DSGVO-Richtlinie

1. DSGVO im Überblick und unsere Verpflichtung

Die Datenschutz-Grundverordnung (DSGVO) ist ein umfassendes Datenschutzgesetz, das regelt, wie personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR) erhoben, verarbeitet und gespeichert werden.

Printedin bekennt sich uneingeschränkt zur Einhaltung der DSGVO. Wir verarbeiten personenbezogene Daten rechtmäßig, nach Treu und Glauben und transparent. Wir erheben Daten nur für festgelegte, eindeutige und legitime Zwecke und stellen sicher, dass sie dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind.

2. Angaben zum Verantwortlichen

Nach der DSGVO ist Printedin Verantwortlicher für die personenbezogenen Daten unserer Nutzerinnen und Nutzer. Das bedeutet, dass wir über die Zwecke und Mittel der Verarbeitung entscheiden.

3. Rechtsgrundlagen der Verarbeitung

Nach Artikel 6 DSGVO verarbeiten wir personenbezogene Daten auf folgenden Rechtsgrundlagen:

Soweit wir uns auf eine Einwilligung stützen, können Sie diese jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

4. Kategorien personenbezogener Daten

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

5. Betroffenenrechte

Nach der DSGVO stehen Ihnen hinsichtlich Ihrer personenbezogenen Daten die folgenden Rechte zu. Wir beantworten alle berechtigten Anträge innerhalb von 30 Tagen (bei komplexen Anträgen um 60 Tage verlängerbar):

5.1 Auskunftsrecht (Art. 15)

Sie haben das Recht auf Bestätigung, ob wir Sie betreffende personenbezogene Daten verarbeiten, und auf eine Kopie dieser Daten in einem gängigen elektronischen Format.

5.2 Recht auf Berichtigung (Art. 16)

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen. Die meisten Angaben können Sie direkt in Ihren Profileinstellungen ändern.

5.3 Recht auf Löschung (Art. 17)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen („Recht auf Vergessenwerden“), vorbehaltlich bestehender gesetzlicher Pflichten (z. B. aufbewahrungspflichtiger Steuerunterlagen).

5.4 Recht auf Einschränkung (Art. 18)

Sie können die Einschränkung der Verarbeitung verlangen, solange wir die Richtigkeit der Daten prüfen, unsere berechtigten Interessen abwägen oder wenn die Verarbeitung unrechtmäßig ist, Sie die Löschung aber ablehnen.

5.5 Recht auf Datenübertragbarkeit (Art. 20)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON oder CSV) zu erhalten und sie einem anderen Verantwortlichen zu übermitteln.

5.6 Widerspruchsrecht (Art. 21)

Sie haben das Recht, einer auf berechtigte Interessen gestützten Verarbeitung oder einer Verarbeitung zu Zwecken der Direktwerbung zu widersprechen. Wir stellen die Verarbeitung ein, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die Ihre Interessen überwiegen.

5.7 Rechte bei automatisierter Entscheidungsfindung (Art. 22)

Wir setzen keine automatisierte Entscheidungsfindung oder Profilbildung ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

6. Verarbeitungstätigkeiten

Wir führen ein Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Artikel 30 DSGVO. Zu unseren wesentlichen Verarbeitungstätigkeiten gehören:

• Registrierung: Verarbeitung von Name, E-Mail und Passwort zur Kontoerstellung.
• Produktgestaltung: Verarbeitung hochgeladener Bilder und Texte zur Erstellung von Vorschauen.
• Auftragsausführung: Verarbeitung von Anschriften und Zahlungsdaten für Druck und Versand.
• Kundenbetreuung: Verarbeitung von Korrespondenz und Kontodaten zur Bearbeitung von Anfragen.
• Marketing: Verarbeitung von E-Mail-Adressen, um Sie an eine unvollendete Gestaltung zu erinnern (auf Einwilligungsbasis, über Ihre Benachrichtigungseinstellungen).
• Antworten auf Anfragen: Übermittlung Ihrer Korrespondenz mit uns und des dazugehörigen Auftragsdatensatzes an einen KI-Dienstleister, der einen Antwortentwurf für uns erstellt (Vertragserfüllung und berechtigtes Interesse).
• Analyse: Verarbeitung von Nutzungsdaten zur Verbesserung unserer Dienste (auf Einwilligung gestützt).
• Werbung: Verarbeitung von Seitenaufrufen und Käufen zur Werbemessung und Zielgruppenbildung (auf Einwilligung gestützt).

6.1 Auftragsverarbeiter

Wir setzen die folgenden Kategorien von Auftragsverarbeitern ein, jeweils auf Grundlage entsprechender Auftragsverarbeitungsverträge (AVV):

7. Internationale Datenübermittlungen

Wir speichern und verarbeiten personenbezogene Daten überwiegend innerhalb des Europäischen Wirtschaftsraums (EWR). Sind Übermittlungen außerhalb des EWR erforderlich, gewährleisten wir ein angemessenes Schutzniveau durch:

• Angemessenheitsbeschlüsse: Übermittlungen in Länder mit einem Angemessenheitsbeschluss der EU.
• Standardvertragsklauseln (SCC): Von der EU genehmigte Vertragsklauseln, die ein gleichwertiges Datenschutzniveau sicherstellen.
• Ergänzende Maßnahmen: Zusätzliche technische und organisatorische Maßnahmen, soweit erforderlich (Verschlüsselung, Pseudonymisierung).

8. Technische und organisatorische Maßnahmen

Gemäß Artikel 32 DSGVO treffen wir geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

8.1 Technische Maßnahmen

• Durchgehende TLS-1.3-Verschlüsselung für alle Daten während der Übertragung
• AES-256-Verschlüsselung personenbezogener Daten im Ruhezustand
• Bcrypt-Passwort-Hashing mit adaptivem Kostenfaktor
• Regelmäßige automatisierte Sicherheitsprüfungen und Tests
• Netzwerksegmentierung und Firewall-Schutz
• Protokollierung und Überwachung von Datenbankzugriffen

8.2 Organisatorische Maßnahmen

• Datenschutzschulungen und Sensibilisierungsprogramme für Mitarbeitende
• Zugriffskontrolle nach dem Prinzip der geringsten Rechte
• Vertraulichkeitsvereinbarungen mit allen Mitarbeitenden und Auftragnehmern
• Datenschutz-Folgenabschätzungen (DSFA) bei risikoreichen Verarbeitungen
• Regelmäßige Überprüfungen und Audits der Verarbeitungstätigkeiten
• Verfahren zur Reaktion auf Vorfälle und Eskalationsprotokolle

9. Meldung von Datenschutzverletzungen

Gemäß den Artikeln 33 und 34 DSGVO haben wir Verfahren für den Umgang mit Verletzungen des Schutzes personenbezogener Daten eingerichtet:

• Aufsichtsbehörden: Wir melden eine Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde. Für betroffene Personen im Vereinigten Königreich ist dies das Information Commissioner’s Office (ICO). Für betroffene Personen im Europäischen Wirtschaftsraum ist es die zuständige Behörde des jeweiligen Mitgliedstaats — wir sind nicht in der EU niedergelassen, daher erfolgt die Meldung nicht über eine einzige federführende Behörde.
• Betroffene Personen: Wir benachrichtigen betroffene Personen unverzüglich, wenn eine Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat.
• Dokumentation: Alle Datenschutzverletzungen werden unabhängig von ihrer Schwere in unserem Verzeichnis dokumentiert, einschließlich Sachverhalt, Auswirkungen und ergriffener Abhilfemaßnahmen.

10. Datenschutzkontakt

Wir haben keinen Datenschutzbeauftragten benannt, und die DSGVO verlangt dies von uns nicht: Art. 37 Abs. 1 fordert einen Datenschutzbeauftragten nur von Behörden und von Verantwortlichen, die Personen in großem Umfang überwachen oder besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten. Der Datenschutz liegt bei der Geschäftsleitung, die diese Anfragen auch beantwortet. So erreichen Sie uns:

11. Aufsichtsbehörde und Beschwerden

Wenn Sie der Auffassung sind, dass unsere Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Artikel 77). Welche Behörde zuständig ist, richtet sich danach, wo Sie sind — nicht danach, wo wir sind:

11.1 Wenn Sie sich im Europäischen Wirtschaftsraum befinden

Sie können sich bei der Aufsichtsbehörde des Mitgliedstaats beschweren, in dem Sie wohnen, in dem Sie arbeiten oder in dem der mutmaßliche Verstoß stattgefunden hat. Da wir im Vereinigten Königreich und nicht in der Union niedergelassen sind, gibt es für uns keine federführende Behörde — Ihre eigene nationale Behörde ist zuständig. Der Europäische Datenschutzausschuss veröffentlicht die aktuellen Kontaktdaten aller nationalen Behörden:

11.2 Wenn Sie sich im Vereinigten Königreich befinden

Das Information Commissioner’s Office ist die Aufsichtsbehörde für das Vereinigte Königreich. Die nachstehenden Angaben sind die des ICO — es sind nicht unsere Kontaktdaten; um uns zu erreichen, siehe den Abschnitt zum Datenschutzkontakt weiter oben.

Die Ausübung dieses Rechts ist für Sie kostenlos und setzt nicht voraus, dass Sie sich zuerst an uns wenden — uns wäre es allerdings lieber, ein Problem zu beheben, als dass Sie diesen Weg gehen müssen. Schreiben Sie an privacy@printedin.com, antworten wir innerhalb von 30 Tagen.