A — Verantwortlicher
Phulu e.U.
Inhaber: Phillipp Klambauer
Mitterweg 29, 4563 Micheldorf, Österreich
FN 684997z, Landesgericht Steyr
Datenschutz-Anfragen: datenschutz@phulu.at
Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt (keine Verpflichtung nach Art. 37 DSGVO); Datenschutz-Anliegen richten Sie bitte an die oben genannte Adresse.
B — Welche Daten werden erhoben?
| Datentyp | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| E-Mail, Passwort (als Hash) | Account-Verwaltung, Login | Art. 6 Abs. 1 lit. b DSGVO | Bis Account-Löschung |
| Name, Adresse | Versandabwicklung, Rechnungsstellung | Art. 6 Abs. 1 lit. b DSGVO | 7 Jahre (BAO, steuerrechtlich) |
| Anmelde-Ereignisse (IP-Adresse, Gerät/Browser) | Sicherheit, Missbrauchsprävention, Anmelde-Benachrichtigung | Art. 6 Abs. 1 lit. f DSGVO | 90 Tage |
| Zahlungsdaten (Kartendaten) | Zahlungsabwicklung über Stripe | Art. 6 Abs. 1 lit. b DSGVO | Nicht bei Phulu gespeichert (nur beim Zahlungsdienstleister) |
| Karten-Fotos | Listings, KI-gestützte Analyse | Art. 6 Abs. 1 lit. b DSGVO | Bis Listing-Löschung |
| Chat-Nachrichten | Kommunikation Käufer/Verkäufer | Art. 6 Abs. 1 lit. b DSGVO | Bis Account-Löschung |
| Transaktionshistorie | Käuferschutz, Buchhaltung, DAC7-Meldepflicht | Art. 6 Abs. 1 lit. c DSGVO | 7 Jahre |
C — Auftragsverarbeiter & Weitergabe an Dritte
Wir setzen die folgenden Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Der Übermittlungsmechanismus richtet sich nach dem jeweiligen Empfänger: Bei in den USA DPF-zertifizierten Unternehmen stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework; bei den übrigen auf die EU-Standardvertragsklauseln (SCC) nebst technischen/ organisatorischen Zusatzmaßnahmen. Wo ein Dienstleister ausschließlich in der EU verarbeitet, liegt insoweit keine Drittlandübermittlung vor. Die genauen SCC-Module und die jeweilige Unterauftragsverarbeiter-Liste finden sich im Auftragsverarbeitungsvertrag (DPA) des jeweiligen Anbieters. Zahlungsdaten (Kartennummern) verarbeitet ausschließlich Stripe — sie werden nicht an Phulu weitergegeben.
| Empfänger | Zweck & übermittelte Daten | Standort | Übermittlungsgarantie |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Auszahlungen, Betrugsprävention; Kontakt-, Zahlungs- & Transaktionsdaten (Kartendaten nur bei Stripe) | Irland / USA | EU-US DPF (Stripe Inc. zertifiziert) + SCC |
| Vercel Inc. | Hosting der Anwendung & Foto-Speicherung (Vercel Blob); alle über die App laufenden Daten + Server-Logs | USA (Funktionen Region Frankfurt) | EU-US DPF (zertifiziert) |
| Neon Inc. | Datenbank (alle App-Daten) | EU (Frankfurt) | Verarbeitung in der EU; SCC für etwaigen Support-Zugriff aus den USA |
| Anthropic PBC (Claude API) | KI-Funktionen; jeweilige Eingaben (Foto/Text) der genutzten Funktion | USA | EU-US DPF (zertifiziert) |
| Resend (Plusdocs Inc.) | Versand von System- & Transaktions-E-Mails; E-Mail-Adresse + Nachrichteninhalt | USA / EU | EU-SCC |
| Upstash Inc. | Rate-Limiting / Missbrauchsschutz; IP-Adresse/Kennung (EU-Region) | EU (Region), USA (Unternehmen) | Verarbeitung in der EU-Region; SCC für US-Zugriff |
| Google Ireland Ltd. / Google LLC | „Login mit Google" — nur bei Nutzung; Name + E-Mail bei der Anmeldung | Irland / USA | EU-US DPF (Google LLC zertifiziert) |
| Discord Inc. | „Login mit Discord" — nur bei Nutzung; Name + E-Mail bei der Anmeldung | USA | EU-SCC |
| Functional Software, Inc. (Sentry) | Fehler-/Stabilitäts-Monitoring — sofern aktiviert; technische Fehler-/Diagnosedaten | USA | EU-US DPF (zertifiziert) |
| AfterShip Ltd. | Sendungsverfolgung — sofern aktiviert; nur die Sendungsnummer + Carrier (keine Namen/Adressen) | Hongkong / EU | EU-SCC |
Hinweis: PayPal ist als zusätzliche Zahlungsart geplant und wird bei Aktivierung hier ergänzt. Ein eigener Versand-/Etiketten-Dienstleister wird nicht eingebunden — Verkäufer versenden selbst und tragen die Sendungsnummer ein. Die DPF-Zertifizierung der genannten US-Empfänger ist unter dataprivacyframework.gov einsehbar.
D — Deine Rechte (Art. 15–22 DSGVO)
- Auskunft & Datenübertragbarkeit — Unter Einstellungen → Sicherheit kannst du jederzeit einen vollständigen Export all deiner Daten als JSON-Datei herunterladen.
- Berichtigung — Falsche Daten änderst du direkt in den Einstellungen.
- Löschung — Konto-Löschung unter Einstellungen → Sicherheit. Ohne offene Transaktionen wird dein Konto vollständig gelöscht; bestehen bereits Bestellungen, werden deine personenbezogenen Daten anonymisiert, während die Transaktionsdaten aus steuerlichen Aufbewahrungspflichten (7 Jahre) erhalten bleiben.
- Einschränkung & Widerspruch — Per E-Mail an datenschutz@phulu.at. Benachrichtigungen kannst du in den Einstellungen abschalten.
E — Cookies & lokale Speicherung (§ 165 TKG 2021)
Wir verwenden ausschließlich technisch notwendige Cookies und lokale Speicherung — keine Werbe- oder Analyse-Cookies von Dritten (kein Google Analytics o. Ä.). Für notwendige Cookies ist keine Einwilligung erforderlich; für alles Übrige holen wir sie über den Cookie-Hinweis ein.
| Cookie / Speicher | Zweck | Dauer |
|---|---|---|
| Sitzungs-Cookie (Anmeldung) | Login-Status / Authentifizierung (notwendig) | Sitzung bzw. bis Abmeldung |
| Cookie-Hinweis-Einstellung | Merkt deine Auswahl beim Cookie-Hinweis | bis zu 12 Monate |
| Sprache / Design (localStorage) | Speichert gewählte Sprache & Hell-/Dunkel-Modus | bis zum Löschen im Browser |
F — Automatisierte Verarbeitung (Art. 22 DSGVO)
Wir setzen zur Verbesserung des Dienstes automatisierte Verfahren ein: personalisierte Angebots-Empfehlungen auf Basis angesehener Listings, KI-gestützte Foto-/Preis-/ Zustandsvorschläge im Verkaufsprozess sowie eine automatisierte Betrugs-/Missbrauchserkennung. Diese Verfahren entfalten keine rechtliche Wirkung, die dich erheblich beeinträchtigt — Entscheidungen mit spürbaren Folgen (z. B. Konto-Sperre, Streitfall-Ausgang) werden stets durch einen Menschen getroffen.
G — Beschwerderecht
Du hast das Recht, dich bei der zuständigen Datenschutzbehörde zu beschweren:
- Österreich: Datenschutzbehörde (DSB), Wickenburggasse 8, 1080 Wien — www.dsb.gv.at
- Deutschland: Zuständige Landesbehörde je nach Bundesland