Datenschutzerklärung

Stand: Oktober 2026 · Version 2.0

Kurzüberblick

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie kbs-shop.com besuchen, bei uns bestellen oder uns kontaktieren. Das Wichtigste vorab:

Verantwortlich ist Moritz Grunert, Inhaber von „KBS – Welt der Steine“ in Niederneisen (Deutschland).
Bestellung und Service: Für Bestellung, Zahlung, Versand und Kundenservice verarbeiten wir die dafür nötigen Daten. Die Anmeldung im Kundenkonto ist freiwillig; Sie können als Gast bestellen.
Cookies und Tracking: Die Shopify-Statistik, Meta, die Kaufmessung der Preisvergleichsportale und weitere über Shopify eingebundene Dienste starten erst, wenn Sie im Cookie-Banner zustimmen. Einige Dienste laden aber unabhängig von Ihrer Wahl, also auch ohne Einwilligung: die Sitzungsaufzeichnung von Microsoft Clarity, cookielose Messungen von Google, Skripte von Triple Whale und Klaviyo, das Partnerprogramm UpPromote, die Erfolgsmessung von Selleasy sowie Inhalte, die der Shop anzeigt (Bewertungen, Siegel, Vorbestellung, Produktangebote, Ratenvorschau, Schnellkauf). Abschnitt 6 listet sie auf und erklärt auch, wie Sie Ihre Wahl ändern oder widerrufen.
Werbe-E-Mails erhalten Sie nur mit Ihrer Einwilligung. Abmelden können Sie sich jederzeit.
Daten bei Klaviyo: Geben Sie in der Kasse Ihre E-Mail-Adresse ein oder bestellen Sie, erhält unser E-Mail-Dienstleister Klaviyo (USA) Ihre Kontaktdaten und Ihren Warenkorb bzw. Ihre Bestellung, auch wenn Sie keinen Newsletter abonniert haben (Abschnitt 12).
KI-Chat: Unser Produktberater Blocky ist eine künstliche Intelligenz, kein Mensch. Ihre Chatnachrichten verarbeiten Cloudflare und Anthropic, auch in den USA. Eine automatische Löschung der Gesprächsprotokolle ist derzeit nicht eingerichtet (Abschnitt 11).
Dienstleister außerhalb der EU: Einige Anbieter sitzen in Drittländern, vor allem in den USA. Bei jedem Dienst nennen wir, ob Daten dorthin gehen und auf welcher Grundlage, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln; für das Partnerprogramm UpPromote besteht keine solche Grundlage (Abschnitt 18).
Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragung, Widerruf, Widerspruch und Beschwerde bei einer Aufsichtsbehörde. Schreiben Sie uns an shop@kbs-shop.com.

Inhalt

Verantwortlicher und Kontakt
Ihr Widerspruchsrecht
Allgemeine Informationen
Shop-Plattform und Hosting (Shopify)
Server-Protokolle
Cookies und Einwilligung
Kundenkonto
Bestellung und Versand
Zahlung
Kontakt und Formulare
KI-Chat „Blocky“
E-Mail-Marketing
Bewertungen
Vorbestellung, Verfügbarkeitsalarm, Produktangebote, Merkliste, Rabattanzeige
Analyse
Werbung und Erfolgsmessung
Preisvergleichsportale
Partnerprogramm (Affiliate)
Eingebettete Inhalte
Social Media
Weitere Dienstleister und Empfänger
Ihre Rechte
Beschwerderecht
Pflicht zur Bereitstellung von Daten
Änderungen dieser Erklärung

1. Verantwortlicher und Kontakt

Moritz Grunert, Einzelunternehmer, handelnd unter „KBS – Welt der Steine“
Grundweg 13
65629 Niederneisen
Deutschland

E-Mail, auch für Fragen zum Datenschutz: shop@kbs-shop.com
Telefon: +49 1556 0002228

Weitere Angaben finden Sie im Impressum. „Wir“ und „KBS“ bezeichnen in dieser Erklärung den Verantwortlichen.

2. Ihr Widerspruchsrecht nach Art. 21 DSGVO

Widerspruch aus Gründen Ihrer besonderen Situation

Verarbeiten wir Daten über Sie auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Das gilt auch für ein darauf gestütztes Profiling. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Auf berechtigte Interessen stützen wir diese Verarbeitungen:

Bereitstellung und Sicherheit des Shops, notwendige Cookies für den sicheren Betrieb, Server-Protokolle, Banner-Statistik und Länderweiterleitung (Abschnitte 4, 5 und 6)
Dienste, die unabhängig von Ihrer Einwilligung laden, darunter die Sitzungsaufzeichnung mit Microsoft Clarity, cookielose Messungen von Google, Skripte von Triple Whale und Klaviyo, die Erfolgsmessung von Selleasy sowie Siegel und Bewertungs-Widgets (Abschnitt 6)
Betrugsprävention, Adressprüfung, Lieferung an Dritte, Ratenvorschau und Schnellkauf-Schaltflächen (Abschnitte 8 und 9)
Anfragen außerhalb eines Vertrags, Anfragen von Unternehmen, Ersatzteile auf Kulanz und Missbrauchsschutz im Fehlteile-Formular (Abschnitt 10)
Beantwortung von Fragen an Blocky außerhalb einer Kaufberatung, Protokollierung und Auswertung der Chats und deren Verknüpfung mit Bestellungen (Abschnitt 11)
Kaufdaten und Kassenangaben ohne Bestellung in Klaviyo, Sperrliste und Erfolgsmessung in Service-E-Mails (Abschnitt 12)
Anzeige und Veröffentlichung von Bewertungen, Laden der Vorbestell-Funktionen, Produktangebote und Rabattanzeige (Abschnitte 13 und 14)
Bestelldaten bei Triple Whale, Partner-Tracking von UpPromote einschließlich Meta-Pixeln von Partnern und Zuordnung von Partner-Rabattcodes (Abschnitte 15 und 18)
unsere Seiten in sozialen Netzwerken (Abschnitt 20), interne Auswertungen mit KI-Assistenz (Abschnitt 21) und die Durchsetzung von Rechtsansprüchen (Abschnitt 3)

Widerspruch gegen Direktwerbung

Verwenden wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Das gilt auch für Profiling, soweit es mit Direktwerbung zusammenhängt. Danach verwenden wir Ihre Daten nicht mehr für Direktwerbung. Ihnen entstehen dabei keine anderen als die Übermittlungskosten nach den Basistarifen.

So widersprechen Sie: formlos per E-Mail an shop@kbs-shop.com, per Post an die Anschrift in Abschnitt 1 oder über den Abmeldelink in jeder Werbe-E-Mail.

3. Allgemeine Informationen

Rechtsgrundlagen

Bei jeder Verarbeitung nennen wir die konkrete Rechtsgrundlage. Es kommen vor:

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), z. B. im Cookie-Banner oder für den Newsletter. Sie können jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Verarbeitung bis dahin bleibt rechtmäßig.
Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Erfüllung eines Vertrags mit Ihnen oder vorvertragliche Schritte auf Ihre Anfrage, z. B. Ihre Bestellung.
Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO), z. B. die steuerliche Aufbewahrung.
Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), soweit Ihre Interessen nicht überwiegen.
Zugriff auf Ihr Endgerät (§ 25 TDDDG): Informationen in Ihrem Browser zu speichern oder auszulesen (Cookies, lokaler Speicher, Pixel) ist nach § 25 Abs. 1 TDDDG grundsätzlich nur mit Ihrer Einwilligung zulässig, ohne sie nur, wenn es für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Bei den einzelnen Diensten nennen wir, ob wir eine Einwilligung einholen; welche Dienste unabhängig von Ihrer Einwilligung laden, steht in Abschnitt 6. Für die anschließende Verarbeitung der Daten gilt zusätzlich eine der genannten Grundlagen der DSGVO.
E-Mail-Werbung nur mit Einwilligung (§ 7 Abs. 2 Nr. 2 UWG).

Wohnen Sie in der Schweiz oder im Vereinigten Königreich, gelten zusätzlich das Schweizer Datenschutzgesetz bzw. die UK GDPR; Ihre Rechte nach diesen Gesetzen bleiben unberührt.

Unsere berechtigten Interessen

Stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO, nennen wir das Interesse im jeweiligen Abschnitt. Zusammengefasst wollen wir:

einen sicheren, stabilen und schnellen Shop bereitstellen und Angriffe, Bots und Spam abwehren;
Ihnen die Länderversion mit den für Sie gültigen Preisen, Versandbedingungen und Rechtstexten zeigen;
Betrug, Zahlungsausfälle und Lieferungen an fehlerhafte Adressen vermeiden;
erkennen, über welche Kanäle Bestellungen entstehen, und unsere Werbung wirtschaftlich steuern;
Fehler und Hürden im Shop mit Sitzungsaufzeichnungen und Nutzungsmessungen finden;
Käufe den vermittelnden Partnern zuordnen und Provisionen korrekt abrechnen;
prüfen, ob unsere E-Mails ankommen und gelesen werden;
Bestell- und Shopdaten auswerten, auch mit Hilfe einer KI-Assistenz, um Sortiment, Werbung und Abläufe zu verbessern;
Anfragen beantworten, Geschäftsbeziehungen mit Unternehmen pflegen und auch auf Kulanz schnell Ersatzteile beschaffen;
die Qualität unseres KI-Chats sichern, Fehler und Missbrauch erkennen und die Antworten verbessern;
Werbewidersprüche und Abmeldungen zuverlässig beachten;
echte Kundenbewertungen und Vertrauenssiegel zeigen und Shopfunktionen wie Vorbestellung, Ergänzungsangebote, Ratenvorschau und Rabattanzeige anbieten;
unsere Produkte in sozialen Netzwerken zeigen und mit Interessenten kommunizieren;
Rechtsansprüche geltend machen, ausüben oder verteidigen.

Informationen zu unserer Interessenabwägung erhalten Sie auf Anfrage.

Empfänger

Wir geben Daten nur weiter, soweit der jeweilige Zweck es erfordert, und nennen die Empfänger bei jeder Verarbeitung mit Firma und Sitz:

Auftragsverarbeiter verarbeiten Daten nur nach unseren Weisungen und auf Grundlage eines Vertrags nach Art. 28 DSGVO, z. B. Shopify, Klaviyo oder Cloudflare.
Eigenständig Verantwortliche entscheiden selbst über die Verarbeitung, z. B. Zahlungsanbieter, Paketdienste, Preisvergleichsportale, Steuerberater und Behörden. Für sie gelten ihre eigenen Datenschutzhinweise.
Gemeinsam Verantwortliche (Art. 26 DSGVO) legen mit uns Zwecke und Mittel fest: Meta, Kelkoo, Heureka und Trusted Shops (Einzelheiten in den jeweiligen Abschnitten).

Behörden, etwa Finanz- und Zollbehörden, erhalten Daten, wenn wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO). Um Ansprüche durchzusetzen oder abzuwehren, können wir Daten an Rechtsanwälte und Gerichte geben (Art. 6 Abs. 1 lit. f DSGVO).

Übermittlungen in Drittländer

Drittländer sind Staaten außerhalb des Europäischen Wirtschaftsraums (EWR). Bei jeder Verarbeitung nennen wir, ob Daten in ein Drittland gehen, in welches und auf welcher Grundlage:

Angemessenheitsbeschluss (Art. 45 DSGVO) der EU-Kommission, u. a. für Kanada (für Unternehmen), die Schweiz, das Vereinigte Königreich, Israel und Andorra (Liste der EU-Kommission).
EU-US Data Privacy Framework (DPF): Für zertifizierte US-Unternehmen gilt der Angemessenheitsbeschluss (EU) 2023/1795 (DPF-Liste). Gegen den Beschluss ist ein Rechtsmittel beim Gerichtshof der EU anhängig. Mit den zertifizierten Anbietern, an die wir selbst übermitteln, sind zusätzlich Standardvertragsklauseln vereinbart; entfällt die Zertifizierung, stützen wir die Übermittlung darauf.
Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914). Eine Kopie der mit unseren Dienstleistern vereinbarten Klauseln erhalten Sie auf Anfrage.
Verbindliche interne Datenschutzvorschriften (Art. 47 DSGVO): von Aufsichtsbehörden genehmigte Konzernregeln, z. B. bei Shopify.
Erforderlich für den Vertrag (Art. 49 Abs. 1 lit. b DSGVO): bei Lieferungen nach Monaco, San Marino und in die Vatikanstadt (Abschnitt 8) und bei Ersatzteilanfragen an unseren Lieferanten in China (Abschnitt 10).

Für Personen in der Schweiz gelten entsprechend das Swiss-US Data Privacy Framework und die in der Schweiz anerkannten Standardvertragsklauseln. Wo für eine Übermittlung keine dieser Grundlagen besteht, sagen wir es beim jeweiligen Dienst (Abschnitt 18).

Speicherdauer

Wir speichern Daten nur, solange der Zweck es erfordert oder ein Gesetz es verlangt; die konkrete Dauer nennen wir bei jeder Verarbeitung. Für Bestell- und Buchhaltungsdaten gelten diese gesetzlichen Aufbewahrungsfristen:

8 Jahre: Rechnungen und Buchungsbelege, z. B. Zahlungs-, Gutschrift- und Erstattungsbelege (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4, Abs. 3 AO, § 257 Abs. 1 Nr. 4, Abs. 4 HGB). Diese Frist gilt seit 2025, auch für ältere Belege, deren Frist Ende 2024 noch lief.
6 Jahre: Handels- und Geschäftsbriefe, z. B. Bestellbestätigungen, E-Mails zu Verträgen, Reklamationen, Widerrufe und deren Bestätigung (§ 147 Abs. 1 Nr. 2, 3, Abs. 3 AO, § 257 Abs. 1 Nr. 2, 3, Abs. 4 HGB).
10 Jahre: Bücher, Aufzeichnungen und Jahresabschlüsse (§ 147 Abs. 1 Nr. 1 AO, § 257 Abs. 1 Nr. 1 HGB), Aufzeichnungen zu Fernverkäufen in andere EU-Länder im OSS-Verfahren (§ 22 Abs. 1 UStG i. V. m. § 18j UStG) und Zollunterlagen (§ 147 Abs. 1 Nr. 4a AO).

Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Sie laufen nicht ab, solange die Unterlagen für eine noch nicht verjährte Steuer von Bedeutung sind (§ 147 Abs. 3 S. 5 AO). In dieser Zeit sperren wir die Daten: Wir bewahren sie nur noch auf und nutzen sie für nichts anderes (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO). Danach löschen wir sie.

Daten, die wir zur Geltendmachung oder Abwehr von Ansprüchen brauchen, speichern wir bis zum Abschluss des Verfahrens, sonst bis zur Verjährung der Ansprüche (regelmäßig drei Jahre ab Ende des Jahres ihrer Entstehung, §§ 195, 199 BGB).

Automatisierte Entscheidungen und Profiling

Ob wir eine Bestellung wegen Betrugsverdachts stornieren, entscheidet bei uns ein Mensch. Automatisiert entscheiden können dagegen Shopify Payments, das in unserem Auftrag Zahlungsversuche mit hohem Betrugsrisiko blockieren kann, sowie Klarna, Alma und PayPal in eigener Verantwortung bei ihren Zahlarten (Abschnitt 9). Profiling zu Werbezwecken findet im E-Mail-Marketing (Abschnitt 12) und, mit Ihrer Einwilligung, bei der Werbung statt (Abschnitt 16).

Daten, die wir nicht bei Ihnen erheben

Einige Daten erhalten wir von Dritten oder erzeugen sie selbst (Art. 14 DSGVO):

Zahlungs- und Risikoinformationen (Zahlungsstatus, Betrugsmerkmale, Annahme oder Ablehnung einer Zahlart) von Shopify und den Zahlungsanbietern; Daten von Auskunfteien erhalten wir nicht;
Zustelldaten (Sendungsstatus, Zustellereignisse) von unserem Lagerdienstleister und den Paketdiensten;
Kampagnen- und Klickkennungen aus dem Link, über den Sie zu uns kommen, z. B. gclid (Google), fbclid (Meta), Kennungen von Kelkoo, Heureka, solute und UpPromote; wir nutzen sie für den Herkunftskanal einer Bestellung (Abschnitt 8) und in den Analyse-, Werbe- und Partnerdiensten (Abschnitte 15 bis 18);
Name und Adresse von Geschenkempfängern, die uns der Besteller nennt;
Kontaktdaten von Ansprechpersonen bei Unternehmen, z. B. von deren Website, von Messen oder Visitenkarten;
Bewerbungsdaten vom jeweiligen Jobportal, wenn Sie sich darüber bewerben;
selbst erzeugte Daten: Kundengruppen und Prognosewerte in Klaviyo (Abschnitt 12) und Auswertungen der Chat-Protokolle (Abschnitt 11).

Änderung von Zwecken

Wollen wir Daten für einen neuen Zweck nutzen, informieren wir Sie vorher. Schon jetzt vorgesehen ist die Auswertung der Chat-Protokolle, um Blocky zu verbessern (Abschnitt 11).

Minderjährige

Unser Angebot richtet sich an Erwachsene. Sind Sie jünger als 16 Jahre, bitten Sie Ihre Eltern, für Sie zu bestellen, Sie zum Newsletter anzumelden oder Einwilligungen zu erteilen.

4. Shop-Plattform und Hosting (Shopify)

Unser Shop läuft auf der Plattform Shopify. Shopify speichert Produkt-, Bestell- und Kundendaten und liefert Seiten, Bilder und Schriftarten an Ihren Browser aus.

Anbieter: Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin, D02 E7K8, Irland, als unser Auftragsverarbeiter.
Daten: alle Daten, die Sie im Shop eingeben oder die bei der Nutzung entstehen (siehe die folgenden Abschnitte), dazu IP-Adresse sowie Geräte- und Browserangaben.
Rechtsgrundlage: für Bestellungen Art. 6 Abs. 1 lit. b DSGVO; im Übrigen Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist ein sicherer, stabiler und schneller Shop.
Drittländer: Shopify übermittelt Daten an die Muttergesellschaft Shopify Inc. in Ottawa (Kanada, Angemessenheitsbeschluss) sowie an Konzerngesellschaften und Unterauftragsverarbeiter in den USA und weiteren Ländern. Grundlage sind genehmigte verbindliche interne Datenschutzvorschriften (Art. 47 DSGVO), für externe Unterauftragsverarbeiter Standardvertragsklauseln (Liste der Unterauftragsverarbeiter).
Speicherdauer: wie in den einzelnen Abschnitten angegeben.
Eigene Verantwortung von Shopify: Für die Shop-App, Shop Pay und die Anmeldung mit Shop ist Shopify selbst verantwortlich (Abschnitte 7 und 9).
Händlerübergreifende Auswertungen: Die Funktion Shopify Network Intelligence ist aktiv. Damit nutzt Shopify Kundendaten händlerübergreifend für eigene Dienste, etwa für Suche, Filter und Produktempfehlungen in unserem Shop; dafür ist Shopify selbst verantwortlich.
Mehr Informationen: Datenschutzerklärung von Shopify

Länder- und Sprachversion

Rufen Sie die deutsche Version ohne Länderpfad auf, ermittelt Shopify anhand Ihrer IP-Adresse Ihr ungefähres Land. Liegt es außerhalb Deutschlands, leiten wir Sie auf die passende Länderversion weiter (z. B. /fr-fr/) und berücksichtigen dabei die Spracheinstellung Ihres Browsers.

Daten: IP-Adresse (nur zur Ländererkennung bei Shopify), erkanntes Land, Browsersprache.
Speicher im Browser: Im Sitzungsspeicher (sessionStorage) merken wir uns das erkannte Land (kbs_geo_cc), den Zeitpunkt der Weiterleitung (kbs_geo_hop) und ob Sie die Weiterleitung abgeschaltet haben (kbs_geo_off); ohne Kennung, gelöscht beim Schließen des Tabs. Wählen Sie selbst Land oder Sprache, speichern wir das im Cookie kbs_loc_choice (Wert „1“, 12 Monate) und leiten Sie danach nicht mehr automatisch weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Ihnen die für Ihr Land gültigen Preise, Versandbedingungen und Rechtstexte zu zeigen. Für die Einträge im Browser § 25 Abs. 2 Nr. 2 TDDDG.
Empfänger: Shopify. Über die Länder- und Sprachauswahl können Sie jederzeit wechseln.

5. Server-Protokolle

Bei jedem Seitenaufruf übermittelt Ihr Browser technisch bedingt Daten an die Server, von denen die Inhalte kommen.

Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Herkunftsseite (Referrer), Browser, Betriebssystem, Sprache und Datenmenge.
Zweck und Rechtsgrundlage: Auslieferung der Seiten, Fehleranalyse und Abwehr von Angriffen wie Überlastungsangriffen oder Bots (Art. 6 Abs. 1 lit. f DSGVO; Interesse: sicherer und stabiler Shop).
Empfänger: Shopify (Abschnitt 4). Nutzen Sie unsere selbst programmierten Funktionen (KI-Chat, Rabattanzeige, Merkliste, Fehlteile-Formular), erhält außerdem Cloudflare (Abschnitt 21) die dafür nötigen Daten, bei direktem Aufruf auch Ihre IP-Adresse.
Speicherdauer: Shopify bewahrt die Protokolle auf, solange Shopify sie für den Betrieb seiner Dienste, für Sicherheit und Betrugsabwehr oder wegen gesetzlicher Pflichten braucht; eine feste Frist nennt Shopify nicht. Bei Cloudflare speichern wir keine Zugriffsprotokolle; Fehlerprotokolle unserer Funktionen löscht Cloudflare nach höchstens 7 Tagen.

6. Cookies und Einwilligung

Cookies sind kleine Textdateien, die Ihr Browser speichert. Ähnlich wirken der lokale Speicher und der Sitzungsspeicher des Browsers (localStorage, sessionStorage) sowie Zählpixel.

Welche davon nur mit Ihrer Einwilligung und welche auch ohne sie entstehen, beschreiben die folgenden Unterabschnitte.

Einwilligungs-Banner (Pandectes)

Beim ersten Besuch zeigt unser Banner die Schaltflächen „Ok“ und „Präferenzen“. Mit „Ok“ stimmen Sie allen Kategorien zu. Unter „Präferenzen“ können Sie alle Kategorien ablehnen („Alle ablehnen“), allen zustimmen oder einzelne Kategorien wählen und speichern. Ihre Auswahl beachten Shopify und die Dienste, die wir über die Kundenereignisse von Shopify (Web-Pixel) mit einer Kategorie eingebunden haben: Sie starten erst, wenn Sie der jeweiligen Kategorie zugestimmt haben. Einen Skriptblocker, der alle übrigen Dienste bis zu Ihrer Einwilligung sperrt, setzen wir nicht ein; welche Dienste deshalb unabhängig von Ihrer Auswahl laden, steht unten unter „Dienste, die ohne Einwilligung laden“. Die Kategorien steuern:

Notwendig (immer aktiv): Grundfunktionen des Shops, siehe unten.
Präferenzen: derzeit keinen Dienst; Siegel und Widgets von Trusted Shops laden unabhängig von dieser Kategorie (Abschnitt 13).
Statistik: Shopify-Statistik (Abschnitt 15), die Statistik-Pixel von Judge.me und STOQ (Abschnitte 13 und 14) sowie die Cookies von Google Analytics und Microsoft Clarity; beide Dienste laden aber auch ohne Ihre Einwilligung (Abschnitt 15).
Marketing: das Marketing-Cookie von Shopify (Abschnitt 15) und die Werbe-Cookies von Google Ads (Abschnitt 16).
Statistik oder Marketing (eine der beiden genügt): Zuordnung des Herkunftskanals einer Bestellung mit dem Speichereintrag kbs_attr_v1 (Abschnitt 8).
Statistik und Marketing (beide nötig): Meta (Abschnitt 16), das Pixel von Klaviyo für Produktansichten und Warenkörbe (Abschnitt 12), das Pixel von Triple Whale (Abschnitt 15) sowie die Kaufmessung von Kelkoo, idealo, solute und Heureka (Abschnitt 17).

Anbieter des Banners: Pandectes, Pudisoo küla, Männimäe/1, 74626 Kuusalu vald, Estland, als unser Auftragsverarbeiter. Pandectes speichert die Daten bei Amazon Web Services in Irland; nach seiner Liste der Unterauftragsverarbeiter verarbeitet kein weiterer Unterauftragsverarbeiter Daten unserer Besucher.
Gespeicherte Daten: Ihre Auswahl und eine zufällige Einwilligungs-Kennung im Cookie _pandectes_gdpr (12 Monate). Mit Ihrer Auswahl übermittelt das Banner auch die aufgerufene Seite an Pandectes. Im Einwilligungsprotokoll bei Pandectes: Kennung, Zeitpunkt, Auswahl, Land oder Region, Gerätetyp und gekürzte IP-Adresse. Ihre Auswahl gibt Pandectes an Shopify weiter, damit Shopify und die mit einer Kategorie eingebundenen Web-Pixel sie beachten; Google und Microsoft Clarity richten danach nur aus, ob sie Cookies setzen (Abschnitt 15).
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für die Cookies; Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO für den Nachweis Ihrer Einwilligung.
Speicherdauer: Das Banner fragt nach 12 Monaten erneut, früher, wenn wir neue Dienste einbinden. Das Einwilligungsprotokoll bewahrt Pandectes 6 Jahre als Nachweis auf (Art. 7 Abs. 1 DSGVO); beenden wir die Nutzung von Pandectes, wird es gelöscht.
Ältere Browser: Dort lädt das Banner eine Zusatzdatei über das Netzwerk jsDelivr, das die Netzwerkpartner Cloudflare und Fastly (USA, DPF) betreiben; diese erhalten dabei Ihre IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, das Banner auch in älteren Browsern korrekt anzuzeigen.
Anfragen über Pandectes: Auf der Seite Cookie-Erklärung können Sie Datenschutzanfragen auch über ein Formular von Pandectes stellen; Pandectes verarbeitet dabei für uns Name, E-Mail-Adresse und Art der Anfrage.
Banner-Statistik: Öffnet sich das Banner oder seine Einstellungsansicht, meldet es Pandectes die Art der Ansicht, die aufgerufene Seite und Ihr Land, ohne Einwilligungskennung; Ihre IP-Adresse erhält Pandectes dabei technisch bedingt. So zählt Pandectes für uns, wie oft das Banner angezeigt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Anzeige und Gestaltung des Banners zu prüfen. Die Zählungen bewahrt Pandectes in unserem Konto auf; beenden wir die Nutzung, löscht Pandectes die Daten unseres Kontos nach eigenen Angaben innerhalb von 30 Tagen.

Einen Link oder ein Symbol, mit dem Sie das Banner erneut öffnen, bieten wir derzeit nicht an. Um Ihre Auswahl zu ändern oder Ihre Einwilligung zu widerrufen, löschen Sie in Ihrem Browser die Cookies unserer Website, mindestens das Cookie _pandectes_gdpr. Beim nächsten Seitenaufruf erscheint das Banner wieder, und Sie können unter „Präferenzen“ alle Kategorien ablehnen oder einzelne wählen. Ihren Widerruf können Sie uns auch formlos mitteilen (Abschnitt 1); in Ihrem Browser umsetzen lässt er sich aber nur auf diesem Weg. Der Widerruf wirkt für die Zukunft: Die Dienste, die Ihre Auswahl beachten (oben), setzen danach keine Cookies mehr und lesen keine mehr aus; auf die Dienste, die ohne Einwilligung laden, wirkt sich Ihre Auswahl nicht aus.

Auf der Seite Cookie-Erklärung zeigt Pandectes eine automatisch erstellte Übersicht der Cookies, die Pandectes auf unserer Website erkannt hat, mit Anbieter, Art und Laufzeit. Diese Übersicht ist nicht vollständig und nennt keine Zwecke; maßgeblich sind die Angaben in dieser Erklärung.

Notwendige Cookies und Speichereinträge

Diese Einträge setzen wir ohne Einwilligung, weil der Shop oder eine von Ihnen genutzte Funktion sonst nicht funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Die weitere Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Bestellung oder gewünschte Funktion) bzw. lit. f DSGVO (sicherer Betrieb).

Shopify: Cookies für Sitzung, Sicherheit und Kasse (_shopify_essential, 1 Jahr), Warenkorb (cart, cart_currency, 2 Wochen), Land und Sprache (localization, 1 Jahr), Rabattcode aus einem Link (discount_code, bis Sitzungsende) sowie für das Kundenkonto, wenn Sie es nutzen.
kbs_loc_choice (Cookie, 12 Monate): Ihre manuelle Länder- oder Sprachwahl (Abschnitt 4).
kbs_geo_cc, kbs_geo_hop, kbs_geo_off (Sitzungsspeicher): automatische Länderweiterleitung (Abschnitt 4).
kbs_favs_v1 (lokaler Speicher, bis Sie ihn löschen): Ihre Merkliste, erst nach einem Klick auf das Herz (Abschnitt 14).
kbs-dd-closed (lokaler Speicher, bis Sie ihn löschen) sowie kbs-dd-reload:… und kbs-dd:… (Sitzungsspeicher): geschlossener Rabatthinweis, einmaliges Neuladen nach Übernahme eines Rabattcodes und die Bedingungen des geöffneten Rabattcodes (Abschnitt 14).
kbs_chat_sid (Sitzungsspeicher): zufällige Sitzungskennung für den KI-Chat, angelegt beim Aufruf einer Produktseite mit dem Chat (Abschnitt 11).

Sitzungsspeicher-Einträge löscht Ihr Browser, wenn Sie den Tab schließen. Einträge, die Dienste unabhängig von Ihrer Einwilligung anlegen, nennen wir im folgenden Unterabschnitt.

Dienste, die ohne Einwilligung laden

Die folgenden Dienste lädt unser Shop unabhängig von Ihrer Auswahl im Cookie-Banner, also auch, wenn Sie nicht zustimmen oder ablehnen. Ihr Browser verbindet sich dabei mit Servern des jeweiligen Anbieters, der Ihre IP-Adresse und Browserangaben erhält; einige Dienste speichern außerdem Einträge in Ihrem Browser oder lesen sie aus. Einzelheiten stehen in den genannten Abschnitten.

Microsoft Clarity: zeichnet Ihren Besuch auf allen Seiten und in der Kasse auf; ohne Ihre Einwilligung ohne Cookies (Abschnitt 15).
Google Analytics und Google Ads: senden ohne Ihre Einwilligung cookielose Signale zu Seitenaufrufen und Ereignissen bis zum Kauf an Google (Abschnitte 15 und 16).
Triple Whale: Das Skript lädt auf allen Seiten, legt im lokalen Speicher einen Zähler Ihrer Seitenaufrufe (TriplePixel) und eine Liste der aufgerufenen Seiten (TriplePixelU) an und lädt Programmcode von Servern von Triple Whale (Abschnitt 15).
Klaviyo: Das Skript für Formulare und Pop-ups lädt auf allen Seiten; das Cookie __kla_id setzt es erst nach Ihrer Einwilligung (Abschnitt 12).
UpPromote: Partnerkennung in Cookies und im lokalen Speicher, Übermittlung von Seitenaufrufen sowie von Kasse und Kauf einschließlich Ihrer Kontaktdaten, gegebenenfalls Meta-Pixel von Partnern (Abschnitt 18).
Selleasy: Einträge lb-upsell-setup und lb-upsell-setupFetchedAt im lokalen Speicher, lb-offer-viewed im Sitzungsspeicher, nach einem Klick auf ein Angebot lb-offer-clicked, lb-track-ids und lb-offer-codes im lokalen Speicher, und die Erfolgsmessung der angezeigten und angeklickten Angebote (Abschnitt 14).
STOQ: Vorbestell- und Benachrichtigungsfunktionen und die Einträge _stoq_pls und _stoq_sqe im Sitzungsspeicher (Abschnitt 14).
Judge.me: Bewertungs-Widgets (Abschnitt 13).
Trusted Shops: Siegel auf allen Seiten, Bewertungs-Widgets auf der Seite „Über uns“ und die Karte auf der Bestellbestätigungsseite; Trusted Shops kann dabei sein eigenes Anmelde-Cookie auslesen (Abschnitt 13).
Heureka: das Einstiegsskript mit dem Cookie hg_ocm_id, wenn Sie von Heureka kommen (Abschnitt 17).
idealo und billiger.de: die Siegel im Fußbereich (Abschnitt 17).
Alma: die Ratenvorschau mit Programmdateien über das Netzwerk jsDelivr und dem Zwischenspeicher kbs-alma:… im Sitzungsspeicher (Abschnitt 9).
Shopify, PayPal, Google und Apple: Schnellkauf-Schaltflächen im Warenkorb (Abschnitt 9).
Pandectes: die Banner-Statistik (oben).

Rechtsgrundlage für diese Verarbeitungen ist Art. 6 Abs. 1 lit. f DSGVO mit den in den genannten Abschnitten beschriebenen Interessen; eine Einwilligung holen wir dafür nicht ein. Sie können der Verarbeitung aus Gründen Ihrer besonderen Situation widersprechen (Abschnitt 2). Technisch verhindern lässt sich das Laden derzeit nur mit Einstellungen oder Erweiterungen Ihres Browsers, die Inhalte und Skripte von Drittanbietern blockieren; einzelne Shopfunktionen arbeiten dann möglicherweise nicht.

7. Kundenkonto

Die Anmeldung im Kundenkonto ist freiwillig. Sie können jederzeit als Gast bestellen.

Funktion: Mit der E-Mail-Adresse Ihrer Bestellung können Sie sich jederzeit mit einem Einmalcode anmelden, den wir Ihnen per E-Mail schicken; Passwort und Registrierung gibt es nicht. Im Konto sehen Sie Ihre Bestellungen, verwalten Adressen, nutzen Guthaben und gleichen Ihre Merkliste ab.
Daten: E-Mail-Adresse, Einmalcode, Name, gespeicherte Adressen, Telefonnummer (falls angegeben), Bestellungen, Guthaben, Merkliste und Anmeldezeitpunkte. Ihr Kundendatensatz entsteht mit Ihrer ersten Bestellung (Abschnitt 8) oder Ihrer ersten Anmeldung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zugang zu Ihren Bestellungen und den Kontofunktionen auf Ihren Wunsch); Anmelde-Cookies § 25 Abs. 2 Nr. 2 TDDDG.
Anmelden mit Shop: Nutzen Sie „Mit Shop anmelden“, verarbeitet Shopify Ihre Daten zusätzlich in eigener Verantwortung (Datenschutzhinweise für Shop-Nutzer).
Empfänger: Shopify (Abschnitt 4); für den Abgleich der Merkliste Cloudflare (Abschnitt 14).
Speicherdauer: Adressbuch und Merkliste, bis Sie die Löschung verlangen; Bestelldaten nach den gesetzlichen Fristen (Abschnitt 3).

8. Bestellung und Versand

Bestellabwicklung

Daten: Name, Liefer- und Rechnungsadresse, E-Mail-Adresse, Telefonnummer (falls angegeben), Artikel, Preise, Rabattcodes, Zahl- und Versandart, Zeitpunkt, IP-Adresse und Geräteangaben; nach einem Chat mit Blocky, einem Ratenplan oder einer Vorbestellung auch die zugehörigen Angaben (Abschnitte 9, 11 und 14).
Rechtsgrundlage: Abschluss und Erfüllung des Kaufvertrags, Rechnung, Kommunikation zur Bestellung, Gewährleistung und Rückabwicklung (Art. 6 Abs. 1 lit. b DSGVO); Aufbewahrung nach § 147 AO, § 257 HGB, § 14b UStG und § 22 UStG (Art. 6 Abs. 1 lit. c DSGVO).
Pflichtangaben: Name, Liefer- und Rechnungsadresse, E-Mail-Adresse und Zahlungsangaben brauchen wir für den Vertrag; ohne sie ist keine Bestellung möglich. Die Telefonnummer ist freiwillig, soweit die Kasse sie nicht als Pflichtfeld abfragt.
Bestellbenachrichtigungen: Bestell- und Versandbestätigungen verschickt Shopify per E-Mail oder, wenn Sie in der Kasse Ihre Telefonnummer als Kontakt wählen, per SMS. Sie enthalten keine Werbung.
Empfänger: Shopify (Abschnitt 4), Fulfillment Europe und Paketdienste (unten), AddressHero (unten), Zahlungsanbieter (Abschnitt 9), Klaviyo (Abschnitt 12), Judge.me (Abschnitt 13), STOQ und Selleasy (Abschnitt 14), Triple Whale (Abschnitt 15), UpPromote (Abschnitt 18), Make und Google (Gmail-Konto) bei Fehlteile-Anfragen und Widerrufen, Anthropic für interne Auswertungen und unsere Steuerberater (Abschnitt 21), Microsoft mit der Aufzeichnung der Kasse (Clarity, Abschnitt 15), Google (Abschnitte 15 und 16; ohne Ihre Einwilligung nur cookielose Signale) und Trusted Shops für die Karte auf der Bestellbestätigungsseite (Abschnitt 13); mit Ihrer Einwilligung außerdem Trusted Shops für Bewertungseinladungen (Abschnitt 13), Meta und Preisvergleichsportale (Abschnitte 16 und 17).
Speicherdauer: Rechnungen und Buchungsbelege 8 Jahre, Geschäftskorrespondenz 6 Jahre, OSS-Aufzeichnungen und Zollunterlagen 10 Jahre (Abschnitt 3). IP-Adresse und Geräteangaben aus der Kasse bleiben bei der Bestellung gespeichert und werden mit ihr gelöscht.

Betrugsprävention

Shopify bewertet jede Bestellung automatisch auf Betrugsrisiken, bei Kartenzahlung prüft zusätzlich der Zahlungsabwickler (Abschnitt 9). Dafür werden Bestell-, Zahlungs-, Geräte- und IP-Daten und Merkmale wie abweichende Rechnungs- und Lieferadressen ausgewertet. Die Einstufung erhalten wir von Shopify; ob wir eine Bestellung stornieren, entscheidet bei uns ein Mensch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Betrug wie Kartenmissbrauch oder Identitätsdiebstahl und Zahlungsausfälle zu verhindern. Die Einstufung speichern wir mit der Bestellung.

Adressprüfung (AddressHero)

Anbieter: HeroSoftware GmbH, Idstein (Deutschland), als unser Auftragsverarbeiter.
Zweck und Daten: AddressHero erkennt fehlerhafte Lieferadressen, etwa eine fehlende Hausnummer, und markiert die Bestellung, damit wir bei Ihnen nachfragen. Die App erhält von Shopify Bestellnummer, Bestelldatum, Name, E-Mail-Adresse und Lieferadresse und speichert sie in einer Datenbank bei der DigitalOcean, LLC (USA, DPF). An Prüfdienste gehen nur Straße, Hausnummer, Postleitzahl, Ort und Land: an die Address Validation API der Google LLC (USA, DPF) und an den Dienst ADDRESSFACTORY der Deutsche Post Direkt GmbH (Deutschland).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Lieferung) und lit. f DSGVO; unser Interesse ist, Zustellfehler und Rücksendungen zu vermeiden.
Speicherdauer: Name, E-Mail-Adresse und Lieferadresse aus der Bestellung löscht AddressHero nach 7 Tagen, Fehlerprotokolle mit Bestellnummer und Adresse nach 30 Tagen. Geprüfte Adressen ohne Namen speichert AddressHero zusätzlich in Zwischenspeichern der Prüfergebnisse; eine Löschfrist sieht AddressHero dafür nach eigenen Angaben nicht vor. Beenden wir die Nutzung, löscht AddressHero die Daten unseres Shops innerhalb von 48 Stunden nach der Deinstallation.

Herkunftskanal

Wir markieren Bestellungen automatisch (Shopify Flow) mit dem Kanal, über den Sie zu uns gekommen sind, etwa Suchmaschine, Preisvergleich oder Anzeige. So ordnen wir Bestellungen unseren Werbekanälen zu und prüfen deren Wirksamkeit und Abrechnung. Die Herkunftsseite und die Kampagnenparameter erfasst Shopify nur, wenn Sie der Kategorie Statistik zugestimmt haben (Abschnitt 15). Haben Sie der Kategorie Statistik oder der Kategorie Marketing zugestimmt, speichert unser Shop für Ihren ersten und Ihren letzten Einstieg 30 Tage im lokalen Speicher Ihres Browsers (kbs_attr_v1): die Kampagnenparameter (utm_source, utm_medium, utm_campaign, utm_content und utm_term), die Art der Klickkennung aus dem Link (etwa gclid von Google oder fbclid von Meta), mit Einwilligung in die Kategorie Marketing auch ihren Wert, die Domain der Herkunftsseite und die Einstiegsseite. Liegt ein Warenkorb vor, übernimmt er utm_source, utm_medium und utm_campaign beider Einstiege sowie Herkunftsdomain, Einstiegsseite und Klickkennung des letzten Einstiegs als Warenkorbattribute (_kbs_ft_*, _kbs_lt_*, _kbs_referrer, _kbs_landing, _kbs_click_id); mit der Bestellung erhalten wir sie in Shopify. Ihre Einwilligung prüft das Programm bei jedem Seitenaufruf über die Einwilligungsschnittstelle von Shopify, ersatzweise über das Banner-Cookie _pandectes_gdpr. Ohne Einwilligung speichert und sendet es nichts; widerrufen Sie, löscht es den Eintrag. Kommen Sie von idealo, ergänzt unser Shop Kampagnenparameter im Link, ohne Daten an idealo zu senden. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Markierung und die Warenkorbattribute speichern wir mit der Bestellung.

Lager und Versand

Lager: Unser Lager- und Versanddienstleister Fulfillment Europe, Volbedingstraße 2, 04357 Leipzig, übernimmt Bestellungen automatisch, verpackt sie und übergibt sie an den Paketdienst. Er erhält Name, Lieferadresse und Artikel sowie Ihre Kontaktdaten, soweit er sie für Rückfragen zur Lieferung braucht, und ist unser Auftragsverarbeiter.
Paketdienste: Wir versenden mit der DHL Paket GmbH, Charles-de-Gaulle-Straße 20, 53113 Bonn, und in einzelne Länder mit der United Parcel Service Deutschland S.à r.l. & Co. OHG, Görlitzer Straße 1, 41460 Neuss. Sie erhalten Name und Lieferadresse und sind für die Zustellung eigenständig verantwortlich. Ihre E-Mail-Adresse geben wir nicht an die Paketdienste weiter, die Telefonnummer nur, wenn die Zustellung oder Verzollung in Ihr Land sie erfordert. Den Sendungsstatus erhalten Sie von uns mit der Versandbestätigung (Datenschutzhinweise von DHL und UPS).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auch für die Zollangaben bei Lieferungen außerhalb der EU; soweit das Zollrecht der EU eine Ausfuhranmeldung verlangt, Art. 6 Abs. 1 lit. c DSGVO.
Lieferungen außerhalb der EU: Bei Lieferungen in die Schweiz, nach Liechtenstein, in das Vereinigte Königreich, nach Andorra, Monaco, San Marino oder in die Vatikanstadt erhalten der Paketdienst, seine Partner im Zielland und gegebenenfalls die Zollbehörden Ihre Lieferdaten und die Zollangaben (Warenbeschreibung, Wert). Liechtenstein gehört zum EWR; für die Schweiz, das Vereinigte Königreich und Andorra gilt ein Angemessenheitsbeschluss. Für Monaco, San Marino und die Vatikanstadt ist die Übermittlung zur Erfüllung des Vertrags erforderlich (Art. 49 Abs. 1 lit. b DSGVO).
Sonderversand: Einzelne Sendungen, etwa Ersatzteile, verschicken wir über die Versandplattform Packlink PRO der Auctane, S.L.U., Paseo Imperial 14, 28005 Madrid, Spanien. Packlink erhält dafür Name und Lieferadresse und gibt sie an den gewählten Paketdienst weiter (Datenschutzhinweise von Packlink).
Speicherdauer: Versanddaten mit der Bestellung; bei den Paketdiensten nach deren Fristen.

Lieferung an eine andere Person

Lassen Sie an eine andere Person liefern, etwa als Geschenk, verarbeiten wir deren Name und Adresse für die Zustellung: gegenüber dem Besteller nach Art. 6 Abs. 1 lit. b DSGVO, gegenüber dem Empfänger nach Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse, die Bestellung wie gewünscht zu liefern. Für den Empfänger gilt diese Erklärung entsprechend; er kann seine Rechte uns gegenüber geltend machen. Die Daten speichern wir mit der Bestellung.

9. Zahlung

Kartennummern und Bankdaten, die Sie in der Kasse eingeben, gehen direkt an den Zahlungsanbieter; wir erhalten sie nicht. Wir erhalten nur, was wir für Buchhaltung und Kundenservice brauchen, z. B. Zahlungsart, Betrag, Status und die letzten Ziffern einer Karte.

Shopify Payments: Karte, digitale Geldbörsen und lokale Zahlarten

Zahlarten: Kredit- und Debitkarten, Apple Pay, Google Pay, Shop Pay, Klarna und je nach Land z. B. iDEAL, Bancontact, TWINT, EPS, BLIK, MB WAY oder MobilePay.
Anbieter: Shopify International Limited (Abschnitt 4). Die Zahlungen wickeln Zahlungsdienstleister ab, die Shopify bestimmt; für unseren Shop kommen nach der Liste von Shopify die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, und die Adyen N.V., Simon Carmiggeltstraat 5-60, 1011 DJ Amsterdam, Niederlande, in Betracht. Für die Zahlungsabwicklung handeln Shopify und der jeweilige Zahlungsdienstleister als Auftragsverarbeiter; für eigene Zwecke wie Betrugsprävention und Prüfungen nach dem Geldwäscherecht sind die Zahlungsdienstleister eigenständig verantwortlich.
Daten: Name, Rechnungsadresse, E-Mail-Adresse, Betrag, Währung, Zahlungsart, Kartendaten (verschlüsselt), IP-Adresse sowie Geräte- und Browserangaben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, Zahlungsausfälle und Kartenmissbrauch zu verhindern.
Automatische Sperre: Shopify Payments bewertet bei jedem Absenden der Kasse das Betrugsrisiko und kann Zahlungsversuche mit hohem Risiko automatisch blockieren, bevor eine Bestellung entsteht. Kommen etwa in kurzer Zeit viele Bestellungen oder fehlgeschlagene Zahlungsversuche von derselben IP-Adresse, kann die Betrugsanalyse diese Adresse vorübergehend sperren; die Sperre endet in der Regel nach einem Tag, weitere Bestellversuche von dieser Adresse können sie verlängern. Ein neuer Versuch mit anderen Zahlungs- oder Rechnungsangaben kann gelingen. Halten Sie die Sperre für falsch, schreiben Sie uns: Ein Mitarbeiter prüft den Fall und kann Ihnen die Bestellung auf anderem Weg ermöglichen; Sie können Ihren Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO).
Drittland: Stripe übermittelt Daten an die Stripe, LLC in den USA (DPF, Standardvertragsklauseln). PayPal stützt Übermittlungen innerhalb seines Konzerns auf genehmigte verbindliche interne Datenschutzvorschriften, Adyen auf Standardvertragsklauseln.
Speicherdauer: Zahlungsbelege bei uns 8 Jahre; bei den Zahlungsdienstleistern nach deren gesetzlichen Pflichten (Datenschutzerklärungen von Stripe, PayPal und Adyen).
Apple Pay und Google Pay: Hier verarbeiten Apple bzw. Google Ihre Daten in eigener Verantwortung, für Personen im EWR die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, bzw. die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Ihre echte Kartennummer erhalten wir nicht (Apple Pay und Datenschutz, Datenschutzhinweise für Google Payments).
Shop Pay: Shop Pay speichert Ihre Zahlungs- und Adressdaten für spätere Käufe; dafür ist Shopify eigenständig verantwortlich (Datenschutzhinweise für Shop-Nutzer).

Schnellkauf-Schaltflächen

Im Warenkorb zeigen wir Schaltflächen für PayPal, Apple Pay und Google Pay; Shop Pay können Sie in der Kasse wählen. Damit die Schaltflächen erscheinen, lädt Ihr Browser im Warenkorb Programmcode von Shopify und, je nach Schaltfläche, auch von PayPal, Google oder Apple; der jeweilige Anbieter erhält dabei Ihre IP-Adresse und Browserangaben, und Google teilt unserer Seite gegebenenfalls mit, ob Sie ein Google-Zahlungsprofil haben, mit dem Sie bei uns bezahlen können. Ihre Bestell- und Kontaktdaten erhält der jeweilige Anbieter erst, wenn Sie eine Schaltfläche anklicken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein schneller Bezahlvorgang.

Klarna, Alma und PayPal: Prüfung und automatisierte Entscheidungen

Klarna: Wählen Sie Klarna (z. B. Zahlung nach 30 Tagen oder in drei Raten), leiten wir Sie zur Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, weiter. Klarna erhält Name, Adresse, E-Mail-Adresse, gegebenenfalls Telefonnummer und Bestelldaten wie Artikel und Betrag (Datenschutzhinweise von Klarna).
Alma: Wählen Sie Ratenzahlung mit Alma, leiten wir Sie zur Alma SAS, 176 Avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, Frankreich, weiter. Alma erhält Name, Adresse, E-Mail-Adresse, Telefonnummer, Bestelldaten und Ihre Kartendaten und kann weitere Nachweise wie Kontoauszüge anfordern (Datenschutzhinweise von Alma). Alma ist dafür eigenständig verantwortlich und kann Daten in eigener Verantwortung auch an Dienstleister außerhalb der EU übermitteln.
PayPal: Wählen Sie PayPal, leiten wir Sie zur PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, weiter. PayPal erhält Name, E-Mail-Adresse, Liefer- und Rechnungsadresse sowie Bestelldaten (Datenschutzerklärung von PayPal).
Prüfung durch den Anbieter: Klarna, Alma und PayPal prüfen in eigener Verantwortung Ihre Identität und Zahlungsfähigkeit, gegebenenfalls mit Hilfe von Auskunfteien (PayPal z. B. bei Lastschrift oder „Später bezahlen“), und entscheiden, ob Sie die gewählte Zahlart nutzen können. Diese Entscheidung kann ausschließlich automatisiert fallen (Art. 22 DSGVO). Welche Daten und Verfahren sie verwenden und welche Folgen das hat, erklären die Anbieter in ihren Datenschutzhinweisen.
Was wir erhalten: nur das Ergebnis (angenommen oder abgelehnt) und den Zahlungsstatus, keine Bonitäts- oder Auskunfteidaten.
Ihre Rechte: Bei einer automatisierten Entscheidung können Sie verlangen, dass ein Mensch sie überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO); wenden Sie sich dazu an Klarna, Alma bzw. PayPal. Wird eine Zahlart abgelehnt, können Sie eine andere wählen, z. B. Karte.
Scoring: Für Wahrscheinlichkeitswerte über Ihr künftiges Zahlungsverhalten gilt ab dem 20. November 2026 zusätzlich § 37a BDSG, soweit deutsches Datenschutzrecht auf den Anbieter oder die Auskunftei anwendbar ist. Er schließt bestimmte Daten von der Berechnung aus, etwa Name, Anschrift und Daten aus sozialen Netzwerken, und gibt Ihnen ein Recht auf Erläuterung des Werts sowie auf Anfechtung und Entscheidung durch einen Menschen; diese Pflichten treffen den jeweiligen Anbieter bzw. die Auskunftei.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (gewählte Zahlart) und Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).
Drittland: Wir übermitteln an Klarna (Schweden), Alma (Frankreich) und PayPal (Luxemburg), also innerhalb des EWR. Übermittlungen in Drittländer regeln die Anbieter in eigener Verantwortung.
Speicherdauer: Zahlungsbelege bei uns 8 Jahre; bei den Anbietern nach deren Fristen.

Ratenvorschau von Alma

In Ländern, in denen wir Alma anbieten, zeigen Produktseiten und -karten mögliche Ratenpläne. Dafür fragt Ihr Browser auf Produktseiten beim Laden der Seite, auf Produktkarten erst wenn Sie die Ratenansicht öffnen, bei der Alma SAS (Frankreich) ab, welche Pläne für Preis und Land möglich sind. Übermittelt werden Preis, Land, unsere Händlerkennung und technisch Ihre IP-Adresse und Browserangaben, keine Kundendaten. Die Programmdateien für die Ratenansicht lädt Ihr Browser über das Netzwerk jsDelivr, das die Netzwerkpartner Cloudflare und Fastly (USA, DPF) betreiben; diese erhalten dabei Ihre IP-Adresse und Browserangaben. Das Ergebnis der Abfrage speichern wir bis zum Schließen des Tabs im Sitzungsspeicher Ihres Browsers (kbs-alma:…), damit die Seite nicht erneut abfragen muss. Das alles geschieht unabhängig von Ihrer Auswahl im Cookie-Banner. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, die Raten vorab transparent zu zeigen.

Guthaben und Geschenkkarten

Lösen Sie Guthaben oder eine Geschenkkarte ein, verarbeiten wir Code, Betrag und Restguthaben in Shopify (Art. 6 Abs. 1 lit. b DSGVO), bis das Guthaben verbraucht oder verfallen ist, danach nach den gesetzlichen Fristen (Abschnitt 3).

10. Kontakt und Formulare

Pflichtfelder in unseren Formularen sind gekennzeichnet. Betrifft Ihre Anfrage einen Vertrag mit uns, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, Ihre Anfrage zu beantworten, soweit unten nichts anderes steht.

E-Mail und Kontaktformular

Daten: E-Mail-Adresse, Name, gegebenenfalls Telefon- und Bestellnummer, Ihre Nachricht und Anhänge. Im Kontaktformular brauchen wir mindestens E-Mail-Adresse und Nachricht, um antworten zu können.
Empfänger: Unsere Postfächer liegen bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, unserem Auftragsverarbeiter. Das Kontaktformular stellt Shopify bereit (Abschnitt 4) und leitet Ihre Nachricht an dieses Postfach weiter.
Speicherdauer: Nachrichten zu Bestellungen und Verträgen 6 Jahre als Geschäftskorrespondenz; andere Anfragen löschen wir nach Erledigung, spätestens 2 Jahre nach der letzten Nachricht.

Telefon

Rufen Sie uns an, verarbeiten wir Ihre Rufnummer und den Inhalt des Gesprächs, um Ihr Anliegen zu bearbeiten. Notizen dazu speichern wir wie E-Mails.

Über den WhatsApp-Link im Fußbereich können Sie uns schreiben, etwa mit Fragen oder Fotos Ihrer Bauprojekte. Erst der Klick öffnet WhatsApp; vorher gehen keine Daten an WhatsApp.
Anbieter: WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Für die Nutzung des Messengers ist WhatsApp eigenständig verantwortlich. Für die Kontaktdaten unserer Kunden in unserem WhatsApp-Business-Konto (z. B. Telefonnummern) ist WhatsApp nach seinen Bedingungen für die WhatsApp Business App unser Auftragsverarbeiter.
Daten: Telefonnummer, Profilname und -bild, Nachrichten, Fotos und Metadaten wie der Zeitpunkt.
Drittland: Übermittlung an die WhatsApp LLC in den USA (DPF, Standardvertragsklauseln).
Rechtsgrundlage und Speicherdauer: wie bei E-Mails. Möchten Sie WhatsApp nicht nutzen, erreichen Sie uns per E-Mail, Telefon oder Kontaktformular.

Fehlteile- und Ersatzteilformular

Fehlt in Ihrem Set ein Teil oder ist eines beschädigt, können Sie das über unser Formular melden. Bitte fotografieren Sie nur das Set und die Teile, keine Personen und keine Adressaufkleber.

Ablauf: Zuerst geben Sie Bestellnummer und E-Mail-Adresse ein. Unser Server-Dienst bei Cloudflare lässt über Make in Shopify prüfen, ob die Bestellung existiert und zu dieser E-Mail-Adresse gehört, und zeigt Ihnen die bestellten Produkte. Ihre Anfrage leitet er dann an Make weiter; Make versendet sie über unser Gmail-Konto an unser Kundenservice-Postfach bei IONOS und an unseren Lieferanten (unten; Abschnitt 21).
Daten: Bestellnummer, E-Mail-Adresse, Produkt und Artikelnummer, Teilenummer und -art, Art des Problems, Menge, Beschreibung, Ihre Dateien (Fotos der Anleitung, des Schadens oder des Aufbaus, bei elektrischen Teilen ein Video; zusammen höchstens 8 MB) sowie Name, E-Mail-Adresse, Lieferadresse und Telefonnummer für den Versand der Teile; das Formular fragt die Telefonnummer als Pflichtfeld ab.
Fotos und Metadaten: Ihre Dateien leiten wir unverändert weiter, auch an unseren Lieferanten (unten). Enthält ein Foto Metadaten, etwa den Aufnahmeort (GPS-Daten), das Aufnahmedatum oder das Gerät, gehen diese mit. Bitte fotografieren Sie keine Personen und keine Adressaufkleber und entfernen Sie Standortdaten vor dem Hochladen, etwa indem Sie die Ortsangabe in Ihrer Kamera- oder Foto-App abschalten oder beim Teilen weglassen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ihre Mängelrechte nach §§ 437 ff. BGB); helfen wir auf Kulanz, Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, Ihnen auch ohne gesetzlichen Anspruch schnell Ersatz zu beschaffen.
Weitergabe an unseren Lieferanten in China: Ersatzteile beschaffen wir bei unserem Lieferanten in China. Er erhält mit jeder Anfrage per E-Mail aus unserem Gmail-Konto alle Angaben der Anfrage: Bestellnummer, Produkt, Angaben zum Teil, Ihre Dateien (unverändert, mit etwaigen Metadaten wie dem Aufnahmeort) sowie Ihren Namen, Ihre E-Mail-Adresse, Telefonnummer und Lieferadresse. Der Lieferant ist für die Bearbeitung der Ersatzteilanfrage eigenständig verantwortlich; je nach Fall schickt er die Teile direkt an Sie oder an uns, und wir senden sie Ihnen zu. Für China gibt es keinen Angemessenheitsbeschluss der EU-Kommission; Standardvertragsklauseln haben wir mit dem Lieferanten nicht vereinbart. Die Übermittlung stützen wir auf Art. 49 Abs. 1 lit. b DSGVO, weil sie für die Beschaffung des Ersatzteils, also für die Erfüllung Ihres Anspruchs bzw. Ihres Wunsches nach Ersatz, erforderlich ist.
Missbrauchsschutz: Zum Schutz vor Missbrauch zählt unser Server-Dienst Anfragen je IP-Adresse; diese Zähler löschen sich nach 2 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, das Formular vor Missbrauch zu schützen.
Speicherdauer: Die Anfrage einschließlich der Dateien bewahren wir als Geschäftskorrespondenz 6 Jahre auf, ab dem Ende des Kalenderjahres.

Widerrufsformular

Zweck und Daten: Über unsere Widerrufsfunktion können Sie einen Kaufvertrag online widerrufen. Dafür verarbeiten wir Name und E-Mail-Adresse, freiwillig Bestellnummer und Nachricht sowie Sprache und Adresse der Seite, von der Sie den Widerruf senden.
Ablauf: Make nimmt das Formular entgegen und sendet die Eingangsbestätigung aus unserem Gmail-Konto an Sie und eine Kopie an dasselbe Konto (Abschnitt 21).
Rechtsgrundlage: Eingangsbestätigung: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a Abs. 4 BGB; Bearbeitung des Widerrufs und Rückabwicklung: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: 6 Jahre als Geschäftskorrespondenz, ab dem Ende des Kalenderjahres.

Anfragen von Händlern und Unternehmen

Über unser B2B-Formular können Unternehmen Anfragen stellen. Das Formular stellt die App Shopify Forms von Shopify bereit; die Angaben speichern wir als Kontakt in Shopify (Abschnitt 4).
Daten: Vor- und Nachname der Ansprechperson, Firma, Land, E-Mail-Adresse, Telefonnummer und Ihr Anliegen, freiwillig Website und USt-IdNr. Eine Newsletter-Anmeldung ist damit nicht verbunden. Kontaktdaten von Ansprechpersonen erhalten wir auch von Firmenwebsites, Messen oder Visitenkarten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag mit Ihrem Unternehmen geht; sonst Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, Geschäftsbeziehungen mit Unternehmen anzubahnen und zu pflegen.
Speicherdauer: ohne Geschäftsbeziehung 2 Jahre nach dem letzten Kontakt, sonst 6 Jahre als Geschäftskorrespondenz.

Bewerbungen

Bewerbungen nehmen wir per E-Mail an jobs@kbs-shop.com entgegen (Postfach bei IONOS, Auftragsverarbeiter). Bewerben Sie sich über ein Jobportal, erhalten wir Ihre Daten von diesem Portal.
Daten: Kontaktdaten, Anschreiben, Lebenslauf, Zeugnisse und weitere Angaben, die Sie uns schicken. Angaben etwa zu Gesundheit oder Religion senden Sie bitte nur, wenn sie für die Stelle nötig sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Beschäftigungsverhältnisses); für Angaben zu Gesundheit oder Schwerbehinderung, soweit wir sie für arbeitsrechtliche Pflichten brauchen, Art. 9 Abs. 2 lit. b DSGVO. Andere besondere Angaben, die Sie ungefragt machen, berücksichtigen wir nicht.
Empfänger: nur die Personen, die über die Besetzung entscheiden.
Speicherdauer: 6 Monate nach Abschluss des Verfahrens, um etwaige Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz abwehren zu können. Länger, etwa für spätere Stellen, nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und höchstens 2 Jahre; Sie können sie jederzeit widerrufen. Bei einer Einstellung kommen die Unterlagen in die Personalakte.

11. KI-Chat „Blocky“

Auf unseren Produktseiten können Sie Fragen an Blocky stellen. Blocky ist ein KI-Assistent, kein Mensch. Er beantwortet Fragen zu Produkten, Versand und Zahlung auf Grundlage unserer Shopdaten. KI kann sich irren; verbindlich sind die Angaben auf der Produktseite und in unseren AGB. Auf Bestellungen, Sendungsdaten oder Kundenkonten hat Blocky keinen Zugriff. Die Nutzung ist freiwillig.

Wann Daten fließen: erst, wenn Sie eine Nachricht absenden. Vorher sendet das Chatfeld nichts an Server; beim Aufruf der Produktseite legt es nur eine zufällige Sitzungskennung im Sitzungsspeicher Ihres Browsers an (kbs_chat_sid).
Daten: Ihre Nachrichten und Blockys Antworten, Zeitpunkt, Sprache und Land der Shopversion, das Produkt der Seite, eine zufällige Sitzungs- und Gesprächskennung, die Besucherkennung aus dem Shopify-Cookie _shopify_y, falls Ihr Browser es gespeichert hat (Shopify setzt es nur mit Ihrer Einwilligung in die Kategorie Statistik, Abschnitt 15), und technisch Ihre IP-Adresse; Kontaktdaten nur, wenn Sie sie selbst eingeben.
Ablauf: Unser Server-Dienst bei Cloudflare leitet Ihre Nachricht mit dem bisherigen Gesprächsverlauf unverändert an ein Sprachmodell von Anthropic weiter, das die Antwort erzeugt. Erst für das Gesprächsprotokoll (unten) ersetzen wir erkennbare E-Mail-Adressen, Telefonnummern und lange Ziffernfolgen wie Karten- oder Kontonummern durch Platzhalter; Namen und Adressen erkennt dieser Filter nicht. Geben Sie deshalb bitte keine Gesundheits-, Zahlungs- oder Ausweisdaten ein.
Übergabe an unser Team: Braucht Ihr Anliegen einen Menschen, etwa bei Fragen zu einer Bestellung oder bei Reklamationen, fragt Blocky nach Bestellnummer und E-Mail-Adresse und übergibt über Make per E-Mail an unser Gmail-Konto (Abschnitt 21): eine Zusammenfassung, Bestellnummer und E-Mail-Adresse (falls genannt), Sprache, Land und das Produkt der Seite, je nach Fall auch Ihre letzte Nachricht im Wortlaut, den bisherigen Gesprächsverlauf und die Gesprächskennung. Sie können uns stattdessen jederzeit direkt schreiben: shop@kbs-shop.com.
Protokoll und Auswertung: Wir speichern die Gespräche mit den genannten Platzhaltern, den Kennungen und gegebenenfalls der Shopify-Besucherkennung in einer Datenbank bei Cloudflare, um Fehler zu finden, Missbrauch zu erkennen und Blocky zu verbessern. Dazu lassen wir die Gespräche der letzten Tage auch automatisiert von einem KI-Modell von Anthropic zusammenfassen. Die Ergebnisse nutzen wir für bessere Antworten und Produktinformationen, nicht für Werbung und nicht für Entscheidungen über Sie.
Verknüpfung mit Bestellungen: Legen Sie nach einem Chat etwas in den Warenkorb, speichern wir dort die Gesprächskennung und das Produkt, zu dem Sie gefragt haben. Bestellen Sie, gehen diese Angaben in die Bestellung über, und wir markieren sie mit dem Vermerk „Asked Blocky“ (Chat genutzt). So messen wir, ob die Beratung hilft. Über die Kennung lässt sich das Gespräch Ihrer Bestellung zuordnen, solange das Protokoll gespeichert ist. Diese Zuordnung nutzen wir nur für die Erfolgsmessung und wenn Sie sich wegen des Gesprächs an uns wenden.
Rechtsgrundlagen: Beantwortung: Art. 6 Abs. 1 lit. b DSGVO (Beratung vor einem Kauf auf Ihre Anfrage), sonst Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an schnellem Kundenservice. Protokoll, Auswertung und Verknüpfung: Art. 6 Abs. 1 lit. f DSGVO; unsere Interessen sind Qualitätssicherung, Fehleranalyse, Missbrauchsabwehr, bessere Antworten und Erfolgsmessung. Sitzungskennung im Browser (kbs_chat_sid): § 25 Abs. 2 Nr. 2 TDDDG.
Empfänger: Cloudflare, Inc. (Abschnitt 21) und Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, als Auftragsverarbeiter, wobei die Daten in den USA gespeichert werden; Make und Google als Anbieter unseres Gmail-Kontos (Abschnitt 21) für Übergaben an unser Team; Shopify für die Angaben in Warenkorb und Bestellung.
Drittland: Anthropic speichert die Daten in den USA; die Antwort kann auch in Rechenzentren in weiteren Ländern entstehen. Grundlage sind Standardvertragsklauseln. Die Datenbank bei Cloudflare ist für Westeuropa angelegt; eine Speicherung ausschließlich in der EU sagt Cloudflare dafür nicht zu; Cloudflare kann aus den USA zugreifen (DPF, Standardvertragsklauseln).
Speicherdauer: Gesprächsprotokolle und Auswertungen speichern wir derzeit ohne feste Frist; eine automatische Löschung ist nicht eingerichtet. Wir löschen sie, wenn Sie es verlangen (unten), und spätestens, wenn wir Blocky nicht mehr betreiben. Anthropic löscht Ein- und Ausgaben innerhalb von 30 Tagen, bei mutmaßlichen Verstößen gegen seine Nutzungsrichtlinien nach bis zu 2 Jahren (Einstufungsergebnisse bis zu 7 Jahre), und nutzt die Inhalte nicht zum Training seiner Modelle. Zähler zum Schutz vor Missbrauch (je Sitzung, ersatzweise je IP-Adresse) löschen sich nach höchstens 48 Stunden. Übergaben an unser Team speichern wir in unserem Gmail-Konto wie E-Mails (Abschnitt 10).
Keine automatisierten Entscheidungen: Blocky trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).
Ihre Wahl: Möchten Sie ein Gespräch löschen lassen, nennen Sie uns ungefähren Zeitpunkt und Produkt. Der Protokollierung können Sie widersprechen (Abschnitt 2).

Für Werbe-E-Mails nutzen wir Klaviyo: Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02110, USA, als unser Auftragsverarbeiter. Klaviyo speichert die Daten in den USA (Amazon Web Services, Region Nord-Virginia). Zugreifen können auch Konzerngesellschaften von Klaviyo, u. a. in Australien, Irland, Kanada, Singapur und dem Vereinigten Königreich, sowie Unterauftragsverarbeiter, etwa für Kundensupport auf den Philippinen und in Costa Rica (Liste der Unterauftragsverarbeiter). Grundlage ist das DPF, ersatzweise Standardvertragsklauseln (Datenschutzinformationen von Klaviyo). Das gilt für alle folgenden Unterabschnitte.

Anmeldung: in Formularen von Klaviyo auf unseren Seiten (z. B. Startseite, Produktseiten, „Über uns“, Seite „Secret-Rabattcode“ oder als Pop-up) oder mit dem Häkchen in der Kasse. Sie erhalten dann eine E-Mail mit einem Bestätigungslink; erst mit dem Klick darauf ist die Anmeldung wirksam (Double-Opt-in).
Inhalt: Neuheiten, Angebote und Rabatte, Vorbestellungen und Produktempfehlungen sowie, wenn Ihre Einwilligung das umfasst, Erinnerungen an nicht abgeschlossene Einkäufe.
Daten: E-Mail-Adresse, freiwillig Ihr Vorname, Sprache und Land der Shopversion, Zeitpunkt von Anmeldung und Bestätigung, genutztes Formular und Ihre IP-Adresse.
Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); den Nachweis speichern wir nach Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO.
Formulare und Pop-up von Klaviyo lädt unser Shop auf allen Seiten unabhängig von Ihrer Auswahl im Cookie-Banner; Klaviyo erhält dabei Ihre IP-Adresse und Browserangaben (Abschnitt 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Ihnen die Anmeldung zum Newsletter anzubieten. Klaviyo schützt seine Formulare mit dem Dienst der DataDome SA, 10 rue de Penthièvre, 75008 Paris, Frankreich, vor Bots.
Abmeldung: jederzeit über den Link in jeder E-Mail oder per Nachricht an uns, mit Wirkung für die Zukunft.
Speicherdauer: bis zur Abmeldung. Danach speichern wir nur noch Ihre E-Mail-Adresse, und zwar dauerhaft auf einer Sperrliste, damit Sie keine Werbung mehr erhalten (Art. 6 Abs. 1 lit. f DSGVO; Interesse: Ihren Widerruf dauerhaft beachten). Den Einwilligungsnachweis bewahren wir für die Dauer der Einwilligung und 3 Jahre danach auf.

Erfolgsmessung in E-Mails

In den E-Mails, die Klaviyo für uns verschickt, messen wir, ob Sie eine E-Mail öffnen (unsichtbares Pixel) und welche Links Sie anklicken (persönliche Links). Das gilt für Newsletter und werbliche Serien ebenso wie für Service-E-Mails, etwa Nachrichten zu Vorbestellungen, Verfügbarkeitsalarme und Hinweise zu Lieferverzögerungen. Erfasst werden Zeitpunkt des Öffnens, angeklickte Links, E-Mail-Programm, Gerät und ungefährer Ort aus der IP-Adresse. So sehen wir, welche Themen interessieren und ob wichtige Hinweise ankommen, und schicken weniger E-Mails an Empfänger, die sie nicht lesen.

Rechtsgrundlage bei Newsletter und werblichen E-Mails: Ihre Einwilligung in den Newsletter, die Sie mit der Anmeldung erteilen; die Messung gehört zum Newsletter, wie wir ihn hier beschreiben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). In den Anmeldeformularen selbst erwähnen wir die Messung nicht. Widerrufen können Sie sie per Nachricht an uns oder mit der Abmeldung vom Newsletter.
Rechtsgrundlage bei Service-E-Mails: Hier holen wir keine Einwilligung ein und stützen die Messung auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, zu prüfen, ob wichtige Hinweise zu Ihrer Bestellung ankommen. Sie können dem jederzeit widersprechen (Abschnitt 2).
Ihre Wahl: Unabhängig davon verhindern Sie die Öffnungsmessung, wenn Sie in Ihrem E-Mail-Programm das automatische Laden von Bildern abschalten.
Speicherdauer: Die Messdaten speichern wir mit Ihrem Profil in Klaviyo (Speicherdauer unten).

E-Mail-Werbung an Bestandskunden

Ohne Ihre Einwilligung schicken wir Ihnen keine Werbung per E-Mail, auch nicht nach einem Kauf. Die E-Mail-Adresse aus Ihrer Bestellung nutzen wir dann nur für die Abwicklung der Bestellung und für Serviceinformationen (unten).

Erinnerungen an Warenkorb, Kasse und angesehene Produkte

Klaviyo erinnert Sie per E-Mail, wenn Sie Artikel im Warenkorb lassen, die Kasse ohne Bestellung verlassen oder sich Produkte angesehen haben. Diese Erinnerungen sind Werbung. Wir schicken sie nur, wenn Sie den Newsletter mit einer Einwilligung abonniert haben, die solche Erinnerungen umfasst (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Andernfalls nutzen wir eine in der Kasse eingegebene E-Mail-Adresse nicht für Erinnerungen. Geben Sie in der Kasse Ihre E-Mail-Adresse ein, übermittelt Shopify sie mit dem Warenkorbinhalt an Klaviyo, auch wenn Sie nicht bestellen. Liegt keine Einwilligung vor, verwenden wir diese Angaben nicht und löschen sie in Klaviyo nach 30 Tagen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, Erinnerungen nur an berechtigte Empfänger zu senden. Verarbeitet werden E-Mail-Adresse, Warenkorbinhalt, angesehene Produkte und Zeitpunkte. Angesehene Produkte und Warenkörbe übermittelt das Pixel von Klaviyo nur, wenn Sie den Kategorien Statistik und Marketing zugestimmt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Das Skript von Klaviyo für Formulare lädt dagegen auch ohne Einwilligung (oben). Das Cookie __kla_id (bis zu 2 Jahre), mit dem Klaviyo Besucher wiedererkennt, die es bereits kennt, etwa nach einem Klick in einer unserer E-Mails, und ihre Aktivität auf unserer Website erfasst, setzt und liest das Skript aber erst, wenn Shopify ihm Ihre Einwilligung im Cookie-Banner meldet; Grundlage ist dann diese Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Abmelden können Sie sich über den Link in jeder E-Mail.

Weitere automatische E-Mails

Werbliche Serien: Willkommensserie nach der Anmeldung, Angebote nach einem Kauf und eine Erinnerung, wenn Sie länger nicht bestellt haben; Grundlage ist Ihre Newsletter-Einwilligung, ohne sie erhalten Sie diese E-Mails nicht.
Serviceinformationen zu Ihrer Bestellung, z. B. zu Verzögerungen beim Zoll, enthalten keine Werbung; Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Bestell- und Versandbestätigungen verschickt Shopify (Abschnitt 8).

Benachrichtigungen per SMS

Für einzelne Benachrichtigungen, etwa wenn ein Produkt wieder verfügbar ist, können Sie Ihre Mobilnummer angeben und die Anmeldung bestätigen. Wir speichern dann Ihre Nummer und die gewünschten Benachrichtigungen in Klaviyo auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Bisher haben wir keine SMS verschickt. Verschicken wir SMS, geschieht das über Klaviyo über seine Unterauftragsverarbeiter Twilio, Inc. (USA, DPF) und Infobip, Inc. (USA; Verarbeitung auch in weiteren Ländern, u. a. Brasilien, Indien, Mexiko und dem Vereinigten Königreich); Grundlage der Übermittlung an Klaviyo sind das DPF bzw. Standardvertragsklauseln, und Klaviyo muss seinen Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auferlegen. Abmelden können Sie sich jederzeit per Nachricht an uns oder, sobald Sie SMS von uns erhalten, mit der Antwort STOP; bis dahin speichern wir die Nummer.

Kaufdaten in Klaviyo und Profilbildung

Daten: Über die Verbindung zu Shopify erhält Klaviyo die Daten aller Kunden, auch ohne Newsletter-Abonnement: Name, E-Mail-Adresse, Telefonnummer, Adresse, Sprache, Land sowie Bestellungen, bestellte Produkte, begonnene Kassenvorgänge und Ereignisse zu Versand, Zustellung, Erstattung und Stornierung.
Zweck: Werbung und Erinnerungen an Newsletter-Abonnenten, Serviceinformationen und der Abgleich mit der Sperrliste, damit Sie nach einem Widerspruch oder einer Abmeldung keine Werbung erhalten.
Profilbildung: Wir fassen Empfänger nach Käufen, Interessen und ihrer Reaktion auf E-Mails (Öffnungen und Klicks, oben) zu Gruppen zusammen. Klaviyo berechnet aus den Bestelldaten Prognosen, etwa den voraussichtlichen nächsten Kaufzeitpunkt oder den erwarteten Umsatz. Eine Schätzung des Geschlechts nutzen wir nicht. Profiling für Direktwerbung können Sie jederzeit widersprechen (Abschnitt 2).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Werbung gezielt und nur an Empfänger zu senden, die sie erhalten dürfen. Bei Newsletter-Abonnenten Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Speicherdauer: Profile von Kunden ohne Newsletter-Einwilligung löschen wir in Klaviyo 3 Jahre nach der letzten Bestellung, Profile von Abonnenten nach der Abmeldung (Sperrliste oben), Angaben aus einer begonnenen Kasse ohne Bestellung nach 30 Tagen, wenn wir sie nicht für Erinnerungen nutzen dürfen (oben). Nach Ende unseres Vertrags löscht Klaviyo alle Daten innerhalb von 90 Tagen.

13. Bewertungen

Produktbewertungen (Judge.me)

Anbieter: Judge.me Ltd, Buckworths, 2nd Floor, 1-3 Worship Street, London EC2A 2AB, Vereinigtes Königreich; Vertreter in der EU: Buckworths (Ireland) Limited, Dublin. Für Daten aus unserem Shop ist Judge.me unser Auftragsverarbeiter, für Personen, die direkt mit Judge.me interagieren, eigenständig verantwortlich.
Anzeige: Auf Start-, Produkt-, Kollektions- und Warenkorbseiten lädt Ihr Browser die Bewertungen von Servern von Judge.me, die dabei Ihre IP-Adresse und Browserangaben erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, echte Kundenmeinungen zu zeigen.
Statistik: Mit Ihrer Einwilligung (Kategorie Statistik) erfasst Judge.me Ereignisse wie Seitenaufrufe und Käufe für Auswertungen zu den Bewertungen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
Veröffentlichte Bewertungen zeigen wir mit dem gewählten Anzeigenamen, Sternen, Text und gegebenenfalls Fotos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, echte Kundenmeinungen zu zeigen, die zur Veröffentlichung abgegeben wurden. Widersprechen Sie, entfernen wir Ihre Bewertung oder zeigen sie ohne Ihren Namen. Bewertungsanfragen über Judge.me verschicken wir derzeit nicht.
Drittland: Vereinigtes Königreich (Angemessenheitsbeschluss); Unterauftragsverarbeiter in den USA auf Grundlage von Standardvertragsklauseln (Datenschutzerklärung von Judge.me).
Speicherdauer: Bewertungen bis zu Ihrem Widerspruch oder bis wir Judge.me nicht mehr nutzen. Statistik- und Kundendaten aus dem Shop verarbeitet Judge.me nur in unserem Auftrag für die Dauer unserer Nutzung; danach löscht Judge.me sie oder gibt sie uns zurück, soweit kein Gesetz die Aufbewahrung verlangt.

Trusted Shops: Siegel und Shopbewertungen

Anbieter: Trusted Shops SE, Subbelrather Str. 15c, 50823 Köln.
Siegel und Widgets: Auf allen Seiten zeigen wir das Siegel von Trusted Shops mit unseren Shopbewertungen, auf der Seite „Über uns“ Bewertungs-Widgets. Ihr Browser lädt sie von Servern von Trusted Shops, unabhängig von Ihrer Auswahl im Cookie-Banner. Dabei verarbeitet Trusted Shops Ihre IP-Adresse (nach eigenen Angaben sofort anonymisiert), Zeitpunkt, Datenmenge und Internetanbieter. Sind Sie bei Trusted Shops angemeldet, erkennt Trusted Shops Sie über ein Cookie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, unser Gütesiegel und unsere Shopbewertungen zu zeigen.
Trustcard: Auf der Bestellbestätigungsseite zeigt Trusted Shops eine Karte (Trustcard). Sie liest Bestellsumme, Bestellnummer, gegebenenfalls die gekauften Produkte und Ihre E-Mail-Adresse aus; die E-Mail-Adresse wird vor der Übermittlung mit einer Einwegfunktion in einen Prüfwert (Hash) umgerechnet. Damit prüft Trusted Shops, ob Sie für seine Dienste registriert sind, und bietet Ihnen gegebenenfalls den Käuferschutz an; über die Karte fragen wir Sie außerdem, ob Sie eine Bewertungseinladung erhalten möchten (unten). Registrieren Sie sich nicht, löscht Trusted Shops die übermittelten Daten nach eigenen Angaben automatisch; eine Frist nennt Trusted Shops nicht. Die Karte lädt unabhängig von Ihrer Auswahl im Cookie-Banner. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Ihnen Käuferschutz und Bewertungseinladung anbieten zu können.
Gemeinsame Verantwortung: Für Siegel und Widgets sind Trusted Shops und wir gemeinsam verantwortlich (Art. 26 DSGVO). Wir informieren Sie hier über die Einbindung; Trusted Shops informiert über seine weitere Verarbeitung (Datenschutzhinweise von Trusted Shops). Anfragen zum Datenschutz richten Sie am besten direkt an Trusted Shops; Sie können sich auch an uns wenden, dann leiten wir Ihr Anliegen weiter.
Drittland: Trusted Shops liefert die Inhalte über einen Netzwerkdienstleister in den USA aus (DPF bzw. Standardvertragsklauseln) und nutzt Dienstleister in Israel (Angemessenheitsbeschluss).
Speicherdauer: Die IP-Adresse anonymisiert Trusted Shops nach eigenen Angaben sofort; das Anmelde-Cookie bleibt höchstens 400 Tage nach der Anmeldung gespeichert.

Bewertungseinladungen von Trusted Shops

Nach Ihrer Bestellung fragen wir Sie auf der Bestellbestätigungsseite mit der Trustcard (oben), ob Sie eine Einladung zur Bewertung erhalten möchten. Nur wenn Sie zustimmen, übermitteln wir für die Einladung E-Mail-Adresse, Name, Bestellnummer, Bestelldatum und bestellte Produkte an Trusted Shops, das Ihnen nach einer Wartezeit eine E-Mail mit der Bitte um eine Bewertung schickt. Ohne Ihre Zustimmung erhalten Sie keine Bewertungsbitte. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), die Sie jederzeit über den Link in der Einladung oder per Nachricht an uns widerrufen können. Die Angaben zur Einladung speichern wir mit der Bestellung.

Abgegebene Bewertungen veröffentlicht Trusted Shops in eigener Verantwortung nach seinen Bedingungen.

14. Vorbestellung, Verfügbarkeitsalarm, Produktangebote, Merkliste, Rabattanzeige

Vorbestellung und Verfügbarkeitsalarm (STOQ)

Anbieter: Artos Software Inc., 1111B S Governors Ave STE 3617, Dover, DE 19904, USA (App „STOQ“), als unser Auftragsverarbeiter.
Funktion: STOQ zeigt auf Produktseiten Vorbestell- und Benachrichtigungsoptionen und speichert bei einer Vorbestellung die Vorbestelldaten an der Bestellung. Bestätigungen und Versandinformationen zu Vorbestellungen verschickt Klaviyo in unserem Auftrag (Abschnitt 12).
Verfügbarkeitsalarm: Sie geben Ihre E-Mail-Adresse oder Mobilnummer an; je nach Produkt läuft die Anmeldung über STOQ oder direkt über Klaviyo, die Nachrichten verschickt Klaviyo (Abschnitt 12).
Daten: E-Mail-Adresse bzw. Mobilnummer, Produkt und Variante, Markt und Warenkorbkennung; beim Laden der Seite erhalten Server von STOQ Ihre IP-Adresse und Browserangaben.
Rechtsgrundlage: Vorbestellung: Art. 6 Abs. 1 lit. b DSGVO. Verfügbarkeitsalarm: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Laden der STOQ-Funktionen und Einträge im Sitzungsspeicher: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, Vorbestellungen und Verfügbarkeitsalarme anzubieten.
Statistik: Mit Ihrer Einwilligung (Kategorie Statistik) wertet STOQ die Nutzung der Funktionen aus (Sitzungs-, Warenkorb- und Kassenkennung, Seite, Produkt, Land); die Daten liegen bei ClickHouse Cloud auf Servern von Amazon Web Services in den USA (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Unabhängig davon legt STOQ beim Laden im Sitzungsspeicher Ihres Browsers die Einträge _stoq_pls (alle Seiten) und _stoq_sqe (Produktseiten) an, auch ohne Ihre Einwilligung; Ihr Browser löscht sie beim Schließen des Tabs.
Drittland: USA und Kanada, auf Grundlage von Standardvertragsklauseln (Datenschutzerklärung von STOQ).
Speicherdauer: Vorbestelldaten mit der Bestellung; Benachrichtigungswünsche bis zur Abmeldung; Statistikdaten, solange unser Shop mit STOQ verbunden ist. Trennen wir die Verbindung, löscht STOQ alle personenbezogenen Daten innerhalb von 48 Stunden.

Ergänzende Produktangebote (Selleasy)

Anbieter: Logbase Technologies LLP (App „Selleasy“), als unser Auftragsverarbeiter. Nach seinem Vertrag zur Auftragsverarbeitung nutzt Logbase die Daten nicht für eigene Zwecke (Vertrag zur Auftragsverarbeitung von Logbase).
Funktion und Daten: Selleasy zeigt im Warenkorb und auf Produktseiten passende Ergänzungen und markiert Bestellungen, die darüber zustande kommen. Verarbeitet werden Warenkorbinhalt, angeklickte Angebote und Bestelldaten, beim Laden der Angebote Ihre IP-Adresse und Browserangaben.
Einbindung: Selleasy lädt unabhängig von Ihrer Auswahl im Cookie-Banner. Beim Laden legt es im lokalen Speicher Ihres Browsers die Einträge lb-upsell-setup und lb-upsell-setupFetchedAt an. Zeigt es Ihnen Angebote, merkt es sich das im Sitzungsspeicher (lb-offer-viewed), nach einem Klick auf ein Angebot im lokalen Speicher (lb-offer-clicked, lb-track-ids, lb-offer-codes). Angezeigte und angeklickte Angebote meldet das Skript über unseren Shop an Logbase (Erfolgsmessung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Ihnen passende Ergänzungen anzubieten und zu messen, ob sie zu Käufen führen.
Drittland: Logbase verarbeitet und speichert die Daten vorwiegend in Rechenzentren in den USA, u. a. bei Amazon Web Services, und kann sie auch in anderen Ländern verarbeiten. Grundlage sind die Standardvertragsklauseln (Modul 2), die Teil des Vertrags zur Auftragsverarbeitung von Logbase sind (Art. 46 Abs. 2 lit. c DSGVO).
Speicherdauer: Kontaktdaten, Adressen und Bestellinformationen unserer Kunden speichert Logbase nach eigenen Angaben nicht, von Bestellungen nur eine zusammengefasste Anzahl für die Abrechnung; Nutzungs- und technische Daten bewahrt Logbase nach seiner Datenschutzerklärung für begrenzte Zeit auf. Beenden wir die Nutzung, löscht Logbase die Daten, sobald Shopify 48 Stunden nach der Deinstallation die Löschanforderung sendet; Reste in Sicherungskopien werden innerhalb von 30 Tagen gelöscht oder überschrieben (Datenschutzerklärung von Logbase).

Merkliste

Klicken Sie auf das Herz, speichern wir das Produkt in Ihrer Merkliste im lokalen Speicher Ihres Browsers (kbs_favs_v1: Produktkennung und Zeitpunkt). Sind Sie angemeldet, gleichen wir die Liste mit Ihrem Kundenkonto ab: Shopify sendet dafür Ihre Kundennummer und die Produktkennungen an unseren Server-Dienst bei Cloudflare (Abschnitt 21), der die Liste in Ihrem Konto speichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen gewünschte Funktion), für den Speicher im Browser § 25 Abs. 2 Nr. 2 TDDDG. Die Merkliste bleibt gespeichert, bis Sie Produkte entfernen, den Browserspeicher löschen oder Ihr Konto löschen lassen.

Rabattanzeige

Öffnen Sie einen Rabattcode über einen Link oder aus einer E-Mail oder läuft eine Aktion, zeigen wir die rabattierten Preise im Shop an. Dafür fragt Ihr Browser bei unserem Server-Dienst bei Cloudflare (Abschnitt 21) ab, für welche Produkte und Bedingungen der Code gilt, und legt ihn in Ihren Warenkorb. Übermittelt werden der Code und technisch Ihre IP-Adresse; persönliche Codes aus E-Mails lassen sich Ihnen zuordnen. Unser Server-Dienst speichert die Abfragen nicht. Shopify speichert den Code im Cookie discount_code; schließen Sie den Rabatthinweis, merken wir uns das im lokalen Speicher (kbs-dd-closed), damit die Seite nach Übernahme des Codes nur einmal neu lädt, setzen wir einen Eintrag im Sitzungsspeicher (kbs-dd-reload:…), und die Bedingungen des Codes merken wir uns bis zum Schließen des Tabs im Sitzungsspeicher (kbs-dd:…). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anwendung des Rabatts) und lit. f DSGVO mit dem Interesse, gültige Rabatte korrekt anzuzeigen; für die Einträge im Browser § 25 Abs. 2 Nr. 2 TDDDG.

15. Analyse

Bei jedem der folgenden Dienste steht, ob er nur mit Ihrer Einwilligung in die Kategorien läuft, die Abschnitt 6 für ihn nennt, oder auch ohne sie. Soweit ein Dienst mit Ihrer Einwilligung läuft, ist Rechtsgrundlage § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO; wie Sie widerrufen, steht in Abschnitt 6.

Shopify-Statistik

Nur mit Ihrer Einwilligung (Kategorie Statistik) erfasst Shopify (Abschnitt 4), welche Seiten Sie aufrufen, wonach Sie suchen, welche Produkte Sie ansehen und in den Warenkorb legen und welche Produktempfehlungen Sie anklicken. Dafür nutzt Shopify eine Kennung im Cookie _shopify_analytics (1 Jahr) sowie Gerät, Browser und ungefähren Ort. Haben Sie außerdem der Kategorie Marketing zugestimmt, setzt Shopify das Cookie _shopify_marketing (1 Jahr) für Marketingzwecke wie die Zuordnung von Käufen zu Werbemaßnahmen. Wir nutzen die zusammengefassten Berichte, um Sortiment, Navigation und Empfehlungen zu verbessern. Ereignisdaten mit Besucherkennung speichert Shopify für die Dauer unserer Nutzung von Shopify; eine kürzere feste Frist nennt Shopify nicht. Nach Vertragsende löscht oder anonymisiert Shopify sie. Zusammengefasste Berichte ohne Personenbezug bleiben bis zur Schließung unseres Kontos.

Google Analytics

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als unser Auftragsverarbeiter.
Zweck und Daten: Wir messen, wie Besucher den Shop nutzen: Seitenaufrufe, Suchbegriffe, Produkt- und Warenkorbereignisse, Kassenschritte und Käufe mit Bestellwert und Produkten, dazu eine Kennung in den Cookies _ga und _ga_* (bis zu 2 Jahre), Gerät, Browser und ungefährer Ort. Ihre IP-Adresse nutzt Google nach eigenen Angaben nur zur Ortsbestimmung und speichert sie für Nutzer aus der EU nicht.
Einwilligung: Google Analytics lädt auf allen Seiten beim Seitenaufruf, zunächst mit der Einstellung „abgelehnt“ (Google Consent Mode). Ohne Ihre Einwilligung setzt es keine Cookies und liest keine aus, sendet aber cookielose Signale zu Seitenaufrufen und Ereignissen an Google; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, die Nutzung des Shops zu messen. Mit Ihrer Einwilligung (Kategorie Statistik) setzt Google Analytics die genannten Cookies.
Zugriff auf die Berichte: Lesezugriff auf unsere Berichte in Google Analytics haben außer uns derzeit auch die Kelkoo SAS (Abschnitt 17), die Compare Group (Niederlande), ein Preisvergleichsdienst, mit dem wir früher zusammengearbeitet haben, und ein Dienstkonto für automatisierte Auswertungen. Die Berichte zeigen Nutzungsdaten ohne Namen oder Kontaktdaten.
Drittland: USA (Google LLC; DPF, Standardvertragsklauseln).
Speicherdauer: Nutzer- und Ereignisdaten nach der in unserem Konto eingestellten Aufbewahrungsdauer, höchstens 14 Monate (Datenschutzerklärung von Google).

Microsoft Clarity

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft handelt für Clarity nach eigenen Angaben als Verantwortlicher (Fragen und Antworten zu Clarity).
Zweck: Wir sehen, wie Besucher unsere Seiten bedienen, und finden so Fehler und Hürden. Dazu zeichnet Clarity einzelne Besuche auf (Mausbewegungen, Klicks, Scrollen, Seitendarstellung) und erstellt Heatmaps.
Daten: Interaktionen, Gerät, Browser, ungefährer Ort aus der IP-Adresse und von uns gesetzte Merkmale: Markt, Sprache, Seitentyp, Herkunftskanal aus Kampagnenparametern, Warenkorbereignisse und -fehler; in der Kasse, sobald Sie sie eingegeben haben, Ihre E-Mail-Adresse als Prüfwert (Hash). Eingaben in Formularfeldern zeichnet Clarity nicht auf. Für Werbung (Microsoft Advertising) geben wir die Daten nicht frei. Cookies: _clck (12 Monate) und _clsk (1 Tag).
Einwilligung: Clarity lädt auf allen Seiten beim Seitenaufruf und zeichnet Ihren Besuch auch ohne Ihre Einwilligung auf, über die Shopify-App von Clarity auch in der Kasse. Ohne Ihre Einwilligung (Kategorie Statistik) setzt Clarity keine Cookies. Rechtsgrundlage für die Aufzeichnung ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Fehler und Hürden im Shop zu finden. Für die Cookies gilt Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
Drittland: USA. Microsoft Ireland übermittelt auf Grundlage von Standardvertragsklauseln an die Microsoft Corporation, die nach dem DPF zertifiziert ist.
Speicherdauer: Aufzeichnungen 30 Tage, Heatmaps und markierte Aufzeichnungen 9 Monate (Datenschutzerklärung von Microsoft).

Triple Whale

Anbieter: Triple Whale Inc., 266 N 5th Street, Columbus, OH 43215, USA, als unser Auftragsverarbeiter.
Zweck: Wir messen, welche Werbekanäle zu Bestellungen führen.
Skript: Das Skript von Triple Whale lädt auf allen Seiten unabhängig von Ihrer Auswahl im Cookie-Banner. Bei jedem Seitenaufruf legt es im lokalen Speicher Ihres Browsers einen Zähler Ihrer Seitenaufrufe (TriplePixel) und eine Liste der aufgerufenen Seiten mit Adresse, Herkunftsseite, Zeitpunkt und einer Zufallskennung (TriplePixelU) an und lädt weiteren Programmcode von Servern von Triple Whale (config-security.com), die dabei Ihre IP-Adresse und Browserangaben erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, die Wirtschaftlichkeit unserer Werbung zu messen. Weitere Daten sendet dieser Programmcode erst, wenn Shopify ihm Ihre Einwilligung meldet (nächster Punkt).
Mit Einwilligung: Nur mit Ihrer Einwilligung (beim Pixel in die Kategorien Statistik und Marketing) übermitteln Pixel und Skript von Triple Whale Seitenpfade, Herkunftsseite, Zeitpunkte, Geräte- und Cookie-Kennungen, auch aus Cookies anderer Dienste wie Meta und Klaviyo, sowie Ereignisse in der Kasse einschließlich E-Mail-Adresse und Telefonnummer. Das Skript schreibt dann außerdem eine Kennung (__ref_id) in Ihren Warenkorb, die wir mit der Bestellung erhalten.
Bestelldaten: Unabhängig vom Banner erhält Triple Whale über die Verbindung zu Shopify Bestelldaten (Bestellwert, Produkte, Herkunftskanal) und die Kundendaten der Bestellung (Name, E-Mail-Adresse, Telefonnummer, Adresse), um Umsätze den Werbekanälen und wiederkehrenden Kunden zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, die Wirtschaftlichkeit unserer Werbung zu messen.
Werbeplattformen: An Werbeplattformen gibt Triple Whale diese Daten nicht weiter.
Drittland: USA, außerdem Israel (Angemessenheitsbeschluss) sowie Unterauftragsverarbeiter in der Ukraine und in Australien. Grundlage sind die mit Triple Whale vereinbarten Standardvertragsklauseln; nach eigenen Angaben ist Triple Whale zusätzlich nach dem DPF zertifiziert.
Speicherdauer: Bestell- und Ereignisdaten für die Dauer unseres Vertrags mit Triple Whale; nach Vertragsende löscht Triple Whale sie innerhalb von 60 Tagen. Einträge im lokalen Speicher bleiben, bis Sie sie im Browser löschen (Datenschutzerklärung von Triple Whale).

16. Werbung und Erfolgsmessung

Meta läuft nur mit Ihrer Einwilligung in die Kategorien Statistik und Marketing, Google Ads setzt Werbe-Cookies nur mit Ihrer Einwilligung in die Kategorie Marketing; ohne Einwilligung sendet das Google-Tag cookielose Signale (unten). Rechtsgrundlage für die Verarbeitung mit Einwilligung ist § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO; wie Sie widerrufen, steht in Abschnitt 6.

Meta (Facebook und Instagram)

Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.
Zweck: Wir zeigen Ihnen auf Facebook und Instagram Werbung für unsere Produkte, auch für Produkte, die Sie bei uns angesehen haben (Katalogwerbung), und messen den Erfolg unserer Anzeigen.
Daten: Ereignisse wie Seitenaufruf, Produktansicht, In den Warenkorb, Kasse und Kauf mit Produktkennungen und Werten; Kennungen in den Cookies _fbp und _fbc (90 Tage); IP-Adresse und Browserangaben; in Kasse und Kauf außerdem in Prüfwerte (Hashes) umgerechnete Kontaktdaten wie E-Mail-Adresse, Telefonnummer, Name und Ort, mit denen Meta Ihr Konto erkennen kann. Shopify übermittelt diese Ereignisse zusätzlich direkt von Server zu Server an Meta (Conversions API); die Einbindung von Meta ist in Shopify wie das Pixel den Kategorien Statistik und Marketing zugeordnet.
Gemeinsame Verantwortung: Für das Erheben dieser Daten auf unserer Website und ihre Übermittlung an Meta sind Meta und wir gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung, etwa Werbeauslieferung und Profilbildung, ist Meta allein verantwortlich. Das Wesentliche unserer Vereinbarung (Zusatz für Verantwortliche): Wir holen Ihre Einwilligung ein und informieren Sie über die gemeinsame Verarbeitung; Meta informiert über seine weitere Verarbeitung und erfüllt dafür die Rechte der Betroffenen. Sie können Ihre Rechte bei uns und bei Meta geltend machen (Art. 26 Abs. 3 DSGVO); Anfragen, die Meta betreffen, leiten wir an Meta weiter.
Drittland: Wir übermitteln an Meta Platforms Ireland. Meta übermittelt die Daten in eigener Verantwortung an die Meta Platforms, Inc. in den USA, die nach dem DPF zertifiziert ist.
Speicherdauer: Cookies bis 90 Tage; bei Meta nach dessen Richtlinien (Datenschutzrichtlinie von Meta, Werbeeinstellungen).

Google Ads und Google Merchant Center

Anbieter: Google Ireland Limited (Abschnitt 15), für Conversion-Messung und Remarketing eigenständig verantwortlich.
Zweck: Wir messen, ob Anzeigen und kostenlose Produkteinträge bei Google zu Käufen führen, und können Besuchern unseres Shops Anzeigen zeigen (Remarketing).
Einwilligung: Das Google-Tag lädt auf allen Seiten (Abschnitt 15). Ohne Ihre Einwilligung setzt es keine Werbe-Cookies, sendet aber cookielose Signale zu Ereignissen wie dem Kauf an Google (Google Consent Mode); Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, den Erfolg unserer Anzeigen zu messen. Werbe-Cookies und Remarketing nur mit Ihrer Einwilligung (Kategorie Marketing).
Daten: Ereignisse wie Seitenaufruf, Produktansicht, Suche, In den Warenkorb, Kasse begonnen, Zahlungsart gewählt und Kauf mit Bestellwert, die Klickkennung gclid, Kennungen in Cookies wie _gcl_au (90 Tage), IP-Adresse und Browserangaben. Gehashte Kundendaten (erweiterte Conversions) übermitteln wir nicht.
Drittland: USA (Google LLC; DPF, Standardvertragsklauseln).
Speicherdauer: Cookies bis 90 Tage; bei Google nach dessen Richtlinien (Datenschutzerklärung von Google, Werbeeinstellungen).

17. Preisvergleichsportale

Wir zeigen unsere Angebote auf Preisvergleichsportalen. Kommen Sie von dort und kaufen, messen die Portale das, um ihre Leistung abzurechnen und Klicks zu prüfen. Die Messung von Besuchen und Käufen läuft nur mit Ihrer Einwilligung in die Kategorien Statistik und Marketing (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); wie Sie widerrufen, steht in Abschnitt 6. Ohne Einwilligung laden nur das Einstiegsskript von Heureka und die Siegel im Fußbereich (unten). Die Portale sitzen in der EU.

Kelkoo: Kelkoo SAS, 64/66 rue des Archives, 75003 Paris, Frankreich. Kelkoo verarbeitet die Daten aus der Verkaufsmessung nach eigenen Angaben in eigener Verantwortung. Für das Erheben der Daten auf unserer Website und ihre Übermittlung an Kelkoo sind wir nach unserer Einschätzung mit Kelkoo gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Kelkoo allein verantwortlich. Sie können Ihre Rechte bei uns und bei Kelkoo (dpo@kelkoogroup.com) geltend machen. Das Kelkoo-Skript erfasst auf allen Seiten Ihren Besuch (Cookie kk_leadtag sowie weitere kk_-Cookies und kelkooId, je 12 Monate; IP-Adresse, Zeitpunkt, Seite, Browser), beim Kauf Bestellnummer, Bestellwert und Produkte. Ersatzweise nutzt Kelkoo nach eigenen Angaben auch den lokalen Speicher und den Sitzungsspeicher Ihres Browsers sowie Cookies auf kelkoogroup.net. Kelkoo speichert die Daten in der EU (Niederlande), nach eigenen Angaben ohne feste Löschfrist (Datenschutzerklärung von Kelkoo).
idealo: idealo internet GmbH, Ritterstraße 11, 10969 Berlin. Beim Kauf übermittelt unser Shop Bestellnummer, Bestellwert, Währung und Produkte an idealo.
billiger.de: solute GmbH, Zeppelinstraße 15, 76185 Karlsruhe. Kommen Sie von billiger.de, speichern wir die Klickkennung soluteclid mit der Einstiegsseite im lokalen Speicher (30 Tage), melden die Einstiegsseite an solute und übermitteln beim Kauf Bestellnummer, Bestellwert und Einstiegsseite an solute. Nach Angaben von solute dient die Meldung der Einstiegsseite der Fehleranalyse und der Prüfung von Klicks.
Heureka (Tschechien): Heureka Group a.s., Karolinská 706/3, 186 00 Praha 8 – Karlín, Tschechien. Kommen Sie von Heureka, lädt unser Shop das Einstiegsskript von Heureka unabhängig von Ihrer Auswahl im Cookie-Banner; es setzt das Cookie hg_ocm_id (30 Tage), und Heureka erhält dabei Ihre IP-Adresse und Browserangaben (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Klicks von Heureka korrekt zuzuordnen). Bei Käufen in Tschechischen Kronen übermitteln wir mit Ihrer Einwilligung Bestellnummer, Produkte, Preise, Versandkosten und Summe. Für diese Konversionsmessung sind Heureka und wir gemeinsam verantwortlich (Art. 26 DSGVO); Heureka hat dafür mit seinen Partnershops eine Vereinbarung geschlossen, deren Wesentliches Heureka auf Anfrage mitteilt. Heureka holt außerdem in den Einwilligungseinstellungen seines Portals eine eigene Einwilligung in die Konversionsmessung ein. Heureka informiert über seine Verarbeitung (Datenschutzhinweise von Heureka), verarbeitet die Daten 12 Monate ab Ihrer Einwilligung und ist erste Anlaufstelle für Ihre Rechte; Sie können sich aber auch an uns wenden.
Siegel im Fußbereich: Die Siegel von idealo und billiger.de lädt Ihr Browser von Servern der idealo internet GmbH bzw. der solute GmbH, unabhängig von Ihrer Auswahl im Cookie-Banner; diese erhalten dabei Ihre IP-Adresse, Browserangaben und die aufgerufene Seite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, unsere Auszeichnungen auf den Portalen zu zeigen. Das Logo von Geizhals liefern wir selbst aus. Erst wenn Sie auf ein Siegel oder Logo klicken, gelangen Sie zum Portal.

18. Partnerprogramm (Affiliate)

Partner, etwa Content-Ersteller, empfehlen unseren Shop und erhalten für vermittelte Käufe eine Provision. Das Programm verwalten wir mit der App UpPromote.

Anbieter: UPPROMOTE TECHNOLOGY JOINT STOCK COMPANY, Regus Hanoi UDIC N04, Floor 2, UDIC Complex, Hoang Dao Thuy Street, Yen Hoa Ward, Hanoi, Vietnam. Nach seinen Nutzungsbedingungen verarbeitet UpPromote die Kundendaten unseres Shops als Auftragsverarbeiter.
Tracking: Skript und Pixel von UpPromote laden unabhängig von Ihrer Auswahl im Cookie-Banner. Kommen Sie über einen Partnerlink, speichert UpPromote eine Partnerkennung in Cookies (bis 360 Tage) und im lokalen Speicher und übermittelt Seitenaufrufe, Browserkennung (User-Agent) und Warenkorbkennung. Ereignisse aus Kasse und Kauf einschließlich Ihrer Kontaktdaten erhält UpPromote bei jeder Bestellung, damit ein Kauf gegebenenfalls einem Partner zugeordnet werden kann. Nutzen Sie den Rabattcode eines Partners, ordnen wir den Kauf über den Code zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Käufe den vermittelnden Partnern zuzuordnen und Provisionen korrekt abzurechnen.
Meta-Pixel von Partnern: Hat ein Partner in UpPromote ein eigenes Meta-Pixel hinterlegt, lädt unser Shop dieses Pixel, ebenfalls unabhängig von Ihrer Auswahl im Cookie-Banner, und übermittelt Ihre Seitenaufrufe und Warenkorbaufrufe mit IP-Adresse und Browserangaben an Meta Platforms Ireland Limited. Meta und der Partner verarbeiten diese Daten in eigener Verantwortung; Meta übermittelt sie in die USA (DPF). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, unseren Partnern die Messung ihrer Empfehlungen zu ermöglichen.
Daten: Partnerkennung, Seitenaufrufe, Bestellnummer, Bestellwert, Rabattcode sowie Kundendaten aus der Bestellung (Name, E-Mail-Adresse, Telefonnummer, Adresse).
Partner: Werden Sie Partner, verarbeiten wir Ihre Kontakt- und Auszahlungsdaten, Ihre Kanäle und die vermittelten Umsätze, um das Programm durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Ihr Name und Ihre Firma werden in Cookies im Browser von Besuchern gespeichert, die über Ihren Link kommen.
Drittland: Vietnam (Sitz) und USA (Server bei DigitalOcean). Für Vietnam gibt es keinen Angemessenheitsbeschluss, und UpPromote ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Standardvertragsklauseln oder andere Garantien nach Art. 46 DSGVO bestehen mit UpPromote nicht.
Speicherdauer: Zuordnungen für die Dauer des Programms, als Abrechnungsunterlage 8 Jahre. Nach Ende unseres Vertrags löscht UpPromote die Daten innerhalb von 30 Tagen, Sicherungskopien nach weiteren 60 Tagen (Datenschutzerklärung von UpPromote).

19. Eingebettete Inhalte

YouTube-Videos

Auf einigen Produktseiten zeigen wir Videos von YouTube. Zunächst sehen Sie nur ein Vorschaubild, und es gehen keine Daten an YouTube. Erst wenn Sie das Video anklicken, lädt Ihr Browser es von youtube.com.

Anbieter: Google Ireland Limited (Abschnitt 15); für die Verarbeitung auf YouTube ist Google eigenständig verantwortlich.
Daten: IP-Adresse, Browser- und Geräteangaben, aufgerufene Seite und Wiedergabedaten; YouTube kann dabei Informationen auf Ihrem Gerät speichern oder auslesen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Ihnen das Video zu zeigen, das Sie mit Ihrem Klick abrufen. Möchten Sie nicht, dass YouTube Daten erhält, klicken Sie das Video nicht an.
Drittland und Speicherdauer: USA (Google LLC, DPF); Speicherung nach den Richtlinien von Google (Datenschutzerklärung von Google).

Weitere Inhalte von Drittanbietern beschreiben wir an anderer Stelle: Bewertungen von Judge.me und Trusted Shops in Abschnitt 13, Ratenvorschau von Alma und Schnellkauf-Schaltflächen in Abschnitt 9.

Links: Im Fußbereich verlinken wir unser Instagram-Profil. Das ist ein einfacher Link; Daten gehen erst an Meta, wenn Sie ihn anklicken.
Unsere Seiten bei Instagram und Facebook: Besuchen Sie unsere Seiten, verarbeitet Meta Platforms Ireland Limited (Abschnitt 16) Ihre Daten in eigener Verantwortung, etwa über Cookies auf seinen Plattformen. Meta stellt uns zusammengefasste Statistiken über die Nutzung unserer Seiten bereit (Seiten-Insights); dafür sind Meta und wir gemeinsam verantwortlich (Art. 26 DSGVO). Das Wesentliche der Vereinbarung (Zusatz zu Seiten-Insights): Meta übernimmt die Hauptverantwortung für diese Verarbeitung, informiert darüber und erfüllt die Rechte der Betroffenen; wir erhalten nur zusammengefasste Daten ohne Bezug zu einzelnen Personen. Sie können sich an uns oder an Meta wenden.
Nachrichten und Kommentare, die Sie uns dort schreiben, verarbeiten wir, um zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, unsere Produkte in sozialen Netzwerken zu zeigen und mit Interessenten zu kommunizieren.
Drittland und Speicherdauer: Meta übermittelt Daten in eigener Verantwortung in die USA (DPF) und speichert Seiten-Insights nach eigenen Fristen; Nachrichten speichern wir wie E-Mails (Abschnitt 10).

21. Weitere Dienstleister und Empfänger

Cloudflare (eigene Server-Funktionen)

Anbieter: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, als unser Auftragsverarbeiter.
Funktion und Daten: Cloudflare betreibt Server-Funktionen, die wir selbst programmiert haben: den KI-Chat mit Gesprächsprotokoll (Abschnitt 11), die Prüfung und Weiterleitung von Fehlteile-Anfragen (Abschnitt 10) sowie Rabattanzeige und Merkliste (Abschnitt 14). Verarbeitet werden die Inhalte der jeweiligen Anfrage und technisch Ihre IP-Adresse.
Drittland: Cloudflare verarbeitet Daten in einem weltweiten Netz, auch in den USA (DPF, Standardvertragsklauseln; Datenschutzerklärung von Cloudflare).
Speicherdauer: siehe die jeweiligen Abschnitte; Fehlerprotokolle höchstens 7 Tage.

Make (Automatisierung)

Anbieter: Celonis, Inc., One World Trade Center, 87th Floor, New York, NY 10007, USA (Dienst „Make“), als unser Auftragsverarbeiter.
Funktion und Daten: Make verarbeitet Fehlteile-Anfragen und Widerrufe aus unseren Formularen sowie Übergaben aus dem KI-Chat und versendet die zugehörigen E-Mails über unser Gmail-Konto (unten). Verarbeitet werden alle Formularangaben einschließlich hochgeladener Dateien, die Bestelldaten, die für die Prüfung einer Fehlteile-Anfrage nötig sind, und die Angaben einer Übergabe aus dem KI-Chat (Abschnitt 11).
Drittland: Make speichert die Daten in seiner EU-Datenzone. Vertragspartner ist die Celonis, Inc. in den USA. Support leisten vor allem Mitarbeiter der Celonis s.r.o. in Tschechien; zugreifen können auch weitere Konzerngesellschaften von Celonis, u. a. in den USA, im Vereinigten Königreich, in der Schweiz, in Kanada, Japan, Indien und im Kosovo. Grundlage für die Übermittlung an die Celonis, Inc. ist das DPF, ersatzweise Standardvertragsklauseln; für seine Konzerngesellschaften und Unterauftragsverarbeiter haftet Celonis und muss ihnen dieselben Datenschutzpflichten auferlegen (Datenschutzhinweise von Make).
Speicherdauer: Make speichert die verarbeiteten Inhalte einschließlich hochgeladener Dateien auch in den Ablaufprotokollen unseres Kontos. Diese bewahrt Make für den in unserem Konto vorgesehenen Zeitraum auf und löscht sie danach automatisch; nach Ende unseres Vertrags löscht Make alle Daten innerhalb von 30 Tagen.

Google Gmail (E-Mail-Versand aus Formularen und KI-Chat)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Funktion und Daten: Über unser Gmail-Konto kbs.shop2005@gmail.com versendet Make Fehlteile-Anfragen an unser Kundenservice-Postfach und an unseren Lieferanten in China, Eingangsbestätigungen von Widerrufen an Sie und deren Kopie an uns sowie Übergaben aus dem KI-Chat an unser Team. Im Konto liegen damit alle Angaben dieser Vorgänge, bei Fehlteile-Anfragen einschließlich Ihrer Dateien (Abschnitte 10 und 11).
Rolle: Es handelt sich um ein Gmail-Konto für Privatnutzer. Einen Vertrag zur Auftragsverarbeitung bietet Google dafür nicht an; Google verarbeitet die E-Mails nach seinen Nutzungsbedingungen und seiner Datenschutzerklärung in eigener Verantwortung (Datenschutzerklärung von Google).
Rechtsgrundlage: die des jeweiligen Vorgangs (Abschnitte 10 und 11); für die Nutzung von Gmail als Versand- und Empfangskonto zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist ein einfacher und zuverlässiger E-Mail-Versand aus unseren Formularen.
Drittland: Google verarbeitet die Daten auch in den USA (Google LLC; DPF).
Speicherdauer: wie E-Mails (Abschnitt 10).

IONOS (E-Mail und Webspace)

Die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, betreibt als unser Auftragsverarbeiter unsere E-Mail-Postfächer (z. B. shop@ und jobs@kbs-shop.com) und speichert Daten aus unserem früheren Shopsystem, soweit wir sie noch aufbewahren müssen. Wir selbst übermitteln dabei nicht in Drittländer; IONOS setzt nach eigenen Angaben Dienstleister außerhalb der EU nur mit geeigneten Garantien ein (Datenschutzerklärung von IONOS). Speicherdauer: siehe Abschnitt 10 und die gesetzlichen Fristen in Abschnitt 3.

Steuerberatung

Für Buchhaltung, Jahresabschluss und Steuererklärungen übermitteln wir Rechnungen, Zahlungsbelege und Zahlungsauszüge mit Namen, Adressen und Beträgen an die Czech & Schütte Steuerberater Partnerschaft mbB, Robert-Bosch-Straße 22a, 65582 Diez. Die Kanzlei ist eigenständig verantwortlich und zur Verschwiegenheit verpflichtet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. unseren steuer- und handelsrechtlichen Buchführungs- und Erklärungspflichten. Die Kanzlei bewahrt die Unterlagen nach den gesetzlichen Fristen auf.

KI-Assistenz für interne Auswertungen

Für Auswertungen von Bestell-, Kampagnen- und Shopdaten, für die Buchhaltung und zur Vorbereitung von Antworten an Kunden nutzen wir den KI-Assistenten Claude des Unternehmens Anthropic; dabei können Bestell- und Kontaktdaten verarbeitet werden. Rechtsgrundlage ist die des jeweiligen Zwecks, etwa Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung Ihrer Bestellung oder Anfrage und Art. 6 Abs. 1 lit. c DSGVO für die Buchhaltung; für Auswertungen Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist, Sortiment, Werbung und Abläufe zu verbessern. Anthropic verarbeitet die Daten in den USA (Datenschutzhinweise von Anthropic).

Lager, Versand und Zahlung

Unseren Lagerdienstleister Fulfillment Europe sowie DHL und UPS beschreiben wir in Abschnitt 8, die Zahlungsanbieter in Abschnitt 9.

Kundenservice-Team

Ihre Anfragen und Bestellungen bearbeitet unser Kundenservice-Team.

22. Ihre Rechte

Schreiben Sie uns formlos an shop@kbs-shop.com oder per Post an die Anschrift in Abschnitt 1.

Auskunft (Art. 15 DSGVO): ob und welche Daten wir über Sie verarbeiten, zu welchem Zweck, an wen wir sie weitergeben und wie lange wir sie speichern, und eine Kopie, soweit die Rechte anderer Personen nicht entgegenstehen. Die erste Kopie ist kostenlos.
Berichtigung (Art. 16 DSGVO) falscher und Ergänzung unvollständiger Daten.
Löschung (Art. 17 DSGVO), etwa wenn wir Daten nicht mehr brauchen oder Sie eine Einwilligung widerrufen. Müssen wir Daten gesetzlich aufbewahren oder brauchen wir sie für Rechtsansprüche, schränken wir die Verarbeitung stattdessen ein.
Einschränkung (Art. 18 DSGVO): Wir speichern Daten dann nur noch, etwa solange wir prüfen, ob sie richtig sind oder ob Ihr Widerspruch begründet ist.
Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, erhalten Sie in einem gängigen, maschinenlesbaren Format; auf Wunsch übermitteln wir sie direkt an einen anderen Verantwortlichen, soweit technisch möglich.
Widerspruch (Art. 21 DSGVO): siehe Abschnitt 2.
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft: für Cookies wie in Abschnitt 6 beschrieben, für E-Mails über den Abmeldelink, sonst per Nachricht an uns. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.
Automatisierte Entscheidungen (Art. 22 DSGVO): Ihre Rechte bei einer automatischen Sperre durch Shopify Payments und gegenüber Klarna, Alma und PayPal stehen in Abschnitt 9.

So bearbeiten wir Ihre Anfrage: Wir antworten innerhalb eines Monats; bei schwierigen oder vielen Anfragen kann sich die Frist um zwei Monate verlängern, worüber wir Sie mit Begründung informieren. Die Bearbeitung ist kostenlos, außer bei offenkundig unbegründeten oder exzessiven Anträgen. Haben wir begründete Zweifel an Ihrer Identität, bitten wir um Angaben, mit denen wir Sie zuordnen können, etwa eine Bestellnummer. Bei gemeinsamer Verantwortung (Meta, Kelkoo, Heureka, Trusted Shops) können Sie sich an jeden Beteiligten wenden.

23. Beschwerderecht

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU- oder EWR-Staat, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattfand (Art. 77 DSGVO). Eine Liste der Aufsichtsbehörden veröffentlicht der Europäische Datenschutzausschuss. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz (Postanschrift: Postfach 30 40, 55020 Mainz), Telefon +49 6131 8920-0, E-Mail poststelle@datenschutz.rlp.de, www.datenschutz.rlp.de

Wohnen Sie in der Schweiz, können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden (www.edoeb.admin.ch), im Vereinigten Königreich an das Information Commissioner's Office (ico.org.uk). Wohnen Sie im Vereinigten Königreich, können Sie Ihre Beschwerde auch zuerst an uns richten (shop@kbs-shop.com); wir bestätigen den Eingang innerhalb von 30 Tagen und teilen Ihnen das Ergebnis mit.

24. Pflicht zur Bereitstellung von Daten

Gesetzlich verpflichtet, uns Daten zu geben, sind Sie nicht. Für einige Leistungen brauchen wir aber bestimmte Angaben:

Bestellung: Name, Liefer- und Rechnungsadresse, E-Mail-Adresse und Zahlungsangaben sind für den Vertrag erforderlich; ohne sie können wir die Bestellung nicht annehmen. Die Telefonnummer ist freiwillig, soweit die Kasse sie nicht als Pflichtfeld abfragt.
Widerrufsformular: Name und E-Mail-Adresse für die Eingangsbestätigung sind Pflichtfelder; die Bestellnummer hilft uns bei der Zuordnung. Ohne Name und E-Mail-Adresse können Sie das Formular nicht nutzen, aber per E-Mail oder Brief widerrufen.
Fehlteile-Formular: Bestellnummer und E-Mail-Adresse zur Prüfung, Angaben zum Teil sowie Name, E-Mail-Adresse, Lieferadresse und Telefonnummer für den Versand. Ohne sie können wir die Anfrage über das Formular nicht bearbeiten; Sie können uns stattdessen schreiben.
B2B-Formular: Name, Firma, Land, E-Mail-Adresse, Telefonnummer und Anliegen sind Pflichtangaben; ohne sie können Sie uns stattdessen per E-Mail schreiben.
Kontakt und Bewerbung: Ohne Kontaktmöglichkeit können wir nicht antworten, ohne Bewerbungsunterlagen Sie nicht berücksichtigen.
Freiwillig sind die Anmeldung im Kundenkonto, Newsletter, Chat, Bewertungen, Benachrichtigungen und alle Einwilligungen. Verzichten Sie darauf, entstehen Ihnen keine Nachteile, außer dass Sie die jeweilige Funktion nicht nutzen können.

25. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Wesentliche Änderungen, etwa neue Zwecke, neue Empfänger oder Übermittlungen in weitere Drittländer, teilen wir vor ihrem Wirksamwerden aktiv mit: per E-Mail an Kunden mit Kundenkonto und an Newsletter-Abonnenten sowie durch einen Hinweis auf unserer Website. Frühere Fassungen erhalten Sie auf Anfrage.

Stand: Oktober 2026 (Version 2.0)