Datenschutzerklärung

1. Verantwortlicher

RSP Verlag e.U.
Inhaber: Roman Streng
Ahornstraße 5b, 6063 Rum in Tirol, Österreich
E-Mail: [email protected]
Tel.: +43 512 218 200

Ein gesetzlich vorgeschriebener Datenschutzbeauftragter ist nicht zu bestellen (KMU).

2. Überblick der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich zur Abwicklung von Bestellungen, zur Bereitstellung der Website und zur Kommunikation mit unseren Kunden. Analyse- und Werbedienste setzen wir nur mit Ihrer Einwilligung ein, siehe Abschnitt 7. Ein Verkauf von Daten an Dritte findet nicht statt.

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis der folgenden Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO – Verarbeitung zur Vertragserfüllung (Bestellabwicklung, Versand, Rechnungsstellung)
• Art. 6 Abs. 1 lit. c DSGVO – Verarbeitung zur Erfüllung rechtlicher Verpflichtungen (z.B. steuerliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO – Verarbeitung aufgrund berechtigter Interessen (z.B. Betrieb und Sicherheit der Website)
• Art. 6 Abs. 1 lit. a DSGVO – Verarbeitung auf Grundlage Ihrer Einwilligung: KI-gestützte Funktionen im Kartengestalter (siehe Abschnitt 6) sowie Analyse- und Marketing-Dienste (siehe Abschnitt 7). Das Speichern von und der Zugriff auf Informationen in Ihrem Endgerät für diese Dienste erfolgt auf Grundlage Ihrer Einwilligung gemäß § 165 Abs. 3 TKG 2021 (sowie § 25 Abs. 1 TDDDG für Nutzer aus Deutschland). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

4. Welche Daten wir verarbeiten

Bestelldaten

Bei einer Bestellung erheben wir: Name, Anschrift, E-Mail-Adresse, Telefonnummer (optional), Zahlungsdaten (werden direkt an den Zahlungsdienstleister übermittelt, nicht bei uns gespeichert), bestellte Produkte, Bestelldatum und -betrag.

Kundenkonto

Falls Sie ein Kundenkonto anlegen: E-Mail-Adresse, Passwort (gehasht), gespeicherte Adressen, Bestellhistorie.

Inhalte im Kartengestalter

Wenn Sie eine Karte gestalten, verarbeiten wir die Texte und Bilder, die Sie dabei eingeben oder hochladen. Dazu kann ein Foto Ihrer handschriftlichen Unterschrift gehören. Diese Inhalte gehören zu Ihrem Entwurf und werden für die Herstellung Ihrer Bestellung verwendet.

Technische Zugriffsdaten

Bei jedem Seitenaufruf werden vom Hosting-Anbieter (DigitalOcean) sowie vom vorgeschalteten Content-Delivery-/Proxy-Dienst (Cloudflare) technische Protokolldaten erfasst: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp. Diese Daten dienen ausschließlich dem sicheren Betrieb der Website und werden nicht zur Identifizierung von Personen verwendet.

5. Cookies

Wir verwenden Cookies und ähnliche Technologien (z. B. den lokalen Speicher Ihres Browsers). Technisch notwendige Cookies setzen wir ohne Einwilligung, weil der Shop ohne sie nicht funktioniert. Analyse- und Marketing-Cookies setzen wir nur, wenn Sie im Cookie-Banner zustimmen. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite ändern oder widerrufen. Nach einem Widerruf werden die Dienste nicht mehr geladen und die Cookies auf unserer Domain gelöscht. Das Cookie IDE liegt auf einer Domain von Google (doubleclick.net) und kann von uns nicht gelöscht werden; Sie können es in Ihrem Browser löschen.

6. Eingesetzte Dienstleister (Auftragsverarbeiter)

KI-gestützte Funktionen im Kartengestalter

Der Kartengestalter bietet Ihnen vier Funktionen an, bei denen ein spezialisierter KI-Dienst mitarbeitet. Diese Funktionen sind ein zusätzliches Angebot und keine Voraussetzung für die Nutzung des Kartengestalters oder für eine Bestellung. Sie können jede Karte vollständig gestalten und bestellen, ohne eine davon zu verwenden. Die Kosten dieser Dienste trägt der RSP Kunstverlag; für Sie entsteht kein Aufpreis.

Wir fragen Sie bei jeder dieser Funktionen einzeln um Ihre Einwilligung, bevor etwas übermittelt wird. Eine Einwilligung gilt nur für die Funktion, für die Sie sie erteilt haben, und Sie können sie jederzeit widerrufen. Ohne Ihre Einwilligung wird nichts an den jeweiligen Dienst übermittelt.

1. Tippfehlerprüfung Ihres Kartentextes — Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland

Übermittelt werden die Texte, die Sie auf der Karte eingegeben haben. Enthalten diese Texte Namen oder Anschriften, werden diese mit übermittelt. Weitere Angaben — etwa Ihr Kundenkonto oder eine Kennung Ihrer Sitzung — werden nicht übermittelt. Nach den Bedingungen des Anbieters werden Ihre Texte nicht zum Training seiner Modelle verwendet und innerhalb von 30 Tagen gelöscht; Inhalte, die seine Missbrauchsprüfung anschlagen lässt, können dort bis zu zwei Jahre aufbewahrt werden. Datenschutzerklärung: anthropic.com/legal/privacy

2. Aufbereitung eines Fotos Ihrer Unterschrift — Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland

Übermittelt wird der Bildausschnitt, den Sie selbst bestätigt haben — sonst nichts. Stimmen Sie nicht zu, bereiten wir das Bild ausschließlich auf unseren eigenen Servern auf; es verlässt unser System dann nicht. Das hochgeladene Originalfoto wird bei uns unmittelbar nach der Aufbereitung gelöscht. Nach den Bedingungen des Anbieters wird das Bild nicht zum Training seiner Modelle verwendet; es wird dort für längstens 55 Tage protokolliert, ausschließlich zur Erkennung missbräuchlicher Nutzung, und danach gelöscht. Datenschutzerklärung: policies.google.com/privacy

3. Entwurf eines Kartentextes mit KI-Unterstützung — Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland

Übermittelt werden die Angaben, die Sie für den Entwurf eingeben (etwa Anlass, Anrede und Stichworte). Weitere Angaben werden nicht übermittelt. Für die Aufbewahrung beim Anbieter gilt dasselbe wie bei der Tippfehlerprüfung. Datenschutzerklärung: anthropic.com/legal/privacy

4. Gestaltung einer KI-Fotokarte aus Ihren Fotos — Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland

Übermittelt werden die Fotos, die Sie hochladen — am Computer oder über den Code vom Handy —, und daraus geschnittene Ausschnitte der Gesichter. Der Dienst erkennt die abgebildeten Personen und Tiere und beschreibt sie mit allgemeinen Merkmalen (etwa ungefähre Altersgruppe, Brille, Bart), damit sie im Bild wiedererkennbar bleiben; anschließend prüft er, ob das erzeugte Bild die Personen richtig wiedergibt. Gelingt ein Bild nicht, wird derselbe Auftrag einmal ohne die Gesichtsausschnitte erneut übermittelt. Lassen Sie eine Person nachbessern, werden das erzeugte Bild, das Gesicht dieser Person und gegebenenfalls ein neu hochgeladenes Foto erneut übermittelt. Eine Identifizierung der Personen findet nicht statt, und die Merkmale werden zu keinem anderen Zweck verwendet. Da das ganze Foto übertragen wird, sind auch Personen im Hintergrund enthalten, die nicht auf die Karte kommen. Bitte laden Sie nur Fotos hoch, mit deren Verwendung die abgebildeten Personen einverstanden sind — bei Kindern deren Erziehungsberechtigte.

Fehlt das Foto einer Person oder soll ein besseres Foto von ihr für eine Nachbesserung hinzugefügt werden, können Sie ihr einen Link senden, mit dem sie ihr Foto selbst hochlädt. Diese Person erteilt ihre Einwilligung dabei selbst; für ihr Foto gilt alles in diesem Abschnitt und in Abschnitt 8 ebenso. Den Link versenden Sie selbst (etwa per Nachricht) — wir erfahren weder Namen noch Kontaktdaten dieser Person.

Weitere Angaben — etwa Ihr Name, Ihr Kundenkonto oder eine Kennung Ihrer Sitzung — werden nicht übermittelt. Nach den Bedingungen des Anbieters werden die Bilder nicht zum Training seiner Modelle verwendet; sie werden dort für längstens 55 Tage protokolliert, ausschließlich zur Erkennung missbräuchlicher Nutzung, und danach gelöscht. Datenschutzerklärung: policies.google.com/privacy

Rechtsgrundlage für alle vier Funktionen ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Verarbeitung erfolgt auch außerhalb der Europäischen Union; die Übermittlung ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) abgesichert. Die Angaben zu den Bedingungen der Anbieter wurden zuletzt am 27. Oktober 2026 geprüft.

DigitalOcean (Hosting, Datenbank & Dateispeicher)

Unsere Website und unser Webshop werden bei DigitalOcean, LLC, 105 Edgeview Drive, Ste. 425, Broomfield, CO 80021, USA gehostet (App Platform). Personenbezogene Daten (u.a. Name, Anschrift, Bestell- und Kontodaten) werden in einer PostgreSQL-Datenbank bei DigitalOcean gespeichert, Produktbilder über DigitalOcean Spaces ausgeliefert. Speicherung und Datenbank befinden sich in einem Rechenzentrum in Frankfurt am Main (Deutschland). Da DigitalOcean ein US-Unternehmen ist, kann im Rahmen von Administration und Support ein Zugriff aus den USA nicht vollständig ausgeschlossen werden. Die Übermittlung in die USA ist durch die Zertifizierung von DigitalOcean unter dem EU-US Data Privacy Framework abgesichert; ein Auftragsverarbeitungsvertrag (AVV) ist abgeschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Datenschutzerklärung: digitalocean.com/legal/privacy-policy

Cloudflare (CDN / Reverse Proxy)

Sämtlicher Datenverkehr zur Website läuft über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (EU-Niederlassung: Cloudflare Germany GmbH, Rosental 7, 80331 München) als vorgeschalteten Proxy- und CDN-Dienst. Dabei wird der gesamte Datenverkehr einschließlich der IP-Adresse über Server von Cloudflare geleitet, um Angriffe abzuwehren und die Verfügbarkeit sicherzustellen. Cloudflare setzt hierzu das technisch notwendige Cookie „__cf_bm“ (Bot-Erkennung, Speicherdauer ca. 30 Minuten). Die Übermittlung in die USA ist durch die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework sowie ergänzende Standardvertragsklauseln abgesichert; ein Auftragsverarbeitungsvertrag (AVV) ist abgeschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Datenschutzerklärung: cloudflare.com/privacypolicy

Stripe Inc. (Zahlungsabwicklung)

Zahlungen werden über Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA abgewickelt. Zahlungsdaten (Kartennummer, IBAN etc.) werden ausschließlich von Stripe verarbeitet und gelangen nicht in unsere Systeme. Stripe ist PCI-DSS-zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: stripe.com/de/privacy

Resend Inc. (Transaktions-E-Mails)

Für den Versand von Bestellbestätigungen und weiteren transaktionalen E-Mails nutzen wir Resend Inc. Dabei werden E-Mail-Adresse, Name und bestellungsrelevante Daten übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung: resend.com/legal/privacy-policy

7. Analyse und Werbung (nur mit Einwilligung)

Die folgenden Dienste laden wir erst, nachdem Sie im Cookie-Banner zugestimmt haben (Analyse bzw. Marketing). Ohne Zustimmung wird keine Verbindung zu diesen Anbietern aufgebaut. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen“ widerrufen können.

Google Analytics 4 (Kategorie Analyse)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir nutzen Google Analytics 4, um zu verstehen, wie Besucher unseren Shop nutzen, und ihn zu verbessern. Verarbeitet werden aufgerufene Seiten, Verweildauer, Geräte- und Browserangaben, eine aus der IP-Adresse abgeleitete ungefähre Region sowie abgeschlossene Bestellungen mit Bestellnummer, Netto-Bestellwert und den bestellten Artikeln (Artikelnummer, Bezeichnung, Stückpreis, Menge). Die Daten werden über eine pseudonyme Kennung (Cookie _ga) zugeordnet, nicht über Ihren Namen. Google Analytics ist mit unserem Google-Ads-Konto verbunden; daraus gebildete Besuchergruppen können wir für Werbung bei Google nutzen (siehe Google Ads). Eine Übermittlung an Google LLC in die USA ist möglich und durch das EU-US Data Privacy Framework abgesichert (Art. 45 DSGVO). Ereignisdaten werden nach 2 Monaten, mit Ihrer Kennung verknüpfte Nutzerdaten nach 14 Monaten gelöscht.

Google Ads Conversion-Messung (Kategorie Marketing)

Anbieter: Google Ireland Limited (Anschrift wie oben). Wir schalten Anzeigen bei Google. Conversion-Messung: Kommen Sie über eine solche Anzeige zu uns, speichert ein Cookie (_gcl_*) die Klick-Kennung. Schließen Sie eine Bestellung ab, übermitteln wir Bestellnummer, Netto-Bestellwert und Währung an Google, damit wir sehen, welche Anzeigen zu Bestellungen führen. Remarketing: Außerdem meldet der Google-Tag Ihre Besuche an Google, damit wir Ihnen später auf anderen Websites und bei Google erneut Anzeigen zeigen können; Google setzt dazu u. a. das Cookie IDE (doubleclick.net). Name, E-Mail-Adresse oder Anschrift übermitteln wir nicht. Eine Übermittlung in die USA ist durch das EU-US Data Privacy Framework abgesichert.

Meta-Pixel (Kategorie Marketing)

Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Wir schalten Anzeigen auf Facebook und Instagram und messen mit dem Meta-Pixel, ob sie zu Besuchen und Bestellungen führen. Übermittelt werden: Seitenaufrufe, angesehene Produkte (Artikelnummer), Hinzufügen zum Warenkorb und abgeschlossene Bestellungen mit Bestellnummer, Netto-Bestellwert und Währung, dazu technische Angaben wie IP-Adresse und Browser. Meta kann diese Angaben mit Ihrem Facebook- oder Instagram-Konto verknüpfen, wenn Sie dort angemeldet sind.

Für die Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Meta allein verantwortlich. Wir haben mit Meta eine Vereinbarung zur gemeinsamen Verantwortlichkeit geschlossen („Zusatz für Verantwortliche“, https://www.facebook.com/legal/controller_addendum). Darin ist festgelegt, dass wir Sie über die gemeinsame Verarbeitung informieren und dass Meta dafür verantwortlich ist, Ihnen die Wahrnehmung Ihrer Rechte nach Art. 15–20 DSGVO hinsichtlich der bei Meta gespeicherten Daten zu ermöglichen; diese Rechte können Sie direkt gegenüber Meta geltend machen. Die automatische Erfassung von Klicks durch Meta haben wir abgeschaltet. Eine Übermittlung an Meta Platforms, Inc. in die USA ist durch das EU-US Data Privacy Framework abgesichert. Informationen dazu, wie Meta personenbezogene Daten verarbeitet, einschließlich der Kontaktdaten von Meta, der Rechtsgrundlage und der Möglichkeiten zur Wahrnehmung Ihrer Rechte, finden Sie in der Datenschutzrichtlinie von Meta unter https://www.facebook.com/about/privacy.

8. Speicherdauer

Bestelldaten und Rechnungen werden für 7 Jahre aufbewahrt (steuerliche Aufbewahrungspflicht nach österreichischem BAO / deutschem HGB). Kundenkonten werden auf Anfrage gelöscht, sofern keine laufenden Bestellungen oder gesetzlichen Aufbewahrungspflichten entgegenstehen. Technische Protokolldaten (Server-Logs) werden nach 30 Tagen gelöscht.

Ein hochgeladenes Originalfoto einer Unterschrift wird unmittelbar nach der Aufbereitung gelöscht; aufbewahrt wird nur die aufbereitete Fassung als Teil Ihres Entwurfs. Entwürfe werden mit dem Kundenkonto bzw. der Bestellung aufbewahrt. Wie lange die KI-Dienstleister übermittelte Inhalte aufbewahren, steht in Abschnitt 6. Cookies und Daten im lokalen Speicher Ihres Browsers werden nach der in Abschnitt 5 genannten Laufzeit oder nach Ihrem Widerruf gelöscht, soweit diese auf unserer Domain liegen und technisch von uns entfernt werden können (zu Drittanbieter-Cookies wie IDE siehe Abschnitt 5).

Fotos, Gesichtsausschnitte, die erkannten Merkmale, die von Ihnen vergebenen Namen und die nicht gewählten Bildvarianten einer KI-Fotokarte löschen wir automatisch: 30 Tage nach Ihrer letzten Bearbeitung, wenn Sie nicht bestellen — dann auch das gewählte Bild —, sonst 90 Tage nach der Bestellung. Nehmen Sie Ihre Einwilligung zurück, löschen wir diese Daten sofort. Das gewählte Bild ist Teil Ihres Auftrags und wird wie Ihre übrigen Bestelldaten aufbewahrt. Nach einer Bestellung erhalten Sie es zusätzlich als Datei über einen Link in der Bestellbestätigung; der Link ist 90 Tage gültig. Die Datei trägt einen dezenten Schriftzug „rsp-kunstverlag.com“ und in den Bilddaten den Vermerk, dass das Bild mit KI erzeugt wurde.

9. Datenweitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt ausschließlich:

• an Versanddienstleister (DHL, Österreichische Post) zur Zustellung Ihrer Bestellung (Name, Lieferanschrift)
• an die oben genannten Auftragsverarbeiter im Rahmen der technischen Betriebsführung
• an die in Abschnitt 6 genannten KI-Dienstleister, soweit Sie der jeweiligen Funktion ausdrücklich zugestimmt haben
• an Google Ireland Limited und Meta Platforms Ireland Limited im Rahmen der Analyse- und Marketingdienste nach Abschnitt 7 (nur nach Ihrer ausdrücklichen Einwilligung im Cookie-Banner)
• wenn wir gesetzlich dazu verpflichtet sind (z.B. Behördenanfragen)

Ein Verkauf von Daten an Dritte findet nicht statt.

10. Ihre Rechte (DSGVO Art. 15–22)

Sie haben das Recht auf:

• Auskunft – Welche Daten wir über Sie speichern (Art. 15)
• Berichtigung – Korrektur unrichtiger Daten (Art. 16)
• Löschung – Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 17)
• Einschränkung der Verarbeitung – In bestimmten Fällen können Sie die Verarbeitung einschränken lassen (Art. 18)
• Datenübertragbarkeit – Herausgabe Ihrer Daten in maschinenlesbarem Format (Art. 20)
• Widerspruch – Gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21)

Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzbehörde zu beschweren. In Österreich ist dies die:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Tel.: +43 1 52 152-0
E-Mail: [email protected] | Web: www.dsb.gv.at

Deutsche Kunden können sich auch an die zuständige Landesdatenschutzbehörde wenden.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der technischen Infrastruktur oder der Rechtslage anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.