. für Handelsbriefe, bis zu 6 Jahre) entgegenstehen. Der E-Mail-Dienst, über den wir die Nachrichten empfangen (Postfach hello@), verarbeitet die Daten in unserem Auftrag.
10. Links zu anderen Seiten
Auf unserer Website verlinken wir auf unseren Etsy-Shop. Beim bloßen Anzeigen der Seite werden keine Daten an Etsy übertragen. Erst wenn Sie den Link anklicken, gilt die Datenschutzerklärung von Etsy.
11. Empfänger
Empfänger Ihrer Daten sind, soweit oben beschrieben: Cloudflare, Inc. (Hosting, Speicher, Protokolle, Reichweitenmessung) als Auftragsverarbeiter, Plus Five Five, Inc. (Resend, E-Mail-Versand) als Auftragsverarbeiter, Stripe und Link (Zahlung, Steuern, Belege) in eigener Verantwortung, gegebenenfalls unsere Steuerberatung und Finanzbehörden, soweit gesetzlich erforderlich, sowie Meta Platforms Ireland Limited (Messung unserer Werbung, Abschnitt 5a).
12. Ihre Rechte
Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie dazu an hello
13. Beschwerderecht bei einer Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, www.lda.bayern.de.
14. Änderungen
Wir passen diese Erklärung an, wenn sich die Website oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.
Privacy notice, English translation
The German text above is the binding version. This translation is for your convenience. Last updated: 24 October 2026.
1. Controller
The controller under the General Data Protection Regulation (GDPR) is:
Maximilian Kuchlbauer, trading as MaxBeautifulDesigns, Flurstr. 1, 84524 Neuötting, Germany
Email: hello
We have not appointed a data protection officer because the law does not require one for us.
2. Overview
We set no cookies and use no advertising pixels. For reach measurement we use a service without cookies (Section 3a). Purchase events are sent to Meta from our server (Section 5a). Fonts are served from our own server; there is no connection to Google Fonts. We do not make automated decisions, including profiling, within the meaning of Art. 22 GDPR.
3. Visiting the site, hosting at Cloudflare, server logs
The site runs on Cloudflare Workers by Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA ("Cloudflare"). The static pages, the file storage for downloads (Cloudflare R2) and the order store (Cloudflare KV) are also hosted there. When you load a page, Cloudflare processes on our behalf in particular your IP address, date and time, the requested URL, browser and device information (user agent), your browser's language setting, the page you came from (referer), the country derived from the IP address and the response status. We have switched on request logging (Cloudflare Workers Logs) to find errors and detect abuse. These logs can contain the data listed, including the IP address. According to Cloudflare's documentation, Workers Logs are kept for 3 days (Free plan) or 7 days (Paid plan) and are deleted afterwards. We do not analyse them permanently.
Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is the secure, stable and error-free operation of the site and protection against attacks and abuse. We have a data processing agreement (Data Processing Addendum) with Cloudflare under Art. 28 GDPR.
Third-country transfer: Cloudflare is based in the USA. Cloudflare states that it is certified under the EU-US Data Privacy Framework (adequacy decision of the European Commission of 10 July 2023); in addition, its data processing agreement includes the EU Standard Contractual Clauses as a safeguard under Art. 46 GDPR. Information: cloudflare.com/
To protect against abuse we also count requests per IP address (when a purchase is started and on "Find my order"). For this the IP address is stored as part of a counter key in Cloudflare KV and deleted automatically after about 20 minutes at the latest. Legal basis: Art. 6(1)(f) GDPR (protection against automated mass requests and guessing of order details).
3a. Reach measurement with Cloudflare Web Analytics
We use Cloudflare Web Analytics by Cloudflare, Inc. (address in Section 3) to understand which pages are visited and how fast they load. Your browser loads a small script from static.cloudflareinsights.com and sends measurements to cloudflareinsights.com. According to Cloudflare this includes the page visited (without query string), the referrer, browser, operating system, device type, country and performance metrics (load times). Cloudflare states that the service does not collect or use visitors' personal data and does not rely on cookies or local storage; the script stores nothing on your device and reads nothing from it. For technical reasons Cloudflare receives your IP address with every request; according to Cloudflare it is not used to recognise individual visitors. We only see aggregated statistics.
Legal basis: Art. 6(1)(f) GDPR (our legitimate interest in a data-saving analysis of usage and loading speed to improve the site). You can object to the measurement at any time (Section 12); because nothing is stored on your device, no consent is requested. Third-country transfer and processing on our behalf as in Section 3 (Cloudflare Data Processing Addendum, EU-US Data Privacy Framework, Standard Contractual Clauses).
3b. Adapting the page per visit (nothing stored)
When you open a product page or the cart, our server adapts the page for that one visit. It uses information your browser sends with every request anyway: (1) the country Cloudflare derives from your IP address (we name the paper size that is usual there first, US Letter or A4, and outside the euro area we say that the charge is in euros); (2) your browser's language setting (Accept-Language: we show the order texts first in German or in English and write prices in your language's number format); (3) the address parameters utm_source, utm_medium, utm_campaign and utm_content and the referring page (referer): if you come from a Meta or Pinterest ad we show a slimmer header, leave out the add to cart button and show a headline that fits the campaign; if you come from one of our guides we show a link back to it; if you come from Etsy we note that these are the same printables as in our Etsy shop; (4) the calendar date in Germany (seasonal notes).
This information is evaluated in memory only while the request is handled and then discarded. We do not store it, build no profile from it, assign no identifier, set no cookies, write nothing to your device and read nothing from it. This is why no consent under Section 25 TDDDG is needed. The price, the products and the contract terms never depend on this information; only wording, order and the links shown change. There is no automated decision with legal or similarly significant effect within the meaning of Art. 22 GDPR. Where information appears in the server logs described in Section 3 (for example the requested address with its address parameters), the purpose, retention and deletion described there apply.
Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in presenting the page clearly and in a way that fits your region and language. You can object (Section 12). Without the address parameters and without a referring page you see the default view; you can suppress the referer in your browser settings.
4. Cart, local storage, cookies
We set no cookies. Your cart is stored only in your browser's local storage (localStorage) and contains product identifiers only, no personal data. The data leaves your device only when you go to checkout. If you switch the language of the order texts (German or English), that choice is also kept only there (key mbd-ui) and never leaves your device. Access to this information on your device is strictly necessary for the cart function you requested (Section 25(2) no. 2 TDDDG), so no consent is needed. You can clear local storage in your browser settings at any time.
On the payment pages of Stripe and Link, cookies or similar technologies may be used according to their own information; Stripe and Link are responsible for them (see Section 5).
5. Purchase and payment (Stripe Managed Payments, Link)
For payment we send you to a payment page operated by Stripe (Stripe Managed Payments).
- According to Stripe's terms, the Stripe company Sold through Link, LLC ("Link") is the merchant of record for the payment. It appears to you as "Sold through Link", sends payment receipts and invoices, collects and remits VAT or sales tax, and handles payment requests, refunds and payment disputes.
- Stripe and Link collect and process your payment data and other details for this, in particular name, email address, billing address, payment method, IP address and device information, also for fraud prevention and tax calculation. They do so under their own data protection responsibility. Their privacy policies apply: stripe.com/privacy, stripe.com/
legal/ and link.com/privacy. We do not see your payment or card details. Stripe may use automated fraud detection; this is Stripe's responsibility.privacy-center - From Stripe we receive the data we need to perform the contract and for bookkeeping and tax, in particular order number, purchased products, amount, time, payment status, and your email address and name as far as Stripe makes them available to us. These data can be viewed in our Stripe account.
- Stripe is based in the USA. Stripe states that it participates in the EU-US Data Privacy Framework (stripe.com/
legal/ ) and also uses Standard Contractual Clauses.data-privacy-framework
Legal bases: Art. 6(1)(b) GDPR (performance of the purchase contract) and Art. 6(1)(c) GDPR (tax and commercial law record keeping duties, e.g. Section 147 of the German Fiscal Code, Section 257 of the German Commercial Code). A purchase is not possible without this data. We do not store your payment data, postal address or plain email address in our own order store. We keep bookkeeping-relevant data in our Stripe account for the statutory periods (up to 8 years) and delete it afterwards.
5a. Measuring our advertising (Meta Conversions API)
We run ads on Facebook and Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ireland, "Meta"). To measure which of our ads lead to purchases we send one event from our server to Meta (Conversions API). No Meta pixel and no Meta script runs on our website, no cookies are set or read, and your browser does not connect to Meta for this.
When and what. Only if you came to our website from a Meta ad (the address then carries a click ID, fbclid) and buy something, we send a "Purchase" event after the paid order with: the click ID (formatted as fbc), the order number, the product identifiers, the amount paid and the currency. We send no email address, phone number, name, address, IP address, browser identifier, country or cookie ID. Without a click ID (for example direct visit, search, Etsy) nothing is sent. We keep the click ID for this purpose for at most 8 days in our order store (then deleted automatically).
Legal basis and purpose. Art. 6(1)(f) GDPR: our legitimate interest in measuring the effect of our own ad campaigns in a data-saving way and spending the advertising budget sensibly. We weighed this against your interests: only the few details listed are sent, without direct identifiers, nothing is tracked on our website, and you can object at any time. No consent is needed and none is asked for; buying is possible regardless.
Recipient and responsibility. The recipient is Meta Platforms Ireland Limited. For the collection and transmission of the data to Meta with the Meta Business Tools we and Meta are joint controllers (Art. 26 GDPR; agreement: facebook.com/
Right to object (Art. 21 GDPR). You can object to the transmission at any time without giving reasons, also before a purchase: write to hello
6. Order, download and "Find my order"
So that you receive your files, we store an order record in our order store (Cloudflare KV): Stripe checkout session ID, order number (MBD-...), purchased products, time of purchase, status, the version and time of your consent to early performance (Section 356 (6) BGB, as evidence) and a keyed hash (HMAC, made with a secret key) of your email address. We do not store the email address itself, your name or your address there. We also keep a counter of downloads per file (60 days). The hash is pseudonymised and still counts as personal data because we can compare it with an email address that is entered.
Download links are signed and valid for 14 days. On "Find my order" you enter your email address; we compute the hash from it and compare it with the stored values. If orders exist, we email you (Section 7) a link, valid for 24 hours, that shows fresh download links. The answer page is always the same, whatever the result. Alternatively you can enter your email address and order number; the links then appear on the page. The email address you enter is processed in memory only, to send the email, and not stored.
Storing the version and time of your consent is additionally based on Art. 6(1)(f) GDPR (proof of compliance with statutory duties and defence against claims). Otherwise the legal basis is Art. 6(1)(b) GDPR (delivering the files and support) and Art. 6(1)(f) GDPR (protection against misuse of downloads through download counters). Retention: we keep order records without a fixed expiry date for as long as the shop is operated so that you can download your purchased files again at any time (lifetime access is part of our offer). You can ask us to delete your record at any time (Section 12); access to the files through "Find my order" then ends. Receipts relevant for tax are held by Stripe and Link and in our bookkeeping (Section 5).
The files themselves are in a non-public Cloudflare R2 bucket and are delivered only through the signed links. Section 3 applies to Cloudflare.
7. Sending email (Resend)
We send you order confirmations with download links, the links from "Find my order" and confirmations of withdrawals by email. For this we use the email service Resend of Plus Five Five, Inc. (Resend), USA, as processor. Resend processes your email address, the content of the message (order number, product names, download links) and sending logs (delivery status). We chose Ireland (EU) as sending region; according to Resend's documentation the region only determines where mail is sent from and not where customer data is stored, and processing takes place mainly in the USA. Our data processing agreement with Resend (Data Processing Addendum, resend.com/
Legal basis: Art. 6(1)(b) GDPR (delivering the purchased files, support, confirmation of receipt of a withdrawal). The email address comes from your payment at Stripe (order confirmation) or from what you enter. We do not store it in our order store (only as a hash, Section 6); the email service keeps sending logs for a limited time according to its settings.
7a. Free sample week and newsletter
To get the free sample week of our preschool curriculum ("Free Week 1") you enter your email address and confirm it with a link. The sample week is not tied to the newsletter: you get it even if you do not want the newsletter. The newsletter is a separate, voluntary box in the form that is not ticked by default. Content of the newsletter: new printables, free samples, guides and occasional offers from MaxBeautifulDesigns; two short tips emails in the first week, then about twice a month.
A. Sample week without the newsletter. After you submit the form you receive an email with a confirmation link (valid for 72 hours; double opt-in so that nobody can request files with someone else's address). Until you confirm we do not store your email address; it is only contained, encrypted, in the confirmation link. After you confirm we show you the download links and send you one email with the same links. After that you get no further email from us, we do not store your address and do not add it to a contact list. Legal basis: Art. 6(1)(b) GDPR (fulfilling your request for the free file). To prevent abuse we count signup and download requests per IP address and per hash (Section 3, Art. 6(1)(f) GDPR); a field that people do not see keeps automated signups out.
B. With the newsletter (only if you tick the voluntary box). The same confirmation link then also confirms the newsletter. We store in our storage (Cloudflare KV) a keyed hash (HMAC) of your email address, the version of the consent text, the time of signup and of confirmation and the page where you signed up, so that we can prove your consent (Art. 7(1) GDPR). We do not store your email address itself there. For sending the newsletter your email address is stored after confirmation in the contact list of our Resend account (Section 7, processor); the two tips emails are scheduled there.
Legal basis of the newsletter is your consent (Art. 6(1)(a) GDPR, Section 7 (2) no. 3 UWG); for keeping proof of consent Art. 6(1)(c) and (f) GDPR. The consent is voluntary and not required for the sample week (Art. 7(4) GDPR). Unsubscribe and withdrawal: you can withdraw your consent at any time with effect for the future, with the unsubscribe link in every newsletter email, on the page /unsubscribe or by email to hello
Retention: Without the newsletter we do not keep your address after the confirmation and download emails have been sent (the email service Resend keeps its sending log for a short time under its own retention periods). With the newsletter until you unsubscribe; we then delete your address from the contact list at Resend and cancel tips emails not yet sent. The proof of consent (hash, version, times, time of unsubscribing) is kept for three more years (regular limitation period, Section 195 BGB) and then deleted automatically. Unconfirmed signups leave no data apart from the abuse counters.
8. Withdrawal through the online function
If you withdraw through the "Vertrag widerrufen" page we process your name, the details of the contract (order number or product and date), your email address, any details of which products are affected, and the date and time. From this we send you a confirmation of receipt and a notice to our mailbox to process the withdrawal and the refund. We also store the details with date and time in our storage (Cloudflare KV), so that receipt can be proven even if an email cannot be delivered; they are deleted there automatically after three years. Legal basis: Art. 6(1)(c) GDPR in conjunction with Section 356a BGB (statutory duty to provide a withdrawal function and confirmation of receipt) and Art. 6(1)(b) GDPR. Retention: as long as needed for the refund, bookkeeping and evidence (up to 8 years for accounting records, up to 6 years for business letters). To prevent abuse we count requests per IP address (Section 3).
9. Contact by email
When you write to us we process your email address, the content of your message and, if applicable, your order number to answer your request. Legal basis: Art. 6(1)(b) GDPR (questions about or before a purchase), otherwise Art. 6(1)(f) GDPR. We delete the correspondence when the request is dealt with and no statutory retention period (e.g. for business letters, up to 6 years) applies. The email service through which we receive messages (mailbox hello@) processes the data on our behalf.
10. Links to other sites
Our site links to our Etsy shop. No data is sent to Etsy merely by displaying the page. Etsy's privacy policy applies once you click the link.
11. Recipients
Recipients of your data, as described above: Cloudflare, Inc. (hosting, storage, logs, reach measurement) as processor; Plus Five Five, Inc. (Resend, email sending) as processor; Stripe and Link (payment, tax, receipts) under their own responsibility; where applicable our tax adviser, and tax authorities where required by law; and Meta Platforms Ireland Limited (measuring our advertising, Section 5a).
12. Your rights
Under the GDPR you have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and objection (Art. 21). Where we process data on the basis of Art. 6(1)(f) GDPR you can object at any time on grounds relating to your particular situation. You can withdraw any consent at any time with effect for the future. Write to hello
13. Right to lodge a complaint with a supervisory authority
You have the right to complain to a data protection supervisory authority, in particular in the member state of your residence or workplace. The authority responsible for us is the Bavarian State Office for Data Protection Supervision (BayLDA), Promenade 18, 91522 Ansbach, Germany, www.lda.bayern.de.
14. Changes
We update this notice when the site or the services we use change. The version published here applies.