Datenschutzerklärung
Stand: 02.08.2026
1. Verantwortlicher
Verantwortlicher für die Datenverarbeitung ist:
Holger Sadek, BSc, Berggasse 20, 1090 Wien, Österreich
E-Mail: hello@yul.io
2. Verarbeitete Daten
Im Rahmen der Nutzung von yul.io werden folgende personenbezogene Daten verarbeitet:
- Kontodaten: Name, E-Mail-Adresse, Passwort, Profilbild
- Geschenkdaten: Empfängername, Anlass, Datum, Bilder
- Teilnehmer-Daten: Name, E-Mail-Adresse (Pflicht), optional Videos, Bilder und Kommentare
- Technische Daten: IP-Adresse, Browser-Informationen und Zugriffsdaten (Server-Logs)
- Token-basierte Zugriffsdaten für Freigabe- und Überraschungslinks
- Werbe-Attributionsdaten: pseudonyme Klick-Kennungen (GCLID, GBRAID oder WBRAID), Conversion-Art und Zeitpunkt sowie bei Käufen Transaktionskennung, Betrag und Währung
- Interne Kampagnen-Fortschrittsdaten: eine zufällige Kennung für den aktuell geöffneten Assistenten, erreichte Assistentenschritte, Google-UTM-Kampagnenparameter und das grobe Ländersegment Deutschland, Österreich, anderes oder unbekannt
3. Zwecke der Verarbeitung
Die Verarbeitung erfolgt zu folgenden Zwecken:
- Bereitstellung und Betrieb der Plattform
- Erstellung und Verwaltung von Videogeschenken
- Technische Verarbeitung und Rendering von Inhalten
- Kommunikation mit Nutzern (z. B. E-Mails)
- Sicherstellung der Systemsicherheit und Missbrauchsprävention
- Messung der Wirksamkeit bezahlter Werbung und wirtschaftlicher Einsatz des Werbebudgets
4. Rechtsgrundlagen
Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an Sicherheit, zuverlässigem Betrieb und Messung der Werbewirksamkeit)
- Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, einschließlich der nachfolgend beschriebenen begrenzten Übermittlung von Google-Ads-Conversion-Daten)
5. Hosting und Infrastruktur
yul.io nutzt folgende technische Dienstleister:
- Cloudflare (Pages, Workers, D1, R2 – EU-Region)
- Amazon Web Services (S3 und EC2 in Irland, CloudFront)
- Mailgun (EU) für E-Mail-Versand
- Stripe für Zahlungsabwicklung
- Cloudflare Turnstile zum Schutz vor automatisierten Zugriffen
Diese Dienstleister verarbeiten Daten ausschließlich im Rahmen der Leistungserbringung.
Eine Verarbeitung erfolgt grundsätzlich innerhalb der EU bzw. des EWR. Bei Einsatz von US-Anbietern können Datenübermittlungen auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) erfolgen.
6. Nutzerinhalte
Nutzer können Inhalte wie Videos, Bilder und Texte hochladen.
Diese Inhalte können personenbezogene Daten enthalten.
Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der Plattform und Erstellung der Videokomposition.
7. E-Mail-Kommunikation
yul.io versendet ausschließlich transaktionale E-Mails, z. B.:
- Verifikationsmails
- Benachrichtigungen zu Kommentaren
- Upload-Bestätigungen
- Render-Status
- Zahlungsbestätigungen
- Support-Kommunikation
Es erfolgt kein Versand von Newslettern oder Marketing-E-Mails.
8. Zahlungsabwicklung
Die Zahlungsabwicklung erfolgt über Stripe Checkout.
Dabei können personenbezogene Daten wie zahlungsbezogene Informationen verarbeitet werden.
Der genaue Umfang der Verarbeitung richtet sich nach dem Standard-Checkout-Prozess von Stripe und den dort angegebenen Daten.
Die Zahlungsabwicklung erfolgt direkt durch den Zahlungsdienstleister.
10. Conversion-Messung für Google Ads
Enthält die Zielseiten-URL eine pseudonyme Google-Ads-Klick-Kennung, beispielsweise die Google Click ID („GCLID“), „GBRAID“ oder „WBRAID“, zeigen wir auf größeren Bildschirmen eine gesonderte Auswahl zur Google-Ads-Conversion-Messung. Auf Mobilgeräten zeigen wir diese Auswahl nicht. Die Auswahl wird vorübergehend im Session Storage des aktuellen Browser-Tabs gespeichert. Wird aus dem Besuch ein Projekt erstellt, erfassen wir die Klick-Kennung serverseitig, ordnen sie diesem Projekt zu und dokumentieren eine bereits getroffene Auswahl.
Nur bei aktiver Einwilligung dürfen wir bei einer relevanten Aktion – etwa bei der Erstellung eines aktiven Projekts, dem Eingang des ersten externen Beitrags oder einem Kauf – die Klick-Kennung zusammen mit Ereignistyp und Zeitpunkt übermitteln. Bei einem Kauf können zusätzlich Transaktionskennung, Wert und Währung übermittelt werden. Eine ausdrückliche Ablehnung auf der Zielseite wird respektiert. Wird keine Auswahl getroffen, insbesondere auf Mobilgeräten, werden keine Conversion-Daten an Google gesendet.
Für diese Messung verwenden wir keine Marketing- oder Tracking-Cookies, keine browserseitigen Google-Tags, keinen Google Tag Manager und kein Google Analytics. Die Erlaubnis ist auf die Conversion-Messung beschränkt und umfasst keine personalisierte Werbung. Wir übermitteln dabei insbesondere keine Namen, E-Mail-Adressen oder Telefonnummern. Google kann die pseudonyme Klick-Kennung jedoch dem ursprünglichen Anzeigenklick zuordnen.
Unabhängig von einer Übermittlung an Google erfassen wir für Besuche mit der fest definierten Google-CPC-Quelle aggregierten Landingpage-Traffic. Dazu gehören UTC-Tag, Landingpage-Pfad, Referrer-Hostname, Anzahl der Besuche, sichtbare Aktivität nach 10, 30 und 60 Sekunden sowie die gesamte sichtbare aktive Zeit. Der Traffic-Beacon übermittelt keine Google-Klick-Kennung, UTM-Kampagnenparameter, Besucherkennung oder Browserkennung und verwendet weder Cookies noch Browser-Speicher. Diese aggregierten Traffic-Statistiken werden nicht an Google übermittelt.
Unabhängig von der Übermittlung an Google erfassen wir bei als Google-CPC gekennzeichneten Besuchen intern, welche Schritte des Erstellungsassistenten erreicht werden. Dafür wird beim Öffnen des Assistenten eine zufällige Kennung erzeugt, die nur während des aktuell geöffneten Assistenten im Arbeitsspeicher besteht. Gespeichert werden diese Kennung, der erreichte Schritt, die UTM-Kampagnenparameter, der Seitenpfad und ein aus dem Cloudflare-Ländercode abgeleitetes grobes Segment (Deutschland, Österreich, anderes oder unbekannt). In diesem Datensatz speichern wir keine Google-Klick-Kennung, IP-Adresse, Browserkennung, Namen oder Kontaktdaten und übermitteln ihn nicht an Google. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, um den Onboarding-Ablauf zu prüfen und die Wirksamkeit der Kampagnen zu bewerten.
Die interne Erfassung und Zuordnung der Klick-Kennung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die Wirksamkeit unserer Werbung zu verstehen und unser Werbebudget wirtschaftlich einzusetzen. Die Übermittlung von Conversion-Daten an Google erfolgt ausschließlich auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.
Rohe Klick-Kennungen und interne Kampagnen-Fortschrittsdaten werden höchstens 90 Tage gespeichert und anschließend gelöscht. Die Einwilligungsentscheidung selbst kann so lange aufbewahrt werden, wie dies zum Nachweis der Auswahl und zur Erfüllung rechtlicher Pflichten erforderlich ist.
Die Auswahl gilt auch für spätere Projekte, die über unsere Google-Anzeigen gestartet werden. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft per E-Mail an hello@yul.io widerrufen werden. Nach dem Widerruf werden keine weiteren Conversion-Ereignisse an Google übermittelt.
Bei erteilter Einwilligung erfolgt die begrenzte Übermittlung an den für unser Google-Ads-Konto zuständigen Google-Vertragspartner und serverseitig über die Google Data Manager API. Weitere Informationen zur Datenverarbeitung durch Google und zu möglichen Datenübermittlungen in Drittländer finden Sie unter https://policies.google.com/privacy.
11. Server-Logs
Beim Zugriff auf die Plattform werden technische Zugriffsdaten erfasst (z. B. IP-Adresse, Zeitstempel, Browserinformationen).
Diese Daten werden durch Cloudflare im Rahmen der Infrastruktur bereitgestellt.
Die Speicherung erfolgt gemäß den Standard-Log-Richtlinien des Anbieters.
12. Speicherdauer
Quelldateien für Videogeschenke mit einem bezahlten finalen Video werden 3 Monate nach dem Rendern des ersten bezahlten finalen Videos gespeichert. Das bezahlte finale Video wird 6 Monate nach dem Rendern gespeichert.
Quelldateien für Videogeschenke mit ausschließlich unbezahlten finalen Videos werden 1 Monat nach dem Rendern des ersten finalen Videos gespeichert. Unbezahlte finale Videos werden 2 Monate nach dem Rendern gespeichert.
Wenn kein finales Video gerendert wurde, werden hochgeladene Quelldateien 3 Monate nach dem ersten Upload gespeichert, sofern der letzte Upload mindestens 1 Monat zurückliegt.
Nach Ablauf einer automatischen Speicherdauer werden betroffene Dateien in den Papierkorb verschoben und nach 14 Tagen endgültig gelöscht. Nutzer können die Speicherung einmal um 1 Monat verlängern; weitere Verlängerungen erfordern Kontakt zum Support.
Nutzer können Inhalte, Videogeschenke und Konten jederzeit selbst löschen.
Gesetzliche Aufbewahrungspflichten bleiben unberührt.
13. Rechte der Betroffenen
Nutzer haben folgende Rechte gemäß DSGVO:
- Auskunft über gespeicherte Daten
- Berichtigung unrichtiger Daten
- Löschung (Recht auf Vergessenwerden)
- Einschränkung der Verarbeitung
- Datenübertragbarkeit
- Widerspruch gegen Verarbeitung
- Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft
14. Beschwerderecht
Betroffene haben das Recht, sich bei einer Datenschutzbehörde zu beschweren.
In Österreich ist dies die Datenschutzbehörde.
15. Herkunft der Daten
Daten stammen entweder direkt von Nutzern (z. B. Kontodaten oder hochgeladene Inhalte) oder werden im Rahmen der Nutzung automatisch erhoben.
Inhalte können auch von anderen Nutzern im Rahmen von Videogeschenken bereitgestellt werden.
16. Daten Dritter
Nutzer können Inhalte hochladen, die personenbezogene Daten anderer Personen enthalten.
Nutzer sind dafür verantwortlich, dass sie zur Verarbeitung dieser Daten berechtigt sind.
17. Änderungen
Diese Datenschutzerklärung kann bei Bedarf angepasst werden.