Datenschutzerklärung

Fassung draft-2026-10-20

Diese Erklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO), welche personenbezogenen Daten wir verarbeiten, wenn Sie unseren Shop unter https://webhosting.1.wien besuchen, ein Kundenkonto anlegen, bei uns bestellen und unsere Hosting-Leistungen nutzen.

1. Verantwortlicher

[wird ergänzt], [wird ergänzt] [wird ergänzt], [wird ergänzt]
E-Mail: [wird ergänzt]
Telefon: [wird ergänzt]

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind (Art. 37 DSGVO). Für alle Fragen zum Datenschutz erreichen Sie uns unter [wird ergänzt].

2. Wofür diese Erklärung gilt – und wofür nicht

Diese Erklärung gilt für Daten, die wir für eigene Zwecke verarbeiten: Besuch des Shops, Kundenkonto, Bestellung, Vertrag, Zahlung, Rechnung, Support.

Sie gilt nicht für Daten, die unsere Kunden in ihrem Hosting speichern (Websites, Datenbanken, E-Mail-Postfächer). Diese verarbeiten wir als Auftragsverarbeiter im Auftrag unserer Kunden nach Anhang 1 unserer AGB. Wenn Sie Besucher der Website eines unserer Kunden sind oder mit einem Postfach bei uns kommunizieren, ist der jeweilige Website-Betreiber für Ihre Daten verantwortlich; bitte wenden Sie sich an ihn. Anfragen, die uns dazu erreichen, leiten wir an ihn weiter.

3. Überblick

4. Die Verarbeitungen im Einzelnen

4.1 Besuch des Shops

Wenn Sie den Shop aufrufen, verarbeitet unser Server die technisch nötigen Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser-Kennung und die zuvor besuchte Seite. Wir brauchen sie, um die Seiten auszuliefern, Angriffe abzuwehren und Fehler zu finden (berechtigtes Interesse, Art. 6 Abs 1 lit f DSGVO). Unsere Anwendungsprotokolle sind so gebaut, dass sie keine personenbezogenen Daten im Klartext enthalten, und werden nach 14 Tagen gelöscht.

Der Shop läuft über das Netzwerk von Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare leitet die Anfragen an unseren Server weiter, schützt ihn vor Angriffen und Überlastung und liefert statische Dateien schneller aus. Dabei verarbeitet Cloudflare die oben genannten Verbindungsdaten in unserem Auftrag (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO). Cloudflare teilt uns außerdem mit, aus welchem Land eine Anfrage kommt (siehe 4.5). Die Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und schnellen Shop (Art. 6 Abs 1 lit f DSGVO). Zur Übermittlung in die USA siehe Abschnitt 6. Cloudflare betrifft nur den Shop und den Kundenbereich, nicht die Websites und Postfächer unserer Kunden.

4.2 Cookies

Wir verwenden nur Cookies, die technisch unbedingt erforderlich sind. Für sie brauchen wir keine Einwilligung (§ 165 Abs 3 TKG 2021). Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies und binden keine Dienste Dritter ein, die solche setzen.

Bei der Bezahlung auf der Seite von Stripe (checkout.stripe.com) setzt Stripe eigene Cookies, unter anderem zur Betrugsvorbeugung. Dafür ist Stripe verantwortlich; Informationen finden Sie unter https://stripe.com/at/legal/cookies-policy.

4.3 Kundenkonto

Für Bestellungen und die Verwaltung Ihrer Verträge brauchen Sie ein Kundenkonto. Wir speichern Ihre E-Mail-Adresse, Ihr Passwort ausschließlich als kryptografischen Hash, auf Wunsch das Geheimnis für die Zwei-Faktor-Anmeldung samt Wiederherstellungscodes (verschlüsselt), Ihre Sprache und Ihre aktiven Anmeldesitzungen. Wir senden Ihnen eine E-Mail zur Bestätigung Ihrer Adresse. Rechtsgrundlage ist die Vertragserfüllung bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs 1 lit b DSGVO). Löschen Sie Ihr Konto oder endet die Geschäftsbeziehung, anonymisieren wir die Kontodaten, sobald keine Aufbewahrungspflicht mehr besteht; ausgestellte Rechnungen behalten die darin enthaltenen Angaben (Abschnitt 7).

4.4 Bestellung und Vertrag

Für Bestellung und Vertrag verarbeiten wir Ihren Namen, gegebenenfalls Firmennamen, Anschrift, Land, freiwillig Ihre Telefonnummer, ob Sie als Verbraucher oder Unternehmen bestellen, Ihre UID-Nummer oder Register- bzw. Steuernummer, den gewählten Tarif, die Domain bzw. die kostenlose Adresse und die Vertragsdaten (Laufzeit, Kündigung, Widerruf). Rechtsgrundlage ist Art. 6 Abs 1 lit b DSGVO.

Im Bestellvorgang speichern wir außerdem, welche Erklärungen Sie abgegeben haben (Annahme der AGB, Zustimmung zur elektronischen Rechnung, gegebenenfalls Verlangen nach vorzeitigem Leistungsbeginn), mit dem genauen Wortlaut, der Fassung der Dokumente, dem Zeitpunkt und Ihrer IP-Adresse. So können wir nachweisen, dass wir unsere Informationspflichten nach dem Fern- und Auswärtsgeschäfte-Gesetz erfüllt haben (Art. 6 Abs 1 lit c und f DSGVO).

4.5 Umsatzsteuer: Ort der Leistung und UID-Prüfung

Für Verbraucher in der EU müssen wir die Umsatzsteuer des Landes berechnen, in dem sie wohnen, und dafür Nachweise aufbewahren (Art. 24b, 24f und 63c der Durchführungsverordnung (EU) 282/2011). Dafür verarbeiten wir:

• das Land Ihrer Rechnungsanschrift;
• Ihre IP-Adresse und das daraus abgeleitete Land. Das Land erhalten wir von Cloudflare. Fehlt diese Angabe, ermitteln wir es auf unserem eigenen Server aus einer lokal gespeicherten Datenbank von DB-IP (Eris Networks S.A.S., Frankreich); dabei werden keine Daten an DB-IP übermittelt;
• das Ausstellungsland Ihrer Karte bzw. das Land Ihrer IBAN, das wir von Stripe erhalten (bei eps: Österreich).

Widersprechen sich diese Angaben, prüft ein Mitarbeiter Ihre Bestellung, bevor wir sie annehmen. Rechtsgrundlage ist Art. 6 Abs 1 lit c DSGVO.

Wenn Sie als Unternehmen eine UID-Nummer angeben, prüfen wir sie über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Dabei übermitteln wir Ihre UID-Nummer und unsere eigene; VIES antwortet mit der Gültigkeit und gegebenenfalls Name und Anschrift, die zu der Nummer registriert sind, sowie einer Abfragenummer. Das Ergebnis bewahren wir als Nachweis für die Steuerbefreiung auf (Art. 6 Abs 1 lit c DSGVO in Verbindung mit § 11 UStG und Art. 18 DVO 282/2011).

4.6 Zahlung

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Sie geben Ihre Karten- oder Kontodaten direkt auf der Bezahlseite von Stripe ein; sie erreichen unsere Server nie. Wir erhalten von Stripe nur Kennungen, die Zahlungsart, bei Karten Marke, letzte vier Ziffern, Ablaufdatum und Ausstellungsland, bei SEPA die letzten vier Ziffern der IBAN, das Land und die Mandatsreferenz, sowie den Zahlungsstatus und eine Risikobewertung. Wir übermitteln Stripe Ihren Namen, Ihre E-Mail-Adresse, Ihre Rechnungsanschrift, Ihre Sprache und den Betrag.

Stripe verarbeitet diese Daten teils als unser Auftragsverarbeiter, teils als eigener Verantwortlicher, insbesondere zur Erkennung und Verhinderung von Betrug, zur Erfüllung gesetzlicher Pflichten (etwa zur Geldwäscheprävention) und zur Verbesserung seiner Dienste. Für diese eigenen Zwecke gilt die Datenschutzerklärung von Stripe: https://stripe.com/at/privacy.

Rechtsgrundlage für uns ist die Vertragserfüllung (Art. 6 Abs 1 lit b DSGVO), für die Aufbewahrung Art. 6 Abs 1 lit c DSGVO und für die Betrugsabwehr unser berechtigtes Interesse (Art. 6 Abs 1 lit f DSGVO). Wenn Sie mit Karte oder SEPA-Lastschrift zahlen, speichert Stripe das Zahlungsmittel für die automatischen Folgezahlungen; Sie können es im Kundenbereich jederzeit ändern oder entfernen.

4.7 Betrugsprävention

Hosting wird häufig für Betrug missbraucht, etwa für Phishing-Seiten, die mit gestohlenen Zahlungsdaten bezahlt werden. Um uns, unsere Kunden und Dritte davor zu schützen, setzen wir folgende Maßnahmen ein (berechtigtes Interesse, Art. 6 Abs 1 lit f DSGVO):

• Stripe bewertet jede Zahlung automatisch auf ihr Betrugsrisiko. Zahlungen mit sehr hohem Risiko oder falscher Kartenprüfnummer lehnt Stripe ab. Bestellungen mit erhöhtem Risiko oder widersprüchlichen Länderangaben (4.5) gehen nicht automatisch durch, sondern werden von einem Mitarbeiter geprüft, bevor wir sie annehmen oder ablehnen.
• Wir begrenzen die Zahl der Bestellungen und Zahlungsversuche je Konto und je IP-Adresse. Nach mehr als fünf fehlgeschlagenen Zahlungen an einem Tag sperren wir das Kundenkonto automatisch für neue Bestellungen und für die Anmeldung. Wir weisen Anmeldungen mit E-Mail-Adressen von Wegwerf-Anbietern zurück.
• Wir richten das Hosting erst ein, wenn Sie Ihre E-Mail-Adresse bestätigt haben, und bei einer ersten Zahlung per SEPA-Lastschrift erst nach deren Gutschrift.

Ist Ihr Konto oder Ihre Bestellung betroffen, können Sie uns unter [wird ergänzt] kontaktieren. Ein Mitarbeiter prüft den Fall dann persönlich; Sie können Ihren Standpunkt darlegen und die Entscheidung anfechten (Abschnitt 9).

4.8 Rechnungen, Buchhaltung und Steuermeldungen

Wir stellen für jede Zahlung eine Rechnung aus und für Erstattungen eine Rechnungskorrektur. Die Daten verwenden wir für die Buchhaltung, die Umsatzsteuervoranmeldung, die Zusammenfassende Meldung (Reverse Charge) und die Erklärung über den One-Stop-Shop (OSS). Rechtsgrundlage ist Art. 6 Abs 1 lit c DSGVO in Verbindung mit § 11 UStG, § 132 BAO und den OSS-Vorschriften. Die Daten übermitteln wir an das Finanzamt und gegebenenfalls an unsere Steuerberatung.

4.9 Zahlungserinnerungen und Mahnungen

Ist eine Zahlung offen, verarbeiten wir die Daten zu Betrag, Zahlungsversuchen und Mahnstufe und senden Ihnen Erinnerungen und Mahnungen (Art. 6 Abs 1 lit b und f DSGVO). Den Ablauf beschreibt § 9 unserer AGB.

4.10 E-Mails zu Ihrem Vertrag

Wir senden Ihnen E-Mails, die für den Vertrag nötig sind: Bestätigungen, Rechnungen, Zahlungs- und Sicherheitshinweise, Hinweise zu Laufzeit und Änderungen. Werbe-E-Mails senden wir nicht. Die E-Mails versenden wir über unseren eigenen Mailserver in Wien; einen externen E-Mail-Dienstleister setzen wir nicht ein. Wir speichern, wann eine E-Mail von unserem Mailserver angenommen wurde, und ihre Kennung (Message-ID), weil wir nachweisen müssen, dass wir Ihnen etwa die Vertragsbestätigung auf einem dauerhaften Datenträger übermittelt haben (Art. 6 Abs 1 lit b und c DSGVO).

4.11 Widerruf und Kündigung

Wenn Sie über unsere Seiten „Vertrag widerrufen“ oder „Verträge hier kündigen“ oder im Kundenbereich eine Erklärung abgeben, speichern wir Ihren Namen, Ihre Angaben zum Vertrag, Ihre E-Mail-Adresse, den Wortlaut der Erklärung, den Zeitpunkt, Ihre IP-Adresse und Ihre Browser-Kennung. Wir brauchen diese Daten, um die Erklärung Ihrem Vertrag zuzuordnen, Ihnen eine Eingangsbestätigung zu senden (§ 13a FAGG) und die Rechtzeitigkeit nachweisen zu können (Art. 6 Abs 1 lit b, c und f DSGVO).

4.12 Support und Beschwerden

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten (Art. 6 Abs 1 lit b DSGVO, bei Anfragen ohne Vertragsbezug lit f).

4.13 Meldungen rechtswidriger Inhalte und Missbrauch

Wenn Sie uns einen rechtswidrigen Inhalt oder Missbrauch melden, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt der Meldung, um sie zu prüfen, Ihnen den Eingang und unsere Entscheidung mitzuteilen und gegebenenfalls Maßnahmen zu treffen (Art. 6 Abs 1 lit c DSGVO in Verbindung mit Art. 16 und 17 DSA, sowie lit f). Dem betroffenen Kunden teilen wir Ihren Namen nur mit, wenn das zur Klärung nötig ist und Ihre Interessen nicht überwiegen.

4.14 Sicherheit und Nachvollziehbarkeit

Verwaltungsaktionen in unserem System (etwa das Ausstellen von Rechnungen oder Änderungen an Verträgen) protokollieren wir, damit sie nachvollziehbar bleiben; das Protokoll enthält keine Passwörter, IBAN, Schlüssel oder Kartendaten. Unsere Server protokollieren Anmeldeversuche und sperren Adressen nach wiederholten Fehlversuchen automatisch. Rechtsgrundlage ist Art. 6 Abs 1 lit c DSGVO (Art. 32 DSGVO) und lit f (Schutz unserer Systeme).

4.15 Rechtsdurchsetzung und Auskunftspflichten

Wir verarbeiten Daten auch, soweit das zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist (Art. 6 Abs 1 lit f DSGVO). Gerichten, Behörden und Dritten geben wir Daten nur im gesetzlich vorgesehenen Rahmen heraus, etwa nach § 13 E-Commerce-Gesetz (Art. 6 Abs 1 lit c DSGVO).

5. Empfänger

• Cloudflare, Inc. (USA) – Schutz und Auslieferung des Shops; Auftragsverarbeiter (4.1).
• Stripe Payments Europe, Limited (Irland) und mit ihr verbundene Unternehmen, insbesondere Stripe, LLC (USA) – Zahlungsabwicklung; teils Auftragsverarbeiter, teils eigener Verantwortlicher (4.6).
• Hohl IT e.U. („Alwyzon“), Floridsdorfer Hauptstraße 1, 1210 Wien – Betreiber der Server, auf denen der Shop und unsere Datenbank laufen (Rechenzentrum in Wien); Auftragsverarbeiter.
• Hetzner Online GmbH, Gunzenhausen, Deutschland – Speicherung von Sicherungskopien; Auftragsverarbeiter.
• Europäische Kommission (VIES) – UID-Prüfung (4.5).
• Finanzverwaltung – Steuererklärungen und Meldungen (4.8); gegebenenfalls unsere Steuerberatung, die zur Verschwiegenheit verpflichtet ist.
• Banken und Zahlungsdienstleister, soweit für Zahlungen und Erstattungen nötig.
• Let’s Encrypt (Internet Security Research Group, USA) – erhält die Domainnamen unserer Kunden für TLS-Zertifikate; diese werden in öffentlichen Certificate-Transparency-Protokollen veröffentlicht. Für unseren eigenen Shop gilt dasselbe für webhosting.1.wien.
• Gerichte, Behörden, Rechtsvertreter – soweit gesetzlich vorgesehen oder zur Rechtsdurchsetzung nötig (4.15).

Unsere Vertrags-E-Mails versenden wir über unseren eigenen Mailserver; sie werden an den Mailserver Ihres E-Mail-Anbieters zugestellt.

6. Übermittlung in Drittländer

Cloudflare, Inc. und Stripe, LLC haben ihren Sitz in den USA. Beide sind nach dem EU-US Data Privacy Framework zertifiziert; für Übermittlungen an sie gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Zusätzlich haben beide Standardvertragsklauseln der Europäischen Kommission vereinbart (Art. 46 Abs 2 lit c DSGVO). Cloudflare kann Verbindungsdaten in Rechenzentren außerhalb der EU verarbeiten, auch in den USA. Let’s Encrypt (ISRG) erhält nur Domainnamen und technische Daten (Abschnitt 5).

7. Wie lange wir Daten speichern

Wir speichern Daten, solange wir sie für den jeweiligen Zweck brauchen, und löschen oder anonymisieren sie danach. Für die wichtigsten Daten gilt:

• Rechnungen und Buchhaltung: § 132 BAO verlangt sieben Jahre ab Ende des Kalenderjahres, länger, solange die Unterlagen für ein anhängiges Abgabenverfahren von Bedeutung sind. Für Leistungen an Verbraucher in anderen EU-Mitgliedstaaten, die wir über den One-Stop-Shop erklären, müssen wir die Aufzeichnungen zehn Jahre ab Ende des Jahres der Leistung aufbewahren (Art. 369k der Mehrwertsteuer-Richtlinie 2006/112/EG, Art. 63c DVO 282/2011). Wir bewahren alle Rechnungen, Rechnungskorrekturen und die zugehörigen Bestell-, Zahlungs- und Steuernachweise einheitlich zehn Jahre auf. Soweit das über die sieben Jahre des § 132 BAO hinausgeht und keine OSS-Pflicht besteht, stützen wir uns auf unser berechtigtes Interesse (Art. 6 Abs 1 lit f und Art. 17 Abs 3 lit e DSGVO), uns gegen Abgabennachforderungen verteidigen zu können: Das Recht der Behörde, eine Abgabe festzusetzen, verjährt spätestens zehn Jahre nach ihrer Entstehung (§ 209 Abs 3 BAO).
• Nachweise zum Vertragsschluss (Bestätigungen im Bestellvorgang, Widerrufs- und Kündigungserklärungen): gemeinsam mit der Bestellung zehn Jahre.
• Kundenkonto: bis zur Löschung; danach anonymisiert, soweit keine der genannten Fristen läuft.
• Server- und Sicherheitsprotokolle: höchstens vier Wochen, Anwendungsprotokolle 14 Tage.
• Technische Ereignisdaten von Stripe (ohne personenbezogene Daten): 90 Tage.
• Laufen Verfahren oder sind Ansprüche geltend gemacht, speichern wir die nötigen Daten bis zu ihrem Abschluss.

8. Müssen Sie uns Daten geben?

Die im Bestellvorgang als Pflichtfelder gekennzeichneten Angaben brauchen wir für den Vertragsschluss und für die gesetzlich vorgeschriebene Rechnung und Umsatzsteuer. Ohne sie können wir keinen Vertrag schließen. Die Telefonnummer ist freiwillig.

9. Automatisierte Entscheidungen

Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) treffen wir nur in folgenden Fällen, die für den Abschluss und die Erfüllung des Vertrags erforderlich sind (Art. 22 Abs 2 lit a DSGVO):

• Stripe lehnt Zahlungen mit sehr hohem Betrugsrisiko oder falscher Kartenprüfnummer automatisch ab.
• Nach mehr als fünf fehlgeschlagenen Zahlungen an einem Tag sperren wir das Kundenkonto automatisch für neue Bestellungen und die Anmeldung.

Die Logik: Stripe bewertet Zahlungen anhand von Merkmalen der Zahlung und des Geräts und anhand von Erfahrungen aus seinem gesamten Netzwerk; unsere eigene Sperre zählt nur fehlgeschlagene Zahlungen. Folge ist, dass die Zahlung bzw. weitere Bestellungen vorerst nicht möglich sind. Sie haben das Recht, das persönliche Eingreifen eines Mitarbeiters zu verlangen, Ihren Standpunkt darzulegen und die Entscheidung anzufechten: Schreiben Sie an [wird ergänzt]. Alle anderen Entscheidungen über Bestellungen mit erhöhtem Risiko trifft ein Mensch (4.7). Profiling zu Werbezwecken findet nicht statt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit wir Daten auf Grund unseres berechtigten Interesses verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21). Wenden Sie sich dafür an [wird ergänzt]. Wir antworten innerhalb eines Monats und können dafür einen Nachweis Ihrer Identität verlangen.

11. Beschwerde bei der Aufsichtsbehörde

Wenn Sie meinen, dass wir Ihre Daten rechtswidrig verarbeiten, können Sie sich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, https://www.dsb.gv.at. Sie können sich auch an die Aufsichtsbehörde des EU-Mitgliedstaats wenden, in dem Sie wohnen oder arbeiten. Wir freuen uns, wenn Sie sich vorher an uns wenden.

12. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere durch verschlüsselte Übertragung (HTTPS), getrennte Systembenutzer, Zwei-Faktor-Anmeldung für unsere Mitarbeiter, eingeschränkte Zugänge und regelmäßige Sicherheitsupdates. Eine Beschreibung finden Sie in Anlage 1a unserer AGB.

13. Quellenangabe

IP-Geolokalisierung durch DB-IP (https://db-ip.com), lizenziert unter Creative Commons Namensnennung 4.0 International (CC BY 4.0).

14. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie im Shop unter https://webhosting.1.wien/de/datenschutz.