Datenschutzhinweise

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG) ist:

BUBY-Shop / Konstantinos Dragas Brzogic
Hauptstraße 80
7350 Oberpullendorf, Österreich
E-Mail: info@buby.at
Telefon: +43 699 1906 3254

2. Erhebung und Speicherung personenbezogener Daten

Beim Besuch unserer Website werden automatisch folgende Daten erhoben, die Ihr Browser an unseren Server übermittelt (sogenannte Server-Logfiles):

  • IP-Adresse des anfragenden Geräts
  • Datum und Uhrzeit des Zugriffs
  • Name und URL der abgerufenen Seite
  • Verwendeter Browser und Betriebssystem
  • Referrer-URL (zuvor besuchte Seite)

Diese Daten werden ausschließlich zur Sicherstellung eines störungsfreien Betriebs der Website sowie zur Verbesserung unseres Angebots ausgewertet. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Server-Logfiles werden spätestens nach 30 Tagen gelöscht.

Hosting

buby.at wird auf Servern der Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen, Deutschland) im Rechenzentrum Helsinki (Finnland, EU) betrieben. Hetzner verarbeitet dabei als Auftragsverarbeiter nach Art. 28 DSGVO sämtliche Daten, die Sie auf buby.at eingeben, ausschließlich in unserem Auftrag. Zur Auslieferung und zum Schutz der Website vor Angriffen nutzen wir zusätzlich das Netzwerk von Cloudflare (siehe Punkt 7). Nächtliche Datensicherungen werden über eine verschlüsselte Verbindung auf einen Speicher in Österreich übertragen; dort werden nur die drei jüngsten Tagesstände aufbewahrt.

3. Registrierung und Kundenkonto

Bei der Registrierung eines Kundenkontos erheben wir folgende Daten:

  • Vor- und Nachname
  • E-Mail-Adresse
  • Passwort (verschlüsselt gespeichert)
  • Lieferadresse(n)
  • Rechnungsadresse
  • Telefonnummer (optional)

Die Verarbeitung dieser Daten erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Ihr Kundenkonto können Sie jederzeit selbst löschen: in Ihrem Konto unter „Sicherheit“ → „Konto löschen“, oder per E-Mail an die oben genannte Adresse. Liegen Bestellungen vor, werden Ihre Kontodaten anonymisiert; die Bestell- und Rechnungsdaten müssen wir sieben Jahre aufbewahren (siehe Punkt 4). Ebenfalls unter „Sicherheit“ können Sie jederzeit alle zu Ihrem Konto gespeicherten Daten als Datei (JSON) herunterladen.

Anmeldung mit Google, Passkeys und Zwei-Faktor-Schutz

Sie können sich wahlweise mit Ihrem Google-Konto registrieren und anmelden. Dabei übermittelt Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) an uns Ihre Google-Kontokennung, Ihre E-Mail-Adresse und Ihren Namen; wir speichern die Kontokennung und die E-Mail-Adresse, um Ihr Kundenkonto Ihrem Google-Konto zuzuordnen. Welche Daten Google bei der Anmeldung verarbeitet, erfahren Sie in der Datenschutzerklärung von Google. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Nutzung des Google-Logins ist freiwillig, Sie können sich jederzeit auch mit E-Mail-Adresse und Passwort anmelden.

Alternativ können Sie in Ihrem Konto Passkeys hinterlegen (WebAuthn). Wir speichern dann nur den öffentlichen Schlüssel, eine Kennung und den von Ihnen vergebenen Namen des Passkeys; der private Schlüssel verlässt Ihr Gerät nicht. Auf Wunsch schützen Sie Ihr Konto zusätzlich mit einem zweiten Faktor (Code per E-Mail oder Authenticator-App).

Anmelde-Protokoll und Zustimmungsprotokoll

Zum Schutz vor Missbrauch protokollieren wir Anmeldeversuche mit IP-Adresse, E-Mail-Adresse, Browserkennung, Zeitpunkt, Ergebnis und dem aus der IP-Adresse abgeleiteten Land (das Land liefert uns Cloudflare, ohne dass wir Ihre IP-Adresse an einen weiteren Dienst weitergeben). Diese Einträge werden nach 30 Tagen automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO). Bei der Registrierung halten wir fest, welche Fassung unserer Nutzungsbedingungen und Datenschutzhinweise Sie akzeptiert haben, mit Zeitpunkt, IP-Adresse und Browserkennung, um die Zustimmung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Dieses Protokoll bewahren wir für die Dauer des Kundenkontos auf.

4. Bestellvorgang und Vertragsabwicklung

Zur Abwicklung Ihrer Bestellung verarbeiten wir folgende Daten:

  • Bestelldaten (Produkte, Mengen, Preise)
  • Zahlungsinformationen
  • Liefer- und Rechnungsadresse
  • E-Mail-Adresse (für Bestellbestätigung und Versandinformationen)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Wir sind gemäß § 132 Bundesabgabenordnung (BAO) verpflichtet, Rechnungs- und Geschäftsdaten für die Dauer von sieben Jahren aufzubewahren. Diese gesetzliche Aufbewahrungspflicht stellt die Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. c DSGVO dar.

E-Mails zu Ihrer Bestellung und zu Ihrem Konto

Bestellbestätigungen, Versandbenachrichtigungen, Rechnungen, Passwort-Zurücksetzungen, Sicherheitscodes und alle anderen E-Mails von buby.at versenden wir über den E-Mail-Dienstleister Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich) als Auftragsverarbeiter nach Art. 28 DSGVO. Brevo erhält dazu Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der jeweiligen Nachricht. Die Verarbeitung findet in der EU statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Newsletter

Den Newsletter erhalten Sie nur, wenn Sie ihn bestellt und Ihre E-Mail-Adresse über den Bestätigungslink verifiziert haben (Double-Opt-in, Art. 6 Abs. 1 lit. a DSGVO). Wir speichern Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung und der Bestätigung. Jeder Newsletter enthält einen Abmeldelink, mit dem Sie die Einwilligung jederzeit widerrufen können. Um die Reichweite unserer Aussendungen zu beurteilen, zählen wir, wie viele Empfänger eine Aussendung geöffnet oder einen Link darin angeklickt haben (Zählpixel und Zähl-Links); es wird nur die Gesamtzahl je Aussendung gespeichert, nicht, welcher Empfänger das war.

Erinnerungs-E-Mails

Als Kunde mit bestehendem Kundenkonto können Sie in Einzelfällen eine Erinnerung von uns erhalten, wenn Sie Artikel im Warenkorb liegen gelassen haben, sowie nach einer Bestellung eine Einladung, das gekaufte Produkt zu bewerten. Rechtsgrundlage ist unser berechtigtes Interesse an der Betreuung bestehender Kundenbeziehungen (Art. 6 Abs. 1 lit. f DSGVO). Sie können diese E-Mails jederzeit abbestellen: über den Abmeldelink am Ende jeder dieser E-Mails oder in Ihrem Konto unter „Profil“ → „E-Mail-Einstellungen“. Bestellbestätigungen, Versandinformationen und Rechnungen erhalten Sie unabhängig davon.

5. Zahlungsabwicklung

Für die Zahlungsabwicklung nutzen wir folgende Zahlungsdienstleister:

Stripe

Bei Kreditkartenzahlungen werden Ihre Zahlungsdaten direkt an Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, USA) übermittelt. Stripe ist nach dem PCI DSS (Payment Card Industry Data Security Standard) zertifiziert. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

PayPal

Bei Zahlung über PayPal werden Ihre Zahlungsdaten an die PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, L-2449 Luxemburg) übermittelt. Weitere Informationen finden Sie in der Datenschutzerklärung von PayPal.

Die Weitergabe Ihrer Daten an die Zahlungsdienstleister erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6. Cookies

Unsere Website verwendet Cookies. Dabei handelt es sich um kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. buby.at setzt keine Analyse-Dienste, keine Werbe-Cookies und keine Cookies zur seitenübergreifenden Nachverfolgung ein.

Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Website unbedingt erforderlich und werden ohne Einwilligung gesetzt:

  • Session-Cookie (PHPSESSID): Ermöglicht die Zuordnung Ihres Warenkorbs und Ihrer Anmeldung während Ihres Besuchs und schützt Formulare vor Cross-Site-Request-Forgery-Angriffen. Wird nach Schließen des Browsers gelöscht.
  • Cookie-Einstellungen (buby_cookie_consent): Speichert Ihre Entscheidung im Cookie-Banner. Speicherdauer 12 Monate.
  • Altersbestätigung (adult_verified): Merkt sich Ihre Bestätigung, wenn Sie ein Produkt aufrufen, das nur für Erwachsene bestimmt ist. Speicherdauer 24 Stunden.
  • Empfehlungslink (aff_ref): Wird nur gesetzt, wenn Sie über einen Empfehlungslink eines Teilnehmers unseres Empfehlungsprogramms zu uns kommen, und ordnet einen späteren Einkauf diesem Link zu. Enthält keine personenbezogenen Daten. Speicherdauer 30 Tage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) in Verbindung mit § 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG 2021).

Funktionale Cookies (nur mit Ihrer Einwilligung)

Mit Ihrer Einwilligung merken wir uns die zuletzt angesehenen Produkte und Kategorien (Cookies viewed_products und viewed_categories, Speicherdauer 60 Tage), um sie Ihnen beim nächsten Besuch wieder anzuzeigen. Gespeichert werden ausschließlich Produkt- und Kategorienummern, keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 1 TKG 2021.

Google Kundenrezensionen (nur mit Ihrer Einwilligung)

Mit Ihrer Einwilligung im Cookie-Banner laden wir das Bewertungs-Widget von Google Kundenrezensionen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es zeigt die Bewertung von buby.at bei Google an und fragt Sie nach einem Kauf, ob Sie eine Bewertung abgeben möchten. Dabei werden Skripte von den Google-Servern gstatic.com und apis.google.com geladen; Google erhält Ihre IP-Adresse, Browserinformationen und die aufgerufene Seite und kann eigene Cookies setzen. Auf der Bestellbestätigungsseite werden zusätzlich Ihre E-Mail-Adresse, die Bestellnummer, das Lieferland und das voraussichtliche Lieferdatum an Google übermittelt, damit Google Sie nach der Zustellung um eine Bewertung bitten kann. Ohne Ihre Einwilligung findet keine Verbindung zu Google statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 1 TKG 2021. Google kann Daten in die USA übermitteln (Google LLC); Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Sie können die Einwilligung jederzeit über die Cookie-Einstellungen widerrufen. Weitere Informationen: Datenschutzerklärung von Google.

Cookies von Zahlungsdienstleistern und Sicherheitsdiensten

Beim Bezahlen können Stripe und PayPal eigene Cookies zur Zahlungsabwicklung und Betrugsvermeidung setzen (siehe Punkt 5). Cloudflare, über dessen Netzwerk unsere Website ausgeliefert wird, kann technisch notwendige Sicherheits-Cookies setzen (siehe Punkt 7). Bei der Anmeldung, der Registrierung, dem Zurücksetzen des Passworts und im Händlerbereich schützt uns die Bot-Prüfung Cloudflare Turnstile vor automatisierten Zugriffen; sie bewertet technische Merkmale Ihres Browsers und Ihre IP-Adresse, ohne ein Nutzerprofil anzulegen (Art. 6 Abs. 1 lit. f DSGVO).

Einwilligung und Widerruf

Beim ersten Besuch fragen wir Sie im Cookie-Banner, ob Sie die funktionalen Cookies und das Google-Bewertungs-Widget zulassen möchten. Sie können Ihre Entscheidung jederzeit mit Wirkung für die Zukunft ändern: über den Link „Cookie-Einstellungen“ im Fußbereich jeder Seite oder auf der Seite Cookie-Einstellungen. Dort finden Sie auch eine vollständige Übersicht aller eingesetzten Cookies. Wenn Sie die funktionalen Cookies abwählen, werden bereits gesetzte Verlaufs-Cookies sofort gelöscht.

7. Weitergabe von Daten an Dritte

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte erfolgt nur in folgenden Fällen:

  • Händler / Marketplace-Verkäufer: buby.at ist ein Marktplatz; Ihren Kaufvertrag schließen Sie mit dem jeweiligen Händler. Zur Erfüllung Ihrer Bestellung erhält der Händler Ihren Namen, Ihre Lieferadresse und die Bestelldaten; Ihre E-Mail-Adresse und Telefonnummer sehen Händler nicht, Nachrichten laufen über buby.at (Art. 6 Abs. 1 lit. b DSGVO). Für die Abwicklung Ihrer Bestellung (Versand, Rechnung, Rückfragen, Gewährleistung) ist der Händler eigenständiger Verantwortlicher im Sinne der DSGVO; er darf Ihre Daten nur für die Abwicklung Ihrer Bestellung verwenden. Name und Anschrift des Händlers finden Sie auf seiner Shopseite und in Ihrer Bestellbestätigung.
  • Versanddienstleister: Zur Zustellung Ihrer Bestellung werden Name und Lieferadresse an den jeweiligen Versanddienstleister übermittelt (Art. 6 Abs. 1 lit. b DSGVO).
  • Zahlungsdienstleister: Siehe Punkt 5.
  • Cloudflare: Unsere Website wird über das Netzwerk der Cloudflare, Inc. ausgeliefert, das den Marktplatz vor Angriffen und automatisierten Zugriffen schützt. Dabei verarbeitet Cloudflare als Auftragsverarbeiter technische Verbindungsdaten wie Ihre IP-Adresse. Die Datenübermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln (Art. 6 Abs. 1 lit. f DSGVO, Art. 45 und 46 DSGVO).
  • Hetzner und Brevo: Hosting (Punkt 2) und E-Mail-Versand (Punkt 4) als Auftragsverarbeiter in der EU.
  • Google (Kundenrezensionen): Nur mit Ihrer Einwilligung, Einzelheiten in Punkt 6.
  • Google (Anmeldung): Nur wenn Sie sich für die Anmeldung mit Ihrem Google-Konto entscheiden, Einzelheiten in Punkt 3.
  • ShopVote-Bewertungssiegel: Im Fußbereich jeder Seite zeigen wir unser Bewertungssiegel von ShopVote (Blickreif GmbH, Schulstraße 46, 80634 München, Deutschland). Das Siegelbild wird vom Server von ShopVote geladen; dabei erhält ShopVote Ihre IP-Adresse und die aufgerufene Seite, setzt aber keine Cookies. Rechtsgrundlage ist unser berechtigtes Interesse, geprüfte Kundenbewertungen anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO). Bewertungen, die Sie bei ShopVote abgeben, unterliegen der Datenschutzerklärung von ShopVote.
  • YouTube-Videos: Manche Produktseiten enthalten ein Produktvideo von YouTube (Google Ireland Limited). Das Video wird im erweiterten Datenschutzmodus (youtube-nocookie.com) und erst dann geladen, wenn Sie es selbst starten. Ab diesem Zeitpunkt erhält YouTube Ihre IP-Adresse und kann Cookies setzen; sind Sie bei Google angemeldet, kann Google den Abruf Ihrem Konto zuordnen. Rechtsgrundlage ist Ihre Einwilligung durch das Starten des Videos (Art. 6 Abs. 1 lit. a DSGVO).
  • Behörden: Wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

8. Kontakt, Anfragen und weitere Funktionen

  • Kontaktformular und Nachrichten an Händler: Wir speichern Ihren Namen, Ihre E-Mail-Adresse, Ihre Nachricht und den Zeitpunkt, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b und f DSGVO). Die IP-Adresse wird kurzzeitig zur Abwehr von Missbrauch gespeichert und nach 30 Tagen gelöscht. Nachrichten an Händler werden dem Händler ohne Ihre E-Mail-Adresse zugestellt; er antwortet über buby.at.
  • Produktfragen und Bewertungen: Fragen zu Produkten leiten wir an den Händler weiter; Bewertungen werden nach Prüfung öffentlich auf der Produktseite angezeigt (Art. 6 Abs. 1 lit. b DSGVO).
  • Preis- und Verfügbarkeitsalarm: Wenn Sie sich benachrichtigen lassen, speichern wir Ihre E-Mail-Adresse und das gewünschte Produkt, bis die Benachrichtigung versendet wurde oder Sie den Alarm löschen (Art. 6 Abs. 1 lit. b DSGVO).
  • Widerruf: Erklärungen über das Widerrufsformular speichern wir mit Bestellnummer, Name und E-Mail-Adresse und leiten sie an den Händler weiter (Art. 6 Abs. 1 lit. b und c DSGVO).
  • Empfehlungsprogramm: Klicks auf Empfehlungslinks speichern wir mit Zeitpunkt und IP-Adresse, um Empfehlungen zuzuordnen und Missbrauch zu verhindern; die IP-Adresse wird nach 30 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO).
  • Händlerkonten: Händler, die sich registrieren, geben Firmen-, Kontakt- und Bankdaten an; zur Prüfung der Identität hochgeladene Dokumente werden nach Abschluss der Prüfung gelöscht (Art. 6 Abs. 1 lit. b und c DSGVO).

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen:

  • Kundenkonto: bis zur Löschung durch Sie oder auf Ihren Wunsch
  • Bestell- und Rechnungsdaten: sieben Jahre (§ 132 BAO)
  • Server-Logfiles, Anmelde-Protokoll, IP-Adressen aus Kontaktanfragen und Empfehlungsklicks: 30 Tage
  • Nicht abgeschlossene Warenkörbe: 90 Tage
  • Newsletter-Anmeldung: bis zum Widerruf; unbestätigte Anmeldungen 30 Tage
  • Preis- und Verfügbarkeitsalarme: bis zur Benachrichtigung oder Löschung durch Sie
  • Datensicherungen: die drei jüngsten Tagesstände, ältere werden automatisch überschrieben

10. Datensicherheit

Wir verwenden innerhalb des Website-Besuchs das verbreitete SSL-Verfahren (Secure Socket Layer) in Verbindung mit der jeweils höchsten Verschlüsselungsstufe, die von Ihrem Browser unterstützt wird. Alle personenbezogenen Daten, die Sie an uns übermitteln, werden verschlüsselt übertragen. Passwörter werden ausschließlich in gehashter Form (nicht im Klartext) gespeichert.

11. Ihre Rechte als betroffene Person

Gemäß DSGVO und DSG stehen Ihnen folgende Rechte zu:

  • Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden, und auf Auskunft über diese Daten.
  • Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger Daten zu verlangen.
  • Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten.
  • Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, jederzeit gegen die Verarbeitung Widerspruch einzulegen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht.
  • Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Auskunft und Datenübertragbarkeit (Download aller Kontodaten als JSON) sowie die Löschung Ihres Kontos können Sie direkt in Ihrem Kundenkonto unter „Sicherheit“ auslösen. Für alle anderen Anliegen wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten rechtswidrig erfolgt. Die zuständige Aufsichtsbehörde in Österreich ist:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
Telefon: +43 1 521 52-25 69
E-Mail: dsb@dsb.gv.at
Website: www.dsb.gv.at

13. Änderung dieser Datenschutzhinweise

Wir behalten uns vor, diese Datenschutzhinweise anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Datenverarbeitungen anzupassen. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.

Stand: September 2026