Storely — Datenschutzerklärung

Version 1.3
Stand September 2026

Datenschutzerklärung

für den Lagerdienst „Storely" der We Ship Fulfillment GmbH

Diese Erklärung beschreibt, welche personenbezogenen Daten wir beim Betrieb von storely.at verarbeiten, warum wir das tun, auf welcher Rechtsgrundlage und wie lange wir sie speichern. Sie beschreibt ausschließlich Verarbeitungen, die in unserem System tatsächlich stattfinden.

1.Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

We Ship Fulfillment GmbH
Frikusweg 10, 8141 Premstätten bei Graz, Österreich
Firmenbuch: FN 482394 d, Landesgericht für Zivilrechtssachen Graz
UID: ATU72873027
E-Mail: hello@storely.at

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an hello@storely.at.

2.Server-Logfiles

2.1. Beim Aufruf unserer Website erfasst der Webserver automatisch die Daten, die Ihr Browser übermittelt: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent).

2.2. Zweck: Auslieferung der Website, Erkennung und Analyse von Störungen und Angriffen sowie Nachvollziehbarkeit von Sicherheitsvorfällen.

2.3. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb des Dienstes.

2.4. Speicherdauer: 14 Tage. Danach werden die Logdateien automatisch gelöscht (tägliche Rotation mit 14 Generationen).

2.5. Eine Zusammenführung dieser Daten mit Ihrem Kundenkonto findet nicht statt.

3.Cookies

3.1. Wir setzen genau ein Cookie:

storely_session — enthält eine zufällige Sitzungskennung, über die Ihr Browser nach dem Login wiedererkannt wird. Laufzeit 30 Tage. Das Cookie ist httpOnly (für Skripte im Browser nicht lesbar), secure (nur über HTTPS) und sameSite=lax. In unserer Datenbank wird nur ein Hashwert der Sitzungskennung gespeichert, nicht die Kennung selbst.

3.2. Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies. Es sind keine Zählpixel, Reichweitenmessungen, Werbenetzwerke oder Profilbildungen eingebunden. Schriftarten werden von unserem eigenen Server ausgeliefert, es findet also auch beim Laden der Seite keine Verbindung zu Dritten statt.

3.3. Rechtsgrundlage: Das Sitzungs-Cookie ist technisch erforderlich, um den von Ihnen gewünschten Dienst (den Login) bereitzustellen; es bedarf daher nach § 165 Abs. 3 TKG 2021 keiner Einwilligung. Die dahinterliegende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags bzw. vorvertragliche Maßnahmen).

3.4. Speicherdauer: Das Cookie läuft nach 30 Tagen ab. Der zugehörige Sitzungsdatensatz wird spätestens mit Ablauf, beim Logout und bei Schließung des Kontos gelöscht.

4.Kundenkonto und Zwei-Faktor-Authentifizierung

4.1. Für ein Kundenkonto verarbeiten wir: E-Mail-Adresse, Passwort (ausschließlich als nicht rückrechenbarer Hashwert), Telefonnummer, Kontotyp (privat oder Unternehmen), bei Unternehmen Firmenname und UID-Nummer, den Bestätigungskanal und -zeitpunkt sowie den Zeitpunkt der Kontoerstellung.

4.2. Bestätigung und zweiter Faktor. Zur Bestätigung Ihrer Kontaktdaten und beim Login versenden wir Einmalcodes per E-Mail oder SMS. Wir speichern dazu die Telefonnummer, den gewählten Kanal, einen Hashwert des Codes, die Zahl der Fehlversuche und die Zeitstempel. Der Code selbst wird nicht im Klartext gespeichert. Für Konten mit Verwaltungsrechten ist der zweite Faktor verpflichtend.

4.3. Missbrauchsschutz. Bei Login, Registrierung, Codeversand, Passwortzurücksetzung, Kontaktanfragen und Löschanträgen speichern wir kurzzeitig einen Zähleintrag, der die IP-Adresse bzw. die betroffene E-Mail-Adresse enthält, um automatisierte Angriffe zu begrenzen. Das Zeitfenster beträgt je nach Vorgang 15 Minuten bis eine Stunde; die Einträge werden nach dessen Ablauf gelöscht, spätestens mit dem nächsten gleichartigen Zugriff.

4.4. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Anlage und Führung des Kontos; Art. 6 Abs. 1 lit. f DSGVO für den zweiten Faktor und den Missbrauchsschutz (berechtigtes Interesse an der Sicherheit der Konten und der eingelagerten Güter).

4.5. Speicherdauer: Kontodaten bis zur Schließung des Kontos (siehe Punkt 14.3). Verifizierungsdatensätze und Passwort-Rücksetzungstoken laufen nach kurzer Zeit ab und werden bei Kontoschließung gelöscht.

5.Bestellung, Lagerung und Boxinhalt

5.1. Für die Abwicklung Ihrer Bestellung verarbeiten wir: Name, Liefer- und Rechnungsanschrift, Kontotyp, gegebenenfalls Firmenname und UID, Anzahl der Boxen, gewählten Lagerort, Bestellstatus sowie die Kennungen der Ihnen zugeordneten Boxen.

5.2. Für die Verrechnung erfassen wir je Box und Lagertag einen Nutzungsdatensatz (Datum und Anzahl der Einheiten). Er ist die Grundlage der taggenauen Abrechnung.

5.3. Der Inhalt Ihrer Box ist uns nicht bekannt. Sie befüllen und verschließen die Box selbst; wir schulden die sichere Verwahrung, nicht die Prüfung oder Inventarisierung des Inhalts (Punkt 2.2 der AGB). Wir erstellen kein Inventar und erfassen den Inhalt nicht.

5.4. Sofern Sie einer Box eine selbst gewählte Bezeichnung geben, um sie wiederzuerkennen, speichern wir diesen frei gewählten Text. Er stammt von Ihnen; wir werten ihn nicht aus.

5.5. Öffnung einer Box. Wir öffnen eine Box ausschließlich in den in Punkt 7 der AGB geregelten Fällen — bei begründetem Verdacht eines Verstoßes gegen die Einlagerungsregeln, bei Gefahr für Personen oder Sachen oder aufgrund behördlicher oder gerichtlicher Anordnung. Werden dabei personenbezogene Daten wahrgenommen, verarbeiten wir sie nur, soweit dies zur Gefahrenabwehr, zur Erfüllung der Anordnung oder zur Rechtsverfolgung erforderlich ist.

5.6. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Bestellung, Lagerung und Abrechnung; Art. 6 Abs. 1 lit. c DSGVO, soweit wir einer behördlichen oder gerichtlichen Anordnung nachkommen; Art. 6 Abs. 1 lit. f DSGVO für Kontrollmaßnahmen nach Punkt 7 der AGB (berechtigtes Interesse am Schutz von Personen, Anlagen und fremdem Lagergut).

5.7. Speicherdauer: Bestell-, Box- und Nutzungsdaten werden für die Dauer des Vertragsverhältnisses gespeichert und danach so lange aufbewahrt, wie sie den nach Punkt 9 aufbewahrungspflichtigen Rechnungen zugrunde liegen. Eine von Ihnen vergebene Boxbezeichnung wird bei Kontoschließung gelöscht.

6.Versand und Weitergabe an den Transportdienstleister

6.1. Für Zustellung, Abholung und Rücksendung Ihrer Boxen übermitteln wir an den beauftragten Transportdienstleister: Name, Anschrift, Telefonnummer, Paketgewicht und die Art der Übergabe. Die Telefonnummer ist bei der Abholung durch den Fahrer erforderlich, weil der Dienstleister sie für die Terminabstimmung verlangt.

6.2. Wir verarbeiten die Sendungsdaten, die wir zurückerhalten: Sendungs- und Paketnummer, Sendungsstatus, Zeitpunkte von Versand und Zustellung, gegebenenfalls einen vereinbarten Abholtag sowie die Statusmeldungen des Dienstleisters einschließlich Zeitpunkt, Beschreibung und Ort des jeweiligen Scans. Aus diesen Meldungen benachrichtigen wir Sie über Zustellung oder Probleme.

6.3. Der Transportdienstleister ist für die Beförderung eigenständig verantwortlich und verarbeitet die Daten insoweit als eigener Verantwortlicher nach seinen eigenen Datenschutzbestimmungen.

6.4. Eingesetzter Dienstleister: General Logistics Systems Austria GmbH, Traunuferstraße 105a, 4052 Ansfelden, Österreich.

6.5. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Übermittlung kann der Versand nicht durchgeführt werden.

6.6. Speicherdauer: Sendungsdaten werden für die Dauer des Vertragsverhältnisses und darüber hinaus so lange gespeichert, wie sie den aufbewahrungspflichtigen Rechnungen zugrunde liegen (Punkt 9).

7.Zahlungsabwicklung

7.1. Zahlungen wickeln wir über Stripe ab. Ihre Karten- bzw. Kontodaten geben Sie direkt bei Stripe ein; sie gelangen nicht auf unsere Server und werden von uns nicht gespeichert.

7.2. An Stripe übermitteln wir: E-Mail-Adresse, Telefonnummer (sofern hinterlegt), Ihre Kundenkennung bei uns sowie den jeweiligen Rechnungsbetrag und Verwendungszweck.

7.3. Von Stripe speichern wir zurück: die Kundenkennung bei Stripe, die Kennung des Zahlungsmittels sowie dessen Metadaten (Art des Zahlungsmittels, Kartenmarke bzw. „SEPA-Lastschrift", die letzten vier Stellen und das Ablaufdatum) und den Zahlungsstatus.

7.4. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) sowie Art. 6 Abs. 1 lit. c DSGVO für die Zuordnung von Zahlungen zu Rechnungen im Rahmen unserer Buchführungspflichten.

7.5. Speicherdauer: Die Metadaten des Zahlungsmittels werden bei Kontoschließung gelöscht. Die Kundenkennung bei Stripe bleibt so lange gespeichert, wie sie zur Zuordnung aufbewahrungspflichtiger Rechnungen zu den zugehörigen Zahlungen benötigt wird (Punkt 9). Für die bei Stripe selbst gespeicherten Daten gelten die Aufbewahrungsfristen von Stripe.

8.Kommunikation und Kontaktformular

8.1. Systemnachrichten. Wir versenden E-Mails und SMS, die zur Durchführung des Vertrags gehören: Bestätigungscodes, Bestell- und Versandbestätigungen, Ankunfts- und Zustellbenachrichtigungen, Rechnungen sowie Hinweise zu Zahlungsproblemen. Bestell- und Rechnungsmails enthalten die AGB und die Widerrufsbelehrung als Anhang.

8.2. Kontaktformular. Über das Formular auf storely.at übermitteln Sie Name, E-Mail-Adresse, Betreff und Nachricht. Diese Angaben werden per E-Mail an unser Postfach zugestellt und nicht in unserer Datenbank gespeichert. Sie erhalten eine Empfangsbestätigung an die angegebene Adresse.

8.3. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Systemnachrichten und für Anfragen mit Vertragsbezug; Art. 6 Abs. 1 lit. f DSGVO für sonstige Anfragen (berechtigtes Interesse an der Beantwortung der an uns gerichteten Kommunikation).

8.4. Speicherdauer: Nachrichten im Postfach werden aufbewahrt, solange dies zur Bearbeitung Ihres Anliegens und zur Nachvollziehbarkeit erforderlich ist. Soweit ein Schriftverkehr geschäftlicher Natur ist, unterliegt er der Aufbewahrungspflicht nach Punkt 9. Kontaktanfragen ohne Vertragsbezug löschen wir spätestens 12 Monate nach Abschluss der Bearbeitung.

9.Rechnungen und gesetzliche Aufbewahrung

9.1. Zu jeder Rechnung speichern wir: fortlaufende Rechnungsnummer, Ausstellungsdatum, Leistungszeitraum, Positionen, Netto- und Bruttobeträge, Umsatzsteuer, Zahlungsstatus, das Rechnungs-PDF sowie eine zum Zeitpunkt der Ausstellung eingefrorene Kopie der Rechnungsempfängerdaten (Name bzw. Firmenname, Anschrift, gegebenenfalls UID).

9.2. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuer- und unternehmensrechtlichen Aufbewahrungspflichten, insbesondere § 132 BAO und § 190 UGB.

9.3. Speicherdauer: sieben Jahre, gerechnet ab dem Schluss des Kalenderjahres, für das die Rechnung ausgestellt wurde. Diese Daten bleiben auch dann gespeichert, wenn Sie Ihr Konto schließen — wir dürfen sie in dieser Zeit nicht löschen. Die eingefrorene Empfängerkopie ist Teil der aufbewahrungspflichtigen Rechnung.

10.Nachweise und Sicherheitsprotokolle

10.1. Zustimmungen. Wenn Sie im Bestellvorgang die AGB und die Widerrufsbelehrung annehmen und — als Verbraucher — den vorzeitigen Leistungsbeginn verlangen, protokollieren wir: Zeitpunkt, Art der Zustimmung, die angenommene Dokumentversion, den Ihnen angezeigten Wortlaut sowie IP-Adresse und Browserkennung zum Zeitpunkt der Zustimmung.

10.2. Sicherheitsprotokoll. Sicherheitsrelevante und statusändernde Vorgänge (etwa Statuswechsel einer Box, Löschanträge, Kontoschließungen, administrative Eingriffe) werden mit Vorgang, betroffenem Datensatz, Zeitpunkt und gegebenenfalls Vorher-/Nachher-Zustand protokolliert.

10.3. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO für den Nachweis der nach dem FAGG erforderlichen Erklärungen; Art. 6 Abs. 1 lit. f DSGVO für das Sicherheitsprotokoll (berechtigtes Interesse an der Nachvollziehbarkeit von Vorgängen und der Aufklärung von Missbrauch).

10.4. Speicherdauer: Zustimmungsnachweise werden für die Dauer des Vertragsverhältnisses gespeichert; IP-Adresse und Browserkennung werden bei Kontoschließung gelöscht. Zustimmungsnachweise und Sicherheitsprotokolle bewahren wir bis drei Jahre nach Vertragsende auf; die Frist entspricht der allgemeinen Verjährungsfrist des § 1489 ABGB.

11.Auftragsverarbeiter

11.1. Wir setzen die folgenden Dienstleister ein, die personenbezogene Daten weisungsgebunden für uns verarbeiten. Für jede dieser Verarbeitungen ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen. [offen — sobald die Verträge mit Hetzner, dem Betreiber von zsuite, Twilio und Stripe bestätigt sind, tritt an die Stelle des vorstehenden Satzes: „Grundlage ist jeweils ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO."]

Hosting: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Registergericht Ansbach, HRB 6089). Serverstandort Nürnberg, Deutschland. Verarbeitet werden sämtliche auf der Plattform gespeicherten Daten sowie die Server-Logfiles.
E-Mail-Versand und -Empfang: Betreiber des Mailservers m.zsuite.at — [offen — vollständige Firmierung und Sitz des Betreibers von zsuite]. Verarbeitet werden Empfängeradresse, Betreff, Inhalt und Anhänge unserer E-Mails sowie die an hello@storely.at eingehende Post.
SMS-Versand: Twilio Ireland Limited, Dublin, Irland — die für Kundinnen und Kunden im EWR vertragschließende Gesellschaft. Verarbeitet werden Telefonnummer und Inhalt der SMS (Bestätigungscodes).
Zahlungsabwicklung: Stripe Payments Europe, Limited, Dublin, Irland. Verarbeitet werden die in Punkt 7 genannten Daten. Stripe ist hinsichtlich der Zahlungsabwicklung teilweise eigenständig verantwortlich.

11.2. Der Transportdienstleister (Punkt 6) ist kein Auftragsverarbeiter, sondern für die Beförderung eigenständig verantwortlich.

11.3. Darüber hinaus geben wir Ihre Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Ansprüche erforderlich ist (Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO).

12.Übermittlung in Drittländer

12.1. Hosting und E-Mail-Versand finden innerhalb der Europäischen Union statt.

12.2. Beim SMS-Versand über Twilio werden Ihre Telefonnummer und der Inhalt der Nachricht in die USA übermittelt.

12.3. Bei der Zahlungsabwicklung über Stripe ist eine Übermittlung in die USA an die US-Muttergesellschaft nicht ausgeschlossen.

12.4. Twilio stützt Übermittlungen in die USA primär auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend auf verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Art. 47 DSGVO) und auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

12.5. Stripe stützt eine solche Übermittlung vorrangig auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

12.6. Ein Restrisiko besteht darin, dass US-Behörden nach dortigem Recht auf Daten zugreifen können und Ihnen dagegen möglicherweise keine mit der EU vergleichbaren Rechtsbehelfe zur Verfügung stehen. Sie können den SMS-Versand vermeiden, indem Sie Bestätigungscodes per E-Mail statt per SMS anfordern.

13.Keine automatisierte Entscheidungsfindung

13.1. Es findet keine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Wir bewerten Sie nicht automatisiert, erstellen keine Profile und führen keine Bonitätsprüfung durch.

14.Ihre Rechte

14.1. Ihnen stehen zu: das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht auf Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO).

14.2. Datenexport. Im Kundenportal können Sie unter „Datenschutz" jederzeit selbst einen vollständigen Export Ihrer Daten als maschinenlesbare Datei herunterladen. Er enthält Ihre Stammdaten, Adressen, Boxen, Bestellungen, Nutzungsdatensätze, Sendungen samt Statusmeldungen, Rechnungen und Einzelentgelte, die Metadaten Ihrer Zahlungsmittel, Ihre Zustimmungsnachweise und die Sie betreffenden Einträge des Sicherheitsprotokolls. Nicht enthalten sind Zugangsgeheimnisse — Passwort-Hashwert, Sitzungen, Rücksetzungstoken und Code-Hashwerte —, weil deren Herausgabe die Sicherheit Ihres Kontos schwächen würde.

14.3. Löschung des Kontos. Ebenfalls im Portal unter „Datenschutz" können Sie die Löschung Ihres Kontos verlangen. Solange sich noch Boxen in unserer Obhut befinden oder offene Beträge bestehen, ist die sofortige Löschung nicht möglich; Ihr Antrag wird dann erfasst und von uns bearbeitet. Andernfalls schließen wir das Konto sofort. Dabei werden gelöscht: Ihre Adressen, die Metadaten Ihrer Zahlungsmittel, Verifizierungs- und Rücksetzungsdatensätze, alle Sitzungen, von Ihnen vergebene Boxbezeichnungen sowie IP-Adresse und Browserkennung in den Zustimmungsnachweisen. Ihre E-Mail-Adresse, Telefonnummer, Firmenname und UID werden im Konto unkenntlich gemacht und das Passwort dauerhaft unbrauchbar gesetzt; ein Login ist danach ausgeschlossen. Nicht gelöscht werden die Rechnungen samt eingefrorener Empfängerkopie und die ihnen zugrunde liegenden Bestell-, Box- und Sendungsdaten — für diese besteht die gesetzliche Aufbewahrungspflicht nach Punkt 9.

14.4. Sie können Ihre Rechte jederzeit formlos unter hello@storely.at geltend machen.

14.5. Beschwerderecht. Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
dsb.gv.at

15.Datensicherheit

15.1. Die Website ist ausschließlich über eine verschlüsselte Verbindung (HTTPS) erreichbar. Passwörter werden nur als nicht rückrechenbare Hashwerte gespeichert; von Sitzungskennungen und Einmalcodes wird ebenfalls nur ein Hashwert gespeichert, sodass diese aus der Datenbank nicht wiederhergestellt werden können.

15.2. Konten mit Verwaltungsrechten sind verpflichtend durch einen zweiten Faktor geschützt. Sicherheitskritische Vorgänge sind mengenmäßig begrenzt, um automatisierte Angriffe zu erschweren.

15.3. Zahlungsdaten werden ausschließlich beim Zahlungsdienstleister erhoben und verarbeitet und berühren unsere Systeme nicht.

16.Änderungen dieser Erklärung

16.1. Wir passen diese Erklärung an, wenn sich die tatsächliche Verarbeitung oder die rechtlichen Anforderungen ändern. Jede Fassung trägt eine Versionsnummer und ein Datum; es gilt jeweils die auf storely.at/datenschutz veröffentlichte Fassung.

16.2. Diese Erklärung wird nicht „akzeptiert": Sie informiert Sie nach Art. 13 DSGVO über unsere Verarbeitung und ersetzt keine Einwilligung.

Anschrift

We Ship Fulfillment GmbH
Frikusweg 10
8141 Premstätten bei Graz
Österreich

Firmenbuch FN 482394 d
UID AT: ATU72873027
USt-IdNr. DE: DE346119203

Datenschutz

hello@storely.at
Aufsicht: Datenschutzbehörde
Barichgasse 40–42, 1030 Wien

storely.Datenschutzerklärung Version 1.3 · September 2026 · storely.at