Datenschutzerklärung

1. Verantwortlicher und Kontakt

Bei Fragen zur Verarbeitung deiner Daten und zur Ausübung deiner Rechte kannst du dich direkt an Peter Heise wenden.

2. Website und Hosting mit Google Firebase

Wir verwenden Firebase Hosting, Cloud Functions, Cloud Firestore und Cloud Storage von Google. Europäische Google-Cloud-Vertragsgesellschaft ist Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Zur Google-Gruppe gehört Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Mit Google besteht eine Vereinbarung zur Auftragsverarbeitung.

Beim Seitenaufruf werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte URL, Browser-/Geräteinformationen, Antwortstatus und gegebenenfalls die zuvor besuchte Seite. Dies dient der Auslieferung, Fehlerdiagnose und Absicherung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein zuverlässiges und sicheres Onlineangebot.

Die Anwendungsfunktionen, die Bestelldatenbank und der private Druckdatei-Speicher sind in europe-west1 (Belgien) eingerichtet. Firebase Hosting liefert die statischen Seiten über ein weltweites Content Delivery Network aus. Die Regionalwahl bedeutet daher keine ausschließlich europäische Verarbeitung aller Verbindungs-, Support- und Dienstdaten.

Weitere Informationen: Datenschutz bei Firebase, Google Cloud: Auftragsverarbeitung und Firebase-Datenverarbeitungsbedingungen.

Interne Kundenverwaltung

Freigegebene Administratoren können Bestellungen, Kundenkontaktdaten, Lieferadressen, QR-Details und private Druckvorschauen in unserer internen Verwaltungsanwendung einsehen. Interne Kundennotizen sowie Zeitpunkt, Bearbeiter und Art einer Notizänderung werden in Cloud Firestore gespeichert. Diese Angaben dienen der Bearbeitung von Kundenanliegen und der Nachvollziehbarkeit interner Änderungen.

Die Administrator-Anmeldung erfolgt ausschließlich über Google mit Firebase Authentication. Dabei werden Google-Kontodaten und Anmeldeinformationen verarbeitet; die Anwendung hält die erforderliche Sitzung im Sitzungsspeicher des Administrator-Browsers. Eine Google-Anmeldung allein gewährt keinen Zugriff auf Kundendaten. Es werden keine zusätzlichen Analyse- oder Werbedienste eingebunden. Die unten beschriebenen Speicherdauerkriterien gelten auch für Notizen und Änderungsprotokolle.

3. Konfigurator, Browser-Speicher und QR-Code

Beim Konfigurieren verarbeiten wir den gewählten Spruch, Größe, Schnitt und dein QR-Ziel: Telefonnummer, Social-Media-Benutzername oder eine eigene Webadresse. Vor dem Absenden bleibt die Auswahl im geöffneten Browser. Beim Start des Checkouts werden der Entwurf und eine zufällige Vorgangskennung zusätzlich im Sitzungsspeicher des Browsers gespeichert, damit die Auswahl nach einem Abbruch wiederhergestellt werden kann. Nach bestätigter Zahlung entfernt die Ergebnisseite diesen Eintrag; andernfalls bleibt er für die Browsersitzung erhalten. Du kannst ihn auch über die Browserfunktionen löschen.

Dieser Sitzungsspeicher dient dem ausdrücklich gewünschten Checkout und fällt unter § 25 Abs. 2 Nr. 2 TDDDG. Auf den MOAGST-Seiten sind keine Analyse-, Werbe- oder Social-Media-Tracking-Skripte eingebunden. Schriften und Bilder werden über unser eigenes Hosting geladen. Auf der anschließend geöffneten Stripe-Seite gelten ergänzend die Hinweise von Stripe.

Mit dem Absenden speichern wir den Entwurf auf unserem Server und erzeugen eine eigene zufällige QR-Kennung je Shirt. Hinzu kommen Status, Zeitpunkte, Preis-/Steuerwerte, Zahlungsreferenzen und die Druckvorschau. Zur Missbrauchsabwehr verarbeiten wir zeitlich begrenzte, gehashte IP-Kennungen für Anfragelimits. Diese Kennungen sind nicht als anonym anzusehen.

Wir verarbeiten Bestell- und Konfigurationsdaten zur Anbahnung und Durchführung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO). Gesetzlich erforderliche Rechnungs- und Buchführungsdaten verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO. Ohne erforderliche Artikel-, Kontakt-, Liefer- und Zahlungsangaben können wir die Bestellung nicht ausführen. Sicherheitsmaßnahmen und Missbrauchsabwehr dienen unserem berechtigten Interesse an einem verlässlichen Angebot (Art. 6 Abs. 1 lit. f DSGVO).

Gedruckt wird eine Marken-URL mit zufälliger Kennung, nicht die Telefonnummer oder E-Mail-Adresse selbst. Ein aktivierter QR kann sein hinterlegtes Ziel jedoch jedem offenlegen, der ihn scannt oder kopiert. Verwende daher keine geheimen Links oder fremde Kontaktdaten. Der QR-Code wird nach Bestätigung der bezahlten Rechnung automatisch aktiviert. Der Betreiber kann ihn anschließend deaktivieren oder sein Ziel ändern. Je nach Einstellung öffnet ein aktiver Code direkt das gewählte Ziel oder eine MOAGST-Seite mit dem gedruckten Spruch, einem Kontaktbutton und einem Link zur Shirtgestaltung. Die MOAGST-Seite zeigt keine Bestell- oder Lieferdaten. Der Zielanbieter erhält die beim Aufruf üblichen Verbindungsdaten bei direkter Weiterleitung sofort, bei der Landingpage erst beim Öffnen des Kontaktlinks. Es werden keine eigenen Scanstatistiken erhoben. Die Auswahl eines Kanals allein lädt keine Inhalte von WhatsApp, Instagram oder Snapchat.

4. Stripe Checkout und Steuerberechnung

Die Konfiguration findet auf MOAGST statt. Erst wenn du den Checkout startest, erstellen wir eine Sitzung bei Stripe und leiten dich auf die von Stripe gehostete Zahlungsseite weiter. Beteiligt sind Stripe Payments Europe, Limited, sowie je nach Dienst Stripe Technology Europe, Limited und Stripe Technology Company, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland.

Stripe erhält Artikelbeschreibung, Größe, Betrag, Währung, Steuerkategorie und unsere Vorgangskennung. Dein persönliches QR-Ziel übermitteln wir nicht als Stripe-Metadatum. E-Mail, Name, Liefer-/Rechnungsadresse und Zahlungsangaben gibst du unmittelbar bei Stripe ein. Stripe verarbeitet außerdem technische Verbindungsdaten. Wir erhalten Status, Referenzen, E-Mail, Lieferanschrift und Steuerbeträge zurück; vollständige Kartennummern und Kartenprüfnummern werden in unserer Anwendung nicht gespeichert.

Stripe verarbeitet echte Zahlungen und erstellt Rechnungen. Rechtsgrundlagen sind die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und die Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Mit Stripe besteht eine Vereinbarung zur Auftragsverarbeitung. Stripe handelt abhängig vom Verarbeitungsvorgang als Auftragsverarbeiter oder als eigener Verantwortlicher, insbesondere bei eigenen Sicherheits- und gesetzlichen Pflichten.

Informationen zu Stripe, optionalen Zahlungsmethoden, Cookies, weiteren Empfängern und internationalen Übermittlungen: Stripe-Datenschutzerklärung, Stripe Privacy Center und Stripe-Datenverarbeitungsvereinbarung.

5. Kontakt, Vormerkungen und Brevo

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Kontaktdaten und den Inhalt deiner Anfrage zur Bearbeitung. Bei einer vorvertraglichen Anfrage erfolgt dies nach Art. 6 Abs. 1 lit. b DSGVO, sonst nach Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses, Anfragen zu beantworten.

E-Mails an support@moagst.de werden über Brevo empfangen und an eine Cloud Function im MOAGST-Firebase-Projekt übermittelt. Absender- und Antwortadresse, Empfänger, Betreff, Nachrichteninhalt, Eingangszeitpunkt, Spam-Bewertung und Bearbeitungsstatus werden in Cloud Firestore gespeichert; Anhänge bis jeweils 10 MB werden in einem privaten Cloud-Storage-Bereich gespeichert. Zugriff erhalten ausschließlich freigegebene Administratoren im MOAGST Manager. Antworten werden durch Administratoren ausgelöst, über Brevo versendet und mit Versand- und Zustellstatus dokumentiert. Die Verarbeitung dient der Bearbeitung deiner Anfrage auf den oben genannten Rechtsgrundlagen. Die unten beschriebenen Speicherdauerkriterien gelten auch für Support-Nachrichten, Anhänge und Antworten; es erfolgt keine automatische Anmeldung zu Marketinglisten.

Wird die unverbindliche Drop-1-Vormerkung angeboten, übermitteln wir deinen Shirt-Entwurf, das QR-Ziel, deine E-Mail-Adresse und die dokumentierte Einwilligung per E-Mail an den Betreiber. Grundlage für die gewünschte Drop-Benachrichtigung ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft über support@moagst.de widerrufen. Der Widerruf ändert nichts an der Rechtmäßigkeit der vorherigen Verarbeitung.

Für den Versand dieser E-Mails nutzen wir Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland, als Auftragsverarbeiter für Mailing. Mit Brevo besteht eine Vereinbarung zur Auftragsverarbeitung. Brevo verarbeitet die Empfänger-/Absenderdaten, den Nachrichteninhalt und Versandinformationen. Weitere Hinweise: Brevo-Datenschutz.

Die Vormerkung geht derzeit an ein Gmail-Postfach des Betreibers. Google verarbeitet dabei E-Mail-Inhalt und Kommunikationsdaten. Für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die zuständige Google-Gesellschaft; eine Verarbeitung durch Google LLC in den USA ist möglich. Hinweise: Google-Datenschutzerklärung. Die Vereinbarung für das Firebase-Hosting ist keine Aussage über eine gesonderte Vertragsabdeckung dieses Postfachs.

Der aktuelle Vormerkungsdienst übermittelt eine Nachricht an den Betreiber und sendet noch keine automatische Bestätigung an dich. Eine Bestellung löst keine Marketingeinwilligung aus. Bestellungen erhalten Bestell-, Zahlungs-, Rechnungs- und gegebenenfalls Versand- oder Erstattungsnachrichten über Brevo an die Checkout-E-Mail-Adresse. Dabei verarbeiten wir Bestellreferenz, Artikel, Name, E-Mail, Lieferanschrift, Beträge, Rechnungsbelege und bei Versand die Sendungsverfolgung. Rechtsgrundlage für Bestellkommunikation ist Art. 6 Abs. 1 lit. b DSGVO, für gesetzlich vorgeschriebene Bestätigungen Art. 6 Abs. 1 lit. c DSGVO. Zustellmeldungen und Fehler werden zur zuverlässigen Abwicklung gespeichert; wir werten keine Öffnungen oder Klicks aus. Interne Service-Nachrichten werden durch freigegebene Administratoren ausgelöst.

Elektronischer Widerruf

Bei Nutzung der Widerrufsfunktion speichern wir Name, E-Mail-Adresse, Vertragsangaben, Eingangszeitpunkt und Bearbeitungsstatus und senden dir eine Eingangsbestätigung über Brevo. Eine Kopie erhält support@moagst.de zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO für die Vertragsrückabwicklung. Zur Missbrauchsabwehr gelten begrenzte Anfragelimits auf Grundlage gehashter IP-Kennungen.

6. Shirtigo: Herstellung und Versand

Wir nutzen Shirtigo GmbH, Winterstraße 2a, 50354 Hürth, Deutschland, für Herstellung und Lieferung. Nach bestätigter Zahlung werden Artikel/Größe, eine Bestellreferenz und die Druckdatei mit individueller QR-Kennung an Shirtigo übertragen. Zusätzlich werden der Empfängername und die im Checkout angegebene Lieferanschrift einschließlich Adresszusätzen weitergegeben. Deine E-Mail-Adresse wird nicht an Shirtigo übertragen. Die Aufträge werden ausdrücklich auf „On Hold“ gesetzt. Sie werden nicht automatisch zur Produktion freigegeben. Die QR-Kennung kann bei aktiviertem QR-Code zum von dir gewählten Kontaktziel führen.

Eine Auftragsverarbeitungsvereinbarung mit Shirtigo besteht. Die Verarbeitung dient der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Shirtigo erhält die Druckdatei über einen zugangsbeschränkten Link mit sieben Tagen Gültigkeit; die Ablaufzeit des Links löscht keine bereits bei Shirtigo gespeicherte Kopie. Der Betreiber kann einen Auftrag nach eigener Prüfung und Bezahlung bei Shirtigo manuell zur Herstellung und Lieferung freigeben. Anbieterinformationen: Shirtigo-Datenschutz.

DHL-Sendungsverfolgung

Für die Abwicklung von DHL-Lieferungen fragen wir anhand der von Shirtigo erhaltenen Sendungsnummer den Versandstatus bei DHL ab. Dabei übermitteln wir keine zusätzlichen Namen, E-Mail-Adressen oder Lieferanschriften. Den bestätigten Versandstatus und die Ereignis- und Prüfzeitpunkte speichern wir zugriffsgeschützt in unserer internen Bestellverwaltung, um offene Lieferungen und Zustellprobleme zu erkennen. Die Verarbeitung dient der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen: DHL-Datenschutz.

Die aus der DHL-Schnittstelle gespeicherten Detaildaten werden nach 30 Tagen ab bestätigter Zustellung beim nächsten automatischen Abgleich entfernt. Ein interner Bearbeitungsvermerk „erledigt“ bleibt Bestandteil der Bestellverwaltung. Für Bestellunterlagen und die von Shirtigo übermittelten Versandreferenzen gelten die unten beschriebenen Speicherdauerkriterien.

7. Internationale Verarbeitung

Google, Stripe und die von ihnen eingesetzten Dienstleister können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA. Soweit kein anwendbarer Angemessenheitsbeschluss besteht, sehen die verlinkten Datenverarbeitungsbedingungen insbesondere EU-Standardvertragsklauseln und ergänzende Schutzmaßnahmen vor. Die Auswahl einer europäischen Speicherregion schließt solche Verarbeitung nicht vollständig aus. Informationen zu den jeweiligen Garantien und eine Kopie beziehungsweise Fundstelle erhältst du über die verlinkten Anbieterbedingungen oder auf Anfrage bei uns.

8. Speicherdauer und Löschung

Bestell-, Zahlungs-, QR-, Druck- und Kommunikationsdaten speichern wir so lange, wie dies für Vertragsabwicklung, den gewünschten QR-Dienst, Kundenanliegen, gesetzliche Aufbewahrungspflichten und die Klärung von Ansprüchen erforderlich ist. Gesetzlich aufbewahrungspflichtige Rechnungsdaten werden bis zum Ablauf der jeweils geltenden Frist aufbewahrt und dann gelöscht, sofern kein weiterer zulässiger Zweck besteht. Abgesehen von den hier beschriebenen technischen Löschroutinen besteht für übrige Daten derzeit keine automatische Löschroutine; Löschanfragen nimmt Peter Heise entgegen. Vorhandene Testdaten werden getrennt nach ihrem Testzweck beurteilt.

Die Anfragelimits im Checkout gelten stundenweise; ihre Datenbankeinträge sind zur technischen Löschung nach zwei Stunden vorgesehen, wobei die Datenbank sie zeitversetzt bereinigen kann. Betriebs- und Sicherheitsprotokolle unterliegen den konfigurierten Aufbewahrungsfristen der jeweiligen Google-Dienste und können zur Aufklärung konkreter Vorfälle länger erforderlich sein.

Vormerkungsdaten werden bis zur gewünschten Drop-Benachrichtigung oder einem früheren Widerruf benötigt. Danach werden sie gelöscht, soweit kein weiterer Zweck oder eine gesetzliche Pflicht besteht. Anfragen werden nach abschließender Bearbeitung gelöscht, soweit sie nicht zur Klärung offener Ansprüche oder aufgrund gesetzlicher Aufbewahrungspflichten benötigt werden. Einwilligungsnachweise können zur Rechtsverteidigung bis zum Ablauf der einschlägigen Verjährungsfrist aufbewahrt werden. Bei eigenverantwortlicher Verarbeitung durch Anbieter gelten zusätzlich deren verlinkte Hinweise.

9. Deine Rechte

Du kannst nach Maßgabe der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Datenübertragbarkeit verlangen. Einwilligungen kannst du jederzeit für die Zukunft widerrufen.

Widerspruch: Erfolgt eine Verarbeitung aufgrund berechtigter Interessen, kannst du aus Gründen deiner besonderen Situation widersprechen. Gegen die Verwendung für Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, etwa an deinem Wohnort, Arbeitsort oder am Ort eines vermuteten Verstoßes. Für private Unternehmen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, eine Anlaufstelle.

Wir setzen keine eigene automatisierte Entscheidungsfindung mit rechtlicher oder vergleichbar erheblicher Wirkung und kein eigenes Profiling ein. Informationen zu eigenständigen Verfahren von Stripe findest du in dessen Datenschutzhinweisen.