Datenschutzerklärung

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:
Phoenix Ecom (Einzelunternehmen (eenmanszaak) nach niederländischem Recht), handelnd unter OrtsAtelier
Inhaber: Matteo Not
Schilkampen 9, 8924 BC Leeuwarden, Niederlande
E-Mail: info@ortsatelier.de
Telefon: +31 6 11964965

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen bei unserer Größe nicht vor: das Unternehmen ist ein Einzelunternehmen ohne weitere mit der Datenverarbeitung beschäftigte Personen.

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Bei Cookies genügt dafür ein Klick auf die Schaltfläche in Abschnitt 8. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Für alle Anliegen genügt eine formlose Nachricht an info@ortsatelier.de.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Da wir unseren Sitz in den Niederlanden haben, ist für uns die niederländische Datenschutzbehörde zuständig: Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, Niederlande. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

Beim Aufruf einer Seite überträgt Ihr Browser technisch notwendige Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Ohne diese Angaben lässt sich eine Seite nicht ausliefern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der technische Betrieb und die Abwehr von Angriffen. Die Protokolle werden nach 30 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

Shop und Datenbank laufen bei Google Cloud (Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland) in der Region europe-west4 in Eemshaven, Niederlande, also innerhalb der EU. Wir haben mit Google einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Für Zugriffe aus Drittländern, die sich im Rahmen von Betrieb und Support nicht vollständig ausschließen lassen, gelten Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, verfügbaren Shop) und, soweit es um die Abwicklung Ihrer Bestellung geht, Art. 6 Abs. 1 lit. b DSGVO.

Die Bilder auf diesen Seiten liegen in einem Speicher-Bucket derselben Google-Cloud-Umgebung (europe-west4) und werden direkt von dort geladen. Google erfährt dabei Ihre IP-Adresse und die Browserkennung, weil sich ohne sie keine Datei zustellen lässt. Cookies werden dabei nicht gesetzt, Profile nicht gebildet und Wiedererkennungsmerkmale nicht vergeben.

Wir nennen das ausdrücklich, weil es auch dann geschieht, wenn Sie Statistik und Marketing ablehnen: das Ausliefern der von Ihnen angeforderten Seite ist Vertragsanbahnung beziehungsweise berechtigtes Interesse (Art. 6 Abs. 1 lit. b und lit. f DSGVO) und keine Frage der Einwilligung.

Alle Schriftarten liefern wir von unserem eigenen Server aus. Es entsteht dabei keine Verbindung zu Google Fonts oder einem anderen fremden Server, und es wird keine IP-Adresse an Dritte übertragen.

Cookies sind kleine Einträge, die eine Seite in Ihrem Browser ablegt. Solche Einträge und vergleichbare Kennungen speichern oder lesen wir auf Ihrem Gerät nur, wenn das für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG) oder Sie eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Beim ersten Besuch fragen wir Sie. Ablehnen ist genauso einfach und genauso sichtbar wie Zustimmen. Ihre Entscheidung speichern wir sechs Monate lang im Cookie oa_consent, für Zustimmung und Ablehnung gleich lang.

Was nicht notwendig ist, laden wir erst nach Ihrer Einwilligung, mit einer Ausnahme: Das Google-Tag wird auf jeder Seite geladen, schon bevor Sie entschieden haben, und auch dann, wenn Sie ablehnen. Über dieses Tag laufen Google Analytics und Google Ads (Abschnitte 14 und 17). Soweit Sie nicht eingewilligt haben, setzt es keine Cookies für Statistik oder Werbung und liest keine aus; an Google sendet es dann nur Signale ohne Cookies und ohne Gerätekennung. Welche Angaben das sind und auf welcher Rechtsgrundlage das geschieht, steht in Abschnitt 14.

Das Einwilligungswerkzeug haben wir selbst gebaut; es bindet keinen weiteren Dienstleister ein. Zum Nachweis nach Art. 7 Abs. 1 DSGVO speichern wir zu jeder Entscheidung eine zufällige Kennung, die gewählten Kategorien, die Version dieser Erklärung und den Zeitpunkt. Bewusst nicht gespeichert werden dabei Ihre IP-Adresse, Ihre Browserkennung und jede Verbindung zu einem Konto oder einer Bestellung. Ein Nachweis über abgelehnte Datenverarbeitung darf nicht selbst zur Datensammlung werden. Diese Einträge löschen wir nach drei Jahren.

Widerrufen Sie eine Einwilligung, löschen wir die Statistik- und Marketing-Cookies auf unserer Domain sowie unseren Eintrag im lokalen Speicher Ihres Browsers und laden die Seite neu. Das Google-Tag folgt ab dann Ihrer neuen Auswahl. Cookies, die Google, Meta oder Pinterest auf ihren eigenen Domains gesetzt haben, können wir nicht löschen. Personalisierte Werbung von Google können Sie zusätzlich in Ihrem Google-Konto unter myadcenter.google.com abschalten.

Zusätzlich können Sie Cookies jederzeit in Ihrem Browser löschen oder blockieren. Löschen Sie oa_consent, fragen wir Sie beim nächsten Besuch erneut.

Legen Sie etwas in den Warenkorb, speichern wir die Auswahl und verknüpfen sie über ein Cookie mit Ihrem Browser. Bestellen Sie, verarbeiten wir Vor- und Nachname, Liefer- und Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, die bestellten Artikel mit dem gewählten Ort und den Bestellwert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; ohne diese Angaben können wir den Vertrag nicht erfüllen. Für Rechnungs- und Buchungsdaten kommt Art. 6 Abs. 1 lit. c DSGVO hinzu: § 147 AO und § 257 HGB verpflichten uns zur Aufbewahrung.

Ein Konto ist freiwillig; Sie können auch als Gast bestellen. Legen Sie eines an, speichern wir Name, E-Mail-Adresse, Passwort (ausschließlich als nicht rückrechenbarer Hash), Adressen und Ihre Bestellhistorie, damit Sie sie einsehen können und Adressen nicht erneut eintippen müssen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihr Konto jederzeit löschen lassen; Daten, die wir handels- und steuerrechtlich aufbewahren müssen, bleiben bis zum Ablauf der Fristen gesperrt erhalten.

Zwischen dem Absenden des Registrierungsformulars und der Bestätigung liegen Ihre Angaben kurzzeitig in einem Cookie Ihres Browsers (siehe _medusa_pending_customer in der Tabelle oben); es wird nach der Bestätigung ungültig, spätestens nach 24 Stunden.

Karte, Apple Pay, Google Pay, Überweisung und Kauf auf Rechnung wickeln wir über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab; PayPal direkt mit PayPal (unten). Wählen Sie eine Zahlart, werden die dafür nötigen Daten (Bestellnummer, Betrag, Name und je nach Zahlart Bank- oder Kartendaten) direkt an den Dienstleister übermittelt, der insoweit eigenverantwortlich handelt und dessen Datenschutzhinweise gelten.

Vollständige Kartennummern erreichen unsere Server nicht und werden von uns nicht gespeichert. Bei Apple Pay und Google Pay leiten wir einen verschlüsselten Zahlungsschlüssel, den nur Mollie lesen kann, unverändert an Mollie weiter; auch er wird bei uns nicht gespeichert (dazu Abschnitte 24 und 25). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Beim Kauf auf Rechnung übermittelt Mollie die Bestelldaten, Ihren Namen, Ihre Anschrift, Ihre E-Mail-Adresse und, falls angegeben, Ihre Telefonnummer an die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Klarna prüft damit Ihre Identität und Bonität und entscheidet, ob sie Ihnen den Kauf auf Rechnung anbietet; sie handelt dabei in eigener Verantwortung. Einzelheiten, auch zu Ihren Rechten gegenüber Klarna und zur Logik der Bonitätsprüfung, stehen in den Datenschutzhinweisen von Klarna. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei Zahlung mit PayPal (auch „Später bezahlen“ und Lastschrift über PayPal) wickelt die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, die Zahlung ab. Wir übermitteln dazu die Bestellpositionen, den Betrag und, wenn Sie Ihre Anschrift bei uns eingegeben haben, Ihren Namen und Ihre Lieferanschrift. Bezahlen Sie direkt von der Produktseite oder aus dem Warenkorb, übermittelt PayPal uns umgekehrt Ihren Namen, Ihre E-Mail-Adresse, Ihre Lieferanschrift und, falls hinterlegt, Ihre Telefonnummer, damit wir die Bestellung ausliefern können. Bei „Später bezahlen“ und Lastschrift kann PayPal Ihre Identität und Bonität prüfen. Für die PayPal-Schaltflächen lädt diese Seite ein Skript von PayPal; dabei erhält PayPal technische Daten wie Ihre IP-Adresse und kann für die Zahlung notwendige Cookies setzen. PayPal handelt in eigener Verantwortung; es gelten die Datenschutzhinweise von PayPal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für das Skript, § 25 Abs. 2 Nr. 2 TDDDG.

Unsere Artikel entstehen erst nach Ihrer Bestellung. Für Druck, Gravur, Verpackung und Versand arbeiten wir mit einem Produktions- und Versandpartner mit Sitz in Deutschland zusammen. Wir übermitteln dorthin die Bestellpositionen sowie Ihren Namen und Ihre Lieferanschrift; der Partner fertigt die Ware und versendet sie unmittelbar an Sie. Die Ware durchläuft unser eigenes Haus nicht.

Der Partner ist unser Auftragsverarbeiter. Ein Vertrag nach Art. 28 DSGVO wird mit ihm geschlossen; bis dahin erfolgt die Übermittlung ausschließlich zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO.

Für die Zustellung beauftragt der Produktionspartner seinerseits ein Versandunternehmen und gibt diesem Ihren Namen, die Lieferanschrift und, sofern Sie sie angeben, E-Mail-Adresse oder Telefonnummer weiter, damit die Sendung zugestellt und angekündigt werden kann.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO.

Schreiben Sie uns, verarbeiten wir Ihre Nachricht samt Absender und Kontaktdaten, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie erledigt ist und keine Aufbewahrungspflicht entgegensteht.

Wir setzen Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Wir erfahren dadurch, welche Seiten gefunden werden, über welchen Weg Besucher kommen, welche Artikel angesehen und bestellt werden und an welcher Stelle ein Bestellvorgang abgebrochen wird. Google Analytics ist über das Google-Tag eingebunden, über das auch Google Ads läuft (Abschnitt 17). Dabei nutzen wir den Einwilligungsmodus von Google (Consent Mode) in der erweiterten Form: Das Google-Tag wird auf jeder Seite geladen und richtet sich nach Ihrer Cookie-Entscheidung.

Ohne Ihre Einwilligung

Das Google-Tag setzt dann keine Cookies, liest keine aus und vergibt keine Kennung, mit der sich Ihr Browser wiedererkennen ließe. An Google sendet es nur Signale ohne eine solche Kennung: den Zeitpunkt, Titel und vollständige Adresse der aufgerufenen Seite (mit einer Klick-Kennung, wenn Sie über eine Google-Anzeige gekommen sind), die zuvor besuchte Seite, Ihren Einwilligungsstatus, eine bei jedem Seitenaufruf neu erzeugte Zufallszahl, technische Angaben zu Browser und Gerät, etwa Browsertyp und Spracheinstellung, und was Sie im Shop tun, mit denselben Angaben zu Artikeln, Suche und Bestellung wie unter „Mit Ihrer Einwilligung“ beschrieben. Wie bei jeder Verbindung erhält Google dabei Ihre IP-Adresse. Google nutzt diese Signale, um zu schätzen, wie viele Besuche und Bestellungen es insgesamt gab, einschließlich der Besucher ohne Einwilligung.

Damit die Herkunft aus einer Anzeige auch ohne Cookies nicht verloren geht, hängt das Google-Tag eine solche Klick-Kennung an Links innerhalb unseres Shops an. Sie steht dann auch in der Adresse der nächsten Seite.

Rechtsgrundlage für diese Signale ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, auch ohne Cookies zu erfahren, wie viele Besuche und Bestellungen es gibt und welche Werbung wirkt. Sie können dem jederzeit widersprechen (Art. 21 DSGVO): Schalten Sie in den Cookie-Einstellungen (Abschnitt 8) die „Messung ohne Cookies“ aus. Solange Sie weder Statistik noch Marketing zustimmen, laden wir das Google-Tag in diesem Browser dann nicht mehr, und es gehen keine Signale an Google. Zusätzlich können Sie Inhalte von googletagmanager.com in Ihrem Browser blockieren, etwa mit einem Werbeblocker.

Mit Ihrer Einwilligung

Willigen Sie unter „Statistik“ ein, setzt Google Analytics die Cookies _ga und _ga_<ID>. Sie enthalten eine zufällige Kennung, mit der Google Analytics Ihren Browser bei weiteren Besuchen wiedererkennt, und Angaben zur laufenden Sitzung. Verarbeitet werden dann diese Kennung, die aufgerufenen Seiten, die Verweildauer, Gerät und Browser sowie der ungefähre Standort. Ihre IP-Adresse speichert Google Analytics nach eigenen Angaben nicht; es leitet daraus nur den ungefähren Standort ab und erkennt daran unsere eigenen Besuche, die wir aus der Statistik herausfiltern.

Zum Einkauf erhält Google Analytics, welche Artikel Sie in Übersichten sehen und anklicken, ansehen, in den Warenkorb legen, daraus entfernen und bestellen (Artikelnummer, Bezeichnung mit dem gewählten Ort, Produktart, Variante, Preis und Menge), den Ort oder die Postleitzahl, die Sie in der Ortssuche auswählen, das Ergebnis einer Suche mit „Meinen Standort verwenden“ (ohne den Standort selbst) und die gewählte Versand- und Zahlart. Beim Kauf kommen eine aus der Bestellung abgeleitete Kennung, der Warenwert ohne Mehrwertsteuer und Versand, die Beträge für Steuer und Versand sowie Rabatte und Gutscheincodes hinzu. Aus der abgeleiteten Kennung lässt sich die interne Kennung der Bestellung nicht zurückrechnen.

Ist ein Kauf nicht schon über Ihren Browser mit den Statistik-Cookies bei Google Analytics angekommen, etwa weil eine Überweisung erst Tage später eingeht, die Bestätigungsseite nicht oder auf einem anderen Gerät geöffnet wurde oder die Meldung im Browser blockiert war, melden wir ihn mit denselben Angaben von unserem eigenen Server (Measurement Protocol). Wird eine gemeldete Bestellung storniert oder vollständig erstattet, melden wir auch das. Dafür speichern wir beim Start der Zahlung Ihre Cookie-Auswahl samt Zeitpunkt und, nur wenn Sie unter „Statistik“ eingewilligt haben, die Kennungen aus _ga und _ga_<ID>; diese Angaben gehen in die Bestellung über. Ohne diese Einwilligung meldet unser Server nichts. Er übermittelt weder Ihre IP-Adresse noch Ihre Kontaktdaten, wohl aber Ihre Auswahl unter „Marketing“, nach der sich richtet, ob Google die Meldung auch für Google Ads nutzen darf.

Widerrufen Sie Ihre Einwilligung nach dem Start der Zahlung, aber bevor Sie die Bestellbestätigung öffnen, erfährt unser Server das, sobald Sie die Bestätigung in diesem Browser öffnen, und meldet den Kauf dann nicht. Einen späteren Widerruf erfährt er nicht mehr. Sollen wir zu einer Bestellung nichts mehr melden, genügt eine Nachricht an info@ortsatelier.de.

Speicherdauer, Verknüpfungen, Rechtsgrundlage

Daten, die sich einem Browser zuordnen lassen, bewahrt Google Analytics 14 Monate auf; kommt derselbe Browser wieder, beginnt die Frist neu. Zusammengefasste Berichte ohne Bezug zu einzelnen Besuchern bleiben danach erhalten. Die mit einer Bestellung gespeicherten Kennungen brauchen wir nur, solange wir einen Kauf oder seine Erstattung noch melden können; wir löschen sie spätestens sechs Monate nach der Bestellung (Abschnitt 19). Google-Signale, mit denen Google Besuche angemeldeten Google-Konten zuordnen würde, sind deaktiviert.

Wir verknüpfen Google Analytics mit unserem Google-Ads-Konto und unserem Google Merchant Center. So übernimmt Google Ads Käufe aus Google Analytics als Conversions, und wir sehen, welche Anzeigen und welche Artikel aus unserem Produktkatalog zu Besuchen und Käufen geführt haben. Für Remarketing-Zielgruppen in Google Ads wird Ihr Besuch nur verwendet, wenn Sie auch unter „Marketing“ eingewilligt haben (Abschnitt 17).

Rechtsgrundlage für die Verarbeitung mit Ihrer Einwilligung, einschließlich der Meldung von unserem Server, ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen (Abschnitt 8) mit Wirkung für die Zukunft widerrufen. Mit Google besteht für Google Analytics ein Vertrag zur Auftragsverarbeitung; soweit Daten über die Verknüpfung an Google Ads gehen, gilt Abschnitt 17. Eine Übermittlung in die USA ist möglich und stützt sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework.

PostHog: Nutzungsanalyse und Sitzungsaufzeichnungen

Nur mit Ihrer Einwilligung unter „Statistik“. Ohne sie wird PostHog nicht geladen und es entsteht keine Verbindung zu PostHog. Anbieter ist die PostHog, Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA. Wir nutzen die EU-Cloud von PostHog; die Daten werden in Frankfurt am Main gespeichert.

Willigen Sie ein, zeichnet PostHog auf, wie Sie unsere Seiten nutzen: welche Seiten Sie aufrufen, Mausbewegungen, Klicks, Scrollen und Seitenwechsel sowie den Aufbau der Seite, wie Sie ihn sehen. Daraus können wir einen Besuch als Ablauf nachvollziehen und erkennen, wo der Shop unklar ist, etwas nicht funktioniert oder eine Bestellung abgebrochen wird. Dazu kommen technische Angaben zu Browser und Gerät, die Bildschirmgröße und die Seite, von der Sie gekommen sind. Tritt auf einer Seite ein technischer Fehler auf, erhält PostHog außerdem die Fehlermeldung und die Stelle im Programmcode, an der er auftrat, damit wir ihn beheben können. PostHog speichert dafür eine zufällige Kennung im lokalen Speicher Ihres Browsers (ph_<Schlüssel>_posthog), mit der sich die Seitenaufrufe eines Besuchs zusammenführen lassen und Ihr Browser bei einem weiteren Besuch wiedererkannt wird. Wir verknüpfen diese Kennung nicht mit Ihrem Kundenkonto oder Ihren Bestellungen und legen dazu kein Profil mit Ihrem Namen an.

Was Sie in Formulare eingeben, macht PostHog schon in Ihrem Browser unkenntlich, bevor etwas übertragen wird. Was die Seite danach anzeigt, wird mit aufgezeichnet, im Bestellvorgang etwa die eingegebene Liefer- und E-Mail-Adresse, auf Bestellbestätigung, Bestellseiten und im Kundenkonto auch Name und Anschrift. Zahlungsdaten geben Sie nur bei unseren Zahlungsanbietern in deren eigenen Fenstern ein; diese werden nicht aufgezeichnet. Bestellnummern und andere Kennungen entfernen wir vor der Übertragung aus den Seitenadressen. Konsolenmeldungen und Inhalte von Netzwerkanfragen zeichnen wir nicht auf, und die Speicherung von IP-Adressen ist abgeschaltet.

Einen Teil der Aufzeichnungen lassen wir automatisch auswerten, um Stellen zu finden, an denen der Shop nicht funktioniert oder Besucher nicht weiterkommen, etwa Fehlermeldungen, Probleme bei der Adresseingabe oder Darstellungsfehler auf kleinen Bildschirmen. PostHog übergibt die Aufzeichnung dafür als Video an ein KI-Modell seines Unterauftragsverarbeiters Google LLC (Gemini) in den USA. Das Ergebnis ist eine kurze Einordnung des Besuchs, die bei PostHog gespeichert wird; wir verwenden sie nicht, um Entscheidungen über Sie als Person zu treffen.

Aufzeichnungen löschen wir nach 30 Tagen, die übrigen Nutzungsdaten nach spätestens 12 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen (Abschnitt 8) widerrufen. Dann wird PostHog nicht mehr geladen, und wir löschen seine Einträge in Ihrem Browser. Mit PostHog besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Ein Zugriff aus den USA ist möglich und stützt sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework, an dem PostHog teilnimmt.

Nur mit Ihrer Einwilligung. Ohne sie wird kein Meta-Skript geladen und es entsteht keine Verbindung zu Meta.

Willigen Sie ein, verwenden wir den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Er misst, ob ein Besuch aus einer Anzeige auf Facebook oder Instagram zu einer Bestellung geführt hat, und ermöglicht es, Anzeigen an ähnliche Zielgruppen auszuspielen. Übertragen werden eine Cookie-Kennung, die aufgerufene Adresse, das ausgelöste Ereignis (Seitenaufruf, Artikel angesehen, in den Warenkorb gelegt), die Artikelnummern und die Anzahl der betroffenen Artikel und ihr Wert, außerdem die technischen Angaben, die jede Verbindung mit sich bringt. Auf den Seiten des Bestellvorgangs, der Bestellbestätigung und des Kundenkontos wird der Meta-Pixel nicht geladen; eine Bestellnummer erhält Meta nicht. Die Funktionen, mit denen der Meta-Pixel von sich aus Klicks, Seiteninhalte oder Formularfelder erfasst, haben wir abgeschaltet.

Für die Erhebung und die Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO; die Vereinbarung dazu ist Bestandteil der Meta-Geschäftsbedingungen. Für die weitere Verarbeitung durch Meta ist Meta allein verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Eine Übermittlung in die USA ist möglich und stützt sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework; ein dem europäischen Niveau entsprechender Schutz lässt sich dort nicht in jedem Fall garantieren.

Nur mit Ihrer Einwilligung. Ohne sie wird kein Pinterest-Skript geladen, es entsteht keine Verbindung zu Pinterest, und wir melden Pinterest auch keinen Kauf.

Willigen Sie unter „Marketing“ ein, verwenden wir das Pinterest-Tag und die Conversions-API der Pinterest Europe Ltd., Palmerston House, Fenian Street, Dublin 2, Irland. Damit messen wir, ob eine Anzeige auf Pinterest zu einem Besuch, einem Artikel im Warenkorb oder einer Bestellung geführt hat, bilden Zielgruppen, um Ihnen auf Pinterest Anzeigen zu Artikeln zu zeigen, die Sie bei uns angesehen haben (Retargeting), und lassen Pinterest die Ausspielung unserer Anzeigen danach ausrichten.

Das Pinterest-Tag setzt die Cookies _pin_unauth, _epik und _derived_epik (je ein Jahr, siehe die Tabelle in Abschnitt 8) und überträgt deren Kennungen, die aufgerufene Adresse und die zuvor besuchte Seite, das Ereignis (Artikel angesehen, in den Warenkorb gelegt), die Artikelnummern, Bezeichnungen, Mengen und Preise ohne Mehrwertsteuer, den Wert des Warenkorbs sowie die technischen Angaben, die jede Verbindung mit sich bringt, darunter Ihre IP-Adresse und die Browserkennung. Auf Kasse, Bestellbestätigung, Kundenkonto und den übrigen Seiten, deren Adresse eine Bestellnummer oder einen anderen Schlüssel enthalten kann, laden wir das Tag nicht und senden nichts; Bestellnummern erreichen Pinterest so nicht. Die Funktionen, mit denen das Tag von sich aus weitere Ereignisse oder Formularfelder erfasst, haben wir abgeschaltet.

Einen Kauf meldet nicht Ihr Browser, sondern unser Server über die Conversions-API von Pinterest, und nur, wenn Sie beim Start der Zahlung unter „Marketing“ eingewilligt hatten. Übermittelt werden dann Ihre E-Mail-Adresse, und zwar nur als SHA-256-Hashwert, Ihre IP-Adresse und die Browserkennung, der Bestellwert ohne Mehrwertsteuer und Versand, die Artikelnummern und die Anzahl der Artikel sowie die aus der Bestellung abgeleitete Kennung (Abschnitt 14), mit der Pinterest eine doppelte Meldung erkennt. Pinterest gleicht den Hashwert mit den Daten seiner Nutzerkonten ab, um den Kauf einer Anzeige zuzuordnen. Ein Hashwert ist keine Anonymisierung: Wer dieselbe Adresse kennt, kann ihn zuordnen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen (Abschnitt 8) mit Wirkung für die Zukunft widerrufen; dann löschen wir die genannten Cookies auf unserer Domain. Pinterest kann die Daten auch durch die Pinterest, Inc. in den USA verarbeiten. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln; ein dem europäischen Niveau entsprechender Schutz lässt sich dort nicht in jedem Fall garantieren. Wie Pinterest die Daten verwendet, beschreibt die Datenschutzerklärung von Pinterest.

Cookies und personalisierte Werbung nur mit Ihrer Einwilligung. Ohne Einwilligung unter „Marketing“ setzt Google Ads keine Cookies, liest keine aus, erhält keine Kontaktdaten und nutzt Ihren Besuch nicht für personalisierte Anzeigen. Das Google-Tag wird trotzdem geladen und sendet die Signale ohne Cookies aus Abschnitt 14, auch zu einem Kauf; aus den Signalen an Google Ads entfernt es dabei die Klick-Kennungen.

Willigen Sie ein, nutzen wir Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für vier Zwecke:

• Conversion-Messung. Kommen Sie über eine unserer Anzeigen, legt Google die Klick-Kennung in _gcl_aw oder _gcl_gb ab; _gcl_au verknüpft Ihre Besuche und Bestellungen mit der Anzeige. Bestellen Sie, melden wir den Kauf mit der aus der Bestellung abgeleiteten Kennung (Abschnitt 14) und dem Warenwert ohne Mehrwertsteuer und Versand an Google, und Google ordnet ihn der Anzeige zu. Die Klick-Kennung speichern wir nicht mit Ihrer Bestellung.
• Conversions mit Warenkorbdaten. Mit dem Kauf übermitteln wir die gekauften Artikel (die Artikelnummer aus unserem Produktkatalog im Google Merchant Center, Menge und Preis) und einen gewährten Rabatt. So sehen wir, welche Artikel eine Anzeige verkauft hat.
• Remarketing, auch dynamisch. Google erfährt, welche Seiten Sie bei uns aufrufen und welche Artikel Sie ansehen, in den Warenkorb legen oder kaufen, und kann Ihnen danach auf Google-Seiten, bei YouTube und auf Partnerseiten Anzeigen zu diesen oder ähnlichen Artikeln zeigen. Wie lange Sie in einer solchen Zielgruppe bleiben, legen wir in Google Ads fest; Google lässt höchstens 540 Tage zu.
• Erweiterte Conversions. Auf der Bestellbestätigung übergeben wir Google Ihre E-Mail-Adresse und, soweit vorhanden, Telefonnummer, Vor- und Nachnamen und Straße. Ihr Browser rechnet diese Angaben vorher mit dem Verfahren SHA-256 in Hashwerte um; übertragen werden nur die Hashwerte. Postleitzahl, Ort und Land gehen unverändert mit, weil Google sie in dieser Form verlangt. Google gleicht die Hashwerte mit den Daten angemeldeter Google-Konten ab, um die Bestellung auch ohne Cookie einer Anzeige zuzuordnen. Ein Hashwert ist keine Anonymisierung: Wer dieselben Angaben kennt, kann ihn zuordnen.

Zusätzlich zu den Cookies auf unserer Domain (je 90 Tage, siehe die Tabelle in Abschnitt 8) kann Google auf eigenen Domains wie doubleclick.net und google.com Cookies lesen und setzen, etwa IDE (Speicherdauer im EWR bis zu 13 Monate). Auf diese Cookies haben wir keinen Zugriff; Google führt sie in seiner Übersicht der Werbe-Cookies auf.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit über die Cookie-Einstellungen (Abschnitt 8) mit Wirkung für die Zukunft widerrufen. Dann löschen wir die Cookies _gcl_* und _gac_gb_<ID> auf unserer Domain, und Google setzt keine neuen Werbe-Cookies.

Für die Einbindung des Google-Tags und die Übermittlung an Google sind wir verantwortlich. Die Daten aus Conversion-Messung und Remarketing verarbeitet Google als eigener Verantwortlicher nach den Google Ads Controller-Controller Data Protection Terms; wie Google sie verwendet, beschreibt die Datenschutzerklärung von Google. Google kann die Daten auch in den USA verarbeiten. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln; ein dem europäischen Niveau entsprechender Schutz lässt sich dort nicht in jedem Fall garantieren.

Wir nutzen die Google Search Console, um zu sehen, mit welchen Suchbegriffen unsere Seiten in der Google-Suche erscheinen. Dafür wird kein Skript in diese Seiten eingebunden und es werden keine Cookies gesetzt; Google wertet ausschließlich die eigenen Suchdaten aus und stellt sie uns zusammengefasst und ohne Personenbezug bereit.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Fristen es verlangen. Bestell- und Rechnungsdaten unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen von bis zu zehn Jahren (§ 147 AO, § 257 HGB). Kontodaten löschen wir mit dem Konto, Nachweise über Cookie-Entscheidungen nach drei Jahren, Server-Protokolle nach 30 Tagen. Die Kennungen für Google Analytics, die wir mit einer Bestellung speichern (Abschnitt 14), löschen wir spätestens sechs Monate nach der Bestellung; die Bestellung selbst bleibt erhalten. Kommt Ihr Besuch aus einer unserer Anzeigen, speichern wir mit der Bestellung außerdem ein Kürzel der beworbenen Region aus dem Link der Anzeige, ohne Angaben zu Ihrer Person, und löschen es in derselben Frist. Die Lebensdauer der einzelnen Cookies und des Eintrags im lokalen Speicher Ihres Browsers steht in der Tabelle in Abschnitt 8.

Entscheidungen, die ausschließlich automatisiert zustande kommen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO), treffen wir nicht. Haben Sie unter „Marketing“ eingewilligt, werten Google und Pinterest Ihre Besuche bei uns aus, um Ihnen personalisierte Anzeigen zu zeigen (Abschnitte 16 und 17). Das ist eine Form von Profiling, führt aber zu keiner solchen Entscheidung.

Ändern sich die Zwecke oder kommt ein Dienst hinzu, passen wir diese Erklärung an. Betrifft die Änderung einwilligungspflichtige Dienste, fragen wir Sie erneut. Eine ältere Einwilligung gilt dann nicht weiter.

Auf der Startseite, unter „Orte“ und auf den Geschenkseiten können Sie mit „Meinen Standort verwenden“ die gezeichneten Orte in Ihrer Nähe finden. Das passiert nur, wenn Sie den Button drücken, und nur, wenn Sie die anschließende Frage Ihres Browsers bejahen. Vorher liest der Shop keinen Standort aus. Ihr Browser übermittelt uns dann einmalig Ihre ungefähre Position (auf etwa 100 m gerundet) über eine verschlüsselte Verbindung, damit unser Server aus den Koordinaten unserer Orte die fünf nächstgelegenen berechnet. Die Position wird dafür kurz verarbeitet, nicht gespeichert, nicht protokolliert, keiner Person zugeordnet und an niemanden weitergegeben; es kommt kein Kartendienst und kein Drittanbieter zum Einsatz, und es wird kein Cookie gesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen angeforderte Suche); der Zugriff auf den Standort Ihres Geräts ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil er allein dieser ausdrücklich gewünschten Funktion dient. Lehnen Sie die Browser-Frage ab oder widerrufen Sie die Erlaubnis später in den Einstellungen Ihres Browsers, funktioniert alles Übrige unverändert.

Damit Ihr Paket ankommt, prüfen wir die Lieferadresse, die Sie an der Kasse eingeben, und schlagen Ihnen beim Tippen passende Adressen vor. Dafür setzen wir den Dienst „Address Validation“ und die Adressvorschläge von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein.

Ihr Browser spricht dabei nicht mit Google. Die Anfrage stellt ausschließlich unser eigener Server. Für die Prüfung wird Ihre IP-Adresse nicht an Google übermittelt, kein Google-Skript eingebunden und auf Ihrem Gerät nichts gespeichert oder ausgelesen. Übermittelt wird allein die Adresse selbst, und nur die, die Sie für die Lieferung eingeben. Das Google-Tag (Abschnitte 8 und 14), das auch an der Kasse geladen wird, erhält diese Adresse nicht; was nach einer Bestellung mit Ihrer Einwilligung an Google Ads geht, steht in Abschnitt 17.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: die Prüfung der Lieferanschrift gehört zur Erfüllung des Kaufvertrags. Google ist dabei unser Auftragsverarbeiter nach Art. 28 DSGVO. Eine Übermittlung in die USA ist durch die Zertifizierung von Google nach dem EU-US Data Privacy Framework abgedeckt; ergänzend gelten die Standardvertragsklauseln.

Gespeichert wird ausschließlich die Adresse, die Sie selbst bestätigt oder eingegeben haben. Das Prüfergebnis von Google speichern wir nicht. Schlagen wir Ihnen eine korrigierte Schreibweise vor, entscheiden Sie, ob sie übernommen wird. Ist der Dienst nicht erreichbar, können Sie ganz normal bestellen; wir prüfen dann nur noch das Format Ihrer Postleitzahl, und das passiert ohne jede Übermittlung.

Wählen Sie Apple Pay und bestätigen Sie mit „Jetzt kaufen“, öffnet Ihr Gerät das Zahlungsfenster von Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Darin wählen Sie aus Ihrem Apple-Konto die Karte und, wenn wir sie noch nicht kennen, Lieferadresse, E-Mail-Adresse und Telefonnummer. Apple übermittelt uns diese Angaben und einen verschlüsselten Zahlungsschlüssel; die Kartennummer selbst erhalten wir nicht.

Solange das Fenster offen ist, erfahren wir von Apple nur Land, Postleitzahl und Ort der gewählten Adresse, um die Versandkosten anzuzeigen. Die vollständige Adresse erhalten wir erst, wenn Sie die Zahlung bestätigen. Damit Apple das Fenster für uns öffnet, fragt unser Server bei Mollie eine Sitzung an; dabei wird nur der Name unserer Domain übermittelt, keine Daten von Ihnen.

In Safari ist Apple Pay Teil des Browsers; wir laden dafür kein Skript von Apple. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung in Ihrem Apple-Konto gelten die Datenschutzhinweise von Apple Pay. Eine Übermittlung in die USA ist durch die Zertifizierung von Apple nach dem EU-US Data Privacy Framework abgedeckt.

Derzeit nicht aktiv. Google Pay wird bis dahin über die Zahlungsseite von Mollie angeboten (Abschnitt 11); für Google Pay laden unsere Seiten kein Skript von Google.

Sobald wir Google Pay direkt anbieten, gilt: Erst wenn Sie Google Pay als Zahlungsart auswählen, lädt die Seite in Ihrem Browser das Zahlungsskript von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) von pay.google.com; dabei erhält Google Ihre IP-Adresse und Informationen zu Ihrem Browser. Vorher wird für Google Pay keine Verbindung zu Google aufgebaut. Bestätigen Sie mit „Jetzt kaufen“, öffnet sich das Zahlungsfenster von Google, und Google übermittelt uns, wie in Abschnitt 24 für Apple Pay beschrieben, Adresse, E-Mail-Adresse, Telefonnummer und einen verschlüsselten Zahlungsschlüssel.

Rechtsgrundlage für das Laden des Skripts ist § 25 Abs. 2 Nr. 2 TDDDG, weil es für die von Ihnen gewählte Zahlungsart unbedingt erforderlich ist; für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Es gelten die Datenschutzhinweise von Google Pay.

Nach Ihrer Bestellung schicken wir Ihnen E-Mails: die Bestellbestätigung (mit Widerrufsbelehrung und AGB), bei Vorkasse die Zahlungsdaten und eine Versandnachricht. Dafür verwenden wir Ihre E-Mail-Adresse, Ihren Namen, die Lieferanschrift und die Bestelldaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Bestellbestätigung schulden wir außerdem gesetzlich (§§ 312f, 312i BGB, Art. 6 Abs. 1 lit. c DSGVO). Werbung enthalten diese E-Mails nicht, und sie messen nicht, ob oder wann Sie sie öffnen.

Versendet werden sie über unser Postfach bei Google Workspace (Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland), mit der wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen haben; für Zugriffe aus Drittländern gelten die unter Abschnitt 5 genannten Garantien. Eine Kopie jeder versendeten E-Mail bewahren wir als Nachweis auf, solange gesetzliche Aufbewahrungspflichten bestehen (bis zu zehn Jahre).

Widerrufen Sie einen Vertrag über unsere Seite „Vertrag widerrufen“, speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Angaben zur Bestellung, eine freiwillige Nachricht sowie Datum und Uhrzeit des Eingangs, und wir senden Ihnen eine Eingangsbestätigung. Das ist gesetzlich vorgeschrieben (§ 356a BGB, Art. 6 Abs. 1 lit. c DSGVO) und dient der Abwicklung des Widerrufs (Art. 6 Abs. 1 lit. b DSGVO). IP-Adressen speichern wir dabei nicht. Die Angaben bewahren wir auf, solange Ansprüche aus dem Vertrag bestehen können und gesetzliche Aufbewahrungspflichten gelten.