Datenschutz

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG):

Welche Daten verarbeiten wir?

• Kontodaten: E‑Mail‑Adresse (für Login erforderlich)
• Bei Anmeldung über einen Identitätsanbieter (z. B. Google, Facebook oder Telegram) erhalten wir ggf. Namen und Profilbild
• Technische Zugangsdaten für die sichere Anmeldung und Sitzungsverwaltung
• Präferenzen: gewählte Sprache (Cookie „preferred_language“)
• Standortpräferenz: Land/Region (abgeleitet aus der IP-Adresse durch unseren CDN-Anbieter)
• Zahlungsdaten: Bei kostenpflichtigen Tarifen werden Zahlungsinformationen (Kreditkartendaten, Bankkontodaten) durch unseren Zahlungsdienstleister verarbeitet. Wir speichern keine vollständigen Zahlungsdaten.
• Bestelldaten: Bestellungen, Lieferadressen und Transaktionsdaten der Shop-Kunden werden im Rahmen der Auftragsverarbeitung gespeichert.
• Support/Kommunikation: Inhalte, die du uns aktiv sendest
• Inhalte, die du erstellst (Shop‑Name, Bilder, Produkte). Vermeide personenbezogene Daten in Inhalten, sofern nicht nötig.
• Zur Sicherheit können technisch notwendige Metadaten vorübergehend verarbeitet werden (z. B. IP‑Adresse, User‑Agent, Fehlerlogs)
• Waitlist-Daten: Wenn du dich für eine noch nicht gestartete Region voranmeldest, speichern wir deine E-Mail, das gewählte Land und deine kurze Beschreibung der Geschäftsidee aus dem Chat — ausschließlich zur Benachrichtigung bei Markt-Launch.
• Projektanfragen: Wenn du uns über die Kontaktseite eine Projektanfrage sendest, speichern wir deine Angaben zum Vorhaben (Branche, Antworten auf unsere Fragen, Notiz, ggf. Ort und Website-Adresse), deinen Namen, deine E-Mail-Adresse und/oder Telefonnummer sowie die gewünschte Rückrufzeit und den Zeitrahmen.

Zwecke

• Bereitstellung von Konto, Login und Sitzungsverwaltung
• Sicherheit des Dienstes, Missbrauchsverhinderung, Fehlerbehebung
• Abwicklung von Zahlungen und Abonnements
• KI-gestützte Funktionen zur Shop-Erstellung und Produktverwaltung
• Optional: Newsletterversand nach Einwilligung
• Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrung)
• Analyse der Websitenutzung zur Verbesserung unseres Angebots (nach Einwilligung)
• Waitlist-Verwaltung und einmalige Benachrichtigung bei Markt-Launch in deiner Region.
• Beantwortung von Projektanfragen über die Kontaktseite und Vorbereitung eines Angebots

Rechtsgrundlagen (DSGVO/DSG)

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage der EU-Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG 2018):

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Konto/Onboarding)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (Betrieb/Sicherheit)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Newsletter)
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. steuerliche Aufbewahrungspflichten nach § 132 BAO)

Pflicht zur Bereitstellung der Daten

Die Angabe deiner E-Mail-Adresse ist für die Registrierung und die Nutzung eines Kontos vertraglich erforderlich — ohne sie können wir kein Konto bereitstellen. Zahlungsdaten sind für den Abschluss eines kostenpflichtigen Tarifs erforderlich. Steuerlich relevante Daten müssen wir aufgrund gesetzlicher Vorgaben erheben. Alle übrigen Angaben (z. B. Profilbild, Telefonnummer, Newsletter-Anmeldung) sind freiwillig; ihre Nichtbereitstellung hat keine Auswirkungen auf die Nutzung der Plattform.

Empfänger/Auftragsverarbeiter

Zur Erbringung unserer Dienste setzen wir folgende Dienstleister ein, mit denen ggf. Auftragsverarbeitungsverträge (AVV) gem. Art. 28 DSGVO bestehen:

• Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeiter gem. Art. 28 DSGVO). Server-Standort: Deutschland (EU).
• Cloudflare, Inc. (USA): Content Delivery Network, Sicherheits-/DDoS-Schutz für die gesamte Plattform sowie Speicherung und Auslieferung von Medien (Produktbilder, Logos).
• Unser Anmeldedienst speichert deine E‑Mail und die notwendigen Anmeldedaten zur Kontoverwaltung.
• Bei Anmeldung über Google werden deine E‑Mail und ggf. Profilinformationen zur Authentifizierung bereitgestellt.
• Bei Anmeldung über Telegram wird das Login-Widget der Telegram Messenger Inc. eingebunden; dabei erhalten wir deine Telegram-ID, deinen Namen, Benutzernamen und ggf. dein Profilbild.
• Meta Platforms Ireland Ltd. (Facebook, Instagram): bei Anmeldung über Facebook sowie beim Verbinden einer Facebook-Seite oder eines Instagram-Kontos für automatische Beiträge (siehe Abschnitt „Facebook-Login, Facebook-Seiten und Instagram“).
• Ein zertifizierter Zahlungsdienstleister für die Abwicklung von Zahlungen und Abonnements der Shop-Betreiber.
• Ein KI-Dienstleister für die Verarbeitung von Texten und Bildern im Rahmen der KI-gestützten Funktionen (Produktbeschreibungen, Bildanalyse, Assistent).
• Ein KI-Bildgenerierungsdienst für die Erstellung und Bearbeitung von Produktbildern.
• Ein E-Mail-Versanddienst für E-Mails der Plattform (z. B. die Benachrichtigung unseres Teams über eine Projektanfrage) und für den optionalen Newsletterversand durch Shop-Betreiber.
• Ein E-Mail-Anbieter, bei dem unser Postfach liegt; dort gehen E-Mails an uns und die Benachrichtigungen über Projektanfragen ein.

Hosting

Diese Website wird bei der Hetzner Online GmbH (Deutschland) gehostet. Server-Standort ist Deutschland; eine Übermittlung in Drittländer findet durch das Hosting selbst nicht statt. Beim Besuch der Website erfasst der Server automatisch technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Typ). Diese Daten werden ausschließlich zur Sicherstellung des Betriebs verarbeitet und nach spätestens 90 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Content Delivery Network, Angriffsschutz & Medienspeicherung

Wir nutzen für die gesamte Plattform das Content-Delivery-Netzwerk und den DDoS-/Sicherheitsschutz von Cloudflare, Inc. (101 Townsend St, San Francisco, CA, USA) als Auftragsverarbeiter. Sämtliche Aufrufe unserer Website werden technisch über die Server von Cloudflare geleitet; dabei verarbeitet Cloudflare Verbindungsdaten (insbesondere IP-Adresse, aufgerufene URL, Header-Informationen und das daraus abgeleitete Herkunftsland) zur Auslieferung, Zwischenspeicherung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, sicheren und verfügbaren Bereitstellung).

Über denselben Anbieter werden auch Medien (Produktbilder, Shop-Logos, Banner) gespeichert und ausgeliefert. Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln.

Nicht mehr verwendete Mediendateien (verwaiste Dateien) werden automatisch und regelmäßig gelöscht.

Zahlungsabwicklung

Für die Abwicklung von Zahlungen und Abonnements nutzen wir einen zertifizierten Zahlungsdienstleister. Bei einem Bezahlvorgang werden die von dir eingegebenen Zahlungsdaten (z. B. Kreditkartennummer, Bankverbindung) direkt vom Zahlungsdienstleister verarbeitet. Wir speichern keine vollständigen Zahlungsdaten auf unseren Servern.

Der Zahlungsdienstleister verarbeitet diese Daten als eigenständiger Verantwortlicher zur Zahlungsabwicklung, Betrugsprävention und zur Erfüllung gesetzlicher Pflichten. Der Zahlungsdienstleister ist unter dem EU-US Data Privacy Framework zertifiziert.

Shop-Betreiber können über den Zahlungsdienstleister Zahlungen ihrer Kunden empfangen. In diesem Fall handelt der Zahlungsdienstleister als Auftragsverarbeiter für den jeweiligen Shop-Betreiber. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Anmeldung über Telegram

Wir bieten optional eine Anmeldung über Telegram an. Dabei wird das offizielle Login-Widget der Telegram Messenger Inc. eingebunden und eine Verbindung zu Telegram-Servern hergestellt, wobei deine IP-Adresse übermittelt wird. Meldest du dich an, erhalten wir deine Telegram-ID, deinen Namen, deinen Benutzernamen und ggf. dein Profilbild. Telegram hat seinen Sitz außerhalb des EWR; für diesen Anbieter besteht weder ein Angemessenheitsbeschluss noch eine Zertifizierung nach dem EU-US Data Privacy Framework. Die Nutzung des Telegram-Logins ist freiwillig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO); alternative Anmeldewege stehen dir zur Verfügung.

Facebook-Login, Facebook-Seiten und Instagram (Meta)

Wir bieten optional eine Anmeldung über Facebook an (Facebook Login der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland). Meldest du dich damit an, erhalten wir von Meta deinen Namen, deine E-Mail-Adresse und deine Facebook-Nutzer-ID (ggf. dein Profilbild), um dein Konto anzulegen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Nutzung ist freiwillig, alternative Anmeldewege stehen dir zur Verfügung.

Shop- und Website-Betreiber können im Dashboard eine Facebook-Seite verbinden, damit Shopyai Beiträge (z. B. zu neuen Produkten, Seiten oder von dir angelegten Themen) auf dieser Facebook-Seite veröffentlicht. Dafür erhalten wir von Meta Name, ID und je ein Seiten-Zugriffstoken der Seiten, die du beim Verbinden freigibst; die Token speichern wir verschlüsselt, dein persönliches Profil wird nicht gespeichert. An Meta übermitteln wir dabei nur den Beitragstext und ggf. die Adresse eines Bildes. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung kann im Dashboard getrennt werden; Token und Beitragsverlauf werden dann aus der Datenbank gelöscht (Sicherungskopien innerhalb von 7 Tagen).

Ebenso kann im Dashboard ein Instagram-Business- oder Creator-Konto verbunden werden — entweder über deine Facebook-Seite oder per direkter Anmeldung mit dem Instagram-Konto (Instagram-Login). Dafür erhalten wir von Meta die ID und den Nutzernamen des Instagram-Kontos sowie ein Zugriffstoken (bei der Verbindung über Facebook das Token deiner Facebook-Seite, bei der direkten Anmeldung ein Token deines Instagram-Kontos, das 60 Tage gilt und das wir vor Ablauf erneuern); die Token speichern wir verschlüsselt. Zweck ist die Veröffentlichung von Beiträgen in deinem Auftrag; an Meta übermitteln wir dabei nur den Beitragstext und die Adresse eines Bildes. Empfänger ist Meta Platforms Ireland Ltd. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wie du die Verbindung trennst und die Daten löschen lässt, steht auf der Löschseite (Link unten).

Meta Platforms, Inc. (USA) ist nach dem EU-US Data Privacy Framework zertifiziert. Für die Verarbeitung durch Meta selbst gilt die Datenschutzrichtlinie von Meta.

Anleitung zur Löschung der von Facebook und Instagram erhaltenen Daten

E-Mail-Marketing

Shop-Betreiber können optional einen E-Mail-Marketing-Dienst nutzen, um Newsletter an ihre Kunden zu versenden. Die Verarbeitung der E-Mail-Adressen erfolgt nur nach ausdrücklicher Einwilligung der Empfänger (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (z. B. über den Abmeldelink im Newsletter). Der E-Mail-Dienstleister verarbeitet die Daten als Auftragsverarbeiter im EWR.

Projektanfragen über die Kontaktseite

Auf der Kontaktseite kannst du uns eine Anfrage für ein Website-Projekt senden. Dafür beantwortest du einige Fragen zu deinem Vorhaben und gibst deinen Namen sowie eine E-Mail-Adresse oder Telefonnummer an. Ohne Namen und Kontaktmöglichkeit können wir dir nicht antworten und nehmen die Anfrage deshalb nicht an; alle übrigen Angaben sind freiwillig. Gespeichert wird die Anfrage erst, wenn du sie absendest — zusammen mit der Sprache der Seite und einer zufälligen Kennung, die doppelte Anfragen verhindert. Wir verwenden die Angaben nur, um deine Anfrage zu beantworten und ein Angebot vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage); fragst du für ein Unternehmen an, unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Damit wir nur passende Fragen stellen, wird deine Notiz automatisch ausgewertet: Zuerst suchen wir darin nach Stichwörtern (Branche, Ort, Website-Adresse, Sprachen). Nur wenn dabei keine Branche erkannt wird, kann der Text der Notiz an unseren KI-Dienstleister übermittelt werden (siehe „KI-gestützte Funktionen“); er schlägt lediglich eine Branche aus unserer festen Liste und dieselben Angaben vor. Bei dieser Auswertung speichern wir nichts, und über jeden Vorschlag entscheidest du selbst, bevor du die Anfrage sendest.

Nach dem Absenden landet die Anfrage in unserem internen Postfach, und unser Team erhält per E-Mail eine Benachrichtigung mit deinen Angaben. Für den Versand nutzen wir einen E-Mail-Versanddienst als Auftragsverarbeiter (siehe „Empfänger/Auftragsverarbeiter“). Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je Verbindung: Dafür wird deine IP-Adresse höchstens 26 Stunden lang im Arbeitsspeicher gezählt und nicht zusammen mit der Anfrage gespeichert (Art. 6 Abs. 1 lit. f DSGVO).

Eine Notiz aus dem Eingabefeld der Startseite legt dein Browser im lokalen Speicher (Local Storage) ab, damit sie auf der Kontaktseite ankommt; nach dem erfolgreichen Senden wird sie dort gelöscht. Für die Dauer deines Besuchs merkt sich der Browser außerdem die zufällige Kennung der Anfrage (Session Storage). Beides ist für die von dir gewünschte Anfrage technisch erforderlich (§ 165 Abs. 3 TKG 2021).

Analyse & Statistiken

Wir nutzen eigene Analyse-Werkzeuge, um die Nutzung der Plattform zu verstehen und zu verbessern. Dabei werden keine personenbezogenen Daten an Dritte übermittelt. Perspektivisch können weitere Analysedienste hinzugefügt werden — dies geschieht nur nach vorheriger Einwilligung (Consent-Banner). Ohne deine Zustimmung werden keine Analyse-Cookies gesetzt.

KI-gestützte Funktionen

Shopyai bietet KI-gestützte Funktionen zur Unterstützung bei der Shop-Erstellung und Produktverwaltung. Dabei kommen folgende Dienste zum Einsatz:

• Verarbeitung von Texten und Bildern für Produktbeschreibungen, Bildanalyse, Kategorisierung und Assistenz-Funktionen. Es werden nur die für die jeweilige Funktion notwendigen Daten (eingegebene Texte, hochgeladene Bilder) übermittelt.
• KI-basierte Bildgenerierung und -bearbeitung (Text-zu-Bild, Bild-zu-Bild, Hintergrundentfernung). Es werden nur Bilddaten und Beschreibungstexte übermittelt.

Personenbezogene Daten werden dabei nicht dauerhaft beim KI-Anbieter gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die eingesetzten KI-Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert.

Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die KI-gestützten Funktionen erstellen ausschließlich Vorschläge (z. B. Texte, Bilder, Kategorien), über deren Verwendung du selbst entscheidest. Ein Profiling zu Werbezwecken führen wir nicht durch.

Suchmaschinenindexierung

Zur Verbesserung der Auffindbarkeit von Shops informieren wir Suchmaschinen über neue oder geänderte Shop-Seiten. Dabei werden lediglich URLs öffentlich zugänglicher Seiten übermittelt — keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auffindbarkeit).

Kartendienste

Zur Anzeige von Standortinformationen (z. B. Lieferadressen in der Bestellverwaltung) kann ein externer Kartendienst eingebunden werden. Dabei werden Daten (u. a. IP-Adresse) an den Kartendienstanbieter übermittelt. Dies geschieht erst nach aktiver Nutzerinteraktion (Klick). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert.

Auftragsverarbeitung (SaaS)

Als SaaS-Plattform verarbeiten wir Daten im Auftrag unserer Shop-Betreiber (Auftragsverarbeitung gem. Art. 28 DSGVO). Shop-Betreiber sind selbst Verantwortliche für die personenbezogenen Daten ihrer Kunden. Wir stellen einen Auftragsverarbeitungsvertrag (AVV) bereit und verarbeiten diese Daten ausschließlich nach Weisung der Shop-Betreiber.

Speicherdauer

Kontodaten speichern wir für die Dauer der Kontonutzung und löschen sie nach Löschantrag, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Anmeldedaten sind kurzlebig und werden regelmäßig erneuert. Technische Protokolle werden nur befristet zur Sicherheit vorgehalten (z. B. bis zu 90 Tage).

Steuer- und handelsrechtlich relevante Daten (z. B. Rechnungen, Zahlungsbelege) werden gemäß den österreichischen Aufbewahrungspflichten (§ 212 UGB, § 132 Bundesabgabenordnung – BAO) für mindestens sieben Jahre aufbewahrt.

Nach Kündigung des Kontos werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Du kannst vor Ablauf der Frist einen Export deiner Daten anfordern.

Waitlist-Daten werden spätestens 30 Tage nach der Launch-Benachrichtigung in deiner Region oder nach 24 Monaten ohne Launch gelöscht, sofern du dich zwischenzeitlich nicht als Kunde registriert hast.

Projektanfragen speichern wir, bis sie erledigt sind. Entsteht daraus eine Zusammenarbeit, bewahren wir sie für deren Dauer auf; andernfalls löschen wir sie, sobald wir sie nicht mehr benötigen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf deinen Wunsch löschen wir eine Anfrage jederzeit.

Datenübermittlungen in Drittländer

Einige unserer Dienstleister haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA. Die Datenübermittlung in Drittländer erfolgt auf Grundlage folgender Garantien:

• EU-US Data Privacy Framework (DPF): Für Anbieter mit gültigem DPF-Zertifikat gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023.
• EU-Standardvertragsklauseln (SCC): Wo kein DPF-Zertifikat vorliegt, werden EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO verwendet.
• Einwilligung (Art. 49 Abs. 1 lit. a DSGVO): Für Dienste ohne Angemessenheitsbeschluss und ohne geeignete Garantien — insbesondere die freiwillige Anmeldung über Telegram — erfolgt die Übermittlung ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung.

Cookies & Local Storage

Das Speichern von Informationen auf deinem Endgerät und der Zugriff darauf richten sich nach § 165 Abs. 3 TKG 2021. Technisch notwendige Cookies, die für den Betrieb der Website unerlässlich sind, setzen wir ohne Einwilligung ein. Alle übrigen Cookies — insbesondere Analyse- und Marketing-Cookies — setzen wir nur nach deiner Einwilligung, die du im Cookie-Banner erteilst und jederzeit widerrufen kannst.

Technisch notwendige Cookies

• Notwendige Sitzungs‑Cookies für die sichere Anmeldung
• Präferenz‑Cookie für die ausgewählte Sprache (1 Jahr)
• Präferenz-Cookie für das erkannte Land/Region (1 Jahr)
• Cookie zur Speicherung des aktuell aktiven Shops für Shop-Betreiber (1 Jahr)
• Local-Storage-Eintrag zur Speicherung deiner Cookie-Auswahl

Einwilligungspflichtige Cookies

Im Cookie-Banner kannst du Analyse- und Marketing-Cookies getrennt zulassen. Marketing-Cookies können von Shop-Betreibern für ihre eigenen Shops aktiviert werden (z. B. Werbe-Pixel); auf der Plattform selbst setzen wir derzeit keine Marketing-Cookies. Ohne deine Einwilligung werden weder Analyse- noch Marketing-Cookies gesetzt.

Lokaler Speicher (Browser)

• Authentifizierungsdaten werden im Browser zwischengespeichert, um die Anmeldung aufrechtzuerhalten. Diese Daten werden bei der Abmeldung gelöscht.

Deine Rechte

Du hast gemäß DSGVO und DSG folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft, Berichtigung, Löschung
• Einschränkung der Verarbeitung und Widerspruch
• Datenübertragbarkeit
• Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen
• Beschwerde bei einer Aufsichtsbehörde

Die zuständige Aufsichtsbehörde in Österreich ist die Österreichische Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Zur Ausübung deiner Rechte kontaktiere uns bitte per E-Mail an die oben genannte Adresse. Wir werden dein Anliegen unverzüglich, spätestens jedoch innerhalb eines Monats, bearbeiten (Art. 12 Abs. 3 DSGVO).