Datenschutzerklärung

Präambel

Unsere Datenschutzerklärung klärt Sie über die Art, den Umfang und Zweck der Verarbeitung von personenbezogenen Daten (nachfolgend kurz „Daten“) innerhalb unseres Onlineangebotes und der mit ihm verbundenen Webseiten, Funktionen und Inhalte sowie externen Onlinepräsenzen, wie z.B. unser Social Media Profile oder unsere Apps, auf (nachfolgend gemeinsam bezeichnet als „Onlineangebot“).

Im Hinblick auf die verwendeten Begrifflichkeiten, wie z.B. „Verarbeitung“ oder „Verantwortlicher“ verweisen wir auf die Definitionen im Art. 4 der Datenschutzgrundverordnung (DSGVO).

Bei Fragen zum Datenschutz erreichen Sie uns werktags unter der in unserem Impressum angegebenen Telefonnummer sowie per E-Mail unter der ebenfalls in unserem Impressum angegebenen E-Mail-Adresse zu unseren ebenfalls dort angegebenen Supportzeiten.

Verantwortlicher: siehe Firmendaten in unserem Impressum.

Datenschutzbeauftragter: siehe Geschäftsführer in unserem Impressum.

Impressum: https://poellmann.at/legal

Stand: 23.08.2026

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung („DSGVO“) darüber, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere Websites, Online-Shops, Kundenkonten, Kontaktmöglichkeiten und digitalen Services nutzen.

Sie gilt insbesondere für folgende Online-Angebote:

Soweit auf einer einzelnen Website ergänzende oder abweichende Datenschutzhinweise angezeigt werden, gehen diese spezielleren Hinweise für den dort beschriebenen Verarbeitungsvorgang vor.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Manfred Pöllmann GmbH
Geschäftsführung: Alexander Manfred Pöllmann
Mautner-Markhof-Gasse 53, 1110 Wien, Österreich
E-Mail: [email protected]
Telefon: +43 1 749 53 94

Impressum: https://poellmann.at/legal

Datenschutzanfragen richten Sie bitte an:

E-Mail: [email protected]
Post: Mautner-Markhof-Gasse 53, 1110 Wien, Österreich

2. Gegenstand und Umfang dieser Erklärung

Unsere Online-Angebote umfassen Informationsseiten, Online-Shops, Kundenkonten, Bestell- und Bezahlfunktionen, Kontakt- und Supportformulare, Newsletter, eingebettete Inhalte sowie digitale Services, für die eine Authentifizierung über ID Austria oder den EU-Login möglich oder erforderlich sein kann.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Verarbeitung ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Erfassen, Ordnen, Speichern, Verwenden, Übermitteln oder Löschen.

3. Grundsätze und allgemeine Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn hierfür eine Rechtsgrundlage besteht und die Verarbeitung für einen festgelegten Zweck erforderlich ist.

Je nach Verarbeitung stützen wir uns insbesondere auf:

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: etwa für nicht notwendige Cookies, Analyse, personalisierte Werbung, externe Medien und Newsletter;
Art. 6 Abs. 1 lit. b DSGVO – Vertrag oder vorvertragliche Maßnahmen: etwa für Kundenkonto, Bestellung, Zahlung, Lieferung, individualisierte Leistungen und auf Ihre Anfrage erfolgende Beratung;
Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung: etwa für steuer-, unternehmens-, handels-, produkt- oder aufsichtsrechtliche Pflichten;
Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen: etwa für IT-Sicherheit, Missbrauchs- und Betrugsprävention, Fehleranalyse, Rechtsdurchsetzung, effiziente Kommunikation und einen sicheren wirtschaftlichen Betrieb;
Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung: nur soweit in einem besonderen Einzelfall besondere Kategorien personenbezogener Daten verarbeitet werden und keine andere Ausnahme nach Art. 9 Abs. 2 DSGVO greift.

Für das Speichern von Informationen auf Ihrem Endgerät oder den Zugriff auf dort gespeicherte Informationen beachten wir zusätzlich die anwendbaren Vorschriften der ePrivacy-Richtlinie und – soweit österreichisches Recht anwendbar ist – insbesondere § 165 Abs. 3 Telekommunikationsgesetz 2021 („TKG 2021“). Nicht technisch notwendige Cookies und vergleichbare Technologien setzen wir erst nach Ihrer Einwilligung ein.

Unsere berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO bestehen – soweit in den folgenden Abschnitten nichts Abweichendes angegeben ist – insbesondere in:

dem sicheren, stabilen und wirtschaftlichen Betrieb unserer Online-Angebote;
dem Schutz vor Angriffen, Betrug, Spam und sonstigem Missbrauch;
der Prüfung, Durchsetzung und Abwehr von Rechtsansprüchen;
der Verbesserung unserer Services und internen Abläufe;
der sachgerechten Bearbeitung von Anfragen;
der Verhinderung unberechtigter Bestellungen oder Vervielfältigungen sicherheitsrelevanter Produkte.

4. Kategorien und Quellen der Daten nach Art. 14 DSGVO

4.1 Daten, die Sie uns unmittelbar bereitstellen

Hierzu gehören insbesondere:

Stamm- und Kontaktdaten, etwa Name, Anschrift, E-Mail-Adresse und Telefonnummer;
Konto- und Anmeldedaten;
Bestell-, Vertrags-, Rechnungs-, Zahlungs- und Lieferdaten;
Inhalte von Nachrichten, Anfragen, Bewertungen oder Supportfällen;
hochgeladene Dateien, Bilder und Nachweise;
Angaben und Einwilligungen im Rahmen von Newsletter, Cookie-Banner oder externen Inhalten;
Daten, die Sie für einen bestimmten digitalen Service eingeben.

4.2 Automatisch entstehende technische Daten

Beim Aufruf und bei der Nutzung unserer Online-Angebote können insbesondere entstehen:

IP-Adresse;
Datum und Uhrzeit des Zugriffs;
aufgerufene URL, Datei oder Funktion;
Referrer-URL;
Browsertyp, Browserversion, Betriebssystem und Gerätekategorie;
Spracheinstellungen, Bildschirm- und Geräteinformationen;
HTTP-Statuscode, übertragene Datenmenge und Antwortzeit;
technische Fehler-, Sicherheits- und Ereignisprotokolle;
Session-, Cookie-, Consent- oder vergleichbare Kennungen;
bei erteilter Einwilligung: Nutzungs-, Interaktions-, Conversion- und Marketingdaten.

4.3 Daten aus anderen Quellen

Wir können personenbezogene Daten außerdem aus folgenden Quellen erhalten:

ID Austria und EU-Login/eIDAS: Identitäts-, Attribut-, Authentifizierungs- und technische Nachweisdaten, die nach erfolgreicher Anmeldung für den konkreten Service freigegeben werden;
Zahlungsdienstleister: Zahlungsstatus, Transaktionskennung, Risikohinweise und begrenzte Zahlungsmetadaten;
Versanddienstleister: Versandstatus, Zustellereignisse, Abliefernachweise und Rücksendungsinformationen;
Hersteller, Lieferanten oder Berechtigungsgeber: soweit dies zur Prüfung und Ausführung einer Bestellung erforderlich ist;
Behörden und Gerichte: soweit Daten aufgrund gesetzlicher Vorschriften oder rechtmäßiger Anordnungen übermittelt werden;
öffentlich zugängliche Quellen: nur soweit dies im Einzelfall zulässig und für einen konkreten Zweck erforderlich ist.

Wir kaufen keine Adressbestände für den Versand unseres Newsletters und verkaufen keine personenbezogenen Daten.

5. Bereitstellung der Websites, Hosting und Sicherheit

5.1 Server-Logfiles

Beim Aufruf unserer Websites verarbeiten unsere Server und vorgeschalteten Sicherheitsdienste automatisch technische Zugriffsdaten. Dazu gehören insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer, Browser, Betriebssystem, Hostname, Statuscode, Datenmenge und technische Fehlerdaten.

Zwecke:

Auslieferung der Website;
Stabilität, Fehleranalyse und Kapazitätsplanung;
Erkennung und Abwehr von Angriffen und Missbrauch;
Sicherung von Beweisen bei Sicherheitsvorfällen;
technische Administration.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb unserer Online-Angebote.

Speicherdauer: regulär 14 Tage. Sicherheitsrelevante Auszüge können bei einem konkreten Vorfall bis zur vollständigen Aufklärung und gegebenenfalls bis zum Ablauf einschlägiger Verjährungsfristen gespeichert werden.

5.2 Hosting bei DigitalOcean und Amazon Web Services

Wir betreiben unsere Eigenentwicklung auf Infrastruktur folgender Hostinganbieter:

DigitalOcean, LLC
105 Edgeview Drive, Suite 425
Broomfield, Colorado 80021, USA
Eingesetzte Regionen: Frankfurt.
Amazon Web Services EMEA SARL
38 Avenue John F. Kennedy
L-1855 Luxemburg
Eingesetzte Regionen: eu-central-1 (Frankfurt) und eu-west-1 (Irland).

Je nach Funktion werden dort insbesondere Website-, Kundenkonto-, Bestell-, Kommunikations-, Datenbank-, Datei-, Backup-, Protokoll- und Sicherheitsdaten verarbeitet.

Zwecke: Bereitstellung von Rechenleistung, Speicher, Datenbanken, Netzwerk, Backups, Ausfallsicherheit, Monitoring und technischer Sicherheit.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, soweit das Hosting zur Erbringung eines von Ihnen angeforderten Services erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für den sicheren und effizienten Betrieb. Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO.

Speicherorte für produktive Daten und Backups: Wien, Frankfurt, Dublin.

Weitere Informationen: Datenschutz bei DigitalOcean und Datenschutz bei AWS.

5.3 Cloudflare

Wir verwenden Dienste von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, mit europäischem Ansprechpartner Cloudflare Germany GmbH, Rosenheimer Straße 143C, 81671 München, Deutschland.

Cloudflare stellt insbesondere DNS-, Content-Delivery-, Web-Application-Firewall-, DDoS-Schutz-, Bot-Abwehr-, TLS- und Performancefunktionen bereit. Dabei verarbeitet Cloudflare zwangsläufig Verkehrsdaten, insbesondere IP-Adresse, Zieladresse, Zeitstempel, Geräte- und Browserinformationen, Sicherheitsmerkmale sowie Informationen über verdächtige oder schädliche Anfragen. Cloudflare kann technisch notwendige Cookies oder vergleichbare Kennungen setzen.

Zwecke: schnelle und sichere Auslieferung, Schutz vor Angriffen, Missbrauch, Bots und Überlastung sowie Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Absicherung und Verfügbarkeit unserer Online-Angebote. Soweit der Einsatz für die sichere Bereitstellung eines von Ihnen angeforderten Dienstes zwingend erforderlich ist, gilt ergänzend Art. 6 Abs. 1 lit. b DSGVO.

Weitere Informationen: Datenschutz bei Cloudflare.

5.4 Selbst gehostete Schriftarten

Die auf unseren Websites verwendeten Schriftarten werden von unseren eigenen Servern oder der von uns eingesetzten Hosting-Infrastruktur ausgeliefert. Beim Seitenaufruf wird daher keine Verbindung zu Google Fonts oder einem anderen externen Schriftanbieter hergestellt.

5.5 TLS-/SSL-Verschlüsselung

Unsere Websites nutzen TLS-/SSL-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie in der Regel an https:// und dem entsprechenden Sicherheitssymbol Ihres Browsers. Die Verschlüsselung schützt übertragene Daten vor dem einfachen Mitlesen auf dem Transportweg. Ein absoluter Schutz elektronischer Systeme kann dennoch nicht garantiert werden.

5.6 Weitere technische und organisatorische Maßnahmen

Wir treffen risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu können insbesondere Zugriffs- und Berechtigungskonzepte, Mehrfaktorauthentifizierung, Protokollierung, Verschlüsselung, Backups, Wiederherstellungsverfahren, Netzwerksegmentierung, Aktualisierungsprozesse, Sicherheitsprüfungen und Vertraulichkeitsverpflichtungen gehören.

6.1 Kategorien von Cookies und ähnlichen Technologien

Wir verwenden Cookies, Local Storage, Pixel, Tags und vergleichbare Technologien. Diese können folgenden Kategorien zugeordnet werden:

technisch notwendig: für Navigation, Warenkorb, Anmeldung, Sicherheit, Lastverteilung, Spracheinstellungen und Einwilligungsverwaltung;
Funktionalität und Präferenzen: für von Ihnen gewünschte Komfortfunktionen;
Statistik und Analyse: für Reichweitenmessung und Verbesserung;
Marketing: für Conversion-Messung, Zielgruppenbildung und Retargeting;
externe Medien: für Karten, Videos oder vergleichbare Drittinhalte.

Technisch nicht notwendige Technologien werden erst aktiviert, nachdem Sie im Cookie-Banner eingewilligt haben.

Für die Einholung, Verwaltung und Dokumentation Ihrer Auswahl verwenden wir eine hausinterne Lösung.

Dabei können insbesondere Consent-ID, Zeitstempel, ausgewählte Kategorien und Anbieter, Version des Einwilligungstextes, Domain, Sprache, Browserinformationen und gegebenenfalls eine gekürzte oder gehashte IP-Adresse verarbeitet werden.

Zwecke: Einwilligungen einholen, nachweisen und technisch umsetzen; Widerrufe und Änderungen speichern.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit unserer Nachweispflicht nach Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für eine verlässliche Einwilligungsverwaltung. Technisch notwendige Speicherung erfolgt nach § 165 Abs. 3 TKG 2021.

Speicherdauer der Einwilligungsnachweise: 3 Jahre nach Widerruf oder Ablauf der Einwilligung.

Sie können Ihre Auswahl jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: Cookie-Einstellungen öffnen.

Eine aktuelle, dienst- und cookiebezogene Übersicht mit Anbietern, Zwecken und Laufzeiten finden Sie hier: Cookie-Details.

Ein Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

7. Kundenkonto, Registrierung und Anmeldung

Wenn Sie ein Kundenkonto anlegen, verarbeiten wir je nach Angebot:

Name und Kontaktdaten;
Rechnungs- und Lieferadressen;
E-Mail-Adresse und Telefonnummer;
Login-Kennung und technisch gesichertes Passwort;
Sprache und Kontoeinstellungen;
Bestell-, Zahlungs-, Versand- und Kommunikationshistorie;
Zeitpunkte von Registrierung und Anmeldungen;
Sicherheits- und Missbrauchsprotokolle.

Zwecke: Kontoerstellung, Authentifizierung, Verwaltung Ihrer Stammdaten, Anzeige früherer Bestellungen, vereinfachte Bestellabwicklung, Kommunikation und Kontosicherheit.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Kontosicherheit und Missbrauchsprävention.

Speicherdauer: bis zur Löschung des Kontos oder 3 Jahre nach der letzten Aktivität. Daten aus abgeschlossenen Bestellungen können aufgrund gesetzlicher Aufbewahrungspflichten oder zur Rechtsverteidigung länger gespeichert bleiben.

Eine Kontolöschung können Sie über Ihre Kontoeinstellungen veranlassen.

8. Bestellungen, Verträge und individualisierte Leistungen

8.1 Allgemeine Bestelldaten

Bei einer Bestellung verarbeiten wir insbesondere:

Vor- und Familienname;
Rechnungs- und Lieferanschrift;
E-Mail-Adresse und Telefonnummer;
bestellte Produkte oder Leistungen, Menge und Preis;
Gutscheine, Rabatte und Steuerinformationen;
gewählte Zahlungs- und Versandart;
Bestellnummer, Zeitpunkte und Bearbeitungsstatus;
Kommunikation, Reklamationen, Rücksendungen und Gewährleistungsfälle;
technische Daten zur Bestellung und Missbrauchsprävention.

Zwecke: Prüfung und Annahme der Bestellung, Vertragserfüllung, Herstellung oder Beschaffung, Zahlung, Versand, Kundenservice, Gewährleistung, Rückabwicklung, Buchhaltung und Rechtsverteidigung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugs- und Missbrauchsprävention und Rechtsverteidigung.

8.2 Fotos, Schlüssel-, Sicherungs- und Berechtigungsnachweise

Bei individualisierten Schlüsseln oder anderen sicherheitsrelevanten Produkten können wir zusätzlich verarbeiten:

Fotos eines Schlüssels oder Produkts;
Schlüsselnummern, Hersteller- und Systemdaten;
Fotos oder Scans von Sicherungs-, Eigentums- oder Berechtigungskarten;
Vollmachten, Bestätigungen oder sonstige Berechtigungsnachweise;
Namen und Kontaktdaten von Eigentümern, Hausverwaltungen, Arbeitgebern oder sonstigen Berechtigungsgebern;
Rückfragen und Prüfergebnisse unserer Fachmitarbeiter;
Metadaten hochgeladener Dateien, soweit sie technisch enthalten sind.

Diese Unterlagen können auch Daten anderer Personen enthalten. Bitte übermitteln Sie nur Daten und Dokumente, die Sie rechtmäßig bereitstellen dürfen, und schwärzen Sie nicht benötigte Angaben.

Zwecke: Identifikation des Produkts, Prüfung der Bestellberechtigung, Verhinderung unbefugter Vervielfältigung, Fertigung, Dokumentation der Freigabe und Bearbeitung von Rückfragen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz von Eigentümern und Schließsystemen, in der Verhinderung missbräuchlicher Bestellungen und in der rechtssicheren Auftragsbearbeitung. Soweit eine gesetzliche Prüf- oder Dokumentationspflicht besteht, gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Empfänger: intern nur zuständige Mitarbeiter; soweit für die Ausführung erforderlich außerdem Hersteller, Systemgeber, Lieferanten oder vom Berechtigungsgeber benannte Stellen.

Speicherdauer: Hochgeladene Nachweise und Bilder werden grundsätzlich bis 30 Tage nach vollständiger Auftragsabwicklung gespeichert. Erforderliche Prüfvermerke können zusammen mit den Vertragsunterlagen länger aufbewahrt werden. Nicht benötigte Metadaten werden nach Möglichkeit entfernt.

8.3 Alters- und Berechtigungsprüfung

Bei altersbeschränkten Produkten oder Services können wir Geburtsdatum, Altersstufe, das Ergebnis einer Altersprüfung, ein Identitätsmerkmal oder einen geeigneten Nachweis verarbeiten. Soweit möglich, verarbeiten wir nur die Information, ob eine maßgebliche Altersgrenze erreicht ist, anstatt das vollständige Geburtsdatum dauerhaft zu speichern.

Zwecke: Einhaltung von Produkt-, Jugend-, Gewerbe- und sonstigen Schutzvorschriften sowie Verhinderung unzulässiger Verkäufe.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO, soweit eine rechtliche Prüfungspflicht besteht, sowie Art. 6 Abs. 1 lit. f DSGVO für eine verantwortungsvolle und sichere Abwicklung. Ist die Altersprüfung für den Vertrag erforderlich, gilt ergänzend Art. 6 Abs. 1 lit. b DSGVO.

Die Prüfung kann – je nach Service – über ID Austria, EU-Login, einen vorgelegten Nachweis oder bei Übergabe der Ware erfolgen.

8.4 Empfänger im Rahmen der Vertragserfüllung

Daten erhalten nur Stellen, die sie für ihre Aufgabe benötigen, insbesondere:

Zahlungsdienstleister und Banken;
Versand-, Logistik- und Zustellunternehmen;
Hersteller, Lieferanten, Systemgeber und Fertigungspartner;
IT-, Hosting-, Support- und Kommunikationsdienstleister;
Steuerberatung, Wirtschaftsprüfung und Rechtsberatung;
Behörden und Gerichte bei rechtlicher Verpflichtung;
sonstige von Ihnen beauftragte oder ausdrücklich freigegebene Empfänger.

8.5 Aufbewahrung von Vertrags- und Rechnungsdaten

Buchungsbelege, Rechnungen und geschäftliche Korrespondenz speichern wir entsprechend den anwendbaren steuer- und unternehmensrechtlichen Pflichten grundsätzlich sieben Jahre, insbesondere nach § 132 BAO und § 212 UGB. Die Frist kann sich verlängern, wenn Unterlagen für ein anhängiges Verfahren, eine behördliche Prüfung, Gewährleistungs-, Schadenersatz- oder sonstige Rechtsansprüche erforderlich sind.

9.1 Unsere Rolle als Service Provider

Wir sind für bestimmte digitale Services als ID Austria Service Provider registriert. Je nach Service können Sie sich über ID Austria oder – bei grenzüberschreitender elektronischer Identifizierung – über den EU-Login beziehungsweise die eIDAS-Infrastruktur anmelden.

Beim Start der Anmeldung werden Sie zur offiziellen Identitätsinfrastruktur weitergeleitet. Die eigentliche Authentifizierung, insbesondere die Eingabe von Benutzerkennung, Signatur-Passwort, PIN, App-Freigabe, Sicherheitsfaktor oder biometrischer Gerätefreigabe, erfolgt dort. Wir erhalten weder Ihr ID-Austria-Passwort noch den privaten Signaturschlüssel oder die biometrischen Merkmale, mit denen Sie Ihr Endgerät entsperren.

Nach erfolgreicher Authentifizierung erhalten wir nur die für den konkreten Service konfigurierten und freigegebenen Daten sowie technische Nachweise über die erfolgreiche Anmeldung.

9.2 Mögliche Datenkategorien und Attribute

Abhängig vom jeweiligen Service können insbesondere folgende Daten verarbeitet werden:

Basis- und Identitätsdaten

Vorname;
Familienname;
Geburtsdatum;
Ausstellungsland beziehungsweise Herkunftsland der elektronischen Identität;
ein bereichs- oder servicespezifischer Personenidentifikator, insbesondere ein bPK oder eine vergleichbare Kennung.

Technische Authentifizierungsdaten

Authentifizierungslevel und ID-Austria-Level;
Typ der Identität;
Aussteller und Zeitpunkt der Authentifizierung;
Session-, Status- und Protokolldaten;
signiertes beziehungsweise verschlüsseltes Identitätstoken;
Signaturzertifikat und darin enthaltene Zertifikatsdaten, soweit für den Service erforderlich.

Weitere, dienstbezogene Attribute

Hauptwohnsitz beziehungsweise Meldeadresse;
Datum „gemeldet seit“;
Geschlecht;
Abbild der üblichen Unterschrift;
weitere aktive Wohnsitze;
Staatsangehörigkeit;
gegebenenfalls das Ergebnis einer Altersgrenzenprüfung.

Nicht alle genannten Daten werden bei jeder Anmeldung angefordert oder gespeichert. Wir fordern nur jene Attribute an, die für den jeweils bezeichneten Service erforderlich und im ID-Austria-Service-Provider-System freigeschaltet sind. Vor der Übermittlung zusätzlicher Attribute werden Ihnen die angeforderten Daten im Anmeldeprozess angezeigt, soweit dies vom ID-Austria-System vorgesehen ist.

Die Unterschrift wird nicht für eine biometrische Verhaltensanalyse verwendet. Ein Signaturzertifikat dient – sofern eingesetzt – der Prüfung der Zertifikats- oder Signaturinformation; einen privaten Signaturschlüssel erhalten wir nicht.

9.3 Besonderheiten des EU-Logins

Beim EU-Login wird regelmäßig ein europäischer Minimaldatensatz aus dem Staat der elektronischen Identität übermittelt. Dieser umfasst typischerweise:

Vorname;
Familienname;
Geburtsdatum;
einen eindeutigen elektronischen Identifikator.

Soweit eine zulässige Zuordnung zu einem österreichischen Registereintrag möglich ist und Sie die Übermittlung bestätigen, können weitere österreichische Attribute ergänzt werden. Dabei können der eIDAS-Knoten des Herkunftsstaates, der österreichische eIDAS-Knoten, das ID-Austria-System und angeschlossene Register am Authentifizierungsvorgang beteiligt sein.

9.4 Zwecke der Verarbeitung

Wir verwenden die übermittelten Daten – je nach Service – für:

sichere Registrierung und Anmeldung;
eindeutige Zuordnung zu einem Kundenkonto oder Vorgang;
Identitäts-, Alters-, Wohnsitz-, Staatsangehörigkeits- oder Berechtigungsprüfung;
Bereitstellung des angeforderten digitalen Services;
Verhinderung von Identitätsmissbrauch, Mehrfachkonten oder Betrug;
Prüfung elektronischer Zertifikate oder Signaturen;
Erfüllung gesetzlicher Identifizierungs- oder Dokumentationspflichten;
Protokollierung eines sicherheits- oder rechtsrelevanten Vorgangs.

Die konkret angebotenen ID-Austria-/EU-Login-Services sind: Eidesstattliche Erklärung zur Schlüsselbestellung.

9.5 Rechtsgrundlagen

Je nach Service beruht die Verarbeitung auf:

Art. 6 Abs. 1 lit. b DSGVO, wenn die Authentifizierung oder das Attribut für die Durchführung vorvertraglicher Maßnahmen oder die Erfüllung eines Vertrags erforderlich ist;
Art. 6 Abs. 1 lit. c DSGVO, wenn wir zu einer Identitäts-, Alters-, Wohnsitz- oder Berechtigungsprüfung gesetzlich verpflichtet sind;
Art. 6 Abs. 1 lit. f DSGVO, wenn ein sicheres Login, die eindeutige Kontozuordnung oder die Missbrauchsprävention in unserem berechtigten Interesse liegt und Ihre Interessen nicht überwiegen;
Art. 6 Abs. 1 lit. a DSGVO, wenn zusätzliche, für den Vertrag nicht zwingende Attribute nur aufgrund Ihrer Einwilligung verarbeitet werden;
Art. 9 Abs. 2 lit. a DSGVO, falls ein angefordertes Attribut im konkreten Fall besondere Kategorien personenbezogener Daten enthält und eine ausdrückliche Einwilligung erforderlich ist.

Für die Übermittlung von Attributen über den Minimaldatensatz hinaus ist außerdem § 4 Abs. 2 E-Government-Gesetz („E-GovG“) zu beachten. Die Freigabe im ID-Austria-Anmeldevorgang ersetzt nicht die Prüfung, ob wir die empfangenen Daten für den jeweiligen Zweck weiterverarbeiten dürfen.

9.6 Datenquellen nach Art. 14 DSGVO

Die Daten stammen je nach Anmeldung aus:

dem ID-Austria-System und der Stammzahlenregisterbehörde;
den für einzelne Attribute zuständigen österreichischen Registern;
dem eIDAS-Knoten des Staates, der Ihre elektronische Identität ausgestellt hat;
dem österreichischen eIDAS-Knoten;
technischen Authentifizierungs- und Zertifikatsdiensten.

9.7 Empfänger und Datenfluss

Das ID-Austria-/EU-Login-System erhält beim Start des Vorgangs insbesondere die Kennung unseres Services, die Rücksprungadresse, die konfigurierten Attributanforderungen und technische Kommunikationsdaten.

Nach erfolgreicher Anmeldung werden die freigegebenen Attribute an unsere Anwendung übermittelt. Innerhalb unseres Verantwortungsbereichs erhalten nur berechtigte Mitarbeiter und die für Betrieb, Hosting, Sicherheit oder Support eingesetzten Auftragsverarbeiter Zugriff. Eine Weitergabe an andere Empfänger erfolgt nur, wenn sie für den jeweiligen Service erforderlich, gesetzlich vorgeschrieben oder von Ihnen veranlasst ist.

Die für das ID-Austria-System, die angeschlossenen Register und die eIDAS-Knoten zuständigen Stellen verarbeiten Daten in eigener datenschutzrechtlicher Verantwortung. Nähere Informationen finden Sie in der Datenschutzerklärung von ID Austria.

9.8 Speicherung und Löschung

Kurzlebige Autorisierungs-Codes und Tokens werden nur für die technische Validierung verwendet und nach Ablauf oder Abschluss des Vorgangs verworfen.

Je nach Service können wir speichern:

den servicespezifischen Identifikator zur Wiedererkennung eines Kontos;
den Zeitpunkt und das Ergebnis der Authentifizierung;
das erreichte Authentifizierungsniveau;
die für den Service erforderlichen Attribute;
Prüf- und Freigabevermerke;
sicherheitsrelevante Protokolle.

Speicherdauer der übernommenen Attribute: 6 Monate.

Speicherdauer der Authentifizierungs- und Sicherheitsprotokolle: 6 Monate.

Wenn ein Attribut nur zur einmaligen Prüfung benötigt wird, speichern wir nach Möglichkeit lediglich das Prüfergebnis oder einen erforderlichen Nachweisvermerk und nicht das vollständige Attribut.

9.9 Berichtigung und Widerruf

Unrichtige Daten, die wir gespeichert haben, können Sie bei uns berichtigen lassen. Stammt die Unrichtigkeit aus einem behördlichen Register oder dem ID-Austria-System, muss gegebenenfalls auch die zuständige Quellstelle korrigiert werden. Informationen zu den verfügbaren Attributen und Quellregistern finden Sie unter Meine Personendaten.

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese mit Wirkung für die Zukunft widerrufen. Ist ein bestimmtes Attribut für den gewünschten Service rechtlich oder vertraglich zwingend erforderlich, kann der Service ohne dieses Attribut möglicherweise nicht erbracht werden. Darauf weisen wir vor oder während des jeweiligen Vorgangs hin.

10. Zahlungsabwicklung

10.1 Stripe Checkout

Für die Zahlungsabwicklung verwenden wir hauptsächlich Stripe Checkout. Anbieter für den Europäischen Wirtschaftsraum ist regelmäßig:

Stripe Payments Europe, Limited
1 Grand Canal Street Lower
Grand Canal Dock
Dublin, D02 H210
Irland

Bei Aufruf und Nutzung des Checkouts können insbesondere folgende Daten an Stripe übermittelt oder von Stripe erhoben werden:

Name, E-Mail-Adresse, Rechnungs- und gegebenenfalls Lieferadresse;
Bestellnummer, Betrag, Währung und Zahlungszweck;
gewählte Zahlungsmethode;
Geräte-, Browser-, IP-, Cookie- und Betrugspräventionsdaten;
Zahlungsinstrumentdaten, etwa Karten- oder Kontodaten;
Transaktionsstatus, Authentifizierungs- und Risikoinformationen.

Zahlungsinstrumentdaten werden in der Regel direkt in den Systemen von Stripe oder des jeweiligen Zahlungsanbieters eingegeben. Wir erhalten grundsätzlich keine vollständigen Kreditkartennummern oder Sicherheitscodes, sondern nur den Zahlungsstatus und begrenzte Transaktionsmetadaten.

Stripe kann Daten einerseits in unserem Auftrag zur technischen Zahlungsabwicklung und andererseits in eigener Verantwortung verarbeiten, insbesondere zur Erfüllung finanz- und aufsichtsrechtlicher Pflichten, zur Betrugsprävention, Sicherheit, Risikobewertung und Verbesserung eigener Zahlungsdienste.

Zwecke: Bereitstellung des Checkouts, Autorisierung, Durchführung und Zuordnung der Zahlung, Betrugsprävention, Rückerstattungen und Zahlungsnachweise.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Dokumentationspflichten. Sicherheits- und Betrugspräventionsmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Datenschutz bei Stripe.

10.2 Kreditkarten und weitere in Stripe angezeigte Zahlungsarten

Je nach Land, Betrag, Endgerät und Verfügbarkeit können in Stripe Checkout Kreditkarte, PayPal, Klarna und weitere Zahlungsmethoden angeboten werden. Die tatsächlich verfügbaren Methoden werden Ihnen im Checkout angezeigt.

Bei kartengebundenen Zahlungen können zusätzlich kartenausgebende Bank, Acquirer, Kartennetzwerk und ein 3-D-Secure-Authentifizierungsdienst Daten in eigener Verantwortung verarbeiten.

10.3 PayPal

Wenn Sie PayPal auswählen, werden für die Zahlungsabwicklung Daten an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, übermittelt oder von PayPal unmittelbar erhoben.

Dazu können Identitäts-, Kontakt-, Bestell-, Zahlungs-, Geräte-, Konto-, Sicherheits- und Risikodaten gehören. PayPal verarbeitet Daten in eigener Verantwortung nach den für Ihr PayPal-Konto geltenden Bedingungen.

Rechtsgrundlage für unsere Übermittlung: Art. 6 Abs. 1 lit. b DSGVO.

Weitere Informationen: Datenschutz bei PayPal.

10.4 Klarna

Wenn Sie eine Klarna-Zahlungsart auswählen, werden Daten an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, übermittelt oder von Klarna unmittelbar erhoben.

Klarna kann insbesondere Identitäts-, Kontakt-, Bestell-, Zahlungs-, Geräte- und Risikodaten verarbeiten und – abhängig von der Zahlungsart – eine Identitäts-, Betrugs- oder Bonitätsprüfung durchführen. Für diese eigene Prüfung ist Klarna verantwortlich. Wir erhalten in der Regel nur das Ergebnis beziehungsweise den Zahlungsstatus.

Rechtsgrundlage für unsere Übermittlung: Art. 6 Abs. 1 lit. b DSGVO. Soweit wir gesetzliche Nachweise aufbewahren müssen, gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Weitere Informationen: Datenschutz bei Klarna.

10.5 Vorkasse per Banküberweisung

Bei Vorkasse überweisen Sie den Rechnungsbetrag auf unser Bankkonto. Dabei erhalten wir von den beteiligten Banken insbesondere Name oder Kontobezeichnung des Zahlenden, IBAN oder eine gekürzte Kontokennung, Betrag, Buchungsdatum, Verwendungszweck und Transaktionsreferenz.

Zwecke: Zuordnung und Verbuchung der Zahlung, Vertragserfüllung und Buchhaltung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

10.6 Betrugs- und Risikoprüfung

Zahlungsanbieter können automatisierte Systeme zur Betrugs-, Identitäts-, Bonitäts- oder Risikoprüfung einsetzen. Solche Prüfungen erfolgen nach den Datenschutzhinweisen des jeweiligen Anbieters. Wir treffen selbst keine ausschließlich automatisierte Entscheidung nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt.

Wird eine Zahlung nicht autorisiert, können Sie – soweit angeboten – eine andere Zahlungsart wählen oder unseren Support kontaktieren.

10.7 Speicherdauer von Zahlungsdaten

Bei uns gespeicherte Zahlungsstatus-, Rechnungs- und Buchungsdaten werden grundsätzlich für die gesetzlichen Aufbewahrungsfristen von sieben Jahren und gegebenenfalls darüber hinaus für offene Ansprüche gespeichert. Zahlungsdienstleister bestimmen ihre eigenen Aufbewahrungsfristen nach den jeweils anwendbaren Finanz-, Geldwäsche-, Aufsichts- und Zivilrechtsvorschriften.

11. Versand und Zustellung

Für die Lieferung setzen wir insbesondere folgende Dienstleister ein:

Österreichische Post AG, Rochusplatz 1, 1030 Wien, Österreich;
DPD Direct Parcel Distribution Austria GmbH, Österreich.

Wir übermitteln – abhängig von der Sendung – insbesondere:

Name und Lieferanschrift;
E-Mail-Adresse und Telefonnummer, soweit für Zustellankündigung, Rückfragen oder Terminabstimmung erforderlich;
Bestell- und Sendungsreferenz;
Paketanzahl, Gewicht, Versandprodukt und Zustelloption;
bei alters- oder identitätsbezogener Übergabe: die für die Zustellanweisung erforderliche Prüfanforderung;
Zoll- und Inhaltsdaten bei grenzüberschreitendem Versand, soweit gesetzlich erforderlich.

Zwecke: Versand, Zustellankündigung, Sendungsverfolgung, Abliefernachweis, Retouren und Reklamationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Gesetzlich vorgeschriebene Zoll-, Gefahrgut- oder Nachweisdaten verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO. Soweit eine elektronische Zustellankündigung der reibungslosen Zustellung dient, kann ergänzend Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Bei internationalen Sendungen können Partnerunternehmen des Versanddienstleisters sowie Zoll- und Sicherheitsbehörden Empfänger sein.

Weitere Informationen: Datenschutz bei der Österreichischen Post und Datenschutz bei DPD.

12. Kontakt, Support und Zendesk

12.1 Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon, Kontaktformular oder auf anderem Weg kontaktieren, verarbeiten wir je nach Anfrage:

Name und Kontaktdaten;
Unternehmen oder Kundennummer;
Inhalt, Betreff und Zeitpunkt der Anfrage;
Anhänge und übermittelte Nachweise;
Bestell-, Vertrags- oder Servicereferenzen;
technische Formular- und Sicherheitsdaten;
Verlauf unserer Kommunikation und interne Bearbeitungsvermerke.

Zwecke: Bearbeitung und Beantwortung, Zuordnung zu einem Vorgang, Kundenservice, Missbrauchsschutz, Qualitätssicherung und Rechtsverteidigung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen oder vorvertraglichen Anfragen sowie Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen Anfragen und für eine effiziente, nachvollziehbare Bearbeitung. Gesetzliche Dokumentationspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: 3 Jahre nach Abschluss der Anfrage, sofern die Anfrage nicht Teil eines länger aufzubewahrenden Vertrags-, Gewährleistungs- oder Rechtsvorgangs wird.

12.2 Zendesk

Für Kontaktformulare und Supportverwaltung verwenden wir Zendesk. Anbieter ist je nach Vertragsgestaltung eine Gesellschaft der Zendesk-Unternehmensgruppe, insbesondere Zendesk, Inc. oder eine europäische Zendesk-Gesellschaft.

Zendesk verarbeitet in unserem Auftrag die von Ihnen eingegebenen Kontaktdaten, Nachrichten, Anhänge, Supporthistorie, technische Zugriffsdaten und Bearbeitungsinformationen. Zendesk kann Unterauftragsverarbeiter einsetzen.

Zweck: strukturierte, sichere und effiziente Bearbeitung von Kontakt- und Supportanfragen.

Rechtsgrundlagen: wie unter Abschnitt 12.1; Auftragsverarbeitung nach Art. 28 DSGVO.

Weitere Informationen: Datenschutz bei Zendesk.

12.3 Google reCAPTCHA / NoCaptcha

Zum Schutz von Formularen vor automatisierten Eingaben, Spam und Missbrauch können wir Google reCAPTCHA beziehungsweise NoCaptcha einsetzen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Dabei können insbesondere IP-Adresse, Referrer, Browser- und Geräteinformationen, Maus- und Tastaturinteraktionen, Zeitstempel, Cookies, Google-Kontoinformationen bei bestehender Anmeldung sowie weitere Sicherheitsmerkmale an Google übermittelt werden. Google kann die Daten auch auf eigenen Systemen verarbeiten.

reCAPTCHA wird nur aktiviert, wenn Sie der Kategorie „Sicherheit/externe Dienste“ oder einer entsprechend bezeichneten Kategorie im Consent-Manager zugestimmt haben. Ohne Einwilligung steht Ihnen als Alternative die Kontaktaufnahme per E-Mail, Telefon oder Post zur Verfügung.

Zwecke: Bot-Erkennung, Spam- und Missbrauchsschutz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Sie können die Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

Weitere Informationen: Datenschutz bei Google.

13.1 Anmeldung und Double-Opt-in

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir in der Regel:

E-Mail-Adresse;
gegebenenfalls Name, Sprache, Interessenkategorien oder bevorzugte Themen;
Zeitpunkt und IP-Adresse der Anmeldung;
Zeitpunkt und technische Daten der Bestätigung;
Einwilligungstext und dessen Version;
Abmelde- und Sperrstatus.

Nach der Anmeldung senden wir eine Bestätigungsnachricht. Erst nach Betätigung des Bestätigungslinks wird die Anmeldung aktiviert (Double-Opt-in).

Zwecke: Versand des gewünschten Newsletters, Personalisierung nach ausgewählten Interessen und Nachweis der Einwilligung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO sowie – für den Nachweis – Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Für elektronische Direktwerbung beachten wir außerdem § 174 TKG 2021.

13.2 Versand über Mailchimp

Für den Versand verwenden wir Mailchimp, einen Dienst der Intuit-Unternehmensgruppe. Mailchimp verarbeitet Empfängerdaten, Versandlisten, Kampagneninformationen, Zustellstatus und – soweit aktiviert und wirksam eingewilligt – Öffnungs- und Klickdaten.

Zweck: Newsletterversand, Zustellbarkeit, Listenverwaltung und technische Auswertung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Auftragsverarbeitung nach Art. 28 DSGVO.

Weitere Informationen: Datenschutz bei Mailchimp/Intuit.

13.3 Erfolgs- und Interaktionsmessung

Soweit wir Newsletter-Öffnungen und Linkklicks messen, können Pixel oder individualisierte Links eingesetzt werden. Dabei werden unter anderem Zeitpunkt, IP-Adresse, Browser, Gerät, Kampagne, geöffnete Nachricht und angeklickter Link verarbeitet.

Eine personenbezogene Erfolgs- oder Interaktionsmessung erfolgt nur, wenn hierfür eine wirksame Einwilligung vorliegt. Die Auswertung dient der technischen Optimierung und der Verbesserung unserer Inhalte.

13.4 Widerruf und Speicherdauer

Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder Newsletter-Nachricht oder durch Mitteilung an [email protected] widerrufen.

Nach der Abmeldung löschen oder anonymisieren wir die Versand- und Interaktionsdaten, soweit keine andere Rechtsgrundlage besteht. Eine minimale Sperrlisteninformation kann gespeichert bleiben, damit wir Ihre Abmeldung dauerhaft beachten. Nachweise der Einwilligung speichern wir 3 Jahre nach der Abmeldung.

14. Analyse, Conversion-Messung und personalisierte Werbung

Die in diesem Abschnitt genannten Dienste werden nur nach Ihrer Einwilligung über unsere Consent-Management-Plattform aktiviert. Ohne Einwilligung werden keine Analyse-, Marketing- oder Retargeting-Tags geladen.

Ihre Einwilligung ist freiwillig und kann jederzeit über die Cookie-Einstellungen widerrufen werden.

14.1 Google Tag Manager

Wir verwenden den Google Tag Manager von Google Ireland Limited, um Website-Tags zentral zu verwalten und entsprechend Ihrer Einwilligung auszulösen. Der Tag Manager dient nicht selbst als eigenständiges Analyseinstrument, kann jedoch beim Laden technische Verbindungsdaten wie IP-Adresse, Browserinformationen und Zeitstempel an Google übermitteln.

Zweck: einwilligungskonforme Verwaltung und Auslösung der in dieser Erklärung beschriebenen Tags.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

14.2 Google Analytics

Wir verwenden Google Analytics 4 von Google Ireland Limited.

Je nach Konfiguration können insbesondere verarbeitet werden:

pseudonyme Nutzer- und Gerätekennungen;
IP-Adresse und daraus abgeleitete ungefähre Region;
Seitenaufrufe, Ereignisse, Klicks, Scrollvorgänge und Verweildauer;
Referrer, Kampagnen- und UTM-Parameter;
Browser, Betriebssystem, Gerätekategorie und Sprache;
Such-, Warenkorb-, Bestell- und Conversion-Ereignisse;
Consent-Status und technische Fehlerdaten.

Wir erhalten Auswertungen und Berichte, jedoch grundsätzlich keine vollständige IP-Adresse als Berichtswert.

Zwecke: Reichweitenmessung, Verständnis der Nutzung, Fehler- und Conversion-Analyse, Optimierung von Inhalten, Navigation und Kampagnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Von uns konfigurierte Aufbewahrungsdauer für ereignisbezogene Daten: 2 Monate.

Weitere Informationen: Datenschutz bei Google und Informationen zu Google Analytics.

14.3 Google Ads, Conversion-Tracking und Remarketing

Wir verwenden Google Ads – früher Google AdWords – einschließlich Conversion-Tracking und, soweit freigegeben, Remarketing.

Dabei können Cookies, Pixel oder andere Kennungen eingesetzt und folgende Daten verarbeitet werden:

Anzeigen- und Kampagnenkennung;
angeklickte Anzeige und Zeitpunkt;
aufgerufene Seiten und Produktinteraktionen;
pseudonyme Browser-, Geräte- und Cookie-Kennungen;
IP-Adresse, technische Daten und ungefähre Region;
Käufe, Warenkorbwerte oder andere definierte Conversions.

Zwecke: Messung des Erfolgs unserer Werbung, Zuordnung von Conversions, Vermeidung unnötiger Anzeigen und Ausspielung interessenbezogener Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Weitere Informationen: Datenschutz bei Google und Google-Werbeeinstellungen.

14.4 Meta Pixel

Wir verwenden das Meta Pixel von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Das Pixel kann insbesondere verarbeiten:

aufgerufene Seiten und Produkte;
Klick-, Warenkorb-, Checkout- und Kaufereignisse;
Zeitpunkt, Referrer und Kampagnenparameter;
IP-Adresse, Browser, Gerät und Betriebssystem;
Cookie-, Pixel- und Werbekennungen;
gegebenenfalls von uns nach den Meta-Vorgaben gehashte Kontaktdaten, jedoch nur, wenn eine entsprechende Funktion tatsächlich aktiviert und von Ihrer Einwilligung gedeckt ist.

Zwecke: Conversion-Messung, Kampagnenanalyse, Zielgruppenbildung und Ausspielung relevanter Werbung auf Diensten von Meta.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Für die Erhebung und Übermittlung der Ereignisdaten über das Meta Pixel können wir mit Meta gemeinsam verantwortlich im Sinne von Art. 26 DSGVO sein. Die wesentlichen Pflichten sind in den Bedingungen von Meta für Business Tools geregelt. Für die anschließende Verarbeitung, Zusammenführung und Nutzung innerhalb der Meta-Dienste ist Meta grundsätzlich eigenständig verantwortlich.

Weitere Informationen: Datenschutz bei Meta, Informationen zur gemeinsamen Verantwortlichkeit und Meta-Werbeeinstellungen.

14.5 AdRoll Retargeting

Wir verwenden AdRoll, einen Dienst der NextRoll-Unternehmensgruppe, für Retargeting und Kampagnenmessung.

Dabei können Cookies, Pixel und Gerätekennungen verwendet und insbesondere verarbeitet werden:

besuchte Seiten und betrachtete Produkte;
Such-, Warenkorb- und Kaufereignisse;
Referrer und Kampagnenparameter;
IP-Adresse, Browser-, Geräte- und Betriebssystemdaten;
pseudonyme Werbe- und Cookie-Kennungen;
aus Interaktionen abgeleitete Interessenkategorien.

Zwecke: Messung von Werbekampagnen, Begrenzung der Anzeigenhäufigkeit, Zielgruppenbildung und interessenbezogene Werbung auf Websites und Werbenetzwerken Dritter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Weitere Informationen und Opt-out-Möglichkeiten: Datenschutz bei AdRoll/NextRoll und AdRoll-Opt-out.

14.6 Speicherdauer für Marketingdaten

Von uns in Analyse- oder Werbesystemen konfigurierte Daten werden grundsätzlich höchstens 14 Monate gespeichert oder früher gelöscht, wenn Sie Ihre Einwilligung widerrufen und keine andere Rechtsgrundlage besteht. Drittanbieter können Daten in eigener Verantwortung nach ihren veröffentlichten Aufbewahrungsregeln speichern.

14.7 Profilbildung

Analyse- und Werbeanbieter können aus pseudonymen Nutzungsdaten Interessen- oder Zielgruppenprofile bilden und diese mit Informationen aus ihren eigenen Diensten verknüpfen, wenn Sie dort angemeldet sind und die jeweiligen Einstellungen dies erlauben. Wir verwenden solche Profile nicht, um Entscheidungen zu treffen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen.

15. Google Maps

Auf Kontakt- oder Standortseiten können wir Google Maps von Google Ireland Limited einbinden.

Google Maps wird erst geladen, nachdem Sie über den Consent-Manager oder eine vorgeschaltete Aktivierungsfläche eingewilligt haben. Beim Laden können insbesondere IP-Adresse, Standort- oder Kartenausschnitt, Geräte- und Browserinformationen, Referrer, Cookies, Interaktionen mit der Karte und – bei bestehender Google-Anmeldung – Kontoinformationen an Google übermittelt werden.

Zwecke: interaktive Standortdarstellung, Routenplanung und erleichterte Anfahrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Ohne Einwilligung können Sie die im Impressum oder auf der Kontaktseite angegebene Anschrift in einem Kartendienst Ihrer Wahl öffnen.

Weitere Informationen: Datenschutz bei Google.

16. Vimeo Pro

Wir können Videos über Vimeo Pro von Vimeo.com, Inc. einbinden.

Vimeo-Inhalte werden erst nach Ihrer Einwilligung geladen. Dabei können insbesondere IP-Adresse, Browser-, Geräte- und Betriebssysteminformationen, Referrer, Videoaufrufe, Wiedergabeposition, Interaktionen, Cookies oder Gerätekennungen an Vimeo übermittelt werden. Wenn Sie bei Vimeo angemeldet sind, kann Vimeo den Abruf Ihrem Konto zuordnen.

Zwecke: Darstellung und Wiedergabe von Videos sowie technische Bereitstellung des Players.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021.

Wir verwenden datenschutzfreundliche Player-Einstellungen, soweit Vimeo diese anbietet. Weitere Informationen: Datenschutz bei Vimeo.

Wir verwenden keine Social Plugins wie „Gefällt mir“-, „Teilen“- oder vergleichbare Buttons, die bereits beim Seitenaufruf automatisch Daten an soziale Netzwerke übertragen.

Soweit wir auf Social-Media-Profile verlinken, handelt es sich um normale Links. Erst wenn Sie einen solchen Link anklicken, wird eine Verbindung zum jeweiligen Anbieter hergestellt. Für die dortige Verarbeitung ist der jeweilige Anbieter verantwortlich.

18. Auftragsverarbeiter, gemeinsame Verantwortliche und sonstige Empfänger

Wir setzen Dienstleister nur ein, soweit dies für die in dieser Erklärung genannten Zwecke erforderlich ist. Auftragsverarbeiter werden vertraglich nach Art. 28 DSGVO verpflichtet. Sie dürfen Daten grundsätzlich nur nach unserer Weisung verarbeiten.

Einzelne Anbieter – insbesondere Zahlungsdienste, Versandunternehmen, Werbeplattformen, ID-Austria-/eIDAS-Stellen und Behörden – verarbeiten Daten ganz oder teilweise als eigenständig Verantwortliche. Bei gemeinsam Verantwortlichen schließen oder akzeptieren wir Vereinbarungen nach Art. 26 DSGVO und stellen die wesentlichen Informationen bereit.

Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die die Daten für ihre Tätigkeit benötigen. Daten können außerdem an Rechtsanwälte, Steuerberatung, Wirtschaftsprüfung, Versicherungen, Inkassodienstleister, Sachverständige, Gerichte und Behörden übermittelt werden, wenn dies zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

19. Übermittlungen in Drittländer

Einige unserer Anbieter haben ihren Sitz oder Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA. Auch wenn wir europäische Rechenzentrumsregionen auswählen, kann ein Zugriff aus einem Drittland etwa für Support, Sicherheit oder Administration nicht in jedem Fall vollständig ausgeschlossen werden.

Eine Drittlandübermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je nach Empfänger stützen wir uns insbesondere auf:

einen Angemessenheitsbeschluss der Europäischen Kommission;
das EU-U.S. Data Privacy Framework, sofern der konkrete US-Empfänger wirksam zertifiziert ist;
Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO;
zusätzliche technische, organisatorische oder vertragliche Schutzmaßnahmen;
in Ausnahmefällen eine ausdrückliche Einwilligung oder eine andere Ausnahme nach Art. 49 DSGVO.

Informationen über die im Einzelfall verwendete Garantie und eine Kopie oder Beschreibung der maßgeblichen Schutzmaßnahmen können Sie unter [email protected] anfordern, soweit Rechte Dritter und Geschäftsgeheimnisse dem nicht entgegenstehen.

20. Speicherdauer und Löschkriterien

Soweit in dieser Erklärung keine konkrete Dauer genannt ist, speichern wir personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist.

Bei der Festlegung berücksichtigen wir insbesondere:

Dauer des Vertrags- oder Kundenverhältnisses;
gesetzliche Aufbewahrungs- und Dokumentationspflichten;
Gewährleistungs-, Schadenersatz- und Verjährungsfristen;
Erforderlichkeit für offene Verfahren, Rückfragen oder Sicherheitsvorfälle;
Umfang, Sensibilität und Risiko der Daten;
Widerruf einer Einwilligung oder berechtigten Widerspruch;
technische Backup- und Löschzyklen.

Nach Wegfall des Zwecks werden Daten gelöscht oder anonymisiert, sofern keine Aufbewahrungspflicht oder ein überwiegender Rechtsgrund entgegensteht. Daten in Backups werden nach dem regulären Überschreibzyklus innerhalb von 90 Tagen entfernt und bis dahin nur für Wiederherstellungs- und Sicherheitszwecke verwendet.

21. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie folgende Rechte:

21.1 Auskunft – Art. 15 DSGVO

Sie können eine Bestätigung verlangen, ob wir personenbezogene Daten über Sie verarbeiten, und Auskunft über diese Daten und die näheren Umstände der Verarbeitung erhalten.

21.2 Berichtigung – Art. 16 DSGVO

Sie können die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.

21.3 Löschung – Art. 17 DSGVO

Sie können die Löschung Ihrer Daten verlangen, wenn die gesetzlichen Voraussetzungen erfüllt sind und keine Aufbewahrungspflicht oder ein anderer zulässiger Grund entgegensteht.

21.4 Einschränkung – Art. 18 DSGVO

Sie können unter den gesetzlichen Voraussetzungen die Einschränkung der Verarbeitung verlangen.

21.5 Datenübertragbarkeit – Art. 20 DSGVO

Soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt, können Sie die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder – soweit technisch machbar – an einen anderen Verantwortlichen übertragen lassen.

21.6 Widerspruch – Art. 21 DSGVO

Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen eine Verarbeitung Widerspruch einlegen, die auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruht. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen die Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen Widerspruch einlegen. Dies gilt auch für ein damit verbundenes Profiling.

21.7 Widerruf einer Einwilligung – Art. 7 Abs. 3 DSGVO

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

21.8 Beschwerde bei einer Aufsichtsbehörde – Art. 77 DSGVO

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes.

Für Österreich:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich
Telefon: +43 1 52 152-0
E-Mail: [email protected]
Website: https://dsb.gv.at

21.9 Ausübung Ihrer Rechte

Richten Sie Ihr Anliegen an [email protected] oder an die Postanschrift des Verantwortlichen. Damit wir Daten nicht an Unberechtigte herausgeben, können wir bei begründeten Zweifeln zusätzliche Informationen zur Identitätsprüfung verlangen. Wir verwenden solche Nachweise nur zur Bearbeitung des Antrags und löschen sie, sobald sie nicht mehr erforderlich sind.

22. Pflicht zur Bereitstellung von Daten

Für den bloßen informatorischen Besuch müssen Sie grundsätzlich keine Daten aktiv angeben; technische Zugriffsdaten sind für die Übertragung und Sicherheit jedoch unvermeidbar.

Für Bestellung, Zahlung, Lieferung, Kundenkonto oder einen angeforderten Service müssen Sie jene Daten bereitstellen, die für Vertragsschluss, Vertragsdurchführung oder gesetzliche Pflichten erforderlich sind. Ohne diese Daten können wir den jeweiligen Vorgang möglicherweise nicht durchführen.

Bei freiwilligen Einwilligungen besteht keine Bereitstellungspflicht. Eine Verweigerung hat grundsätzlich nur zur Folge, dass die betreffende optionale Funktion – etwa Analyse, personalisierte Werbung, Karte, Video oder Newsletter – nicht genutzt werden kann.

Bei ID Austria oder EU-Login wird vor dem konkreten Vorgang erläutert, welche Attribute erforderlich sind. Sind sie zwingend für den Service, kann dieser ohne die Attribute nicht erbracht werden. Besteht eine alternative Zugangsmöglichkeit, wird sie beim jeweiligen Service genannt.

23. Automatisierte Entscheidungen

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen im Sinne von Art. 22 Abs. 1 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Zahlungsdienstleister können eigene automatisierte Risiko-, Betrugs- oder Bonitätsprüfungen durchführen. Informationen hierzu erhalten Sie in den Datenschutzhinweisen des jeweiligen Zahlungsdienstleisters.

24. Minderjährige und altersbeschränkte Angebote

Einzelne Produkte dürfen nur an Personen verkauft oder übergeben werden, die eine gesetzliche Altersgrenze erreicht haben. Wir können daher eine altersbezogene Prüfung verlangen. Minderjährige dürfen unsere allgemeinen Online-Angebote nur im Rahmen der anwendbaren gesetzlichen Vorschriften nutzen.

Nicht für Minderjährige bestimmte Marketing- oder Profilingdienste werden nicht bewusst auf Kinder ausgerichtet.

25. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Rechtsprechung, Behördenpraxis, Anbieter, technische Systeme oder unsere Verarbeitungsvorgänge ändern. Die jeweils aktuelle Fassung ist auf unseren Websites abrufbar.

Bei wesentlichen Änderungen informieren wir Sie in geeigneter Weise, etwa durch einen Hinweis auf der Website, im Kundenkonto oder per E-Mail, soweit dies erforderlich und möglich ist.

Präambel