Datenschutz

Hier erfährst du, welche personenbezogenen Daten wir auf www.pyronation.at verarbeiten, wozu, wie lange und welche Rechte du hast. Grundlage sind die Datenschutz-Grundverordnung (DSGVO), das österreichische Datenschutzgesetz (DSG) und § 165 Telekommunikationsgesetz 2021 (TKG 2021). Wir haben den Shop so gebaut, dass er mit möglichst wenigen Daten auskommt: keine Werbenetzwerke, keine Social-Media-Plugins, keine Profilbildung.

01Verantwortlicher

PyroNation OG
Vertreten durch: Sebastian Ivancic und Alexander Pühringer (unbeschränkt haftende Gesellschafter)
Max-Gandolf-Straße 25
5201 Seekirchen am Wallersee, Österreich
E-Mail: info@pyronation.at
Telefon: +43 670 4055266

Einen Datenschutzbeauftragten müssen wir nicht bestellen. Für alle Fragen zum Datenschutz schreib bitte an die oben genannte E-Mail-Adresse.

02Hosting, Server-Protokolle und Datensicherung

Der Shop läuft auf einem von uns verwalteten Server bei Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Rechenzentrum in der EU); der Anbieter stellt die Infrastruktur als Auftragsverarbeiter nach Art. 28 DSGVO bereit. Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den übertragenen Status und die Kennung deines Browsers. Diese Daten brauchen wir, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Ein Zugriffsprotokoll über jeden einzelnen Aufruf führen wir nicht. In den Fehler- und Sicherheitsprotokollen des Servers kann deine IP-Adresse stehen, etwa wenn eine Anmeldung nach mehreren Fehlversuchen gesperrt wird; diese Protokolle löschen wir automatisch nach 14 Tagen, außer ein Sicherheitsvorfall muss länger untersucht werden. Die Verbindung ist durchgehend verschlüsselt (TLS).

Von der Shop-Datenbank legen wir täglich eine Sicherungskopie an, damit Bestellungen bei einem Ausfall nicht verloren gehen. Automatische Sicherungen werden nach 21 Tagen überschrieben; die Kopien liegen auf demselben Server und, sofern eingerichtet, verschlüsselt an einem zweiten Speicherort in der EU. Zusätzlich legt unser Hosting-Anbieter täglich ein Abbild des ganzen Servers an und bewahrt es 7 Tage auf; was wir löschen, ist darin also noch bis zu 7 Tage enthalten.

03Bestellung, Bezahlung, Abholung und Lieferung

Für deine Bestellung verarbeiten wir Vor- und Nachname, Anschrift (bei Vorkasse und Online-Zahlung steht sie auf der Rechnung; sonst gehört sie zu unseren Unterlagen zum Kaufvertrag, etwa für Rückfragen und Gewährleistung), E-Mail-Adresse, Telefonnummer (für Rückfragen zum Termin und am Liefertag), die bestellten Artikel, den gewählten Abholtermin bzw. Liefersonntag samt Bundesland und Lieferpauschale, die Zahlungsart, einen eingelösten Rabattcode, einen Vorteil aus „Freunde werben“ (Abschnitt 9), deine Bestätigung des Mindestalters, Bestellnummer, Zeitpunkt und den Status der Bestellung. Zweck ist die Erfüllung des Kaufvertrags samt Übergabe und Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO) sowie die Einhaltung des Pyrotechnikgesetzes (Art. 6 Abs. 1 lit. c DSGVO): Feuerwerk dürfen wir nur ab dem gesetzlichen Mindestalter abgeben, bei uns ab 16 Jahren, Artikel der Kategorie P1 ab 18 Jahren. Bei der Übergabe sehen wir uns deshalb deinen Lichtbildausweis an; wir kopieren oder speichern ihn nicht.

Wählst du Lieferung, ist deine Anschrift zugleich die Lieferanschrift, und wir nutzen deine Telefonnummer, um dich am Liefersonntag zu erreichen. Am Liefersonntag schicken wir dir eine E-Mail, sobald wir unterwegs sind. Für die Route öffnen wir die Lieferanschrift am Liefertag in einer Navigations-App auf unserem Smartphone, Google Maps (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) oder Apple Karten (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Dabei erhält der jeweilige Anbieter nur die Anschrift, nicht deinen Namen oder deine Bestellung; er verarbeitet sie in eigener Verantwortung nach seiner Datenschutzerklärung und kann sie in die USA übermitteln (beide Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert). Rechtsgrundlage ist die Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Pflichtangaben sind Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer und die Bestätigung des Mindestalters. Wir brauchen sie, um den Vertrag abzuschließen und zu erfüllen; ohne diese Angaben können wir deine Bestellung nicht annehmen. Alles andere, etwa ein Rabattcode, ist freiwillig.

Bestellst du per Telefon, WhatsApp, Instagram oder persönlich bei uns, tragen wir dieselben Angaben für dich in unser Bestellsystem ein – zum selben Zweck und auf derselben Rechtsgrundlage; vermerkt wird dazu, auf welchem Weg die Bestellung kam und wer von uns sie erfasst hat. Gibt es zu deiner E-Mail-Adresse ein bestätigtes Kundenkonto, erscheint die Bestellung dort. Nachrichten über WhatsApp oder Instagram laufen über die Dienste von WhatsApp Ireland Ltd. bzw. Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland), die sie in eigener Verantwortung nach ihren Datenschutzbestimmungen verarbeiten; wir nutzen diese Kanäle nur zur Abstimmung deiner Bestellung, Bestätigung und Unterlagen bekommst du per E-Mail. Zahlst du über den Online-Zahllink aus der Bestätigung, gilt für die Zahlung dasselbe wie bei der Online-Zahlung im Shop.

Ändern wir deine Bestellung auf deinen Wunsch oder mit deiner Zustimmung (siehe AGB), halten wir die Änderung fest: wer sie wollte, auf welchem Weg du zugestimmt hast (persönlich, Telefon, E-Mail, WhatsApp oder Instagram), eine Notiz oder deine Nachricht dazu (etwa den Text deiner E-Mail oder WhatsApp-Nachricht), unseren Vermerk, dass wir dir die Bedingungen vorher genannt haben, bei einem höheren Mindestalter deine Bestätigung des Alters (nur als Häkchen, kein Geburtsdatum), die Artikel und Beträge vor und nach der Änderung, den Ausgleich des Unterschieds (Erstattung oder Nachzahlung mit Frist und Stand) sowie den Zeitpunkt und wer von uns die Änderung erfasst hat. Die Änderung bestätigen wir dir per E-Mail. Rechtsgrundlage ist der Kaufvertrag, den wir damit ändern und erfüllen (Art. 6 Abs. 1 lit. b DSGVO); deine Nachricht bewahren wir außerdem auf, um nachweisen zu können, dass du der Änderung zugestimmt hast (Art. 6 Abs. 1 lit. f DSGVO). Diese Angaben gehören zu den Bestelldaten und werden mit ihnen sieben Jahre aufbewahrt (§ 132 Abs. 1 BAO, Art. 6 Abs. 1 lit. c DSGVO). Zahlst du einen Unterschied online nach oder erstatten wir ihn über Stripe, gilt dafür dasselbe wie für die Online-Zahlung.

Die Bestellbestätigung enthält einen persönlichen Link, mit dem du den Stand deiner Bestellung ohne Login abrufen kannst; der Link enthält eine zufällige Kennung und sollte nicht weitergegeben werden. Über ihn rufst du auch Rechnungen und Belege als PDF ab; der QR-Code auf der Rechnung führt zu derselben Seite. Wer den Link hat, kann die Bestellung nicht nur sehen, sondern auch etwa widerrufen — gib Rechnungen deshalb nur an Menschen weiter, denen du das zutraust. Ein Kundenkonto lässt sich darüber nicht anlegen: Den Link dafür schicken wir nur an die E-Mail-Adresse der Bestellung. Bestell-, Zahlungs- und Belegdaten bewahren wir sieben Jahre ab dem Ende des Kalenderjahres auf, weil das Steuerrecht das verlangt (§ 132 Abs. 1 BAO, Art. 6 Abs. 1 lit. c DSGVO); sind sie für ein laufendes Abgabenverfahren von Bedeutung, auch darüber hinaus.

Zahlungsdienstleister

• Online-Zahlung (Stripe): Wählst du Karte, Apple Pay, Google Pay, Klarna, PayPal oder EPS, läuft die Zahlung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Wir übermitteln dazu Bestellnummer, Betrag und deine E-Mail-Adresse; deine Karten- oder Kontodaten gibst du direkt bei Stripe ein, wir erhalten sie nie. Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung, etwa zur Betrugsprävention, und kann sie an Stripe, Inc. in den USA übermitteln; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Bei Klarna (Klarna Bank AB, Schweden), PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg), Apple Pay (Apple Distribution International Ltd., Irland) und Google Pay (Google Ireland Ltd.) gelten zusätzlich die Datenschutzerklärungen dieser Anbieter, die du im Zahlungsvorgang siehst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Vorkasse: Überweist du den Betrag, sehen wir auf unserem Kontoauszug deinen Namen, deine IBAN und den Verwendungszweck. Diese Daten unterliegen der siebenjährigen Aufbewahrung.
• Barzahlung bei Abholung: Dabei fallen keine zusätzlichen Daten an.

E-Mail-Versand (Resend)

Alle E-Mails des Shops verschicken wir über den Versanddienst Resend (Resend, Inc., San Francisco, USA) als Auftragsverarbeiter: Bestellbestätigung, Bestätigungen von Änderungen deiner Bestellung und Statusmeldungen, einmalig eine Erinnerung, wenn du eine begonnene Online-Zahlung nicht abgeschlossen hast (mit dem Link zur Bezahlseite, solange die Bestellung noch nicht verfallen ist), Eingangsbestätigungen für Widerruf und Kontaktformular, den Bestätigungslink für den Newsletter, Mystery-Codes, Einladungslink, Guthaben-Code und Guthaben-Hinweise aus „Freunde werben“ sowie Passwort-Links und Hinweise zu deinem Kundenkonto. Resend erhält dazu deine E-Mail-Adresse und den Inhalt der jeweiligen Nachricht. Grundlage ist der Auftragsverarbeitungsvertrag von Resend, der mit den Nutzungsbedingungen gilt. Für die Übermittlung in die USA ist Resend nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich enthält der Vertrag die EU-Standardvertragsklauseln. Rechtsgrundlage ist die der jeweiligen Verarbeitung, bei Bestellungen samt der Erinnerung an eine offene Zahlung Art. 6 Abs. 1 lit. b DSGVO.

Widerrufsfunktion

Widerrufst du einen Vertrag über den Button „Vertrag widerrufen“, speichern wir Name, E-Mail-Adresse, Bestellnummer bzw. deine Angaben zum Vertrag, bei einem Teilwiderruf die ausgewählten Artikel, eine freiwillige Nachricht sowie Datum und Uhrzeit des Eingangs und schicken dir die gesetzlich vorgesehene Eingangsbestätigung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem FAGG, Art. 6 Abs. 1 lit. b DSGVO). Diese Daten bewahren wir gemeinsam mit den Bestelldaten auf. Passt die angegebene E-Mail-Adresse nicht zur Bestellung (etwa bei der Suche über den Nachnamen), informieren wir zusätzlich die bei der Bestellung angegebene E-Mail-Adresse über den Eingang – bei einer Erklärung, die keiner Bestellung zugeordnet ist, nur dann, wenn der angegebene Name den Nachnamen aus der Bestellung enthält. Eine Erklärung, die wir keiner Bestellung sicher zuordnen können, speichern wir als ungeprüft, bis wir sie geklärt haben.

Ob Bestellbestätigung, die Mails zu einer Änderung deiner Bestellung und Eingangsbestätigung zugestellt wurden, halten wir in einem Versandprotokoll fest (Zeitpunkt, Art der Nachricht, Bestell- bzw. Widerrufsnummer, Ergebnis) – ohne E-Mail-Adressen. So sehen wir, wenn dich eine Pflichtinformation nicht erreicht hat, und können sie dir auf anderem Weg geben (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem FAGG). Ebenso halten wir dort fest, ob die Erinnerung an eine nicht abgeschlossene Online-Zahlung zugestellt wurde, und vermerken ihren Versand bei deiner Bestellung – so kommt sie höchstens einmal (Art. 6 Abs. 1 lit. b DSGVO).

04Kundenkonto

Ein Konto ist freiwillig; bestellen kannst du auch als Gast. Du legst es über „Konto erstellen“ an oder nach einer Gastbestellung über die Statusseite: Dann schicken wir dir einen Link an die E-Mail-Adresse der Bestellung, und erst dort legst du dein Passwort fest. Name, E-Mail-Adresse und Telefonnummer übernehmen wir aus der Bestellung und ordnen sie deinem Konto zu. Gespeichert werden E-Mail-Adresse, Vor- und Nachname, Telefonnummer, deine Bestellungen (die Anschrift deiner letzten Bestellung füllen wir beim nächsten Bestellen vor) und dein Passwort ausschließlich als kryptografischer Hash, der sich nicht in das Passwort zurückrechnen lässt. Nach der Anmeldung setzt der Shop das Cookie __Host-pn_session (Laufzeit 30 Tage), damit du eingeloggt bleibst; die zugehörige Sitzung löschen wir beim Abmelden oder nach Ablauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bestätigung der E-Mail-Adresse

Nach dem Anlegen schicken wir dir einen Link, mit dem du bestätigst, dass die E-Mail-Adresse dir gehört. Wir speichern davon nur einen Hash des Links und der Adresse, das Konto und die Zeitpunkte; der Link gilt 48 Stunden, danach löschen wir ihn. Am Konto vermerken wir Zeitpunkt und Weg der Bestätigung; beides löschen wir mit dem Konto. Bestellen kannst du auch ohne Bestätigung; Einladungslink und Guthaben aus „Freunde werben“ schalten wir über das Konto erst danach frei, damit niemand mit einer fremden Adresse an Guthaben kommt (Art. 6 Abs. 1 lit. b und f DSGVO). Als bestätigt gilt die Adresse auch, wenn du über „Passwort vergessen?“ ein neues Passwort setzt, angemeldet den Guthaben-Code eingibst, den wir an diese Adresse geschickt haben, oder das Konto über den Link zu einer Bestellung anlegst.

Konto aus einer Bestellung

Forderst du auf der Statusseite einer Gastbestellung ein Kundenkonto an, schicken wir den Link dafür an die E-Mail-Adresse der Bestellung. Davon speichern wir nur einen Hash des Links und der Adresse, die Bestellnummer und die Zeitpunkte; der Link gilt 48 Stunden und nur einmal, danach löschen wir ihn. Ein so angelegtes Konto gilt als bestätigt, weil der Link an diese Adresse ging (Art. 6 Abs. 1 lit. b DSGVO).

Daten ändern und Passwort

Unter „Deine Daten“ im Kundenkonto änderst du Name und Telefonnummer selbst und kannst dein Passwort wechseln. Nach einem Passwortwechsel melden wir deine anderen Geräte ab und schicken dir zur Sicherheit einen kurzen Hinweis per E-Mail.

Passwort vergessen

Forderst du einen neuen Link an, schicken wir dir eine E-Mail mit einem persönlichen Link. Wir speichern davon nur einen Hash (eine nicht umkehrbare Prüfsumme) zusammen mit dem Konto und dem Zeitpunkt. Der Link gilt 60 Minuten und nur einmal; abgelaufene und benutzte Links löschen wir. Setzt du ein neues Passwort, werden alle Links des Kontos ungültig und alle Geräte abgemeldet. Damit du deine Adresse nicht zweimal tippen musst, übergibt dein Browser sie im Sitzungsspeicher vom Anmelde- an das Passwortformular.

Konto löschen

Du kannst dein Konto jederzeit selbst im Kundenkonto löschen (Bestätigung mit deinem Passwort) oder per E-Mail löschen lassen. Wir löschen dann sofort deine Anmeldedaten, Sitzungen und Passwort-Links und bestätigen dir die Löschung per E-Mail. Bestellungen bleiben nur so lange gespeichert, wie es die gesetzliche Aufbewahrungspflicht verlangt (Abschnitt 3), und sind danach keinem Konto mehr zugeordnet. Eine Newsletter-Anmeldung ist davon unabhängig; abmelden kannst du dich über den Link in jeder Ausgabe.

05Kontaktformular und E-Mail

Über unser Kontaktformular schickst du uns deinen Namen, deine E-Mail-Adresse, das gewählte Thema und deine Nachricht, freiwillig auch deine Telefonnummer und eine Bestellnummer. Wir speichern die Nachricht mit dem Zeitpunkt des Eingangs in unserer Shop-Datenbank und leiten sie per E-Mail an unser Postfach weiter; du bekommst eine kurze Eingangsbestätigung ohne den Nachrichtentext. Beide E-Mails laufen über Resend (Abschnitt 3). Zweck ist die Beantwortung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Bestellung oder einen Vertrag geht, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Pflichtfelder sind Name, E-Mail-Adresse, Thema und Nachricht, weil wir dir sonst nicht antworten können; Telefonnummer und Bestellnummer sind freiwillig. Nachrichten aus dem Kontaktformular löschen wir automatisch 12 Monate nach Eingang.

Schreibst du uns direkt per E-Mail, verarbeiten wir deine Angaben ebenso nur zur Beantwortung (Art. 6 Abs. 1 lit. b oder f DSGVO). Anfragen zu Bestellungen bewahren wir mit den Bestelldaten auf, sonstige Korrespondenz löschen wir, sobald das Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

06Newsletter und Bitte um eine Bewertung

Trägst du dich für den Newsletter ein, speichern wir deine E-Mail-Adresse, deinen Vornamen (falls angegeben) und den Zeitpunkt der Anmeldung und schicken dir über den in Abschnitt 3 genannten E-Mail-Dienst eine Nachricht mit einem Bestätigungslink. Erst wenn du über diesen Link auf unserer Seite „Anmeldung bestätigen“ klickst, ist die Anmeldung aktiv; das bloße Öffnen des Links, etwa durch die Linkvorschau deines Mailprogramms, bestätigt nichts. Als Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir zur Anmeldung, über welches Formular sie kam (Seitenfuß, Newsletter-Seite, Mystery-Coupon oder Häkchen im Checkout), welche Fassung des Einwilligungstexts du gesehen hast und den Zeitpunkt der Bestätigung. Unbestätigte Anmeldungen löschen wir nach 30 Tagen. Der Newsletter enthält Angebote, Neuheiten und Aktionen, etwa zum Sortiment, zu Paketen und zu Abholterminen; nach einer abgeschlossenen Bestellung bitten wir dich außerdem einmal um eine Bewertung, und hast du dich über das Häkchen im Checkout angemeldet, erinnern wir dich an eine nicht abgeschlossene Bestellung (beides siehe unten). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst: über den Abmeldelink in jeder Aussendung, über die Abmelde-Funktion deines Mailprogramms oder per E-Mail an newsletter@pyronation.at bzw. die oben genannte Adresse. Nach dem Widerruf löschen wir deine Anmeldung.

Die Aussendungen verschicken wir über denselben E-Mail-Dienst (Abschnitt 3). Wir messen nicht, ob du eine Mail öffnest oder einen Link anklickst; alle Empfänger bekommen dieselben Bilder und Links. Damit jede Mail nur einmal ankommt, führen wir je Aussendung ein Versandprotokoll, das statt deiner Adresse nur eine Prüfsumme (SHA-256) enthält; wir löschen es 24 Monate nach der Aussendung. Meldest du dich ab, widersprichst du Werbe-E-Mails (etwa per E-Mail), meldet dein Mailprogramm eine Mail als Spam oder ist deine Adresse dauerhaft nicht erreichbar, tragen wir dich aus und merken uns nur eine Prüfsumme deiner Adresse in einer Sperrliste. So tragen wir dich nicht versehentlich wieder ein (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, deinen Widerspruch dauerhaft zu beachten). Meldest du dich später neu an und bestätigst den Link, entfernen wir die Prüfsumme wieder. Hast du in unserem früheren Onlineshop (Shopify) dem Newsletter zugestimmt, haben wir diese Zustimmung übernommen (Abschnitt 7); als Nachweis speichern wir dazu deine damalige Kundennummer, den Tag der Übernahme und die Prüfsumme der Exportdatei. Jede Aussendung nennt dir den Grund der Zusendung und einen Abmeldelink. Als Alternative ohne E-Mail gibt es unsere öffentliche WhatsApp-Gruppe (Abschnitt 14).

Bitte um eine Bewertung

Hast du den Newsletter abonniert und eine Bestellung bei uns abgeschlossen (abgeholt bzw. geliefert und bezahlt), schicken wir dir 2 Tage nach der Übergabe einmal eine E-Mail mit der Bitte, uns auf Google zu bewerten. Dafür gleichen wir die E-Mail-Adresse der Bestellung mit der Newsletter-Liste ab. Du bekommst höchstens eine solche Mail je Bestellung und höchstens eine in 90 Tagen, keine nach einem Storno oder Widerruf und keine, wenn die Übergabe länger als 30 Tage zurückliegt. Rechtsgrundlage ist deine Einwilligung zum Newsletter (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); die Bitte schicken wir nur, wenn der Text, dem du zugestimmt hast, sie nennt (Anmeldungen ab dem 21. Oktober 2026). Widerrufen kannst du jederzeit über den Abmeldelink in der Mail oder wie oben beschrieben. Ob und wie du bewertest, entscheidest du selbst; einen Rabatt oder Gutschein gibt es dafür nicht. Der Knopf „Jetzt bewerten“ öffnet unser Profil bei Google (Google Ireland Ltd.), dort gilt die Datenschutzerklärung von Google; öffentliche Bewertungen können wir wie in Abschnitt 14 beschrieben auf unserer Website zeigen. Damit niemand doppelt angeschrieben wird, speichern wir je Bitte nur die Bestellnummer, eine Prüfsumme (SHA-256) deiner Adresse, die Zeitpunkte und das Ergebnis des Versands und löschen diese Einträge nach 12 Monaten.

Häkchen im Checkout und Erinnerung an eine nicht abgeschlossene Bestellung

Im Schritt „Kontakt“ des Checkouts kannst du unter deiner Anschrift freiwillig ein Häkchen setzen („Angebote, Neuheiten & Aktionen per E-Mail – einverstanden?“): Damit meldest du dich zum Newsletter an, samt der Bitte um eine Bewertung, und willigst zugleich ein, dass wir dich einmal erinnern, falls du die Bestellung nicht abschließt. Das Häkchen ist nicht vorausgewählt, bestellen kannst du auch ohne; dann melden wir dich nicht an. Nur wenn es gesetzt ist und du den Schritt „Kontakt“ verlässt, speichern wir auf unserem Server deine E-Mail-Adresse, die Artikel in deinem Warenkorb (Artikel und Menge), eine zufällige Kennung dieses Checkouts, die Fassung des Einwilligungstexts und die Zeitpunkte; Änderungen am Warenkorb übernehmen wir, solange das Häkchen gesetzt ist. Deinen Vornamen speichern wir dabei nur mit einer neuen Newsletter-Anmeldung; die Erinnerung spricht dich mit dem Vornamen deiner Anmeldung an. Für die Anmeldung gilt dasselbe wie oben: Du bekommst eine E-Mail mit einem Bestätigungslink, die selbst keine Werbung enthält, und erst mit deiner Bestätigung ist sie aktiv. Bekommst du den Newsletter schon, aber mit einem früheren Einwilligungstext ohne Erinnerung, bitten wir dich per E-Mail, die Erinnerung eigens zu bestätigen; als Nachweis speichern wir dann zusätzlich den Zeitpunkt dieser Bestätigung und die vorherige Fassung. Offene Bitten um diese Bestätigung löschen wir nach 30 Tagen, mit deiner Bestätigung oder Abmeldung sofort.

Hast du die Anmeldung bestätigt und 12 Stunden nach deiner letzten Änderung noch nicht bestellt, schicken wir dir über denselben E-Mail-Dienst (Abschnitt 3) einmal eine E-Mail mit den Artikeln, ihren aktuellen Preisen und einem Knopf „Bestellung fortsetzen“, der deinen Warenkorb wieder füllt. Die Mail kommt nur zwischen 8 und 21 Uhr, höchstens einmal je Checkout und höchstens einmal in 7 Tagen, nicht später als 72 Stunden nach deiner letzten Änderung und nicht, wenn du inzwischen mit derselben Adresse bestellt hast — dafür gleichen wir die Adresse mit den Bestellungen ab. Sie enthält keinen Rabattcode, und wir messen nicht, ob du sie öffnest oder den Knopf anklickst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); du kannst sie jederzeit über den Abmeldelink in jeder Mail, die Abmelde-Funktion deines Mailprogramms oder per E-Mail widerrufen.

Entfernst du das Häkchen wieder, bestellst du oder meldest du dich vom Newsletter ab, löschen wir die gespeicherten Angaben dieses Checkouts sofort; nach dem Entfernen des Häkchens bleibt die Newsletter-Anmeldung selbst, bis du dich abmeldest. Sonst löschen wir die Adresse mit dem Versand der Erinnerung, spätestens 72 Stunden nach deiner letzten Änderung, die Artikel samt Link 7 Tage nach der Erinnerung. Was danach bleibt — die Kennung, die Zeitpunkte, das Ergebnis des Versands und für die 7-Tage-Sperre eine Prüfsumme (SHA-256) deiner Adresse —, löschen wir nach 30 Tagen. In das Versandprotokoll der Bestellmails nehmen wir diese Mails nicht auf.

07Daten aus unserem früheren Onlineshop

Früher lief unser Onlineshop über Shopify. Beim Wechsel auf diesen Shop haben wir aus dem Kundenexport von Shopify übernommen: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Anzahl und Summe deiner dortigen Bestellungen sowie Datum der ersten und letzten Bestellung, außerdem, ob du dem Newsletter zugestimmt hattest. Ein Kundenkonto entsteht dadurch nicht, und Passwörter haben wir nicht. Wir nutzen die Daten, um dich als bestehende:n Kund:in weiter zu betreuen (z. B. Fragen zu früheren Käufen und zur Gewährleistung), damit frühere Kund:innen bei „Freunde werben“ nicht als Neukund:innen zählen, und um deine Anschrift im Checkout vorzubelegen — das nur, wenn du ein Konto mit genau dieser E-Mail-Adresse anlegst und die Adresse bestätigst. Newsletter bekommst du nur, wenn du damals zugestimmt hast (Abschnitt 6).

Rechtsgrundlage ist unser berechtigtes Interesse, die bestehende Kundenbeziehung nach dem Wechsel der Shop-Software fortzuführen (Art. 6 Abs. 1 lit. f DSGVO); dem kannst du jederzeit widersprechen, dann löschen wir die übernommenen Daten (Art. 21 DSGVO). Die Daten stammen aus unserem eigenen früheren Shop, nicht von Dritten. Wir löschen sie 7 Jahre nach der Übernahme, auf Wunsch sofort.

08Mystery-Coupon

Läuft eine Mystery-Aktion, deckst du in einem Popup einen Überraschungsrabatt auf. Für den Code gibst du deine E-Mail-Adresse ein. Wir speichern sie zusammen mit dem gezogenen Code, der Gewinnart, dem Mindestbestellwert, der Gültigkeit und dem Zeitpunkt; so gibt es je E-Mail-Adresse höchstens einen Code in 30 Tagen, und wir können den Code beim Bestellen prüfen. Den Code schicken wir dir zusätzlich per E-Mail über Resend (Abschnitt 3). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Teilnahme an der Aktion zu den im Popup genannten Bedingungen). Nicht eingelöste Codes löschen wir 60 Tage nach ihrem Ablauf; ein eingelöster Code bleibt als Teil der Bestellung gespeichert (Abschnitt 3).

Die E-Mail-Adresse ist Pflicht, weil wir dir den Code sonst nicht zuordnen und schicken können. Zum Newsletter meldest du dich damit nicht automatisch an: Nur wenn du im Popup das eigene, nicht vorausgewählte Häkchen setzt, gilt das Double-Opt-in aus Abschnitt 6. Aktiv wird die Anmeldung dann erst, wenn du den Bestätigungslink in der E-Mail anklickst (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO); ohne Bestätigung löschen wir sie nach 30 Tagen. Deinen Code bekommst du in jedem Fall, abmelden kannst du dich jederzeit. In deinem Browser merkt sich der Shop, ob du das Popup geschlossen hast, und deinen gezogenen Code, damit er im Warenkorb bereitsteht (Abschnitt 13).

09Freunde werben

Bei „Freunde werben“ bekommst du nach deiner ersten Bestellung einen persönlichen Einladungslink; neue Kund:innen erhalten darüber einen Willkommensrabatt, du Guthaben. Die Bedingungen stehen in den AGB. Rechtsgrundlage für Code, Empfehlung und Guthabenkonto ist die Durchführung des Programms zu diesen Bedingungen (Art. 6 Abs. 1 lit. b DSGVO); für den Schutz vor Missbrauch unser berechtigtes Interesse, Vorteile nur für echte Empfehlungen zu vergeben (Art. 6 Abs. 1 lit. f DSGVO).

Dein Code und dein Guthabenkonto

Mit deiner ersten Bestellung legen wir zu deiner E-Mail-Adresse einen achtstelligen Einladungscode und einen geheimen Guthaben-Code an. Wir speichern dazu die E-Mail-Adresse in vereinheitlichter Schreibweise (klein geschrieben, ohne „+Zusatz“, bei Gmail ohne Punkte), den Zeitpunkt und die Bestellnummer, mit der der Code entstanden ist, bei einem Kundenkonto außerdem, zu welchem Konto der Code gehört, und als Prüfsumme, an welche Adressen wir den Guthaben-Code geschickt haben (damit nur dieses Postfach ihn einem Konto zuordnen kann). Mit Kundenkonto siehst du Link und Guthaben in „Mein Konto“; als Gast bekommst du beides per E-Mail über Resend (Abschnitt 3) und rufst dein Guthaben im Checkout mit Guthaben-Code und E-Mail-Adresse ab. Im Guthabenkonto buchen wir jede Gutschrift, Einlösung, Rückbuchung, jeden Verfall und jede Korrektur mit Betrag, Ablaufdatum, Bestellnummer und Zeitpunkt, bei einer Korrektur von Hand auch den Grund und wer sie gebucht hat. Buchungen ändern wir nie nachträglich, Korrekturen erfolgen als Gegenbuchung.

Einladungslink und Zuordnung der Bestellung

Öffnest du einen Einladungslink, prüft unser Server den Code. Nur wenn er gültig ist, merkt sich dein Browser ihn 30 Tage lang (pn_ref, Abschnitt 13) und schickt ihn erst mit deiner Bestellung an uns; ohne Einladungslink wird nichts gespeichert. Bestellst du mit dem Code, speichern wir an der Bestellung den Code sowie Art und Höhe des Vorteils und legen eine Empfehlung an: Code und E-Mail-Adresse der einladenden Person, deine E-Mail-Adresse, deine Telefonnummer in gekürzter Form (die letzten neun Ziffern), Bestellnummer, Warenwert, die Beträge, den Stand (vorgemerkt, freigeschaltet, verworfen, rückgängig) und die Zeitpunkte.

Um festzustellen, ob du neu bei uns bist und nicht deinen eigenen Link nutzt, gleichen wir E-Mail-Adresse und Telefonnummer mit früheren Bestellungen, Kundenkonten und den Angaben der einladenden Person ab. Wer dich eingeladen hat, zeigen wir dir nicht. Die einladende Person erfährt deinen Namen und deine Kontaktdaten nie: Sie sieht nur, wie viele Freund:innen bestellt haben und wie viel Guthaben vorgemerkt bzw. freigeschaltet ist, und bekommt bei der Freischaltung eine E-Mail ohne Angaben zu dir.

Schutz vor Missbrauch

Bei Bestellungen und beim Abruf des Guthabens speichern wir zu deiner E-Mail-Adresse einen Hashwert deines Internetanschlusses: Die IP-Adresse (bei IPv6 nur der Netzbereich, das /64-Präfix) wird mit einem geheimen Zufallswert verknüpft und unumkehrbar umgerechnet; die IP-Adresse selbst speichern wir dafür nicht. Diese Einträge löschen wir nach 30 Tagen. An einer Empfehlung bleibt der Hashwert 180 Tage gespeichert und wird dann entfernt. Daraus, aus dem Nachnamen und aus einer Liste bekannter Wegwerf-E-Mail-Dienste entstehen Prüf-Hinweise, etwa bei gleichem Nachnamen und gleichem Anschluss wie die einladende Person. Ein Prüf-Hinweis blockiert nie deine Bestellung und führt zu keiner automatischen Ablehnung: Wir sehen uns den Fall persönlich an; bis dahin bleibt das Guthaben der einladenden Person vorgemerkt. Diesem Abgleich kannst du widersprechen (Abschnitt 17).

Wie lange wir die Daten speichern

Den Einladungscode in deinem Browser löschen wir mit deiner Bestellung, sonst verfällt er nach 30 Tagen; du kannst ihn auch selbst löschen. Code und Guthaben-Code löschen wir automatisch, wenn 2 Jahre lang nichts mehr passiert ist: keine Bestellung von dir, keine über deinen Link, keine Buchung im Guthabenkonto außer dem automatischen Verfall, kein Guthaben offen und keine Empfehlung mehr vorgemerkt oder in Prüfung. Möchtest du schon vorher nicht mehr mitmachen, genügt eine kurze Nachricht an info@pyronation.at: Wir sperren deinen Link, vorhandenes Guthaben bleibt bis zu seinem Ablaufdatum einlösbar. Wird ein gesperrter Code nach der Frist gelöscht, behalten wir nur einen Sperrvermerk mit einem Pseudonym (einer mit geheimem Schlüssel gebildeten Kennung) deiner Adresse, damit du bei einer späteren Bestellung nicht wieder ungewollt teilnimmst; er bleibt, bis du uns sagst, dass du wieder mitmachen möchtest.

Empfehlungen, Willkommensrabatte und Guthabenbuchungen bestimmen den Preis einer Bestellung mit; sie bewahren wir deshalb wie die Bestelldaten sieben Jahre auf (Abschnitt 3). Ist dein Code gelöscht, ersetzen wir in unserer Shop-Datenbank deine E-Mail-Adresse in deinen Guthabenbuchungen und in den Empfehlungen, in denen du eingeladen hast, durch ein solches Pseudonym; die Beträge bleiben unverändert. Im schreibgeschützten Monatsarchiv für die Buchhaltung bleiben diese Einträge bis zum Ende der Aufbewahrungsfrist so, wie sie gebucht wurden.

10Warenkorb und Schutz vor Missbrauch

Dein Warenkorb, der Warenkorb-Countdown und die zuletzt angesehenen Produkte liegen ausschließlich im Speicher deines Browsers (localStorage) und werden nicht an uns übertragen, bis du bestellst — außer du setzt im Checkout das Häkchen für Newsletter und Erinnerung (Abschnitt 6). Deine Angaben im Checkout hält dein Browser nur für diesen Tab im Sitzungsspeicher bereit, damit beim Zurückgehen, Neuladen oder Anmelden nichts verloren geht; dazu gehört mit dem Häkchen die zufällige Kennung des Checkouts. Mit der Bestellung oder beim Schließen des Tabs werden sie gelöscht.

Außerdem begrenzen wir die Anzahl von Anfragen pro IP-Adresse und teils pro E-Mail-Adresse oder Kundenkonto (Anmeldung, Registrierung, Passwort-Links, Passwortänderung, Kontolöschung, Bestellungen, Rabattcodes, Einladungs- und Guthaben-Codes, Kontakt-, Newsletter-, Mystery- und Widerrufsformular); diese Zähler liegen höchstens eine Stunde im Arbeitsspeicher. Formulare enthalten unsichtbare Felder, die nur automatisierte Programme ausfüllen; solche Eingaben verwerfen wir. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden, sicheren Shop (Art. 6 Abs. 1 lit. f DSGVO).

11Besucherzählung „gerade online“

Damit wir im Verwaltungsbereich sehen, wie viele Personen den Shop gerade nutzen und welche Seiten sie aufrufen, zählen wir Besucher intern. Die Zahl sehen nur wir, nicht andere Besucher. Die Zählung läuft nur, wenn du im Cookie-Banner der Statistik zugestimmt hast; ohne Zustimmung meldet dein Browser nichts. Mit Zustimmung meldet er alle 30 Sekunden, solange der Tab sichtbar ist, eine zufällige Kennung und die aufgerufene Seite an unseren Server. Die Kennung liegt nur im Arbeitsspeicher der geöffneten Seite, nicht in einem Cookie oder im Browser-Speicher, und ist nach dem Schließen oder Neuladen des Tabs weg. Wir speichern dazu keine IP-Adresse und bilden kein Profil; Einträge löschen wir nach spätestens zehn Minuten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021), die du jederzeit über „Cookie-Einstellungen“ widerrufen kannst; danach wird sofort nicht mehr gezählt.

12Aufzeichnung von Besuchen und Heatmaps

Wenn du im Cookie-Banner der Statistik zugestimmt hast, zeichnen wir deinen Besuch in unserem Shop und im Checkout auf. So sehen wir, wo etwas nicht funktioniert oder unklar ist – etwa Fehlermeldungen der Seite, Klicks, die ins Leere gehen, mehrfaches schnelles Klicken auf dieselbe Stelle oder in welchem Schritt des Checkouts ein Kauf abgebrochen wird –, und können Aufbau, Texte und Technik des Shops verbessern. Solche Stellen markiert unsere Software automatisch. Aus vielen Aufzeichnungen erstellen wir außerdem Heatmaps, die je Seite und Geräteart (Handy, Tablet, Computer) zeigen, wohin geklickt und wie weit gescrollt wird. Wir nutzen die Aufzeichnungen nur dafür, nicht für Werbung oder Erinnerungs-E-Mails und nicht, um einzelne Personen zu bewerten. Aufgezeichnet wird mit der quelloffenen Software rrweb und einem eigenen kleinen Skript für Klicks und Scrollen; beide liefert unser eigener Server aus, und dein Browser lädt sie erst nach deiner Zustimmung.

Aufgezeichnet werden die aufgerufenen Seiten und ihr Inhalt so, wie er dir angezeigt wird (also auch, welche Produkte du ansiehst und in den Warenkorb legst), deine Mausbewegungen, Klicks, Berührungen und das Scrollen samt Zeitpunkten, die Art deines Geräts, Betriebssystem und Browser (nur die Familie, etwa „Android“ und „Chrome“), Fenstergröße und Pixeldichte, technische Fehlermeldungen der Seite (gekürzt) und woher du kommst (nur der Name einer verlinkenden Website oder die Kampagnenangaben im Link). Was du in Formularfelder eingibst, auch in die Suche, macht dein Browser schon vor dem Senden unkenntlich; ebenso deine Angaben im Checkout (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Codes und Guthaben sowie E-Mail-Adressen, Telefonnummern und Bestellnummern im Text der Seite. Sichtbar bleibt, was du anklickst und auswählst, etwa Abholung oder Lieferung, einen Termin oder die Zahlungsart. Videos, eingebettete Inhalte und Karten zeichnen wir nicht auf. Gar nicht aufgezeichnet werden dein Kundenkonto, deine Bestellungen und ihr Status, die Bezahlung (sie läuft bei Stripe), die Seiten zu Newsletter, Widerruf und Kontakt sowie unser Verwaltungsbereich.

Deine IP-Adresse speichern wir dabei nicht, und die Aufzeichnung setzt keine Cookies. Jede Aufzeichnung trägt nur eine zufällige Kennung, die unser Server vergibt und die dein Browser für diesen Tab im Sitzungsspeicher (sessionStorage) hält: Nach dem Schließen des Tabs, nach 30 Minuten ohne Aktivität und spätestens nach zwei Stunden beginnt eine neue Aufzeichnung mit neuer Kennung. Damit wir bei einem Widerruf alle deine Aufzeichnungen löschen können, merkt sich dein Browser außerdem die Kennungen der letzten 30 Tage (localStorage); diese Liste schickt er nur mit einem Widerruf, nie mit einer neuen Aufzeichnung. Wir verknüpfen Aufzeichnungen weder mit deinem Kundenkonto noch mit einer Bestellung oder deiner E-Mail-Adresse, bilden kein Profil über dich und treffen keine automatisierten Entscheidungen.

In Zeiten mit vielen Besuchen, etwa im Dezember, zeichnen wir nur einen zufällig ausgewählten Teil der Besuche vollständig auf. Bei den übrigen speichern wir nur Klicks, Scrolltiefe, Seitenwechsel, Checkout-Schritte und Fehlermeldungen, ohne Inhalt der Seiten und ohne Mausbewegungen; im Warenkorb und im Checkout kann die Aufzeichnung dann vollständig werden. Genauso sparsam zeichnen wir auf schwachen Geräten (etwa im Datensparmodus) auf und wenn unser Tageslimit oder der vorgesehene Speicherplatz erreicht ist.

Die Aufzeichnungen liegen ausschließlich auf unserem eigenen Server bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Rechenzentrum Nürnberg), die ihn als Auftragsverarbeiterin für uns betreibt – getrennt von der Shop-Datenbank und nicht in deren Sicherungskopien. Ansehen kann sie nur der Betreiber des Shops im Verwaltungsbereich am Computer; jeder Aufruf einer Aufzeichnung oder Heatmap wird protokolliert, herunterladen lassen sie sich nicht. Wir geben die Aufzeichnungen an niemanden weiter und übermitteln sie in kein Land außerhalb der EU. Nach 30 Tagen löschen wir sie automatisch, spätestens 31 Tage nach dem Besuch, samt den daraus gewonnenen Angaben wie Seitenaufrufen, Markierungen und den in Heatmaps zusammengezählten Klicks. In den täglichen Abbildern des ganzen Servers, die unser Hosting-Anbieter 7 Tage aufbewahrt, sind sie bis zu 7 Tage länger enthalten.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Du musst nicht zustimmen – der Shop funktioniert auch ohne Zustimmung uneingeschränkt. Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ am Seitenende widerrufen (Häkchen „Statistik“ entfernen und „Auswahl speichern“ oder „Nur notwendige“ wählen), auch wenn wir die Aufzeichnung inzwischen ausgeschaltet haben. Dann zeichnen wir sofort nicht mehr auf, dein Browser verwirft noch nicht gesendete Daten und schickt uns einen Löschauftrag für die Aufzeichnungen, die er uns zuordnen kann: die laufende und die der letzten 30 Tage. Wir löschen sie umgehend, sobald der Auftrag bei uns ankommt. Erreicht er unseren Server nicht (etwa ohne Internetverbindung), merkt sich dein Browser ihn und schickt ihn bei deinem nächsten Aufruf des Shops erneut, bis wir die Löschung bestätigt haben, höchstens 30 Tage lang. Alle übrigen Aufzeichnungen fallen mit dem automatischen Löschen nach 30 Tagen weg; schon in Heatmaps zusammengezählte Klicks haben keinen Bezug zu deinem Besuch und bleiben bis dahin. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt. Möchtest du Auskunft über eine Aufzeichnung oder ihre Löschung, nenn uns ihre Kennung: Solange eine Aufzeichnung läuft, steht sie in den Cookie-Einstellungen. Ohne Kennung können wir Aufzeichnungen keiner Person zuordnen (Art. 11 DSGVO).

13Cookies, Browser-Speicher und Einwilligung

Technisch notwendige Speichervorgänge brauchen nach § 165 Abs. 3 TKG 2021 keine Einwilligung. Alles andere setzen wir nur, wenn du es im Cookie-Banner erlaubst; deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ am Seitenende oder direkt hier ändern. Die Kategorie „Statistik“ umfasst Google Analytics 4, unsere Besucherzählung (Abschnitt 11) und die Aufzeichnung von Besuchen mit Heatmaps (Abschnitt 12).

__Host-pn_session

Cookie, hält dich nach der Anmeldung eingeloggt

Dauer30 Tage oder bis zur AbmeldungEinwilligungnicht nötig

Warenkorb, Warenkorb-Countdown, zuletzt angesehen

Browser-Speicher (localStorage), nur auf deinem Gerät

Dauerbis du sie löschstEinwilligungnicht nötig

Cookie-Auswahl

Browser-Speicher, merkt sich deine Entscheidung im Banner

Dauerbis du sie löschstEinwilligungnicht nötig

Mystery-Coupon

Browser-Speicher, merkt sich, ob du das Popup geschlossen hast, und deinen gezogenen Code für den Warenkorb

Dauerbis du sie löschst; nach dem Schließen pausiert das Popup 30 TageEinwilligungnicht nötig

pn_ref (Einladungscode)

Browser-Speicher (localStorage), merkt sich den Code aus einem Einladungslink von „Freunde werben“ für den Willkommensrabatt; nur wenn du einen gültigen Einladungslink geöffnet hast

Dauer30 Tage; mit deiner Bestellung gelöschtEinwilligungnicht nötig

pn_ref_banner

Sitzungsspeicher (sessionStorage), merkt sich, ob der Hinweis „Ein Freund hat dich eingeladen“ noch angezeigt wird oder geschlossen ist

Dauerbis zum Schließen des TabsEinwilligungnicht nötig

Checkout-Eingaben

Sitzungsspeicher (sessionStorage), hält deine Angaben im Checkout (ohne Altersbestätigung) beim Zurückgehen, Neuladen oder Anmelden bereit; mit dem Häkchen „Newsletter“ auch die zufällige Kennung dieses Checkouts für die Erinnerung

Dauerbis zur Bestellung oder zum Schließen des TabsEinwilligungnicht nötig

Passwort vergessen

Sitzungsspeicher (sessionStorage), übernimmt deine E-Mail-Adresse vom Anmelde- ins Passwortformular

Dauerbis zum Schließen des Tabs, meist sofort gelöschtEinwilligungnicht nötig

Kaufmarker

Browser-Speicher, merkt sich deine letzten Bestellnummern, damit ein Kauf nur einmal an die Statistik gemeldet wird

Dauerbis du sie löschstEinwilligungnur mit Zustimmung

_ga, _ga_*

Cookies von Google Analytics 4 zur pseudonymen Nutzungsstatistik

Dauer2 JahreEinwilligungnur mit Zustimmung

Besucherzählung „gerade online“

zufällige Kennung nur im Arbeitsspeicher der geöffneten Seite (kein Cookie, kein Browser-Speicher); wird mit der aufgerufenen Seite an unseren Server gemeldet

Dauerbis zum Schließen oder Neuladen des Tabs; auf dem Server höchstens 10 MinutenEinwilligungnur mit Zustimmung

Aufzeichnung von Besuchen (pyronation.rec.v1)

Sitzungsspeicher (sessionStorage), zufällige Kennung und Stand der laufenden Aufzeichnung dieses Tabs

Dauerbis zum Schließen des Tabs; nach 30 Minuten ohne Aktivität beginnt eine neue AufzeichnungEinwilligungnur mit Zustimmung

Kennungen deiner Aufzeichnungen (pyronation.rec.ids.v1)

Browser-Speicher (localStorage), die Kennungen deiner Aufzeichnungen der letzten 30 Tage, nur damit wir sie bei einem Widerruf löschen können; wird nie mit einer neuen Aufzeichnung gesendet

Dauerjede Kennung höchstens 30 Tage; mit dem Widerruf gelöscht (die Kennungen gehen dann in den Löschauftrag über)Einwilligungnur mit Zustimmung

Löschauftrag nach einem Widerruf (pyronation.rec.forget.v1)

Browser-Speicher (localStorage), nur nach einem Widerruf und nur, bis unser Server die Löschung bestätigt hat: die Kennungen der Aufzeichnungen, die wir löschen sollen; ist der Server gerade nicht erreichbar (etwa ohne Internetverbindung), schickt dein Browser den Auftrag beim nächsten Aufruf des Shops erneut

Dauerbis unser Server die Löschung bestätigt hat, höchstens 30 TageEinwilligungnicht nötig

Google Analytics 4 (nur mit deiner Zustimmung)

Mit deiner Zustimmung im Cookie-Banner setzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ein, um zu verstehen, welche Seiten und Produkte wie genutzt werden (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Ohne Zustimmung wird kein Analyse-Skript geladen. Google Analytics arbeitet mit einer pseudonymen Kennung im Cookie _ga, nicht anonym: Wir sehen keine Namen, Google kann die Kennung aber einem Browser zuordnen. Google Analytics 4 speichert keine IP-Adressen; Google verwendet sie nur kurz, um ein ungefähres Land bzw. eine Region abzuleiten. In unserer Einbindung sind Google Signals und die Werbepersonalisierung ausgeschaltet, und wir verknüpfen Google Analytics nicht mit Werbekonten. Die Ereignisdaten werden in Google Analytics nach 14 Monaten gelöscht. Google kann Daten an Google LLC in den USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ widerrufen; die Analytics-Cookies werden dann auf dieser Domain gelöscht. Mehr dazu unter policies.google.com/privacy (öffnet in neuem Tab).

14Eingebundene Dienste und verlinkte Plattformen

Effektvideos (YouTube)

Produktvideos binden wir über youtube-nocookie.com im erweiterten Datenschutzmodus ein. Beim Aufruf einer Produktseite wird nichts an Google übertragen; erst wenn du auf „Effekt ansehen“ klickst, lädt das Video und Google Ireland Ltd. erhält dabei deine IP-Adresse und Angaben zu deinem Browser (Art. 6 Abs. 1 lit. a DSGVO durch deinen Klick).

Instagram-Beiträge

Die auf der Startseite gezeigten Instagram-Beiträge sind Kopien, die auf unserem eigenen Server liegen. Es werden keine Skripte oder Bilder von Instagram bzw. Meta geladen. Erst wenn du einen Beitrag oder unser Profil anklickst, wechselst du zu Instagram (Meta Platforms Ireland Ltd.), wo die dortige Datenschutzerklärung gilt.

WhatsApp-Gruppe

Über den Link im Seitenfuß kannst du unserer WhatsApp-Gruppe beitreten. Der Beitritt läuft vollständig bei WhatsApp (WhatsApp Ireland Ltd.); für die anderen Mitglieder und uns als Administrator wird dabei deine Telefonnummer sichtbar. Du kannst die Gruppe jederzeit wieder verlassen.

Google-Bewertungen

Auf der Startseite zeigen wir eine Auswahl von Rezensionen, die zu unserem Geschäft öffentlich auf Google veröffentlicht wurden: Vorname und Anfangsbuchstabe des Nachnamens, Profilbild, Sterne, Text und Datum. Wir übernehmen diese Angaben aus unserem eigenen Google-Unternehmensprofil und speichern sie samt vollständigem Namen, Link zum Google-Profil und Profilbild auf unserem eigenen Server; beim Aufruf unserer Seite wird dafür keine Verbindung zu Google aufgebaut. Rechtsgrundlage ist unser berechtigtes Interesse, Interessierten Meinungen zu unserem Geschäft zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Hast du eine dieser Bewertungen verfasst und möchtest hier nicht (mehr) erscheinen, genügt eine kurze Nachricht über unser Kontaktformular – wir entfernen Eintrag und Profilbild dann umgehend und übernehmen sie auch später nicht wieder. Google Maps binden wir nicht ein; Adress- und Routenlinks führen erst nach deinem Klick zu Google Maps.

Um eine Auswahl treffen zu können, übernehmen wir die öffentlichen Bewertungen unseres Profils zunächst in unseren Verwaltungsbereich; auf der Website erscheint nur, was wir ausdrücklich freigeben. Übernommene Bewertungen, die wir nicht zeigen, löschen wir samt Name und Profilbild spätestens 12 Monate nach der letzten Übernahme (Import). Von einer auf Wunsch entfernten Bewertung behalten wir nur eine technische Kennung als Sperrvermerk, damit sie nicht erneut übernommen wird.

Karte der Verkaufsstände (OpenStreetMap)

Auf der Seite „Abholung & Lieferung“ zeigen wir eine Karte mit unseren Standorten. Die Kartenkacheln werden beim Aufruf der Seite von Servern der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, Vereinigtes Königreich) geladen; dabei erhält OpenStreetMap deine IP-Adresse und technische Angaben zu deinem Browser. Die Kartenbibliothek selbst liefern wir von unserem eigenen Server, es werden keine Cookies gesetzt. Rechtsgrundlage ist unser berechtigtes Interesse, dir die Standorte übersichtlich zu zeigen (Art. 6 Abs. 1 lit. f DSGVO); für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Näheres in der Datenschutzerklärung der OpenStreetMap Foundation (öffnet in neuem Tab).

Schriftarten

Alle Schriften liefern wir von unserem eigenen Server aus; es wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut.

15Empfänger und Übermittlung in Drittländer

Deine Daten erhalten nur die in dieser Erklärung genannten Stellen: der Hosting-Anbieter, Resend (E-Mail-Versand), Stripe und die gewählte Zahlungsart, Google für Google Analytics (nur mit Zustimmung), die OpenStreetMap Foundation beim Aufruf der Standortkarte, Google (YouTube) erst nach deinem Klick auf „Effekt ansehen“, Google bzw. Apple bei einer Lieferung die Lieferanschrift für die Navigation und WhatsApp erst, wenn du unserer Gruppe beitrittst. Darüber hinaus geben wir Daten nur an Steuerberatung, Gerichte oder Behörden weiter, soweit das für gesetzliche Pflichten oder die Durchsetzung von Ansprüchen nötig ist. Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder auf die EU-Standardvertragsklauseln. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Aufzeichnungen von Besuchen (Abschnitt 12) bleiben auf unserem Server beim Hosting-Anbieter und gehen an niemanden sonst.

16Speicherdauer

• Bestell-, Zahlungs-, Beleg- und Widerrufsdaten, auch Änderungen deiner Bestellung samt Nachweis deiner Zustimmung: 7 Jahre ab Ende des Kalenderjahres (§ 132 Abs. 1 BAO)
• Versandprotokoll der Bestell-, Änderungs- und Widerrufsmails (ohne E-Mail-Adressen): wie die Bestelldaten
• Kundenkonto: bis du es löschst; Sitzungen 30 Tage oder bis zur Abmeldung
• Passwort-Links: höchstens 60 Minuten gültig, danach gelöscht
• Links zur Bestätigung der E-Mail-Adresse: höchstens 48 Stunden gültig, danach gelöscht; Zeitpunkt und Weg der Bestätigung mit dem Konto
• Links zum Anlegen eines Kontos aus einer Bestellung: höchstens 48 Stunden gültig, danach gelöscht
• Kontaktformular: 12 Monate ab Eingang, dann automatisch gelöscht
• Newsletter-Anmeldung samt Einwilligungsnachweis: bis zum Widerruf; unbestätigte Anmeldungen 30 Tage
• Sperrliste nach einer Abmeldung (nur Prüfsumme der Adresse): bis du dich neu anmeldest und bestätigst
• Versandprotokoll der Newsletter (nur Prüfsummen): 24 Monate nach der Aussendung
• Bitte um eine Bewertung (Bestellnummer, Prüfsumme der Adresse, Zeitpunkte, Versandergebnis): 12 Monate
• Häkchen im Checkout (Erinnerung an eine nicht abgeschlossene Bestellung): Adresse bis zum Versand der Erinnerung, höchstens 72 Stunden nach der letzten Änderung; Artikel für den Link „Bestellung fortsetzen“ bis 7 Tage nach der Erinnerung; Prüfsumme der Adresse 7 Tage nach der Erinnerung; Kennung, Zeitpunkte und Versandergebnis 30 Tage; nach dem Abwählen, einer Bestellung oder der Abmeldung vom Newsletter sofort gelöscht. Offene Bitten, die Erinnerung bei einem bestehenden Abo zu bestätigen: 30 Tage, nach der Abmeldung sofort
• Aus unserem früheren Onlineshop übernommene Kundendaten: 7 Jahre ab der Übernahme, auf Wunsch sofort
• Mystery-Codes: nicht eingelöst bis 60 Tage nach Ablauf, eingelöst mit der Bestellung
• „Freunde werben“: Einladungscode im Browser höchstens 30 Tage; Code und Guthaben-Code nach 2 Jahren ohne Aktivität automatisch gelöscht (bei gesperrten Codes bleibt ein Sperrvermerk mit Pseudonym, bis du wieder mitmachen möchtest); Empfehlungen, Willkommensrabatte und Guthabenbuchungen wie die Bestelldaten (nach dem Löschen des Codes steht in der Shop-Datenbank in deinen Guthabenbuchungen und in den Empfehlungen, in denen du jemanden eingeladen hast, ein Pseudonym statt deiner E-Mail-Adresse; im Monatsarchiv unverändert); Hashwerte des Anschlusses 30 Tage, an einer Empfehlung 180 Tage
• Fehler- und Sicherheitsprotokolle des Servers: 14 Tage, außer ein Sicherheitsvorfall wird untersucht
• Anfragezähler gegen Missbrauch: höchstens 1 Stunde
• Besucherzählung „gerade online“ (nur mit Zustimmung): Kennung bis zum Schließen des Tabs, Einträge auf dem Server höchstens 10 Minuten
• Aufzeichnung von Besuchen und Heatmaps (nur mit Zustimmung): 30 Tage, spätestens 31 Tage nach dem Besuch automatisch gelöscht, samt Seitenaufrufen, Markierungen und Heatmap-Zählungen; in den Abbildern des Servers beim Hosting-Anbieter bis zu 7 Tage länger; nach einem Widerruf die deinem Browser zugeordneten sofort, sobald sein Löschauftrag bei uns ankommt; Kennung im Browser bis zum Schließen des Tabs, Liste deiner Kennungen höchstens 30 Tage, ein offener Löschauftrag im Browser bis zur Bestätigung durch unseren Server, höchstens 30 Tage
• Google Analytics (nur mit Zustimmung): Cookies 2 Jahre, Ereignisdaten bei Google 14 Monate
• Google-Bewertungen: gezeigte, bis du widersprichst oder wir sie entfernen; übernommene, aber nicht gezeigte höchstens 12 Monate nach der letzten Übernahme
• Datensicherungen: automatische Kopien werden nach 21 Tagen überschrieben

17Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe unten). Eine erteilte Einwilligung kannst du jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) setzen wir nicht ein. Schreib dafür an info@pyronation.at; wir antworten spätestens innerhalb eines Monats. Wenn du meinst, dass wir deine Daten rechtswidrig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb.gv.at (öffnet in neuem Tab).

18Datensicherheit

Zugriff auf Bestell- und Kundendaten hat nur der Betreiber über einen passwortgeschützten Verwaltungsbereich; alle Änderungen werden dort protokolliert. Die Datenbank liegt auf unserem Server und nicht bei einem Shop-Baukasten oder Marktplatz. Verbindungen sind verschlüsselt, Passwörter und Passwort-Links werden nur als Hash gespeichert.

19Änderungen

Wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert, passen wir diese Erklärung an. Es gilt immer die hier veröffentlichte Fassung; den Stand siehst du oben. Fragen zum Datenschutz beantworten wir gern, ebenso zum Widerruf oder zu den AGB.