Datenschutzerklärung

1. Verantwortlicher

Podpera GmbH
Hauptstraße 2, 2232 Deutsch-Wagram, Österreich
Telefon: +43 2247 57028
E-Mail: office@eye-photography.at

Diese Datenschutzerklärung gilt für die öffentliche EyePhotography-Website sowie für Partner-, Gestalter-, Kunden- und Administrationsbereiche.

2. Welche Daten wir verarbeiten

Irisaufnahmen werden für die Auswahl, Gestaltung und Herstellung des beauftragten Kunstwerks verwendet. Das aktuelle Portal gleicht Irismuster nicht zur eindeutigen Identifizierung oder Anmeldung ab. Die Aufnahmen können dennoch einer Person zugeordnet sein und sind deshalb personenbezogen. Sollte künftig eine technische Identifizierung oder eine Auswertung von Gesundheitsmerkmalen hinzukommen, muss die Verarbeitung vorab gesondert rechtlich und technisch geprüft werden.

3. Zwecke und Rechtsgrundlagen

Vertrag und vorvertragliche Maßnahmen

Für Bestellungen, Gutscheinkäufe und Terminbuchungen verarbeiten wir erforderliche Daten der Vertragsparteien zur Durchführung des Vertrags und vorvertraglicher Maßnahmen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Hierzu gehören Gestaltung, Freigabe, Produktion, digitale Bereitstellung, Versand und Abrechnung. Bei Ansprechpartnern von Firmenpartnern, Beschenkten und sonstigen Dritten stützen wir erforderliche Kontakt- und Abwicklungsdaten je nach Fall auf berechtigte Interessen an der ordnungsgemäßen Vertragsabwicklung (Art. 6 Abs. 1 lit. f DSGVO); Betroffene können dem nach Maßgabe des Art. 21 DSGVO widersprechen.

Rechtliche Verpflichtungen

Rechnungs- und Buchhaltungsdaten verarbeiten und speichern wir zur Erfüllung gesetzlicher Pflichten, insbesondere nach Unternehmens- und Steuerrecht, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Berechtigte Interessen

Zur Absicherung des Portals, Verhinderung von Missbrauch, Fehleranalyse, Nachvollziehbarkeit von Statusänderungen und internen Organisation verarbeiten wir erforderliche Protokoll- und Nutzungsdaten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse liegt im sicheren, zuverlässigen und nachvollziehbaren Betrieb.

Einwilligung

Soweit eine Verarbeitung ausnahmsweise auf Einwilligung beruht, gilt Art. 6 Abs. 1 lit. a DSGVO. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

4. Daten, die wir über Partner erhalten

Endkundendaten und Irisaufnahmen werden regelmäßig durch den ausgewählten EyePhotography-Partner im Portal erfasst. Quelle ist daher der Partner, bei dem die Aufnahme und Bestellung erfolgt. Wir informieren auch hier über unsere Verarbeitung; der Partner soll diese Hinweise bereits bei der Erfassung zugänglich machen. Bei indirekter Erhebung erhalten Sie die Angaben innerhalb einer angemessenen Frist, spätestens nach einem Monat, bei früherem Kontakt oder früherer Weitergabe spätestens dann, vorbehaltlich der Ausnahmen des Art. 14 DSGVO. Der jeweilige Partner verarbeitet die Daten in seinem eigenen Betrieb und erhält nur Zugriff auf seine Aufträge.

5. Rollen und Empfänger

Zugriffe sind rollenbasiert beschränkt:

Erforderliche Daten können außerdem an Auftragsverarbeiter und Leistungspartner übermittelt werden, insbesondere an OpenAI/ChatGPT Sites für die Website-Bereitstellung, Supabase für Datenbank, Dateien und Anmeldung sowie Resend für den Versand von System-E-Mails. Bei Kartenzahlung wird Stripe als Zahlungsdienst eingesetzt; die optionale Standortkarte wird erst nach Ihrer Auswahl von Google Maps geladen. Außerdem können für Bildbearbeitung, Produktion, Versand, IT-Betrieb und Steuerberatung erforderliche Daten übermittelt werden. Jeder Empfänger erhält nur die für seine Aufgabe erforderlichen Daten.

Berechtigte Partnermanager verarbeiten erforderliche Partner-, Vertrags-, Equipment- und Vergütungsdaten im Umfang ihrer erteilten Länderberechtigung. Eine Beschränkung auf einzelne Gebiete ist damit noch nicht zugesichert.

6. Internationale Datenübermittlungen

Das von uns genutzte Supabase-Projekt ist in der Region eu-central-1 eingerichtet. Für die Versanddomain bei Resend ist eu-west-1 (Irland) gewählt. Laut Resend werden Kontodaten einschließlich E-Mail-Metadaten, Protokollen und API-Datensätzen dennoch in den USA gespeichert. ChatGPT Sites bietet derzeit keine zugesicherte regionale Datenhaltung. Bei Stripe und weiteren Dienstleistern können ebenfalls internationale Übermittlungen stattfinden. Die jeweils geltenden vertraglichen Schutzmaßnahmen und Unterauftragsverarbeiter werden derzeit anhand der Vertragsunterlagen geprüft. Auskünfte hierzu erhalten Sie unter der oben genannten Kontaktadresse.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind. Auftrags- und Kommunikationsdaten werden grundsätzlich bis zum Abschluss und zur Abwicklung möglicher Ansprüche aufbewahrt. Rechnungs- und Buchhaltungsunterlagen werden entsprechend den gesetzlichen Aufbewahrungsfristen gespeichert, regelmäßig sieben Jahre und länger, wenn ein Verfahren dies erfordert. Irisaufnahmen und fertige Bilddateien abgeschlossener oder stornierter Aufträge werden grundsätzlich zwölf Monate nach Abschluss beziehungsweise Stornierung zur Löschung vorgemerkt. Nicht zugeordnete Uploads werden nach 30 Tagen zur Löschung vorgemerkt. Bei offenen Ansprüchen oder einer dokumentierten Aufbewahrungssperre kann eine längere Aufbewahrung erforderlich sein. Die Löschung wird durch die Administration geprüft und durchgeführt; bis zur tatsächlichen Löschung bleiben die Dateien gespeichert. Sicherheits-, Auftrags- und E-Mail-Protokolle werden derzeit zur Nachvollziehbarkeit geführt. Eine durchgängige technische Löschfrist für alle diese Protokollarten und für Sicherungskopien ist noch nicht eingerichtet und wird festgelegt, sobald die tatsächlichen Dienstleisterfristen und gesetzlichen Pflichten geprüft sind.

8. Sichere Kundenlinks und E-Mails

Kundenlinks werden zeitlich oder zugriffsbezogen geschützt bereitgestellt. Ob ein hochauflösender Download verfügbar ist, richtet sich nach dem bestellten Leistungsumfang. E-Mails enthalten nur die für den jeweiligen Empfänger und Vorgang erforderlichen Informationen. Bitte beachten Sie, dass gewöhnliche E-Mail-Kommunikation transportbedingt Restrisiken aufweisen kann.

9. Cookies, lokale Speicherung und Google Maps

Technisch notwendige Speichermechanismen ermöglichen Anmeldung, Sitzung, Sicherheit, Buchung und die Speicherung Ihrer Datenschutzauswahl. Ihre lokalen Einstellungen für größere Schrift, Kontrast und reduzierte Bewegung werden ebenfalls nur auf diesem Gerät gespeichert. Ihre Entscheidung zur optionalen Google-Karte wird auf diesem Gerät lokal gespeichert und kann jederzeit unter Datenschutzeinstellungen geändert werden. Analyse- und Marketing-Cookies setzen wir derzeit nicht ein. Werbliche Erinnerungen an den Zweitbild-Gutschein sind bis zur rechtlichen und technischen Prüfung deaktiviert.

Auf der Homepage zeigen wir eine eingebettete Standortkarte von Google Maps erst nach Ihrer freiwilligen Zustimmung. Beim Laden der Karte kann Google insbesondere Ihre IP-Adresse und technische Nutzungsdaten erhalten und eigene Cookies oder vergleichbare Technologien einsetzen. Die Partnerliste und Terminbuchung funktionieren ohne Karte. Die erforderlichen Programmbibliotheken der Portale werden von unserer Site bereitgestellt; beim Besuch der Portale ist außerdem die Verbindung zu Supabase für Anmeldung und Datenfunktionen technisch erforderlich. Ein Widerruf verhindert künftiges Laden der Karte durch unsere Seite; bereits von Google gesetzte Cookies können Sie in Ihrem Browser entfernen. Weitere Informationen: Datenschutz bei Google.

10. Pflicht zur Bereitstellung

Die für Bestellung, Gestaltung, Rechnung und Lieferung gekennzeichneten Daten sind zur Vertragserfüllung erforderlich. Ohne sie kann der Auftrag nicht oder nicht vollständig abgewickelt werden. Andere Angaben sind freiwillig.

11. Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling zu solchen Zwecken statt. Automatische Status- und E-Mail-Abläufe dienen nur der technischen Auftragsabwicklung.

12. Ihre Rechte

Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Bei Einwilligungen besteht ein Widerrufsrecht für die Zukunft. Zur Ausübung genügt eine Nachricht an office@eye-photography.at. Wir erfassen den Eingang, prüfen nötigenfalls Ihre Identität und antworten grundsätzlich innerhalb eines Monats; soweit die DSGVO dies erlaubt, informieren wir Sie über eine Verlängerung oder begründete Ablehnung. Bitte senden Sie zunächst keine Ausweiskopie. Für eine Löschung prüfen wir, ob gesetzliche Aufbewahrungspflichten bestehen; gegebenenfalls beschränken wir die weitere Verarbeitung.

13. Beschwerderecht

Sie können sich insbesondere beim polnischen Datenschutzamt UODO, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, sowie bei einer anderen zuständigen Aufsichtsbehörde im Staat Ihres Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes beschweren. Für Österreich: Österreichische Datenschutzbehörde.

14. Datensicherheit und Änderungen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, darunter rollenbasierte Zugriffe, geschützte Übertragung, Zugriffskontrollen und Protokollierung. Diese Erklärung wird angepasst, wenn sich Funktionen, eingesetzte Dienstleister oder die Rechtslage ändern.

Stand: 6. Oktober 2026. Offene Vertrags-, Transfer- und Löschfragen müssen noch nachgewiesen und umgesetzt werden.

← Zurück zu EyePhotography

15. Sprache und Verbraucheranliegen

Die ausgewählte Sprache der Website oder des Portals speichern wir lokal; bei angemeldeten Nutzern wird die Präferenz auch im Profil gespeichert, soweit die jeweilige Rolle diese Funktion anbietet. Die notwendige Bereitstellung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b oder f DSGVO und stellt keine Werbeeinwilligung dar.

16. Widerruf, Beschwerden und Empfangsnachweis

Für die Widerrufsfunktion speichern wir Name, E-Mail-Adresse, Vertragsbezeichnung, Erklärung, Sprache und Eingangszeitpunkt. Über Resend senden wir eine Eingangsbestätigung an die angegebene Adresse und informieren die zuständige Bearbeitung. Der Eingang bewirkt keine automatische Entscheidung über eine Erstattung. Grundlage sind verbraucherrechtliche Pflichten und die Dokumentation von Ansprüchen (Art. 6 Abs. 1 lit. c und f DSGVO). Die Angaben bleiben bis zur Erledigung und zum Ablauf einschlägiger Verjährungsfristen gespeichert; Buchungsbelege unterliegen den gesetzlichen Aufbewahrungspflichten. Ein technischer Hash der Netzwerkadresse und ein Anfrageschlüssel begrenzen Missbrauch und Doppelmeldungen; Grundlage ist das berechtigte Sicherheitsinteresse (Art. 6 Abs. 1 lit. f DSGVO).