Der Verantwortliche für die Verarbeitung personenbezogener Daten ist:

Sitz: Via Don Fadini 2903, Urgnano (BG), Italien E-Mail: info@spingy.it

Im Zusammenhang mit dem Abschluss und der Erfüllung des Lizenzvertrags für die Nutzung der Software Spingy verarbeitet der Verantwortliche folgende Kategorien personenbezogener Daten:

• Name bzw. Firmenbezeichnung des Kundenunternehmens

• Vor- und Nachname des gesetzlichen Vertreters oder des bevollmächtigten Vertreters

• Umsatzsteuer-Identifikationsnummer

• Anschrift des Unternehmenssitzes und/oder der Betriebsstätte

• Allgemeine E-Mail-Adresse

• Telefonnummer

• Adresse der Verkaufsstelle, an der der Dienst genutzt wird

• Daten zum abgeschlossenen Abonnement (Art des Tarifs: monatlich, halbjährlich, jährlich)

• Bestellhistorie und gekaufte Produkte

• Beträge und Zahlungsmodalitäten

• Daten zu ausgestellten Rechnungen (insbesondere: Firmenname, Adresse, Umsatzsteuer-Identifikationsnummer)

• Verlauf der Kommunikation mit dem Kundendienst

• Anmeldedaten (E-Mail-Adresse und verschlüsseltes Passwort)

• Protokolldaten zum Zugriff und zur Nutzung der Software (Datum und Uhrzeit des Zugriffs, IP-Adresse, verwendeter Browser).

• Statistische und aggregierte Daten zur Nutzung der Funktionen der Software (Anzahl der generierten QR-Codes, ausgestellte Rabattgutscheine usw.)

Der Verantwortliche verarbeitet Daten zu Zahlungsmitteln (Kreditkarten, Girokonten usw.) nicht direkt. Die Zahlungen werden über die Plattform Stripe abgewickelt, die die Zahlungsdaten als eigenständiger Auftragsverarbeiter gemäß ihren eigenen Sicherheitsstandards und den PCI-DSS-Vorgaben verwaltet. Der Verantwortliche erhält von Stripe ausschließlich die Bestätigung über den Zahlungserfolg sowie die für die Rechnungsstellung erforderlichen Daten.

Personenbezogene Daten werden zu folgenden Zwecken und auf der Grundlage der folgenden Rechtsgrundlagen verarbeitet:

• Verwaltung der Registrierung und Einrichtung des Kundenkontos

• Bereitstellung der Lizenz für die Nutzung der Software und des Formats

• Verwaltung der Abonnements (Abschluss, automatische Verlängerung, Kündigung)

• Bearbeitung von Bestellungen und Abwicklung von Zahlungen

• Bereitstellung des technischen Supports

• Bereitstellung von Software-Updates

• Verwaltung der Kommunikation bezüglich des ordnungsgemäßen Betriebs des Dienstes

• Bearbeitung von Störungsmeldungen

• Ausstellung elektronischer Rechnungen sowie Erfüllung buchhalterischer und steuerlicher Verpflichtungen (D.P.R. 633/1972 und geltende Steuergesetzgebung)

• Aufbewahrung der Buchhaltungsunterlagen für die gesetzlich vorgesehenen Fristen

• Erfüllung von Verpflichtungen im Bereich der Geldwäschebekämpfung (Gesetzesdekret 231/2007), sofern anwendbar

• Einhaltung von Verpflichtungen, die sich aus Gesetzen, Verordnungen und europäischen Rechtsvorschriften ergeben

• Erfüllung von Anforderungen, die auf Anfrage von öffentlichen oder gerichtlichen Behörden gestellt werden

• Verhinderung von Betrug und unbefugter Nutzung des Dienstes

• Schutz der geistigen Eigentumsrechte des Verantwortlichen an der Software und am Format

• Rechtsverteidigung sowie Feststellung, Ausübung oder Verteidigung eines Rechts des Verantwortlichen vor Gericht oder außergerichtlich

• Überprüfung der Richtigkeit der vom Kunden bereitgestellten Rechnungsdaten und Vermeidung von Fehlern bei der elektronischen Rechnungsstellung

• Aggregierte (anonymisierte) statistische Analysen zur Verbesserung des Dienstes

• Bearbeitung von Beschwerden und Rechtsstreitigkeiten Die Bereitstellung der Daten für die unter den Buchstaben a) und b) genannten Zwecke ist für den Abschluss und die Erfüllung des Vertrags zwingend erforderlich.

Werden die Daten nicht bereitgestellt, ist es nicht möglich, den Vertrag abzuschließen und die Dienstleistung zu erbringen.

Personenbezogene Daten werden so lange gespeichert, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist, unter Beachtung der folgenden Kriterien:

• Vertragsdaten und Daten zur Nutzung des Dienstes: für die gesamte Vertragsdauer und nach dessen Beendigung für die Dauer der allgemeinen Verjährungsfrist der aus dem Vertrag resultierenden Rechte (10 Jahre gemäß Art.

2946 des italienischen Zivilgesetzbuchs), sofern keine längere Aufbewahrungsdauer zur gerichtlichen Verteidigung der Rechte des Verantwortlichen erforderlich ist.

• Buchhaltungs- und Steuerdaten: für den Zeitraum, der in den geltenden Steuer- und Buchhaltungsvorschriften vorgesehen ist (10 Jahre ab der letzten Buchung gemäß Art. 2220 des italienischen Zivilgesetzbuchs und Art. 22 des Präsidialdekrets 600/1973).

• Daten im Zusammenhang mit E-Mail-Kommunikation: für die gesamte Vertragsdauer und anschließend für den Zeitraum, der für die eventuelle Bearbeitung von Rechtsstreitigkeiten oder Anfragen der Behörde erforderlich ist.

• Protokoll- und Zugriffsdaten: für einen Zeitraum von 12 Monaten, sofern keine längere Aufbewahrung zur Aufklärung von Sicherheitsverletzungen oder unbefugter Nutzung des Dienstes erforderlich ist.

Nach Ablauf der Aufbewahrungsfristen werden die personenbezogenen Daten gelöscht oder unwiderruflich anonymisiert.

Personenbezogene Daten können an folgende Empfängerkategorien weitergegeben oder diesen zugänglich gemacht werden:

• IT- und Hosting-Dienstleister, die die technische Infrastruktur der Software verwalten

• Die Stripe-Plattform zur Zahlungsabwicklung

• E-Mail- und Kommunikationsdienstleister

• Anbieter von Backup- und Disaster-Recovery-Diensten

• Anbieter von technischen Support- und Wartungsdiensten für die Software

• Wirtschaftsprüfer, Steuerberater und Arbeitsrechtsberater des Verantwortlichen zur Erfüllung der buchhalterischen, steuerlichen und administrativen Verpflichtungen

• Vertreter, Mitarbeiter und Handelsberater des Verantwortlichen, ausschließlich für Zwecke im Zusammenhang mit der Abwicklung des Vertragsverhältnisses

• Anwaltskanzleien und Rechtsberater des Verantwortlichen zur Wahrung von Rechten vor Gericht oder außergerichtlich

• Kreditinstitute und Finanzvermittler für die Abwicklung von Zahlungen

• Öffentliche und Justizbehörden, sofern dies gesetzlich oder durch eine Anordnung der zuständigen Behörde vorgeschrieben ist.

Die zu den oben genannten Kategorien gehörenden Stellen agieren als eigenständige Verantwortliche oder, sofern ausdrücklich benannt, als Auftragsverarbeiter im Sinne von Art. 28 der DSGVO.

Der Verantwortliche greift auf Dienstleister zurück, die personenbezogene Daten in Ländern außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten können.

Insbesondere kann die Zahlungsplattform Stripe personenbezogene Daten in die Vereinigten Staaten von Amerika übermitteln, und zwar im Einklang mit den in der DSGVO vorgesehenen angemessenen Garantien (von der Europäischen Kommission gemäß Art. 46 Abs. 2 Buchstabe c DSGVO genehmigte Standardvertragsklauseln und, sofern zutreffend, Einhaltung des EU-US-Datenschutzrahmens).

Der Verantwortliche gewährleistet, dass jede Übermittlung personenbezogener Daten in Drittländer unter Einhaltung der in den Art. 44–49 der DSGVO vorgesehenen Bedingungen erfolgt, und zwar auf der Grundlage von:

• einem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO); oder

• angemessenen Garantien (Art. 46 DSGVO), wie Standardvertragsklauseln oder anderen anerkannten Rechtsinstrumenten.

Für weitere Informationen zu den getroffenen angemessenen Garantien können Sie sich unter den in Punkt 1 angegebenen Adressen an den Verantwortlichen wenden.

Die betroffene Person hat das Recht, vom Verantwortlichen in den Fällen und unter den Bedingungen, die in der DSGVO vorgesehen sind, Folgendes zu erhalten:

Das Recht, eine Bestätigung darüber zu erhalten, ob personenbezogene Daten, die sie betreffen, verarbeitet werden, und, falls ja, Auskunft über diese Daten und die mit der Verarbeitung zusammenhängenden Informationen zu erhalten.

Das Recht auf Berichtigung unrichtiger personenbezogener Daten und auf Ergänzung unvollständiger personenbezogener Daten.

• die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind

• die betroffene Person ihre Einwilligung widerruft und keine andere Rechtsgrundlage für die Verarbeitung vorliegt

• die betroffene Person der Verarbeitung widerspricht und kein überwiegendes berechtigtes Interesse an der Fortsetzung der Verarbeitung besteht

• die Daten unrechtmäßig verarbeitet wurden

• die Daten gelöscht werden müssen, um einer gesetzlichen Verpflichtung nachzukommen Das Recht auf Löschung besteht nicht, soweit die Verarbeitung für folgende Zwecke erforderlich ist:

• Erfüllung einer gesetzlichen Verpflichtung (z. B. Aufbewahrung von Buchhaltungsunterlagen)

• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen vor Gericht

• die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet

• die Verarbeitung unrechtmäßig ist und die betroffene Person der Löschung der Daten widerspricht

• die Daten für die betroffene Person erforderlich sind, um ein Recht vor Gericht geltend zu machen, auszuüben oder zu verteidigen

• die betroffene Person der Verarbeitung widersprochen hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen überwiegen

Das Recht, die dem Verantwortlichen zur Verfügung gestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, sowie das Recht, diese an einen anderen Verantwortlichen zu übermitteln, wenn:

• die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht

• die Verarbeitung automatisiert erfolgt

Das Recht, jederzeit der Verarbeitung personenbezogener Daten zu widersprechen, die auf dem berechtigten Interesse des Verantwortlichen beruht (Art. 6 Abs. 1 Buchstabe f DSGVO).

Beruht die Verarbeitung auf einer Einwilligung, hat die betroffene Person das Recht, diese Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung aufgrund der vor dem Widerruf erteilten Einwilligung beeinträchtigt wird.

Die betroffene Person hat das Recht, eine Beschwerde bei der italienischen Datenschutzbehörde (Autorità Garante per la Protezione dei Dati Personali) mit Sitz in Piazza Venezia Nr. 11, 00187 Rom, einzureichen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Website: www.garanteprivacy.it E-Mail: garante@gpdp.it PEC: protocollo@pec.gpdp.it

Zur Ausübung der in Punkt 7 genannten Rechte kann die betroffene Person einen Antrag an den Verantwortlichen richten, und zwar:

• per E-Mail: info@spingy.it

• per Einschreiben mit Rückschein an folgende Adresse: Spingy S.r.l., Via Don Fadini 2903, Urgnano (BG), Italien

Der Verantwortliche beantwortet die Anfragen der betroffenen Person unverzüglich und in jedem Fall spätestens innerhalb eines Monats nach Eingang der Anfrage. Diese Frist kann bei besonderer Komplexität des Antrags um zwei Monate verlängert werden. Die betroffene Person erhält innerhalb eines Monats nach Eingang des Antrags eine Mitteilung über die Verlängerung und deren Gründe.

Die Anträge sind kostenlos. Sind die Anträge der betroffenen Person offensichtlich unbegründet oder exzessiv, insbesondere aufgrund ihres wiederholten Charakters, kann der Verantwortliche eine angemessene Gebühr erheben oder die Erfüllung des Antrags ablehnen.

Der Verantwortliche ergreift geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau für personenbezogene Daten gemäß Art. 32 der DSGVO zu gewährleisten, darunter:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten

• Die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Systeme und Verarbeitungsdienste dauerhaft zu gewährleisten

• Die Fähigkeit, die Verfügbarkeit und den Zugriff auf personenbezogene Daten im Falle eines physischen oder technischen Vorfalls unverzüglich wiederherzustellen

• Verfahren zur regelmäßigen Prüfung, Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen

• Kontrolle des Datenzugriffs mittels personalisierter Zugangsdaten und Authentifizierungsprotokolle

• Backup- und Notfallwiederherstellungssysteme Die Passwörter werden in verschlüsselter Form gespeichert. Der Verantwortliche hat keinen Zugriff auf die unverschlüsselten Passwörter der Nutzer.

Der Verantwortliche hat keinen Datenschutzbeauftragten (Data Protection Officer – DPO) ernannt, da die Voraussetzungen gemäß Art. 37 der DSGVO nicht vorliegen.

Für jegliche Informationen oder Anfragen zum Thema Datenschutz können Sie sich direkt an den Verantwortlichen unter den in Punkt 1 angegebenen Adressen wenden.

Diese Datenschutzerklärung kann im Laufe der Zeit geändert und aktualisiert werden, auch infolge gesetzlicher Änderungen oder der Einführung neuer Funktionen des Dienstes.

Im Falle wesentlicher Änderungen wird der Verantwortliche die betroffenen Personen durch Veröffentlichung auf der Website www.spingy.it und/oder durch Zusendung einer Mitteilung per E-Mail an die vom Kunden angegebene Adresse darüber informieren.

Die aktualisierte Fassung der Datenschutzerklärung ist stets auf der Website des Verantwortlichen verfügbar.

Datum der letzten Überarbeitung: 14/10/2026