Datenschutzerklärung

PRINTSTEP s.r.o.

Gültig ab: 1. Mai 2026 Version: 1.0

1. Einleitende Bestimmungen

1.1 Verantwortlicher für die Datenverarbeitung

Verantwortlicher für die Datenverarbeitung im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (im Folgenden „DSGVO“) ist das Unternehmen:

PRINTSTEP s.r.o. Handelsregisternummer: 27947807 Umsatzsteuer-Identifikationsnummer: CZ27947807 Sitz: Jičínská 226/17, 130 00 Prag 3, Tschechische Republik, eingetragen im Handelsregister des Stadtgerichts Prag, Abteilung C, Einlage 128622 (im Folgenden „Verantwortlicher“ oder „wir“)

1.2 Kontaktdaten für Fragen zum Datenschutz

E-Mail: [email protected] (Anfragen von betroffenen Personen)
Telefon: +420 246 082 412
Postanschrift: wie der Sitz des Verantwortlichen

1.3 Datenschutzbeauftragter (DSB)

Der Verantwortliche ist nicht verpflichtet, einen Datenschutzbeauftragten gemäß Art. 37 Abs. 1 DSGVO zu benennen (er verarbeitet weder personenbezogene Daten in großem Umfang noch besonders schützenswerte Kategorien). Alle Anfragen und Anträge von betroffenen Personen werden direkt vom Verantwortlichen unter den oben genannten Kontaktdaten entgegengenommen.

1.4 Webauftritte, für die diese Datenschutzerklärung gilt

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten über:

easybag.com (internationaler Online-Shop)
taskahned.cz und taskahned.sk (lokale Online-Shops CZ/SK)
gegebenenfalls weitere Domains des Verantwortlichen, die in der Aufstellung der Verarbeitungsvorgänge aufgeführt sind

2. Begriffsbestimmungen

Begriff	Bedeutung
Personenbezogene Daten	Jede Information über eine identifizierte oder identifizierbare natürliche Person
Betroffene Person	Natürliche Person, deren personenbezogene Daten wir verarbeiten (Sie)
Verantwortlicher	PRINTSTEP s.r.o. – legt die Zwecke und Mittel der Verarbeitung fest
Auftragsverarbeiter	Dritter, der Daten im Auftrag des Verantwortlichen verarbeitet (z. B. Hosting)
Verarbeitung	Jeder Vorgang im Zusammenhang mit Daten (Erhebung, Speicherung, Nutzung, Weitergabe, Löschung)
Einwilligung	Eine freiwillige, konkrete, informierte und eindeutige Willensbekundung

3. Welche personenbezogenen Daten erheben wir

3.1 Beim Besuch der Website (automatisch)

IP-Adresse und ungefähre Geolokalisierung (auf Stadtebene)
Browsertyp und -version, Betriebssystem
Datum und Uhrzeit des Besuchs, besuchte Seiten, Verweildauer auf der Seite
Verweisende URL (Referrer)
Sitzungs-ID (Session-Cookie)
Von Google reCAPTCHA Enterprise erfasste Daten (siehe Artikel 8)

3.2 Bei der Registrierung und Führung eines Benutzerkontos

Vor- und Nachname
E-Mail-Adresse
Telefonnummer (optional)
Passwort (wird ausschließlich in gehashtem Format gespeichert – bcrypt)

3.3 Bei der Bestellung von Waren

Identifikationsdaten: Vor- und Nachname, Unternehmens-ID, Umsatzsteuer-Identifikationsnummer (bei Unternehmern)
Kontaktdaten: Telefonnummer, E-Mail-Adresse
Rechnungsadresse
Lieferadresse
Bestelldaten (Waren, Menge, Preis)
Zahlungsdaten werden von uns weder erfasst noch gespeichert (die Verarbeitung erfolgt durch Stripe / GoPay als eigenständige Verantwortliche – siehe Artikel 5)

3.4 Bei der Kommunikation mit dem Helpdesk

E-Mail-Adresse des Absenders
Inhalt der Nachricht und alle Anhänge
Eventuelle Angaben, die Sie selbst machen (Telefonnummer, Bestellnummer usw.)
Aufzeichnungen der Konversationen (interne Tickets, Notizen der Mitarbeiter)

3.5 Beim Ausfüllen von Formularen (Kontakt-, Feedback-, Anfrageformular)

Beispiele für Formulare: Kontaktformular, Feedback-Formular (/Referenz), B2B-Anfrageformular, Angebotsanfrage.

Erfasste Daten:

Vor- und Nachname
E-Mail-Adresse
Telefonnummer (optional)
Bestellnummer (optional)
Inhalt der Nachricht / Anfrage
Bewertung (1–5 Sterne, nur beim Feedback-Formular)
Gegebenenfalls angehängtes Foto (max. 5 MB, nur JPG/PNG/WebP/PDF)
Technische Daten: IP, User-Agent, Zeitstempel (Audit-Trail)

3.6 Beim Abonnement des Newsletters und von Marketingmitteilungen

E-Mail-Adresse
Aufzeichnung der Einwilligung und eines eventuellen Widerrufs
Aufzeichnung der versendeten Mitteilungen und Ihrer Interaktion mit diesen (Öffnen, Klicken)

3.7 Cookies und ähnliche Technologien

Siehe Abschnitt 7 weiter unten.

4. Verarbeitungszwecke und Rechtsgrundlage

Verarbeitungszweck	Datenkategorien	Rechtsgrundlage	Aufbewahrungsfrist
Auftragsabwicklung und Warenlieferung	Identifikations-, Kontakt- und Adressdaten sowie Bestelldaten	Vertragserfüllung (Art. 6 Abs. 1 Buchstabe b DSGVO)	Vertragsdauer + 4 Jahre (Gewährleistung, Reklamationen)
Ausstellung von Steuerbelegen und Führung der Buchhaltung	Identifikations- und Rechnungsdaten	Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 Buchstabe c) – Gesetz Nr. 235/2004 Slg. über die Umsatzsteuer, Nr. 563/1991 Slg. über die Buchführung	10 Jahre ab Ende des Steuerzeitraums
Betrieb des Benutzerkontos	Identifikations-, Kontakt- und Authentifizierungsdaten	Vertragserfüllung (Art. 6 Abs. 1 Buchstabe b)	Bis zur Löschung des Kontos + 1 Jahr
Bearbeitung von Reklamationen	Identifikationsdaten, Kontaktdaten, Bestelldaten	Erfüllung gesetzlicher Verpflichtungen + Vertragserfüllung	4 Jahre ab Abschluss der Reklamation
Kommunikation mit dem Helpdesk	Kontaktdaten, Inhalt der Kommunikation	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Kundensupport	7 Jahre ab der letzten Kommunikation
Bearbeitung von Formularanfragen / Feedback	Kontaktdaten, Inhalt, Fotos	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Bearbeitung der Anfrage	2 Jahre ab dem letzten Kontakt
Spamschutz (reCAPTCHA Enterprise)	Technische, verhaltensbezogene Daten	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – Sicherheit	6 Monate (Speicherung durch Google)
Ratenbegrenzung und Schutz vor Missbrauch	IP-Adresse, Zeitstempel	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	1 Stunde (Redis-Cache)
Versand von Werbemitteilungen (Newsletter)	E-Mail-Adresse	Einwilligung (Art. 6 Abs. 1 Buchstabe a) oder berechtigtes Interesse (Kunde gemäß § 7 Abs. 3 des Gesetzes Nr. 480/2004 Sb.)	Bis zum Widerruf der Einwilligung oder 5 Jahre Inaktivität
Werbebezugnahme und Remarketing	Online-Identifikatoren, Verhaltensdaten	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Je nach Einstellung in der Cookie-Leiste, max. 13 Monate
Webanalyse und Leistungsmessung	Anonyme/pseudonyme Verhaltensdaten	Einwilligung (Art. 6 Abs. 1 Buchstabe a) – Analyse-Cookies	Je nach Einstellung, max. 26 Monate
Herkunft des Besuchs bei der Bestellung – Messung der Wirksamkeit der Marketingkanäle (ohne Cookies)	Herkunftskategorie, Kampagnenparameter (UTM), Domain der verweisenden Website, Einstiegsseite	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	Zusammen mit der Bestellung
Wahrung rechtlicher Ansprüche	Alle relevanten Daten	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f)	Für die Dauer der Verjährungsfrist (max. 10 Jahre)

5. Empfänger personenbezogener Daten (Auftragsverarbeiter)

Wir übermitteln Ihre personenbezogenen Daten an die folgenden Auftragsverarbeiter, die diese ausschließlich auf unsere Anweisung hin und gemäß den Bedingungen der Vereinbarung zur Verarbeitung personenbezogener Daten (DPA) verarbeiten:

5.1 Hosting und Infrastruktur

Auftragsverarbeiter	Zweck	Sitz	Übermittlung außerhalb der EU
Hetzner Online GmbH	Server-Hosting, Datenbanken, Backups	Deutschland (Falkenstein, Nürnberg)	Nein (EU)
Forpsi (Internet CZ, a.s.)	Backup-Speicher (Object Storage)	Tschechische Republik	Nein (EU)
Cloudflare, Inc.	CDN, DDoS-Schutz, WAF	USA (Sitz); EU-Edge-Server	Ja – Absicherung durch Standardvertragsklauseln (SCC) + Data Privacy Framework

5.2 Die Zahlungsdienstleister

Stripe und GoPay treten als eigenständige Verantwortliche für Zahlungsvorgänge auf. Wir übermitteln ihnen lediglich die für die Zahlungsabwicklung erforderlichen Daten; die Zahlungsdaten (Kartennummer, CVC) geben Sie direkt bei ihnen ein, wir speichern diese nicht.

Auftragsverarbeiter	Zweck	Sitz
Stripe Payments Europe, Ltd.	Abwicklung von Kartenzahlungen	Irland
GoPay s.r.o.	Zahlungsabwicklung (Karten, Banküberweisung, E-Wallets)	Tschechische Republik

5.3 Warenlieferung

Wir übermitteln dem Versanddienstleister lediglich die für die Zustellung erforderlichen Daten (Name, Adresse, Telefonnummer, E-Mail-Adresse). Die Transportunternehmen sind in Bezug auf diese Daten eigenständige Verantwortliche.

Transportunternehmen	Sitz
PPL CZ s.r.o.	Tschechische Republik
GLS	Tschechische Republik
Direct Parcel Distribution CZ s.r.o. (DPD)	Tschechische Republik
GEIS	Tschechische Republik

5.4 Kommunikationsdienste

Auftragsverarbeiter	Zweck	Sitz
PRINTSTEP s.r.o. – interner SMTP-Server (Postal)	Versand von Transaktions-E-Mails	Hetzner DE (eigene Infrastruktur)
Google Ireland Limited	Google Workspace (interne E-Mails des Verantwortlichen)	Irland

5.5 Sicherheits- und Antispam-Dienste

Auftragsverarbeiter	Zweck	Sitz	Übermittlung außerhalb der EU
Google Ireland Limited / Google LLC	reCAPTCHA Enterprise – Schutz von Formularen vor Spam (siehe Artikel 8)	Irland / USA	Ja – SCC + Data Privacy Framework

Anmerkung: Zur Authentifizierung der Administratoren nutzt der Verantwortliche eine eigene, selbst gehostete Installation der Open-Source-Software Logto auf seinen eigenen Servern (Hetzner). Die Daten der Administratoren werden ausschließlich vom Verantwortlichen auf seiner eigenen Infrastruktur verarbeitet – es gibt somit keinen externen Auftragsverarbeiter für Authentifizierungsdienste.

5.6 Lokalisierungs- und Übersetzungsdienste

Auftragsverarbeiter	Zweck	Sitz	Anmerkung
DeepL SE	Übersetzung von Website-Texten	Deutschland	Nein (EU)
Anthropic PBC	Claude AI – Übersetzung der Benutzeroberfläche	USA	Ausschließlich technische Website-Texte, keine personenbezogenen Daten von Kunden

5.7 Analytik und Marketing (nur mit Einwilligung)

Auftragsverarbeiter	Zweck	Sitz
Google Ireland Limited	Google Analytics 4, Google Tag Manager (GTM)	Irland
Meta Platforms Ireland Limited	Facebook Pixel	Irland

Anmerkung: GTM selbst speichert keine personenbezogenen Daten, dient jedoch als Container für die Ausführung weiterer Tracking-Skripte (GA4, Pixel usw.). Die konkrete Verarbeitung erfolgt im Rahmen der einzelnen verbundenen Dienste.

5.8 Externe Buchhaltungsdienstleistungen

Wir übermitteln Buchhaltungsunterlagen an eine externe Buchhaltungsgesellschaft zum Zwecke der Buchführung und Steuerberatung (gesetzliche Verpflichtung gemäß Gesetz Nr. 563/1991 Slg. über die Buchführung).

Eine aktuelle Liste unserer externen Buchhaltungspartner stellen wir Ihnen auf Anfrage unter der Adresse [email protected]. zur Verfügung.

6. Übermittlung personenbezogener Daten in Drittländer

Einige unserer Auftragsverarbeiter haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) oder verarbeiten Daten außerhalb des EWR, insbesondere in den USA. In diesen Fällen wenden wir folgende Garantien an:

Von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC)
Data Privacy Framework (DPF) – für Auftragsverarbeiter, die im Rahmen des EU-US Data Privacy Framework zertifiziert sind
Verarbeitungsvereinbarungen (DPA) mit jedem Auftragsverarbeiter
Risikobewertung der Übermittlung (TIA – Transfer Impact Assessment) gemäß dem Urteil des Europäischen Gerichtshofs in der Rechtssache C-311/18 (Schrems II).

Konkrete Auftragsverarbeiter außerhalb des EWR sind in der Tabelle in Artikel 5 aufgeführt.

7. Cookies und ähnliche Technologien

7.1 Was sind Cookies?

Cookies sind kleine Textdateien, die Ihr Browser beim Besuch einer Website speichert. Sie dienen dazu, Einstellungen zu speichern, die Authentifizierung durchzuführen und die Besucherzahlen zu messen.

7.2 Kategorien der auf der Website verwendeten Cookies

Kategorie	Zweck	Rechtsgrundlage	Speicherdauer	Beispiele
Notwendige Cookies	Funktionalität der Website (Warenkorb, Anmeldung, Sprache)	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabe f) – ohne diese Cookies funktioniert die Website nicht	Sitzungsdauer oder max. 1 Jahr	session, cart, locale
Sicherheits-Cookies	Schutz vor Spam und Angriffen (reCAPTCHA)	Berechtigtes Interesse (Art. 6 Abs. 1 Buchstabef)	6 Monate	_GRECAPTCHA
Funktional	Speicherung von Einstellungen (Design, Region)	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 1 Jahr	theme, region
Analytisch	Messung der Besucherzahlen, A/B-Tests	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 26 Monate	_ga, _ga_*
Marketing	Anzeigenausrichtung, Remarketing	Einwilligung (Art. 6 Abs. 1 Buchstabe a)	Max. 13 Monate	_fbp, _gcl_au

7.3 Verwaltung der Einwilligung zu Cookies

Bei Ihrem ersten Besuch wird Ihnen eine Cookie-Leiste angezeigt. Sie können Ihre Einwilligung jederzeit ändern oder widerrufen:

Durch Klicken auf den Link „Cookie-Einstellungen“ in der Fußzeile der Website
In den Einstellungen Ihres Browsers (Löschen oder Blockieren von Cookies)

Der Widerruf der Einwilligung hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die vor dem Widerruf der Einwilligung erfolgt ist.

7.4 Technische Abwicklung der Messung (serverseitige Messung und Einwilligungsmodus)

Zur Messung der Besucherzahlen verwenden wir Google Analytics 4 und Google Tag Manager. Die Messanfragen werden nicht direkt an die Server von Google gesendet, sondern zunächst an unseren eigenen Server unter der Domain gtm.easybag.com (sog. serverseitiger Google Tag Manager), den wir in einem Rechenzentrum in Deutschland betreiben. Erst von dort aus werden die Daten an Google Analytics 4 (Google Ireland Limited) weitergeleitet. Dadurch haben wir die Kontrolle darüber, welche Daten an Google gelangen.

Wir verwenden den Google Consent Mode v2 (erweiterter Modus):

Vor der Einwilligung speichern wir keine Analyse- oder Marketing-Cookies, und an Google werden ausschließlich anonyme Daten ohne Identifikatoren und ohne Cookies übermittelt (sogenannte „cookieless pings“). Gleichzeitig ist die Redaktion von Werbedaten (ads_data_redaction) aktiviert.
Nach der Einwilligung werden Analyse- bzw. Marketing-Cookies aktiviert, und die Messung erfolgt in vollem Umfang.
Die Verweigerung der Einwilligung hat keinen Einfluss auf die Funktionalität der Website.

Google Analytics 4 speichert Ihre IP-Adresse nicht; sie wird lediglich zur Ableitung eines ungefähren Standorts verwendet und anschließend verworfen. Daten auf Nutzer- und Ereignisebene werden in Google Analytics 4 für einen Zeitraum von 14 Monaten gespeichert.

Wir speichern Ihre Einwilligungsentscheidung nicht in einem Cookie, sondern im Browserspeicher (localStorage) unter dem Schlüssel „eb_consent_v1“; dieser enthält lediglich die Angabe, ob eine Einwilligung erteilt wurde, sowie das Datum der Entscheidung. Sie können Ihre Entscheidung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website ändern oder durch Löschen der Website-Daten in Ihrem Browser rückgängig machen. Wir nutzen keine externe Plattform zur Einwilligungsverwaltung – die Cookie-Leiste ist unsere eigene Lösung und übermittelt Ihre Daten nicht an Dritte.

7.5 Übermittlung von E-Shop-Ereignissen an Meta (Conversions API)

Ausgewählte Ereignisse aus dem E-Shop – Produktansicht, Hinzufügen zum Warenkorb, Beginn des Bestellvorgangs und Abschluss des Kaufs – übermitteln wir an Meta Platforms Ireland Limited (Irland). Die Ereignisse werden über zwei parallele Wege übermittelt: direkt von Ihrem Browser über das Meta-Pixel und gleichzeitig von unserem eigenen Server unter der Domain gtm.easybag.com über die Conversions-API. Der Serverweg führt über keinen weiteren Vermittler.

Vom Server übermitteln wir: Name und Zeitpunkt des Ereignisses, die Adresse der besuchten Seite, den Bestellwert und die Währung der Bestellung, die Bestell-ID sowie Angaben zu den bestellten Artikeln, eine eindeutige Ereignis-ID, die IDs der Meta-Marketing-Cookies (_fbp, _fbc), Ihre IP-Adresse und Angaben zu Ihrem Browser (User-Agent). Die eindeutige Ereignis-ID dient dazu, dass Meta erkennen kann, dass es sich bei dem vom Browser und vom Server empfangenen Ereignis um ein und dasselbe handelt, und es nicht doppelt zählt. Wir übermitteln weder E-Mail-Adressen noch Telefonnummern noch sonstige direkte Kontaktdaten.

Rechtsgrundlage ist Ihre Einwilligung zu Marketing-Cookies (Art. 6 Abs. 1 Buchstabe a DSGVO). Ohne diese Einwilligung werden keine Daten an Meta übermittelt – weder vom Browser noch vom Server. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website widerrufen; der Widerruf hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

8. Google reCAPTCHA Enterprise – Besondere Hinweise

Zum Schutz unserer Formulare vor automatisiertem Missbrauch (Bots, Spam) nutzen wir den Dienst Google reCAPTCHA Enterprise, der von Google Ireland Limited (Sitz: Gordon House, Barrow Street, Dublin 4, Irland) bereitgestellt wird.

8.1 Welche Daten erfasst reCAPTCHA?

IP-Adresse des Geräts
User-Agent (Browsertyp und Betriebssystem)
Google-Cookies in der Domain google.com
Datum, Uhrzeit und Dauer der Interaktion mit dem Formular
Mausbewegungen, Klicks, Bildschirmberührungen (anonymisierte Verhaltensdaten)
Browser-Fingerabdruck (Auflösung, Plug-ins, Schriftarten, Sprache)
Daten, die Sie in das Formular eingegeben haben (dienen dem Kontext – nicht der gezielten Werbung)

8.2 Zweck und Rechtsgrundlage

Zweck: Erkennung und Blockierung automatisierter (Bot-)Formularübermittlungen; Schutz vor Spam und Betrug.
Rechtsgrundlage: Berechtigtes Interesse des Verantwortlichen und des Nutzers an der Sicherheit von Webformularen und der Integrität der Kommunikation (Art. 6 Abs. 1 Buchst. f DSGVO).

8.3 Stellung der Vertragsparteien

PRINTSTEP s.r.o. – Verantwortlicher für die Datenverarbeitung (Data Controller)
Google Ireland Limited / Google LLC – Auftragsverarbeiter (Data Processor)
Zwischen den Parteien besteht ein Vertrag zur Auftragsverarbeitung (DPA), der die Standardvertragsklauseln (SCC) der Europäischen Kommission enthält.

8.4 Aufbewahrungsfrist

Verantwortlicher (PRINTSTEP): Das Risikoscore wird bis zu 30 Tage lang gespeichert (und anschließend zu anonymen Statistiken aggregiert).
Google: Rohdaten werden gemäß den eigenen Aufbewahrungsregeln (Google-Datenschutzerklärung) maximal 6 Monate lang aufbewahrt.

8.5 Übermittlung in Drittländer

Google Ireland verarbeitet die Daten in erster Linie in der EU, kann diese jedoch an die Muttergesellschaft Google LLC in den USA übermitteln. Die Übermittlung wird durch Standardvertragsklauseln (SCC) und die Zertifizierung im Rahmen des Data Privacy Framework (DPF) geschützt.

8.6 Bedingungen und Richtlinien von Google

Durch die Nutzung unserer Formulare erklären Sie sich einverstanden mit:

Den Nutzungsbedingungen von Google
Den Datenschutzrichtlinien von Google

9. Ihre Rechte gemäß der DSGVO

Als betroffene Person haben Sie gegenüber dem Verantwortlichen folgende Rechte:

9.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie können von uns eine Bestätigung verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, und falls ja, haben Sie das Recht, eine Kopie davon zu erhalten.

9.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sind Ihre Daten unrichtig oder unvollständig, haben Sie das Recht, deren Berichtigung oder Ergänzung unverzüglich zu verlangen.

9.3 Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, wenn:

Die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind
Sie Ihre Einwilligung widerrufen und keine andere Rechtsgrundlage vorliegt
Sie einen berechtigten Widerspruch gegen die Verarbeitung einlegen
Die Daten unrechtmäßig verarbeitet wurden

Ausnahmen: Daten, die wir gesetzlich aufbewahren müssen (Rechnungen – 10 Jahre), oder Daten, die zur Wahrung von Rechtsansprüchen erforderlich sind (maximal bis zum Ablauf der Verjährungsfrist), können wir nicht löschen.

9.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

In bestimmten Situationen (z. B. bei der Überprüfung der Richtigkeit oder beim Erheben eines Widerspruchs) haben Sie das Recht, zu verlangen, dass wir die Verarbeitung Ihrer Daten vorübergehend einstellen.

9.5 Widerspruchsrecht (Art. 21 DSGVO)

Wenn wir Ihre Daten auf der Grundlage eines berechtigten Interesses verarbeiten, haben Sie das Recht, jederzeit Widerspruch dagegen einzulegen. Wir werden die Verarbeitung einstellen, es sei denn, wir können zwingende berechtigte Gründe für die Verarbeitung nachweisen, die Ihre Interessen überwiegen.

Im Falle von Direktmarketing können Sie jederzeit Widerspruch einlegen – ohne Angabe von Gründen – und wir werden die Verarbeitung zu diesem Zweck unverzüglich einstellen.

9.6 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sofern wir Daten auf der Grundlage einer Einwilligung oder zur Erfüllung eines Vertrags automatisiert verarbeiten, haben Sie das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON / CSV) zu erhalten.

9.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern Sie uns eine Einwilligung erteilt haben (z. B. für den Newsletter), können Sie diese jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.

9.8 Recht, keiner automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO)

Wir wenden keine automatisierte Entscheidungsfindung mit rechtlichen Folgen an. Das Risk-Scoring von reCAPTCHA entscheidet lediglich über die Anzeige des Formulars – es regelt weder Ihre Rechte noch Ihre Pflichten.

9.9 Wie Sie Ihre Rechte geltend machen können

Sie können Ihren Antrag wie folgt einreichen:

Per E-Mail: [email protected]
Per Post: an die Anschrift des Sitzes des Verantwortlichen (siehe Abschnitt 1.1)

Wir werden Ihren Antrag unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang bearbeiten. In begründeten Fällen kann die Frist um weitere 2 Monate verlängert werden – darüber werden wir Sie informieren.

Zur Identifizierung können wir Sie um zusätzliche Angaben bitten (insbesondere, wenn der Antrag nicht von einer bei uns registrierten E-Mail-Adresse stammt).

9.10 Recht auf Beschwerde

Sollten Sie mit der Bearbeitung Ihres Antrags nicht zufrieden sein oder der Ansicht sein, dass wir gegen die DSGVO verstoßen, haben Sie das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen:

Amt für den Schutz personenbezogener Daten, Pplk. Sochora 27, 170 00 Prag 7, Tel.: +420 234 665 111 E-Mail: [email protected] Website: www.uoou.cz

10. Schutz personenbezogener Daten

Wir haben folgende technische und organisatorische Maßnahmen eingeführt:

10.1 Technische Maßnahmen

Verschlüsselung während der Übertragung: TLS 1.3 für die gesamte Kommunikation zwischen Nutzern, Servern und Auftragsverarbeitern
Verschlüsselung im Ruhezustand: AES-256 im Datenbankspeicher, verschlüsselte Sicherungskopien
Passwort-Hash: bcrypt mit hohem Work-Faktor
Privater Speicher: Dateien aus Formularen (Avatare, Anhänge) im privaten Speicher mit UUID-Namen (URL nicht erratbar) und ACL-Kontrolle
Regelmäßige Sicherungen: Tägliche automatische Sicherungen an zwei unabhängige Off-Site-Standorte (Hetzner Storage Box + Forpsi Object Storage), Aufbewahrungsfrist 14 Tage
Web Application Firewall (WAF): Cloudflare mit Schutz vor den OWASP Top 10
Ratenbegrenzung: Schutz von Formularen und APIs vor Missbrauch
DDoS-Schutz: Cloudflare
Antispam: Google reCAPTCHA Enterprise
Honeypot-Feld: Verdeckte Erkennung automatisierter Übermittlungen
Selbst gehostete Authentifizierung: Logto auf eigenen Servern (keine Weitergabe von Authentifizierungsdaten an Dritte)

10.2 Organisatorische Maßnahmen

Grundsatz der Datenminimierung: Wir erheben nur die für den jeweiligen Zweck erforderlichen Daten
Grundsatz der Zugriffsbeschränkung: Zugriff auf personenbezogene Daten haben nur berechtigte Personen (Logto SSO + rollenbasierte Zugriffskontrolle)
Vertraulichkeitsvereinbarungen mit Mitarbeitern und externen Partnern
Verträge über die Verarbeitung personenbezogener Daten (DPA) mit allen Auftragsverarbeitern
Audit-Protokoll: Aufzeichnung von Zugriffen und Änderungen an sensiblen Daten
Regelmäßige Sicherheitsüberprüfung – mindestens einmal jährlich

10.3 Vorgehensweise im Falle eines Sicherheitsvorfalls

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben könnte:

Wir melden den Vorfall innerhalb von 72 Stunden der Aufsichtsbehörde (ÚOOÚ)
Wir informieren die betroffenen Personen unverzüglich
Wir dokumentieren den Vorfall und die ergriffenen Maßnahmen

11. Cookies – Übersicht über bestimmte Cookies

Name des Cookies	Domain	Zweck	Dauer	Kategorie
easybag_session	easybag.com	Identifizierung der angemeldeten Sitzung	Sitzung	Notwendig
easybag_cart	easybag.com	Inhalt des Warenkorbs	30 Tage	Notwendig
locale	easybag.com	Ausgewählte Sprache der Website	1 Jahr	Notwendig
region	easybag.com	Ausgewählte Region (CZ/SK/EU)	1 Jahr	Funktional
cookie_consent	easybag.com	Aufzeichnung der Einwilligung zu Cookies	1 Jahr	Notwendig
_GRECAPTCHA	google.com	Google reCAPTCHA Enterprise	6 Monate	Sicherheit
_ga, _ga_*	easybag.com	Google Analytics 4 – Besuchermessung	13 Monate	Analytisch (Einwilligung)
_gid	easybag.com	Google Analytics – tägliche Kennung	24 Stunden	Analytisch (Einwilligung)
_gcl_au	easybag.com	Google Ads-Conversions (über GTM)	90 Tage	Marketing (Einwilligung)
_fbp	easybag.com	Facebook-Pixel	3 Monate	Marketing (Einwilligung)

Hinweis: Die konkrete Liste der aktiven Cookies kann je nach Ihrer Einwilligung und der aktuellen Konfiguration der Website variieren. Den aktuellen Stand finden Sie in den Cookie-Einstellungen in der Fußzeile der Website.

12. Verarbeitung von Daten von Kindern

Unsere Website und unsere Dienste richten sich nicht in erster Linie an Personen unter 16 Jahren. Wir erheben bewusst keine personenbezogenen Daten von Kindern unter 16 Jahren ohne nachweisbare Einwilligung eines Erziehungsberechtigten. Sollten wir feststellen, dass wir Daten eines Kindes ohne Einwilligung erhoben haben, werden wir diese unverzüglich löschen.

13. Änderungen der Datenschutzerklärung

Diese Datenschutzerklärung kann laufend aktualisiert werden. Die aktuelle Fassung ist stets auf der Website des Verantwortlichen verfügbar. Wesentliche Änderungen werden wir Ihnen wie folgt mitteilen:

Per E-Mail – sofern Sie ein aktives Konto bei uns besitzen oder unseren Newsletter abonniert haben
Über ein Banner auf der Website – mindestens 30 Tage vor Inkrafttreten der Änderung

Versionshistorie:

Version	Gültig ab	Wesentliche Änderungen
1.0	1. Mai 2026	Erstveröffentlichte Version (enthält die reCAPTCHA Enterprise-Offenlegung)

14. Schlussbestimmungen

Diese Grundsätze unterliegen dem Recht der Tschechischen Republik, insbesondere:

der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO)
dem Gesetz Nr. 110/2019 Slg. über die Verarbeitung personenbezogener Daten
dem Gesetz Nr. 480/2004 Slg. über bestimmte Dienste der Informationsgesellschaft
dem Gesetz Nr. 89/2012 Slg., dem Bürgerlichen Gesetzbuch
dem Gesetz Nr. 235/2004 Slg. über die Mehrwertsteuer
dem Gesetz Nr. 563/1991 Slg. über die Rechnungslegung

Im Falle von Widersprüchen zwischen der englischen (oder einer anderen fremdsprachigen) Fassung dieser Richtlinien und der tschechischen Fassung hat die tschechische Fassung Vorrang.

Diese Richtlinien treten am 1. Mai 2026 in Kraft und ersetzen alle früheren Fassungen.

PRINTSTEP s.r.o. Prag, Tschechische Republik