Datenschutzerklärung

Maison Haute Joie GmbH – Stand 1. Oktober 2026

Verantwortlicher ist die Maison Haute Joie GmbH, Wickenburggasse 13/5, 1080 Wien, Österreich. Sie erreichen uns telefonisch unter +43 660 5539660. Für Datenschutzanliegen und die Ausübung Ihrer Rechte wenden Sie sich bitte an privacy@maisonhautejoie.com.

1 Datenerfassung beim Besuch unserer Website

Beim Aufruf unserer Website werden technische Daten verarbeitet, die für die Übertragung und Darstellung der Inhalte sowie den sicheren Betrieb benötigt werden. Dazu gehören insbesondere die aufgerufene Seite oder Ressource, Datum und Uhrzeit, übertragene Datenmenge, die zuvor besuchte Seite, soweit Ihr Browser diese übermittelt, Browsertyp und -version, Betriebssystem und IP-Adresse.

Wir benötigen diese Daten für eine funktionierende, stabile und sichere Website sowie zur Fehleranalyse und Abwehr von Angriffen. Dies sind unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Die vollständige IP-Adresse wird für die technische Verbindung benötigt. Eine spätere Kürzung in Protokollen macht die Verbindung nicht anonym. Die beteiligten Dienstleister und Speicherregeln finden Sie in Kapitel 2.

Cookies sowie Analyse- und Marketingdienste können auch ohne Registrierung Daten verarbeiten. Dafür gelten die gesonderten Voraussetzungen in Kapitel 3 und 7.

2 Hosting und technische Dienste

2.1 Cloudbasierte Systeme für Shop und Geschäftsprozesse

Für Shop, Kunden-, Bestell- und Rechnungsverwaltung, Kommunikation und Auswertung nutzen wir cloudbasierte Systeme eines Anbieters für Unternehmenssoftware mit Sitz in Belgien. Dieser verarbeitet Daten in unserem Auftrag auf Basis eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) und setzt Dienstleister für Hosting, Datensicherung und Support ein.

Dies umfasst je nach genutzter Funktion unter anderem technische Betriebsdaten, Kunden- und Bestelldaten, Supportvorgänge und Newsletterdaten. Die Rechtsgrundlagen und Speicherregeln richten sich nach dem jeweiligen Zweck in dieser Erklärung. Für die technische Bereitstellung und Absicherung gilt Kapitel 1.

Die Datenbank wird in der europäischen Hostingregion betrieben. Ein europäischer Speicherort schließt Zugriffe aus anderen Ländern, etwa im Rahmen des Supports, nicht aus. Für entsprechende Übermittlungen gelten die vertraglichen Datenschutzgarantien, insbesondere die EU-Standardvertragsklauseln. Ergänzend gilt Kapitel 9.

Technische Protokolle werden gespeichert, soweit dies für Betrieb, Fehlerklärung, Sicherheit und gesetzliche Nachweise erforderlich ist. Für die in seinen Datenschutzhinweisen beschriebene Kategorie „Browser Data“ nennt der Softwareanbieter höchstens zwölf Monate; bei konkreten Sicherheits- oder Leistungsproblemen und gesetzlichen Anforderungen sind Ausnahmen möglich. Diese Frist gilt nicht allgemein für Shopdaten und Sicherungskopien.

Weitere Informationen zu den eingesetzten Empfängern und den für konkrete Übermittlungen geltenden Schutzgarantien erhalten Sie über privacy@maisonhautejoie.com.

2.2 Bunny.net zur Auslieferung von Inhalten

Für die Auslieferung von Medien und anderen statischen Inhalten nutzen wir das Content Delivery Network Bunny.net der BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien. Dabei werden insbesondere die IP-Adresse, angeforderte Ressource, Zeitpunkt des Abrufs und technische Verbindungsinformationen verarbeitet. Bunny.net ist insoweit unser Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse besteht in einer schnellen und zuverlässigen Bereitstellung der Inhalte.

Für die Auslieferung der Medien ist der EU-Routingfilter aktiviert. Andere Verarbeitungsschritte, etwa DNS oder Support, können auch außerhalb der EU stattfinden.

CDN-Zugriffsprotokolle werden mit gekürzter IP-Adresse drei Tage in der EU gespeichert. Dauerhafte Speicherung und zusätzliche Weiterleitung sind deaktiviert. Für die technische Verbindung wird weiterhin die vollständige IP-Adresse verarbeitet.

Auch E-Mail-Bilder können über das CDN abgerufen werden. Dabei entstehen technische Verbindungsdaten, gegebenenfalls vom Bildproxy Ihres E-Mail-Anbieters. Die personenbezogene Newsletter-Erfolgsmessung ist in Kapitel 7 beschrieben.

Weitere Informationen: Datenschutzhinweise von Bunny.net.

2.3 Cloudflare Turnstile

Zum Schutz der damit abgesicherten Formulare vor automatisierten und missbräuchlichen Eingaben nutzen wir Turnstile von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Ausgewertet werden technische Signale wie IP-Adresse, TLS-Verbindungsmerkmale, Browserkennung und die Zuordnung zur aufrufenden Website. Das erzeugte Prüfergebnis wird zusätzlich zwischen unserem Server und Cloudflare validiert.

Für den Schutz unserer Website verarbeitet Cloudflare Daten in unserem Auftrag. Unsere Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Abwehr von Bots und Missbrauch. Für die Weiterentwicklung der Bot-Erkennung verarbeitet Cloudflare Signale nach eigenen Angaben zusätzlich in eigener Verantwortlichkeit auf Grundlage eigener berechtigter Interessen.

Für Daten in unserem Auftrag endet die Aufbewahrung mit dem Zweck beziehungsweise Vertrag, vorbehaltlich gesetzlicher Ausnahmen. Für eigene Zwecke bestimmt Cloudflare die Dauer nach Sicherheitszweck, Datenart, Missbrauchsrisiko und gesetzlichen Anforderungen. Die kurze Gültigkeit des Prüftokens ist keine allgemeine Löschfrist.

Eine Verarbeitung in den USA ist möglich. Für vom EU-U.S. Data Privacy Framework erfasste Übermittlungen an Cloudflare gilt der entsprechende Angemessenheitsbeschluss; im Übrigen kommen die vertraglich vorgesehenen Übermittlungsgarantien zur Anwendung.

Weitere Informationen: Turnstile-Datenschutzhinweise, allgemeine Datenschutzhinweise von Cloudflare.

3 Cookies und vergleichbare Technologien

3.1 Technische Speicherung und Einwilligung

Unsere Website verwendet Cookies und ähnliche Speichertechnologien wie Local Storage und IndexedDB. Diese speichern je nach Funktion Sitzungsdaten, Einstellungen, Sicherheitsinformationen, Übersetzungs- und Versionsdaten oder einwilligungsabhängige Marketinginformationen.

Ohne Ihre Einwilligung dürfen wir Informationen auf Ihrem Gerät nur speichern oder auslesen, wenn dies für die Übertragung einer Nachricht oder einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 165 Abs. 3 TKG 2021). Das betrifft etwa Warenkorb, Sitzung und erforderliche Sicherheitsfunktionen. Ob Sprach- und Ländereinstellungen notwendig sind, hängt von Funktion und Speicherdauer ab.

Die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Rechtsgrundlage: Vertragserfüllung für Vertragsfunktionen, gesetzliche Pflichten für erforderliche Einwilligungsnachweise und berechtigte Interessen für notwendige Sicherheits- und Betriebsfunktionen (Art. 6 Abs. 1 lit. b, c beziehungsweise f DSGVO). Berechtigte Interessen ersetzen keine erforderliche Einwilligung in die Speicherung auf Ihrem Gerät.

Nicht notwendige Analyse- und Marketingverarbeitungen erfolgen auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit einschlägig, § 165 Abs. 3 TKG 2021. Sie können diese ablehnen und Kategorien getrennt auswählen. Die Einwilligungssteuerung betrifft sowohl Browserfunktionen als auch die in Kapitel 7 beschriebenen serverseitigen Verarbeitungen. Die Besucheranalyse in unseren cloudbasierten Systemen ist der Statistik-Auswahl, Meta Pixel und Conversions API sind der Marketing-Auswahl zugeordnet.

3.2 Cookiebot und Einwilligungsnachweise

Wir verwenden Cookiebot von Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark, zur Verwaltung und Dokumentation Ihrer Auswahl. Für die Verarbeitung in unserem Auftrag besteht ein Auftragsverarbeitungsvertrag. Zur Bereitstellung des Banners werden technische Daten wie Website-URL, Browsersprache, Browserkennung und IP-Adresse verarbeitet. Die Auswahl wird mit einer Einwilligungskennung und Angaben zum Erteilungszeitpunkt dokumentiert.

Das Cookie „CookieConsent“ speichert Ihre Auswahl regulär für zwölf Monate ab der Auswahl beziehungsweise ihrer erneuten Speicherung. Sie oder Ihr Browser können das Cookie vorher löschen. Der serverseitige Einwilligungsnachweis ist davon zu unterscheiden: Nach den Datenschutzhinweisen von Cookiebot werden Endnutzerdaten fortlaufend zwölf Monate nach ihrer Registrierung und bei Beendigung unseres Cookiebot-Vertrags gelöscht. Dies betrifft nicht automatisch gesondert von uns aufbewahrte Nachweise, für die Kapitel 9 gilt.

Wir dokumentieren Ihre Einwilligung, damit wir nachweisen können, dass Sie der jeweiligen Verarbeitung zugestimmt haben. Damit erfüllen wir eine gesetzliche Nachweispflicht (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Der technische Betrieb der Einwilligungsverwaltung dient unserem berechtigten Interesse, Ihre Auswahl zuverlässig umzusetzen (Art. 6 Abs. 1 lit. f DSGVO). Verbindungsdaten und Einwilligungsnachweise werden getrennt betrachtet.

Weitere Informationen: Datenschutzhinweise von Cookiebot.

3.3 Cookie-Richtlinie und Änderung Ihrer Auswahl

Details zu Technologien, Anbietern, Zwecken und Laufzeiten finden Sie in unserer Cookie-Richtlinie. Über die Cookie-Einstellungen können Sie Ihre Auswahl ändern oder Einwilligungen widerrufen. Ergänzende Angaben, insbesondere zu serverseitigen Übermittlungen, stehen in den jeweiligen Kapiteln dieser Erklärung.

Ein Widerruf berührt die Rechtmäßigkeit der Verarbeitung bis zu seinem Wirksamwerden nicht. Er führt auch nicht automatisch zur sofortigen Löschung aller erforderlichen Nachweise. Für Newsletter und Produktbenachrichtigungen bestehen die gesonderten Widerrufsmöglichkeiten in Kapitel 7.

4 Kontaktaufnahme Kundensupport und KI-Unterstützung

4.1 Bearbeitung Ihrer Anfrage

Wenn Sie uns beispielsweise über ein Kontaktformular, bonjour@maisonhautejoie.com oder service@maisonhautejoie.com kontaktieren, verarbeiten wir die von Ihnen übermittelten Angaben. Dies können Name, E-Mail-Adresse, Nachrichteninhalt, Anhänge und bei Bestell- oder Reklamationsanfragen insbesondere Bestellnummer, Produkt-, Liefer- und Zahlungsangaben sowie der bisherige Kommunikationsverlauf sein.

Wir bearbeiten Anfragen in unseren cloudbasierten Systemen und über unsere E-Mail-Infrastruktur. Nachrichten können im Postfach und Supportvorgang gespeichert werden. Vertragsbezogene Anfragen bearbeiten wir zur Vertragserfüllung oder Vorbereitung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO); andere Anfragen aufgrund unseres berechtigten Interesses an sachgerechter Kommunikation und Unterstützung (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen werden gespeichert, solange die Klärung, mögliche Rückfragen, gesetzliche Pflichten oder erforderliche Anspruchsnachweise dies verlangen. Ein geschlossener Supportvorgang ist nicht automatisch gelöscht; Einzelheiten stehen in Kapitel 9.

4.2 E-Mail-Infrastruktur

Für geschäftliche E-Mail-Kommunikation nutzen wir Microsoft 365, insbesondere Exchange Online, von Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Microsoft verarbeitet für uns insbesondere Absender- und Empfängerangaben, Betreff, Nachrichten, Anhänge und technische Zustellinformationen. Die Auftragsverarbeitung richtet sich nach dem Microsoft-Datenschutzvertrag. Für bestimmte eigene Betriebs- und Geschäftszwecke kann Microsoft nach seinen Vertragsbedingungen selbst verantwortlich sein.

Bestellbestätigungen und Rechnungen werden ebenfalls über diese E-Mail-Infrastruktur versendet. Die Rechtsgrundlage hängt vom Zweck der Nachricht ab. Vertragsnachrichten sind keine Einwilligung in Werbeerfolgsmessung; für Newsletter gilt Kapitel 7.1.

Ein europäischer Speicherort bedeutet keine ausschließlich europäische Verarbeitung. Mögliche Drittlandübermittlungen richten sich nach den einschlägigen Angemessenheitsbeschlüssen und vertraglichen Garantien, insbesondere den Standardvertragsklauseln. Weitere Informationen: Microsoft-Datenschutzhinweise, Microsoft-Datenschutzvertrag.

4.3 KI-gestützte Verarbeitung in cloudbasierten Systemen

Wir nutzen KI-Funktionen in unseren cloudbasierten Systemen zur Unterstützung unserer Mitarbeiter und Geschäftsprozesse.

Zwecke. KI unterstützt die Suche, Zusammenfassung und Übersetzung von Informationen, die Zuordnung und Priorisierung von Anfragen sowie die Vorbereitung von Antworten. Sie unterstützt außerdem Angebote, Bestellungen, Versand, Retouren und Reklamationen, die Aufbereitung von Dokumenten und die Erstellung von Website-, Produkt- und Kommunikationstexten. Eingerichtete Funktionen können Datenfelder ergänzen und Arbeitsschritte ausführen, etwa Anfragen zuordnen oder interne Aufgaben erstellen.

Daten. Je nach Aufgabe werden Eingaben, Anweisungen, relevante Gesprächsverläufe, Dokumente und Geschäftsdaten verarbeitet. Dazu können Namen, Kontaktdaten, Kunden- und Bestellnummern sowie Vertrags-, Liefer-, Rechnungs- und Reklamationsinformationen gehören. Auch Informationen aus eingerichteten Suchfunktionen können einfließen. Zweck und Zugriffsrechte begrenzen den Umfang; die gesamte Kundendatenbank wird nicht automatisch übermittelt.

Anbieter. Die Systeme nach Kapitel 2.1 binden je nach Funktion und Konfiguration Dienste von OpenAI und Google Gemini ein. Relevante Inhalte werden an den jeweiligen KI-Dienst übermittelt. Nach Angaben des Softwareanbieters nutzen seine KI-Agenten geschäftliche beziehungsweise API-Dienste; die dafür übermittelten Informationen werden nicht zum Modelltraining verwendet. Dies gilt nicht pauschal für Dokumentendigitalisierung und andere Zusatzdienste.

Weitere Informationen: OpenAI-Auftragsverarbeitungsbedingungen, Bedingungen der Gemini API und Google-Auftragsverarbeitungsbedingungen. Informationen zur Anbindung der KI-Dienste und den beteiligten Empfängern erhalten Sie über unseren Datenschutzkontakt.

Internationale Verarbeitung. KI-Dienste können Daten außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA, verarbeiten. Die geschäftlichen Vertragsbedingungen von OpenAI und Google sehen hierfür Standardvertragsklauseln beziehungsweise einschlägige Angemessenheitsbeschlüsse vor. Weitere Angaben und den Zugang zu Schutzgarantien finden Sie in Kapitel 9.

Rechtsgrundlagen. Erforderliche KI-Verarbeitung für Ihre Anfrage oder einen Vertrag erfolgt zur Vertragsanbahnung beziehungsweise Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Unterstützende Suche und Strukturierung dienen unserem berechtigten Interesse an zügiger, konsistenter Bearbeitung und weniger Fehlern, soweit Ihre Interessen und Grundrechte nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO). Jede zusätzliche KI-Verarbeitung muss gesondert gerechtfertigt sein.

Für einwilligungsbedürftige Analyse und Werbung bleibt Ihre Einwilligung erforderlich. KI erweitert weder deren Umfang noch die zulässigen Zwecke; hierfür gilt Kapitel 7.

Speicherung. Ausgangsdaten, Gesprächsverläufe und übernommene KI-Ergebnisse in unseren Systemen unterliegen den Speicherregeln des jeweiligen Vorgangs (Kapitel 9).

Beim KI-Dienst richtet sich die Speicherung nach Anfragebearbeitung, technischem Zwischenspeicher sowie Sicherheits- und Missbrauchsprüfungen. Sicherheitsvorfälle oder gesetzliche Pflichten können eine längere Speicherung erfordern. Eine einheitliche Frist gilt nicht für alle KI-Daten. Einzelheiten enthalten die jeweiligen Dienstbedingungen, die OpenAI-Speicherregeln und die Hinweise zur Missbrauchsüberwachung der Gemini API.

Die Rechte aus Kapitel 8 gelten auch für KI-Verarbeitung, insbesondere das Widerspruchsrecht bei berechtigten Interessen. Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung sind nicht vorgesehen.

5 Kundenkonto Google Anmeldung und Adressvorschläge

5.1 Kundenkonto

Ein Kundenkonto erleichtert Bestellungen und ermöglicht die Verwaltung Ihrer Daten sowie den Abruf zugeordneter Bestellinformationen und Dokumente. Dafür verarbeiten wir Name, E-Mail-Adresse, Anmeldedaten, Anschriften und Bestellinformationen zur Bereitstellung des gewünschten Kontos (Art. 6 Abs. 1 lit. b DSGVO).

Sie können auch ohne Kundenkonto als Gast bestellen. Die dafür erforderlichen Kontakt- und Bestelldaten werden dennoch gespeichert. Pflichtangaben sind in den Formularen gekennzeichnet; ohne sie ist die jeweilige Funktion nicht möglich.

Sie können Ihr Kundenkonto selbst online unter „Mein Konto → Verbindung & Sicherheit → Konto löschen“ löschen. Eine Nachricht an unseren Datenschutzkontakt ist dafür nicht erforderlich. Unterlagen, die wir noch zur Vertragsabwicklung, aufgrund gesetzlicher Pflichten oder für erforderliche Anspruchsnachweise benötigen, bleiben entsprechend den Regeln in Kapitel 6 und 9 gespeichert. Für die Ausübung weiterer Datenschutzrechte können Sie uns weiterhin kontaktieren.

5.2 Anmeldung mit Google

Alternativ können Sie die Anmeldung über Ihr Google-Konto verwenden. Für die Google-Kontoverwaltung und Authentifizierung im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, eigenständig verantwortlich. Wir sind für die Übernahme der Anmeldedaten in unser Kundenkonto verantwortlich. Ihr Google-Passwort erhalten wir nicht.

Bei der Google-Anmeldung übernehmen wir Name, E-Mail-Adresse und eindeutige Google-Konto-ID und speichern Anmeldeanbieter und technischen Zugriffstoken. Google kann zusätzlich Vor- und Nachnamen, E-Mail-Bestätigungsstatus, Sprache und einen Profilbild-Link übermitteln; diese Zusatzangaben werden nicht als eigene Kontofelder übernommen, das Profilbild wird nicht importiert. Google erfährt dabei von Ihrer Anmeldung in unserem Shop.

Wir verarbeiten die erforderlichen Anmeldedaten zur Bereitstellung der von Ihnen gewählten Anmeldung und des Kontos (Art. 6 Abs. 1 lit. b DSGVO). Google verwendet eigene Rechtsgrundlagen. Die reguläre Anmeldung bleibt möglich. Das Trennen der Google-Verbindung löscht weder Ihr Kundenkonto bei uns noch gespeicherte Bestelldaten.

5.3 Adressvorschläge mit Google Places

Google Places als Bestandteil der Google Maps Platform unterstützt die Adresseingabe durch Vorschläge. Bei der Eingabe werden Adressfragmente serverseitig an Google übermittelt; hinzu kommen je nach Abfrage Sprache, Länderbeschränkung und eine technische Kennung zur Zusammenfassung zusammengehöriger Anfragen. Die Vorschläge sind keine verbindliche Prüfung der Zustellbarkeit oder Ihres Wohnsitzes.

Die Vorschläge erleichtern die Adresseingabe und vermeiden Lieferfehler. Darin liegt unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Bereits beim Tippen können Daten übermittelt werden, auch wenn Sie keinen Vorschlag auswählen. Die manuelle Eingabe bleibt möglich. Die serverseitige Funktion wird nicht durch die Statistik- oder Marketingauswahl gesteuert.

Für europäische Nutzerdaten ist Google Ireland Limited nach den Google Controller-Controller Data Protection Terms eigenständig verantwortlich. Wir und Google sind jeweils für die eigenen Verarbeitungen verantwortlich. Davon zu unterscheiden ist der kommerzielle Vertragspartner Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland.

Für Google-Anmeldung und Google Places ist eine Verarbeitung außerhalb des EWR, insbesondere durch Google LLC in den USA, möglich. Für vom EU-U.S. Data Privacy Framework erfasste Übermittlungen gilt der entsprechende Angemessenheitsbeschluss; für andere Übermittlungen gelten die von Google beschriebenen weiteren Garantien, insbesondere Standardvertragsklauseln. Die Speicherung bei Google richtet sich nach dem jeweiligen Verarbeitungszweck und dessen Datenschutzhinweisen; die im Kundenkonto übernommenen Daten unterliegen unseren Speicherregeln.

Weitere Informationen: Google-Datenschutzerklärung, Google Controller-Controller Data Protection Terms, Google-Rahmenbedingungen für Datenübermittlungen.

6 Vertragsabwicklung Versand und Bezahlung

6.1 Bestellungen und Wertgutscheine

Zur Bearbeitung einer Bestellung verarbeiten wir insbesondere Name, Kontaktangaben, Rechnungs- und Lieferadresse, Produkte, Mengen, Preise, Zahlungs- und Lieferstatus sowie Bestell- und Transaktionsreferenzen. Dies dient der Vertragsabwicklung einschließlich Rechnungsstellung, Zahlungszuordnung, Lieferung, Erstattungen und Bearbeitung von Reklamationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für gesetzliche Dokumentations- und Aufbewahrungspflichten gilt Art. 6 Abs. 1 lit. c DSGVO. Für die zentrale Verwaltung nutzen wir cloudbasierte Systeme; hierzu gilt Kapitel 2.1.

Bei personalisierten Wertgutscheinen werden außerdem der Name und die E-Mail-Adresse der beschenkten Person, der Name des Schenkenden, die persönliche Nachricht und die gewählte Sprache verarbeitet, soweit diese für den Gutschein angegeben werden. Diese Angaben dienen der Erstellung und Zustellung des Gutscheins. Empfängerdaten können von der schenkenden Person stammen. Ihre Verarbeitung zur Durchführung der gewünschten Schenkung beruht auf Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse von uns und der schenkenden Person besteht in der Übermittlung und Nutzbarkeit des gewünschten Gutscheins. Die Angaben werden nicht allein deshalb für Werbung an die beschenkte Person verwendet.

Gültigkeit, Restguthaben und Einlösungen speichern wir, solange Gutschein, Abrechnung oder konkrete Ansprüche dies erfordern. Für Empfängeradressen und Grußnachrichten sind dagegen Zustellung, Rückfragen und konkrete Nachweise maßgeblich. Kaufbelege unterliegen den gesetzlichen Fristen in Kapitel 9.

6.2 Versand und Sendcloud

Zur Versandabwicklung übermitteln wir erforderliche Bestell- und Versanddaten aus unseren cloudbasierten Systemen an Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Niederlande. Sendcloud stellt die Versandplattform bereit und verarbeitet diese Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Die jeweils erforderlichen Daten werden an den beauftragten Beförderer weitergegeben, insbesondere die Österreichische Post AG, Rochusplatz 1, 1030 Wien, Österreich, oder DPD Direct Parcel Distribution Austria GmbH, Arbeitergasse 46, 2333 Leopoldsdorf, Österreich. Der für Ihre Sendung eingesetzte Dienst wird im Bestell- beziehungsweise Versandablauf angegeben. Beförderer verarbeiten Daten für ihre eigenen Beförderungsaufgaben grundsätzlich in eigener Verantwortlichkeit.

Übermittelt werden insbesondere Empfängername, Lieferadresse und Versandreferenzen sowie, entsprechend der Zustell- und Benachrichtigungsfunktion, E-Mail-Adresse oder Telefonnummer. Trackingnummern, Versand- und Zustellstatus werden zur Lieferabwicklung und Bearbeitung von Lieferanfragen zurückübermittelt. Versandbezogene Nachrichten dienen der Abwicklung der Lieferung und nicht zusätzlicher Werbung.

Wir verarbeiten Versanddaten zur Erfüllung Ihrer Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Für unsere Speicherung gilt Kapitel 9; Beförderer speichern nach ihren Aufgaben und gesetzlichen Pflichten. Weitere Informationen: Datenschutzhinweise zur Sendcloud-Plattform, der Österreichischen Post und von DPD Österreich.

6.3 Zahlungen über Stripe

Für die im Checkout angebotenen elektronischen Zahlungsarten nutzen wir Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Die verarbeiteten Angaben hängen von der gewählten Zahlungsart ab. Bei Kartenzahlungen gehören dazu insbesondere Karten- und Authentifizierungsdaten; bei EPS bankbezogene Zahlungsinformationen. Bei angebotenen Wallet-Zahlungen über Apple Pay oder Google Pay wirkt zusätzlich der jeweilige Wallet-Dienst mit und es werden insbesondere Zahlungs- beziehungsweise Kartentokens zur Durchführung der Zahlung verwendet.

Vertrauliche Zahlungsangaben werden unmittelbar über die Zahlungsdienste verarbeitet. Unsere Bestellverwaltung erhält insbesondere Betrag, Währung, Zahlungsstatus, Transaktionsreferenzen und gegebenenfalls gekürzte Angaben zur Zuordnung des Zahlungsmittels. Vollständige Kartenprüfnummern werden nicht in unserer Bestellverwaltung gespeichert.

Die Verarbeitung dient der Zahlung, dem Zahlungsabgleich, Erstattungen und der Bearbeitung von Zahlungsstreitigkeiten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit wir Daten zur Verhinderung und Aufklärung betrügerischer Vorgänge oder zur Abwehr von Ansprüchen verarbeiten, beruht dies auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist der Schutz vor missbräuchlichen Zahlungen und wirtschaftlichen Schäden. Gesetzliche Nachweispflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Stripe handelt je nach Verarbeitung als Auftragsverarbeiter oder selbst Verantwortlicher, insbesondere für eigene gesetzliche Pflichten und bestimmte Maßnahmen zur Betrugsprävention. Die Rechtsgrundlagen und Aufbewahrung für diese eigenen Zwecke werden von Stripe bestimmt. Eine Verarbeitung außerhalb des EWR ist möglich; hierfür gelten die von Stripe beschriebenen Übermittlungsgarantien, insbesondere einschlägige Angemessenheitsbeschlüsse oder Standardvertragsklauseln.

Weitere Informationen: Stripe-Datenschutzerklärung, Apple Pay und Datenschutz, Google Payments-Datenschutzhinweise.

6.4 Online-Rücktrittsfunktion

Wenn Sie unsere Online-Rücktrittsfunktion verwenden, verarbeiten wir die eingegebenen Kontakt- und Bestellangaben, den Inhalt und Umfang der Erklärung, betroffene Waren sowie Eingangszeitpunkt, Bestellzuordnung und Informationen zur Bestätigung und Bearbeitung. Pflichtangaben werden im Formular als solche kenntlich gemacht.

Die Daten werden zur Rückabwicklung Ihres Vertrags und zur Erfüllung gesetzlicher Bestätigungs- und Dokumentationspflichten verarbeitet (Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit den einschlägigen Vorschriften des FAGG). Eine Einwilligung ist dafür nicht erforderlich. Bestätigungen versenden wir über die E-Mail-Infrastruktur nach Kapitel 4. Die Speicherung richtet sich nach Abschluss, erforderlichen Nachweisen, offenen Ansprüchen und gesetzlichen Pflichten (Kapitel 9).

7 Marketing Newsletter und Webanalyse

7.1 Newsletter

Anmeldung und Personalisierung. Wir versenden Newsletter nach Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 174 Abs. 3 TKG 2021. Die Anmeldung wird durch eine Bestätigungs-E-Mail abgesichert: Erst nach der Bestätigung im Double-Opt-in-Verfahren wird das Abonnement aktiviert.

Die Anmeldung umfasst E-Mail-Adresse, Anrede beziehungsweise „keine Angabe“, Vorname, Nachname, Land, Sprache und Kundentyp. Die im Formular erforderlichen Angaben sind entsprechend gekennzeichnet. Freiwillige Angaben, insbesondere Geburtstag, Postleitzahl und Interessen, dienen der passenden Ansprache und Auswahl von Inhalten. Angaben zur Anmeldung, Bestätigung, Einwilligungstext und dessen Version sowie technische Nachweisdaten werden zur Dokumentation gespeichert. Die interessengerechte Auswahl anhand Ihrer Angaben und gegebenenfalls gesondert freigegebener Interaktionsdaten kann eine Profilbildung für Werbezwecke darstellen.

Unsere cloudbasierten Systeme verwalten Newsletterkontakte, Profile, Verteiler und Einwilligungsnachweise und erstellen Nachrichten (Kapitel 2.1). Den Versand übernimmt Mailjet SAS, 43, rue de Dunkerque, 75010 Paris, Frankreich, innerhalb der Sinch-Gruppe. Der Sinch-Datenschutzvertrag regelt die Auftragsverarbeitung. Bei E-Mail-Kommunikation und zugehörigen Betriebs-, Sicherheits-, Spam-, Betrugsabwehr- und Compliance-Funktionen verarbeitet Sinch Daten nach seinen Vertragsbedingungen auch in eigener Verantwortlichkeit.

Mailjet erhält über eine verschlüsselte Verbindung Empfänger- und Absenderangaben, Betreff, Nachrichteninhalt, individuelle Links, gegebenenfalls Anhänge und technische Nachrichtenkennungen. Weitere persönliche Daten erhält Mailjet nur, soweit sie in der Nachricht enthalten sind. Profile und Einwilligungsprotokolle werden nicht vollständig synchronisiert. Beim Versand entstehen Zustell- und Fehlerinformationen.

Mailjet nennt Frankfurt am Main und Saint-Ghislain in Belgien als Speicherstandorte; Sinch führt hierfür Google Cloud France SARL als Unterauftragsverarbeiter auf. Support und Konzerndienste können dennoch außerhalb des EWR stattfinden. Die Vertragsbedingungen sehen dafür Standardvertragsklauseln und, soweit einschlägig, den EU-US-Datenschutzrahmen vor.

Weitere Informationen: Mailjet-Datenschutzhinweise, Mailjet-Nutzungsbedingungen, Sinch-Datenschutzvertrag, Sinch-Unterauftragsverarbeiter.

Sie können gesondert in die personenbezogene Öffnungs- und Klickauswertung einwilligen. Die Auswahl ist freiwillig, nicht vorausgewählt und wird erst nach Bestätigung Ihrer Anmeldung aktiviert. Der Newsletter ist auch ohne Erfolgsmessung verfügbar.

Mit dieser Einwilligung erfassen unsere cloudbasierten Systeme über Zählpixel und individuelle Links Öffnungen und Klicks und ordnen sie Ihrem Newsletterkontakt zu. Dies hilft uns, Newsletter zu verbessern und Inhalte passend auszuwählen. Grundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und bei Gerätezugriff § 165 Abs. 3 TKG 2021). Ohne Zustimmung unterbleibt die personenbezogene Erfolgsmessung. Zusätzliches Mailjet-Öffnungs- und Klicktracking ist für diese Nachrichten deaktiviert; technische Zustellinformationen bleiben erhalten.

In Ihren Newsletter-Einstellungen können Sie die Erfolgsmessung unabhängig vom Bezug widerrufen. Der Abmeldelink beendet Newsletter und Tracking-Einwilligung. Alternativ schreiben Sie an privacy@maisonhautejoie.com. Wir dokumentieren Einwilligungen und Widerrufe. Die Cookie-Auswahl ersetzt diese Entscheidungen nicht.

Das Newsletterprofil wird nur für die erforderlichen Zwecke während des Abonnements genutzt. Unbestätigte Anmeldungen sind auf 60 Tage begrenzt. Nach Abmeldung bleiben erforderliche Nachweise und Sperrinformationen getrennt von Werbung gespeichert (Kapitel 9). Nach Widerruf dürfen Auswertungsdaten nicht allein auf Grundlage der früheren Einwilligung für neue personenbezogene Auswertungen genutzt werden.

7.2 Einmalige Produktbenachrichtigungen

Bei ausverkauften oder angekündigten Produkten können Sie eine einmalige E-Mail anfordern, sobald das konkret ausgewählte Produkt verfügbar ist. Mit der Eingabe Ihrer E-Mail-Adresse und dem entsprechend bezeichneten Button fordern Sie diese Benachrichtigung an. Danach erhalten Sie eine Bestätigungs-E-Mail; erst nach Betätigung des Bestätigungsbuttons auf der verlinkten Seite wird die Vormerkung aktiviert. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit einschlägig, § 174 Abs. 3 TKG 2021. Eine Newsletteranmeldung oder ein allgemeines Werbeprofil entsteht dadurch nicht.

Wir speichern E-Mail-Adresse, Produktvariante, Sprache, Anforderungs- und Bestätigungszeitpunkt, Status, Gültigkeit und Einwilligungstextversion. Die Verfügbarkeit wird stündlich geprüft. Benachrichtigt werden nur bestätigte, gültige und nicht widerrufene Vormerkungen; angekündigte Produkte müssen zusätzlich zum Verkauf freigegeben und bestellbar sein.

Sie können die Vormerkung über den Widerrufslink in der Bestätigungs-E-Mail oder über privacy@maisonhautejoie.com für die Zukunft widerrufen. Die aktive Vormerkung und noch ausstehende zugehörige Nachrichten werden dann entfernt.

Unbestätigte Anfragen laufen nach sieben Tagen ab. Bestätigte Vormerkungen enden mit erfolgreichem Versand, Widerruf oder spätestens 365 Tage nach Bestätigung. Die aktive Vormerkung und ausstehende Nachrichten werden anschließend entfernt; abgelaufene Datensätze werden bei der stündlichen Bereinigung gelöscht.

Um Anforderung, Bestätigung und Beendigung nachzuweisen, speichern wir getrennt einen pseudonymisierten E-Mail-Zuordnungswert, Produktbezug, Ereigniszeitpunkt und Einwilligungstextversion für 1.095 Tage ab dem Ereignis. Dies dient der gesetzlichen Einwilligungsnachweispflicht und erforderlichen Rechtsverteidigung (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 sowie Art. 6 Abs. 1 lit. f DSGVO). Die Daten sind nicht anonym und werden nicht für Werbung genutzt.

Bestätigungs- und Produktbenachrichtigungen enthalten keine Öffnungspixel oder Klicktracking-Umleitungen. Technische Versand- und Fehlerinformationen sind hiervon zu unterscheiden.

7.3 Google Analytics 4

Mit Ihrer Statistik-Einwilligung nutzen wir Google Analytics 4 von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, zur Auswertung der Nutzung unseres Shops und zur Verbesserung unseres Angebots. Verarbeitet werden insbesondere Seiten- und Nutzungsereignisse, technische Geräte- und Browserinformationen, ungefähre geografische Angaben und pseudonyme Kennungen. Die Verarbeitung einschließlich der dazu eingesetzten Cookies beruht auf Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Für die Verarbeitung in unserem Auftrag bestehen die entsprechenden Datenschutzvertragsbedingungen mit Google.

Google erklärt, dass GA4 IP-Adressen nicht protokolliert oder speichert. Sie können jedoch zuvor zur Ableitung geografischer Informationen verarbeitet werden. Die übrigen Analytics-Daten sind deshalb nicht automatisch anonym.

In unserer Analytics-Property ist die Aufbewahrung für Ereignisdaten auf zwei Monate und für Nutzerdaten auf 14 Monate eingestellt. Die Rücksetzung der nutzerbezogenen Frist bei neuer Nutzeraktivität ist aktiviert. Die Frist kann sich dadurch bei erneuter Aktivität verlängern. Diese Einstellungen gelten nicht gleichermaßen für aggregierte Standardberichte; Cookie-Laufzeiten sind ebenfalls davon zu unterscheiden.

Eine Übermittlung an Google LLC in den USA ist möglich. Hierfür gelten die in Kapitel 5 beschriebenen Google-Übermittlungsgarantien. Ihre Einwilligung können Sie über die Cookie-Einstellungen widerrufen. Weitere Informationen: Google-Datenschutzerklärung, Datenaufbewahrung bei Google Analytics.

7.4 Meta Pixel und Conversions API

Mit Ihrer Marketing-Einwilligung setzen wir Meta Pixel und die Meta Conversions API von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, ein. Das Pixel übermittelt Daten aus Ihrem Browser; über die Conversions API übermittelt unser Server Ereignisdaten an Meta. Vor der serverseitigen Weiterleitung wird die Cookiebot-Marketing-Auswahl geprüft. Ohne entsprechende Zustimmung erfolgt keine Weiterleitung über diese Schnittstelle.

Verarbeitet werden insbesondere Besuchs- und Kaufereignisse, betroffene Inhalte oder Produkte, Bestellwerte, Zeitpunkte, technische Kennungen wie „fbp“ und „fbc“, IP-Adresse und Browserkennung sowie, soweit vorhanden, in Hashwerte umgewandelte E-Mail-Adresse, Telefonnummer oder eine Kontaktkennung. Hashwerte sind keine Anonymisierung; sie können Meta die Zuordnung zu Nutzern ermöglichen.

Die Verarbeitung dient der Messung der Wirksamkeit unserer Werbung, der Zuordnung von Käufen zu Werbemaßnahmen und der Ausspielung beziehungsweise Optimierung interessenbezogener Werbung. Meta kann die Daten mit eigenen Nutzerdaten verknüpfen und für die beschriebenen Werbezwecke verarbeiten. Grundlage unserer Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO sowie für einschlägige Endgerätezugriffe § 165 Abs. 3 TKG 2021. Eine Bestellung ist keine Marketing-Einwilligung.

Für die Erhebung und Übermittlung von Ereignisdaten besteht nach dem Meta-Zusatz für Verantwortliche eine gemeinsame Verantwortlichkeit im dort geregelten Umfang. Die anschließende Verarbeitung durch Meta erfolgt grundsätzlich in dessen eigener Verantwortlichkeit. Der Zusatz regelt insbesondere die Zuständigkeiten für Information, Sicherheit und Betroffenenrechte; Sie können Ihre Rechte auch uns gegenüber geltend machen.

Eine Verarbeitung durch Meta Platforms, Inc. in den USA ist möglich. Soweit vom EU-U.S. Data Privacy Framework erfasst, beruht die Übermittlung auf dem Angemessenheitsbeschluss; im Übrigen gelten die einschlägigen vertraglichen Garantien. Die Dauer der eigenständigen Speicherung bei Meta richtet sich insbesondere nach Art und Zweck der Datenverarbeitung, der Nutzung der Meta-Dienste und gesetzlichen Erfordernissen. Ihre Einwilligung für unsere Übermittlungen können Sie über die Cookie-Einstellungen widerrufen.

Weitere Informationen: Meta-Datenschutzrichtlinie, Meta-Zusatz für Verantwortliche, Meta-Business-Tools-Bedingungen.

7.5 Besucheranalyse in cloudbasierten Systemen

Nach Ihrer ausdrücklichen Statistik-Einwilligung erfassen wir mit einer gesonderten Funktion unserer cloudbasierten Systeme Aufrufe ausgewählter öffentlicher Seiten. Die Freigabe wird zusätzlich serverseitig abgeglichen. Eine zufällige Sitzungskennung ermöglicht die pseudonyme Zuordnung der erfassten Aufrufe. Es erfolgt keine Verknüpfung dieser Aufzeichnungen mit Kontakten, Kundenkonten oder persönlichen Marketingprofilen. Produktdetailseiten, Kundenkonto- und Checkoutbereiche sind von dieser Funktion ausgenommen.

Wir werten diese Daten aus, um unser öffentliches Internetangebot zu verbessern. Grundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und bei Gerätezugriff § 165 Abs. 3 TKG 2021). Die Verarbeitung erfolgt in den cloudbasierten Systemen nach Kapitel 2.1.

Besucheraufzeichnungen werden 60 Tage nach Erstellung bei der täglichen Bereinigung gelöscht. Ein Widerruf in den Cookie-Einstellungen entfernt die aktuelle Sitzung und deren Seitenaufrufe. Andere Datenbestände, insbesondere notwendige Betriebsprotokolle, sind davon nicht erfasst.

8 Ihre Rechte

Ihre Rechte können Sie über privacy@maisonhautejoie.com oder unsere Postanschrift ausüben. Ihr Kundenkonto können Sie außerdem selbst online löschen (Kapitel 5.1). Nach den gesetzlichen Voraussetzungen haben Sie folgende Rechte:

• Auskunft und Kopie nach Art. 15 DSGVO über Ihre personenbezogenen Daten und die zugehörigen Verarbeitungsinformationen.

• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten nach Art. 16 DSGVO.

• Löschung nach Art. 17 DSGVO, soweit keine gesetzlichen Ausnahmen bestehen, insbesondere notwendige gesetzliche Aufbewahrung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

• Einschränkung der Verarbeitung nach Art. 18 DSGVO unter den dort genannten Voraussetzungen.

• Information über Empfänger nach Art. 19 DSGVO: Wir teilen Empfängern eine Berichtigung, Löschung oder Einschränkung mit, soweit dies nicht unmöglich oder unverhältnismäßig ist. Auf Verlangen informieren wir Sie über diese Empfänger.

• Datenübertragbarkeit nach Art. 20 DSGVO für von Ihnen bereitgestellte Daten, soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Soweit technisch machbar, können Sie die direkte Übermittlung an einen anderen Verantwortlichen verlangen.

• Widerruf einer Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Die jeweiligen Widerrufswege sind in den Kapiteln 3 und 7 beschrieben; eine Nachricht an unseren Datenschutzkontakt ist ebenfalls möglich.

Widerspruch gegen Verarbeitungen

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie nach Art. 21 Abs. 1 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Dies gilt auch für darauf gestütztes Profiling. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder benötigen die Daten für Rechtsansprüche.

Werden Ihre Daten für Direktwerbung verarbeitet, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen. Das gilt auch für Profiling, soweit es mit solcher Direktwerbung verbunden ist. Nach Ihrem Widerspruch werden die Daten nicht mehr für diese Zwecke verarbeitet.

Bearbeitung Ihrer Anliegen und automatisierte Entscheidungen

Wir beantworten Ihre Anträge grundsätzlich unentgeltlich und spätestens innerhalb eines Monats nach Eingang. Bei gesetzlich zulässiger Verlängerung um höchstens zwei weitere Monate informieren wir Sie innerhalb des ersten Monats über die Verlängerung und ihre Gründe. Bei begründeten Zweifeln an Ihrer Identität können wir die zur Bestätigung notwendigen weiteren Informationen anfordern. Die gesetzlichen Ausnahmen, insbesondere für offenkundig unbegründete oder exzessive Anträge, bleiben unberührt.

Wir treffen keine ausschließlich automatisierten Entscheidungen einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, im Sinne von Art. 22 DSGVO. Davon zu unterscheiden sind die beschriebenen einwilligungsabhängigen Werbe- und Auswertungsverfahren.

Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Sie können sich insbesondere an eine Behörde in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

Für unseren Sitz in Österreich ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, erreichbar unter dsb@dsb.gv.at; weitere Informationen finden Sie auf dsb.gv.at. Sie sind nicht verpflichtet, Ihre Beschwerde in Österreich einzubringen. Eine Übersicht, auch für Deutschland und Frankreich, finden Sie beim Europäischen Datenschutzausschuss.

9 Speicherdauer Empfänger und Datenübermittlungen

9.1 Zweckbezogene Aufbewahrung

Die Dauer der Speicherung richtet sich nach dem konkreten Verarbeitungszweck. Die besonderen Fristen und Kriterien für technische Dienste, Cookiebot, Newsletter, Produktbenachrichtigungen und Analyseverfahren finden Sie in den jeweiligen Kapiteln. Eine Kontoauflösung, Abmeldung oder Archivierung ist nicht mit der Löschung sämtlicher zu einer Person gespeicherter Daten gleichzusetzen.

Für Vertrags- und Supportdaten sind insbesondere der Abschluss der Leistung und Abrechnung, die Bearbeitung von Rücktritt oder Reklamation, offene Rückfragen sowie die Notwendigkeit von Nachweisen für konkret in Betracht kommende Ansprüche maßgeblich. Daten, die allein auf einer widerrufenen Einwilligung beruhen, dürfen danach nicht für diesen Zweck weiterverarbeitet werden. Soweit eine andere Rechtsgrundlage eine weitere begrenzte Speicherung erfordert, beschränkt sich diese auf die hierfür benötigten Angaben und Zwecke.

9.2 Gesetzliche Aufbewahrung und Nachweise

Geschäftsunterlagen, Bücher und Belege bewahren wir zur Erfüllung gesetzlicher Pflichten grundsätzlich sieben Jahre auf (§ 132 BAO, § 212 UGB; Art. 6 Abs. 1 lit. c DSGVO). Die Frist beginnt grundsätzlich am Ende des betreffenden Kalenderjahres. Sonderregeln für abweichende Wirtschaftsjahre und erforderliche Verlängerungen, etwa bei anhängigen Verfahren, bleiben bestehen.

Soweit Umsätze über den EU-One-Stop-Shop erklärt werden, sind die dafür erforderlichen Aufzeichnungen zehn Jahre, gerechnet vom Ende des Jahres der betreffenden Umsätze, aufzubewahren. Diese Sonderfrist gilt für die betreffenden OSS-Aufzeichnungen und nicht pauschal für sämtliche Kunden- oder Profildaten.

Einwilligungs- und Widerrufsnachweise speichern wir, soweit dies zur gesetzlichen Nachweispflicht erforderlich ist (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Darüber hinaus erforderliche Nachweise dienen unserem berechtigten Interesse an Rechtsverteidigung (Art. 6 Abs. 1 lit. f DSGVO). Die Dauer richtet sich nach Vorgang, Verarbeitungszeitraum, Verjährungsfristen und offenen Verfahren. Sperrinformationen verhindern erneute Werbung, solange die Adresse noch in relevanten Versandbeständen enthalten ist. Besondere Fristen stehen in Kapitel 7.

9.3 Löschung und Sicherungskopien

Entfallen Zweck und Aufbewahrungsgründe, löschen oder anonymisieren wir personenbezogene Daten durch eingerichtete Bereinigungsfunktionen oder Prüfung der Datenbestände. Nicht alle Daten werden automatisch gelöscht.

Sicherungskopien dienen der Wiederherstellung bei Datenverlust. Ihre Aufbewahrung richtet sich nach Sicherungszyklus und Erforderlichkeit. Die Löschung im laufenden System entfernt Daten nicht gleichzeitig aus allen Sicherungskopien. Diese dürfen nicht für neue Werbung oder andere unvereinbare Zwecke verwendet werden.

9.4 Empfänger und Übermittlungsgarantien

Neben den dienstbezogen genannten Empfängern können erforderliche Daten an Zahlungs- und Beförderungsunternehmen sowie, soweit für die jeweilige Aufgabe notwendig, an Steuer- und Rechtsberater und aufgrund gesetzlicher Verpflichtungen an Behörden übermittelt werden. Die Rechtsgrundlage richtet sich nach Vertragsabwicklung, gesetzlicher Verpflichtung oder unserem berechtigten Interesse an ordnungsgemäßer Beratung und Rechtsverteidigung. Auftragsverarbeiter handeln innerhalb der vereinbarten Weisungen; eigenständig Verantwortliche bestimmen für ihre Aufgaben eigene Zwecke und Aufbewahrungspflichten.

Bei einer Übermittlung personenbezogener Daten aus dem EWR in ein Drittland gelten zusätzlich die Anforderungen der Art. 44 ff. DSGVO. Soweit ein Angemessenheitsbeschluss nach Art. 45 DSGVO den Empfänger und die betreffende Verarbeitung erfasst, stützt sich die Übermittlung darauf. Das gilt bei US-Empfängern nur im Umfang einer einschlägigen Teilnahme am EU-U.S. Data Privacy Framework. Für andere Übermittlungen kommen insbesondere die vertraglich vereinbarten EU-Standardvertragsklauseln nach Art. 46 DSGVO und erforderliche ergänzende Maßnahmen zum Einsatz. Ein Sitz oder Rechenzentrum in der EU schließt Drittlandzugriffe nicht aus.

Informationen zu den für eine konkrete Übermittlung verwendeten Garantien sowie eine Kopie der einschlägigen Garantien können Sie über unseren Datenschutzkontakt anfordern. Ergänzend finden Sie weitere Informationen in den direkt verlinkten Hinweisen der jeweiligen Anbieter.