Datenschutzerklaerung

1. Einleitung und Geltungsbereich

Mit dieser Datenschutzerklaerung informieren wir Sie ueber die Bearbeitung Ihrer Personendaten im Zusammenhang mit der Nutzung unserer Website www.paintandpick.com. Diese Datenschutzerklaerung entspricht dem Schweizer Datenschutzgesetz (DSG) sowie der Europaeischen Datenschutz-Grundverordnung (DSGVO).

Die Nutzung unserer Website setzt die Annahme dieser Datenschutzerklaerung sowie die Zustimmung zur Datenbearbeitung voraus.

2. Verantwortliche Stelle

Verantwortlich fuer die Datenbearbeitung ist:

3. Art der erhobenen Daten

3.1 Automatisch erhobene Daten

Bei jedem Zugriff auf unsere Website erfasst der Webserver automatisch technische Zugriffsdaten: die IP-Adresse (im Zugriffsprotokoll gekürzt), Browsertyp, Betriebssystem, aufgerufene Seiten sowie Datum und Uhrzeit des Zugriffs; Aufbewahrung 14 Tage. Zur Abwehr von Angriffen verarbeitet die Sperrsoftware des Servers zusätzlich die vollständige IP-Adresse: Erkennt sie ein Angriffsmuster – etwa Aufrufe bekannter Angriffspfade oder Passwort-Rateversuche auf Serverdienste –, sperrt sie die Adresse automatisch für alle Dienste dieses Servers (je nach Muster für Stunden bis zu einem Jahr; den Sperrvermerk behält sie bis zur dreifachen Dauer der Sperre, also bis zu drei Jahre), meldet sie an AbuseIPDB (USA) und teilt das Angriffssignal mit CrowdSec (Frankreich); Einzelheiten in den Abschnitten 6 und 7. Rechtsgrundlage: überwiegendes Interesse an Betrieb und Sicherheit (Art. 31 Abs. 1 DSG; Art. 6 Abs. 1 lit. f DSGVO). Halten Sie eine Sperre für ein Versehen, schreiben Sie uns von einem anderen Netz aus an die Adresse in Abschnitt 2.

3.2 Cookies und aehnliche Technologien

Unsere Website verwendet Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgeraet gespeichert werden. Wir verwenden:

• Technisch notwendige Cookies fuer den Betrieb der Website
• Sprach-Cookies zur Speicherung Ihrer bevorzugten Sprache
• Authentifizierungs-Cookies fuer die Anmeldung

3.3 Kontodaten

Bei der Registrierung werden folgende Daten erfasst:

• E-Mail-Adresse (erforderlich)
• Anzeigename (optional)
• Passwort (verschluesselt gespeichert)

4. Werbe-Statistiken fuer Firmen

Wenn eine Einkaufsliste mit Firmenlogo gedruckt wird, erfassen wir anonyme Statistiken fuer die werbenden Firmen.

4.1 Was wird gespeichert?

4.2 GeoIP-Dienst

Zur Standortermittlung verwenden wir den kostenlosen, nicht-kommerziellen Dienst ip-api.com. Dieser Dienst liefert uns nur Stadt und Land basierend auf der IP-Adresse - die IP selbst wird nicht gespeichert.

• Die IP-Adresse wird nur temporaer fuer die Abfrage verwendet
• Es werden nur Stadt/Region und Land gespeichert
• Ergebnisse werden 24 Stunden gecacht um API-Anfragen zu minimieren

4.3 IP-Hash Erklaerung

Um Spam zu verhindern (mehrfaches Zaehlen am gleichen Tag), wird ein Hash der IP-Adresse mit einem taeglichen Salt erstellt. Dieser Hash aendert sich jeden Tag und kann nicht zur urspruenglichen IP zurueckgerechnet werden. Er dient ausschliesslich der Deduplizierung.

5. Google AdSense

Unsere Website nutzt Google AdSense, einen Dienst der Google Ireland Limited, zur Einbindung von Werbeanzeigen. Google AdSense verwendet Cookies und Web Beacons, um Werbung anzuzeigen, die fuer Sie relevant sein koennte.

Dabei koennen folgende Daten erhoben und an Google uebermittelt werden:

• IP-Adresse
• Besuchte Webseiten
• Browserinformationen
• Interaktionen mit Werbeanzeigen

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 6 DSG; Art. 6 Abs. 1 lit. a DSGVO)
Weitere Informationen: https://policies.google.com/technologies/ads

6. Datenuebermittlung an Dritte

Wir geben Ihre Personendaten nicht an Dritte weiter, es sei denn, dies ist für die in dieser Datenschutzerklärung genannten Zwecke erforderlich. Gesperrte IP-Adressen melden wir an AbuseIPDB (AbuseIPDB LLC, betrieben von Marathon Studios Inc., East Stroudsburg, Pennsylvania, USA), eine öffentliche Datenbank, in der Betreiber angreifende IP-Adressen austauschen: IP-Adresse, Art des Angriffs, Zeitpunkt und ein kurzer technischer Vermerk ohne weitere Personendaten. Nicht gemeldet werden Fehlanmeldungen bei einem Konto, Adressen aus privaten Netzen und Adressen, die wir ausdrücklich von Sperren ausnehmen. AbuseIPDB veröffentlicht gemeldete Adressen und bewahrt sie nach eigenen Regeln auf (abuseipdb.com/privacy); auf Ihren Hinweis ziehen wir unsere eigene Meldung zurück, Meldungen anderer Betreiber können wir nicht löschen. Angriffssignale (IP-Adresse, Name des Angriffsmusters, Zeitpunkt, Kennung unseres Servers, abgeleitete Länderangabe; keine Anfrageinhalte) teilen wir mit CrowdSec SAS, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich, und beziehen von dort eine gemeinschaftliche Sperrliste; CrowdSec bewahrt die IP-Adresse nach eigenen Angaben höchstens drei Monate in voller Form auf. Rechtsgrundlage: überwiegendes Interesse an der Abwehr von Angriffen (Art. 31 Abs. 1 DSG; Art. 6 Abs. 1 lit. f DSGVO).

Google Ireland Limited / Google LLC: Im Rahmen von Google AdSense werden Daten an Google uebermittelt. Google verarbeitet diese Daten als eigenstaendiger Verantwortlicher gemaess den Google-Datenschutzbestimmungen.

ip-api.com: Fuer die Standortermittlung wird die IP-Adresse an ip-api.com gesendet. Es wird jedoch nur das Ergebnis (Stadt/Land) gespeichert, nicht die IP.

7. Datenuebermittlung ins Ausland

Im Rahmen von Google AdSense können Personendaten in die USA übermittelt werden; Google LLC ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert (angemessener Datenschutz, Art. 16 Abs. 1 DSG). Für die Standortermittlung wird die IP-Adresse an ip-api.com übermittelt, dessen Server unter anderem in den USA stehen; ip-api.com hält die Adresse nach eigenen Angaben höchstens eine Minute im Arbeitsspeicher und protokolliert Anfragen nicht. Gesperrte IP-Adressen melden wir an AbuseIPDB in den USA (Abschnitt 6); AbuseIPDB ist nicht nach dem Swiss-U.S. Data Privacy Framework zertifiziert, die Bekanntgabe stützt sich auf die Ausnahme für die Wahrung eines überwiegenden öffentlichen Interesses (Art. 17 Abs. 1 Bst. c Ziff. 1 DSG). Angriffssignale teilen wir mit CrowdSec in Frankreich, einem Staat mit angemessenem Datenschutz (Art. 16 Abs. 1 DSG).

8. Einwilligung

Beim ersten Besuch unserer Website werden Sie aufgefordert, Ihre Einwilligung zur Datenbearbeitung zu erteilen.

Sie koennen Ihre Einwilligung jederzeit mit Wirkung fuer die Zukunft widerrufen, indem Sie die Cookies in Ihrem Browser loeschen.

9. Speicherdauer

Wir speichern Ihre Personendaten nur so lange, wie dies fuer die Erfuellung der Zwecke erforderlich ist:

• Kontodaten: Bis zur Loeschung des Kontos
• Werbe-Statistiken (Stadt/Land): Unbegrenzt (anonyme Daten)
• IP-Hash: Wird taeglich ungueltig (neuer Salt)
• Zugriffsprotokolle des Webservers (IP-Adresse gekürzt): 14 Tage
• Sperrvermerk einer wegen eines Angriffsmusters gesperrten IP-Adresse: bis zur dreifachen Dauer der Sperre, also bis zu drei Jahre; Sperrvermerk nach Fehlanmeldungen: bis einen Tag nach dem Ende der 30-tägigen Sperre; Protokoll unserer Meldungen an AbuseIPDB: max. 30 Tage; bei AbuseIPDB und CrowdSec gespeicherte Daten gemäss deren Regeln (Abschnitt 6)

10. Ihre Rechte

Sie haben im Rahmen des anwendbaren Datenschutzrechts folgende Rechte:

• Auskunftsrecht: Sie koennen Auskunft ueber Ihre bei uns gespeicherten Personendaten verlangen.
• Berichtigungsrecht: Sie koennen die Berichtigung unrichtiger Daten verlangen.
• Loeschungsrecht: Sie koennen unter bestimmten Voraussetzungen die Loeschung Ihrer Daten verlangen.
• Einschraenkungsrecht: Sie koennen die Einschraenkung der Bearbeitung Ihrer Daten verlangen.
• Widerspruchsrecht: Sie koennen der Bearbeitung Ihrer Daten widersprechen.
• Datenuebertragbarkeit: Sie koennen verlangen, dass wir Ihnen Ihre Daten in einem gaengigen Format uebermitteln.
• Widerrufsrecht: Sie koennen Ihre Einwilligung jederzeit widerrufen.

Zur Ausuebung dieser Rechte koennen Sie sich an die oben genannte verantwortliche Stelle wenden.

11. Beschwerderecht bei einer Aufsichtsbehoerde

Sie haben das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehoerde einzureichen:

• Schweiz: Eidgenoessischer Datenschutz- und Oeffentlichkeitsbeauftragter (EDOEB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch
• EU: Die zustaendige Aufsichtsbehoerde Ihres Wohnsitz- oder Aufenthaltslandes.

12. Datensicherheit

Wir treffen angemessene technische und organisatorische Sicherheitsmassnahmen, um Ihre Personendaten vor unbefugtem Zugriff, Verlust, Missbrauch oder Zerstoerung zu schuetzen. Unsere Website verwendet eine SSL/TLS-Verschluesselung, erkennbar am "https://" in der Browserzeile.

13. Hosting

Diese Website wird auf Servern in der Schweiz gehostet. Saemtliche Daten verbleiben auf Schweizer Serverinfrastruktur und unterliegen dem Schweizer Datenschutzrecht.

14. Aenderungen dieser Datenschutzerklaerung

Wir behalten uns vor, diese Datenschutzerklaerung jederzeit anzupassen. Die aktuelle Version ist jeweils auf unserer Website veroeffentlicht.

15. Kontakt

Bei Fragen zum Datenschutz oder zur Ausuebung Ihrer Rechte koennen Sie uns unter der oben angegebenen Adresse oder per E-Mail kontaktieren.