Datenschutzerklärung

1. Geltungsbereich und aktuelles Angebot

Diese Erklärung erläutert, wie EmberNails Personendaten im Zusammenhang mit dieser Website bearbeitet. EmberNails ist ein Schweizer Verein, der im Rahmen eines Schulprojekts gegründet wurde. Die Website befindet sich in Entwicklung. Die Shop-Vorschau ist nur für befugte Mitarbeitende zugänglich. Echte Bestellungen, Zahlungsabwicklung und Versand sind noch nicht implementiert. Der Stripe-Testcheckout speichert Testbestellungen und Zahlungsstatus; es werden keine echten Zahlungen entgegengenommen und keine Lieferadressen erhoben.

Diese Erklärung orientiert sich am Schweizer Bundesgesetz über den Datenschutz (DSG) und, soweit sie auf uns anwendbar ist, an der Datenschutz-Grundverordnung der EU (DSGVO). Sie beschreibt die aktuelle Website, nicht zukünftige Zahlungs- oder Lieferdienste.

2. Verantwortlicher und Kontakt

Verantwortlicher ist:
EmberNails
Schweizer Verein
Hirschgraben 10
6003 Luzern
Schweiz

Vertretungsberechtigte Person: Patrick Stark - Präsident
Allgemeiner Kontakt: shoana_duss@sluz.ch - CMO
Datenschutzanfragen: lukas_imhof@sluz.ch - CTO

Für Datenschutzanfragen nutze die oben genannte Datenschutz-E-Mail-Adresse oder schreibe an unsere Postadresse. Weitere Angaben zum Verein findest du im Impressum.

3. Welche Daten wir bearbeiten

• Kontodaten: E-Mail-Adresse, Passwort-Hash, Rolle, Kontostatus, Status der E-Mail-Verifizierung sowie Zeitpunkte der Kontoerstellung, Aktualisierung und letzten Anmeldung.
• Sitzungs- und Warenkorbdaten: eine PHP-Sitzungskennung, ein Sicherheitstoken, Testprodukt und Menge im Warenkorb sowie vorübergehende Statusmeldungen. Sie dienen dem Betrieb der Website und dem Schutz von Formularen.
• Technische Daten: Beim Zugriff auf die Website können Webserver und Sicherheitssysteme technische Informationen bearbeiten, etwa IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser- oder Geräteangaben sowie die Herkunftsseite, soweit der Browser diese übermittelt.
• Eingegebene Nachrichten: Die Hilfe- und Kontaktformulare speichern deine E-Mail-Adresse, Nachricht, das verwendete Formular und den Eingangszeitpunkt (UTC) in der Website-Datenbank. Befugte Mitarbeitende können die Nachricht lesen und bearbeiten. Es wird keine automatische E-Mail-Bestätigung oder Benachrichtigung verschickt. Die IP-Adresse wird nicht in der Support-Tabelle gespeichert. Verwende die Formulare nicht für vertrauliche, besonders schützenswerte oder dringende Informationen. Eine Aufbewahrungsfrist und ein Löschverfahren für Supportnachrichten müssen vor dem öffentlichen Start noch festgelegt werden.

Bitte übermittle über diese Website keine besonders schützenswerten oder sonstigen sensiblen Personendaten. Wir fragen solche Daten nicht gezielt ab.

4. Zwecke und Rechtsgrundlagen

Wir verwenden diese Daten für den Betrieb und Schutz der Website, insbesondere um:

• Konten einzurichten und zu verwalten, Nutzerinnen und Nutzer zu authentifizieren sowie die gewünschten Konto- und Warenkorbfunktionen bereitzustellen;
• Betrug, Missbrauch und Angriffe zu verhindern, die Sicherheit aufrechtzuerhalten und technische Probleme zu untersuchen;
• gesetzliche Pflichten zu erfüllen oder nötigenfalls Rechtsansprüche festzustellen, auszuüben oder zu verteidigen.

Soweit die DSGVO anwendbar ist, stützen wir uns auf die Vertragserfüllung oder auf deinen Wunsch durchgeführte vorvertragliche Massnahmen (Artikel 6 Absatz 1 Buchstabe b), gesetzliche Pflichten (Artikel 6 Absatz 1 Buchstabe c) und unsere berechtigten Interessen (Artikel 6 Absatz 1 Buchstabe f). Diese Interessen bestehen im Schutz der Website, der Konten und der Besuchenden vor Missbrauch und Angriffen, im zuverlässigen Betrieb sowie in der Feststellung, Ausübung oder Verteidigung von Rechtsansprüchen. Für Bearbeitungen, die eine Einwilligung erfordern, etwa nicht notwendige Cookies oder Marketingtechnologien, holen wir diese vorher ein. Nach Schweizer Recht bearbeiten wir Personendaten im Einklang mit dem DSG, insbesondere dessen Anforderungen an Transparenz, Zweckbindung, Verhältnismässigkeit und Datensicherheit.

Für die Kontoerstellung werden eine E-Mail-Adresse und ein Passwort benötigt. Ohne diese Angaben können wir keine Anmeldung anbieten. Die Rechts- und Entwicklungsseiten sind ohne Konto lesbar. Der Vorschauzugang zu den übrigen Seiten ist derzeit auf befugte Mitarbeitende beschränkt. Wir beziehen keine Kontodaten von Datenhändlern oder aus öffentlichen Quellen.

Newsletter-Anfragen

Du kannst freiwillig deine E-Mail-Adresse für künftige Neuigkeiten zum Start, zu Nagelprodukten und Angeboten von EmberNails hinterlassen, ohne ein Konto anzulegen. Wir speichern E-Mail-Adresse, Anmeldezeitpunkt (UTC), Einwilligungstext und dessen Version, Version der Datenschutzerklärung, Herkunft der Anmeldung, Anmeldestatus und einen geschützten Abmeldeschlüssel. Die Newsletter-Tabelle enthält keine IP-Adresse oder Browserdaten; gewöhnliche Hosting-Protokolle können Website-Aufrufe weiterhin erfassen.

Der E-Mail-Versand für den Newsletter ist noch nicht implementiert. Neue Anmeldungen werden mit deiner ausdrücklichen Einwilligung sofort aktiv, ohne zusätzliche Bestätigungs-E-Mail. Die Inhaberschaft der E-Mail-Adresse wird dabei nicht überprüft. Soweit die DSGVO gilt, ist deine Einwilligung die Rechtsgrundlage (Artikel 6 Absatz 1 Buchstabe a). Die Anmeldung ist freiwillig und beeinflusst den Website-Zugang nicht.

Speichere den privaten Abmeldelink, der nach der Anmeldung erscheint. Damit kannst du deine Anfrage jederzeit kostenlos, ohne Konto widerrufen und den Newsletter-Eintrag löschen. Du kannst dich auch per E-Mail oder Post über die Kontaktangaben in Abschnitt 2 an uns wenden. Ein Widerruf berührt die Rechtmässigkeit der bisherigen Bearbeitung nicht. Neue Anmeldungen speichern wir bis zur Abmeldung. Frühere, noch ausstehende Anfragen aus dem bisherigen Bestätigungsverfahren bleiben unverändert; sie verfallen nach 30 Tagen und werden bei der Verarbeitung von Newsletter-Anfragen oder durch die Newsletter-Bereinigung entfernt. Für Sicherungskopien und Hosting-Protokolle gelten die separaten Aufbewahrungsregeln unten.

Zugriff haben nur befugte Mitarbeitende und die in dieser Erklärung genannten Hosting- und Datenbankanbieter. Vor Anschluss eines Versanddienstes ergänzen wir dessen Identität, Bearbeitungsländer und gegebenenfalls Übermittlungsgarantien. Künftige Newsletter müssen eine kostenlose Abmeldemöglichkeit enthalten. Es wird kein E-Mail-Tracking verwendet.

5. Cookies und ähnliche Technologien

Die Website verwendet bereits ein technisch notwendiges PHP-Sitzungscookie (PHPSESSID). Es ordnet deinem Browser eine Sitzung zu und ermöglicht Anmeldung, Formularschutz und den Testwarenkorb. Die zugehörigen Inhalte werden auf dem Server gespeichert. Das Cookie ist als Sitzungscookie ohne feste Ablaufzeit eingerichtet; wie lange die Browsersitzung erhalten bleibt, hängt auch von den Einstellungen deines Browsers ab.

Du kannst das Cookie im Browser löschen oder blockieren. Anmeldung, Warenkorb und geschützte Formulare funktionieren dann möglicherweise nicht mehr. Analyse- und Werbetracking sowie entsprechende Cookies sind in der Website-Anwendung nicht implementiert.

6. Anbieter und Datenstandort

Für den Betrieb der Website nutzen wir Namecheap als Hosting-Anbieter und Hostinger als Serveranbieter. Der Server und die Website-Datenbank befinden sich in Frankfurt am Main, Deutschland. Die dort gespeicherten Daten umfassen insbesondere die Konto- und Newsletter-Anmeldedaten.

Damit werden Website-Daten ausserhalb der Schweiz in Deutschland gespeichert. Der Serverstandort beschreibt nicht automatisch die Standorte sämtlicher administrativer Dienste, Supportzugriffe oder Sicherungskopien der Anbieter.

Befugte Mitarbeitende des Vereins und die für den technischen Betrieb eingesetzten Anbieter können im Rahmen ihrer Aufgaben auf Daten zugreifen. Wir verkaufen keine Personendaten.

Ein Zahlungsdienst ist nur im Testmodus angebunden. Versanddienste und ein Newsletter-Versanddienst sind noch nicht angebunden. Die Anmeldung zum Newsletter wird ausschliesslich in der Website-Datenbank erfasst.

7. Aufbewahrung und Sicherheit

Die Website befindet sich im Entwicklungsbetrieb. Kontodaten werden für die Verwaltung der vorhandenen Zugänge gespeichert. Eine automatische Löschung von Konten nach einer festgelegten Frist ist noch nicht implementiert. Für eine Löschanfrage kannst du uns über die Angaben in Abschnitt 2 kontaktieren.

Sitzungs- und Testwarenkorbdaten werden vorübergehend auf dem Server gespeichert und durch die Sitzungsverwaltung bereinigt. Neue Newsletter-Anmeldungen speichern wir bis zur Abmeldung; für frühere, noch ausstehende Anfragen gilt die oben beschriebene Frist von 30 Tagen. Einheitliche Aufbewahrungs- und Löschfristen für Serverprotokolle und Sicherungskopien sind im Entwicklungsbetrieb noch nicht abschliessend festgelegt.

Echte Bestellungen, Zahlungen und Versand sind noch nicht implementiert; dafür werden derzeit keine Datensätze angelegt. Supportnachrichten werden in der Website-Datenbank gespeichert. Eine automatische Löschung ist dafür noch nicht eingerichtet; Aufbewahrungsfrist und Löschverfahren müssen vor dem öffentlichen Start festgelegt werden.

Zum Schutz der Daten verwenden wir Passwort-Hashing, Zugriffskontrollen, vorbereitete Datenbankabfragen, Erneuerung der Sitzung bei der Anmeldung und CSRF-Schutz. Keine Sicherheitsmassnahme kann absolute Sicherheit gewährleisten.

8. Deine Rechte

Nach dem DSG und unter dessen Voraussetzungen und Einschränkungen kannst du Auskunft über die zu dir bearbeiteten Personendaten sowie die Berichtigung oder Löschung unrichtiger oder unrechtmässig bearbeiteter Daten verlangen. Sind die gesetzlichen Voraussetzungen erfüllt, kannst du die Herausgabe oder Übertragung deiner Daten in einem gängigen elektronischen Format verlangen. Du kannst ausserdem unter den gesetzlichen Voraussetzungen die Untersagung einer bestimmten Bekanntgabe verlangen.

Soweit die DSGVO anwendbar ist, kannst du unter deren Voraussetzungen Löschung verlangen, auch wenn die Daten nicht mehr erforderlich sind, sowie eine Einschränkung der Verarbeitung. Unter den entsprechenden Voraussetzungen besteht ein Recht auf Übertragbarkeit von automatisiert auf Grundlage einer Einwilligung oder eines Vertrags verarbeiteten Daten. Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Stützen wir uns auf berechtigte Interessen, kannst du aus Gründen deiner besonderen Situation Widerspruch gegen die Verarbeitung einlegen.

Wir treffen derzeit keine ausschliesslich automatisierten Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen haben. Wende dich zur Ausübung deiner Rechte über die Kontaktangaben in Abschnitt 2 an uns. Zur Identitätsprüfung können wir verhältnismässige zusätzliche Angaben benötigen. Wir antworten grundsätzlich innerhalb von 30 Tagen nach Schweizer Recht beziehungsweise innerhalb eines Monats nach der DSGVO und erläutern eine gesetzlich zulässige Fristverlängerung. Anfragen sind vorbehaltlich gesetzlicher Ausnahmen normalerweise kostenlos. Gegen Direktwerbung kannst du jederzeit Widerspruch einlegen. Nach der DSGVO kannst du dich zudem bei der Datenschutzaufsichtsbehörde an deinem gewöhnlichen Aufenthaltsort, deinem Arbeitsplatz oder am Ort des mutmasslichen Verstosses beschweren. In der Schweiz kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

9. Kinder

Diese Website ist nicht darauf ausgelegt, Personendaten von Kindern zu erheben. Wird das Angebot Kindern zugänglich gemacht oder auf eine Einwilligung gestützt, richten wir vor dem öffentlichen Start gegebenenfalls einen altersgerechten Kontoablauf ein. Wenn du vermutest, dass ein Kind ohne erforderliche Zustimmung Personendaten übermittelt hat, kontaktiere den Verantwortlichen, damit wir dies prüfen und behandeln können. Ein Kauf oder Konto begründet keine Vereinsmitgliedschaft. Die Mitgliederverwaltung ist nicht Gegenstand dieser Website-Datenschutzerklärung.

10. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich das Angebot oder das anwendbare Recht ändert. Die aktuelle Fassung wird mit ihrem Änderungsdatum auf dieser Seite veröffentlicht. Wesentliche Änderungen teilen wir, soweit gesetzlich erforderlich, vor ihrem Inkrafttreten auf geeignete Weise mit.