Datenschutzerklärung

PRINTSTEP s.r.o.

Gültig ab: 1. Mai 2026 Version: 1.0

1. Einleitende Bestimmungen

1.1 Verantwortlicher für die Datenverarbeitung

Verantwortlicher für die Datenverarbeitung im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (im Folgenden „DSGVO“) ist das Unternehmen:

PRINTSTEP s.r.o. Identifikationsnummer: 27947807 Umsatzsteuer-Identifikationsnummer: CZ27947807 Sitz: Jičínská 226/17, 130 00 Prag 3, Tschechische Republik, eingetragen im Handelsregister des Stadtgerichts Prag, Abteilung C, Einlage 128622 (im Folgenden „Verantwortlicher“ oder „wir“)

1.2 Kontaktdaten für Fragen zum Datenschutz

E-Mail: [email protected] (Anfragen von betroffenen Personen)
Telefon: +420 246 082 412
Postanschrift: entspricht dem Sitz des Verantwortlichen

1.3 Datenschutzbeauftragter (DSB)

Der Verantwortliche ist nicht verpflichtet, einen Datenschutzbeauftragten gemäß Art. 37 Abs. 1 DSGVO zu benennen (er verarbeitet weder personenbezogene Daten in großem Umfang noch besonders schützenswerte Kategorien). Alle Anfragen und Anträge von betroffenen Personen werden direkt vom Verantwortlichen unter den oben genannten Kontaktdaten entgegengenommen.

1.4 Webplattformen, für die diese Datenschutzerklärung gilt

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten über:

easybag.com (internationaler Online-Shop)
taskahned.cz und taskahned.sk (lokale Online-Shops in Tschechien/Slowakei)
etwaige weitere Domains des Verantwortlichen, die in der Aufstellung der Verarbeitungstätigkeiten aufgeführt sind

2. Begriffsbestimmungen

Begriff	Bedeutung
Personenbezogene Daten	Jede Information über eine identifizierte oder identifizierbare natürliche Person
Betroffene Person	Natürliche Person, deren personenbezogene Daten wir verarbeiten (Sie)
Verantwortlicher	PRINTSTEP s.r.o. – legt die Zwecke und Mittel der Verarbeitung fest
Auftragsverarbeiter	Dritter, der Daten im Auftrag des Verantwortlichen verarbeitet (z. B. Hosting)
Verarbeitung	Jeder Vorgang im Zusammenhang mit Daten (Erhebung, Speicherung, Nutzung, Weitergabe, Löschung)
Einwilligung	Freier, spezifischer, informierter und eindeutiger Willensausdruck

3. Welche personenbezogenen Daten erheben wir

3.1 Beim Besuch der Website (automatisch)

IP-Adresse und ungefähre geolokalisierung (auf Stadtebene)
Browsertyp und -version, Betriebssystem
Datum und Uhrzeit des Besuchs, besuchte Seiten, Verweildauer auf der Seite
Verweisende URL (Referrer)
Sitzungskennung (Session-Cookie)
Durch den Dienst Google reCAPTCHA Enterprise erfasste Daten (siehe Artikel 8)

3.2 Bei der Registrierung und Führung eines Benutzerkontos

Vor- und Nachname
E-Mail-Adresse
Telefonnummer (optional)
Passwort (wird ausschließlich in gehashter Form gespeichert – bcrypt)

3.3 Bei der Bestellung von Waren

Identifikationsdaten: Vorname, Nachname, Unternehmens-ID, Umsatzsteuer-Identifikationsnummer (bei Unternehmern)
Kontaktdaten: Telefonnummer, E-Mail-Adresse
Rechnungsadresse
Lieferadresse
Bestelldaten (Waren, Menge, Preis)
Zahlungsdaten werden von uns weder erfasst noch gespeichert (die Verarbeitung erfolgt durch Stripe / GoPay als eigenständige Verantwortliche – siehe Artikel 5)

3.4 Bei der Kommunikation mit dem Helpdesk

E-Mail-Adresse des Absenders
Inhalt der Nachricht und alle Anhänge
Eventuelle Angaben, die Sie selbst machen (Telefonnummer, Bestellnummer usw.)
Aufzeichnungen der Konversationen (interne Tickets, Notizen der Mitarbeiter)

3.5 Beim Ausfüllen von Formularen (Kontakt-, Feedback-, Anfrageformular)

Beispiele für Formulare: Kontaktformular, Feedback-Formular (/Referenzen), B2B-Anfrageformular, Angebotsanfrage.

Erfasste Daten:

Vor- und Nachname
E-Mail-Adresse
Telefonnummer (optional)
Bestellnummer (optional)
Inhalt der Nachricht / Anfrage
Bewertung (1–5 Sterne, nur beim Feedback-Formular)
Gegebenenfalls angehängtes Foto (max. 5 MB, nur JPG/PNG/WebP/PDF)
Technische Daten: IP-Adresse, User-Agent, Zeitstempel (Audit-Trail)

3.6 Bei Abonnement des Newsletters und von Marketingmitteilungen

E-Mail-Adresse
Aufzeichnung der Erteilung und eines eventuellen Widerrufs der Einwilligung
Aufzeichnung der versendeten Mitteilungen und Ihrer Interaktion mit diesen (Öffnen, Klicken)

3.7 Cookies und ähnliche Technologien

Siehe Artikel 7 weiter unten.

4. Verarbeitungszwecke und Rechtsgrundlage

Verarbeitungszweck	Datenkategorien	Rechtsgrundlage	Aufbewahrungsfrist
Auftragsabwicklung und Warenlieferung	Identifikations-, Kontakt- und Adressdaten sowie Bestelldaten	Vertragserfüllung (Art. 6 Abs. 1 Buchstabe b DSGVO)	Vertragsdauer + 4 Jahre (Gewährleistung, Reklamationen)
Ausstellung von Steuerbelegen und Führung der Buchhaltung	Identifikationsdaten, Rechnungsdaten	Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 Buchstabe c) – Gesetz Nr. 235/2004 Slg. über die Umsatzsteuer, Nr. 563/1991 Slg. über das Rechnungswesen	10 Jahre ab Ende des Steuerzeitraums
Betrieb des Benutzerkontos	Identifikations-, Kontakt- und Authentifizierungsdaten	Erfüllung des Vertrags (Art. 6 Abs. 1 Buchstabe b)	Bis zur Löschung des Kontos + 1 Jahr
Bearbeitung von Reklamationen	Identifikationsdaten, Kontaktdaten, Bestelldaten	Erfüllung gesetzlicher Verpflichtungen + Vertragserfüllung	4 Jahre ab Abschluss der Reklamation
Kommunikation mit dem Helpdesk	Kontaktdaten, Inhalt der Kommunikation	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Kundensupport	7 Jahre ab der letzten Kommunikation
Bearbeitung von Formularanfragen / Rückmeldungen	Kontaktdaten, Inhalt, Fotos	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Bearbeitung der Anfrage	2 Jahre ab dem letzten Kontakt
Spamschutz (reCAPTCHA Enterprise)	Technische, verhaltensbezogene	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Sicherheit	6 Monate (Speicherung durch Google)
Ratenbegrenzung und Schutz vor Missbrauch	IP-Adresse, Zeitstempel	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	1 Stunde (Redis-Cache)
Versand von Werbemitteilungen (Newsletter)	E-Mail-Adresse	Einwilligung (Art. 6 Abs. 1 Buchstabe a) oder berechtigtes Interesse (Kunde gemäß § 7 Abs. 3 des Gesetzes Nr. 480/2004 Sb.)	Bis zum Widerruf der Einwilligung oder 5 Jahre Inaktivität
Werbebezielung und Remarketing	Online-Identifikatoren, Nutzerverhalten	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Gemäß den Einstellungen in der Cookie-Leiste, max. 13 Monate
Analyse und Messung der Website-Leistung	Anonyme/pseudonyme Verhaltensdaten	Einwilligung (Art. 6 Abs. 1 Buchstabe a) – Analyse-Cookies	Entsprechend den Einstellungen, max. 26 Monate
Herkunft des Besuchs bei der Bestellung – Messung der Wirksamkeit der Marketingkanäle (ohne Cookies)	Herkunftskategorie, Kampagnenparameter (UTM), Domain der verweisenden Website, Einstiegsseite	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	Zusammen mit der Bestellung
Durchsetzung rechtlicher Ansprüche	Alle relevanten	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	Für die Dauer der Verjährungsfrist (max. 10 Jahre)

5. Empfänger personenbezogener Daten (Auftragsverarbeiter)

Wir übermitteln Ihre personenbezogenen Daten an die folgenden Auftragsverarbeiter, die diese ausschließlich auf unsere Anweisung hin und gemäß den Bestimmungen einer Vereinbarung zur Auftragsverarbeitung (DPA) verarbeiten:

5.1 Hosting und Infrastruktur

Auftragsverarbeiter	Zweck	Sitz	Übermittlung außerhalb der EU
Hetzner Online GmbH	Server-Hosting, Datenbanken, Backups	Deutschland (Falkenstein, Nürnberg)	Nein (EU)
Forpsi (Internet CZ, a.s.)	Backup-Speicher (Object Storage)	Tschechische Republik	Nein (EU)
Cloudflare, Inc.	CDN, DDoS-Schutz, WAF	USA (Sitz); EU-Edge-Server	Ja – Absicherung durch Standardvertragsklauseln (SCC) + Data Privacy Framework

5.2 Die Zahlungsdienste

Stripe und GoPay treten als eigenständige Verantwortliche für Zahlungsvorgänge auf. Wir übermitteln ihnen lediglich die für die Zahlungsabwicklung erforderlichen Daten; Zahlungsdaten (Kartennummer, CVC) geben Sie direkt bei ihnen ein, wir speichern diese nicht.

Auftragsverarbeiter	Zweck	Sitz
Stripe Payments Europe, Ltd.	Abwicklung von Kartenzahlungen	Irland
GoPay s.r.o.	Zahlungsabwicklung (Karten, Banküberweisung, E-Wallets)	Tschechische Republik

5.3 Warenlieferung

Wir übermitteln dem Transportunternehmen lediglich die für die Zustellung erforderlichen Daten (Name, Adresse, Telefonnummer, E-Mail-Adresse). Die Transportunternehmen sind in Bezug auf diese Daten eigenständige Verantwortliche.

Transportunternehmen	Sitz
PPL CZ s.r.o.	Tschechische Republik
GLS	Tschechische Republik
Direct Parcel Distribution CZ s.r.o. (DPD)	Tschechische Republik
GEIS	Tschechische Republik

5.4 Kommunikationsdienste

Auftragsverarbeiter	Zweck	Sitz
PRINTSTEP s.r.o. – interner SMTP-Server (Postal)	Versand von Transaktions-E-Mails	Hetzner DE (eigene Infrastruktur)
Google Ireland Limited	Google Workspace (interne E-Mails des Verantwortlichen)	Irland

5.5 Sicherheits- und Antispam-Dienste

Auftragsverarbeiter	Zweck	Sitz	Übermittlung außerhalb der EU
Google Ireland Limited / Google LLC	reCAPTCHA Enterprise – Schutz von Formularen vor Spam (siehe Artikel 8)	Irland / USA	Ja – SCC + Data Privacy Framework

Anmerkung: Zur Authentifizierung der Administratoren nutzt der Verantwortliche eine eigene, selbst gehostete Installation der Open-Source-Software Logto auf seinen eigenen Servern (Hetzner). Die Daten der Administratoren werden ausschließlich vom Verantwortlichen auf seiner eigenen Infrastruktur verarbeitet – es gibt somit keinen externen Auftragsverarbeiter für Authentifizierungsdienste.

5.6 Lokalisierungs- und Übersetzungsdienste

Auftragsverarbeiter	Zweck	Sitz	Anmerkung
DeepL SE	Übersetzung von Webtexten	Deutschland	Nein (EU)
Anthropic PBC	Claude AI – Übersetzung der Benutzeroberfläche	USA	Ausschließlich technische Webtexte, keine personenbezogenen Daten von Kunden

5.7 Analytik und Marketing (nur mit Einwilligung)

Auftragsverarbeiter	Zweck	Sitz
Google Ireland Limited	Google Analytics 4, Google Tag Manager (GTM)	Irland
Meta Platforms Ireland Limited	Facebook Pixel	Irland

Hinweis: GTM selbst speichert keine personenbezogenen Daten, sondern dient als Container für die Ausführung weiterer Tracking-Skripte (GA4, Pixel usw.). Die konkrete Verarbeitung erfolgt im Rahmen der einzelnen verbundenen Dienste.

5.8 Externe Buchhaltungsdienstleister

Wir übermitteln Buchhaltungsunterlagen an externe Buchhaltungsunternehmen zum Zweck der Buchführung und Steuerberatung (gesetzliche Verpflichtung gemäß Gesetz Nr. 563/1991 Slg. über die Buchführung).

Eine aktuelle Liste unserer externen Buchhaltungspartner stellen wir Ihnen auf Anfrage unter der Adresse [email protected]. zur Verfügung.

6. Übermittlung personenbezogener Daten in Drittländer

Einige unserer Auftragsverarbeiter haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) oder verarbeiten Daten außerhalb des EWR, insbesondere in den USA. In diesen Fällen wenden wir folgende Garantien an:

Von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC)
Data Privacy Framework (DPF) – für im Rahmen des EU-US Data Privacy Framework zertifizierte Auftragsverarbeiter
Verträge über die Verarbeitung personenbezogener Daten (DPA) mit jedem Auftragsverarbeiter
Risikobewertung der Übermittlung (TIA – Transfer Impact Assessment) gemäß dem Urteil des Europäischen Gerichtshofs in der Rechtssache C-311/18 (Schrems II)

Konkrete Auftragsverarbeiter außerhalb des EWR sind in der Tabelle in Artikel 5 aufgeführt.

7. Cookies und ähnliche Technologien

7.1 Was sind Cookies?

Cookies sind kleine Textdateien, die Ihr Browser beim Besuch einer Website speichert. Sie dienen dazu, Einstellungen zu speichern, die Authentifizierung durchzuführen und die Besucherzahlen zu messen.

7.2 Kategorien der auf der Website verwendeten Cookies

Kategorie	Zweck	Rechtsgrundlage	Speicherdauer	Beispiele
Notwendige Cookies	Funktionalität der Website (Warenkorb, Anmeldung, Sprache)	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – ohne diese funktioniert die Website nicht	Sitzungsdauer oder max. 1 Jahr	session, cart, locale
Sicherheitscookies	Schutz vor Spam und Angriffen (reCAPTCHA)	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	6 Monate	_GRECAPTCHA
Funktional	Speicherung von Einstellungen (Design, Region)	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 1 Jahr	theme, region
Analytisch	Messung der Besucherzahlen, A/B-Tests	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 26 Monate	_ga, _ga_*
Marketing	Anzeigenausrichtung, Remarketing	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 13 Monate	_fbp, _gcl_au

7.3 Verwaltung der Einwilligung zu Cookies

Bei Ihrem ersten Besuch wird Ihnen eine Cookie-Leiste angezeigt. Sie können Ihre Einwilligung jederzeit ändern oder widerrufen:

Durch Klicken auf den Link „Cookie-Einstellungen“ in der Fußzeile der Website
In den Einstellungen Ihres Browsers (Löschen oder Blockieren von Cookies)

Der Widerruf der Einwilligung hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die vor dem Widerruf der Einwilligung erfolgt ist.

7.4 Technische Abwicklung der Messung (serverseitige Messung und Einwilligungsmodus)

Zur Messung der Besucherzahlen verwenden wir Google Analytics 4 und Google Tag Manager. Die Messanfragen werden nicht direkt an die Server von Google gesendet, sondern zunächst an unseren eigenen Server unter der Domain gtm.easybag.com (sog. serverseitiger Google Tag Manager), den wir in einem Rechenzentrum in Deutschland betreiben. Erst von dort aus werden die Daten an Google Analytics 4 (Google Ireland Limited) weitergeleitet. Dadurch behalten wir die Kontrolle darüber, welche Daten an Google übermittelt werden.

Wir verwenden den Google Consent Mode v2 (erweiterter Modus):

Vor der Einwilligung speichern wir keine Analyse- oder Marketing-Cookies, und an Google werden ausschließlich anonyme Daten ohne Identifikatoren und ohne Cookies (sogenannte „cookieless pings“). Gleichzeitig ist die Redaktion von Werbedaten (ads_data_redaction) aktiviert.
Nach Erteilung der Einwilligung werden Analyse- bzw. Marketing-Cookies aktiviert und die Messung erfolgt in vollem Umfang.
Die Verweigerung der Einwilligung hat keinen Einfluss auf die Funktionalität der Website.

Google Analytics 4 speichert Ihre IP-Adresse nicht; es verwendet sie lediglich zur Ableitung eines ungefähren Standorts und verwirft sie anschließend. Daten auf Nutzer- und Ereignisebene speichern wir in Google Analytics 4 für einen Zeitraum von 14 Monaten.

Ihre Einwilligungsentscheidung speichern wir nicht in einem Cookie, sondern im Browserspeicher (localStorage) unter dem Schlüssel „eb_consent_v1“; diese enthält lediglich die Angabe, ob eine Einwilligung erteilt wurde, sowie das Datum der Einwilligung. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website ändern oder durch Löschen der Webdaten in Ihrem Browser widerrufen. Wir nutzen keine externe Plattform zur Einwilligungsverwaltung – die Cookie-Leiste ist unsere eigene Lösung und gibt Ihre Daten nicht an Dritte weiter.

7.5 Übermittlung von E-Shop-Ereignissen an Meta (Conversions API)

Ausgewählte Ereignisse aus dem E-Shop – Produktansicht, Hinzufügen zum Warenkorb, Start des Bestellvorgangs und Abschluss des Kaufs – übermitteln wir an Meta Platforms Ireland Limited (Irland). Die Ereignisse werden auf zwei parallelen Wegen übermittelt: direkt von Ihrem Browser über das Meta-Pixel und gleichzeitig von unserem eigenen Server unter der Domain gtm.easybag.com über die Conversions-API. Der Serverweg führt über keinen weiteren Vermittler.

Vom Server übermitteln wir: den Namen und den Zeitpunkt des Ereignisses, die Adresse der besuchten Seite, den Wert und die Währung der Bestellung, die Bestell-ID sowie Angaben zu den bestellten Artikeln, eine eindeutige Ereignis-ID, die IDs der Marketing-Cookies von Meta (_fbp, _fbc), Ihre IP-Adresse und Angaben zu Ihrem Browser (User-Agent). Die eindeutige Ereignis-ID dient dazu, dass Meta erkennen kann, dass es sich bei dem vom Browser und vom Server empfangenen Ereignis um ein und dasselbe handelt, und es nicht doppelt zählt. Wir übermitteln weder E-Mail-Adressen noch Telefonnummern noch andere direkte Kontaktdaten.

Rechtsgrundlage ist Ihre Einwilligung zu Marketing-Cookies (Art. 6 Abs. 1 Buchstabe a DSGVO). Ohne diese Einwilligung werden keine Daten an Meta übermittelt – weder vom Browser noch vom Server. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen; der Widerruf hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

8. Google reCAPTCHA Enterprise – Besondere Hinweise

Zum Schutz unserer Formulare vor automatisiertem Missbrauch (Bots, Spam) nutzen wir den Dienst Google reCAPTCHA Enterprise, der von Google Ireland Limited (Sitz: Gordon House, Barrow Street, Dublin 4, Irland) bereitgestellt wird.

8.1 Welche Daten erfasst reCAPTCHA?

IP-Adresse des Geräts
User-Agent (Browsertyp und Betriebssystem)
Google-Cookies in der Domain google.com
Datum, Uhrzeit und Dauer der Interaktion mit dem Formular
Mausbewegungen, Klicks, Bildschirmberührungen (anonymisierte Verhaltensdaten)
Browser-Fingerabdruck (Auflösung, Plug-ins, Schriftarten, Sprache)
Daten, die Sie in das Formular eingegeben haben (dienen dem Kontext – nicht der gezielten Werbung)

8.2 Zweck und Rechtsgrundlage

Zweck: Erkennung und Blockierung automatisierter (Bot-)Absendungen von Formularen; Schutz vor Spam und Betrug.
Rechtsgrundlage: Berechtigtes Interesse des Verantwortlichen und des Nutzers an der Sicherheit von Webformularen und der Integrität der Kommunikation (Art. 6 Abs. 1 Buchstabe f DSGVO).

8.3 Stellung der Vertragsparteien

PRINTSTEP s.r.o. – Verantwortlicher für personenbezogene Daten (Data Controller)
Google Ireland Limited / Google LLC – Auftragsverarbeiter (Data Processor)
Zwischen den Parteien besteht ein Vertrag über die Verarbeitung personenbezogener Daten (DPA), der die Standardvertragsklauseln (SCC) der Europäischen Kommission enthält.

8.4 Aufbewahrungsfrist

Verantwortlicher (PRINTSTEP): Das Risikoscore wird bis zu 30 Tage gespeichert (danach zu anonymen Statistiken aggregiert).
Google: Rohdaten werden gemäß den eigenen Aufbewahrungsregeln (Google-Datenschutzerklärung) maximal 6 Monate lang aufbewahrt.

8.5 Übermittlung in Drittländer

Google Ireland verarbeitet die Daten in erster Linie in der EU, kann diese jedoch an die Muttergesellschaft Google LLC in den USA übermitteln. Die Übermittlung ist durch die Standardvertragsklauseln (SCC) und die Zertifizierung im Rahmen des Data Privacy Framework (DPF) geschützt.

8.6 Bedingungen und Richtlinien von Google

Durch die Nutzung unserer Formulare erklären Sie sich damit einverstanden:

Den Nutzungsbedingungen von Google
Den Datenschutzrichtlinien von Google

9. Ihre Rechte gemäß der DSGVO

Als betroffene Person haben Sie gegenüber dem Verantwortlichen folgende Rechte:

9.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie können von uns eine Bestätigung darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten; ist dies der Fall, haben Sie das Recht, eine Kopie davon zu erhalten.

9.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sind Ihre Daten unrichtig oder unvollständig, haben Sie das Recht, deren unverzügliche Berichtigung oder Ergänzung zu verlangen.

9.3 Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, wenn:

Die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind;
Sie Ihre Einwilligung widerrufen und keine andere Rechtsgrundlage vorliegt;
Sie einen berechtigten Widerspruch gegen die Verarbeitung einlegen;
Die Daten unrechtmäßig verarbeitet wurden.

Ausnahmen: Daten, die wir gesetzlich aufbewahren müssen (Rechnungen – 10 Jahre), oder Daten, die zur Wahrung rechtlicher Ansprüche erforderlich sind (maximal bis zum Ablauf der Verjährungsfrist), können wir nicht löschen.

9.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

In bestimmten Situationen (z. B. bei der Überprüfung der Richtigkeit oder bei Einlegung eines Widerspruchs) haben Sie das Recht, zu verlangen, dass wir die Verarbeitung Ihrer Daten vorübergehend einstellen.

9.5 Widerspruchsrecht (Art. 21 DSGVO)

Wenn wir Ihre Daten auf der Grundlage eines berechtigten Interesses verarbeiten, haben Sie das Recht, jederzeit Widerspruch einzulegen. Wir werden die Verarbeitung einstellen, es sei denn, wir können zwingende berechtigte Gründe für die Verarbeitung nachweisen, die Ihre Interessen überwiegen.

Im Falle von Direktmarketing können Sie jederzeit Widerspruch einlegen – Sie müssen diesen nicht begründen – und wir werden die Verarbeitung zu diesem Zweck unverzüglich einstellen.

9.6 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Wenn wir Daten auf der Grundlage einer Einwilligung oder zur Vertragserfüllung automatisiert verarbeiten, haben Sie das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON / CSV) zu erhalten.

9.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Wenn Sie uns Ihre Einwilligung erteilt haben (z. B. für den Newsletter), können Sie diese jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.

9.8 Recht, keiner automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO)

Wir wenden keine automatisierte Entscheidungsfindung mit rechtlichen Folgen an. Das Risk-Scoring von reCAPTCHA entscheidet lediglich über die Anzeige des Formulars – es hat keinen Einfluss auf Ihre Rechte oder Pflichten.

9.9 Wie Sie Ihre Rechte geltend machen können

Sie können Ihren Antrag wie folgt einreichen:

Per E-Mail: [email protected]
Per Post: an die Adresse des Sitzes des Verantwortlichen (siehe Abschnitt 1.1)

Wir werden Ihren Antrag unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang, bearbeiten. In begründeten Fällen kann die Frist um weitere zwei Monate verlängert werden – darüber werden wir Sie informieren.

Zur Identifizierung können wir Sie um zusätzliche Angaben bitten (insbesondere, wenn der Antrag nicht von einer bei uns registrierten E-Mail-Adresse stammt).

9.10 Recht auf Beschwerde

Sollten Sie mit der Bearbeitung Ihres Antrags unzufrieden sein oder der Ansicht sein, dass wir gegen die DSGVO verstoßen, haben Sie das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen:

Amt für den Schutz personenbezogener Daten, Pplk. Sochora 27, 170 00 Prag 7, Tel.: +420 234 665 111 E-Mail: [email protected] Website: www.uoou.cz

10. Schutz personenbezogener Daten

Wir haben folgende technische und organisatorische Maßnahmen getroffen:

10.1 Technische Maßnahmen

Verschlüsselung während der Übertragung: TLS 1.3 für die gesamte Kommunikation zwischen dem Nutzer, den Servern und den Auftragsverarbeitern
Verschlüsselung im Ruhezustand: AES-256 im Datenbankspeicher, verschlüsselte Sicherungskopien
Passwort-Hash: bcrypt mit hohem Work-Faktor
Privater Speicher: Dateien aus Formularen (Avatare, Anhänge) im privaten Speicher mit UUID-Namen (URL nicht erratbar) und ACL-Prüfung
Regelmäßige Sicherungen: Tägliche automatische Sicherungen an zwei unabhängige externe Standorte (Hetzner Storage Box + Forpsi Object Storage), Aufbewahrungsfrist 14 Tage
Web Application Firewall (WAF): Cloudflare mit Schutz gegen die OWASP Top 10
Ratenbegrenzung: Schutz von Formularen und APIs vor Missbrauch
DDoS-Schutz: Cloudflare
Antispam: Google reCAPTCHA Enterprise
Honeypot-Feld: Verdeckte Erkennung automatisierter Übermittlungen
Selbst gehostete Authentifizierung: Logto auf eigenen Servern (keine Weitergabe von Authentifizierungsdaten an Dritte)

10.2 Organisatorische Maßnahmen

Grundsatz der Datenminimierung: Wir erheben nur die für den jeweiligen Zweck erforderlichen Daten
Grundsatz der Zugangsbeschränkung: Zugriff auf personenbezogene Daten haben nur befugte Personen (Logto SSO + rollenbasierte Zugriffskontrolle)
Vertraulichkeitsvereinbarungen mit Mitarbeitern und externen Mitarbeitern
Datenverarbeitungsverträge (DPA) mit allen Auftragsverarbeitern
Audit-Protokoll: Aufzeichnung von Zugriffen und Änderungen an sensiblen Daten
Regelmäßige Sicherheitsüberprüfung – mindestens einmal jährlich

10.3 Vorgehensweise im Falle eines Sicherheitsvorfalls

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben könnte:

Wir melden den Vorfall innerhalb von 72 Stunden der Aufsichtsbehörde (ÚOOÚ)
Wir informieren die betroffenen Personen unverzüglich
Wir dokumentieren den Vorfall und die ergriffenen Maßnahmen

11. Cookies – Übersicht über bestimmte Cookies

Name des Cookies	Domain	Zweck	Dauer	Kategorie
easybag_session	easybag.com	Identifizierung der angemeldeten Sitzung	Sitzung	Notwendig
easybag_cart	easybag.com	Inhalt des Warenkorbs	30 Tage	Notwendig
locale	easybag.com	Ausgewählte Sprache der Website	1 Jahr	Notwendig
region	easybag.com	Ausgewählte Region (CZ/SK/EU)	1 Jahr	Funktional
cookie_consent	easybag.com	Speicherung der Einwilligung zu Cookies	1 Jahr	Unbedingt erforderlich
_GRECAPTCHA	google.com	Google reCAPTCHA Enterprise	6 Monate	Sicherheit
_ga, _ga_*	easybag.com	Google Analytics 4 – Besuchermessung	13 Monate	Analytisch (Einwilligung)
_gid	easybag.com	Google Analytics – tägliche Kennung	24 Stunden	Analytisch (Einwilligung)
_gcl_au	easybag.com	Google Ads-Konversion (über GTM)	90 Tage	Marketing (Einwilligung)
_fbp	easybag.com	Facebook-Pixel	3 Monate	Marketing (Einwilligung)

Hinweis: Die konkrete Liste der aktiven Cookies kann je nach Ihrer Einwilligung und der aktuellen Konfiguration der Website variieren. Den aktuellen Stand finden Sie in den Cookie-Einstellungen in der Fußzeile der Website.

12. Verarbeitung von Daten von Kindern

Unsere Website und unsere Dienste richten sich nicht in erster Linie an Personen unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren ohne nachweisbare Einwilligung eines Erziehungsberechtigten. Sollten wir feststellen, dass wir Daten eines Kindes ohne Einwilligung erhoben haben, werden wir diese unverzüglich löschen.

13. Änderungen der Datenschutzerklärung

Diese Datenschutzerklärung kann laufend aktualisiert werden. Die aktuelle Fassung ist stets auf der Website des Verantwortlichen verfügbar. Wesentliche Änderungen werden wir Ihnen wie folgt mitteilen:

Per E-Mail – sofern Sie ein aktives Konto bei uns besitzen oder unseren Newsletter abonniert haben
Über ein Banner auf der Website – mindestens 30 Tage vor Inkrafttreten der Änderung

Versionshistorie:

Version	Gültig ab	Wesentliche Änderungen
1.0	1. Mai 2026	Erstveröffentlichte Fassung (enthält die Offenlegung zu reCAPTCHA Enterprise)

14. Schlussbestimmungen

Diese Richtlinie unterliegt dem Recht der Tschechischen Republik, insbesondere:

der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO)
dem Gesetz Nr. 110/2019 Slg. über die Verarbeitung personenbezogener Daten
dem Gesetz Nr. 480/2004 Slg. über bestimmte Dienste der Informationsgesellschaft
dem Gesetz Nr. 89/2012 Slg., dem Bürgerlichen Gesetzbuch
dem Gesetz Nr. 235/2004 Sb. über die Mehrwertsteuer
dem Gesetz Nr. 563/1991 Sb. über die Rechnungslegung.

Im Falle von Widersprüchen zwischen der englischen (oder einer anderen fremdsprachigen) Fassung dieser Grundsätze und der tschechischen Fassung hat die tschechische Fassung Vorrang.

Diese Richtlinien treten am 1. Mai 2026 in Kraft und ersetzen alle früheren Fassungen.

PRINTSTEP s.r.o., Prag, Tschechische Republik