Datenschutzerklärung

Stand: 12.11.2026 · Version: 2026-11-12

Der Schutz deiner Daten ist uns wichtig. Hier erklären wir, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange.

Geltungsbereich: Diese Datenschutzerklärung gilt für

• die Website ad.boutique, einschliesslich der Schweizer Seiten unter ad.boutique/ch (Abschnitte 3 bis 9), und
• unser Kundenportal app.ad.boutique sowie unser internes System boutique.OS, über das wir mit unseren Kunden zusammenarbeiten: Zugänge, Freigaben, Rechnungen und Zahlungen, Online-Angebote, Leads, Besprechungen und KI-Dienste (Abschnitt 10).

Beides betreibt dieselbe Firma, die Ad Boutique Agency GmbH. Die übrigen Abschnitte (Verantwortliche, Empfänger, Drittländer, Speicherdauer, deine Rechte) gelten für beides. Wir verarbeiten Daten nach der Datenschutz-Grundverordnung (DSGVO), dem österreichischen Datenschutzgesetz (DSG), dem Telekommunikationsgesetz 2021 (TKG 2021) und, soweit anwendbar, dem Schweizer Bundesgesetz über den Datenschutz (revDSG).

1. Verantwortliche

Verantwortlich für die gesamte Website ad.boutique, einschliesslich der Schweizer Seiten unter ad.boutique/ch, und für das Kundenportal app.ad.boutique mit boutique.OS:

Ad Boutique Agency GmbH Tegetthoffstrasse 3/Top 8, 1010 Wien, Österreich Geschäftsführung: Florian Hörmann, Daniel Hayden E-Mail: hello@ad.boutique

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht dazu besteht. Für alle Datenschutzanliegen erreichst du uns unter hello@ad.boutique.

2. Überblick

3. Hosting und Server-Logs

Die Website und das Kundenportal app.ad.boutique werden bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, betrieben. Die Server-Funktionen laufen in der Region Frankfurt am Main (EU). Vercel nutzt zur schnellen Auslieferung ein weltweites Netz. Dabei kann nicht ausgeschlossen werden, dass Daten in die USA oder andere Drittländer übermittelt werden.

Beim Aufruf jeder Seite verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Ohne diese Daten kann die Website nicht ausgeliefert und nicht vor Angriffen geschützt werden.

• Zweck: Auslieferung der Website, Stabilität, Sicherheit, Fehleranalyse
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Webauftritt)
• Speicherdauer: Server-Logs werden in der Regel bis zu 30 Tage aufbewahrt und danach automatisch gelöscht. Die genaue Dauer hängt von den Einstellungen des Hosting-Anbieters ab und ist oft kürzer.
• Drittlandübermittlung: Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Zusätzlich gelten Standardvertragsklauseln (SCC) der EU-Kommission im Auftragsverarbeitungsvertrag. Für die Schweiz gilt das Swiss-US Data Privacy Framework bzw. die von der Schweiz anerkannten SCC.

Mit Vercel besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4. Kontaktaufnahme per E-Mail

Wenn du uns eine E-Mail schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (allgemeine Anfragen)
• Speicherdauer: bis die Anfrage erledigt ist, längstens 24 Monate nach dem letzten Kontakt; bei geschäftlicher Korrespondenz bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (in Österreich in der Regel 7 Jahre, § 132 BAO, § 212 UGB)

5. Formulare

5.1 Erstgespräch

Über das Formular "Erstgespräch" kannst du ein unverbindliches Gespräch mit uns anfragen.

• Deine Angaben: Branche, Budget-Rahmen, Zeitrahmen bzw. Stand deines Trackings, gegebenenfalls das Angebot, das dich interessiert, Vor- und Nachname, geschäftliche E-Mail-Adresse und Unternehmen
• Technische Angaben: Formular und Seite, über die du kommst (ohne Adressparameter), Domain der vorherigen Website (Referrer), Markt und Sprache (Österreich oder Schweiz), Kampagnen-Parameter aus der aktuellen Adresse (utm_source, utm_medium, utm_campaign, utm_term, utm_content), Kennung der Absendung, Zeitpunkt sowie ob du in Marketing eingewilligt hast (mit Version von Consent-Text und Datenschutzerklärung). Klick-Kennungen von Werbeplattformen (gclid, gbraid, wbraid, fbclid) werden nur übermittelt, wenn du in die Kategorie Marketing eingewilligt hast (siehe Abschnitt 9).
• Zweck: Anfrage bearbeiten, Gespräch vorbereiten, passendes Angebot erstellen, Herkunft von Anfragen auswerten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Massnahmen auf deine Anfrage); für die Kampagnen-Parameter Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, zu verstehen, welche Kanäle zu Anfragen führen)
• Speicherdauer: 24 Monate nach dem letzten Kontakt, wenn kein Auftrag zustande kommt. Kommt ein Auftrag zustande, gelten die gesetzlichen Aufbewahrungsfristen.

5.2 Leadmagnete (Strategy Paper, Kostenrechner, Account-Audit, Quiz, Checklisten)

Für manche Inhalte bitten wir um deine E-Mail-Adresse. Freiwillig kannst du zusätzlich Branche, Budget-Rahmen und Zeitrahmen angeben, beim Account-Audit die Adresse deiner Website. Die technischen Angaben entsprechen Abschnitt 5.1.

• Zweck: Inhalt bereitstellen bzw. zusenden; einschätzen, welche Leistung zu dir passt; dich zu diesem Thema kontaktieren
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des angeforderten Inhalts. Für weitere Zusendungen (z. B. Newsletter) holen wir eine eigene Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 174 TKG 2021 ein, mit separatem, nicht vorausgewähltem Häkchen und Bestätigung per E-Mail (Double-Opt-in).
• Account-Audit: Beim Account-Audit sehen wir uns die angegebene Website und öffentlich einsehbare Werbeanzeigen an, gegebenenfalls mit Unterstützung von KI. Freiwillig kannst du uns einen Lesezugang zu deinen Werbekonten geben. Dann sehen wir dort Kampagnen, Anzeigen, Kosten und Ergebniszahlen, ändern aber nichts. Den Befund schicken wir dir als schriftlichen Report per E-Mail. Ein Mensch aus unserem Team prüft das Ergebnis, bevor du es erhältst. Nach Abschluss des Audits geben wir den Lesezugang zurück. Setzen wir dafür einen externen KI-Dienst ein, nennen wir Anbieter und Datenregion vorab in dieser Erklärung.
• Speicherdauer: 24 Monate nach dem letzten Kontakt. Eine Einwilligung kannst du jederzeit widerrufen, dann löschen wir die Daten für diesen Zweck.

5.3 Wo die Formulardaten gespeichert werden

Die Website selbst speichert keine Formulardaten. Nach dem Absenden prüft unser Server die Angaben und leitet sie über eine verschlüsselte Verbindung direkt an unser internes System boutique.OS weiter. Dort werden sie gespeichert und bearbeitet. Deine IP-Adresse wird dabei nicht weitergegeben.

Die Datenbank von boutique.OS (auch Anmeldung und Dateiablage des Kundenportals) betreibt Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992, in einem Rechenzentrum in der EU (Frankfurt am Main, eu-central-1). Zugriff haben nur die Personen unseres Teams, die mit der Anfrage befasst sind. Mit Supabase besteht ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.

Solange die Verbindung zu boutique.OS nicht eingerichtet ist (z. B. in einer Vorschau-Version der Website), werden Formulare nicht übermittelt und nicht gespeichert. Das Formular zeigt dir das dann ausdrücklich an und nennt unsere E-Mail-Adresse.

5.4 Lead-Scoring (nur wenn aktiviert)

Wenn wir das Lead-Scoring aktivieren, teilen wir Anfragen anhand deiner Angaben (z. B. Branche, Budget-Rahmen, Zeitrahmen) in Prioritäten ein, damit wir schneller antworten können. Daraus folgt keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinn von Art. 22 DSGVO, jede Anfrage wird von einem Menschen bearbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zügigen und passenden Bearbeitung). Ein Profiling zu Werbezwecken findet ohne deine Einwilligung nicht statt.

5.5 E-Mails zu deiner Anfrage (falls aktiviert)

Nach dem Absenden eines Formulars können wir dir eine einmalige Bestätigung per E-Mail schicken. Sie enthält keine Werbung und keine deiner Eingaben ausser deiner E-Mail-Adresse als Empfänger. Gleichzeitig kann unser Team eine interne Benachrichtigung mit deinen Angaben aus dem Formular bekommen. Ist boutique.OS gerade nicht erreichbar, geht deine Anfrage auf diesem Weg nicht verloren; wir übertragen sie dann von Hand nach boutique.OS und löschen die E-Mail.

Für den Versand nutzen wir Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend verschickt auch die E-Mails aus boutique.OS, etwa Rechnungen, Mahnungen, Einladungen ins Kundenportal und weitergeleitete Leads (Abschnitt 10).

• Zweck: Eingang deiner Anfrage bestätigen, Anfrage zuverlässig an unser Team weitergeben
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Massnahmen auf deine Anfrage)
• Speicherdauer: Resend speichert Versand-Protokolle nur für die Zustellung und löscht sie nach kurzer Frist; die interne E-Mail löschen wir nach der Übernahme in boutique.OS
• Drittlandübermittlung: Resend kann Daten in den USA verarbeiten; dafür gelten Standardvertragsklauseln im Auftragsverarbeitungsvertrag.

6. Schutz der Formulare vor Missbrauch

Honeypot und Rate Limit: Jedes Formular enthält ein für Menschen unsichtbares Feld, das nur Bots ausfüllen. Ausserdem begrenzen wir die Zahl der Absendungen auf fünf je IP-Adresse und je E-Mail-Adresse in zehn Minuten. Dafür hält unser Server die IP-Adresse und die E-Mail-Adresse höchstens zehn Minuten im Arbeitsspeicher. Sie werden nicht dauerhaft gespeichert, nicht protokolliert und nicht weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Spam und Missbrauch).

Cloudflare Turnstile (falls aktiviert): Zusätzlich können wir die Formulare mit Cloudflare Turnstile der Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA, schützen. Turnstile prüft ohne Bilderrätsel, ob ein Mensch das Formular absendet. Ist Turnstile aktiviert, wird das Prüf-Skript geladen, wenn ein Formular angezeigt wird. Dabei werden technische Merkmale deines Browsers und deine IP-Adresse an Cloudflare übermittelt und ausgewertet; unser Server prüft das Ergebnis vor dem Weiterleiten bei Cloudflare.

• Zweck: Schutz vor Spam, Bots und Missbrauch
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; für den Zugriff auf dein Endgerät § 165 Abs. 3 TKG 2021 (unbedingt erforderlich für den von dir gewünschten Dienst)
• Drittlandübermittlung: Cloudflare ist unter dem EU-US und Swiss-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.

7. Terminbuchung mit cal.com

Für die Buchung eines Erstgesprächs nutzen wir die EU-Instanz von cal.com (cal.eu) der Cal.com, Inc., USA. Die Buchungsdaten werden in der EU gespeichert. Nach dem Absenden des Erstgesprächs wird der Kalender erst dann direkt auf unserer Danke-Seite eingebettet, wenn du dort auf den Knopf zur Terminbuchung klickst. Vorher besteht keine Verbindung zu cal.com. Beim Einbetten übergeben wir deinen Namen und deine E-Mail-Adresse aus dem Formular an cal.com, damit du sie im Buchungsformular nicht noch einmal eingeben musst; weitere Angaben aus deiner Anfrage übergeben wir nicht. Öffnest du den Kalender stattdessen über den Link in einem neuen Tab, übergeben wir keine Daten und du trägst deine Angaben selbst ein. Wenn du einen Termin buchst, verarbeitet cal.com deinen Namen, deine E-Mail-Adresse, den gewählten Termin und deine Angaben im Buchungsformular. cal.com kann dabei technisch notwendige Cookies setzen.

• Zweck: Terminvereinbarung, Erinnerung, Zuordnung zu deiner Anfrage
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Datenregion: Europäische Union
• Speicherdauer: 24 Monate nach dem letzten Kontakt, sofern kein Auftrag zustande kommt; danach löschen wir die Buchung auch bei cal.com
• Drittlandübermittlung: Die Daten liegen in der EU. Weil die Cal.com, Inc. ihren Sitz in den USA hat, ist ein Zugriff aus den USA nicht ganz auszuschliessen; dafür gelten Standardvertragsklauseln im Auftragsverarbeitungsvertrag.

8. Schriften

Auf der Website liefern wir unsere Schriften von unserem eigenen Server aus, ohne Verbindung zu Dritten. Schriften externer Anbieter (z. B. Adobe Fonts) setzen wir auf der Website derzeit nicht ein. Vor einer Aktivierung ergänzen wir diese Erklärung. Zu den Schriften im Kundenportal siehe Abschnitt 10.8.

9. Speicherung im Browser, Consent-Banner und Einwilligung

Dieser Abschnitt gilt für die Website. Zum Kundenportal siehe Abschnitt 10.1.

Wir selbst setzen auf der Website keine Cookies. Eingebundene Dienste wie Cloudflare Turnstile (falls aktiviert) oder cal.com können eigene technisch notwendige Cookies setzen, sobald sie geladen werden (Abschnitte 6 und 7). Für einige Funktionen speichern wir kleine Einträge im Speicher deines Browsers (Local Storage bzw. Session Storage). Diese Einträge bleiben auf deinem Gerät und werden nicht automatisch an uns übertragen.

Beim ersten Besuch fragt dich ein Banner nach deiner Auswahl. Vor deiner Einwilligung werden keine Statistik- oder Marketing-Dienste geladen. Derzeit ist in keiner der beiden Kategorien ein Dienst im Einsatz. "Nur notwendige" ist gleichwertig zu "Alle akzeptieren", nichts ist vorausgewählt. Du kannst deine Auswahl jederzeit über den Link "Cookie-Einstellungen" im Footer ändern oder widerrufen. Der Widerruf gilt für die Zukunft.

Was im Browser gespeichert wird:

• Rechtsgrundlage: für adb-consent, adb-theme und adb-erstgespraech § 165 Abs. 3 TKG 2021 (unbedingt erforderlich bzw. von dir ausdrücklich gewünschter Dienst) und Art. 6 Abs. 1 lit. c und f DSGVO; für adb-herkunft und alle Statistik- und Marketing-Dienste deine Einwilligung (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO)

Kampagnen-Parameter und Klick-Kennungen: Wenn du ein Formular absendest, übermitteln wir die UTM-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content) aus der aktuellen Adresse immer mit, weil sie nur die Kampagne beschreiben, nicht dich als Person. Klick-Kennungen von Werbeplattformen (gclid, gbraid, wbraid, fbclid) übermitteln wir nur, wenn du in die Kategorie Marketing eingewilligt hast; ohne diese Einwilligung werden sie weder gelesen noch gespeichert noch gesendet.

Nachweis deiner Einwilligung: Deine Auswahl im Banner speichern wir nur in deinem Browser, nicht auf unserem Server. Sendest du ein Formular ab, übermitteln wir mit deiner Anfrage, ob du in Marketing eingewilligt hast, den Wortlaut dieser Einwilligung sowie die Versionen von Consent-Text und Datenschutzerklärung. Das dient als Nachweis nach Art. 7 Abs. 1 DSGVO.

9.1 Statistik- und Marketing-Dienste

Dienste zur Reichweitenmessung oder für Werbung (z. B. Google Tag Manager, Google Analytics, Google Ads, Meta Pixel und Conversions API, LinkedIn Insight Tag) sind auf der Website derzeit nicht im Einsatz. Bevor wir einen solchen Dienst aktivieren, ergänzen wir diese Datenschutzerklärung um Anbieter, Zweck, Daten, Rechtsgrundlage, Speicherdauer und Drittlandübermittlung. Geladen wird ein solcher Dienst auch dann nur mit deiner Einwilligung. Davon getrennt ist die Rückmeldung von Lead-Status über die Meta Conversions API, die wir nur im Auftrag und mit Freigabe eines Kunden für dessen Kampagnen nutzen (Abschnitt 10.2).

10. Kundenportal und Zusammenarbeit mit Kunden

Dieser Abschnitt betrifft unsere Kunden, die Personen, die für sie mit uns zusammenarbeiten, und Personen, deren Daten wir im Auftrag unserer Kunden verarbeiten.

10.1 Kundenportal

Für Kunden betreiben wir ein Portal unter app.ad.boutique. Zugänge vergeben wir nur auf Einladung. Wir verarbeiten Name, E-Mail-Adresse, Anmeldezeitpunkte und die Aktionen im Portal (z. B. Freigaben), um den Zugang bereitzustellen und die Zusammenarbeit zu dokumentieren. Das Portal zeigt unter anderem Werbe-Kennzahlen, Leads, Rechnungen, Freigaben und Dateien des jeweiligen Kunden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit unserem Kunden); für Mitarbeitende unserer Kunden, mit denen wir selbst keinen Vertrag haben, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer geordneten Zusammenarbeit)
• Cookies: Technisch notwendige Cookies halten die Anmeldung (§ 165 Abs. 3 TKG 2021). Tracking-Cookies setzen wir im Portal nicht ein.

10.2 Leads unserer Kunden

Anfragen und Bewerbungen aus Werbeformularen unserer Kunden (Leads) verarbeiten wir als Auftragsverarbeiter im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlich ist der Kunde; Auskunft und Löschung richten Betroffene an ihn. Auf Wunsch des Kunden leiten wir Leads per E-Mail an von ihm benannte Adressen weiter. Gibt der Kunde es frei, können Statusinformationen zu Leads (z. B. "qualifiziert") verschlüsselt an die Werbeplattform zurückgemeldet werden (Meta Conversions API), um seine Kampagnen zu verbessern.

Anfragen über die Formulare auf unserer eigenen Website (Abschnitt 5) sind keine Leads in diesem Sinn; dafür sind wir selbst verantwortlich.

10.3 Zahlungen

Kunden können im Kundenportal ein SEPA-Lastschriftmandat oder eine Kreditkarte hinterlegen. Die Eingabe erfolgt direkt bei Stripe (Stripe Payments Europe Ltd., Irland). Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher bzw. Auftragsverarbeiter. Wir erhalten nur die letzten Ziffern der IBAN bzw. Karte, die Mandatsreferenz und den Zahlungsstatus; vollständige Konto- oder Kartendaten speichern wir nicht.

Eingehende Überweisungen gleichen wir über den Abruf unserer eigenen Kontoumsätze automatisch mit Rechnungen ab. Dafür nutzen wir Enable Banking (Enable Banking Oy, Finnland).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Aufbewahrungspflichten)

10.4 Online-Angebote

Angebote können über einen persönlichen Link online angenommen werden. Bei der Annahme speichern wir Name, Unterschrift, Zeitpunkt, eine Prüfsumme des angenommenen Angebots und eine verschlüsselte Kennung der IP-Adresse zum Nachweis des Vertragsschlusses.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertragsschluss und berechtigtes Interesse an dessen Nachweis)
• Speicherdauer: nach 7 Jahren werden diese Daten anonymisiert

10.5 Besprechungen

Besprechungen zeichnen wir nur mit Zustimmung aller Teilnehmenden auf. Die Aufnahme wird in Text umgewandelt; das Audio wird nach der Umwandlung 30 Tage aufbewahrt und dann gelöscht. Zusammenfassungen erstellt der KI-Dienst nur nach Zustimmung. Für die Umwandlung in Text nutzen wir OpenAI, für Zusammenfassungen Anthropic (Abschnitt 10.6); Mitschriften aus Google Meet übernehmen wir über Google (Abschnitt 10.7).

• Rechtsgrundlage: die Zustimmung aller Teilnehmenden (Art. 6 Abs. 1 lit. a DSGVO)

10.6 KI-Dienste

In boutique.OS setzen wir KI-Dienste ein: Anthropic (KI-Assistent "Claudius" für Zusammenfassungen, Entwürfe und Auswertungen), OpenAI (Sprache zu Text für Besprechungsaufnahmen und Sprachnotizen), für Bildmotive Google (Gemini) sowie, nur falls eingeschaltet, Black Forest Labs (FLUX), und für die Erzeugung von Bildern und Videos in der Produktion von Werbemitteln Higgsfield (Higgsfield AI, Inc., USA). Ergebnisse werden von unserem Team geprüft. Die Daten werden von Anthropic, OpenAI, Google und Black Forest Labs nicht zum Training ihrer Modelle verwendet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung unserer Leistungen) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung)

10.7 Verbundene Konten und Plattformen

Für unsere Arbeit nutzen wir Google (Kalender, Gmail mit Lesezugriff, Drive, Meet-Mitschriften, Google Ads), Meta (Lead-Formulare, Werbe-Kennzahlen, Rückmeldung über die Conversions API, später Veröffentlichung), Slack (Kunden-Chat und Gruppen, nur wenn verbunden) Microsoft (Outlook-Kalender und Postfach, nur wenn eine Person aus unserem Team ihr Konto verbindet) und Shopify (Aufbau und Betreuung von Onlineshops in den Shopify-Umgebungen unserer Kunden bei Shop-Projekten). E-Mails, Termine und Nachrichten mit dir können dadurch in boutique.OS dem jeweiligen Kunden zugeordnet werden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zusammenarbeit) bzw. Art. 6 Abs. 1 lit. f DSGVO (geordnete Kommunikation)

10.8 Schriften und Push-Mitteilungen im Kundenportal

Das Kundenportal lädt Schriften von Adobe Fonts (Adobe Inc., USA) und Fontshare (Indian Type Foundry, Indien). Beim Abruf der Schriften wird deine IP-Adresse an diese Anbieter übermittelt.

Push-Mitteilungen im Browser erhältst du nur, wenn du sie in deinem Browser erlaubst. Zugestellt werden sie über den Push-Dienst deines Browser-Herstellers (z. B. Google, Apple, Mozilla).

• Rechtsgrundlage: für die Schriften Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung); für Push-Mitteilungen deine Zustimmung im Browser (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021), jederzeit in den Browser-Einstellungen widerrufbar

11. Auftragsverarbeiter und Empfänger

Wir geben Daten nur weiter, wenn es für die genannten Zwecke nötig ist. Empfänger sind die folgenden Dienste, bei Auftragsverarbeitern jeweils mit Vertrag nach Art. 28 DSGVO, sowie bei Bedarf Steuerberatung, Rechtsberatung und Behörden im Rahmen gesetzlicher Pflichten.

12. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder können Daten dorthin übermitteln. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission für Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind. Die Schweiz hat das Swiss-US Data Privacy Framework anerkannt. Wo keine Zertifizierung besteht, nutzen wir Standardvertragsklauseln der EU-Kommission (für die Schweiz mit den vom EDÖB anerkannten Anpassungen).

Betroffene Staaten nach Dienst (Art. 19 Abs. 4 revDSG):

• USA: Vercel (Hosting, weltweites Netz), Cloudflare (falls Turnstile aktiviert), Resend, Cal.com (Zugriff aus den USA möglich, Datenhaltung in der EU), Anthropic, OpenAI, Higgsfield, Slack (falls verbunden), Adobe Fonts (Kundenportal); Übermittlung möglich bei Stripe, Google, Meta, Microsoft, Shopify und den Push-Diensten der Browser-Hersteller
• Singapur und USA: Supabase (Vertragspartner in Singapur, Konzern in den USA; Datenhaltung in Frankfurt am Main)
• Kanada: Shopify (Konzernsitz; für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission, die Schweiz anerkennt Kanada ebenfalls als Staat mit angemessenem Datenschutz)
• Indien: Fontshare (Schriften des Kundenportals)

13. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder das Gesetz es verlangt:

• Server-Logs: in der Regel bis zu 30 Tage (Abschnitt 3)
• Spam-Schutz: höchstens 10 Minuten im Arbeitsspeicher (Abschnitt 6)
• Anfragen, Formulare und Terminbuchungen ohne Auftrag: 24 Monate nach dem letzten Kontakt (Abschnitte 4, 5 und 7)
• Vertrags- und Rechnungsdaten, geschäftliche Korrespondenz: 7 Jahre (§ 132 BAO, § 212 UGB)
• Annahme-Daten von Online-Angeboten: 7 Jahre, danach anonymisiert (Abschnitt 10.4)
• Audio von Besprechungen: 30 Tage nach der Umwandlung in Text (Abschnitt 10.5)
• Arbeitszeit-Aufzeichnungen unseres Teams: 7 Jahre
• Leads unserer Kunden: nach dem Auftragsverarbeitungsvertrag mit dem jeweiligen Kunden (Abschnitt 10.2)
• Sonstige Daten: löschen wir, sobald sie für die Zusammenarbeit nicht mehr nötig sind

14. Deine Rechte

Du hast das Recht auf:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO, Art. 25 revDSG)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO, Art. 32 revDSG)
• Löschung (Art. 17 DSGVO, Art. 32 revDSG)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO, Art. 28 revDSG)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO), insbesondere jederzeit gegen Direktwerbung
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Abschnitt 15)

Schreib uns dafür an hello@ad.boutique. Wir antworten innerhalb eines Monats. Um Missbrauch zu vermeiden, können wir einen Nachweis deiner Identität verlangen. Geht es um Leads, die wir im Auftrag eines Kunden verarbeiten, wende dich an diesen Kunden (Abschnitt 10.2).

15. Beschwerde bei einer Aufsichtsbehörde

Wenn du meinst, dass wir deine Daten nicht rechtmässig verarbeiten, kannst du dich beschweren:

Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at

Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch

Du kannst dich auch an die Aufsichtsbehörde in deinem Wohnsitzland in der EU wenden.

16. Profiling und automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO bzw. Art. 21 revDSG. Ein Profiling zu Werbezwecken (z. B. Zielgruppen für Anzeigen) findet auf der Website nur statt, wenn du in die Kategorie Marketing eingewilligt hast. Zum Lead-Scoring siehe Abschnitt 5.4, zu KI-Diensten Abschnitt 10.6.

17. Datensicherheit

Die Übertragung erfolgt verschlüsselt (HTTPS mit HSTS). Zugriffe auf gespeicherte Daten sind auf die zuständigen Personen beschränkt und werden protokolliert. Formulardaten werden nur serverseitig an boutique.OS übermittelt, der Zugangsschlüssel liegt nie im Browser. Die Datenbank ist durch Zugriffsregeln je Datensatz (Row Level Security) geschützt. Unsere Server-Protokolle enthalten keine Formularinhalte. Im Kundenportal ist eine Zwei-Faktor-Anmeldung möglich; wir empfehlen sie.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unser Kundenportal, unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Die Version steht oben.