Der Schutz Ihrer persönlichen Daten ist uns ein echtes Anliegen. In dieser Datenschutzerklärung informieren wir Sie transparent darüber, welche personenbezogenen Daten wir beim Besuch unseres Online-Shops und bei einer Bestellung verarbeiten, zu welchem Zweck dies geschieht und welche Rechte Ihnen dabei zustehen. Grundlage ist die Datenschutz-Grundverordnung (DSGVO) sowie das österreichische Datenschutzgesetz (DSG).

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO für die Verarbeitung Ihrer personenbezogenen Daten ist:

Inhaberin: Theresa Schöffel-Zahlbruckner
Unternehmen: fineprints, handgedruckte Mode
Anschrift: Hauptplatz 19, 8510 Stainz, Österreich
Telefon: +43 664 18 45 855
E-Mail: info@theresaschoeffel.com

Für alle Fragen rund um den Datenschutz und zur Wahrnehmung Ihrer Betroffenenrechte erreichen Sie uns unter den oben genannten Kontaktdaten. Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht für uns nicht; sollte sich dies ändern, aktualisieren wir diese Erklärung.

2. Allgemeines, Geltungsbereich und Begriffe

Diese Datenschutzerklärung gilt für unseren Online-Shop, der unter theresaschoeffel.com erreichbar ist, sowie für alle damit verbundenen Funktionen und Inhalte. Unser Angebot richtet sich ausschließlich an Kundinnen und Kunden in Österreich; ein Versand sowie eine Rechnungsstellung ins Ausland finden nicht statt.

Unser Angebot richtet sich an volljährige Personen. Es ist nicht für Kinder bestimmt, und wir erheben nicht wissentlich personenbezogene Daten von Kindern im Sinne des Art. 8 DSGVO.

Zum besseren Verständnis vorab einige zentrale Begriffe:

Personenbezogene Daten

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, Anschrift, E-Mail-Adresse, IP-Adresse).

Verarbeitung

Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa das Erheben, Speichern, Verwenden, Übermitteln oder Löschen.

Verantwortlicher

Die unter Punkt 1 genannte Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet.

3. Hosting und Server-Logfiles

Unser Online-Shop wird bei einem externen Dienstleister (Hosting-Provider) betrieben, der die für den Betrieb erforderliche Infrastruktur (Server, Speicherplatz, Datenbank) bereitstellt.

Hosting-Provider: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland

Bei jedem Aufruf unserer Website werden durch den Server automatisch Informationen erfasst und in sogenannten Server-Logfiles gespeichert. Dies sind insbesondere:

aufgerufene Seite bzw. Datei
Datum und Uhrzeit des Zugriffs
übertragene Datenmenge
Meldung über erfolgreichen Abruf
Browsertyp und Browserversion
verwendetes Betriebssystem
zuvor besuchte Seite (Referrer)
IP-Adresse

Diese Verarbeitung ist technisch erforderlich, um Ihnen die Website anzeigen zu können und die Stabilität und Sicherheit unseres Systems zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Internetauftritt gemäß Art. 6 Abs. 1 lit. f DSGVO.

Mit unserem Hosting-Provider, der netcup GmbH, haben wir einen Vertrag über die Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen. Dieser stellt sicher, dass der Provider Ihre Daten ausschließlich nach unseren Weisungen und im Einklang mit der DSGVO verarbeitet.

4. Cookies und Einwilligungsmanagement

Unsere Website verwendet Cookies und vergleichbare Technologien (z. B. im Browser gespeicherte Informationen). Cookies sind kleine Textdateien, die auf Ihrem Endgerät abgelegt werden und entweder für die Dauer Ihres Besuchs (Session-Cookies) oder dauerhaft (persistente Cookies) gespeichert bleiben.

Technisch notwendige Cookies

Bestimmte Cookies sind für den Betrieb des Shops zwingend erforderlich, etwa um den Inhalt Ihres Warenkorbs zu speichern, Sie während einer Sitzung wiederzuerkennen oder sicherheitsrelevante Funktionen bereitzustellen. Diese Cookies setzen wir auf Grundlage unseres berechtigten Interesses an einem funktionsfähigen Shop gemäß Art. 6 Abs. 1 lit. f DSGVO sowie, soweit es um die ausdrücklich von Ihnen gewünschte Bereitstellung des Dienstes geht, gemäß Art. 6 Abs. 1 lit. b DSGVO. Für diese Cookies ist keine Einwilligung erforderlich.

Einwilligungsbedürftige Cookies und Dienste

Cookies und Dienste, die nicht technisch notwendig sind, insbesondere solche zum Einbinden externer Inhalte Dritter (siehe Punkt 12), setzen wir nur ein, wenn Sie zuvor Ihre ausdrückliche Einwilligung erteilt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Ihre einmal erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Einholung und Verwaltung Ihrer Einwilligungen setzen wir das Consent-Management-Tool Real Cookie Banner (Anbieter: devowl.io GmbH, Tannet 12, 94539 Grafling, Deutschland) ein. Über das beim ersten Besuch eingeblendete Banner können Sie einzelne Kategorien gezielt annehmen oder ablehnen; die Ablehnung ist dabei gleichwertig und ebenso einfach möglich wie die Zustimmung. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß mit Wirkung für die Zukunft anpassen oder widerrufen. Das Tool wird lokal von unserem eigenen Server ausgeliefert; zur Dokumentation Ihrer Entscheidung wird ein Einwilligungsnachweis auf unserem Server gespeichert. Dieser Einwilligungsnachweis wird für die Dauer von 12 Monaten gespeichert; danach werden Sie erneut um Ihre Einwilligung gebeten.

5. Bestellabwicklung, Kundenkonto und Registrierung

Unser Shop basiert auf WordPress mit der E-Commerce-Erweiterung WooCommerce sowie der Erweiterung WooCommerce Germanized zur rechtskonformen Bestellabwicklung.

Bestellung und Vertragsabwicklung

Wenn Sie bei uns bestellen, verarbeiten wir die zur Vertragsabwicklung erforderlichen Daten. Dazu gehören insbesondere Ihr Name, Ihre Liefer- und Rechnungsanschrift, Ihre E-Mail-Adresse, Ihre Telefonnummer (sofern angegeben) sowie Angaben zu den bestellten Artikeln und zur gewählten Zahlungs- und Versandart. Diese Verarbeitung erfolgt zur Erfüllung des mit Ihnen geschlossenen Kaufvertrags bzw. zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO.

Die Bereitstellung der für die Bestellabwicklung erforderlichen Daten ist für den Vertragsabschluss notwendig. Ohne diese Angaben können wir den Kaufvertrag nicht abschließen und Ihre Bestellung nicht ausführen. Die Angabe Ihrer Telefonnummer ist freiwillig und dient lediglich der erleichterten Kontaktaufnahme im Zusammenhang mit der Lieferung.

Kundenkonto

Sie können bei uns ein Kundenkonto anlegen, um Bestellungen einfacher abzuwickeln und Ihre Bestellhistorie einzusehen. Die dabei gespeicherten Daten verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -abwicklung). Ein Kundenkonto ist freiwillig; eine Bestellung ist auch als Gast möglich. Ihr Kundenkonto können Sie jederzeit löschen lassen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Aufbewahrung von Rechnungs- und Geschäftsdaten

Daten, die Rechnungen und sonstige steuerlich relevante Geschäftsunterlagen betreffen, sind wir gesetzlich verpflichtet aufzubewahren. Die Aufbewahrungsfrist beträgt gemäß § 132 BAO und § 212 UGB sieben Jahre. Rechtsgrundlage für diese Aufbewahrung ist die Erfüllung einer rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 lit. c DSGVO. Während dieser Frist ist die Verarbeitung der betroffenen Daten eingeschränkt, sie werden ausschließlich zur Erfüllung der Aufbewahrungspflicht vorgehalten und anschließend gelöscht.

6. Zahlungsabwicklung

Zur Abwicklung Ihrer Zahlungen verarbeiten wir die hierfür erforderlichen Daten. Welche Daten konkret anfallen, hängt von der von Ihnen gewählten Zahlungsart ab. Rechtsgrundlage ist jeweils die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.

Banküberweisung (Vorkasse)

Bei Zahlung per Banküberweisung (Vorauskasse) verarbeiten wir die zur Zuordnung und Verbuchung Ihrer Zahlung erforderlichen Daten (insbesondere Name, Bestell- bzw. Rechnungsnummer und Verwendungszweck). Eine Weitergabe an Dritte erfolgt dabei, abgesehen von der Abwicklung über unser Kreditinstitut, nicht.

PayPal

Wählen Sie die Zahlung über PayPal, wird die Zahlung über den Zahlungsdienstleister PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg, abgewickelt. Dabei werden die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Rechnungsbetrag und Bestellbezug) an PayPal übermittelt, damit PayPal die Zahlung durchführen kann. PayPal verarbeitet diese Daten teilweise als eigenständig Verantwortlicher nach seinen eigenen Datenschutzbestimmungen, insbesondere zur Durchführung der Zahlung und zur Betrugsprävention. Rechtsgrundlage für die Übermittlung ist die Erfüllung des Kaufvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Eine etwaige Übermittlung von Daten durch PayPal in Drittländer (z. B. an die PayPal Holdings, Inc. in den USA) stützt PayPal nach eigenen Angaben auf den Angemessenheitsbeschluss EU-US Data Privacy Framework gemäß Art. 45 DSGVO bzw. ergänzend auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Näheres entnehmen Sie der Datenschutzerklärung von PayPal unter paypal.com/at/legalhub/privacy-full.

Kartenzahlung (WooCommerce Payments / Stripe)

Für Kartenzahlungen setzen wir WooCommerce Payments ein; die Zahlungsabwicklung erfolgt technisch über den Zahlungsdienstleister Stripe. Vertragspartner innerhalb der EU ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Dabei werden die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Rechnungsbetrag, Bestellbezug sowie die im Zahlungsformular eingegebenen Zahlungsdaten) an Stripe übermittelt. Die Kartendaten selbst werden direkt von Stripe verarbeitet; vollständige Kartennummern erhalten wir nicht. Rechtsgrundlage ist die Erfüllung des Kaufvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln; diese Übermittlung stützt Stripe auf den Angemessenheitsbeschluss EU-US Data Privacy Framework gemäß Art. 45 DSGVO bzw. ergänzend auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Näheres entnehmen Sie der Datenschutzerklärung von Stripe unter stripe.com/at/privacy.

Weitere Zahlungsdienstleister

Derzeit bieten wir die Banküberweisung (Vorkasse), PayPal sowie die Kartenzahlung über WooCommerce Payments (Stripe) an. Sollten wir künftig weitere Zahlungsarten (etwa Sofortüberweisung, Klarna oder EPS über einen Dienstleister wie Mollie) anbieten, werden wir diese Datenschutzerklärung vor deren Aktivierung um den jeweiligen Anbieter, dessen Sitzland, die verarbeiteten Daten, etwaige Drittlandübermittlungen samt Übermittlungsgrundlage (Angemessenheitsbeschluss, EU-US Data Privacy Framework bzw. Standardvertragsklauseln) sowie die AVV-Grundlage ergänzen.

7. Versand und Weitergabe an Versanddienstleister

Zur Lieferung Ihrer Bestellung geben wir die hierfür erforderlichen Daten (insbesondere Name und Lieferanschrift) an das von uns beauftragte Versandunternehmen weiter. Innerhalb Österreichs versenden wir über die Österreichische Post AG (Rochusplatz 1, 1030 Wien).

Die Weitergabe erfolgt ausschließlich, soweit dies zur Lieferung der Ware erforderlich ist, und stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit für die Sendungsverfolgung oder Zustellbenachrichtigung erforderlich, kann auch Ihre E-Mail-Adresse oder Telefonnummer übermittelt werden, sofern Sie diese angegeben haben. Sollten künftig weitere oder andere Versanddienstleister beauftragt werden, ergänzen wir diese Erklärung entsprechend (siehe Punkt 19).

8. Kontaktaufnahme

Wenn Sie mit uns in Kontakt treten, per Kontaktformular, E-Mail oder Telefon, verarbeiten wir die von Ihnen mitgeteilten Daten, um Ihre Anfrage zu bearbeiten und zu beantworten.

Bei einer Kontaktaufnahme im Zusammenhang mit einem Vertrag oder einer Bestellung erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. In allen übrigen Fällen stützen wir die Verarbeitung auf unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage gemäß Art. 6 Abs. 1 lit. f DSGVO. Ihre Anfragedaten löschen wir, sobald sie zur Erreichung des Zwecks nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, in der Regel spätestens sechs Monate nach abschließender Bearbeitung.

Für den Versand von Bestätigungs-, Bestell- und Kontaktmails setzen wir einen externen Dienst zum technischen E-Mail-Versand (SMTP) ein. Hierbei werden die im jeweiligen E-Mail enthaltenen Daten an den Mailversand-Dienstleister übermittelt.

E-Mail-Versanddienstleister: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Die Verarbeitung erfolgt auf Servern innerhalb der EU; mit IONOS besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Rechtsgrundlage für den technischen Versand vertragsbezogener E-Mails ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen unser berechtigtes Interesse an einem zuverlässigen E-Mail-Versand gemäß Art. 6 Abs. 1 lit. f DSGVO.

Kontaktaufnahme über WhatsApp

Auf unserer Website, auf allen Seiten mit Ausnahme des Warenkorbs und des Bestellvorgangs (Kasse), bieten wir Ihnen über eine Schaltfläche die Möglichkeit, uns über den Messengerdienst WhatsApp zu kontaktieren. Diese Schaltfläche dient der niederschwelligen Aufnahme von Kundenanfragen über unser geschäftliches WhatsApp-Konto.

Bei dieser Schaltfläche handelt es sich ausschließlich um einen Verweis (Hyperlink); das dabei angezeigte WhatsApp-Symbol ist eine lokal in unserer Website gestaltete Grafik. Es wird kein eingebettetes Widget, kein iFrame und kein JavaScript-Baustein von Meta oder WhatsApp geladen. Beim bloßen Aufruf unserer Seite wird daher keine Verbindung Ihres Browsers zu Meta bzw. WhatsApp hergestellt, es werden hierbei keine Cookies gesetzt und es werden keine Daten an Meta übermittelt. Aus diesem Grund ist für die Anzeige der Schaltfläche keine Einwilligung erforderlich, und sie wird, anders als die einwilligungspflichtigen Drittinhalte unter Punkt 12, nicht über unser Consent-Tool gesteuert.

Eine Datenübermittlung an WhatsApp bzw. Meta findet erst dann statt, wenn Sie aktiv auf die Schaltfläche klicken und dadurch zur WhatsApp-Anwendung (App oder Web-Version unter web.whatsapp.com) weitergeleitet werden und dort selbst eine Nachricht an uns verfassen. WhatsApp ist damit, ebenso wie Telefon oder E-Mail, ein von Ihnen aktiv gewählter Kontaktkanal; die Übermittlung wird ausschließlich durch Ihre eigene, bewusste Handlung ausgelöst und nicht bereits durch den Seitenaufruf. Dies entspricht datenschutzrechtlich der Behandlung unseres Instagram-Verweises (siehe Punkt 12, „erst beim Klick“). Schreiben Sie uns über WhatsApp, verarbeiten wir die von Ihnen mitgeteilten Daten (insbesondere Ihre Mobilnummer, Ihren angezeigten Profilnamen und den Inhalt Ihrer Nachricht), um Ihre Anfrage zu bearbeiten und zu beantworten. Rechtsgrundlage ist, wie bei der übrigen Kontaktaufnahme, Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag oder eine Bestellung betrifft, und im Übrigen unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage über den von Ihnen gewählten Kanal gemäß Art. 6 Abs. 1 lit. f DSGVO. Die bei uns eingegangenen Anfragedaten löschen wir, sobald sie zur Erreichung des Zwecks nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, in der Regel spätestens sechs Monate nach abschließender Bearbeitung.

Betreiber des Dienstes ist die WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (ein Unternehmen des Meta-Konzerns); diese ist von der unter Punkt 12 genannten Meta Platforms Ireland Ltd. zu unterscheiden. Mutterkonzern ist die Meta Platforms, Inc. (USA). Die Datenverarbeitung kann auch durch die Meta Platforms, Inc. in den USA erfolgen. Soweit Meta unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich eine Übermittlung in die USA auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO; ergänzend bzw. soweit keine Zertifizierung greift, gelten die Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Für die USA besteht kein genereller Angemessenheitsbeschluss; eine Kopie der geeigneten Garantien erhalten Sie auf Anfrage über die unter Punkt 1 genannten Kontaktdaten.

Bitte beachten Sie: Sobald Sie über WhatsApp mit uns kommunizieren, findet die Verarbeitung Ihrer Daten auf den Plattformen von WhatsApp bzw. Meta in deren eigener Verantwortung und nach deren eigenen Datenschutzbestimmungen statt; auf diese Verarbeitung, einschließlich einer etwaigen Verarbeitung in den USA, haben wir keinen Einfluss. Eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO besteht für diesen von Ihnen selbst gewählten Kontaktkanal nach unserer Einschätzung nicht. Wir empfehlen, über WhatsApp keine sensiblen Daten (z. B. Gesundheits- oder Zahlungsdaten) zu übermitteln. Wenn Sie eine Übermittlung Ihrer Daten an Meta vermeiden möchten, nutzen Sie bitte einen der anderen angebotenen Kontaktwege (Kontaktformular, E-Mail oder Telefon).

9. Reichweitenmessung mit WP Statistics

Zur statistischen Auswertung der Nutzung unserer Website setzen wir das Analyse-Werkzeug WP Statistics ein. Dieses läuft vollständig auf unserem eigenen Server (selfhosted); es werden keine Daten an Dritte oder in Drittländer übermittelt.

WP Statistics ist bei uns besonders datenschutzfreundlich konfiguriert:

IP-Adressen werden anonymisiert verarbeitet (Anonymisierung aktiviert), eine Speicherung vollständiger IP-Adressen findet nicht statt.
Eine geografische Lokalisierung über GeoIP ist deaktiviert.
Die „Do Not Track“-Einstellung Ihres Browsers wird respektiert.
Zugriffe von Administratoren werden von der Auswertung ausgenommen.
Für die Auswertung werden keine Tracking-Cookies gesetzt.

Da keine Cookies zu Tracking-Zwecken gesetzt werden und die Daten anonymisiert sowie ausschließlich auf unserem eigenen Server verarbeitet werden, erfolgt diese Reichweitenmessung auf Grundlage unseres berechtigten Interesses an einer datensparsamen statistischen Analyse zur Verbesserung unseres Angebots gemäß Art. 6 Abs. 1 lit. f DSGVO.

10. Treueprogramm (WPLoyalty)

Wir bieten ein Treueprogramm an, mit dem Sie für bestimmte Aktionen (z. B. Einkäufe) Treuepunkte sammeln und einlösen können. Hierfür setzen wir die Erweiterung WPLoyalty ein.

Die Teilnahme am Treueprogramm ist freiwillig und begründet ein eigenes Nutzungsverhältnis. Im Rahmen dieses Teilnahmeverhältnisses verarbeiten wir die Zuordnung Ihres Punktestands zu Ihrem Kundenkonto sowie die Verknüpfung mit Ihren Bestellungen, um Punkte korrekt gutzuschreiben und einzulösen. Rechtsgrundlage ist die Durchführung dieses Teilnahmeverhältnisses gemäß Art. 6 Abs. 1 lit. b DSGVO. Beenden Sie die Teilnahme oder löschen Sie Ihr Kundenkonto, werden die damit verbundenen Treuepunkt-Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Verarbeitung erfolgt ausschließlich auf unserem eigenen Server; eine Übermittlung Ihrer Treuepunkt- oder Kundendaten an einen Lizenz- oder Cloud-Server des Plugin-Anbieters findet nicht statt.

Optional können Sie im Rahmen des Treueprogramms Ihr Geburtsdatum angeben (etwa bei der Registrierung oder in Ihrem Kundenkonto). Wir verwenden es ausschließlich, um Ihnen zum Geburtstag eine kleine Aufmerksamkeit und eine Geburtstagsnachricht zukommen zu lassen. Die Angabe ist freiwillig; Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können, indem Sie die Angabe in Ihrem Kundenkonto entfernen oder uns kontaktieren. Die Speicherung erfolgt ausschließlich auf unserem eigenen Server; eine Übermittlung an Dritte findet nicht statt.

11. Wunschliste (TI WooCommerce Wishlist)

Mit der Funktion „Wunschliste“ können Sie Produkte für einen späteren Besuch vormerken. Hierfür setzen wir die Erweiterung TI WooCommerce Wishlist ein.

Sind Sie in Ihrem Kundenkonto angemeldet, wird die Wunschliste Ihrem Konto zugeordnet. Als Gast wird Ihre Wunschliste über ein Session-Cookie auf Ihrem Endgerät zugeordnet, damit die vorgemerkten Produkte während Ihres Besuchs erhalten bleiben. Die Nutzung der Wunschliste ist freiwillig und dient Ihrem Komfort. Rechtsgrundlage ist unser berechtigtes Interesse an dieser komfortablen Shop-Funktion gemäß Art. 6 Abs. 1 lit. f DSGVO bzw., bei angemeldeten Nutzern, die Vertragsdurchführung gemäß Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung erfolgt auf unserem eigenen Server; eine Übermittlung an Dritte findet dabei nicht statt.

12. Eingebundene Inhalte Dritter und Kartendienst

An einigen Stellen binden wir Inhalte von Drittanbietern ein. Beim Aufruf solcher Inhalte wird eine Verbindung zu den Servern des jeweiligen Anbieters hergestellt, wobei zumindest Ihre IP-Adresse an diesen übermittelt wird. Soweit solche Inhalte eine Verbindung Ihres Browsers zu einem Drittanbieter herstellen und nicht technisch notwendig sind, laden wir sie erst, nachdem Sie über unser Consent-Tool (siehe Punkt 4) Ihre Einwilligung erteilt haben. Inhalte, die wir bereits in verkleinerter Form auf unserem eigenen Server zwischengespeichert haben und von dort ausliefern (siehe den Instagram-Abschnitt unten), lösen beim bloßen Seitenaufruf keine solche Verbindung aus. Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Standortkarte (statisches Bild)

Zur Veranschaulichung unserer Standorte zeigen wir auf der Kontaktseite ein statisches Kartenbild. Dieses Bild wird ausschließlich von unserem eigenen Server geladen; beim Aufruf der Seite findet kein Verbindungsaufbau zu einem Kartendienst eines Drittanbieters statt, und es wird hierbei keine IP-Adresse an Dritte übermittelt. Das Kartenbild wurde mit dem Kartenstil „Stamen Watercolor“ erstellt; die zugrunde liegenden Kartendaten stammen von OpenStreetMap-Mitwirkenden, die Aufbereitung von Stadia Maps. Die Anzeige des Bildes stützen wir auf unser berechtigtes Interesse an einer ansprechenden Standortdarstellung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Das Kartenbild ist mit einem Link zu OpenStreetMap versehen. Erst wenn Sie das Bild aktiv anklicken, werden Sie zu OpenStreetMap weitergeleitet; dabei wird, wie bei jedem von Ihnen aufgerufenen externen Link, Ihre IP-Adresse an den Betreiber von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) übermittelt. Diese Weiterleitung erfolgt ausschließlich durch Ihre eigene, bewusste Handlung. Auf die anschließende Verarbeitung bei OpenStreetMap haben wir keinen Einfluss; es gilt deren Datenschutzerklärung.

Instagram (Smash Balloon Instagram Feed)

Wir binden auf unserer Website eine Auswahl der zuletzt veröffentlichten Beiträge unseres Instagram-Profils ein (über das Plugin „Smash Balloon Instagram Feed“). Die angezeigten Bilder werden dabei nicht direkt aus Ihrem Browser von den Servern von Meta/Instagram geladen, sondern von uns in regelmäßigen Abständen serverseitig abgerufen, in verkleinerter Form auf unserem eigenen Server zwischengespeichert und von dort ausgeliefert. Beim bloßen Aufruf unserer Seite wird daher keine Verbindung Ihres Browsers zu Meta hergestellt und es werden keine Cookies von Meta gesetzt. Eine Übermittlung an Meta erfolgt (i) serverseitig durch uns beim Abruf der Inhalte sowie (ii) in Ihrem Browser erst dann, wenn Sie auf einen Beitrag oder den Profil-Link klicken und dadurch zu Instagram weitergeleitet werden. Anbieter von Instagram ist die Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland); die Datenverarbeitung kann auch durch die Meta Platforms, Inc. in den USA erfolgen. Soweit Meta unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich eine Übermittlung in die USA auf den Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO; ergänzend bzw. soweit keine Zertifizierung greift, gelten die Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Für die USA besteht kein genereller Angemessenheitsbeschluss; eine Kopie der geeigneten Garantien erhalten Sie auf Anfrage über die unter Punkt 1 genannten Kontaktdaten. Den serverseitigen Abruf und die Darstellung der Beiträge stützen wir auf unser berechtigtes Interesse an einer ansprechenden Außendarstellung gemäß Art. 6 Abs. 1 lit. f DSGVO. Hinsichtlich der auf den Plattformen von Meta selbst stattfindenden Verarbeitung kann eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO bestehen; diese erfolgt in der Verantwortung von Meta.

Schriftarten (Google Fonts, lokal gehostet)

Wir verwenden Schriftarten zur einheitlichen Darstellung unserer Website. Diese werden ausschließlich lokal von unserem eigenen Server geladen; es findet kein Verbindungsaufbau zu Servern von Google statt und es werden hierbei keine personenbezogenen Daten an Google übermittelt.

13. Newsletter

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen Neuigkeiten aus der Werkstatt, Popup-Termine und gelegentliche Vorzüge für Stammkundinnen zuzusenden. Für den Versand und die Verwaltung der Abonnements setzen wir den Dienst Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland) ein. Ihre Newsletter-Daten werden dabei auf Servern innerhalb der EU verarbeitet; mit Brevo besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit der Bitte, das Abonnement zu bestätigen. Erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die dabei verwendete IP-Adresse. Der Versand des Newsletters erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie unter Beachtung der Anforderungen des § 174 TKG 2021 (Einwilligung in elektronische Werbung).

Diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in jeder Newsletter-E-Mail. Nach Ihrer Abmeldung werden Ihre Newsletter-Daten gelöscht, soweit sie nicht zum Nachweis der ursprünglich erteilten Einwilligung weiter aufzubewahren sind. Unabhängig davon steht Ihnen das Recht zu, der Verarbeitung Ihrer Daten zum Zwecke der Direktwerbung jederzeit zu widersprechen (Art. 21 Abs. 2 DSGVO).

14. Server-Sicherheit und Protokollierung

Zum Schutz Ihrer Daten und der Integrität unseres Systems setzen wir technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO ein. Dazu zählen insbesondere:

Zwei-Faktor-Authentifizierung (Two-Factor): zusätzliche Absicherung der Anmeldung an verwalteten Konten.
Sicherheits- und Änderungsprotokoll (WP Security Audit Log): Protokollierung von Anmeldungen und Änderungen im Verwaltungsbereich zur Erkennung und Nachverfolgung sicherheitsrelevanter Ereignisse.

Diese Protokollierung betrifft im Regelfall Anmeldungen von Administratorinnen und Administratoren bzw. Redaktionskonten. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit unseres Systems sowie an der Erfüllung unserer Pflicht zur Gewährleistung angemessener Sicherheit gemäß Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Die Sicherheits- und Änderungsprotokolle werden nach 90 Tagen gelöscht.

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Sollte künftig ein Verfahren mit Profiling eingeführt werden (etwa ein Werbe-Pixel zur Reichweiten- oder Conversion-Messung), werden wir Sie darüber an dieser Stelle gesondert informieren und die erforderliche Einwilligung einholen.

16. Speicherdauer im Überblick

Wir verarbeiten und speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorsehen. Im Überblick:

Server-Logfiles: Speicherung für eine kurze Dauer zu Sicherheits- und Stabilitätszwecken, Löschung spätestens nach 14 Tagen.
Cookie-Consent-Information: Speicherung Ihrer Einwilligungsentscheidung für 12 Monate, danach erneute Abfrage.
WP Statistics (anonymisierte Reichweitendaten): Speicherung der anonymisierten Statistikdaten für statistische Zwecke, Bereinigung älterer Daten nach 12 Monaten.
Sicherheits-/Audit-Logs: Speicherung zur Erkennung und Nachverfolgung sicherheitsrelevanter Ereignisse, Löschung nach 90 Tagen.
Rechnungs- und steuerrelevante Geschäftsdaten: 7 Jahre gemäß § 132 BAO und § 212 UGB.
Kundenkonto: bis zur Löschung des Kontos durch Sie oder auf Ihren Wunsch, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Anfragedaten (Kontakt): Löschung nach abschließender Bearbeitung, in der Regel spätestens sechs Monate danach, sofern keine Aufbewahrungspflichten bestehen.
Einwilligungsbasierte Verarbeitungen (z. B. eingebundene Inhalte, Newsletter): bis zum Widerruf der Einwilligung.
Treuepunkt- und Wunschlisten-Daten: bis zur Beendigung der Teilnahme bzw. Löschung des Kontos oder Ablauf des Session-Cookies (bei Gast-Wunschlisten).

17. Ihre Rechte als betroffene Person

Im Hinblick auf die Verarbeitung Ihrer personenbezogenen Daten stehen Ihnen folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO) über die zu Ihrer Person verarbeiteten Daten.
Recht auf Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten.
Recht auf Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten oder sonstige Gründe entgegenstehen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
Recht auf Datenübertragbarkeit (Art. 20 DSGVO), Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format.
Recht auf Widerspruch (Art. 21 Abs. 1 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben.
Recht auf Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO); werden Ihre Daten zum Zwecke der Direktwerbung verarbeitet, können Sie jederzeit Widerspruch einlegen; nach einem solchen Widerspruch werden Ihre Daten nicht mehr für Werbezwecke verarbeitet.
Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO), jederzeit mit Wirkung für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die unter Punkt 1 genannten Kontaktdaten.

18. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie, unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs, das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Aufsichtsbehörde: Österreichische Datenschutzbehörde
Anschrift: Barichgasse 40-42, 1030 Wien, Österreich
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

19. Stand und Aktualität dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich rechtliche Rahmenbedingungen oder unsere Verarbeitungstätigkeiten ändern (etwa bei Aktivierung neuer Zahlungsarten oder Dienste). Bitte informieren Sie sich daher regelmäßig über den aktuellen Stand.

Stand: Juni 2026