Datenschutzerklärung

Diese Erklärung informiert nach Art 13 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten beim Besuch dieser Website, bei einer Bestellung im Shop und bei einer Anfrage über das Booking-Formular verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und wer sie erhält.

1. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne des Art 4 Z 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt. Für alle Anliegen zum Datenschutz genügt eine Nachricht an die oben genannte E-Mail-Adresse.

2. Aufruf der Website und Hosting

Betreiberin dieser Website ist die in Punkt 1 genannte verantwortliche Stelle. Gehostet wird die Website bei der Vercel Inc. Beim Aufruf einer Seite überträgt der Browser technisch notwendige Zugriffsdaten an die Server des Hosters, insbesondere die IP-Adresse, Datum und Uhrzeit der Anfrage, die aufgerufene Adresse, den übertragenen Datenumfang sowie Angaben zu Browser und Betriebssystem. Ohne diese Daten kann eine Seite technisch nicht ausgeliefert werden.

Zweck: Auslieferung der Seiten, Betriebssicherheit und Abwehr von Angriffen.
Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Das berechtigte Interesse liegt im sicheren und funktionsfähigen Betrieb der Website.
Empfänger: Vercel Inc. als Auftragsverarbeiter.

Die Seiten werden über das Auslieferungsnetz von Vercel bereitgestellt; eine Anfrage wird von dem Standort beantwortet, der dem aufrufenden Gerät am nächsten liegt. Die Serverfunktionen dagegen, die eine Bestellung entgegennehmen und verarbeiten, laufen unabhängig vom Standort der aufrufenden Person im Rechenzentrum Frankfurt am Main. Diese Zugriffsdaten werden nur so lange vorgehalten, wie es für den Betrieb, die Fehlersuche und die Angriffsabwehr erforderlich ist. Sie werden weder mit Bestelldaten zusammengeführt noch zu Nutzungsprofilen ausgewertet.

Produktbilder im Shop liegen im Dateispeicher desselben Hosters (Vercel Blob) und werden von dort geladen; ein weiterer Anbieter ist daran nicht beteiligt. Die verwendete Schrift wird nicht von einem fremden Server nachgeladen, sondern mit der Website selbst ausgeliefert; ein Abruf bei Google Fonts findet daher nicht statt.

Der interne Bereich dieser Website ist passwortgeschützt. Schlägt dort eine Anmeldung fehl, wird die IP-Adresse des Versuchs kurz gespeichert, um wiederholtes Durchprobieren zu sperren. Diese Einträge werden nach einem Tag automatisch gelöscht. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; das berechtigte Interesse liegt im Schutz der dort gespeicherten Bestelldaten.

3. Eingebettete Inhalte von YouTube und Spotify

Auf der Startseite gibt es im Bereich Media Videoplayer von YouTube und einen Albumplayer von Spotify. Diese Player werden erst nach ausdrücklicher Zustimmung geladen. Solange nicht zugestimmt wurde, ist im Browser kein Element der Anbieter angelegt; es geht also keine einzige Anfrage an YouTube oder Spotify hinaus, und die Anbieter erfahren nichts vom Aufruf dieser Seite. An der Stelle des Players steht bis dahin ein Hinweis mit einer Schaltfläche.

Beim Aufruf der Website erscheint dafür ein Banner mit den gleichwertigen Schaltflächen „Erlauben“ und „Ablehnen“. Die Entscheidung wird im lokalen Speicher des Browsers unter dem Schlüssel braf-consent abgelegt, damit sie nicht bei jedem Aufruf erneut abgefragt wird. Dieser Eintrag enthält ausschließlich die getroffene Wahl, er verlässt das Gerät nicht und wird nicht an den Server übertragen.

Wird zugestimmt, laden die Player von den Servern der Anbieter. Diese erhalten dabei die IP-Adresse des Geräts, Angaben zu Browser und Betriebssystem und die Information, welche Seite aufgerufen wurde. Sie können bei dieser Gelegenheit Informationen auf dem Endgerät speichern oder darauf zugreifen und die Nutzung einer angemeldeten Person zuordnen, die dort ein eigenes Konto hat. Auf die weitere Verarbeitung durch YouTube und Spotify besteht kein Einfluss.

Zweck: Darstellung der eigenen Musik und Videos auf der Website.
Rechtsgrundlage: Einwilligung nach Art 6 Abs 1 lit a DSGVO; für das Speichern der getroffenen Wahl auf dem Endgerät § 165 Abs 3 TKG 2021.
Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (YouTube) und Spotify AB, Stockholm, Schweden. Beide Anbieter verarbeiten die dabei anfallenden Daten in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen.

Die Einwilligung ist freiwillig; ohne sie sind alle übrigen Inhalte dieser Website uneingeschränkt nutzbar. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art 7 Abs 3 DSGVO): Der Punkt Externe Inhalte im Fußbereich jeder Seite öffnet das Banner erneut, dort lässt sich die Wahl auf „Ablehnen“ ändern. Ab diesem Zeitpunkt werden die Player wieder nicht geladen. Bereits an die Anbieter übermittelte Daten kann der Widerruf nicht zurückholen; dafür sind die Anbieter selbst zuständig.

4. Bestellungen im Shop

Welche Daten verarbeitet werden

Bei einer Bestellung werden verarbeitet: Name, E-Mail-Adresse, Lieferadresse (Straße, Adresszusatz, Postleitzahl, Ort, Land), die bestellten Artikel samt Variante und Menge, die Beträge für Artikel, Versand und Gesamtsumme, eine Bestellnummer, der Bestellstatus sowie die von Stripe vergebenen Kennungen der Zahlung (Session-ID und Payment-Intent-ID; letztere dient als Nachweis bei Rückerstattungen und Rückbuchungen). Wird ein Paket mit Sendungsverfolgung verschickt, kommt die Sendungsnummer dazu; bei einer Rückerstattung der erstattete Betrag samt Zeitpunkt.

Dazu kommen interne Vermerke zur Abwicklung: der Bearbeitungsstand der Bestellung, ob die Bestätigungsmails verschickt werden konnten, wann die Versandbestätigung verschickt wurde, sowie allfällige Notizen zur Bestellung. In dieses Notizfeld tragen wir nur ein, was zur Abwicklung nötig ist, etwa eine abweichende Zustellvereinbarung oder den Stand einer Rücksendung.

Zahlungsdaten wie Kartennummer, Ablaufdatum oder Prüfziffer werden nicht erhoben und nicht gespeichert. Diese Daten werden ausschließlich auf der Bezahlseite von Stripe eingegeben; auf dieser Website läuft dafür kein Skript von Stripe. An BRAF zurück gelangen nur die Bestelldaten und die Information, dass die Zahlung erfolgreich war.

Zweck und Rechtsgrundlage

Zweck: Abwicklung des Kaufvertrags, also Bezahlung, Versand, Bestätigung und Bearbeitung von Rückfragen, Rücktritten und Gewährleistungsfällen.
Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Vertragserfüllung). Für die anschließende Aufbewahrung der Belege tritt Art 6 Abs 1 lit c DSGVO hinzu (Erfüllung einer rechtlichen Verpflichtung).

Zahlungsabwicklung über Stripe

Die Bezahlung läuft über Stripe Checkout auf einer von Stripe gehosteten Seite. Übermittelt werden dorthin die bestellten Artikel, die Beträge und die Versandart; Stripe erhebt dort selbst Name, E-Mail-Adresse, Lieferadresse und die Zahlungsdaten. Stripe handelt dabei nicht nur als weisungsgebundener Auftragsverarbeiter: Für Betrugsprävention, Risikoprüfung und die Einhaltung geldwäscherechtlicher Pflichten verarbeitet Stripe die Daten als eigenständig Verantwortlicher nach eigenen Bestimmungen. Dazu gehören auch automatisierte Prüfungen, die dazu führen können, dass eine Zahlung abgelehnt wird.

Speicherung der Bestellung

Nach erfolgreicher Zahlung wird die Bestellung mit den oben genannten Daten in unserer Datenbank gespeichert, damit sie bearbeitet, versendet und nachvollzogen werden kann. Die Datenbank wird von der Neon Inc. in einem Rechenzentrum in Frankfurt am Main betrieben und ist nicht öffentlich zugänglich; der Zugriff erfolgt ausschließlich über einen passwortgeschützten internen Bereich dieser Website.

Bestätigungsmails

Über den Dienst Resend werden drei E-Mails versendet:

• Unmittelbar nach erfolgreicher Zahlung eine Bestellbestätigung an die angegebene E-Mail-Adresse. Sie enthält Anrede mit Namen, Bestellnummer, die bestellten Artikel, die Beträge und die gesetzlichen Pflichtinformationen zum Vertrag samt Rücktrittsbelehrung.
• Zum selben Zeitpunkt eine interne Benachrichtigung an BRAF. Sie enthält dieselben Angaben und zusätzlich E-Mail-Adresse und Lieferadresse, damit die Bestellung gepackt und versendet werden kann.
• Sobald das Paket rausgeht, eine Versandbestätigung an die angegebene E-Mail-Adresse. Sie wird von Hand im internen Bereich ausgelöst, wenn die Bestellung auf „versendet“ gesetzt wird, und enthält Anrede mit Namen, Bestellnummer, die enthaltenen Artikel und, sofern die Versandart eine vorsieht, die Sendungsnummer samt Link zur Sendungsverfolgung der Österreichischen Post AG. Diese Mail wird pro Bestellung nur einmal verschickt; dafür wird der Zeitpunkt des Versands bei der Bestellung vermerkt.

Versand

Für die Zustellung werden Name und Lieferadresse an die Österreichische Post AG weitergegeben, die den Versand für BRAF übernimmt. Bei Sendungen ins Ausland wird die Zustellung auf der letzten Strecke von der jeweiligen Landespost übernommen. Geliefert wird in folgende Länder: Belgien, Bulgarien, Dänemark, Deutschland, Estland, Finnland, Frankreich, Griechenland, Irland, Italien, Kroatien, Lettland, Litauen, Luxemburg, Malta, Niederlande, Österreich, Polen, Portugal, Rumänien, Schweden, Slowakei, Slowenien, Spanien, Tschechien, Ungarn, Zypern. Alle Lieferländer liegen im Europäischen Wirtschaftsraum.

Speicherdauer

Bestelldaten sind Buchhaltungsbelege und dürfen daher nicht sofort nach der Lieferung gelöscht werden. Nach derzeitigem Stand gilt für Belege die siebenjährige Aufbewahrungspflicht des § 132 BAO, gerechnet ab dem Ende des jeweiligen Kalenderjahres. Nach Ablauf dieser Frist werden die Bestelldaten gelöscht.

Stripe und Resend speichern die bei ihnen anfallenden Daten unabhängig davon nach ihren eigenen Vorgaben und den sie selbst treffenden gesetzlichen Pflichten, bei Stripe insbesondere den Aufzeichnungspflichten der Zahlungsdienste- und Geldwäscheaufsicht. Auf diese Fristen besteht kein Einfluss.

5. Warenkorb im Browser

Der Warenkorb wird im lokalen Speicher des Browsers (localStorage) unter dem Schlüssel braf-cart abgelegt und enthält Produktkennung, Name, Preis, Variante und Menge der ausgewählten Artikel. Diese Ablage ist technisch notwendig, damit der Warenkorb beim Wechsel zwischen Seiten und beim erneuten Aufruf erhalten bleibt. Sie enthält keine personenbezogenen Angaben wie Name oder Adresse und bleibt auf dem Gerät, bis der Warenkorb geleert oder der Browserspeicher gelöscht wird.

Für den Abgleich von Preis und Verfügbarkeit werden nur die Produktkennungen an den Server übermittelt, und zwar um zu prüfen, ob Preis und Verfügbarkeit eines im Browser gespeicherten Artikels noch aktuell sind. Beim Wechsel zur Bezahlseite kommen zusätzlich Variante, Menge und die im Warenkorb gewählte Lieferzone dazu, weil daraus Preis und Versandkosten der Bestellung berechnet werden. Beide Schritte sind ohne Personenbezug möglich und erfolgen aus dem berechtigten Interesse an korrekten Preisangaben, Art 6 Abs 1 lit f DSGVO.

6. Kontakt- und Booking-Anfragen

Über das Booking-Formular werden Name beziehungsweise Veranstaltungsort, E-Mail-Adresse, Telefonnummer, gewünschtes Datum, Stadt, Art der Veranstaltung und die Nachricht erhoben. Pflichtfelder sind davon nur Name beziehungsweise Veranstaltungsort, E-Mail-Adresse, Art der Veranstaltung und die Nachricht; Telefonnummer, gewünschtes Datum und Stadt sind freiwillig und werden nur weitergegeben, wenn sie ausgefüllt sind. Die Anfrage wird nicht in einer Datenbank gespeichert, sondern über den Dienst Resend als E-Mail an hello@braf.at zugestellt. Die angegebene E-Mail-Adresse wird dabei als Antwortadresse gesetzt.

Zweck: Bearbeitung und Beantwortung der Anfrage sowie Anbahnung eines möglichen Auftritts.
Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO für Anfragen, die auf einen Vertrag gerichtet sind, sonst Art 6 Abs 1 lit f DSGVO mit dem berechtigten Interesse, Anfragen beantworten zu können.
Speicherdauer: Die Korrespondenz wird gelöscht, sobald die Anfrage erledigt ist und keine Rückfragen mehr zu erwarten sind. Kommt ein Auftritt zustande, wird die Korrespondenz Teil der Vertragsunterlagen und unterliegt der steuerlichen Aufbewahrungspflicht.

Die Angabe der Daten ist freiwillig, ohne die Pflichtfelder kann die Anfrage aber nicht bearbeitet werden.

Resend verarbeitet den Inhalt der Anfrage, um sie als E-Mail zuzustellen, und führt dabei ein Zustellprotokoll. Inhalt und Protokoll werden dort nur so lange vorgehalten, wie es für den Versand und die Fehlersuche erforderlich ist.

7. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Eingesetzt werden folgende Dienstleister, die Daten weisungsgebunden im Auftrag verarbeiten, soweit unten nichts anderes angegeben ist:

Hinzu kommen die Anbieter der eingebetteten Player, aber nur nach erteilter Einwilligung (siehe Punkt 3). Behörden und Gerichte erhalten Daten nur, soweit dazu eine rechtliche Verpflichtung besteht.

8. Übermittlung in Drittländer

Der Vertragspartner für die Zahlungsabwicklung sitzt in Irland, die Bestelldatenbank und die Serverfunktionen, die eine Bestellung verarbeiten, laufen in Frankfurt am Main, und die Zustellung übernimmt die Österreichische Post AG. Die Bestelldaten bleiben damit im Regelbetrieb im Europäischen Wirtschaftsraum.

Resend, Neon und Vercel sind Unternehmen mit Sitz in den Vereinigten Staaten, ebenso die Konzernmutter von Stripe. Es ist daher möglich, dass Daten dort oder durch dortige Konzerngesellschaften verarbeitet werden, etwa beim Betrieb und bei der Wartung der Systeme. Die Vereinigten Staaten sind ein Drittland im Sinne des Kapitels V der DSGVO; eine Übermittlung ist nur mit den dort vorgesehenen Garantien zulässig. In Betracht kommen dafür die Standardvertragsklauseln der Europäischen Kommission nach Art 46 Abs 2 lit c DSGVO sowie, soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023. Welche Garantie im Einzelfall greift, richtet sich nach dem jeweiligen Anbieter; Auskunft dazu geben wir auf Anfrage.

Wurde in die eingebetteten Player eingewilligt (siehe Punkt 3), gilt dasselbe für deren Anbieter: Vertragspartner sind die europäischen Gesellschaften in Irland und Schweden, eine Verarbeitung durch Konzerngesellschaften in Drittländern ist aber nicht auszuschließen.

9. Speicherdauer im Überblick

10. Ihre Rechte

Betroffenen Personen stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art 15 DSGVO) darüber, ob und welche Daten zu ihrer Person verarbeitet werden, samt einer Kopie dieser Daten.
• Berichtigung (Art 16 DSGVO) unrichtiger und Vervollständigung unvollständiger Daten.
• Löschung (Art 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art 18 DSGVO), etwa solange die Richtigkeit von Daten geprüft wird.
• Datenübertragbarkeit (Art 20 DSGVO): Herausgabe der auf Vertrag oder Einwilligung gestützten Daten in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art 21 DSGVO) gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind.
• Widerruf einer Einwilligung (Art 7 Abs 3 DSGVO), soweit eine Verarbeitung auf einer Einwilligung beruht. Der Widerruf wirkt für die Zukunft.

Für die Ausübung dieser Rechte genügt eine formlose Nachricht an hello@braf.at oder an die oben genannte Anschrift. Die Beantwortung erfolgt nach Art 12 Abs 3 DSGVO unverzüglich, jedenfalls innerhalb eines Monats. Zur Beantwortung kann ein Nachweis der Identität erforderlich sein, damit Daten nicht an Unbefugte herausgegeben werden.

11. Beschwerde bei der Aufsichtsbehörde

Unabhängig davon besteht nach Art 77 DSGVO das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist in Österreich:

12. Pflicht zur Bereitstellung der Daten

Die Angabe der Daten ist freiwillig; sie ist weder gesetzlich vorgeschrieben noch besteht eine Verpflichtung, sie bereitzustellen. Für den Abschluss und die Erfüllung eines Kaufvertrags sind Name, E-Mail-Adresse, Lieferadresse und Zahlungsdaten allerdings erforderlich: Ohne sie kann die Bestellung nicht abgewickelt und die Ware nicht zugestellt werden. Dasselbe gilt für die Pflichtfelder des Booking-Formulars, ohne die eine Anfrage nicht beantwortet werden kann.

13. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art 22 DSGVO statt. Die Website erstellt keine Nutzungsprofile. Automatisierte Prüfungen im Rahmen der Betrugsprävention führt der Zahlungsdienstleister Stripe in eigener Verantwortung durch (siehe Punkt 4).

14. Cookies und lokaler Speicher

Diese Website setzt keine Cookies zu Analyse-, Werbe- oder Reichweitenmessungszwecken. Es ist kein Analysewerkzeug und kein Werbepixel eingebunden, die verwendete Schrift wird mit der Website ausgeliefert statt von einem fremden Server nachgeladen, und auf dieser Website läuft kein Skript des Zahlungsdienstleisters.

Im lokalen Speicher des Browsers liegen zwei Einträge:

• braf-cart — der Warenkorb (siehe Punkt 5). Er ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich und deshalb nach § 165 Abs 3 TKG 2021 einwilligungsfrei.
• braf-consent — die Entscheidung über die externen Player (siehe Punkt 3). Gespeichert wird genau die Wahl, die der Besucher selbst getroffen hat; ohne diesen Eintrag müsste bei jedem Aufruf erneut gefragt werden.

Beide Einträge bleiben auf dem Gerät und werden nicht an den Server übertragen. Ein Zugriff auf das Endgerät, der eine Einwilligung voraussetzt, findet ausschließlich durch die externen Player statt, und auch nur dann, wenn diese zuvor erlaubt wurden. Kommt später ein Analysewerkzeug, ein Werbepixel oder ein vergleichbarer Dienst dazu, wird dafür ebenfalls vorab eine Einwilligung eingeholt.

15. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert, etwa durch neue Funktionen oder einen Wechsel der eingesetzten Dienste. Es gilt jeweils die hier veröffentlichte Fassung mit dem oben angegebenen Stand.