Datenschutzerklärung

1. Verantwortlicher

Monkey Print
Inhaber: Jörg Bartels
Falkenberger Landstraße 18
28865 Lilienthal
Deutschland

Telefon: 04298 6992350
E-Mail: info@dtfmonkey.de

2. Allgemeine Hinweise

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei DTF Monkey. Maßgeblich sind insbesondere die Datenschutz-Grundverordnung (DSGVO) und die Vorschriften zum Schutz von Informationen auf Endgeräten.

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Rechtsgrundlagen

Je nach Verarbeitung kommen insbesondere folgende Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und Vertragserfüllung.
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Verpflichtungen.
• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere technische Sicherheit, Missbrauchsprävention und stabilen Betrieb.
• Art. 6 Abs. 1 lit. a DSGVO, soweit eine Einwilligung erforderlich und eingeholt wird.

4. Technische Zugriffsdaten

Beim Aufruf der Website können technisch erforderliche Informationen verarbeitet werden, insbesondere:

• IP-Adresse
• Datum und Uhrzeit
• Browsertyp und Browserversion
• Betriebssystem
• aufgerufene Ressourcen
• Referrer
• technische Fehler- und Sicherheitsinformationen

Diese Verarbeitung dient insbesondere der technischen Bereitstellung und Sicherheit der Website.

5. Kundenkonto

Bei Nutzung eines Kundenkontos können insbesondere verarbeitet werden:

• E-Mail-Adresse
• Vorname
• Nachname
• Firma
• Ansprechpartner
• Telefonnummer
• USt-IdNr., soweit angegeben
• Rechnungsadresse
• Lieferadresse
• Kundenart
• Bestellhistorie

Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.

6. Bestellungen

Im Rahmen von Bestellungen können insbesondere verarbeitet werden:

• Name
• Firma
• E-Mail-Adresse
• Telefonnummer
• Rechnungsadresse
• Lieferadresse
• Bestellnummer
• Produkt
• Produktvariante
• Menge beziehungsweise Meterzahl
• Preise
• Versandkosten
• Steuerinformationen
• Zahlungsstatus
• Zahlungsanbieter
• Bestell- und Zahlungszeitpunkte
• Druckdateien

Die Verarbeitung erfolgt zur Vorbereitung, Durchführung und Abwicklung des Vertrags.

7. Druckdateien

Für individuell hergestellte DTF-Produkte können Kunden eigene Druckdaten hochladen.

Dabei können insbesondere verarbeitet werden:

• Dateiname
• Dateiinhalt
• Upload-Zeitpunkt
• technische Dateiinformationen
• Zuordnung zur Bestellung

Die Dateien werden insbesondere für Datenprüfung, Produktion, Auftragsabwicklung und gegebenenfalls Reklamationsbearbeitung verwendet.

Kunden sollen keine personenbezogenen Daten in Druckdateien aufnehmen, die für die Herstellung nicht erforderlich sind.

Der Kunde ist dafür verantwortlich, dass er über die erforderlichen Rechte an den übermittelten Inhalten verfügt.

8. Supabase

Für Funktionen wie Authentifizierung, Datenbank, Bestelldaten und privaten Dateispeicher nutzen wir ein externes Supabase-Projekt. Dessen Standort ist Frankfurt am Main.

Je nach Nutzung können dort insbesondere verarbeitet werden:

• Authentifizierungsdaten
• Kundendaten
• Adressdaten
• Bestelldaten
• Druckdateien
• technische Sitzungsinformationen

Zugriffsregeln sind so umgesetzt, dass Kunden grundsätzlich nur auf die ihnen zugeordneten Bestelldaten zugreifen können.

Druckdateien werden nicht als dauerhaft öffentliche Dateien bereitgestellt.

Interne Dateizugriffe können über zeitlich begrenzte Zugriffslinks erfolgen.

9. Lovable-Hosting und Bereitstellung

Die Webanwendung wurde mit Lovable entwickelt und wird über Lovable bereitgestellt. Dies gilt auch beim Aufruf unter unserer eigenen Domain dtfmonkey.de. Der externe Supabase-Datei- und Datenbankspeicher ist davon zu unterscheiden.

Dabei können die in Abschnitt 4 genannten Zugriffsdaten sowie technische Fehler- und Diagnoseinformationen verarbeitet werden. Lovable wird außerdem für den verwalteten Versand unserer Formular- und Bestellnachrichten eingesetzt. Die Besuchsanalyse wird getrennt in Abschnitt 14 beschrieben.

Lovables Datenschutzhinweise nennen Lovable Labs Sweden AB in Stockholm als Verantwortliche für die dort beschriebenen Verarbeitungen. Die veröffentlichte Auftragsverarbeitungsvereinbarung nennt dagegen Lovable Labs Incorporated in Boston als Vertragspartei. Diese Angaben bezeichnen nicht ohne Weiteres dieselbe Rolle für die Verarbeitung unserer Shopdaten. Die konkret für unseren Shop geltende Vertragszuordnung und die Hosting- und Protokollierungsstandorte sind noch zu klären.

Für die Darstellung der Website werden die Schriften Archivo und Barlow von Google Fonts geladen. Dabei baut Ihr Browser Verbindungen zu fonts.googleapis.com und fonts.gstatic.com auf; Google erhält hierbei insbesondere Ihre IP-Adresse und technische Anfragedaten. Lokal verwendete Schriften für die Druckproduktion ersetzen diese Website-Schriften nicht.

10. Stripe

Für Zahlungen kann Stripe eingesetzt werden.

Bei Auswahl einer Stripe-Zahlung werden die für die Zahlungsabwicklung erforderlichen Daten im Rahmen der Stripe-Zahlungsabwicklung verarbeitet. Hierzu können insbesondere gehören:

• Zahlungsbetrag
• Währung
• Bestellreferenz
• E-Mail-Adresse aus der Bestellung, soweit vorhanden
• Produktbezeichnungen mit Format und Menge beziehungsweise Meterzahl sowie Positionsbeträge
• Beträge für Datencheck und Versand, soweit angefallen
• technische Transaktionsinformationen

Die Zahlungsdaten, die Sie auf der Zahlungsseite selbst eingeben, werden unmittelbar von Stripe verarbeitet. Der Shop übermittelt im vorhandenen DTF-Zahlungsweg keine Rechnungs- oder Lieferadresse an Stripe.

Vollständige Kartendaten werden nicht durch den DTF-Monkey-Shop selbst gespeichert.

Im Shop können insbesondere gespeichert werden:

• Zahlungsstatus
• Zahlungsanbieter
• Zahlungszeitpunkt
• technische Stripe-Referenzen

Die Verarbeitung im Zusammenhang mit der Vertragszahlung erfolgt grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

11. PayPal

Für Zahlungen kann PayPal eingesetzt werden.

Bei Auswahl von PayPal werden die für die Zahlungsabwicklung erforderlichen Daten im Rahmen der PayPal-Zahlungsabwicklung verarbeitet. Hierzu können insbesondere gehören:

• Zahlungsbetrag
• Währung
• Bestellreferenz
• technische Transaktionsinformationen

Der vorhandene DTF-Zahlungsweg übermittelt an PayPal keine Artikelpositionen, E-Mail-Adresse oder Rechnungs- und Lieferadresse aus dem Shop. Angaben, die Sie selbst gegenüber PayPal machen, etwa Konto- oder Zahlungsdaten, verarbeitet PayPal unmittelbar.

Im Shop können insbesondere gespeichert werden:

• Zahlungsstatus
• Zahlungsanbieter
• Zahlungszeitpunkt
• PayPal Order ID
• PayPal Capture ID

Die PayPal-Zugangsdaten des Kunden werden nicht durch DTF Monkey gespeichert.

12. Zahlungsstatusmeldungen

Zur sicheren Zahlungsabwicklung werden serverseitige Statusmeldungen der jeweiligen Zahlungsanbieter verarbeitet.

Eine Bestellung wird nicht allein aufgrund einer Browserweiterleitung als bezahlt behandelt.

Dabei können insbesondere verarbeitet werden:

• Bestellreferenzen
• Zahlungsreferenzen
• Zahlungsstatus
• Zeitstempel

Dies dient sowohl der Vertragsabwicklung als auch der sicheren Zuordnung von Zahlungen.

13. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder über unser Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens. Das Formular erfasst Name, E-Mail-Adresse, Betreff und Nachricht. Bei vertragsbezogenen Anfragen ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage; bei sonstigen Anfragen dient Art. 6 Abs. 1 lit. f DSGVO der Bearbeitung und Beantwortung Ihrer Nachricht.

Formularnachrichten werden über den verwalteten Lovable-Mailversand an den serverseitig festgelegten Empfänger info@dtfmonkey.de gesendet. Ihre validierte E-Mail-Adresse wird als Antwortadresse (Reply-To) verwendet. Lovable verarbeitet dafür die Nachrichteninhalte und Versandangaben. Unser E-Mail-Postfach wird bei ALL-INKL.COM – Neue Medien Münnich betrieben; dort werden eingehende Nachrichten und unsere E-Mail-Korrespondenz verarbeitet. Postfachbetrieb und Formularversand sind unterschiedliche Dienste.

Zum Schutz vor Missbrauch prüfen wir die Herkunft der Formularanfrage und ein zusätzliches, für reguläre Eingaben nicht vorgesehenes Formularfeld (Honeypot). Die IP-Adresse und Anfragezeitpunkte werden für eine Begrenzung auf drei Anfragen je IP-Adresse innerhalb von zehn Minuten im Arbeitsspeicher der jeweiligen Serverinstanz verwendet; zusätzlich gilt eine instanzweite Begrenzung. Dieser Schutz dient unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Das Zehn-Minuten-Fenster ist keine zugesagte Löschfrist für sämtliche Protokolle oder E-Mails.

Die Formularfunktion legt die Nachricht nicht zusätzlich in unserer Shopdatenbank ab. Ihre lokale Fehlerausgabe enthält keine Nachrichteninhalte oder Kundenadresse. Daraus folgt keine Aussage über sämtliche Protokolle des Hostings, Maildienstes oder Postfachanbieters.

14. Cookies und vergleichbare Speichertechniken

Für die Zuordnung Ihres Warenkorbs und Ihrer Uploads wird im lokalen Browserspeicher eine technische Kennung unter „dtf-upload-session-id“ gespeichert. Sie hat in der Anwendung kein festes Ablaufdatum und bleibt bis zur Entfernung der entsprechenden Browserdaten bestehen. Warenkorbpositionen und gespeicherte Gangsheet-Layouts liegen in der Shopdatenbank; noch nicht gespeicherte Gangsheet-Bearbeitungen werden im Arbeitsspeicher der geöffneten Seite gehalten.

Das signierte Cookie „dtf_guest_session“ sichert die Gastzuordnung für Warenkorb, Uploads und Checkout ab. Es ist für JavaScript nicht lesbar (HttpOnly) und wird mit einer Laufzeit von 365 Tagen gesetzt; erneutes Setzen kann die Laufzeit erneuern. Für die Anmeldung speichert Supabase Sitzungsinformationen im lokalen Browserspeicher und erneuert Sitzungstokens. Eine feste Löschfrist für diese lokalen Informationen ist im Shop nicht festgelegt. „dtf-last-order“ speichert Bestellnummer und Gesamtbetrag im Sitzungsspeicher des Browser-Tabs für die Bestell- und Zahlungsanzeige.

Eine Ausnahme von der Einwilligung für das Speichern oder Auslesen von Informationen auf Ihrem Endgerät kommt nach § 25 Abs. 2 TDDDG nur in Betracht, wenn dies für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist oder ausschließlich der Nachrichtenübertragung dient. Diese Ausnahme gilt nicht pauschal für Besuchsanalysen.

Im Lovable-Workspace ist Visitor analytics aktiviert. Lovable beschreibt damit Besuchs- und Seitenaufrufmessungen sowie Angaben zu Herkunft, ungefährer Region und Gerätetyp für veröffentlichte Websites. Dies ist eine Besuchsanalyse und keine notwendige Warenkorb- oder Anmeldefunktion. Die konkrete Aktivierung für dieses DTF-Projekt, die dabei eingesetzten Speicher- und Zugriffstechniken sowie eine gegebenenfalls erforderliche Einwilligung sind noch nicht nachgewiesen. Wir behaupten daher weder einen einwilligungsfreien Betrieb noch eine bereits wirksam eingeholte Einwilligung für diese Analyse.

15. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Nach § 147 AO sind je nach Unterlagenart insbesondere zehn Jahre für Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse, acht Jahre für Buchungsbelege (beispielsweise Rechnungen) und sechs Jahre für Handels- und Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen vorgesehen. Die Fristen beginnen grundsätzlich mit dem Schluss des maßgeblichen Kalenderjahres; gesetzliche Ausnahmen und Verlängerungen, etwa bei noch relevanten Besteuerungsverfahren, bleiben zu beachten.

Diese Belegfristen begründen keine pauschale acht- oder zehnjährige Archivierung sämtlicher Druckbilder. Für Druckdateien sind insbesondere Produktion, Auftragsabwicklung, Reklamationen und mögliche rechtliche Nachweispflichten maßgeblich. Konkrete routinemäßige Löschintervalle für Druckdateien, Kontaktkorrespondenz, Hostingprotokolle und Backups sind derzeit nicht abschließend dokumentiert. Eine automatische Löschung nach einer bestimmten Frist wird nicht zugesagt.

16. Empfänger von Daten

Je nach Nutzung sind insbesondere folgende Dienste beteiligt:

• Supabase
• Stripe, wenn Stripe als Zahlungsanbieter ausgewählt wird
• PayPal, wenn PayPal als Zahlungsanbieter ausgewählt wird
• Lovable für Hosting, verwalteten Mailversand und die gesondert beschriebene Besuchsanalyse
• ALL-INKL.COM für unser E-Mail-Postfach
• Billbee für die Bestell- und Versandabwicklung
• Lexware Office für die nachgelagerte Buchhaltung des Betreibers
• DHL / Deutsche Post für die nachgelagerte Versandabwicklung
• Google beim Laden der Website-Schriften

Die Billbee-Anbindung ist vorhanden. Der geschützte DTF-Shopfeed stellt Billbee die notwendigen Kontakt- und Adressdaten, Bestellnummern und Zeitpunkte, Artikelbezeichnungen, SKUs, Formate, Mengen, Preise, Steuersätze, Versandkosten und Versandprofil sowie Zahlungsart und Zahlungsstatus bereit. Soweit angegeben, gehören dazu Telefonnummer, Firma und USt-IdNr. Versandstatus und Trackingangaben können von Billbee in den Shop zurückgemeldet werden. Der DTF-Feed überträgt keine Originaldruckbilder an Billbee.

Lexware Office und DHL / Deutsche Post werden vom Betreiber nachgelagert für Buchhaltung beziehungsweise Versand eingesetzt. Dafür werden die jeweils benötigten Rechnungs- und Belegdaten beziehungsweise Empfänger-, Adress- und Sendungsdaten verarbeitet. Ein direkter API-Anschluss dieses Shops an Lexware Office oder DHL wird damit nicht behauptet. Vertragsabwicklung, gesetzliche Belegpflichten und Versand dienen insbesondere den in Abschnitt 3 genannten Rechtsgrundlagen.

17. Datenübermittlung außerhalb EU/EWR

Auch bei einer eigenen deutschen Domain und dem Supabase-Standort Frankfurt sind weitere Verarbeitungen durch Dienstleister außerhalb der EU beziehungsweise des EWR möglich. Lovable beschreibt in seinen Datenschutzhinweisen internationale Verarbeitung einschließlich der USA und nennt unter anderem Standardvertragsklauseln als Übermittlungsinstrument. Das belegt für sich allein weder einen mit uns abgeschlossenen Vertrag noch die konkrete Absicherung aller Shopverarbeitungen. Die hierfür geltenden Vertrags- und Übermittlungsnachweise sind noch zu klären. Eine US-Zertifizierung einzelner Anbieter oder eine abgeschlossene Prüfung der Übermittlungen wird hier nicht zugesichert.

18. Rechte betroffener Personen

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen insbesondere Rechte auf:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

19. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein. Hierzu gehören im bestehenden System insbesondere:

• verschlüsselte Verbindungen
• Zugriffsbeschränkungen
• serverseitige Autorisierungsprüfungen
• getrennte Kunden- und Betreiberrechte
• private Dateispeicherung
• zeitlich begrenzte Dateizugriffe
• serverseitige Zahlungsbestätigung

20. Aktualisierung der Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich eingesetzte Dienste, Geschäftsprozesse oder rechtliche Anforderungen ändern.