Datenschutzerklärung

Stand: [TT.MM.JJJJ]

Hier erfährst du, welche Daten wir verarbeiten, wenn du unseren Shop besuchst und bei uns bestellst – und welche wir bewusst nicht verarbeiten. Kurz gesagt: Wir verwenden kein Tracking, keine Analyse- oder Werbetools, keine Social-Media-Plugins, keinen Newsletter und kein Kundenkonto. Dein Foto verwenden wir ausschließlich, um dein Stück zu fertigen, und löschen es danach automatisch.

1. Verantwortlich

Lama e.U., Schloßau 8, 9871 Seeboden am Millstätter See, Österreich
E-Mail: hallo@glowback.at · Telefon: [+43 …]
„glowback“ ist eine Marke von Lama e.U.; für alle Fragen zum Datenschutz erreichst du uns unter der E-Mail-Adresse oben.

2. Was wir wofür verarbeiten

2.1 Aufruf der Website (Hosting und Server-Protokolle)

Zweck: Website ausliefern, Sicherheit gewährleisten, Fehler finden.
Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem, ggf. die zuvor besuchte Seite.
Rechtsgrundlage: berechtigtes Interesse an einem sicheren und funktionierenden Shop (Art. 6 Abs. 1 lit. f DSGVO).
Auftragsverarbeiter: [Google Ireland Limited bzw. Google Cloud EMEA Limited, Irland – laut Vertrag prüfen] (Firebase Hosting, Google Cloud). Die Seiten selbst liefert Firebase über ein weltweites Netz von Servern (CDN) aus; die Server für Bestellungen, Datenbank und Fotos stehen in der Region europe-west1 (Belgien).
Speicherdauer: Die technischen Protokolle löscht Google Cloud nach [30] Tagen automatisch [Speicherort der Protokolle prüfen: global oder EU].

2.2 Schutz vor Missbrauch

Zweck: Wir begrenzen, wie oft von derselben Verbindung aus Bestellungen angelegt oder Fotos hochgeladen werden können, damit niemand den Shop überlastet.
Daten: IP-Adresse – sie wird nur kurz im Arbeitsspeicher des Servers mitgezählt und nicht gespeichert.
Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: höchstens 1 Stunde, danach verfällt der Zähler.

2.3 Dein Foto

Solange du gestaltest: Dein Foto bleibt in deinem Browser auf deinem Gerät (siehe Punkt 3). Wir erhalten es in diesem Schritt nicht.
Beim Klick auf „Zur Kasse“: Erst jetzt laden wir den von dir gewählten Ausschnitt (höchstens 3000 Pixel) auf unseren Server hoch und legen die Bestellung an. Das passiert auch dann, wenn du die Zahlung danach abbrichst – deshalb gelten die Löschfristen unten.
Zweck: ausschließlich die Herstellung deines Stücks und die Bearbeitung von Rückfragen, Gewährleistungsfällen oder einer Nachfertigung. Wir veröffentlichen dein Foto nicht und zeigen es niemandem – auch nicht als Beispiel in Shop oder Social Media –, außer du stimmst dem gesondert und ausdrücklich zu. Wir nutzen es nicht für Gesichtserkennung und nicht zum Training von KI.
Personen auf dem Foto: Dein Foto kann Gesichter von dir und anderen Personen zeigen. Vor der Bestellung bestätigst du, dass du es verwenden darfst – weil du es selbst gemacht hast oder die Urheber und die abgebildeten Personen einverstanden sind.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Fotos ohne abgeschlossene Bestellung unser berechtigtes Interesse, die Bestellung zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO).
Auftragsverarbeiter: Google (Cloud Storage), Region europe-west1 (Belgien).
Automatische Löschung (unser Aufräum-Programm läuft einmal täglich, die Löschung kann sich daher um bis zu einen Tag verschieben):
- Hochgeladene Fotos, zu denen keine Bestellung entstanden ist: nach 3 Tagen.
- Abgebrochene Bestellungen samt Foto: nach 2 Tagen.
- Nie bezahlte Bestellungen samt Foto: nach 30 Tagen.
- Fotos bezahlter Bestellungen: 180 Tage nach der Zahlung.
Wiederherstellbarkeit: Gelöschte Dateien hält Google Cloud Storage aus Sicherheitsgründen noch bis zu [7] Tage wiederherstellbar vor („Soft Delete“). In dieser Zeit sind sie für den laufenden Betrieb nicht abrufbar und werden danach endgültig gelöscht.

2.4 Bestellung und Vertragsabwicklung

Zweck: Bestellung annehmen, fertigen, versenden, abrechnen, Rückfragen und Gewährleistung bearbeiten.
Daten: Bestellnummer, Produkte, Optionen und Preise, Zeitpunkt, deine Bestätigung der Fotorechte, die Shop-Adresse, von der aus bestellt wurde, ggf. eine technische Fehlermeldung; nach der Zahlung zusätzlich Name, E-Mail-Adresse, Lieferadresse sowie die Kennungen von Zahlung und Rechnung bei Stripe. Eine Telefonnummer fragen wir nicht ab. Kartendaten sehen und speichern wir nicht – die verarbeitet nur Stripe.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Aufbewahrung nach Steuer- und Unternehmensrecht (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 132 BAO und § 212 UGB); die Bestätigung der Fotorechte speichern wir als Nachweis (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Daten bezahlter Bestellungen 7 Jahre ab Ende des Kalenderjahres, in dem die Bestellung abgeschlossen wurde, danach werden sie gelöscht. Nicht bezahlte und abgebrochene Bestellungen: siehe Fristen bei 2.3.

2.5 Versand

Zweck und Daten: Für die Zustellung geben wir Name und Lieferadresse an [Versanddienstleister] weiter [, die E-Mail-Adresse nur, wenn du dem für Zustellbenachrichtigungen zugestimmt hast].
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

2.6 Zahlung über Stripe

Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland.
Ablauf: Die Zahlungsfelder auf unserer Kassenseite kommen direkt von Stripe. Das Stripe-Skript (Stripe.js) wird beim Klick auf „Zur Kasse“ vorgeladen und auf der Kassenseite ausgeführt.
Daten: E-Mail-Adresse, Name, Lieferadresse, Zahlungsdaten, Betrag sowie technische Daten deines Geräts und Browsers inklusive IP-Adresse, mit denen Stripe Betrug erkennt.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Betrugsprävention als berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für eigene Zwecke wie Betrugsbekämpfung und gesetzliche Pflichten (z. B. Geldwäscheprävention) ist Stripe selbst verantwortlich.
Drittland: Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage ist das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission), ergänzend Standardvertragsklauseln.
Link: Link ist ein Dienst von Stripe, mit dem du deine Zahlungsdaten speichern und bei späteren Einkäufen wiederverwenden kannst. Ob du ihn nutzt, entscheidest du selbst. Für Link gelten die Datenschutzbestimmungen von Stripe.
Je nach Zahlungsart verarbeiten zusätzlich eigenverantwortlich: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg; Apple Distribution International Ltd., Irland (Apple Pay); Google Ireland Limited (Google Pay); Amazon Payments Europe S.C.A., Luxemburg (Amazon Pay); bei EPS deine Bank. Es gelten deren Datenschutzbestimmungen.
Automatisierte Prüfung: Stripe prüft Zahlungen automatisiert auf Betrugsrisiken. Dadurch kann eine Zahlung im Einzelfall abgelehnt werden. Melde dich dann gerne bei uns – wir finden eine Lösung.
Speicherdauer: bei uns wie unter 2.4; bei Stripe nach dessen gesetzlichen Aufbewahrungspflichten. Mehr dazu: stripe.com/at/privacy

2.7 Rechnung und Bestellbestätigung per E-Mail

Zweck: Wir senden dir die Bestellbestätigung [und die Rechnung] per E-Mail.
Daten: Name, E-Mail-Adresse, Lieferadresse, Bestelldaten; in unserer internen Benachrichtigung über die Bestellung auch die Telefonnummer, falls angegeben.
Rechtsgrundlage: Vertragserfüllung und gesetzliche Pflicht (Art. 6 Abs. 1 lit. b und c DSGVO).
Auftragsverarbeiter: Versand über Resend, Inc., San Francisco, USA (Versand-Server in der EU, Irland); Datenübermittlung in die USA auf Grundlage [EU-US Data Privacy Framework | EU-Standardvertragsklauseln – laut Resend-DPA prüfen]; [Rechnung: Stripe, siehe 2.6].
Speicherdauer: wie unter 2.4.

2.8 Kontakt per E-Mail

Zweck und Daten: Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um dir zu antworten.
Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Anfrage (Art. 6 Abs. 1 lit. b DSGVO), sonst berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).
Auftragsverarbeiter: World4You Internet Services GmbH, Linz, Österreich (E-Mail-Postfach).
Speicherdauer: bis dein Anliegen erledigt ist und danach so lange, wie wir die Nachricht für mögliche Ansprüche brauchen (in der Regel [3] Jahre); geschäftsrelevante Nachrichten bis zu 7 Jahre.

2.9 Weitere Empfänger

Soweit nötig, geben wir Daten an unsere Steuerberatung [Name, Ort] zur Buchhaltung weiter (Art. 6 Abs. 1 lit. c DSGVO) sowie an Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind.

3. Speicher in deinem Browser und Cookies

Wir verwenden keine Tracking- oder Werbe-Cookies. Damit der Shop funktioniert, speichert dein Browser Folgendes – nur auf deinem Gerät:

localStorage: dein Warenkorb und eine offene Bestellung (höchstens 3 Stunden).
sessionStorage: Angaben für den Wechsel zwischen den Seiten und Kennungen bereits hochgeladener Fotos; wird gelöscht, sobald du den Tab schließt.
IndexedDB: dein Originalfoto, bis du bestellst oder es entfernst. Es verlässt dein Gerät nicht, nur der zugeschnittene Ausschnitt wird beim Klick auf „Zur Kasse“ hochgeladen.
Stripe-Cookies auf der Kassenseite: __stripe_mid ([1 Jahr]) und __stripe_sid ([30 Minuten]) zur Betrugserkennung und sicheren Zahlungsabwicklung.

Diese Speicherungen sind technisch unbedingt erforderlich, damit du bestellen und sicher bezahlen kannst. Dafür ist keine Einwilligung nötig (§ 165 Abs. 3 TKG 2021); Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b bzw. f DSGVO. Du kannst diese Daten jederzeit in den Einstellungen deines Browsers löschen – ein offener Warenkorb geht dabei verloren.

Unsere Schriften liegen auf unserem eigenen Server. Beim Seitenaufruf werden keine Daten an Schriftanbieter wie Google Fonts übertragen.

4. Übermittlung in Drittländer

Bestellungen und Fotos speichern wir in der EU (Belgien); für die Daten bei Stripe und den Zahlungsanbietern gelten deren Speicherorte. Einige Anbieter – Google und Stripe sowie Resend (E-Mail-Versand) [Resend: DPF-Zertifizierung prüfen, sonst Standardvertragsklauseln nennen] – gehören zu Konzernen mit Sitz in den USA, sodass ein Zugriff aus den USA nicht ausgeschlossen ist. Diese Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert. Für die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission. Ergänzend gelten Standardvertragsklauseln.

5. Musst du uns Daten geben?

Für eine Bestellung brauchen wir Foto, Name, E-Mail- und Lieferadresse sowie eine Zahlung. Ohne diese Angaben können wir die Bestellung nicht ausführen.

6. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen über dich ausschließlich automatisiert und erstellen kein Profil von dir (Art. 22 DSGVO). Zur automatisierten Betrugsprüfung durch Stripe siehe Punkt 2.6.

7. Deine Rechte

Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft, falls du uns eine erteilt hast (Art. 7 Abs. 3 DSGVO)

Schreib uns dazu einfach an hallo@glowback.at. Daten, die wir gesetzlich aufbewahren müssen, sperren wir bis zum Ablauf der Frist statt sie sofort zu löschen.

Wenn du meinst, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

8. Änderungen

Wenn sich unser Shop oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.