Datenschutzerklärung / Privacy Policy

Version: August 2026

Verantwortlicher im Sinne der DSGVO ist:

Lucas Gabriel Tillian, Einzelunternehmen, Marke „Nordtype™" Rebengasse 29/1, 2333 Leopoldsdorf, Österreich E-Mail: hello@nordtype.com

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Website, ihrer Inhalte und unserer Leistungen erforderlich ist oder Sie eingewilligt haben. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse) DSGVO.

Diese Website wird bei Vercel Inc. (USA) gehostet. Beim Aufruf der Website werden technisch notwendige Daten (z. B. IP-Adresse, Browsertyp, Betriebssystem, Datum und Uhrzeit des Zugriffs) in Server-Logfiles verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, fehlerfreier Betrieb). Eine Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln; mit Vercel besteht ein Auftragsverarbeitungsvertrag.

Zur statistischen Auswertung der Websitenutzung setzen wir Vercel Analytics (Vercel Inc., USA) ein. Dieser Dienst arbeitet cookielos: Es werden keine Cookies gesetzt und keine geräteseitigen Kennungen dauerhaft gespeichert. Zur Unterscheidung von Zugriffen wird aus technischen Merkmalen des Aufrufs (u. a. IP-Adresse und Browserkennung) ein pseudonymer Hashwert gebildet, der nach 24 Stunden verworfen wird. Es findet keine Zusammenführung über mehrere Tage, keine Profilbildung und keine Wiedererkennung einzelner Personen statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der datenschonenden, cookielosen Auswertung der Reichweite zur Verbesserung unseres Angebots. Sie haben das Recht, dieser Verarbeitung gemäß Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen. Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln; mit Vercel besteht ein Auftragsverarbeitungsvertrag.

Unser Online-Shop wird über die Plattform Fontdue betrieben. Fontdue verarbeitet Daten in unserem Auftrag (Auftragsverarbeiter); wir sind Verantwortlicher. Ein Auftragsverarbeitungsvertrag (Data Processing Addendum) ist bei Fontdue auf Anfrage verfügbar und wird von uns abgeschlossen.

Beim Ausliefern der Schriften protokolliert Fontdue die anfragende Domain, die geladene Schriftfamilie und -schnitt, den Ländercode (abgeleitet aus einem Cloudflare-Header, nicht aus der IP-Adresse) sowie den Zeitpunkt. Dabei werden keine Cookies gesetzt, keine Besucher identifiziert und keine IP-Adressen gespeichert.

Bei einer Bestellung werden die zur Vertragsabwicklung erforderlichen Daten (E-Mail-Adresse für Belege und Download-Links, Name und Rechnungsadresse für die Rechnung, gewählte Lizenz) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Fontdue verwendet keine klassischen Kundenkonten mit Passwort; der Zugriff auf Bestellhistorie, Rechnungen und Download-Links erfolgt über zeitlich begrenzte, kryptografisch signierte Links, die per E-Mail versendet werden.

Test-Schriften. Auf unserer Website können Sie kostenlose Testschriften herunterladen. Dazu geben Sie Ihren Namen und Ihre E-Mail-Adresse an; die Bereitstellung des Download-Archivs setzt diese Angabe technisch voraus. Name und E-Mail-Adresse werden an Fontdue übermittelt und dort am Kundendatensatz gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen angeforderten Leistung). Der Download selbst erfolgt als direkter Download über Fontdue; ein E-Mail-Versand der Schriften findet nicht statt. Zum Schutz des Formulars vor automatisierten Einsendungen verwenden wir ein sogenanntes Honeypot-Feld, das keine personenbezogenen Daten erhebt.

Fontdue nutzt Cloudflare (Cloudflare, Inc., USA) für die Auslieferung von Inhalten (CDN) und zum Schutz vor Angriffen. Cloudflare verarbeitet dabei die IP-Adresse der Besucher, um den Ländercode zu bestimmen und die Sicherheit der Website zu gewährleisten. An Fontdue wird nur der Ländercode übermittelt, nicht die IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, fehlerfreier Betrieb). Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: https://www.cloudflare.com/privacypolicy/

Zahlungen werden über Stripe (Stripe Payments Europe Ltd., Irland; Stripe Inc., USA) abgewickelt. Die zur Zahlung erforderlichen Daten werden direkt an Stripe übermittelt und dort verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Es gilt die Datenschutzerklärung von Stripe: https://stripe.com/privacy

Unser Shop setzt ein technisch notwendiges Session-Cookie (_fontdue_session) ein. Es speichert den Warenkorb über die Seitenaufrufe hinweg, enthält keine personenbezogenen Daten und wird beim Schließen des Browsers gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021 (technisch erforderlich, keine Einwilligung nötig).

Cookies und Dienste, die nicht technisch notwendig sind (insbesondere die nachstehend beschriebene Reichweitenmessung und das serverseitige Conversion-Tracking via Meta), werden erst nach Ihrer aktiven Einwilligung über unser Consent-Banner gesetzt bzw. ausgelöst. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) setzen wir die Reichweitenmessung von Fontdue ein. Dabei werden Nutzungsdaten erhoben: Seitenaufrufe (URL, Pfad, Titel, Referrer), konfigurierte Ereignisse (z. B. Klicks), Browserinformationen (User-Agent), der Ländercode (aus einem Cloudflare-Header, ohne Speicherung der IP-Adresse) sowie Kampagnenparameter (UTM-Parameter, Klick-IDs wie gclid/fbclid). Besucher erhalten eine zufällige, pseudonyme Kennung (UUID), die nach Angaben von Fontdue nicht mit personenbezogenen Daten verknüpft wird. Hierfür wird das Cookie _fontdue_state gesetzt (pseudonyme Kennung und Erstkontakt-Kampagnendaten, Laufzeit 1 Jahr, verschlüsselt, HttpOnly, Secure, SameSite=None). Das Cookie wird erst nach Ihrer Einwilligung über das Consent-Banner gesetzt; Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Fontdue verarbeitet diese Daten als Auftragsverarbeiter in unserem Auftrag.

Auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) übermitteln wir Kaufdaten an die Conversions API von Meta (Meta Platforms Ireland Ltd.), um die Wirksamkeit unserer Werbeanzeigen zu messen. Die Übermittlung erfolgt serverseitig: Nach einem abgeschlossenen Kauf sendet unser Shop-Dienstleister Fontdue ein Kauf-Ereignis (Bestellwert, Währung sowie Ihre per SHA-256 pseudonymisierte E-Mail-Adresse) an Meta. Es ist derzeit kein clientseitiges Browser-Pixel im Einsatz; es findet insbesondere keine clientseitige Erfassung von Seitenaufrufen statt.

Die Übermittlung erfolgt ausschließlich, wenn Sie zuvor über unser Consent-Banner eingewilligt haben; ohne Einwilligung wird kein Ereignis an Meta gesendet. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Verantwortlicher für die Einbindung sind wir; für die anschließende Verarbeitung durch Meta besteht eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) auf Basis der von Meta bereitgestellten Vereinbarung. Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: https://www.facebook.com/privacy/policy

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen Informationen zu Nordtype (z. B. neue Schriften und Angebote) zu senden. Weitere Daten wie Ihr Name werden dabei nicht erhoben; die Anmeldung erfordert ausschließlich Ihre E-Mail-Adresse. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Ihrer Anmeldung (über das Formular auf der Website, eine entsprechende Option im Bestellvorgang oder eine optionale Checkbox beim Download von Testschriften) erhalten Sie eine E-Mail mit der Bitte, Ihre Anmeldung durch Anklicken eines Bestätigungslinks zu bestätigen. Erst nach dieser Bestätigung nehmen wir Sie in den Verteiler auf. Die Newsletter-Anmeldung ist stets freiwillig und nicht Voraussetzung für den Download von Testschriften oder einen Kauf. Zum Nachweis der Einwilligung speichern wir jeweils Zeitpunkt und IP-Adresse der Anmeldung und der Bestätigung, den Wortlaut der Einwilligungserklärung sowie deren Quelle.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Abmeldelink am Ende jedes Newsletters anklicken oder uns unter hello@nordtype.com kontaktieren.

Für den Versand nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Die Anmeldedaten werden zudem beim Übertragen durch unseren Hosting-Dienstleister Vercel (Vercel Inc., USA) verarbeitet. Die Daten werden in den USA gespeichert (der Versand erfolgt über die EU-Region Irland, die Speicherung der Kontakt- und Einwilligungsdaten jedoch in den USA). Die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework sowie der EU-Standardvertragsklauseln.

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die übermittelten Daten zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche, regelmäßig 7 Jahre) bestehen.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Erteilte Einwilligungen können Sie jederzeit widerrufen. Sie haben zudem das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (www.dsb.gv.at).

The controller within the meaning of the GDPR is:

Lucas Gabriel Tillian, sole proprietorship, brand “Nordtype™” Rebengasse 29/1, 2333 Leopoldsdorf, Austria Email: hello@nordtype.com

We process personal data only insofar as necessary to provide the website, its content and our services, or where you have consented. Legal bases are in particular Art. 6(1)(a) (consent), (b) (performance of a contract), (c) (legal obligation) and (f) (legitimate interest) GDPR.

This website is hosted by Vercel Inc. (USA). When the website is accessed, technically necessary data (e.g. IP address, browser type, operating system, date and time of access) is processed in server log files. The legal basis is Art. 6(1)(f) GDPR (secure, error-free operation). Data transfer to the USA is based on the EU Standard Contractual Clauses; a data processing agreement is in place with Vercel.

To analyse website usage statistically, we use Vercel Analytics (Vercel Inc., USA). This service is cookieless: it sets no cookies and stores no persistent device-side identifiers. To distinguish visits, a pseudonymous hash is derived from technical characteristics of the request (including IP address and browser identifier) and discarded after 24 hours. There is no aggregation across days, no profiling and no recognition of individual persons.

The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in the privacy-friendly, cookieless measurement of reach to improve our offering. You have the right to object to this processing under Art. 21 GDPR on grounds relating to your particular situation. Transfer to the USA is based on the EU Standard Contractual Clauses; a data processing agreement is in place with Vercel.

Our online shop is operated via the Fontdue platform. Fontdue processes data on our behalf (as a processor); we are the controller. A Data Processing Addendum is available from Fontdue on request and is concluded by us.

When serving fonts, Fontdue logs the requesting domain, the font family and style loaded, the country code (derived from a Cloudflare header, not from the IP address) and the timestamp. No cookies are set, no visitors are identified and no IP addresses are stored in this process.

When you place an order, the data required to process the contract (email address for receipts and download links, name and billing address for invoicing, the selected licence) is processed. The legal basis is Art. 6(1)(b) GDPR. Fontdue does not use traditional customer accounts with passwords; access to order history, invoices and download links is provided via time-limited, cryptographically signed links sent by email.

Test fonts. You can download free test fonts on our website. To do so, you provide your name and email address; provision of the download archive technically requires this information. Your name and email address are transmitted to and stored by Fontdue in the customer record. The legal basis is Art. 6(1)(b) GDPR (provision of the service you requested). The download itself is a direct download via Fontdue; the fonts are not sent by email. To protect the form against automated submissions, we use a honeypot field, which collects no personal data.

Fontdue uses Cloudflare (Cloudflare, Inc., USA) for content delivery (CDN) and protection against attacks. In doing so, Cloudflare processes visitors’ IP addresses to determine the country code and to ensure the security of the website. Only the country code is passed on to Fontdue, not the IP address. The legal basis is Art. 6(1)(f) GDPR (secure, error-free operation). Transfer to the USA is based on the EU Standard Contractual Clauses. Further information: https://www.cloudflare.com/privacypolicy/

Payments are processed via Stripe (Stripe Payments Europe Ltd., Ireland; Stripe Inc., USA). The data required for payment is transmitted directly to and processed by Stripe. The legal basis is Art. 6(1)(b) GDPR. Data transfer to the USA is based on the EU Standard Contractual Clauses. Stripe’s privacy policy applies: https://stripe.com/privacy

Our shop uses a technically necessary session cookie (_fontdue_session). It stores the shopping cart across page loads, contains no personal data and is deleted when the browser is closed. The legal basis is Art. 6(1)(f) GDPR and § 165(3) of the Austrian Telecommunications Act 2021 (technically required, no consent needed).

Cookies and services that are not technically necessary (in particular the web analytics and the server-side conversion tracking via Meta described below) are set or triggered only after your active consent via our consent banner. You may withdraw your consent at any time with effect for the future.

On the basis of your consent (Art. 6(1)(a) GDPR), we use Fontdue's web analytics. This collects usage data: page views (URL, path, title, referrer), configured events (e.g. clicks), browser information (user agent), the country code (from a Cloudflare header, without storing the IP address) and campaign parameters (UTM parameters, click identifiers such as gclid/fbclid). Visitors are assigned a random, pseudonymous identifier (UUID) which, according to Fontdue, is not linked to any personal data. For this purpose the cookie _fontdue_state is set (pseudonymous identifier and first-touch campaign data, lifetime 1 year, encrypted, HttpOnly, Secure, SameSite=None). The cookie is set only after your consent via the consent banner; you may withdraw your consent at any time with effect for the future. Fontdue processes this data as a processor on our behalf.

On the basis of your consent (Art. 6(1)(a) GDPR), we transmit purchase data to Meta's Conversions API (Meta Platforms Ireland Ltd.) in order to measure the effectiveness of our advertising. The transmission takes place server-side: after a completed purchase, our shop provider Fontdue sends a purchase event (order value, currency and your SHA-256-pseudonymised email address) to Meta. No client-side browser pixel is currently in use; in particular, there is no client-side tracking of page views.

The transmission only takes place if you have previously consented via our consent banner; without consent, no event is sent to Meta. You may withdraw your consent at any time with effect for the future.

We are responsible for the integration; for the subsequent processing by Meta there is joint controllership (Art. 26 GDPR) based on the agreement provided by Meta. Transfer to the USA is based on the EU Standard Contractual Clauses. Further information: https://www.facebook.com/privacy/policy

If you subscribe to our newsletter, we process your email address to send you information about Nordtype (e.g. new typefaces and offers). No further data such as your name is collected; signup requires only your email address. The legal basis is your consent (Art. 6(1)(a) GDPR).

Signup uses a double opt-in procedure: after you sign up (via the form on the website, a corresponding option during checkout, or an optional checkbox when downloading test fonts), you receive an email asking you to confirm your subscription by clicking a confirmation link. Only after this confirmation do we add you to the mailing list. Newsletter signup is always voluntary and is not a condition for downloading test fonts or making a purchase. As proof of consent, we store the time and IP address of both the signup and the confirmation, the wording of the consent statement, and its source.

You may withdraw your consent at any time with effect for the future by clicking the unsubscribe link at the end of each newsletter or by contacting us at hello@nordtype.com.

For sending, we use Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) as a processor; a data processing agreement under Art. 28 GDPR is in place. The signup data is also processed in transit by our hosting provider Vercel (Vercel Inc., USA). The data is stored in the USA (emails are dispatched via the EU region in Ireland, but the contact and consent data is stored in the USA). Transfer to the USA is based on the EU-U.S. Data Privacy Framework and the EU Standard Contractual Clauses.

If you contact us by email, we process the transmitted data to handle your enquiry (Art. 6(1)(b) or (f) GDPR).

We store personal data only as long as necessary for the respective purposes or as required by statutory retention obligations (in particular tax and commercial law, generally 7 years).