Katalogmodus – Beispielprodukte. Keine verbindlichen Bestellungen und keine Zahlungen.

Datenschutz

Vorbereiteter Entwurf: Betreiberangaben und individuelle Regelungen sind noch zu vervollständigen und fachlich zu prüfen. Dies ist keine verbindliche Rechtsberatung.

1. Verantwortlicher

Name: TODO: Name eintragen / Anwendbarkeit prüfen
Anschrift: TODO: Anschrift eintragen / Anwendbarkeit prüfen
Datenschutzkontakt: TODO: Datenschutzkontakt eintragen / Anwendbarkeit prüfen

2. Hosting und technische Protokolle

Beim Seitenaufruf verarbeitet der Server insbesondere IP-Adresse, Zeitpunkt und angeforderte Ressourcen, um die Website auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Das Anwendungsprotokoll enthält keine Anfrageinhalte, Passwörter, Cookies oder URL-Parameter. Sicherheitsereignisse werden nur als Ereigniscodes erfasst und nach 30 Tagen gelöscht. Rate-Limits verwenden gehashte Kennungen und kurze Ablaufzeiten.

Hosting-Vertragspartner: TODO: Hosting-Vertragspartner eintragen / Anwendbarkeit prüfen
Hosting-Standort: TODO: Hosting-Standort eintragen / Anwendbarkeit prüfen

TODO: Infrastruktur-/Proxy-Logfristen, Auftragsverarbeitung und Backup-Löschfristen bestätigen

Datensicherung

Für die Wiederherstellung nach technischen Störungen werden tägliche verschlüsselte Sicherungen auf demselben Server erstellt und durch eine getrennte Testwiederherstellung geprüft. Diese automatisch erstellten Sicherungen werden bis zu 14 Tage aufbewahrt; der letzte erfolgreich geprüfte Stand bleibt erhalten. Änderungen und Löschungen im laufenden System wirken auf ältere Sicherungen erst mit deren Ablauf. Vor dem Wiederbetrieb aus einer Sicherung müssen zwischenzeitliche Löschungen erneut berücksichtigt werden. Die Verarbeitung dient dem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für manuelle Altsicherungen sowie eine spätere externe Sicherung sind Aufbewahrung und Empfänger noch zu klären.

3. Notwendiger Browser-Speicher

Das Cookie __Host-gp_session hält die Anmeldung bis zu sieben Tage aufrecht. Das Cookie __Host-gp_visitor schützt Formulare und Gastbestellungen vor missbräuchlichen Aufrufen; es läuft spätestens nach einem Tag ab. Beide sind HttpOnly, Secure und SameSite=Strict. Grundlage für den erforderlichen Endgerätezugriff ist § 25 Abs. 2 TDDDG; die anschließende Verarbeitung erfolgt zur angeforderten Funktion bzw. Sicherheit gemäß Art. 6 Abs. 1 lit. b oder f DSGVO.

Warenkorb (gp-maker-cart-v2) und ausdrücklich gespeicherte Wunschliste (gp-maker-saved-v1) verbleiben auf diesem Gerät bis zur Leerung oder Löschung der Website-Daten. Zuletzt angesehene Artikel bleiben nur im Arbeitsspeicher der geöffneten Seite. Es gibt kein Tracking und keine extern geladenen Schriftarten oder Analyseskripte. Für diese Funktionen wird kein Einwilligungsbanner verwendet.

4. Kundenkonto, Anmeldung und Sicherheit

Wir verarbeiten Name, E-Mail-Adresse, Registrierungszeitpunkt, Bestätigungsstatus sowie einen gesalzenen scrypt-Passworthash. Das Passwort wird nicht im Klartext gespeichert. Sitzungs- und E-Mail-Token werden in der Datenbank gehasht. Diese Verarbeitung dient dem gewünschten Kundenkonto und der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. b DSGVO), Missbrauchsschutz zusätzlich lit. f. Rücksetzlinks verfallen nach 30 Minuten, Bestätigungslinks nach 24 Stunden und sind einmal verwendbar. Kontodaten bleiben bis zur Kontolöschung gespeichert; erforderliche Geschäftsunterlagen können davon ausgenommen sein.

5. Druckanfragen und 3D-Dateien

Gespeichert werden Projektbeschreibung, Materialwunsch, Stückzahl, Dateiname, Dateigröße, Dateiprüfsumme, Dateiinhalt, Zeitpunkte und Kostenantwort. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Bearbeitung deiner Anfrage. Dateien liegen außerhalb des öffentlichen Webverzeichnisses; nur der jeweilige Kunde und berechtigte Administratoren können sie abrufen. Du kannst eigene Anfragen samt Datei löschen. Neue Anfragen werden nach 90 Tagen automatisch gelöscht, sofern keine dokumentierte Aufbewahrungssperre besteht. Ältere Anfragen ohne Ablaufdatum bedürfen einer Überprüfung durch den Betreiber.

6. Kontakt und E-Mail-Kommunikation

Das Kontaktformular speichert Name, E-Mail-Adresse und Nachricht zur Bearbeitung deines Anliegens, je nach Inhalt auf Grundlage von Art. 6 Abs. 1 lit. b oder f DSGVO. Bitte übermittle keine unnötigen sensiblen Daten. Formulardaten werden nach 90 Tagen entfernt. Automatischer E-Mail-Versand ist derzeit nicht eingerichtet. Kontaktanfragen werden im privaten Administrationsbereich gespeichert. Versandte E-Mail-Kopien werden nach 30 Tagen entfernt. Nachrichten mit Sicherheitslinks werden nach ihrem Ablauf gelöscht.

7. Bestellungen, Rechnungen und Lieferdaten

Der Shop befindet sich derzeit im Katalogmodus; es werden keine verbindlichen Bestellungen oder Zahlungen entgegengenommen. Für eine spätere Bestellung sind E-Mail, Liefer-/Rechnungsadresse und Warenkorbdaten vorgesehen, auch ohne Kundenkonto. Der Server würde Produkt-/Preissnapshots, Bestellstatus, Zahlungsstatus und Rechnungsdaten speichern (Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Aufbewahrung lit. c). Eine Kontolöschung entkoppelt diese Unterlagen vom Konto; aufbewahrungspflichtige Dokumente werden nicht automatisch vernichtet.

TODO: Vor Aktivierung: konkrete gesetzliche Aufbewahrungsfristen, Empfänger für Zahlung/Versand und deren Datenschutzinformationen eintragen

8. Empfänger und Übermittlungen

Zugriff haben befugte Betreiber und erforderliche technische Auftragsverarbeiter. Kundendateien werden durch diese Anwendung nicht an Analyse-, KI- oder Zahlungsdienste weitergeleitet. TODO: Hosting-/Mail-Verträge, Unterauftragnehmer und gegebenenfalls Drittlandübermittlungen samt Garantien prüfen; keine pauschale Aussage ohne Vertragsprüfung

9. Rechte und Beschwerde

Nach Maßgabe der DSGVO kannst du Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Bei Verarbeitungen auf Grundlage berechtigter Interessen steht dir unter den gesetzlichen Voraussetzungen ein Widerspruchsrecht zu. Erteilte Einwilligungen können für die Zukunft widerrufen werden. Im Konto sind Datenexport und Kontolöschung vorgesehen. Für weitere Anliegen nutze den oben genannten Kontakt. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines gewöhnlichen Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes.

TODO: Zuständige Aufsichtsbehörde und deren Kontaktdaten nach Betreibersitz ergänzen