Datenschutz
& DSGVO.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG) ist:

2. Welche Daten wir verarbeiten

Server-Logfiles

Beim Aufruf dieser Website erhebt unser Webserver auf dem Hostinger-VPS (Rechenzentrum Deutschland, siehe Abschnitt 3) automatisch Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, übertragene Datenmenge, Referrer und User-Agent. Diese Logs dienen ausschließlich dem stabilen Betrieb und der Abwehr von Angriffen und werden nach kurzer Zeit gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Angebot).

Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder WhatsApp kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, Kontaktdaten, Inhalt der Anfrage), um Ihr Anliegen zu bearbeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahme) bzw. lit. f DSGVO.

Bestellung & Kundenkonto

Bei einer Bestellung erheben wir Name, Lieferadresse, Rechnungsadresse, E-Mail-Adresse, optional Telefonnummer und die Bestellhistorie. Diese Daten sind zur Vertragsabwicklung erforderlich (Art. 6 Abs. 1 lit. b DSGVO) und werden an die beteiligten Dienstleister (Zahlungsanbieter, Versand) weitergegeben, soweit das zur Vertragserfüllung notwendig ist. Handels- und steuerrechtliche Aufbewahrungsfristen (insbesondere § 132 BAO, § 212 UGB) bleiben unberührt.

B2B-Verifizierung

Beantragen Sie als Kosmetikerin oder Studio den B2B-Status, um Großhandelspreise zu sehen, verarbeiten wir zusätzlich Ihre Gewerbeberechtigung (Foto/PDF-Upload), UID-Nummer, Studio-Name und Geschäftsadresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zur Verifizierung gewerblicher Abnehmer).

Behandlungstermine im Studio

Bei Buchung eines Termins im Studio erheben wir Name, Kontaktdaten, gewählte Behandlung, Termin, optional Anmerkungen zur Hautanalyse oder Vorerkrankungen. Sensible Hautanalyse-Daten werden ausschließlich zur Behandlungsdokumentation verwendet, nicht zu Werbezwecken weitergegeben und nach 5 Jahren Inaktivität gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie — bei Gesundheitsdaten — Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

Schulungsanmeldungen

Wenn Sie sich für ein Seminar oder eine Schulung anmelden, verarbeiten wir zusätzlich die gewünschten Kursinformationen (Termin, Standort, Qualifikationsstufe). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3. Hosting & Speicherort

Diese Website sowie sämtliche zugehörigen Datenbanken (Kundenkonten, Bestellungen, Produktkatalog, hochgeladene Bilder, Log-Daten) werden auf einem dedizierten virtuellen Server (VPS) betrieben, den wir bei Hostinger International Ltd. (Hostinger Operations, UAB, Švitrigailos g. 34, 03104 Vilnius, Litauen) im Rechenzentrum Deutschland angemietet haben. Mit Hostinger besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Datenschutz­hinweise des Hosters: hostinger.com/legal/privacy-policy.

Eine Übermittlung Ihrer Stammdaten (Name, Adresse, Bestellhistorie etc.) in Drittländer außerhalb der EU/des EWR findet nicht statt — die gesamte Anwendung inklusive Datenbank läuft ausschließlich auf unserem deutschen VPS.

4. Weitere Empfänger & Auftragsverarbeiter

Für einzelne, klar abgegrenzte Funktionen setzen wir folgende zusätzliche Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht:

• Stripe Payments Europe Ltd. (Zahlungs­abwicklung Karte / SEPA / Apple Pay / Google Pay) — Sie geben Ihre Zahlungs­daten direkt bei Stripe ein, wir sehen nur den Transaktions­status. Sitz: Dublin, Irland. Datenschutz­hinweise: stripe.com/at/privacy.
• Resend, Inc. (Versand transaktionaler E-Mails: Bestellbestätigungen, Rechnungen, Newsletter, Passwort-Reset) — Unternehmenssitz: San Francisco, USA. Wir nutzen ausschließlich die EU-Region von Resend; sämtliche Mail- Verarbeitung und ‑speicherung findet auf Servern in der Europäischen Union statt. Es findet daher keine Übermittlung Ihrer Daten in ein Drittland statt. Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Datenschutz­hinweise: resend.com/legal/privacy-policy.
• Versanddienstleister (z. B. Österreichische Post, DHL, GLS) — erhalten ausschließlich die Lieferadresse zur Zustellung Ihrer Bestellung.
• Backblaze, Inc. (verschlüsselte Off-Site- Sicherung unserer Datenbank- und Storage-Backups) — Unternehmenssitz: San Mateo, USA; wir nutzen ausschließlich die EU-Region (Amsterdam). Sämtliche Backups werden bereits auf unserem Server clientseitig Ende-zu-Ende-verschlüsselt (restic, AES-256) und erst dann zu Backblaze übertragen. Backblaze hat zu keinem Zeitpunkt Zugriff auf den Klartext. AVV gemäß Art. 28 DSGVO besteht. Datenschutz­hinweise: backblaze.com/company/privacy.html.
• DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.) (KI-gestützter Chat-Assistent auf der Website) — Sitz: Hangzhou, Volksrepublik China. Wenn Sie unseren Chat-Assistenten nutzen, werden Ihre Anfragen sowie der bereit­ gestellte Produktkontext an DeepSeek übermittelt, um eine Antwort zu generieren. Eine Anmeldung oder Übermittlung Ihrer Stammdaten erfolgt dabei nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer interaktiven Produktberatung). China verfügt über keinen Angemessenheitsbeschluss der EU-Kommission; die Übermittlung stützt sich auf EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Wenn Sie diese Übermittlung vermeiden möchten, nutzen Sie den Chat-Assistenten bitte nicht und kontaktieren uns direkt per E-Mail oder Telefon.
• Google Ireland Ltd.(Reichweitenmessung mit Google Analytics) — nur, wenn Sie im Cookie-Banner die Kategorie „Statistik“ aktiv ausgewählt haben. Details siehe Abschnitt 6.

Stripe (Irland), Resend (EU-Region), Backblaze (EU-Region) und unsere Versanddienstleister verarbeiten Ihre Daten innerhalb der EU/des EWR; bei Backblaze zudem ausschließlich verschlüsselt. Eine Übermittlung in ein Drittland erfolgt nur in zwei klar abgegrenzten Fällen: bei Nutzung des KI-Chats (DeepSeek, China) und — sofern Sie im Cookie-Banner aktiv eingewilligt haben — bei Google Analytics (USA). Beide stützen sich auf geeignete Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln, bei Google zusätzlich EU-US Data Privacy Framework).

5. Cookies & lokale Speicherung

Wir unterscheiden zwischen technisch notwendigen und einwilligungspflichtigen Speichervorgängen:

• Technisch notwendig — etwa um Ihren Warenkorb, Ihre Spracheinstellung oder Ihre Login-Sitzung zu erhalten. Diese Verarbeitung ist zur Funktion des Dienstes erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 165 Abs. 3 TKG 2021) und wird ohne gesonderte Einwilligung gesetzt.
• Statistik / Reichweitenmessung — werden ausschließlich dann gesetzt, wenn Sie im Cookie-Banner aktiv zugestimmt haben (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Konkret handelt es sich aktuell um Google Analytics (siehe Abschnitt 6).
• Marketing-Cookies — werden ausschließlich nach Ihrer ausdrücklichen Einwilligung geladen. Aktuell betrifft das den Meta Pixel für Facebook-/Instagram-Werbung und Retargeting (siehe Abschnitt 8).

Sie können Ihre Einwilligung jederzeit über das Cookie-Banner oder durch Löschen der lokalen Speicherung in Ihrem Browser mit Wirkung für die Zukunft widerrufen.

6. Reichweitenmessung mit Google Analytics

Diese Website verwendet Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics verwendet Cookies und ähnliche Technologien, die eine Analyse Ihrer Nutzung der Website ermöglichen.

Rechtsgrundlage:Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Wir laden Google Analytics erst, nachdem Sie im Cookie-Banner die Kategorie „Statistik“ aktiv akzeptiert haben. Bis dahin werden keinerlei Daten an Google übermittelt.

Verarbeitete Daten: IP-Adresse (gekürzt / anonymisiert über die Funktion anonymize_ip), Geräte- und Browser-Informationen, ungefährer Standort (Land/Region), aufgerufene Seiten, Verweildauer, Verweisquelle, Interaktionsereignisse (z. B. Klicks, Scrolls). Es findet keine Zusammenführung mit anderen bei uns gespeicherten personenbezogenen Daten statt.

Empfänger & Drittlandübermittlung: Die Daten werden an Server von Google in der EU oder den USA übertragen und dort gespeichert. Google ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich sind EU-Standardvertragsklauseln abgeschlossen (Art. 46 DSGVO).

Speicherdauer: Die in Google Analytics gespeicherten Nutzerdaten und Ereignisdaten werden nach 14 Monaten automatisch gelöscht.

Widerruf: Sie können Ihre Einwilligung jederzeit über das Cookie-Banner widerrufen — danach wird Google Analytics nicht mehr geladen. Zusätzlich können Sie das Browser-Add-on „Google Analytics Opt-out“ installieren.

Weitere Informationen zur Datenverarbeitung durch Google: policies.google.com/privacy.

7. Nutzungsanalyse mit Microsoft Clarity

Diese Website verwendet Microsoft Clarity, einen Verhaltensanalysedienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland („Microsoft“). Clarity erstellt Heatmaps und zeichnet anonymisierte Nutzungssitzungen auf, um die Benutzerfreundlichkeit der Website zu verbessern.

Rechtsgrundlage:Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Wir laden Microsoft Clarity erst, nachdem Sie im Cookie-Banner die Kategorie „Statistik“ aktiv akzeptiert haben. Bis dahin werden keinerlei Daten an Microsoft übermittelt.

Verarbeitete Daten: IP-Adresse (anonymisiert), Geräte- und Browser-Informationen, Bildschirmauflösung, ungefährer Standort, aufgerufene Seiten, Mausbewegungen, Klicks, Scrollverhalten und aggregierte Sitzungsaufzeichnungen. Microsoft Clarity maskiert standardmäßig sensible Eingabefelder (z. B. Passwörter, Kreditkartennummern). Eine Zusammenführung mit anderen bei uns gespeicherten personenbezogenen Daten findet nicht statt.

Empfänger & Drittlandübermittlung: Die Daten werden an Server von Microsoft in der EU oder den USA übertragen. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich sind EU-Standardvertragsklauseln abgeschlossen (Art. 46 DSGVO).

Speicherdauer: Die Sitzungsdaten werden bei Microsoft Clarity nach 13 Monaten automatisch gelöscht.

Widerruf: Sie können Ihre Einwilligung jederzeit über das Cookie-Banner widerrufen — danach wird Microsoft Clarity nicht mehr geladen.

Weitere Informationen zur Datenverarbeitung durch Microsoft Clarity: privacy.microsoft.com.

8. Marketing mit Meta Pixel

Diese Website verwendet Meta Pixel, einen Marketing- und Conversion-Tracking-Dienst der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland („Meta“). Meta Pixel hilft uns dabei, Werbekampagnen auf Facebook und Instagram zu messen, Zielgruppen zu bilden und Besucher:innen später erneut anzusprechen (Retargeting).

Rechtsgrundlage:Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Wir laden Meta Pixel erst, nachdem Sie im Cookie-Banner die Kategorie „Marketing“ aktiv akzeptiert haben. Ohne diese Einwilligung wird das Pixel nicht geladen.

Verarbeitete Daten: aufgerufene Seiten, Referrer, Browser- und Geräteinformationen, gekürzte IP-/Verbindungsdaten sowie Meta-interne Kennungen, soweit diese durch Cookies oder ähnliche Technologien bereitgestellt werden. Wir senden aktuell nur das StandardereignisPageView.

Empfänger & Drittlandübermittlung: Die Daten können an Meta in der EU und in den USA übertragen werden. Meta ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich kommen EU-Standardvertragsklauseln zum Einsatz (Art. 46 DSGVO).

Widerruf: Sie können Ihre Einwilligung jederzeit über das Cookie-Banner mit Wirkung für die Zukunft widerrufen. Danach wird Meta Pixel nicht mehr geladen.

Weitere Informationen zur Datenverarbeitung durch Meta: facebook.com/privacy/policy.

9. Ihre Rechte

Sie haben uns gegenüber jederzeit folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an office@aminakosmetik.at.

10. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt:

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Rechnungen und Bestell­unterlagen werden gemäß § 132 BAO für sieben Jahre aufbewahrt; danach werden die Daten routinemäßig gelöscht bzw. anonymisiert.

12. SSL/TLS-Verschlüsselung

Diese Seite wird ausschließlich über HTTPS mit aktueller TLS-Verschlüsselung ausgeliefert. Sie erkennen eine verschlüsselte Verbindung am Schloss-Symbol in der Adresszeile Ihres Browsers.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche Rahmenbedingungen oder technische Prozesse ändern. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare Fassung.