Datenschutz für Bestellungen über Online-Marktplätze

1. Verantwortlicher

Hummingbird FlexCo (Marken „Luft & Liebe“ und „Edition Colibri“), Postgasse 8b, 1010 Wien, Österreich. Firmenbuchnummer FN 630860 k, USt.-ID ATU80883037. E-Mail: info@hummingbird.at.

Ansprechpartner für Datenschutz: Dr. Satyanarain Rengarajan, Geschäftsführer, info@hummingbird.at. Einen Datenschutzbeauftragten im Sinne von Art. 37 DSGVO haben wir nicht bestellt, weil dafür keine gesetzliche Pflicht besteht.

2. Worum es geht

Wir verkaufen die Karten unserer Marken Luft & Liebe und Edition Colibri auch über Online-Marktplätze. Bei den meisten Bestellungen versendet der Marktplatz die Ware selbst; dann erhalten wir keine Adresse von Ihnen. Diese Hinweise betreffen vor allem personalisierte Kartensets, die wir selbst ausliefern lassen: Sie geben beim Bestellen Namen, Datum und einen Text ein, wir drucken genau diesen Text auf unser Design, und unsere Druckerei versendet die Karten direkt an Sie.

3. Welche Daten wir verarbeiten

Der Marktplatz, über den Sie bestellt haben, übermittelt uns über seine Verkäuferschnittstelle ausschließlich:

• Bestellnummer, bestellter Artikel, Menge und Preis,
• Lieferadresse (Name, Straße, Postleitzahl, Ort, Land),
• Ihre Personalisierung (die von Ihnen eingegebenen Namen, das Datum und den Kartentext).

Wir erhalten keine Zahlungsdaten, kein Passwort und keine Telefonnummer von Ihnen. Die Kommunikation mit Ihnen läuft ausschließlich über den Marktplatz.

4. Zweck und Rechtsgrundlage

Wir verwenden diese Daten nur, um Ihre Bestellung zu erfüllen: Druckdatei erstellen, drucken lassen, versenden, die Sendungsnummer an den Marktplatz melden und Rückfragen zu dieser Bestellung beantworten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); soweit wir Unterlagen aus steuerrechtlichen Gründen aufbewahren müssen, Art. 6 Abs. 1 lit. c DSGVO.

Wir nutzen Ihre Daten nicht für Werbung, Newsletter, Profilbildung oder automatisierte Entscheidungen, und wir verkaufen sie nicht.

5. Empfänger

• FLYERALARM PRO GmbH, Würzburg, Deutschland (Amtsgericht Würzburg, HRB 16253) — druckt Ihre Karten und versendet sie. Sie erhält Ihre Lieferadresse und die Druckdatei mit Ihrem Text, als Auftragsverarbeiter nach Art. 28 DSGVO.
• Versanddienstleister der Druckerei (derzeit UPS) — erhält Name und Lieferadresse für die Zustellung.
• Der Marktplatz, über den Sie bestellt haben — erhält von uns die Sendungsnummer zur Bestellung.
• Technische Dienstleister (Auftragsverarbeiter): Render Services, Inc. (Datenbank und Anwendung, Rechenzentrum Frankfurt am Main); ein Cloud-Speicheranbieter (verschlüsselte Dateiablage und Protokolle); Microsoft Ireland Operations Ltd. (E-Mail und Geräteverwaltung). Render Services, Inc. hat seinen Sitz in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission); ergänzend gelten die EU-Standardvertragsklauseln aus Renders Auftragsverarbeitungsvertrag.

Sonst geben wir Ihre Daten an niemanden weiter.

6. Speicherdauer

• Lieferadresse: automatisch gelöscht 30 Tage nach Versandbestätigung.
• Druckdatei mit Ihrem Text: automatisch gelöscht 90 Tage nach Versand.
• Datensicherungen: laufen spätestens nach 35 Tagen ab.
• Rechnungen erstellt der Marktplatz in unserem Namen und stellt sie Ihnen direkt in Ihrem Kundenkonto bereit.
• Buchhaltungsunterlagen (Bestellnummer, Artikel, Preis und Umsatzsteuerberichte) bewahren wir wegen der steuerrechtlichen Pflicht (§ 132 BAO) sieben Jahre auf.

7. Sicherheit

• Übertragung nur verschlüsselt (HTTPS/TLS).
• Speicherung nur in der EU, verschlüsselt (AES-256); Lieferadressen zusätzlich einzeln verschlüsselt.
• Zugriff auf Adressen haben nur zwei namentlich berechtigte Personen, jeweils mit persönlichem Konto und Zwei-Faktor-Anmeldung; jeder Zugriff wird protokolliert.
• Keine Adressen auf Laptops, USB-Sticks oder privaten Geräten; Tests laufen nur mit erfundenen Daten.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Schreiben Sie uns an info@hummingbird.at oder über die Nachrichtenfunktion des Marktplatzes.

Sie können sich außerdem bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at — oder bei der Behörde Ihres Wohnsitzlandes.

9. Datenpannen

Sollte es trotz aller Maßnahmen zu einer Verletzung des Schutzes Ihrer Daten kommen, informieren wir den Marktplatzbetreiber innerhalb von 24 Stunden, die Datenschutzbehörde innerhalb von 72 Stunden und Sie, wenn ein hohes Risiko für Sie besteht.

10. Änderungen

Wir passen diese Hinweise an, wenn sich unsere Abläufe ändern. Es gilt die jeweils hier veröffentlichte Fassung.