Datenschutz

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG):

Welche Daten verarbeiten wir?

• Kontodaten: E‑Mail‑Adresse (für Login erforderlich)
• Bei Anmeldung über einen Identitätsanbieter (z. B. Google oder Telegram) erhalten wir ggf. Namen und Profilbild
• Technische Zugangsdaten für die sichere Anmeldung und Sitzungsverwaltung
• Präferenzen: gewählte Sprache (Cookie „preferred_language“)
• Standortpräferenz: Land/Region (abgeleitet aus der IP-Adresse durch unseren CDN-Anbieter)
• Zahlungsdaten: Bei kostenpflichtigen Tarifen werden Zahlungsinformationen (Kreditkartendaten, Bankkontodaten) durch unseren Zahlungsdienstleister verarbeitet. Wir speichern keine vollständigen Zahlungsdaten.
• Bestelldaten: Bestellungen, Lieferadressen und Transaktionsdaten der Shop-Kunden werden im Rahmen der Auftragsverarbeitung gespeichert.
• Support/Kommunikation: Inhalte, die du uns aktiv sendest
• Inhalte, die du erstellst (Shop‑Name, Bilder, Produkte). Vermeide personenbezogene Daten in Inhalten, sofern nicht nötig.
• Zur Sicherheit können technisch notwendige Metadaten vorübergehend verarbeitet werden (z. B. IP‑Adresse, User‑Agent, Fehlerlogs)
• Waitlist-Daten: Wenn du dich für eine noch nicht gestartete Region voranmeldest, speichern wir deine E-Mail, das gewählte Land und deine kurze Beschreibung der Geschäftsidee aus dem Chat — ausschließlich zur Benachrichtigung bei Markt-Launch.

Zwecke

• Bereitstellung von Konto, Login und Sitzungsverwaltung
• Sicherheit des Dienstes, Missbrauchsverhinderung, Fehlerbehebung
• Abwicklung von Zahlungen und Abonnements
• KI-gestützte Funktionen zur Shop-Erstellung und Produktverwaltung
• Optional: Newsletterversand nach Einwilligung
• Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrung)
• Analyse der Websitenutzung zur Verbesserung unseres Angebots (nach Einwilligung)
• Waitlist-Verwaltung und einmalige Benachrichtigung bei Markt-Launch in deiner Region.

Rechtsgrundlagen (DSGVO/DSG)

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage der EU-Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG 2018):

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Konto/Onboarding)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (Betrieb/Sicherheit)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Newsletter)
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. steuerliche Aufbewahrungspflichten nach § 132 BAO)

Pflicht zur Bereitstellung der Daten

Die Angabe deiner E-Mail-Adresse ist für die Registrierung und die Nutzung eines Kontos vertraglich erforderlich — ohne sie können wir kein Konto bereitstellen. Zahlungsdaten sind für den Abschluss eines kostenpflichtigen Tarifs erforderlich. Steuerlich relevante Daten müssen wir aufgrund gesetzlicher Vorgaben erheben. Alle übrigen Angaben (z. B. Profilbild, Telefonnummer, Newsletter-Anmeldung) sind freiwillig; ihre Nichtbereitstellung hat keine Auswirkungen auf die Nutzung der Plattform.

Empfänger/Auftragsverarbeiter

Zur Erbringung unserer Dienste setzen wir folgende Dienstleister ein, mit denen ggf. Auftragsverarbeitungsverträge (AVV) gem. Art. 28 DSGVO bestehen:

• Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeiter gem. Art. 28 DSGVO). Server-Standort: Deutschland (EU).
• Cloudflare, Inc. (USA): Content Delivery Network, Sicherheits-/DDoS-Schutz für die gesamte Plattform sowie Speicherung und Auslieferung von Medien (Produktbilder, Logos).
• Unser Anmeldedienst speichert deine E‑Mail und die notwendigen Anmeldedaten zur Kontoverwaltung.
• Bei Anmeldung über Google werden deine E‑Mail und ggf. Profilinformationen zur Authentifizierung bereitgestellt.
• Bei Anmeldung über Telegram wird das Login-Widget der Telegram Messenger Inc. eingebunden; dabei erhalten wir deine Telegram-ID, deinen Namen, Benutzernamen und ggf. dein Profilbild.
• Ein zertifizierter Zahlungsdienstleister für die Abwicklung von Zahlungen und Abonnements der Shop-Betreiber.
• Ein KI-Dienstleister für die Verarbeitung von Texten und Bildern im Rahmen der KI-gestützten Funktionen (Produktbeschreibungen, Bildanalyse, Assistent).
• Ein KI-Bildgenerierungsdienst für die Erstellung und Bearbeitung von Produktbildern.
• Eine E-Mail-Marketing-Plattform für den optionalen Newsletterversand durch Shop-Betreiber.

Hosting

Diese Website wird bei der Hetzner Online GmbH (Deutschland) gehostet. Server-Standort ist Deutschland; eine Übermittlung in Drittländer findet durch das Hosting selbst nicht statt. Beim Besuch der Website erfasst der Server automatisch technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Typ). Diese Daten werden ausschließlich zur Sicherstellung des Betriebs verarbeitet und nach spätestens 90 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Content Delivery Network, Angriffsschutz & Medienspeicherung

Wir nutzen für die gesamte Plattform das Content-Delivery-Netzwerk und den DDoS-/Sicherheitsschutz von Cloudflare, Inc. (101 Townsend St, San Francisco, CA, USA) als Auftragsverarbeiter. Sämtliche Aufrufe unserer Website werden technisch über die Server von Cloudflare geleitet; dabei verarbeitet Cloudflare Verbindungsdaten (insbesondere IP-Adresse, aufgerufene URL, Header-Informationen und das daraus abgeleitete Herkunftsland) zur Auslieferung, Zwischenspeicherung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, sicheren und verfügbaren Bereitstellung).

Über denselben Anbieter werden auch Medien (Produktbilder, Shop-Logos, Banner) gespeichert und ausgeliefert. Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln.

Nicht mehr verwendete Mediendateien (verwaiste Dateien) werden automatisch und regelmäßig gelöscht.

Zahlungsabwicklung

Für die Abwicklung von Zahlungen und Abonnements nutzen wir einen zertifizierten Zahlungsdienstleister. Bei einem Bezahlvorgang werden die von dir eingegebenen Zahlungsdaten (z. B. Kreditkartennummer, Bankverbindung) direkt vom Zahlungsdienstleister verarbeitet. Wir speichern keine vollständigen Zahlungsdaten auf unseren Servern.

Der Zahlungsdienstleister verarbeitet diese Daten als eigenständiger Verantwortlicher zur Zahlungsabwicklung, Betrugsprävention und zur Erfüllung gesetzlicher Pflichten. Der Zahlungsdienstleister ist unter dem EU-US Data Privacy Framework zertifiziert.

Shop-Betreiber können über den Zahlungsdienstleister Zahlungen ihrer Kunden empfangen. In diesem Fall handelt der Zahlungsdienstleister als Auftragsverarbeiter für den jeweiligen Shop-Betreiber. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Anmeldung über Telegram

Wir bieten optional eine Anmeldung über Telegram an. Dabei wird das offizielle Login-Widget der Telegram Messenger Inc. eingebunden und eine Verbindung zu Telegram-Servern hergestellt, wobei deine IP-Adresse übermittelt wird. Meldest du dich an, erhalten wir deine Telegram-ID, deinen Namen, deinen Benutzernamen und ggf. dein Profilbild. Telegram hat seinen Sitz außerhalb des EWR; für diesen Anbieter besteht weder ein Angemessenheitsbeschluss noch eine Zertifizierung nach dem EU-US Data Privacy Framework. Die Nutzung des Telegram-Logins ist freiwillig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO); alternative Anmeldewege stehen dir zur Verfügung.

E-Mail-Marketing

Shop-Betreiber können optional einen E-Mail-Marketing-Dienst nutzen, um Newsletter an ihre Kunden zu versenden. Die Verarbeitung der E-Mail-Adressen erfolgt nur nach ausdrücklicher Einwilligung der Empfänger (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (z. B. über den Abmeldelink im Newsletter). Der E-Mail-Dienstleister verarbeitet die Daten als Auftragsverarbeiter im EWR.

Analyse & Statistiken

Wir nutzen eigene Analyse-Werkzeuge, um die Nutzung der Plattform zu verstehen und zu verbessern. Dabei werden keine personenbezogenen Daten an Dritte übermittelt. Perspektivisch können weitere Analysedienste hinzugefügt werden — dies geschieht nur nach vorheriger Einwilligung (Consent-Banner). Ohne deine Zustimmung werden keine Analyse-Cookies gesetzt.

KI-gestützte Funktionen

Shopyai bietet KI-gestützte Funktionen zur Unterstützung bei der Shop-Erstellung und Produktverwaltung. Dabei kommen folgende Dienste zum Einsatz:

• Verarbeitung von Texten und Bildern für Produktbeschreibungen, Bildanalyse, Kategorisierung und Assistenz-Funktionen. Es werden nur die für die jeweilige Funktion notwendigen Daten (eingegebene Texte, hochgeladene Bilder) übermittelt.
• KI-basierte Bildgenerierung und -bearbeitung (Text-zu-Bild, Bild-zu-Bild, Hintergrundentfernung). Es werden nur Bilddaten und Beschreibungstexte übermittelt.
• Hintergrundentfernung: Wird auf unseren eigenen Servern durchgeführt (kein Drittanbieter).

Personenbezogene Daten werden dabei nicht dauerhaft beim KI-Anbieter gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die eingesetzten KI-Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert.

Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die KI-gestützten Funktionen erstellen ausschließlich Vorschläge (z. B. Texte, Bilder, Kategorien), über deren Verwendung du selbst entscheidest. Ein Profiling zu Werbezwecken führen wir nicht durch.

Suchmaschinenindexierung

Zur Verbesserung der Auffindbarkeit von Shops informieren wir Suchmaschinen über neue oder geänderte Shop-Seiten. Dabei werden lediglich URLs öffentlich zugänglicher Seiten übermittelt — keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auffindbarkeit).

Kartendienste

Zur Anzeige von Standortinformationen (z. B. Lieferadressen in der Bestellverwaltung) kann ein externer Kartendienst eingebunden werden. Dabei werden Daten (u. a. IP-Adresse) an den Kartendienstanbieter übermittelt. Dies geschieht erst nach aktiver Nutzerinteraktion (Klick). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert.

Auftragsverarbeitung (SaaS)

Als SaaS-Plattform verarbeiten wir Daten im Auftrag unserer Shop-Betreiber (Auftragsverarbeitung gem. Art. 28 DSGVO). Shop-Betreiber sind selbst Verantwortliche für die personenbezogenen Daten ihrer Kunden. Wir stellen einen Auftragsverarbeitungsvertrag (AVV) bereit und verarbeiten diese Daten ausschließlich nach Weisung der Shop-Betreiber.

Speicherdauer

Kontodaten speichern wir für die Dauer der Kontonutzung und löschen sie nach Löschantrag, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Anmeldedaten sind kurzlebig und werden regelmäßig erneuert. Technische Protokolle werden nur befristet zur Sicherheit vorgehalten (z. B. bis zu 90 Tage).

Steuer- und handelsrechtlich relevante Daten (z. B. Rechnungen, Zahlungsbelege) werden gemäß den österreichischen Aufbewahrungspflichten (§ 212 UGB, § 132 Bundesabgabenordnung – BAO) für mindestens sieben Jahre aufbewahrt.

Nach Kündigung des Kontos werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Du kannst vor Ablauf der Frist einen Export deiner Daten anfordern.

Waitlist-Daten werden spätestens 30 Tage nach der Launch-Benachrichtigung in deiner Region oder nach 24 Monaten ohne Launch gelöscht, sofern du dich zwischenzeitlich nicht als Kunde registriert hast.

Datenübermittlungen in Drittländer

Einige unserer Dienstleister haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA. Die Datenübermittlung in Drittländer erfolgt auf Grundlage folgender Garantien:

• EU-US Data Privacy Framework (DPF): Für Anbieter mit gültigem DPF-Zertifikat gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023.
• EU-Standardvertragsklauseln (SCC): Wo kein DPF-Zertifikat vorliegt, werden EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO verwendet.
• Einwilligung (Art. 49 Abs. 1 lit. a DSGVO): Für Dienste ohne Angemessenheitsbeschluss und ohne geeignete Garantien — insbesondere die freiwillige Anmeldung über Telegram — erfolgt die Übermittlung ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung.

Cookies & Local Storage

Das Speichern von Informationen auf deinem Endgerät und der Zugriff darauf richten sich nach § 165 Abs. 3 TKG 2021. Technisch notwendige Cookies, die für den Betrieb der Website unerlässlich sind, setzen wir ohne Einwilligung ein. Alle übrigen Cookies — insbesondere Analyse- und Marketing-Cookies — setzen wir nur nach deiner Einwilligung, die du im Cookie-Banner erteilst und jederzeit widerrufen kannst.

Technisch notwendige Cookies

• Notwendige Sitzungs‑Cookies für die sichere Anmeldung
• Präferenz‑Cookie für die ausgewählte Sprache (1 Jahr)
• Präferenz-Cookie für das erkannte Land/Region (1 Jahr)
• Cookie zur Speicherung des aktuell aktiven Shops für Shop-Betreiber (1 Jahr)
• Local-Storage-Eintrag zur Speicherung deiner Cookie-Auswahl

Einwilligungspflichtige Cookies

Im Cookie-Banner kannst du Analyse- und Marketing-Cookies getrennt zulassen. Marketing-Cookies können von Shop-Betreibern für ihre eigenen Shops aktiviert werden (z. B. Werbe-Pixel); auf der Plattform selbst setzen wir derzeit keine Marketing-Cookies. Ohne deine Einwilligung werden weder Analyse- noch Marketing-Cookies gesetzt.

Lokaler Speicher (Browser)

• Authentifizierungsdaten werden im Browser zwischengespeichert, um die Anmeldung aufrechtzuerhalten. Diese Daten werden bei der Abmeldung gelöscht.

Deine Rechte

Du hast gemäß DSGVO und DSG folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft, Berichtigung, Löschung
• Einschränkung der Verarbeitung und Widerspruch
• Datenübertragbarkeit
• Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen
• Beschwerde bei einer Aufsichtsbehörde

Die zuständige Aufsichtsbehörde in Österreich ist die Österreichische Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Zur Ausübung deiner Rechte kontaktiere uns bitte per E-Mail an die oben genannte Adresse. Wir werden dein Anliegen unverzüglich, spätestens jedoch innerhalb eines Monats, bearbeiten (Art. 12 Abs. 3 DSGVO).