Datenschutz

Datenschutzerklärung. Was diese Website und ihr Shop mit personenbezogenen Daten machen, und was sie bleiben lassen.

Entwurf. Die Wirtschaftskammer Burgenland hat diese Seite am 19. Oktober 2026 geprüft; die Abschnitte „Besucherstatistik“ und „Wenn du eine Bewertung schreibst“ kamen danach dazu, und was über die Bestellung und die Zahlung gesagt ist, wurde am 22. Oktober für den Vorverkauf (Anfrage und Überweisung) geändert. Die markierten Angaben fehlen noch.

Wer verantwortlich ist

Christopher Granabetter (Cosmoment), Heidegasse 2, 7062 St. Margarethen im Burgenland, Österreich. E-Mail: office@cosmoment.at.

Diese Website

Diese Website setzt keine Cookies und lädt nichts von anderen Unternehmen, mit einer Ausnahme, die du selbst wählst (siehe „Die Karte“). Schriften, Bilder und Filme kommen von unserem eigenen Server.

Dein Browser speichert auf deinem Gerät nur, was du selbst wählst und was der Shop dafür braucht: die helle oder dunkle Seite, die Sprache, das Lieferland, deinen Warenkorb und nach einer Bestellung die Bilder für deine Bestellseite. Das bleibt auf deinem Gerät, bis du bestellst, und du kannst es in deinem Browser jederzeit löschen. Weil es nur dem Dienst dient, den du selbst verlangst, braucht es keine Einwilligung (§ 165 Abs. 3 TKG 2021).

Besucherstatistik

Damit wir sehen, welche Seiten gelesen werden und an welcher Stelle des Konfigurators Besucher aufhören, schickt jede Seite unserem eigenen Server ein paar Ereignisse: welche Seite gezeigt wurde und von welcher unserer Seiten aus, wie lange sie sichtbar war, bis zu welchem Schritt der Konfigurator kam und ob ein Kunstwerk in den Warenkorb ging, dazu die Sprache der Seite, die Art des Geräts (Telefon, Tablet oder Computer, aus der Breite des Fensters) und, wenn du über einen Link einer anderen Website kommst, nur deren Namen (etwa www.instagram.com).

Die Ereignisse einer Seite hält eine Zufallszahl zusammen, die nur im Arbeitsspeicher deines Browsers liegt und mit der Seite verschwindet. Auf deinem Gerät wird dafür nichts gespeichert, und nichts verbindet zwei Seitenaufrufe oder zwei Besuche. Wir speichern dazu weder deine IP-Adresse noch deinen Browser; aus der Statistik lässt sich niemand erkennen. Sendet dein Browser „Global Privacy Control“ oder „Do Not Track“, schicken unsere Seiten nichts. Grundlage: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse, die Website besser zu machen. Dieser Abschnitt kam nach der Prüfung dazu: noch zu klären, ob diese Statistik ohne Einwilligung zulässig ist (§ 165 Abs. 3 TKG 2021; EDSA-Leitlinien 2/2023 zu Art. 5 Abs. 3 der ePrivacy-Richtlinie).

Die Karte

Im Konfigurator kannst du deinen Ort auf einer Karte wählen. Bis du „Auf der Karte suchen“ drückst, wird kein Kartenserver gefragt. Drückst du es, lädt dein Browser die Kartenkacheln des Ausschnitts, den du ansiehst, von OpenFreeMap (tiles.openfreemap.org, betrieben von Hyperknot Software Kft., Ungarn, hinter Cloudflare). Dieser Server erhält deine IP-Adresse und die Kacheln, die du abrufst, wie jeder Server, der dir etwas schickt. Nach seiner Datenschutzerklärung setzt er keine Cookies und speichert keine IP-Adressen in seinen Protokollen. Das Kartenprogramm selbst ist unseres und kommt von unserem Server. Den Ort, den du anklickst, erfahren wir erst, wenn du „Diesen Ort verwenden“ drückst. Grundlage: Art. 6 Abs. 1 lit. a DSGVO, deine Wahl, den Knopf zu drücken.

Server-Protokolle

Wie jeder Webserver zeichnet unserer jede Anfrage auf: die IP-Adresse, die Zeit, die aufgerufene Seite und den Browser. Das brauchen wir, um die Website zu betreiben und gegen Angriffe zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden spätestens nach 60 Tagen gelöscht.

Den Server betreibt für uns netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, mit dem Rechenzentrum in Wien (Österreich), als Auftragsverarbeiter (Art. 28 DSGVO).

Wenn du bestellst

Für eine Bestellung brauchst du kein Konto. Wir erheben nur, was wir für Herstellung, Lieferung und Rechnung brauchen:

deine E-Mail-Adresse, für die Bestellbestätigung, die Rechnung, die Links zu deinen Dateien und Nachrichten zu deiner Bestellung;
Name und Lieferadresse;
eine Telefonnummer, wenn der Zusteller sie für dein Land verlangt (außerhalb des Europäischen Wirtschaftsraums), sonst nur, wenn du sie angibst;
was du für das Kunstwerk angibst: Datum, Uhrzeit, Ort und Texte;
die Bestellung, ihren Preis und Stand, die Rechnung, den Eingang deiner Zahlung (bei einer Überweisung Name und IBAN des Kontos, von dem sie kommt) und deine Zustimmung zu den Bedingungen, mit Zeitpunkt.

Wir verwenden diese Daten, um deine Anfrage zu bearbeiten und den Vertrag mit dir zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO), und bewahren sie auf, weil das Steuerrecht es verlangt (Art. 6 Abs. 1 lit. c DSGVO). Deine Bestellseite erreichst du über einen geheimen Link in deiner E-Mail. Wir schicken dir keine Werbung und keinen Newsletter.

Wer deine Daten bekommt

Zahlung. Du zahlst per Überweisung auf unser Konto. Deine Bank und unsere Bank verarbeiten die Überweisung in eigener Verantwortung. Von unserer Bank erfahren wir, was jede Überweisung zeigt: Name und IBAN des Kontos, von dem sie kommt, den Betrag und den Verwendungszweck. Damit ordnen wir die Zahlung deiner Bestellung zu.
Druck und Versand. Unser Druckpartner Prodigi (Prodigi (UK) Ltd, Unit 20, Caker Stream Road, Alton, Hampshire, GU34 2QA, Großbritannien) erhält Name, Lieferadresse, E-Mail-Adresse, gegebenenfalls die Telefonnummer und die Druckdatei. Er druckt in einem seiner Labore (Niederlande, Großbritannien, USA, Australien) und übergibt das Paket dem Zusteller, der Name, Adresse und gegebenenfalls Telefonnummer erhält. Prodigi arbeitet für uns als Auftragsverarbeiter. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission. Ein Labor in den USA oder in Australien druckt dein Bild nur, wenn es von dort zu deiner Lieferadresse geschickt wird; die Übermittlung dorthin ist dann für deinen Vertrag nötig (Art. 49 Abs. 1 lit. b DSGVO), und Prodigi sichert sie nach seiner Datenschutzvereinbarung mit den Standardvertragsklauseln der EU-Kommission ab (Art. 46 Abs. 2 lit. c DSGVO).
E-Mails. Unsere E-Mails versendet Brevo (Sendinblue SAS, Paris, Frankreich) als Auftragsverarbeiter. Unser Postfach liegt bei Migadu (Migadu-Mail GmbH, Schweiz); für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.
Dateien. Die Dateien deines Kunstwerks liegen bei Cloudflare R2 (Cloudflare, Inc., USA, zertifiziert nach dem EU-US Data Privacy Framework) als Auftragsverarbeiter. Erreichbar sind sie nur über die Links, die du bekommst.

Sonst geben wir deine Daten nur weiter, wenn ein Gesetz es verlangt.

Wenn du uns schreibst

Deine Adresse und deine Nachricht verwenden wir, um dir zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen sie, wenn die Sache erledigt ist, außer das Gesetz verlangt, sie aufzubewahren.

Wenn du eine Bewertung schreibst

Eine Bewertung schreibst du mit der Nummer und der E-Mail-Adresse deiner Bestellung; so prüfen wir, dass sie von jemandem kommt, der bestellt hat. Wir speichern deine Wertung, deine Worte, den Namen, den du darunter angibst, deine Fotos und die Sprache der Seite, zusammen mit der Bestellung. Aus den Fotos entfernen wir vor dem Speichern, was die Kamera hineingeschrieben hat, etwa den Ort der Aufnahme. Nachdem wir sie gelesen haben, zeigen wir die Bewertung auf dieser Website, mit dem Namen, dem Datum und den Fotos, aber ohne deine E-Mail-Adresse und ohne die Nummer der Bestellung. Grundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit einer E-Mail an uns widerrufen; dann nehmen wir die Bewertung von der Website und löschen sie mit ihren Fotos.

Wie lange wir aufbewahren

Rechnungen und die Daten einer Bestellung: sieben Jahre, wie das Steuerrecht es verlangt (§ 132 BAO). Danach löschen wir Name, Adresse, E-Mail-Adresse und Telefonnummer.
Eine Anfrage, aus der kein Vertrag wird: sechs Monate, dann löschen wir Name, Adresse, E-Mail-Adresse und Telefonnummer.
Die Dateien deines Kunstwerks: 120 Tage nach der Bestellung.
Server-Protokolle: höchstens 60 Tage.
Nachrichten an uns: bis die Sache erledigt ist.
Bewertungen und ihre Fotos: bis du deine Einwilligung widerrufst.
Die Ereignisse der Besucherstatistik: 90 Tage.

Deine Rechte

Du kannst (Art. 15 bis 21 DSGVO):

fragen, was wir über dich gespeichert haben,
es berichtigen oder löschen lassen,
seine Verarbeitung einschränken lassen,
es in einem übertragbaren Format erhalten,
der Verarbeitung widersprechen.

Schreib dafür an die Adresse oben. Du kannst dich auch bei der österreichischen Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

Fassung vom 22. Oktober 2026.

Privacy

Datenschutzerklärung. What this website and its shop do with personal data, and what they leave alone. The German text is the one that counts.

Draft. The Economic Chamber of Burgenland checked this page on 19 October 2026; the sections "Visitor statistics" and "When you write a review" were added after that, and what it says about the order and the payment was changed on 22 October for the presale (request and bank transfer). The marked details are still missing.

Who is responsible

Christopher Granabetter (Cosmoment), Heidegasse 2, 7062 St. Margarethen im Burgenland, Austria. Email: office@cosmoment.at.

This website

This website sets no cookies and loads nothing from other companies, with one exception that you choose yourself (see "The map"). Its fonts, pictures and films come from our own server.

Your browser keeps on your device only what you choose yourself and what the shop needs for it: the light or the dark page, the language, the country to deliver to, your basket and, after an order, the pictures for your order page. It stays on your device until you order, and you can delete it in your browser at any time. Because it serves only what you ask for, it needs no consent (§ 165 (3) TKG 2021).

Visitor statistics

So that we can see which pages are read and at which step of the Configurator visitors stop, each page sends a few events to our own server: which page was shown and from which of our pages, how long it was in sight, how far the Configurator was taken and whether an artwork went into the basket, the language of the page, the kind of device (phone, tablet or computer, from the width of the window) and, if you came by a link on another website, only that website's name (such as www.instagram.com).

The events of one page are held together by a random number that lives only in your browser's memory and is gone with the page. Nothing is stored on your device for this, and nothing connects two page views or two visits. We keep neither your IP address nor your browser with it; nobody can be recognised from the statistics. If your browser sends "Global Privacy Control" or "Do Not Track", our pages send nothing. Basis: Art. 6 (1) (f) GDPR, our interest in making the website better. This section came after the check: still to settle whether these statistics are allowed without consent (§ 165 (3) TKG 2021; EDPB Guidelines 2/2023 on Art. 5 (3) of the ePrivacy Directive).

The map

In the Configurator you can choose your place on a map. Until you press "Find on map", nothing is asked of any map server. When you press it, your browser loads the map tiles of the part you look at from OpenFreeMap (tiles.openfreemap.org, run by Hyperknot Software Kft., Hungary, behind Cloudflare). That server receives your IP address and the tiles you ask for, as any server does when it sends you something. According to its privacy policy it does not set cookies and does not store IP addresses in its access logs. The map program itself is ours and comes from our own server. We do not receive the place you click unless you press "Use this place". Basis: Art. 6 (1) (a) GDPR, your choice to press the button.

Server logs

Like every web server, ours records each request: the IP address, the time, the page asked for and the browser. We need this to keep the site running and to defend it against attacks (Art. 6 (1) (f) GDPR). The logs are deleted after 60 days at the latest.

The server is run for us by netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany, with its data centre in Vienna, Austria, as a processor under Art. 28 GDPR.

When you order

You need no account to order. We collect only what we need to make, deliver and invoice your artwork:

your email address, for the confirmation, the invoice, the links to your files and news of your order;
your name and delivery address;
a telephone number where the courier needs one for your country (outside the European Economic Area), otherwise only if you give one;
what you tell us for the artwork: the date, the time, the place and the words;
the order, its price and state, the invoice, the receipt of your payment (for a transfer, the name and IBAN of the account it comes from) and your agreement to the terms, with its time.

We use this data to handle your request and to fulfil our contract with you (Art. 6 (1) (b) GDPR) and keep it because tax law requires it (Art. 6 (1) (c) GDPR). You reach your order page through a secret link in your email. We send you no advertising and no newsletter.

Who receives your data

Payment. You pay by bank transfer to our account. Your bank and ours process the transfer under their own responsibility. From our bank we learn what every transfer shows: the name and IBAN of the account it comes from, the amount and the reference. We use them to match the payment to your order.
Printing and shipping. Our print partner Prodigi (Prodigi (UK) Ltd, Unit 20, Caker Stream Road, Alton, Hampshire, GU34 2QA, United Kingdom) receives your name, delivery address, email address, the telephone number if given, and the print file. It prints in one of its labs (the Netherlands, the United Kingdom, the USA, Australia) and hands the parcel to the courier, who receives your name, address and, if given, telephone number. Prodigi works for us as a processor. For the United Kingdom there is an adequacy decision of the European Commission. A lab in the USA or in Australia prints your picture only when it is sent from there to your delivery address; the transfer is then necessary for your contract (Art. 49 (1) (b) GDPR), and Prodigi secures it under its data processing addendum with the European Commission's standard contractual clauses (Art. 46 (2) (c) GDPR).
Email. Our emails are sent by Brevo (Sendinblue SAS, Paris, France) as a processor. Our mailbox is at Migadu (Migadu-Mail GmbH, Switzerland); for Switzerland there is an adequacy decision of the European Commission.
Files. The files of your artwork are kept at Cloudflare R2 (Cloudflare, Inc., USA, certified under the EU-US Data Privacy Framework) as a processor. They can be reached only through the links you receive.

Otherwise we pass on your data only where a law requires it.

When you write to us

We use your address and your message to answer you (Art. 6 (1) (b) or (f) GDPR). We delete them when the matter is settled, unless the law requires us to keep them.

When you write a review

You write a review with the number and the email address of your order; that is how we check that it comes from someone who ordered. We keep your rating, your words, the name you give for it, your photographs and the language of the page, together with the order. Before we keep the photographs, we remove what the camera wrote into them, such as where a photo was taken. Once we have read it, we show the review on this website with the name, the date and the photographs, but without your email address and without the order's number. Basis: your consent (Art. 6 (1) (a) GDPR). You can withdraw it at any time by writing to us; we then take the review off the website and delete it with its photographs.

How long we keep data

Invoices and the data of an order: seven years, as tax law requires (§ 132 BAO). After that we delete the name, address, email address and telephone number.
A request that does not become a contract: six months, then we delete the name, address, email address and telephone number.
The files of your artwork: 120 days after the order.
Server logs: 60 days at most.
Messages to us: until the matter is settled.
Reviews and their photographs: until you withdraw your consent.
The events of the visitor statistics: 90 days.

Your rights

You can (Art. 15 to 21 GDPR):

ask us what we hold about you
have it corrected or deleted
have its use restricted
receive it in a portable form
object to its use

Write to the address above. You can also complain to the Austrian data protection authority: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, www.dsb.gv.at.

Version of 22 October 2026.