Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für die Datenverarbeitung im Sinne des Art 4 Z 7 DSGVO ist:

Michael Jöbstl Einzelunternehmen, Inhaber: Michael Jöbstl Puchstrasse 145 8054 Graz Österreich

E-Mail: michaeljoebst87@gmail.com Telefon: 0660 4736784 (aus dem Ausland: +43 660 4736784) UID-Nummer: ATU79764514 Website: www.hochzeitsdruckwerk.at

Wenn ihr Fragen zum Datenschutz habt oder eure Rechte ausüben möchtet, wendet euch bitte direkt an diese Adresse oder an die oben genannte E-Mail-Adresse. Ein Kontaktformular gibt es auf unserer Website nicht – der Kontakt läuft ausschließlich über E-Mail, Telefon oder Post.

2. Für welche Websites diese Erklärung gilt

Wir betreiben vier Websites mit demselben Angebot und demselben Verantwortlichen:

- hochzeitsdruckwerk.at (deutsch) - hochzeitsdruckwerk.de (deutsch) - hochzeitsdruckwerk.com (englisch) - porocnitisk.si (slowenisch, Markenname „Poročni tisk“)

Diese deutschsprachige Fassung gilt für hochzeitsdruckwerk.at und hochzeitsdruckwerk.de. Für die englische und die slowenische Seite stellen wir dieselben Inhalte in der jeweiligen Sprache bereit. Verantwortlicher ist auf allen vier Domains dasselbe österreichische Einzelunternehmen mit Sitz in Graz, Österreich; die Domain hochzeitsdruckwerk.de bedeutet keine Niederlassung oder Zweigstelle in Deutschland. Technisch laufen alle vier Auftritte auf derselben Infrastruktur, die wir unten beschreiben.

3. Was wir bewusst nicht tun

Damit ihr den Rest dieser Erklärung richtig einordnen könnt, zuerst das, was bei uns nicht passiert:

- Wir setzen keine Analyse-, Statistik-, Tracking- oder Marketing-Dienste ein. Es gibt keine Zählpixel, kein Remarketing, keine Werbe-IDs und keine Reichweitenmessung. - Wir binden keine fremden Inhalte ein: keine Kartendienste, keine Videos, keine Social-Media-Plugins, keine externen Kommentar- oder Bewertungssysteme. - Schriftarten laden wir nicht von fremden Servern. Sie werden mit next/font bereits beim Erstellen der Seite eingebettet und von unserer eigenen Domain ausgeliefert. Beim Aufruf unserer Seite entsteht dadurch keine Verbindung zu Google. - Außer den beiden in Punkt 5 beschriebenen Cookies (dem Anmelde-Sitzungscookie und dem Einwilligungs-Cookie) speichern wir nichts im lokalen Speicher eures Browsers (kein localStorage-Profil, keine Fingerprinting-Techniken). - Wir versenden keinen Newsletter und keine Werbe-E-Mails. - Wir verkaufen, vermieten oder tauschen keine personenbezogenen Daten.

Technisch abgesichert ist das zusätzlich über eine Content-Security-Policy: Unsere Seiten dürfen Inhalte nur von unserer eigenen Domain und von unserem Datenbank-Dienst Supabase nachladen. Andere Quellen sind blockiert.

4. Aufruf der Website und Server-Protokolle

Unsere Website wird bei Vercel Inc. gehostet (Serverless-Funktionen und Edge-Netzwerk). Unsere Datenbank und die Anmeldefunktion laufen bei Supabase in der EU-Region Frankfurt.

Wenn ihr unsere Seiten aufruft, fallen bei diesen Dienstleistern automatisch technische Protokolldaten an – typischerweise IP-Adresse, Datum und Uhrzeit des Zugriffs, die angefragte Adresse sowie Status- und Fehlermeldungen. Diese Protokolle entstehen auf Plattformebene (Vercel-Plattformlogs, Supabase-Logs); eine eigene zusätzliche Protokollierung personenbezogener Daten haben wir nicht eingerichtet.

Zweck: Auslieferung der Website, Stabilität und Sicherheit des Betriebs, Erkennen und Nachvollziehen von Störungen und Missbrauch.

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse liegt im sicheren, funktionsfähigen Betrieb der Website. Wir werten diese Protokolle nicht zu Werbe- oder Analysezwecken aus und führen sie nicht mit euren Konto- oder Bestelldaten zusammen, solange kein konkreter Sicherheits- oder Fehlerfall dies erfordert.

Die Übertragung zwischen eurem Gerät und unserer Website erfolgt verschlüsselt (HTTPS/TLS).

5. Cookies und eure Einwilligung

Auf unserer Website erscheint beim ersten Besuch ein Cookie-Hinweis mit vier Kategorien: Notwendig, Statistik, Marketing und Externe Medien. „Alle akzeptieren“ und „Nur notwendige“ sind gleich groß und gleich gestaltet; die Ablehnung ist – ebenso wie die Zustimmung – mit einem einzigen Klick auf der ersten Ebene möglich. Keine optionale Kategorie ist vorausgewählt. Da wir derzeit keine Statistik-, Marketing- oder Einbindungsdienste für externe Medien einsetzen (siehe Punkt 3), führt die Auswahl dieser Kategorien aktuell zu keiner zusätzlichen Datenverarbeitung; wirksam gesetzt werden dadurch nur die folgenden zwei technisch notwendigen Cookies:

1) Sitzungs-Cookie der Anmeldung – Name: „sb-<project-ref>-auth-token“. Es wird technisch von unserem Datenbank- und Anmeldedienst Supabase gesetzt, und zwar nur, wenn ihr euch in einem Benutzerkonto anmeldet; es hält eure Sitzung aufrecht. Es ist sitzungsbezogen und technisch notwendig, damit die Anmeldung überhaupt funktioniert.

2) Einwilligungs-Cookie – Name: „hdw_consent“, Speicherdauer 365 Tage. Es wird von uns selbst gesetzt und enthält ausschließlich, welche Cookie-Kategorien ihr ausgewählt habt, die Version des Hinweises und einen Zeitstempel. Es enthält keine Nutzerkennung, keine ID und keine Daten, mit denen sich euer Gerät wiedererkennen ließe. Dieses Cookie brauchen wir, um eure Entscheidung zu dokumentieren und euch den Hinweis nicht bei jedem Aufruf erneut anzuzeigen.

Rechtsgrundlage: Für technisch notwendige Cookies stützen wir uns auf § 165 Abs 3 TKG 2021 (Speicherung, die für die Bereitstellung des von euch ausdrücklich gewünschten Dienstes unbedingt erforderlich ist) in Verbindung mit Art 6 Abs 1 lit b bzw. lit f DSGVO. Sollten wir künftig nicht notwendige Kategorien tatsächlich einsetzen, werden die entsprechenden Cookies ausschließlich nach eurer Einwilligung gemäß Art 6 Abs 1 lit a DSGVO und § 165 Abs 3 TKG 2021 gesetzt – vorangekreuzte Kästchen verwenden wir nicht.

Widerruf: Ihr könnt eure Entscheidung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, indem ihr den dauerhaft erreichbaren Link „Cookie-Einstellungen“ im Seitenfuß aufruft; die Änderung wirkt sofort. Alternativ könnt ihr das Cookie „hdw_consent“ auch manuell in eurem Browser löschen – dann erscheint der Hinweis bei eurem nächsten Aufruf erneut. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt (Art 7 Abs 3 DSGVO).

6. Benutzerkonto und Anmeldung

Ihr könnt ein Benutzerkonto anlegen. Die Registrierung und Anmeldung wird über Supabase Auth abgewickelt; die Daten liegen in der EU-Region Frankfurt.

Verarbeitete Daten: E-Mail-Adresse, Passwort, Zeitpunkte von Registrierung und Anmeldung sowie der Status eurer E-Mail-Bestätigung. Euer Passwort wird nicht im Klartext gespeichert; wir haben keinen Zugriff darauf.

System-E-Mails: Im Zusammenhang mit dem Konto versendet Supabase Auth automatisierte Nachrichten – konkret die Bestätigung eurer E-Mail-Adresse und E-Mails zum Zurücksetzen des Passworts. Ein darüber hinausgehendes E-Mail-System betreiben wir nicht.

Zweck: Bereitstellung des Kontos, Zuordnung eurer Gestaltungen und Bestellungen, Schutz vor unbefugtem Zugriff.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Erfüllung des Nutzungsverhältnisses, das ihr mit der Registrierung eingeht) und Art 6 Abs 1 lit f DSGVO für die Sicherheit des Kontos.

Löschung: Ihr könnt die Löschung eures Kontos jederzeit formlos per E-Mail verlangen. Wir löschen das Konto dann, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht – Bestell- und Rechnungsdaten müssen wir auch nach der Kontolöschung für die Dauer der steuerlichen Aufbewahrungsfrist behalten (siehe Punkt 11).

7. Gestaltung und Personalisierung eurer Produkte

Unsere Produkte sind personalisierte Hochzeitspapeterie und Dekor. Im Konfigurator gebt ihr die Inhalte ein, die später gedruckt oder gefertigt werden – zum Beispiel eure Namen, das Hochzeitsdatum, Wunschtexte oder Namen von Gästen.

Verarbeitete Daten: alle von euch eingegebenen Gestaltungs- und Personalisierungsinhalte samt der gewählten Produktoptionen sowie die daraus erzeugten Druck- bzw. Fertigungsdaten. Gespeichert werden diese Inhalte in unserer Datenbank bei Supabase (EU-Region Frankfurt).

Zweck: Darstellung eurer Vorschau, Fertigung des bestellten Produkts (hochwertiger Papierdruck, UV-Direktdruck auf zugekauften Rohlingen, 3D-Druck) sowie Rückfragen zu eurem Auftrag.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Erfüllung des Vertrags bzw. Durchführung vorvertraglicher Schritte auf eure Anfrage). Vor einer Bestellung gespeicherte Entwürfe verarbeiten wir auf derselben Grundlage bzw. – wenn ihr sie ohne Bestellabsicht aufhebt – nach Art 6 Abs 1 lit f DSGVO, damit ihr eure Arbeit nicht verliert.

Daten anderer Personen: Wenn ihr Namen oder Angaben von Gästen, Trauzeugen oder Angehörigen eingebt, verarbeiten wir diese ausschließlich zu dem von euch vorgegebenen Zweck – nämlich, um sie auf das bestellte Produkt zu bringen. Wir verwenden sie für nichts anderes, geben sie nicht zu Werbezwecken weiter und erstellen daraus keine Profile. Bitte gebt nur Angaben ein, zu deren Verwendung ihr berechtigt seid, und informiert die betroffenen Personen, wenn das nötig ist. Betroffene Personen können ihre Rechte nach Art 15 ff DSGVO direkt bei uns geltend machen (Art 14 DSGVO); wir bearbeiten solche Anfragen selbst und setzen uns dafür bei Bedarf mit euch als Auftraggeber in Verbindung.

8. Bestellung, Zahlung und Lieferung

Bestelldaten: Für eine Bestellung verarbeiten wir die von euch angegebene Rechnungsadresse (verpflichtend), die Lieferadresse, eure E-Mail-Adresse, den Bestellinhalt samt Personalisierung, den Gesamtbetrag und den Zahlungs- bzw. Bestellstatus. Alle Preise sind Bruttopreise in Euro und enthalten 20 % österreichische Umsatzsteuer. Geliefert wird ausschließlich an Lieferadressen in Österreich und Deutschland.

Zahlung über Stripe: Für die Zahlung werden wir euch auf die von Stripe gehostete Kassenseite unter checkout.stripe.com weiterleiten. Die Zahlungsdaten (insbesondere Kreditkartendaten) gebt ihr dort direkt bei Stripe ein. Wir binden kein Stripe-Skript in unsere eigenen Seiten ein und erhalten keine vollständigen Kartendaten. Von Stripe bekommen wir zurückgemeldet, ob eine Zahlung zustande gekommen ist, sowie die für die Zuordnung und Rechnungslegung nötigen Angaben. Stripe verarbeitet die dort eingegebenen Daten auch für eigene Zwecke und nach seinen eigenen Datenschutzbedingungen; auf diese Verarbeitung haben wir keinen Einfluss.

Aktueller Betriebsstand: Der Zahlungsablauf läuft derzeit im Testmodus von Stripe. Es werden keine echten Zahlungen ausgeführt und keine echten Kartendaten abgebucht.

Produktion und Versand: Die Produktion beginnt erst nach Zahlungseingang. Wir verwenden Name und Lieferadresse, um euch die bestellte Ware zuzustellen.

Rechtsgrundlagen: Art 6 Abs 1 lit b DSGVO für die Abwicklung des Kaufvertrags einschließlich Zahlung und Lieferung; Art 6 Abs 1 lit c DSGVO für die Aufbewahrung von Rechnungs- und Buchungsbelegen nach steuerrechtlichen Vorschriften (§ 132 BAO).

9. Kontaktaufnahme per E-Mail und Telefon

Ein Kontaktformular gibt es auf unserer Website nicht. Ihr erreicht uns per E-Mail, telefonisch oder per Post.

Schreibt ihr uns eine E-Mail, verarbeiten wir eure Absenderadresse, den Inhalt eurer Nachricht und allfällige Anhänge, um euer Anliegen zu beantworten. Ruft ihr uns an, verarbeiten wir die Angaben, die ihr uns im Gespräch mitteilt; Gespräche werden nicht aufgezeichnet.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO, wenn die Anfrage einen bestehenden oder angebahnten Vertrag betrifft, sonst Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: bis euer Anliegen abschließend erledigt ist und kein Klärungsbedarf mehr besteht. Betrifft die Korrespondenz eine Bestellung oder ist sie steuerlich relevant, gilt die Aufbewahrungsfrist nach § 132 BAO.

10. Empfänger, Auftragsverarbeiter und Drittlandbezug

Wir geben eure Daten nur weiter, soweit das für die oben genannten Zwecke nötig ist oder wir gesetzlich dazu verpflichtet sind. Eingesetzt werden:

- Vercel Inc. – Hosting, Serverless-Funktionen und Edge-Netzwerk für alle vier Domains. - Supabase – Datenbank, Speicherung eurer Konto-, Gestaltungs- und Bestelldaten sowie Anmeldung und Authentifizierung; Betrieb in der EU-Region Frankfurt. - Stripe – Zahlungsabwicklung über die von Stripe gehostete Kassenseite. - Behörden und Gerichte, soweit wir dazu gesetzlich verpflichtet sind.

Soweit diese Dienstleister Daten in unserem Auftrag und nach unseren Weisungen verarbeiten, geschieht das auf Basis eines Auftragsverarbeitungsvertrags nach Art 28 DSGVO.

Drittlandbezug – offen gesagt: Vercel Inc. und Stripe sind Unternehmen mit Sitz in den USA, auch wenn sie Infrastruktur in Europa betreiben. Unsere Datenbank liegt zwar in der EU-Region Frankfurt, dennoch lässt sich ein Zugriff aus den USA – etwa im Rahmen von Support, Wartung oder Störungsbehebung – nicht vollständig ausschließen. Wir behaupten daher nicht, es gäbe keinerlei Drittlandbezug. Für solche Übermittlungen stützen wir uns auf die Garantien nach Kapitel V der DSGVO, insbesondere auf die Standardvertragsklauseln der Europäischen Kommission gemäß Art 46 Abs 2 lit c DSGVO. Ein Restrisiko besteht darin, dass US-Behörden unter dortigem Recht Zugriff auf Daten verlangen können und die Rechtsschutzmöglichkeiten dagegen nicht jenen im EWR entsprechen. Nähere Informationen zu den mit diesen Anbietern vereinbarten Garantien erhaltet ihr auf Anfrage bei uns.

11. Speicherdauer und Sicherungskopien

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

- Server- und Plattformprotokolle: nur für die kurze, betrieblich erforderliche Dauer der Störungs- und Sicherheitsanalyse; die technische Aufbewahrung richtet sich nach den Vorgaben der Plattformen Vercel und Supabase. - Benutzerkonto samt gespeicherten Entwürfen: bis ihr das Konto löschen lasst. - Bestell-, Rechnungs- und Zahlungsdaten: sieben Jahre gemäß § 132 BAO, gerechnet ab Ende des jeweiligen Kalenderjahres. Während dieser Zeit sind die Daten in der Verarbeitung eingeschränkt und werden nur noch zur Erfüllung der Aufbewahrungspflicht und zur Abwehr oder Durchsetzung von Ansprüchen verwendet. - Personalisierungs- und Fertigungsdaten einer Bestellung: bis zur vollständigen Abwicklung des Auftrags und Ablauf der Gewährleistungs- bzw. Reklamationsabwicklung; steuerlich relevante Teile fallen unter die Frist nach § 132 BAO. - Einwilligungs-Cookie „hdw_consent“: 365 Tage. Anmelde-Cookie: nur für die Dauer eurer Sitzung.

Sicherungskopien: Unsere Dienstleister können im Rahmen ihres Plattformbetriebs Sicherungskopien der Datenbank erstellen. Löscht ihr Daten, verschwinden diese aus dem laufenden Betrieb sofort; in etwaigen Sicherungskopien können sie für eine gewisse Zeit erhalten bleiben. Bis zu deren Überschreiben sind sie in der Verarbeitung eingeschränkt und werden nur im Wiederherstellungsfall angefasst.

12. Eure Rechte

Ihr habt uns gegenüber folgende Rechte:

- Auskunft darüber, ob und welche Daten wir über euch verarbeiten (Art 15 DSGVO) - Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art 16 DSGVO) - Löschung (Art 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht - Einschränkung der Verarbeitung (Art 18 DSGVO) - Datenübertragbarkeit für Daten, die ihr uns bereitgestellt habt und die wir auf Grundlage eines Vertrags oder einer Einwilligung automatisiert verarbeiten (Art 20 DSGVO) - Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen – etwa Protokolldaten –, aus Gründen, die sich aus eurer besonderen Situation ergeben (Art 21 DSGVO) - Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art 7 Abs 3 DSGVO)

So geht ihr vor: Eine formlose Nachricht an michaeljoebst87@gmail.com oder an unsere Postanschrift genügt. Wir antworten grundsätzlich innerhalb eines Monats. Wenn wir begründete Zweifel an eurer Identität haben, dürfen und müssen wir zusätzliche Informationen zur Identifizierung verlangen (Art 12 Abs 6 DSGVO) – das dient eurem Schutz.

Beschwerderecht: Ihr könnt euch jederzeit bei einer Aufsichtsbehörde beschweren (Art 77 DSGVO, § 24 DSG). Zuständig ist für uns die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, E-Mail dsb@dsb.gv.at, www.dsb.gv.at. Habt ihr euren gewöhnlichen Aufenthalt, Arbeitsplatz oder liegt der Ort des mutmaßlichen Verstoßes in einem anderen Mitgliedstaat der EU oder des EWR – etwa in Deutschland –, könnt ihr euch auch an die dort für euch zuständige Datenschutz-Aufsichtsbehörde wenden.

Dass der Verantwortliche ein österreichisches Unternehmen ist, schmälert eure Rechte nicht: Die DSGVO gilt unmittelbar in der gesamten Europäischen Union, und zwingende Verbraucherschutzbestimmungen eures gewöhnlichen Aufenthaltsstaats stehen euch uneingeschränkt zur Verfügung.

13. Keine automatisierte Entscheidungsfindung, kein Profiling

Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die euch gegenüber rechtliche Wirkung entfalten oder euch in ähnlicher Weise erheblich beeinträchtigen (Art 22 DSGVO). Wir erstellen keine Nutzerprofile, personalisieren keine Preise und bewerten euer Verhalten nicht automatisiert.

Unabhängig davon führt Stripe im Rahmen der Zahlungsabwicklung eigene Prüfungen durch, um Zahlungsausfälle und Missbrauch zu verhindern. Diese Prüfungen finden auf den Systemen von Stripe statt und liegen außerhalb unseres Einflussbereichs.

14. Müsst ihr diese Daten bereitstellen?

Die Nutzung unserer Informationsseiten ist ohne Angabe personenbezogener Daten möglich.

Für ein Benutzerkonto brauchen wir eine gültige E-Mail-Adresse und ein Passwort. Für eine Bestellung brauchen wir die Personalisierungsangaben, eine Rechnungsadresse, eine Lieferadresse im Liefergebiet (Österreich oder Deutschland) sowie eine E-Mail-Adresse. Diese Angaben sind weder gesetzlich vorgeschrieben noch vertraglich zwingend vorgesehen – ohne sie können wir aber den Vertrag nicht abschließen und nicht erfüllen (Art 13 Abs 2 lit e DSGVO). Die Aufbewahrung der Rechnungs- und Buchungsdaten ist dagegen gesetzlich vorgeschrieben (§ 132 BAO).

15. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art 32 DSGVO, um eure Daten zu schützen. Dazu zählen insbesondere: verschlüsselte Übertragung (HTTPS/TLS), Zugriff auf die Datenbank nur über authentifizierte Verbindungen, Speicherung der Passwörter ausschließlich in nicht rückrechenbarer Form, eine Content-Security-Policy, die das Laden fremder Inhalte unterbindet, sowie der Verzicht auf jede nicht benötigte Datenerhebung. Der Zugriff auf Kunden- und Bestelldaten ist auf die Personen beschränkt, die ihn für die Abwicklung eurer Bestellung und den Betrieb der Website benötigen.

Einen absoluten Schutz kann niemand garantieren; eine Datenübertragung über das Internet kann Sicherheitslücken aufweisen.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienste oder die Rechtslage ändern – etwa wenn die Zahlungsabwicklung vom Testbetrieb in den Echtbetrieb wechselt oder ein weiterer Dienstleister hinzukommt. Es gilt jeweils die auf der Website veröffentlichte Fassung. Wesentliche Änderungen, die eine Einwilligung betreffen, holen wir erneut über den Cookie-Hinweis ein; die im Cookie „hdw_consent“ gespeicherte Versionsnummer dient uns zur Unterscheidung der Fassungen.

Stand dieser Fassung: 17. September 2026.