Datenschutzerklärung – Wishes for you

Wishes for You (W4Y) · wishes-for-you.com · Stand: Juni 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

WEMAsoft GmbH – Werner Maier
Petersgewanne 2
94327 Bogen, Deutschland
E-Mail: info@wemasoft.de
Website: wishes-for-you.com

Bei datenschutzbezogenen Anfragen zur Website kontaktieren Sie uns bitte unter info@wemasoft.de.

2. Überblick der Verarbeitungen

Wishes for You (W4Y) ist eine Plattform zur Erstellung personalisierter, KI-generierter Grußbotschaften (Poster, Briefe, Audio- und Videobotschaften). Folgende Datenkategorien werden verarbeitet:

Bestandsdaten (E-Mail-Adresse, Name bei Kauf oder Newsletter-Anmeldung)
Inhaltsdaten (eingegebene Wunschinhalte – vor Speicherung automatisch anonymisiert, s. Abschnitt 7.1)
Nutzungsdaten (Seitenaufrufe, technische Zugriffsdaten)
Zahlungsdaten (ausschließlich durch Digistore24 verarbeitet, nicht durch W4Y)
Lokaler Browserspeicher (technisch notwendig sowie nach Einwilligung für Marketing)
Newsletter-Daten (E-Mail-Adresse und optionaler Vorname bei Newsletter-Anmeldung, s. Abschnitt 6)

3. Rechtsgrundlagen

Rechtsgrundlage	Verwendungszweck
Art. 6 Abs. 1 lit. a DSGVO	Einwilligung (Marketing-Tracking per Consent-Banner; Newsletter-Versand)
Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung (Bestellung, Produktbereitstellung)
Art. 6 Abs. 1 lit. c DSGVO	Gesetzliche Pflichten (Steuer- und Handelsrecht)
Art. 6 Abs. 1 lit. f DSGVO	Berechtigte Interessen (Serversicherheit, Logfiles, Missbrauchsprävention)
§ 25 Abs. 2 TTDSG	Technisch notwendiger lokaler Browserspeicher (keine Einwilligung erforderlich)
§ 25 Abs. 1 TTDSG	Marketing-Tracking nach ausdrücklicher Einwilligung

4. Hosting

Diese Website wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Serverstandort ist Falkenstein (Deutschland). Es findet kein Transfer personenbezogener Daten außerhalb der EU/des EWR statt.

Bei jedem Seitenaufruf speichert der Webserver automatisch folgende Daten in Server-Logfiles:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
Aufgerufene URL und HTTP-Statuscode
Browser-Typ, Version und Betriebssystem
Übertragene Datenmenge

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: max. 7 Tage, danach automatische Löschung.
AVV: Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

5. Lokaler Browserspeicher und Cookies

W4Y selbst setzt keine eigenen Cookies. Zur technischen Funktionssicherung sowie zur Speicherung Ihrer Datenschutzentscheidung legen wir Daten im lokalen Browserspeicher Ihres Geräts ab. Bei Ihrer ausdrücklichen Zustimmung zum Marketing-Tracking setzt Google über das gtag-Script Cookies auf Ihrem Gerät (s. Abschnitt 7).

5.1 Lokaler Browserspeicher (eigene Daten)

Speicher	Schlüssel	Inhalt	Speicherdauer	Rechtsgrundlage
`sessionStorage`	`w4y_consent`	Ihre Entscheidung im Consent-Banner (granted / denied)	Bis Browsertab geschlossen wird	§ 25 Abs. 2 TTDSG
`sessionStorage`	Prozessdaten	Zwischenstand des Erstellungsprozesses (Produktauswahl, Eingaben)	Bis Browserfenster geschlossen wird	§ 25 Abs. 2 TTDSG
`localStorage`	Hinweisstatus	Ob ein Datenschutz-Hinweis bestätigt wurde	Bis Browserdaten manuell gelöscht werden	§ 25 Abs. 2 TTDSG

Diese Daten verlassen Ihr Gerät nicht und werden nicht an unsere Server übertragen. Da die Consent-Entscheidung (w4y_consent) im sessionStorage abgelegt wird, erscheint das Consent-Banner bei jedem neuen Besuch erneut.

5.2 Cookies durch Google (nur bei Zustimmung)

Das gtag-Script von Google wird beim Seitenaufruf mit standardmäßig auf denied gesetzten Berechtigungen geladen (Google Consent Mode v2). In diesem Zustand werden keine Cookies gesetzt und keine personenbezogenen Daten erhoben. Erst bei Zustimmung im Consent-Banner werden Cookies gesetzt:

Cookie	Anbieter	Zweck	Speicherdauer	Rechtsgrundlage
`_gcl_au`	Google	Conversion-Tracking (Kaufabschlüsse nach Anzeigenklick)	90 Tage	§ 25 Abs. 1 TTDSG
`_gads, _gac_*`	Google	Google Ads Kampagnen-Zuordnung	90 Tage	§ 25 Abs. 1 TTDSG

Sie können alle gespeicherten Browserdaten jederzeit löschen: Browsereinstellungen → Datenschutz / Verlauf löschen → Cookies und Cache.

6. Newsletter – Brevo

Wir bieten einen optionalen Newsletter an, über den wir Sie über neue Produkte, Angebote und Plattform-Updates informieren. Der Newsletter-Versand erfolgt ausschließlich mit Ihrer ausdrücklichen Einwilligung und nur über das Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail mit einem Aktivierungslink. Ihr Newsletter-Abonnement wird erst nach Klick auf diesen Link aktiviert.

6.1 Verarbeitete Daten und Zweck

E-Mail-Adresse (Pflichtfeld): zum Versand des Newsletters
Vorname (optional): zur persönlichen Ansprache
Anmeldezeitpunkt und Bestätigungszeitpunkt (Double-Opt-in-Nachweis): zur Nachweisführung der Einwilligung gemäß Art. 7 Abs. 1 DSGVO
IP-Adresse bei Anmeldung: ausschließlich zur Sicherung des Einwilligungsnachweises

6.2 Dienstleister: Brevo (Sendinblue)

Brevo SAS (ehem. Sendinblue)

Anbieter: Brevo SAS, 7 rue de Madrid, 75008 Paris, Frankreich
Serverstandorte: Deutschland und Frankreich (EU) – kein Drittlandtransfer
Zweck: Versand, Verwaltung und Auswertung des Newsletters
Verarbeitete Daten: E-Mail-Adresse, optionaler Vorname, Anmelde- und Bestätigungszeitpunkt, IP-Adresse bei Anmeldung
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Art. 6 Abs. 1 lit. f DSGVO für Einwilligungsnachweis
AVV: Mit Brevo besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Datenschutz Brevo: brevo.com/de/legal/privacypolicy

6.3 Newsletter-Tracking (Öffnungs- und Klickrate)

Brevo kann technisch messen, ob und wann eine Newsletter-E-Mail geöffnet wurde und welche Links angeklickt wurden. Diese Messung erfolgt nur, wenn Sie dies bei der Newsletter-Anmeldung gesondert eingewilligt haben. Ohne diese zusätzliche Einwilligung werden ausschließlich anonymisierte Statistiken (z. B. Gesamtzahl der Empfänger) ausgewertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TTDSG.

6.4 Abmeldung und Widerruf

Sie können den Newsletter jederzeit abbestellen – ohne Angabe von Gründen und ohne Nachteile. Jede Newsletter-E-Mail enthält einen Abmeldelink am Ende der E-Mail. Alternativ können Sie sich jederzeit per E-Mail an info@wemasoft.de abmelden. Nach dem Widerruf werden Ihre Daten aus dem Verteiler gelöscht; der Einwilligungsnachweis (Anmeldezeitpunkt, IP-Adresse) wird für den gesetzlich erforderlichen Nachweiszeitraum aufbewahrt (3 Jahre, dann Löschung). Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung (Art. 7 Abs. 3 DSGVO).

6.5 Speicherdauer Newsletter-Daten

Datenkategorie	Speicherdauer	Grund
E-Mail, Vorname (aktive Abonnenten)	Bis zur Abmeldung	Vertragsdurchführung (Newsletter)
Einwilligungsnachweis (DOI-Daten, IP)	3 Jahre nach Abmeldung, dann Löschung	Art. 7 Abs. 1 DSGVO, § 7 UWG

7. Marketing-Tracking (nur mit Ihrer Einwilligung)

Beim ersten Besuch erscheint ein Consent-Banner, über das Sie der Nutzung von Marketing-Diensten zustimmen oder diese ablehnen können. Marketing-Scripts werden ausschließlich nach Ihrer ausdrücklichen Zustimmung geladen. Ohne Zustimmung findet keinerlei Tracking statt.

Ihre Einwilligung können Sie jederzeit für die aktuelle Sitzung widerrufen: Cookie-Einstellungen ändern

7.1 Google Ads (Google Ireland Limited)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Zweck: Schaltung und Auswertung von Werbeanzeigen; Conversion-Tracking
Verarbeitete Daten: IP-Adresse (anonymisiert), Cookie-Daten, Seiten- und Conversion-Ereignisse
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TTDSG
Drittlandtransfer: Ggf. USA – Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO

Datenschutz Google: policies.google.com/privacy

7.2 Google Consent Mode v2 – technischer Ablauf

W4Y verwendet Google Consent Mode v2. Das gtag-Script wird beim Seitenaufruf immer geladen, jedoch mit allen Datenspeicher-Berechtigungen standardmäßig auf denied gesetzt:

ad_storage: denied
ad_user_data: denied
ad_personalization: denied
analytics_storage: denied

In diesem Zustand setzt Google keine Cookies und erhebt keine personenbezogenen Daten. Bei Zustimmung im Consent-Banner werden alle vier Berechtigungen auf granted aktualisiert. Bei Ablehnung bleibt Google auf rein statistische Modellierung ohne Personenbezug beschränkt.

8. Verarbeitung durch KI-Dienste

Anthropic Claude API – Anonymisierungsfilter (Stufe 2)

Anbieter: Anthropic, PBC, 548 Market St. PMB 90375, San Francisco, CA 94104, USA
Verarbeitete Daten: Nutzereingaben nach RegEx-Vorfilter (Stufe 1) – können noch personenbezogene Daten enthalten (z. B. Nachnamen, Ortsangaben), die durch diesen Schritt erkannt und entfernt werden
Zweck: Automatisierter Datenschutz-Inhaltsfilter: Erkennung und Entfernung verbleibender personenbezogener Angaben vor der Inhaltsgenerierung
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Anonymisierung und Missbrauchsprävention)
Drittlandtransfer: USA – Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO
Trainingsdaten: Anthropic speichert API-Eingaben vertraglich nicht dauerhaft für Trainingszwecke

Datenschutz: anthropic.com/privacy

Anthropic Claude API – Inhaltsgenerierung

Anbieter: Anthropic, PBC, 548 Market St. PMB 90375, San Francisco, CA 94104, USA
Verarbeitete Daten: Ausschließlich anonymisierte Texteingaben (Ergebnis nach zweistufigem Filter, s. Abschnitt 8.1) – keine direkt identifizierenden Daten
Zweck: Erstellung der KI-generierten Grußbotschaft auf Basis der anonymisierten Eingaben
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Drittlandtransfer: USA – Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO
Trainingsdaten: Anthropic speichert API-Eingaben vertraglich nicht dauerhaft für Trainingszwecke

Datenschutz: anthropic.com/privacy

ElevenLabs (Sprachsynthese für Audiobotschaften)

Anbieter: ElevenLabs, Inc., 169 Madison Ave. Suite 2484, New York, NY 10016, USA
Verarbeitete Daten: KI-generierte Texte zur Sprachsynthese (keine Nutzereingaben)
Zweck: Erstellung von Audiobotschaften mit KI-Stimme und Musikunterlegung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Drittlandtransfer: USA – Standardvertragsklauseln (SCC)

Datenschutz: elevenlabs.io/privacy

8.1 Automatisierter Datenschutz-Inhaltsfilter

Ihre Eingaben im Gesprächsdialog werden vor jeder weiteren Verarbeitung automatisch anonymisiert. Dazu durchläuft jede Eingabe einen zweistufigen Filter:

Muster-Erkennung (RegEx): E-Mail-Adressen, Telefonnummern, Postleitzahlen, IBAN und Straßenadressen werden durch neutrale Platzhalter ersetzt.
KI-gestützte Erkennung (Claude Haiku): Ein KI-Modell prüft auf weitere identifizierende Informationen (Nachnamen, Arbeitgeber, spezifische Ortsangaben) und entfernt diese.

Der zweistufige Filter verarbeitet Ihre Eingaben wie folgt:

Stufe 1 (RegEx) – lokal, kein API-Aufruf: Strukturierte personenbezogene Daten wie E-Mail-Adressen, Telefonnummern, Postleitzahlen, IBAN und Straßenadressen werden durch neutrale Platzhalter ersetzt, bevor irgendeine externe Übermittlung stattfindet.
Stufe 2 (Claude Haiku, Anthropic API) – Anonymisierungsschritt: Die nach Stufe 1 noch möglicherweise personenbezogene Eingabe wird an Claude Haiku übermittelt, um weitere identifizierende Informationen (z. B. Nachnamen, Arbeitgeber, spezifische Ortsangaben) zu erkennen und zu entfernen. Claude Haiku verarbeitet diese Daten daher als Auftragsverarbeiter im Anonymisierungsschritt, nicht als Empfänger bereits anonymisierter Daten.

Erst das Ergebnis aus Stufe 2 – die anonymisierte Eingabe – wird an Claude Sonnet zur Inhaltsgenerierung sowie an ElevenLabs zur Sprachsynthese weitergegeben. Vornamen werden nur dann verwendet, wenn Sie diese explizit in Ihrer Botschaft wünschen.

Der Filter arbeitet mit hoher Zuverlässigkeit, kann jedoch nicht in jedem Fall lückenlos garantieren, dass sämtliche personenbezogene Angaben erkannt werden. Wir empfehlen daher, im Dialog keine sensiblen Daten Dritter einzugeben, die nicht Teil der Botschaft sein sollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Anonymisierung und Missbrauchsprävention).
Automatisierte Entscheidung: Eingaben mit Filtertreffern werden abgelehnt; kein Profiling im Sinne von Art. 22 DSGVO.

9. Zahlungsabwicklung – Digistore24

Die Zahlungsabwicklung erfolgt ausschließlich über die Digistore24 GmbH, St.-Godehard-Str. 32, 31139 Hildesheim, Deutschland. W4Y verarbeitet keine Zahlungsdaten direkt.

Nach erfolgreicher Zahlung erhält W4Y ausschließlich eine server-to-server Zahlungsbestätigung (IPN) mit folgenden Daten: Digistore24-Bestellnummer, Produkt-ID, Vor- und Nachname sowie E-Mail-Adresse des Käufers, Betrag und Währung. Diese Daten werden ausschließlich zur Bereitstellung der gekauften Produkte und zur Erfüllung gesetzlicher Aufbewahrungspflichten verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Datenschutz Digistore24: digistore24.com/datenschutz

10. Produktdaten, Wunschseite und Speicherfristen

10.1 Produktdateien (Downloads)

Erstellte Produktdateien (Poster, Brief, Audio, Video) werden nach erfolgreicher Generierung für 72 Stunden zum Download vorgehalten und danach automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10.2 Wunschseite

Zusätzlich zu den Produktdateien wird eine persönliche Wunschseite bereitgestellt. Zugriff erfolgt über einen zufällig generierten, nicht erratbaren Link (Hash-Wert). Gespeichert werden: anonymisierte Wunschinhalte, Motiv, Produktauswahl sowie Erstellungsdatum. Die Seite ist nicht über Suchmaschinen auffindbar (noindex).

Speicherdauer: max. 90 Tage ab Erstellung, danach automatische Löschung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10.3 Bestelldaten – Pseudonymisierung

Name und E-Mail-Adresse in gespeicherten Bestelldatensätzen werden nach 3 Jahren automatisch pseudonymisiert (Klartext nicht wiederherstellbar). Der Bestelldatensatz sowie steuerrelevante Rechnungsdaten werden gemäß §§ 147 AO, 257 HGB für 10 Jahre aufbewahrt.

10.4 Speicherfristenübersicht

Datenkategorie	Speicherdauer	Grund
Server-Logfiles	max. 7 Tage	Sicherheit, IT-Betrieb
Sessions ohne Kauf (Dialog-Daten)	90 Tage	Dienstbetrieb
Produktdateien (Downloads)	72 Stunden	Vertragserfüllung
Wunschseite & Inhalte	90 Tage	Vertragserfüllung
Name & E-Mail in Bestelldaten	3 Jahre, dann Pseudonymisierung	Kundenkonto / Nachlieferung
Rechnungsdaten (Bestelldatensatz)	10 Jahre	§§ 147 AO, 257 HGB
Kontaktanfragen	Nach abschließender Bearbeitung	Kommunikationszweck
Newsletter-Abonnement (aktiv)	Bis zur Abmeldung	Einwilligung
Newsletter-Einwilligungsnachweis	3 Jahre nach Abmeldung	Art. 7 Abs. 1 DSGVO, § 7 UWG

11. Kontaktaufnahme

Bei Kontakt per E-Mail werden die übermittelten Daten (Name, E-Mail-Adresse, Nachrichteninhalt) ausschließlich zur Bearbeitung Ihrer Anfrage gespeichert und nicht ohne Einwilligung an Dritte weitergegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: bis zur abschließenden Bearbeitung, danach Löschung.

12. Drittlandtransfers (USA)

Folgende Dienstleister können Daten in den USA verarbeiten. Die Übermittlung basiert auf EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO:

Dienstleister	Zweck	Garantie
Google Ireland Limited / Google LLC	Marketing-Tracking (nur mit Einwilligung)	SCC
Anthropic, PBC	KI-Textgenerierung, Inhaltsfilter (anonymisierte Daten)	SCC
ElevenLabs, Inc.	Sprachsynthese (KI-generierte Texte, keine Nutzerdaten)	SCC

Der Webserver (Hetzner, Falkenstein / Deutschland), die Zahlungsabwicklung (Digistore24, Hildesheim / Deutschland) und der Newsletter-Versand (Brevo, Paris / Frankreich) finden vollständig innerhalb der EU statt – kein Drittlandtransfer.

13. Datensicherheit

Sämtliche Datenübertragungen erfolgen ausschließlich verschlüsselt über HTTPS (TLS/SSL). IP-Adressen werden serverseitig ausschließlich als SHA-256-Hash (mit serverseitigem Salt) gespeichert — der Klartext wird nicht abgelegt. Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO.

14. Ihre Rechte als betroffene Person

Art. 15 DSGVO

Auskunft

Auskunft über die zu Ihrer Person gespeicherten Daten.

Art. 16 DSGVO

Berichtigung

Korrektur unrichtiger personenbezogener Daten.

Art. 17 DSGVO

Löschung

Löschung, soweit keine Aufbewahrungspflicht entgegensteht.

Art. 18 DSGVO

Einschränkung

Einschränkung der Verarbeitung in bestimmten Fällen.

Art. 20 DSGVO

Datenübertragbarkeit

Herausgabe Ihrer Daten in maschinenlesbarem Format.

Art. 21 DSGVO

Widerspruch

Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.

Art. 7 Abs. 3 DSGVO

Widerruf

Widerruf einer Einwilligung mit Wirkung für die Zukunft (ohne Rückwirkung).

Art. 77 DSGVO

Beschwerde

Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde.

Zur Ausübung Ihrer Rechte: info@wemasoft.de

15. Zuständige Aufsichtsbehörde

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Tel.: +49 (0)981 / 53 1300
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Rechtslage oder unserer Dienste anzupassen. Die jeweils aktuelle Fassung ist unter wishes-for-you.com/datenschutz abrufbar.

Stand: Juni 2026 · wishes-for-you.com · info@wemasoft.de