Datenschutzerklärung

Stand: 30. September 2026

1. Verantwortlicher

Whimlio GmbH & Co. KG

Landhausstraße 2

71263 Weil der Stadt

Deutschland

E-Mail: info@whimlio.com

Telefon: +49 155 60919325

Vertreten durch die Whimlio Verwaltungs GmbH, diese vertreten durch die Geschäftsführer Aline Bastian und Vasco Vollmer.

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und nicht benannt. Bei Fragen zum Datenschutz erreichen Sie uns unter info@whimlio.com.

2. Unser Grundsatz

Whimlio erstellt personalisierte Geschichten für Kinder. Uns ist bewusst, dass Sie uns damit Informationen über Ihr Kind anvertrauen. Wir erheben nur die Daten, die für die Geschichten wirklich nötig sind. Alle Daten, die wir dauerhaft speichern, liegen auf Servern in Frankfurt am Main. Wo wir Dienstleister außerhalb der EU einsetzen, sagen wir Ihnen das in dieser Erklärung offen.

3. Überblick: Wo Ihre Daten verarbeitet werden

Einzelheiten finden Sie in den folgenden Abschnitten.

4. Aufruf der Website und der Web-App

Shop (www.whimlio.com). Unser Online-Shop läuft auf Shopify (siehe Ziffer 11). Beim Aufruf verarbeitet Shopify technisch notwendige Daten wie IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem, um die Seite auszuliefern, ihre Leistung zu überwachen und sie vor Angriffen zu schützen.

Web-App (app.whimlio.com). Unsere Web-App wird bei AWS in Frankfurt betrieben (siehe Ziffer 5). Damit Seiten schnell laden, werden Anfragen über das weltweite Auslieferungsnetz von AWS geleitet. Es antwortet von einem Standort in Ihrer Nähe, für Besucher aus Europa also aus Europa. Dabei werden Anfragen nur durchgeleitet. Das Netz speichert keine Inhalte, seine Zugriffsprotokolle sind abgeschaltet. Die Web-App schreibt technische Protokolle, um Fehler zu erkennen und Missbrauch abzuwehren. Diese werden in Frankfurt gespeichert und nach 30 Tagen gelöscht.

Schriftarten und Programmbibliotheken laden wir in Shop und Web-App von unseren eigenen Servern bzw. von Shopify. Beim Seitenaufruf wird keine Verbindung zu Google oder anderen Drittanbietern hergestellt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Angebot.

5. Hosting der Web-App bei Amazon Web Services

Die Web-App mit Kundenkonten, Angaben zu Ihrem Kind, Geschichten, PDF-Dateien und Protokollen betreiben wir bei der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Datenbank und Dateispeicher befinden sich ausschließlich im Rechenzentrum Frankfurt am Main und sind verschlüsselt. AWS verpflichtet sich vertraglich, Inhalte nicht ohne unsere Zustimmung aus der gewählten Region zu verlagern. Mit AWS besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

6. Kundenkonto in der Web-App

Für die Web-App melden Sie sich mit Ihrer E-Mail-Adresse an. Wir senden Ihnen dafür einen einmaligen Anmeldecode per E-Mail, ein Passwort gibt es nicht. Wir speichern Ihre E-Mail-Adresse, Ihre Bestellungen, die Angaben zu Ihren Kindern und Ihre Geschichten (Abenteuerhistorie). Damit Sie angemeldet bleiben, setzen wir ein technisch notwendiges Sitzungs-Cookie (siehe unsere Cookie-Richtlinie). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie in unserem Shop bestellen, übermittelt Shopify uns Ihre E-Mail-Adresse und die bestellten Produkte, damit wir die Bestellung Ihrem Konto zuordnen können.

7. Personalisierung der Geschichten: Angaben zu Ihrem Kind

Welche Daten. Für die Geschichten verarbeiten wir folgende Angaben zu Ihrem Kind: Vorname, Geschlecht, Wohnort in der von Ihnen eingegebenen Form und, bei mehreren Kindern, wie die Kinder zueinander stehen (zum Beispiel Geschwister). Hinzu kommen das gewünschte Ziel der Geschichte und kurze Zusammenfassungen früherer Geschichten, damit die Abenteuer aufeinander aufbauen. Fotos oder weitere Angaben erheben wir nicht.

Wer die Daten angibt. Die Angaben darf nur machen, wer für das Kind sorgeberechtigt oder anderweitig dazu berechtigt ist. Das bestätigen Sie bei der Eingabe.

Zweck. Wir verarbeiten die Angaben ausschließlich, um die bestellten Geschichten zu erstellen, sie Ihnen und von Ihnen eingeladenen Familienmitgliedern bereitzustellen und fortlaufend weitere, aufeinander aufbauende Geschichten zu ermöglichen. Wir nutzen die Angaben nicht für Werbung, geben sie nicht zu Werbezwecken weiter und erstellen keine Profile.

Rechtsgrundlage.

• Den Vornamen Ihres Kindes verarbeiten wir auf Grundlage Ihrer Einwilligung, die Sie in der Web-App erteilen (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an info@whimlio.com. Nach einem Widerruf erstellen wir keine neuen Geschichten mit dem Vornamen Ihres Kindes mehr. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Geschlecht, Wohnort, Angaben zu Geschwistern, Ziel der Geschichte und Zusammenfassungen früherer Geschichten verarbeiten wir, um den mit Ihnen geschlossenen Vertrag über personalisierte Geschichten zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Soweit es sich um Daten Ihres Kindes handelt, das nicht selbst Vertragspartner ist, stützen wir uns zusätzlich auf unser berechtigtes Interesse, die von Ihnen bestellte Geschichte zu erstellen (Art. 6 Abs. 1 lit. f DSGVO). Dabei haben wir berücksichtigt, dass wir nur wenige, für die Geschichte nötige Angaben verarbeiten, sie nicht für andere Zwecke nutzen und keine Profile bilden.

Speicherort und Speicherdauer. Die Angaben und Geschichten speichern wir bei AWS in Frankfurt, solange Ihr Kundenkonto besteht. Löschen Sie Ihr Konto oder verlangen Sie die Löschung, werden sie gelöscht (siehe Ziffern 20 und 21).

8. Erstellung der Geschichten mit Künstlicher Intelligenz (Anthropic)

Die Geschichten werden mithilfe des KI-Sprachmodells Claude erstellt. Anbieter ist die Anthropic Ireland, Limited, 6th Floor South Bank House, Barrow Street, Dublin 4, Irland, gemeinsam mit ihrer Muttergesellschaft Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA.

Welche Daten. Übermittelt werden nur die Angaben, die für die Geschichte nötig sind: Vorname, Geschlecht und Wohnort des Kindes, wie die Kinder zueinander stehen, das Ziel der Geschichte und kurze Zusammenfassungen früherer Geschichten. Ihre E-Mail-Adresse, Ihren Namen oder Zahlungsdaten erhält Anthropic nicht.

Ort. Die Verarbeitung findet in den USA statt, gegebenenfalls auch in anderen Ländern, in denen Anthropic Rechenkapazität nutzt. Für die Übermittlung gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags von Anthropic sind.

Speicherdauer und Training. Anthropic löscht die Daten innerhalb von 30 Tagen und nutzt sie nicht zum Training seiner KI-Modelle. Nur Eingaben, die wegen eines Verdachts auf Missbrauch markiert werden, kann Anthropic bis zu zwei Jahre aufbewahren.

Prüfung. Jede Geschichte wird vor der Bereitstellung automatisiert anhand unserer Qualitätskriterien geprüft. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die KI erstellt nur den Text der Geschichte.

Die Rechtsgrundlagen entsprechen Ziffer 7: für den Vornamen Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die übrigen Angaben Art. 6 Abs. 1 lit. b und f DSGVO. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag.

9. Prüfung von Ortsnamen (SerpApi)

Damit Orte in den Geschichten richtig vorkommen, prüfen wir eingegebene Ortsnamen, also das Ziel einer Geschichte oder den Wohnort, über eine Websuche. Anbieter ist die SerpApi, LLC, Austin, Texas, USA. Übermittelt wird nur der Ortsname, ohne Namen, E-Mail-Adresse oder sonstige Angaben, die einen Bezug zu Ihnen oder Ihrem Kind herstellen. SerpApi speichert die Suchanfragen 31 Tage. Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit SerpApi besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

10. E-Mail-Versand aus der Web-App (Mailgun)

Anmeldecodes, die fertigen Geschichten und Hinweise zu Ihrem Konto senden wir über den Dienst Mailgun. Anbieter ist die Mailgun Technologies, Inc. (Sinch Mailgun), 112 E. Pecan Street, San Antonio, TX 78205, USA. Dabei werden Ihre E-Mail-Adresse, der Inhalt der E-Mail und, beim Versand einer Geschichte, die PDF-Datei mit den darin enthaltenen Angaben zu Ihrem Kind verarbeitet.

Wir nutzen die EU-Region von Mailgun, die Daten werden also auf Servern in der EU verarbeitet und gespeichert. Mailgun speichert Nachrichten nur einen Tag. Wir werten nicht aus, ob Sie E-Mails öffnen oder Links anklicken. Da Mailgun seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht auszuschließen. Mailgun Technologies, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO).

Mit Mailgun besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Angaben zu Ihrem Kind im PDF die in Ziffer 7 genannten Grundlagen.

11. Online-Shop (Shopify)

Unser Online-Shop läuft auf Shopify. Anbieter ist die Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland. Shopify verarbeitet in unserem Auftrag Bestell-, Kunden- und Nutzungsdaten, zum Beispiel Name, Anschrift, E-Mail-Adresse und Bestellungen. Die Daten werden in Europa gespeichert. Zur Verarbeitung überträgt Shopify Daten auch nach Kanada, für das ein Angemessenheitsbeschluss der EU-Kommission besteht, und in weitere Länder auf Grundlage von EU-Standardvertragsklauseln. Mit Shopify besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

12. Bestellung und Whimlio-Pass

Für Bestellungen verarbeiten wir Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse, Bestell- und Vertragsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für gesetzliche Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO.

Den Whimlio-Pass verwalten wir mit der Shopify-App Appstle Memberships. Anbieter ist die Appstle Inc., 6258 Sperling Avenue, Burnaby, BC V5E 2T9, Kanada. Appstle verarbeitet Name, E-Mail-Adresse, Laufzeit und Zahlungsstatus Ihres Passes, um Rabatte zu gewähren, Verlängerungen abzurechnen und Kündigungen umzusetzen. Die Daten werden in Kanada und in den USA verarbeitet. Für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit Appstle besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Zahlung

Shopify Payments. Zahlungen per Kreditkarte, Apple Pay und Google Pay werden über Shopify Payments abgewickelt. Dahinter steht der Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

PayPal. Wenn Sie PayPal wählen, werden Ihre Zahlungsdaten an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, übermittelt. PayPal ist für die Zahlungsabwicklung eigenständig verantwortlich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Zahlungsdienstleister können zur Betrugsprävention eigene Prüfungen durchführen.

14. Versand mit DHL

Die Zauberwaldbox versenden wir mit der DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn. Dafür übermitteln wir Name und Lieferanschrift (Art. 6 Abs. 1 lit. b DSGVO). Bei Lieferungen in die Schweiz verarbeitet DHL diese Angaben zusätzlich für die Verzollung.

Ihre E-Mail-Adresse geben wir an DHL nur weiter, wenn Sie im Bestellvorgang eingewilligt haben, damit DHL Sie über den Zustellstatus informieren kann (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen.

15. Familienmitglieder einladen

In der Web-App können Sie weitere Personen in Ihre Familie einladen, zum Beispiel den anderen Elternteil oder Großeltern. Dafür verarbeiten wir die E-Mail-Adresse der eingeladenen Person und senden ihr eine Einladung. Nimmt sie die Einladung an, kann sie die Profile Ihrer Kinder und Ihre Geschichten lesen, aber nichts ändern. Bitte laden Sie nur Personen ein, denen Sie diese Angaben anvertrauen möchten. Sie können Einladungen jederzeit zurückziehen und den Zugriff beenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Angaben zu Ihrem Kind die in Ziffer 7 genannten Grundlagen.

16. Widerruf über unsere Online-Widerrufsfunktion

Wenn Sie einen Vertrag über den Button „Vertrag widerrufen" widerrufen, verarbeiten wir Ihren Namen, die Angaben zur Bestellung und Ihre E-Mail-Adresse, um den Widerruf zu bearbeiten und Ihnen eine Eingangsbestätigung zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB.

17. Cookies

Welche Cookies wir in Shop und Web-App verwenden, erklären wir ausführlich in unserer Cookie-Richtlinie. Kurz gesagt: Technisch notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Statistik- und Marketing-Cookies von Shopify setzen wir im Shop nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies von Werbenetzwerken verwenden wir nicht. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen" im Footer widerrufen.

18. Kontakt per Formular oder E-Mail

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu bearbeiten. Unsere E-Mail-Postfächer und unsere Domain werden bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in Deutschland betrieben. Mit IONOS besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Wir löschen Anfragen, sobald sie erledigt sind, soweit keine Aufbewahrungspflichten bestehen.

Bitte senden Sie uns keine unnötigen Angaben über Ihr Kind.

19. Instagram

Wir betreiben ein Profil auf Instagram (instagram.com/whimlio). Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Auf unserer Website verlinken wir das Profil nur, Daten werden erst übermittelt, wenn Sie den Link anklicken.

Für die statistischen Auswertungen, die Meta uns zu unserem Profil bereitstellt („Insights"), sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Meta hat die Hauptverantwortung übernommen und ist erster Ansprechpartner für Ihre Rechte. Die Vereinbarung über die gemeinsame Verantwortlichkeit finden Sie unter https://www.facebook.com/legal/terms/page_controller_addendum. Im Übrigen gilt die Datenschutzrichtlinie von Instagram. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

20. Speicherdauer

Wir löschen Daten, sobald der Zweck entfällt:

• Angaben zu Kindern und Geschichten: bis zur Löschung Ihres Kundenkontos oder bis Sie die Löschung verlangen.
• Technische Protokolle der Web-App: 30 Tage.
• Datensicherungen: Zum Schutz vor Datenverlust erstellen wir Sicherungskopien der Web-App, die nach 9 Tagen automatisch überschrieben werden. Gelöschte Daten können daher noch bis zu 9 Tage in diesen Sicherungen enthalten sein. Sie werden in dieser Zeit nicht verwendet.
• Nachrichten bei Mailgun: 1 Tag.
• Anfragen bei Anthropic: höchstens 30 Tage (siehe Ziffer 8).
• Suchanfragen bei SerpApi: 31 Tage (siehe Ziffer 9).
• Handels- und steuerrechtliche Unterlagen wie Rechnungen: sechs bis zehn Jahre (§ 257 HGB, § 147 AO). In dieser Zeit ist die Verarbeitung eingeschränkt.

21. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

In der Web-App können Sie Ihre Daten selbst als Datei exportieren und Ihr Konto einschließlich aller Angaben zu Ihren Kindern und Geschichten löschen. Nach der Löschung sind Ihre Daten sofort nicht mehr abrufbar. Aus unseren Datensicherungen verschwinden sie spätestens nach 9 Tagen. Im Übrigen genügt eine E-Mail an info@whimlio.com. Die Rechte Ihres Kindes können Sie als sorgeberechtigte Person wahrnehmen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

22. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Lautenschlagerstraße 20, 70173 Stuttgart

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden. In Österreich ist das die Österreichische Datenschutzbehörde, in der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

23. Hinweise für Kundinnen und Kunden aus der Schweiz

Für Personen in der Schweiz gilt ergänzend das Schweizer Datenschutzgesetz (DSG). Personendaten werden in die EU und den EWR, nach Kanada sowie in die USA übermittelt (Anthropic, SerpApi, Mailgun, Appstle). Für die USA stützen wir uns auf die von der Schweiz anerkannten Standardvertragsklauseln bzw. das Swiss-US Data Privacy Framework.

24. Pflicht zur Bereitstellung

Die Angaben zu Ihrem Kind und Ihre Bestelldaten sind für den Vertragsschluss erforderlich. Ohne sie können wir keine personalisierte Geschichte erstellen.

25. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Angebote, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.