Datenschutzerklärung

Verantwortlicher

Philipp Markus David Farrag
Einzelunternehmen
Engerthstraße 110-118/11/22
1200 Wien
Österreich

Für allgemeine Anfragen und Datenschutzanliegen: hallo@phyphystudio.com.

Hosting und technische Bereitstellung

Unsere Website und das Kundenportal werden mit WordPress bei Hostinger betrieben. Hostinger ist unser technischer Hosting- und Mail-Dienstleister. Der Webserver von PhyPhyStudio befindet sich in Frankfurt am Main, Deutschland. Abhängig vom eingesetzten Dienst und beteiligten Unterauftragsverarbeitern können jedoch auch Verarbeitungen außerhalb der EU und des EWR stattfinden. Beim Abruf werden technische Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte Seite oder Datei, Browserinformationen und gegebenenfalls die Herkunftsseite. Solche Angaben können auch in Serverprotokollen enthalten sein.

Das dient der Auslieferung der Website, der Fehlerbehebung und dem Schutz vor unberechtigten Zugriffen. Grundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Hostinger verarbeitet die für das Hosting erforderlichen Daten als technischer Dienstleister. Für technische Protokolle ist die erforderliche Dauer zur Betriebs- und Sicherheitsanalyse maßgeblich; daraus ergibt sich keine unbegrenzte Aufbewahrung.

Kontakt und Projektanfragen

Bei einer Anfrage über das Kontaktformular verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, ein gegebenenfalls angegebenes Unternehmen, die gewünschte Leistung, Ihre optionale Website- und Betreuungspaketauswahl sowie Ihre Nachricht oder Projektbeschreibung. Diese Angaben werden per E-Mail an PhyPhyStudio übermittelt. Bei einer direkten E-Mail verarbeiten wir die von Ihnen mitgeteilten Inhalte und die zur Kommunikation erforderlichen Absender- und Versanddaten.

Wir verwenden die Angaben zur Bearbeitung Ihrer Anfrage und zur Vorbereitung oder Durchführung eines Vertrags nach Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Anliegen beruht die Verarbeitung auf unserem berechtigten Interesse an der Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Erforderliche Felder sind im Formular gekennzeichnet. Ohne diese Angaben können wir das Formular nicht bearbeiten. Die Datenschutzcheckbox bestätigt die Kenntnisnahme dieses Hinweises und ist keine Werbeeinwilligung.

Zum Schutz vor Missbrauch prüfen wir Eingaben und verwenden kurzzeitig aus der Netzwerkadresse abgeleitete, pseudonymisierte Kennungen und Anfragezähler. Diese Schutzdaten dienen ausschließlich der Sicherheit. Formulareingaben werden nicht als öffentliche Inhalte gespeichert und nicht an Cloudflare übermittelt.

Ein zusätzlicher interner Zähler speichert ausschließlich die Gesamtanzahl der vom Mailtransport angenommenen Projektanfragen. Er enthält weder Formularinhalte noch Namen, E-Mail-Adressen, IP-Adressen oder Einträge zu einzelnen Anfragen. Die Zahl bestätigt nicht die Zustellung im Empfängerpostfach.

Kundenportal, Projekte und Support

Das Kundenportal ist ein geschützter Bereich für administrativ angelegte Kundenkonten. Eine öffentliche Registrierung wird nicht angeboten. Wir verarbeiten Kontoname, Name, E-Mail-Adresse, Unternehmen und hinterlegte Rechnungsadresse sowie die Zuordnung zu Ihren Projekten und Leistungen.

Im Portal verwalten wir Projektinformationen, Status und Fortschritt, Supportanfragen mit ihren Inhalten und Bearbeitungsständen, Dokumente, Rechnungen und vereinbarte Betreuung. Administrative Notizen und Statusinformationen unterstützen die Abwicklung. Berechtigte Kunden können die ihnen zugeordneten Inhalte einsehen; administrative Zugriffe dienen der Betreuung und Verwaltung.

Dokumente und Rechnungs-PDFs werden auf dem Server außerhalb des öffentlich erreichbaren Dateibereichs gespeichert. Downloads aus dem Portal setzen eine Anmeldung und eine Berechtigungsprüfung voraus. Es werden dafür keine öffentlichen Direktlinks zu Dateien angeboten.

Die Verarbeitung dient der Durchführung und Betreuung unserer Geschäftsbeziehung nach Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmens stützen wir die hierfür erforderliche Kommunikation und Zuordnung auf unser berechtigtes Interesse an der Vertragsabwicklung nach Art. 6 Abs. 1 lit. f DSGVO.

Anmeldung, Einladungen und Passwortverwaltung

Die Anmeldung erfolgt mit Ihren Zugangsdaten über WordPress. Passwörter werden nicht im Klartext gespeichert. Zur Sitzungsverwaltung verarbeitet WordPress eine Sitzungskennung und technische Sitzungsdaten wie Ablaufzeit, Anmeldezeit, IP-Adresse und Browserinformationen. Im Portal wird außerdem der Zeitpunkt Ihrer letzten erfolgreichen Anmeldung gespeichert.

Einladungen und freigegebene Passwortlinks werden per E-Mail versendet. Wenn Sie einen Passwort-Reset anfordern, verarbeiten wir Ihre angegebene E-Mail-Adresse sowie Anforderungs- und Bearbeitungsstatus. Die Anfrage wird administrativ geprüft; erst nach Freigabe wird ein Reset-Link versendet. Einladungs-, Versand-, Freigabe- und Sperrstatus werden zur sicheren Kontoverwaltung dokumentiert.

Protokolle wichtiger Portal- und Rechnungsvorgänge enthalten den betroffenen Datensatz, die Aktion, den Zeitpunkt und die handelnde Benutzerkennung. Sie dienen der Nachvollziehbarkeit und Sicherheit. Ergänzend bestehen kurzfristige pseudonymisierte Schutzkennungen gegen missbräuchliche Anmelde- und Reset-Anfragen. Grundlage sind die Vertragsabwicklung und unser berechtigtes Interesse am Schutz der Kundenkonten nach Art. 6 Abs. 1 lit. b und f DSGVO.

Rechnungen, Zahlung und Betreuung

Für die Abrechnung verarbeiten wir Kunden- und Rechnungsadresse, Rechnungsnummer, Leistungspositionen, Beträge, Währung, Rechnungsdatum, Fälligkeit und Zahlungsstatus. Die zum Ausstellungszeitpunkt verwendeten Kunden- und Ausstellerangaben bleiben mit der Rechnung erhalten, damit spätere Änderungen an Stammdaten die ausgestellte Rechnung nicht verändern.

Rechnungs-PDFs werden intern erzeugt und privat gespeichert. Die Zahlung erfolgt derzeit per Überweisung. Auf der Website besteht keine Zahlungsintegration mit Stripe oder PayPal. Im Rahmen der Betreuung speichern wir das vereinbarte Paket, die Projektzuordnung, Abrechnungszeiträume, Beginn und Ende, Laufzeiten sowie Kündigungs- und Bearbeitungsstatus.

Grundlagen sind die Vertragsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO und gesetzliche Rechnungslegungs- und Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO. Die Daten werden für die notwendige Abwicklungsdauer und im Umfang gesetzlicher Aufbewahrungspflichten gespeichert. Für Rechnungsfragen erreichen Sie uns unter billing@phyphystudio.com.

Transaktionsmails und E-Mail-Versand

Für Portal-Einladungen und administrativ freigegebene Passwortlinks versendet unser System Transaktionsmails. Bei entsprechend freigeschaltetem Rechnungsversand werden außerdem Rechnungen mit PDF-Anhang und Mitteilungen über aktivierte Betreuung, vorgemerkte oder zurückgenommene Kündigungen und beendete Betreuung versendet. Versand- und Fehlerstatus werden zur Nachvollziehbarkeit festgehalten.

Die Nachrichten enthalten die für den jeweiligen Vorgang erforderliche Empfängeradresse, Anrede, Konto-, Vertrags- oder Rechnungsangaben. Der Versand erfolgt über WordPress und den eingerichteten E-Mail-Transport. Dabei verarbeiten die beteiligten E-Mail-Dienstleister die für Übertragung und Zustellung erforderlichen Daten. Das eingebundene Logo wird gegebenenfalls beim Öffnen einer HTML-Mail von unserer Website abgerufen; hierbei fallen technische Zugriffsdaten an. Unsere Mailvorlagen enthalten keine Tracking-Pixel zur Öffnungsmessung.

Diese Nachrichten dienen der Vertragsabwicklung und sicheren Kontonutzung nach Art. 6 Abs. 1 lit. b und f DSGVO. Sie sind keine Marketing-Mailings. Eine Newsletter-Anmeldung wird nicht angeboten.

Cookies und gespeicherte Einstellungen

Technisch erforderliche Cookies und Einstellungen unterstützen die Sicherheit, Ihre Anmeldung und ausdrücklich gewählte Funktionen. Die notwendige Speicherung erfolgt im Rahmen von § 165 Abs. 3 TKG 2021; soweit personenbezogene Daten verarbeitet werden, gelten die bei den jeweiligen Funktionen genannten Rechtsgrundlagen. Optionale Besucherstatistik erfordert Ihre Zustimmung.

• phyphy_theme im LocalStorage: merkt Ihre Auswahl „light“ oder „dark“. Der Eintrag wird erst bei einer eigenen Auswahl gespeichert und hat keine automatische Ablauffrist. Er bleibt bis zum Ändern oder Löschen der Browserdaten erhalten. Ohne Auswahl wird die Systemeinstellung verwendet. Daraus entsteht kein Benutzerprofil und kein Tracking.
• phyphy_consent im LocalStorage: speichert Consent-Version, gewählte Kategorien und Zeitpunkt Ihrer Entscheidung. Die Auswahl gilt für 180 Tage; danach wird sie beim nächsten Aufruf verworfen. Eine neue Version kann eine erneute Auswahl erfordern. Der Eintrag enthält keine Benutzer-ID oder IP-Adresse. Er ist kein Cookie.
• __Host-phyphy_portal_csrf: Sicherheitscookie beim Aufruf der öffentlichen Portal-Anmelde- und Passwortformulare. Es schützt Formularvorgänge vor fremden Auslösungen und gilt bis zu zwei Stunden.
• __Host-phyphy_password_saved: kurzzeitige Bestätigung nach erfolgreichem Setzen eines Passworts. Laufzeit bis zu zwei Minuten. Beide Portal-Cookies gelten nur für den jeweiligen Host, werden über HTTPS übertragen und sind für JavaScript nicht lesbar.
• wordpress_logged_in_[Kennung] und wordpress_sec_[Kennung], je nach WordPress-Verbindung auch wordpress_[Kennung]: technisch erforderliche Anmeldung und Sitzungszuordnung. Ohne „Angemeldet bleiben“ verwendet WordPress Sitzungscookies; die serverseitige Anmeldung läuft standardmäßig nach zwei Tagen ab. Mit dieser Auswahl bleibt die Anmeldung standardmäßig 14 Tage gültig, mit zusätzlichem kurzem Ablaufpuffer des Cookies. Abmeldung beendet die jeweilige Sitzung. Abweichende Sicherheitsvorgaben der WordPress-Installation können die Dauer verkürzen.

Das öffentliche Theme verwendet keinen eigenen SessionStorage. Der zusätzliche WordPress-Emoji-Lader ist auf den öffentlichen PhyPhyStudio-Seiten deaktiviert. Normale Emoji-Zeichen werden weiterhin vom Browser dargestellt.

Ihre Datenschutzauswahl

„Notwendig“ bleibt für grundlegende Funktionen, Sicherheit und gespeicherte Einstellungen aktiv. „Besucherstatistik“ ist optional und nicht vorausgewählt. Eine frühere Zustimmung ausschließlich zu notwendigen Funktionen gilt nicht als Zustimmung zu Statistik.

Sie können die optionale Statistik ebenso einfach ablehnen wie akzeptieren. Ihre Auswahl lässt sich jederzeit über Cookie-Einstellungen oder den gleichnamigen Footer-Link ändern. Bei einem Widerruf werden weitere Analytics-Messungen unterbunden und eine bereits messende Seite neu geladen. Bereits übermittelte Daten lassen sich dadurch nicht zurücknehmen. Ein Widerruf berührt nicht die Rechtmäßigkeit einer vorherigen Verarbeitung auf Grundlage Ihrer Einwilligung.

Der animierte Hintergrund und die Live-Projektvorschau werden nicht durch die Statistikauswahl gesteuert. Ihre externen Verbindungen sind nachfolgend gesondert beschrieben.

Cloudflare Web Analytics: derzeit deaktiviert

Cloudflare Web Analytics ist vorbereitet, aber zentral ausgeschaltet. Auch wenn Sie „Besucherstatistik“ auswählen, wird derzeit kein Analytics-Script geladen. Eine Messung setzt sowohl die technische Freigabe des Dienstes als auch Ihre ausdrückliche Zustimmung voraus. Sie ist ausschließlich für die öffentliche Hauptwebsite vorgesehen; Kundenportal, Login, Verwaltungsbereich, geschützte Inhalte und Vorschauen sind ausgeschlossen.

Bei einer späteren Freigabe lädt Ihr Browser nach Zustimmung das Script von static.cloudflareinsights.com/beacon.min.js. Es erfasst Seitenaufrufe, genutzte Seiten und technische Nutzungs- und Leistungsinformationen, etwa Herkunftsseite, Ladezeiten und Darstellungsstabilität. Berichte werden an Cloudflare übermittelt, gegebenenfalls über einen Messendpunkt auf unserer Domain. Beim Verbindungsaufbau fallen technische Verbindungsdaten an, einschließlich Ihrer IP-Adresse. Unsere Integration sendet keine Namen, E-Mail-Adressen oder Inhalte des Kontaktformulars und keine individuellen Anfrageereignisse an Cloudflare.

Cloudflare beschreibt Web Analytics als datenschutzorientierten Dienst ohne Tracking-Cookies und erklärt, dass der Dienst keine personenbezogenen Besucherdaten erhebt oder nutzt. Diese Anbieterangabe ist von den technischen Verbindungsdaten beim Abruf des Scripts und bei der Übermittlung zu unterscheiden. Wir leiten daraus keine uneingeschränkte Anonymitätszusage ab. Grundlage einer freigegebenen Messung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit erforderlich, § 165 Abs. 3 TKG 2021.

Anbieter und Vertragspartner ist Cloudflare, Inc., USA. Das Cloudflare Data Processing Addendum (DPA), Version 6.4, gültig seit 3. April 2026, sieht für relevante Übermittlungen aus dem EWR EU-Standardvertragsklauseln als Transfermechanismus vor. Für personenbezogene Daten im Anwendungsbereich des DPA gilt grundsätzlich eine Aufbewahrung bis zum früheren der folgenden Zeitpunkte: Ende oder Ablauf des Vertrags oder Wegfall der Erforderlichkeit der Verarbeitung zur Erfüllung der Vertragspflichten. Dies ist keine feste Aufbewahrungsfrist in Tagen für sämtliche Statistikdaten.

Die bestehende optionale Auswahl und das Erfordernis Ihrer ausdrücklichen Zustimmung bleiben bestehen. Der Dienst bleibt bis zur gesonderten manuellen Freigabe technisch deaktiviert. Weitere Informationen: Cloudflare DPA, Cloudflare Web Analytics und Datenschutzhinweise von Cloudflare.

Schriften und animierter Hintergrund

Die Schriften des Seitenlayouts und die Animationsbibliotheken werden lokal von unserer Website ausgeliefert. Dafür werden keine Google-Fonts-Server aufgerufen.

Der Hintergrund der Startseite verwendet Unicorn Studio. Nur im vollen Animationsmodus und bei sichtbarem Hintergrund wird die lokale Bibliothek initialisiert. Bei reduzierter Bewegung sowie im reduzierten Leistungsmodus, etwa auf kleinen Touch-Geräten oder bei aktiviertem Datensparen, wird sie nicht gestartet. Während die Seite im Hintergrund liegt, wird die Animation pausiert.

Die Szene lädt Daten, eine Schrift und eine Grafik von storage.googleapis.com und assets.unicorn.studio. Dabei erhalten die jeweiligen Anbieter technische Verbindungsdaten, insbesondere Ihre IP-Adresse und Informationen zur angefragten Ressource. Im geprüften Integrationscode wurden keine Cookies und keine Zugriffe auf LocalStorage oder SessionStorage für Unicorn gefunden. Das bedeutet nicht, dass keine Verbindungsdaten verarbeitet werden.

Die Einbindung dient der visuellen Darstellung unseres Angebots. Wir stützen die dafür erforderliche Verarbeitung auf unser berechtigtes Interesse an einer anschaulichen Website nach Art. 6 Abs. 1 lit. f DSGVO. Die externen Ressourcen werden nicht über die Kategorie „Besucherstatistik“ gesteuert.

Live-Vorschau von ichbrauchzeit.at

In der Projektsektion wird die aktuelle Website ichbrauchzeit.at als Live-Vorschau eingebettet. Das iframe ist mit verzögertem Laden versehen; der Browser kann es dennoch bereits vor dem Erreichen der Vorschau abrufen. Dabei wird eine Verbindung zu ichbrauchzeit.at aufgebaut. Die dort eingebundenen Bilder werden teilweise von static.wixstatic.com geladen. Diese Server erhalten technische Verbindungsdaten wie Ihre IP-Adresse; je nach Anfrage wird auch die Herkunftswebsite übermittelt.

Die Vorschau lässt sich scrollen. Links und Schaltflächen innerhalb der Vorschau lassen sich nicht regulär bedienen. Die Scrollverbindung übermittelt nur Scroll- und Größenwerte, keine Nachrichten, Formulareingaben oder Benutzerkennungen. Sie erzeugt keine zusätzliche Statistik.

Die eingebettete Website liest auf ihrer eigenen Domain gegebenenfalls ibz-accessibility-settings aus dem LocalStorage. Dieser Eintrag enthält dort gewählte Barrierefreiheitseinstellungen ohne festgelegte automatische Ablauffrist. In unserer nicht anklickbaren Vorschau wird keine neue Auswahl über deren Bedienelemente getroffen. Bereits vorhandene Einstellungen können berücksichtigt werden; unsere Website löscht keine Speicherungen anderer Domains.

Die Vorschau zeigt ein tatsächlich umgesetztes Projekt. Grundlage der dafür erforderlichen Verbindungsverarbeitung ist unser berechtigtes Interesse an einer anschaulichen Darstellung unserer Arbeit nach Art. 6 Abs. 1 lit. f DSGVO. Die Vorschau wird nicht durch die Statistikauswahl gesteuert. Weitere Informationen finden Sie in den Datenschutzhinweisen auf ichbrauchzeit.at.

Website-Assistent und OpenAI

Der Website-Assistent ist derzeit deaktiviert und wird nicht aktiv angeboten. Durch den normalen Besuch unserer Website werden von dieser Integration keine Anfragen an OpenAI gesendet. Vor einer erneuten Aktivierung werden die zugehörigen Datenschutzhinweise aktualisiert.

Externe Links und Empfänger

Das bloße Anzeigen eines normalen externen Links stellt keine Verbindung zur Zielwebsite her. Erst beim Öffnen des Links rufen Sie diese auf. Eingebettete Inhalte wie die Live-Vorschau sind hiervon zu unterscheiden: Sie stellen bereits beim Laden eine externe Verbindung her.

Zugriff auf erforderliche Daten erhalten die mit Hosting, E-Mail-Übertragung und technischer Bereitstellung befassten Dienstleister sowie berechtigte Personen zur Bearbeitung Ihrer Anfrage oder Ihres Vertrags. Die genannten externen Ressourcen werden von ihren jeweiligen Anbietern ausgeliefert. Deren Verarbeitung kann außerhalb des Europäischen Wirtschaftsraums stattfinden; eine ausschließlich europäische Verarbeitung wird hier nicht zugesichert. Erforderliche vertragliche und datenschutzrechtliche Voraussetzungen sind für den jeweiligen Dienst zu beachten.

Speicherdauer

Kontakt- und Supportdaten werden für die Bearbeitung und erforderliche Rückfragen aufbewahrt. Konto-, Projekt-, Dokument- und Betreuungsdaten bleiben für die Durchführung und Abwicklung der Geschäftsbeziehung erforderlich. Sicherheits- und Statusinformationen werden so lange benötigt, wie sie zur Sicherung und Nachvollziehbarkeit der betreffenden Vorgänge beitragen. Darüber hinaus können gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen eine weitere Aufbewahrung erfordern.

Entfällt der Zweck und besteht keine weitere Aufbewahrungsgrundlage, sind die betreffenden personenbezogenen Daten zu löschen. Eine automatische Löschung sämtlicher Vertrags- und Rechnungsdaten bei Abmeldung oder Schließung des Portals ist damit nicht verbunden. Die konkreten Laufzeiten der Browser-Einstellungen und Sicherheitscookies finden Sie oben.

Ihre Rechte

Nach Maßgabe der DSGVO haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Beruht eine Verarbeitung auf berechtigten Interessen, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Für die Ausübung Ihrer Rechte schreiben Sie an hallo@phyphystudio.com. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, wenn Sie eine rechtswidrige Verarbeitung Ihrer Daten vermuten.

Österreichische Datenschutzbehörde

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
E-Mail: dsb@dsb.gv.at
Website: dsb.gv.at

Stand

28. September 2026. Diese Hinweise werden bei Änderungen der beschriebenen Funktionen und Datenverarbeitungen angepasst.