Datenschutzerklärung

Stand: 2. November 2026

Inhaltsverzeichnis
1. Wer für Ihre Daten verantwortlich ist
2. Welche Grundsätze für die Verarbeitung gelten
3. Betrieb des Shops, Shopify und technische Protokolle
4. Cookies, Einwilligungsverwaltung und Ihre Einstellungen
5. Bestellungen, Kundenkonto, Wunschlisten und Retouren
6. Logistik, ROXDEN, Warenwirtschaft und Versand
7. Zahlungsabwicklung
8. Kundenservice und Kontaktaufnahme
9. Klaviyo: Newsletter, Nachrichten und personenbezogenes Marketing
10. WhatsApp-Marketing über Chatarmin
11. Weitere Benachrichtigungen, Bewertungen und Direktwerbung
12. Eigene Tracking-Infrastruktur und Google Tag Manager
13. Google Analytics 4
14. Google BigQuery, Datenauswertungen und eigenes Shop-Tracking
15. Meta Pixel, Conversions API und erweiterter Datenabgleich
16. Google Ads, Conversion-Messung und erweiterte Conversions
17. Weitere Analysefunktionen
18. A/B-Tests mit ABLyft und Varify
19. Weitere Dienste und Formulare
20. Buchhaltung, rechtliche Pflichten und Bewerbungen
21. Empfänger, Rollen und internationale Übermittlungen
22. Wie lange Daten gespeichert werden
23. Speichertechnologien im Überblick
24. Ihre Rechte
25. Änderungen dieser Erklärung

1. Wer für Ihre Daten verantwortlich ist

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen durch SASSYCLASSY ist:

RODEBO-Lifestyle GmbH
Kirschstraße 14
80999 München, Deutschland
E-Mail: info@sassyclassy.de
Telefon: +49 89 628 26030

Sie können uns unter diesen Kontaktdaten für Datenschutzanfragen sowie zur Ausübung Ihrer Rechte erreichen. Post an unseren Datenschutzbeauftragten richten Sie bitte an die genannte Anschrift mit dem Zusatz „Datenschutzbeauftragter – persönlich/vertraulich“.

Diese Erklärung gilt für die von der RODEBO-Lifestyle GmbH betriebenen SASSYCLASSY-Onlineshops und die dazugehörigen Bestell- und Kundenkontofunktionen. Bei einzelnen Diensten und Formularen erhalten Sie gegebenenfalls ergänzende, auf den jeweiligen Vorgang bezogene Datenschutzhinweise.

2. Welche Grundsätze für die Verarbeitung gelten

Personenbezogene Daten sind Informationen, die sich auf Sie beziehen oder Ihnen zugeordnet werden können. Dazu gehören auch Kennungen und Nutzungsdaten, wenn eine Zuordnung zu einer Person möglich ist. Eine gehashte E-Mail-Adresse oder eine zufällige Nutzerkennung ist deshalb nicht allein aufgrund dieser technischen Veränderung anonym.

Wir verarbeiten Daten für die jeweils beschriebenen Zwecke und auf folgenden Rechtsgrundlagen der Datenschutz-Grundverordnung (DSGVO):

• Vertrag oder Vertragsanbahnung: Art. 6 Abs. 1 Buchst. b DSGVO, etwa zur Bearbeitung und Lieferung Ihrer Bestellung.
• Gesetzliche Pflichten: Art. 6 Abs. 1 Buchst. c DSGVO, etwa zur steuerrechtlichen Aufbewahrung von Rechnungen.
• Einwilligung: Art. 6 Abs. 1 Buchst. a DSGVO, insbesondere für die nachfolgend beschriebenen optionalen Analyse- und Marketingverarbeitungen.
• Berechtigte Interessen: Art. 6 Abs. 1 Buchst. f DSGVO, soweit die jeweilige Verarbeitung erforderlich ist und Ihre entgegenstehenden Interessen und Rechte nicht überwiegen. Das konkrete Interesse nennen wir bei der betreffenden Verarbeitung.

Die Speicherung von Informationen auf Ihrem Endgerät und der Zugriff auf dort vorhandene Informationen werden zusätzlich nach § 25 TDDDG beurteilt. Für nicht unbedingt erforderliche Speicherungen und Zugriffe holen wir Ihre Einwilligung ein. Die Ausnahme für einen ausdrücklich gewünschten, unbedingt erforderlichen Dienst betrifft beispielsweise die notwendigen Funktionen eines Warenkorbs, nicht allein die wirtschaftliche Nützlichkeit eines Marketingdienstes.

Daten erhalten wir unmittelbar von Ihnen, bei der Nutzung unserer Angebote und – soweit für die nachfolgend genannten Zwecke erforderlich – von Zahlungs-, Versand- und sonstigen eingebundenen Dienstleistern, etwa zu Zahlungs- und Zustellstatus.

Pflichtangaben sind in den jeweiligen Eingabemasken gekennzeichnet. Ohne die für einen Vertrag erforderlichen Angaben können wir die betreffende Leistung nicht erbringen. Freiwillige Angaben und die Einwilligung in Marketing oder optionale Analysen sind grundsätzlich keine Voraussetzung für eine Bestellung.

3. Betrieb des Shops, Shopify und technische Protokolle

3.1 Shopify als Shopsystem

Wir betreiben unseren Onlineshop mit Shopify. Shopify stellt insbesondere Shopseiten, Warenkorb, Checkout, Bestellverwaltung und Kundenkontofunktionen bereit. Dabei werden die für diese Funktionen erforderlichen Kontakt-, Bestell-, Konto-, Zahlungsstatus- und technischen Verbindungsdaten verarbeitet. Zur Shopify-Unternehmensgruppe gehören insbesondere Shopify International Limited in Irland und Shopify Inc. in Kanada.

Die Verarbeitung zur Bereitstellung einer von Ihnen angeforderten Shopfunktion oder zur Abwicklung einer Bestellung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Technische Maßnahmen zur sicheren und verlässlichen Bereitstellung unseres Angebots stützen wir, soweit sie nicht bereits zur Vertragserfüllung erforderlich sind, auf Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse ist der Schutz und störungsfreie Betrieb des Shops.

Soweit Shopify für diese Zwecke in unserem Auftrag tätig ist, erfolgt dies im Rahmen einer Auftragsverarbeitung. Informationen zu internationalen Übermittlungen finden Sie in Abschnitt 21. Weitere Informationen enthält die Datenschutzerklärung von Shopify.

3.2 Zusätzliche Shopify-Dienste

Wenn Sie eigenständige Shopify-Dienste wie Shop oder Shop Pay nutzen, verarbeitet Shopify die Daten aus Ihrer Beziehung zu Shopify auch in eigener datenschutzrechtlicher Verantwortung. Dazu können insbesondere Konto-, Kontakt-, Zahlungs- und Transaktionsdaten gehören.

Bei erweiterten Shopify-Diensten zur Personalisierung, Analyse oder Verbesserung von Handelsfunktionen kann ebenfalls eine eigene Verantwortlichkeit von Shopify bestehen. Dies betrifft insbesondere sogenannte Enhanced Services und Shopify Network Intelligence, soweit diese Dienste eingebunden sind. In diesem Zusammenhang können Kontakt-, Transaktions-, Geräte- und Nutzungsdaten verarbeitet und mit Daten aus weiteren Interaktionen mit Shopify verbunden werden.

Hierfür gelten ergänzend die Datenschutzhinweise von Shopify für Verbraucher. Soweit wir solche Daten für optionale Personalisierung, Analyse oder Werbung bereitstellen und hierfür eine Einwilligung erforderlich ist, erfolgt dies nur mit dieser Einwilligung. Die bloße Nutzung unseres Shops stellt keine pauschale Zustimmung zu shopübergreifender Werbung dar.

3.3 Technische Verbindungsdaten und Sicherheitsprotokolle

Beim Aufruf unserer Angebote werden technische Daten verarbeitet, damit die Verbindung hergestellt und die angefragten Inhalte ausgeliefert werden können. Dazu gehören insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource, Statusmeldung und Informationen zum verwendeten Browser.

Sicherheits- und Fehlerprotokolle dienen der Erkennung und Behebung technischer Störungen und missbräuchlicher Zugriffe. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse liegt im Schutz unserer Systeme und der Daten unserer Kundinnen und Kunden. Die Protokolle werden für die technische Fehleranalyse und Sicherheitskontrolle aufbewahrt und gelöscht, sobald sie hierfür nicht mehr erforderlich sind.

Bestehen konkrete Anhaltspunkte für einen Sicherheitsvorfall, können die zur Aufklärung und Rechtsverfolgung erforderlichen Protokolldaten zweckgebunden bis zum Abschluss dieser Vorgänge und eines erforderlichen Nachweiszeitraums aufbewahrt werden. Eine zusätzliche Nutzung für Marketing richtet sich nicht nach diesem technischen Betriebszweck, sondern nach den gesondert beschriebenen Voraussetzungen.

4. Cookies, Einwilligungsverwaltung und Ihre Einstellungen

Wir verwenden Cookies und vergleichbare Speichertechnologien für notwendige Shopfunktionen sowie – nach entsprechender Einwilligung – für Analyse und Marketing.

Für die Verwaltung Ihrer Auswahl verwenden wir Pandectes. Dabei werden Ihre Auswahl, der Zeitpunkt und die für deren Zuordnung und Nachweis erforderlichen Angaben verarbeitet. Hierzu gehören eine Einwilligungskennung und Informationen zum Umfang der erteilten oder abgelehnten Einwilligung.

Das Speichern Ihrer Auswahl ist erforderlich, damit wir diese beachten können. Der Zugriff auf den hierfür notwendigen Speicher erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Soweit personenbezogene Daten zur Erfüllung unserer Einwilligungs- und Nachweispflichten verarbeitet werden, ist Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO maßgeblich.

Sie können nicht erforderliche Dienste ablehnen und Ihre Auswahl später über die auf unserer Website angebotenen Cookie- beziehungsweise Datenschutzeinstellungen ändern. Eine Bestellung ist auch ohne Zustimmung zu optionalen Analyse- und Marketingdiensten möglich.

Ein Widerruf wirkt für die Zukunft. Er berührt nicht die Rechtmäßigkeit einer bis dahin auf einer wirksamen Einwilligung beruhenden Verarbeitung. Nach dem Widerruf werden die betreffenden einwilligungsabhängigen Verarbeitungen beendet; für bereits gespeicherte Daten gelten die gesetzlichen Löschungs- und Einschränkungsregeln. Gesetzlich erforderliche Nachweise dürfen in dem hierfür notwendigen Umfang erhalten bleiben.

Die Abmeldung von einem Newsletter, der Widerruf von Website-Tracking und die Löschung eines Kundenkontos sind unterschiedliche Vorgänge. Sie können uns auch mit einer umfassenden Datenschutzanfrage kontaktieren. Ergänzende Informationen zu Speichertechnologien finden Sie in Abschnitt 23.

5. Bestellungen, Kundenkonto, Wunschlisten und Retouren

Bei einer Bestellung verarbeiten wir Ihre Kontakt- und Lieferdaten, bestellte Artikel, Mengen und Preise, Zahlungs- und Versandstatus sowie die zur Vertragsabwicklung erforderliche Kommunikation. Bei Rücksendungen kommen Retourenstatus, von Ihnen mitgeteilte Retourengründe und Erstattungsinformationen hinzu.

Diese Verarbeitung erfolgt zur Anbahnung, Durchführung und Abwicklung des Kaufvertrags nach Art. 6 Abs. 1 Buchst. b DSGVO. Soweit wir Belege aufbewahren oder gesetzliche Pflichten erfüllen müssen, ist Art. 6 Abs. 1 Buchst. c DSGVO maßgeblich.

Ein Kundenkonto ermöglicht Ihnen die Nutzung der darin angebotenen Bestell- und Kontofunktionen. Die hierfür notwendigen Konto- und Anmeldedaten verarbeiten wir zur Bereitstellung dieses Dienstes. Sie können die Löschung des Kontos durch eine Nachricht an uns beantragen. Gesetzlich aufzubewahrende Bestellunterlagen werden dadurch nicht vorzeitig gelöscht.

Wenn Sie eine Wunschliste nutzen, speichern wir die von Ihnen ausgewählten Artikel und die für die Wiederanzeige erforderliche Zuordnung zu Ihrem Konto oder Browser. Soweit diese Speicherung unbedingt erforderlich ist, um die ausdrücklich gewünschte Funktion bereitzustellen, erfolgt sie nach Art. 6 Abs. 1 Buchst. b DSGVO und § 25 Abs. 2 Nr. 2 TDDDG. Eine zusätzliche Auswertung von Wunschlistenaktionen für Werbung oder Analyse unterliegt dagegen den hierfür beschriebenen Einwilligungsregeln.

Die Aufbewahrung von Konto-, Wunschlisten- und Retourendaten richtet sich nach dem jeweiligen Funktions- beziehungsweise Abwicklungszweck und den in Abschnitt 22 beschriebenen Kriterien.

6. Logistik, ROXDEN, Warenwirtschaft und Versand

6.1 Logistikabwicklung durch ROXDEN

Die Lager-, Versand- und Retourenabwicklung erfolgt für uns durch ROXDEN.

ROXDEN erhält die für die jeweilige Logistikleistung erforderlichen Daten. Dazu gehören insbesondere Name, Lieferanschrift, Bestell- oder Sendungsreferenz, Artikel und Mengen sowie die für die Bearbeitung erforderlichen Versand- und Retoureninformationen. Kontaktangaben wie E-Mail-Adresse oder Telefonnummer werden nur bereitgestellt, soweit sie für einen konkret vereinbarten Logistik- oder Zustellvorgang erforderlich sind.

ROXDEN verarbeitet diese Daten für Lagerorganisation, Kommissionierung, Verpackung, Übergabe an Versandunternehmen und Bearbeitung von Rücksendungen. Die im Rahmen unserer Beauftragung übermittelten Daten dienen nicht der eigenen Werbung von ROXDEN.

Rechtsgrundlage unserer Verarbeitung und der erforderlichen Bereitstellung ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit ROXDEN die Daten weisungsgebunden in unserem Auftrag verarbeitet, gelten die Anforderungen an eine Auftragsverarbeitung nach Art. 28 DSGVO. Eine Marketingeinwilligung ist für die notwendige Abwicklung Ihrer Bestellung nicht erforderlich.

6.2 Warenwirtschaft und Logistiksoftware

Für die Steuerung von Bestellungen, Lagerbeständen und Retouren wird pixi / Descartes eingesetzt. Verarbeitet werden die für die jeweiligen Bestell- und Logistikprozesse erforderlichen Stammdaten, Lieferdaten, Auftragspositionen sowie Versand- und Retourenstatus.

Maßgeblich ist der Zweck der Vertragsabwicklung nach Art. 6 Abs. 1 Buchst. b DSGVO; für erforderliche gesetzliche Aufbewahrungen gilt Art. 6 Abs. 1 Buchst. c DSGVO. Die Verarbeitung kann innerhalb unserer Warenwirtschaft und der für uns tätigen Logistikorganisation erfolgen.

6.3 Versandunternehmen

Für den Transport werden Name, Zustellanschrift und die zur Beförderung erforderlichen Sendungsdaten an das jeweils beauftragte Versandunternehmen übermittelt. Der Dienstleister kann insbesondere Zustell- und Sendungsstatus an uns und unseren Logistikdienstleister zurückmelden.

Sofern Ihre Lieferung mit DHL, DPD, Hermes oder der Österreichischen Post erfolgt, erhält das betreffende Unternehmen diese für den Transport erforderlichen Angaben. Welcher Dienstleister Ihre Sendung befördert, ergibt sich aus den Angaben zur jeweiligen Lieferung.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Eine E-Mail-Adresse oder Telefonnummer für zusätzliche Zustellbenachrichtigungen übermitteln wir nur, wenn hierfür eine tragfähige Rechtsgrundlage besteht. Soweit die Zusatzleistung nicht für den Vertrag erforderlich ist und eine Einwilligung benötigt wird, erfolgt die Weitergabe nur mit dieser Einwilligung.

Versandunternehmen können für die von ihnen eigenständig festgelegten Transport- und gesetzlichen Verarbeitungen selbst verantwortlich sein. Die Datenschutzhinweise des konkret eingesetzten Unternehmens gelten ergänzend.

7. Zahlungsabwicklung

Wenn Sie eine im Checkout angebotene Zahlungsart auswählen, werden die zur Durchführung dieser Zahlung erforderlichen Informationen an die beteiligten Zahlungsdienstleister übermittelt. Hierzu können Name, Rechnungsadresse, Bestellreferenz, Betrag, Währung und die für das gewählte Verfahren erforderlichen Zahlungsinformationen gehören. Uns werden insbesondere Transaktionsreferenz und Zahlungsstatus zurückgemeldet.

Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Gesetzliche Aufbewahrungs- und Prüfpflichten werden auf Art. 6 Abs. 1 Buchst. c DSGVO gestützt.

Bei einer Zahlung über PayPal beziehungsweise PayPal Checkout werden die für das gewählte Verfahren erforderlichen Angaben an PayPal und die an der Zahlung beteiligten Stellen übermittelt. Bei Amazon Pay werden entsprechende Zahlungs- und Bestellangaben unter Einbindung Ihres Amazon-Pay-Kontos verarbeitet. Bei über Stripe oder Shopify Payments abgewickelten Verfahren werden die erforderlichen Transaktionsdaten von dem jeweiligen Zahlungsabwickler und den beteiligten Kreditinstituten beziehungsweise Zahlungsnetzwerken verarbeitet.

Wenn Sie eine angebotene digitale Wallet wie Apple Pay oder Google Pay einsetzen, werden die zur Freigabe und Abwicklung erforderlichen Zahlungsinformationen unter Einbindung des Wallet-Anbieters und der beteiligten Zahlungsdienstleister verarbeitet. Maßgeblich sind die Zahlungsart, die Sie tatsächlich auswählen, und die Ihnen im betreffenden Zahlungsvorgang angezeigten Anbieterinformationen.

Zahlungsdienstleister können Daten zur Erfüllung eigener gesetzlicher Pflichten, zur Betrugsprävention oder bei kreditfinanzierten Verfahren zur Bonitätsbewertung in eigener Verantwortung verarbeiten. Informationen über deren Datenverwendung, Aufbewahrung und gegebenenfalls automatisierte Entscheidungen erhalten Sie in den Datenschutzhinweisen des gewählten Zahlungsdienstleisters. Die Auswahl einer Zahlungsart ist keine Einwilligung in nicht erforderliche Werbeverarbeitungen.

8. Kundenservice und Kontaktaufnahme

8.1 Kontakt per E-Mail oder Formular

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht und die zugehörigen Vorgangsdaten, um Ihr Anliegen zu bearbeiten. Bei bestellbezogenen Anfragen ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Sonstige Anfragen bearbeiten wir auf Grundlage unseres berechtigten Interesses an einer verlässlichen Kommunikation gemäß Art. 6 Abs. 1 Buchst. f DSGVO.

8.2 Zendesk

Zur Verwaltung von Kundenanfragen verwenden wir Zendesk. Dabei werden Kontaktinformationen, Nachrichten, notwendige Anhänge und Bestellbezüge in einem Ticketsystem verarbeitet. Zugriff erhalten die mit der Bearbeitung betrauten Personen und die hierfür eingesetzten Dienstleister.

Der Einsatz erfolgt zur Bearbeitung Ihrer Anfrage im Rahmen der unter Abschnitt 8.1 genannten Rechtsgrundlage. Soweit Zendesk Daten in unserem Auftrag verarbeitet, erfolgt dies als Auftragsverarbeitung. Die Aufbewahrung richtet sich nach dem Abschluss des jeweiligen Anliegens, etwaigen fortbestehenden Ansprüchen und gesetzlichen Pflichten; Einzelheiten finden Sie in Abschnitt 22.

8.3 WhatsApp für Serviceanfragen

Wenn Sie den angebotenen WhatsApp-Kontakt nutzen, verarbeiten wir Ihre Telefonnummer, gegebenenfalls Ihren Profilnamen, Nachrichteninhalte und erforderliche Bestellbezüge zur Bearbeitung Ihrer Anfrage. Hierbei sind WhatsApp Ireland Limited und die für die technische Nachrichtenabwicklung eingesetzten Dienste beteiligt. Informationen zu Chatarmin finden Sie in Abschnitt 10.

Die Rechtsgrundlage unserer Bearbeitung richtet sich danach, ob Ihre Anfrage einen Vertrag betrifft oder allgemeiner Natur ist, wie in Abschnitt 8.1 beschrieben. WhatsApp verarbeitet Daten außerdem für den Betrieb seines Kommunikationsdienstes nach seinen eigenen Datenschutzhinweisen.

Eine Kontaktaufnahme über WhatsApp ist freiwillig; Sie können uns alternativ per E-Mail kontaktieren. Aus einer Serviceanfrage folgt keine Anmeldung zu Werbenachrichten.

9. Klaviyo: Newsletter, Nachrichten und personenbezogenes Marketing

Wir setzen Klaviyo, Inc., USA für die nachfolgend beschriebenen Kommunikations- und Marketingfunktionen ein. Soweit Klaviyo Daten in unserem Auftrag verarbeitet, ist die Zusammenarbeit durch eine Auftragsverarbeitungsvereinbarung geregelt.

9.1 Newsletter und Einwilligungsnachweis

Wenn Sie unseren Newsletter bestellen, verwenden wir die hierfür abgefragten Angaben für den Versand und die vereinbarte Personalisierung. Wir dokumentieren die Anmeldung und ihre Bestätigung, um die Berechtigung zum Versand nachweisen zu können.

Rechtsgrundlage für den auf Einwilligung beruhenden Versand ist Art. 6 Abs. 1 Buchst. a DSGVO. Sie können den Newsletter über den Abmeldelink in jeder Werbe-E-Mail oder durch eine Nachricht an uns abbestellen. Anschließend wird Ihre Adresse nicht mehr für diese Werbung verwendet.

Ein erforderlicher Sperrvermerk kann erhalten bleiben, um die Abmeldung zu beachten. Einwilligungs- und Widerspruchsnachweise werden nur für die hierfür erforderliche Dauer aufbewahrt. Das bedeutet nicht, dass sämtliche zugehörigen Marketingprofile unbegrenzt bestehen bleiben.

9.2 Messung von Öffnungen und Klicks

Mit Ihrer dafür erteilten Einwilligung messen wir, ob Nachrichten geöffnet werden und welche Links angeklickt werden. Dabei können ein individueller Nachrichten- oder Linkbezug, der Zeitpunkt sowie technische Verbindungsinformationen verarbeitet werden.

Diese Informationen können Ihrem Klaviyo-Profil zugeordnet werden. Sie helfen uns, Inhalte und Versandhäufigkeit an Interessen anzupassen und die Wirkung unserer Nachrichten zu beurteilen. Soweit Öffnungs- und Klickinformationen mit Websiteaktivitäten oder Bestelldaten zusammengeführt werden, erfolgt dies nur im Umfang der hierfür bestehenden Rechtsgrundlage und Einwilligung.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO; für einwilligungspflichtige Zugriffe auf das Endgerät gilt zusätzlich § 25 Abs. 1 TDDDG.

Sie können die Einwilligung in individuelles Newsletter-Tracking durch eine Nachricht an uns widerrufen. Eine vollständige Newsletter-Abmeldung ist zusätzlich über den Abmeldelink jeder Werbe-E-Mail möglich. Website-Tracking kann unabhängig davon in den Datenschutzeinstellungen beendet werden.

9.3 Websiteaktivitäten: Klaviyo-App-Pixel und eigene serverseitige Ereignisse

Mit Ihrer Einwilligung in das entsprechende Website-Marketing erfassen und übermitteln wir Informationen über Ihre Nutzung unseres Shops an Klaviyo. Hierzu verwenden wir zwei technisch unterschiedliche Wege: den App-Pixel der Klaviyo-Shopify-App in Shopify Customer Events und unsere eigene serverseitige Tracking-Infrastruktur. Die Einwilligungsvoraussetzungen gelten für beide Wege; die Freigabe eines Pixels ersetzt nicht die Einwilligungssteuerung der anderen Anbindung.

Zu den verarbeiteten Ereignissen und Datenkategorien gehören insbesondere:

Die technischen Ereignisnamen können sich je nach Quelle unterscheiden. Die Tabelle beschreibt die Verarbeitungsarten, nicht die Anzahl der Übermittlungen. Neben diesen Marketingereignissen besteht die unter Abschnitt 9.6 erläuterte direkte Shopify-Datensynchronisation.

Ist Ihre E-Mail-Adresse oder eine andere zuordenbare Profilkennung im zulässigen Nutzungskontext bekannt, können Ereignisse mit Ihrem Klaviyo-Profil verbunden werden. Dadurch können betrachtete Produkte, Suchanfragen, Warenkorbinhalte und bisherige Bestellungen gemeinsam für die von Ihrer Einwilligung erfasste Personalisierung ausgewertet werden.

Zu den technischen Angaben gehören insbesondere Onlinekennungen, IP-Adresse, Browser- beziehungsweise User-Agent-Informationen, Geräteinformationen sowie die aufgerufene und die zuvor besuchte Seite. Bei der serverseitigen Übermittlung können solche Angaben an Klaviyo weitergegeben werden; die Nutzung unseres eigenen Servers macht die Daten nicht anonym.

Zwecke sind interessenbezogene Produktempfehlungen, Segmentierung, Auslösung zulässiger Marketingabläufe und deren Erfolgsmessung. Die personenbezogene Erfassung und Zusammenführung von Websiteaktivitäten für diese Zwecke stützen wir auf Art. 6 Abs. 1 Buchst. a DSGVO. Für entsprechende Endgerätespeicherungen und -zugriffe gilt zusätzlich § 25 Abs. 1 TDDDG.

Eine Newsletter-Anmeldung oder eine für den Kauf angegebene E-Mail-Adresse ersetzt nicht die hierfür erforderliche Website-Tracking-Einwilligung. Umgekehrt erlaubt eine Einwilligung in Website-Marketing nicht automatisch den Versand werblicher E-Mails.

9.4 Wiedererkennung und Zuordnung zu einem Klaviyo-Profil

Zur Zuordnung weiterer freigegebener Ereignisse zu einem bekannten Klaviyo-Profil werden Profil- und Verknüpfungskennungen gespeichert beziehungsweise ausgelesen. Im serverseitigen Pfad kann hierfür insbesondere der Cookie stape_klaviyo_kx mit einer technischen Verknüpfungskennung verwendet werden. Seine konfigurierte maximale Laufzeit beträgt zwei Jahre ab Setzen beziehungsweise zulässiger Aktualisierung; ein früherer Widerruf oder eine Löschpflicht bleibt maßgeblich.

Im derzeitigen serverseitigen Klaviyo-Tracking wird die E-Mail-Adresse nicht zusätzlich in einem eigenen E-Mail-Cookie gespeichert. Eine E-Mail-Adresse kann dennoch im Rahmen der beschriebenen Verarbeitung an Klaviyo übermittelt und einem Profil zugeordnet werden. Die Speicherung und Nutzung von Kennungen durch die Klaviyo-Shopify-App ist von diesem eigenen Serverpfad zu unterscheiden.

Die Wiedererkennung dient der beschriebenen personenbezogenen Marketingzuordnung, nicht der notwendigen Warenkorbfunktion. Sie erfolgt deshalb nur mit der entsprechenden Einwilligung. Beim Widerruf wird die künftige Nutzung für dieses Marketing beendet. Die Laufzeit einer Kennung ist nicht mit der Aufbewahrung der bereits daraus erzeugten Ereignis- oder Profildaten gleichzusetzen.

9.5 Automatisierte Nachrichten und Transaktionsnachrichten

Marketingabläufe können etwa Produktempfehlungen oder Erinnerungen an einen nicht abgeschlossenen Einkauf auslösen. Werbliche Nachrichten versenden wir nur, wenn eine dafür erforderliche Einwilligung oder eine konkret anwendbare gesetzliche Ausnahme vorliegt.

Das bloße Eintragen einer E-Mail-Adresse in einen begonnenen Checkout reicht hierfür nicht aus. Für Bestandskundenwerbung gelten zusätzlich die engen Voraussetzungen aus Abschnitt 11.1.

Von Werbung zu unterscheiden sind Nachrichten, die zur Vertragsabwicklung erforderlich sind, beispielsweise eine Bestell- oder Versandinformation. Diese dürfen nicht allein durch ihre Bezeichnung als „Transaktionsnachricht“ mit einwilligungsbedürftiger Werbung oder zusätzlichem Marketingtracking verbunden werden.

Für die Aufbewahrung von Versandprofilen, Interaktionsereignissen und Einwilligungsnachweisen gelten die getrennten Kriterien in Abschnitt 22. Die technische Laufzeit einer Wiedererkennungsinformation ist davon zu unterscheiden. Weitere Informationen enthält die Datenschutzerklärung von Klaviyo.

9.6 Direkte Shopify-Integration: Kunden-, Checkout- und Bestelldaten

Neben dem App-Pixel und unseren eigenen Serverereignissen nutzen wir die direkte Shopify-Klaviyo-Integration. Diese kann Daten aus dem Shopsystem unmittelbar zwischen den Serversystemen synchronisieren. Dazu gehören Kunden- und Profilkennungen, Kontaktangaben, An- und Abmeldestatus sowie Checkout- und Bestellinformationen, insbesondere Artikel, Mengen, Werte, Währungen und Versand-, Stornierungs- oder Erstattungsstatus. Soweit entsprechende Felder für den jeweiligen Vorgang bereitgestellt werden, können auch Rechnungs- und Lieferangaben enthalten sein.

Dieser Datenabgleich ist technisch nicht mit einem Browser-Cookie gleichzusetzen und wird nicht allein durch die Einwilligungssteuerung des App-Pixels geregelt. Das Vorhandensein eines Datensatzes bei Klaviyo bedeutet insbesondere nicht, dass die betreffende Person Werbenachrichten bestellt oder in Website-Tracking eingewilligt hat.

Wir verwenden die Daten für die jeweils zulässige Kommunikation, die Verwaltung von Versandberechtigungen und die von einer entsprechenden Einwilligung erfasste Personalisierung. Soweit Klaviyo für eine konkret erforderliche Vertragsnachricht eingesetzt wird, ist Art. 6 Abs. 1 Buchst. b DSGVO maßgeblich. Die zur Beachtung und zum Nachweis von Einwilligungen und Abmeldungen erforderlichen Angaben werden auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO verarbeitet. Die personenbezogene Marketingprofilbildung und die Verbindung mit Websiteaktivitäten richten sich nach Art. 6 Abs. 1 Buchst. a DSGVO; eine eng begrenzte Bestandskundenansprache richtet sich gegebenenfalls nach Abschnitt 11.1.

Die Erforderlichkeit einer einzelnen Vertragsnachricht begründet keine pauschale Berechtigung zur Übernahme und werblichen Auswertung sämtlicher Kunden- oder Checkout-Daten. Einwilligungsabhängige Zwecke werden bei Widerruf beendet; notwendige Vertrags- und Nachweisdaten bleiben davon getrennt. Löschungen sind in den jeweiligen Systemen zu berücksichtigen und werden nicht allein durch die Löschung eines Cookies ausgelöst. Für die Aufbewahrung gilt Abschnitt 22.

10. WhatsApp-Marketing über Chatarmin

Für den Versand bestellter WhatsApp-Werbenachrichten nutzen wir Chatarmin und die dafür eingebundenen WhatsApp-Dienste.

Verarbeitet werden Ihre Telefonnummer, die dokumentierte Anmeldung, gegebenenfalls Ihr Name, Nachrichten sowie die im angekündigten Umfang verwendeten Profil- und Interaktionsdaten. Chatarmin unterstützt uns bei der technischen Verwaltung und Versendung dieser Nachrichten.

Rechtsgrundlage für den einwilligungsabhängigen Versand und eine vereinbarte personenbezogene Erfolgsauswertung ist Art. 6 Abs. 1 Buchst. a DSGVO. Eine weitergehende Verbindung mit Bestell- oder Websiteaktivitäten erfolgt nur, soweit sie von der entsprechenden Information und Rechtsgrundlage erfasst ist.

Sie können die Werbenachrichten jederzeit durch eine Nachricht an uns abbestellen. Die Abmeldung kann auch unmittelbar als Antwort auf unsere WhatsApp-Nachrichten erfolgen. Eine Servicekommunikation bleibt davon getrennt. Die allgemeinen Informationen zu WhatsApp finden Sie in Abschnitt 8.3; für die Speicherung von Versandprofilen und Nachweisen gilt Abschnitt 22.

11. Weitere Benachrichtigungen, Bewertungen und Direktwerbung

11.1 Angebote an Bestandskunden

Unter den Voraussetzungen des § 7 Abs. 3 UWG können wir eine beim Verkauf erhaltene E-Mail-Adresse für eigene ähnliche Angebote verwenden, wenn Sie dem nicht widersprochen haben und bei der Erhebung sowie in jeder Nachricht klar auf die kostenfreie Widerspruchsmöglichkeit hingewiesen werden. Es entstehen höchstens Übermittlungskosten nach den Basistarifen.

Die datenschutzrechtliche Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse besteht in einer im gesetzlichen Rahmen zulässigen Bestandskundenansprache. Ein Widerspruch beendet diese Nutzung. Die Ausnahme erlaubt nicht automatisch individuelles Website-Tracking, ein umfassendes Marketingprofil oder Werbung durch andere Unternehmen.

11.2 Warenverfügbarkeit und ausdrücklich bestellte Erinnerungen

Wenn Sie ausdrücklich eine Benachrichtigung zur Verfügbarkeit eines Artikels oder eine bestimmte Erinnerung anfordern, verarbeiten wir die hierfür erforderliche E-Mail-Adresse und den Bezug zum gewünschten Artikel beziehungsweise Warenkorb.

Für die von Ihnen bestellte Benachrichtigung ist Art. 6 Abs. 1 Buchst. a DSGVO maßgeblich. Sie können Ihre Anmeldung jederzeit durch eine Nachricht an uns widerrufen. Die hierfür verwendeten Angaben werden nach Erledigung der angeforderten Benachrichtigung gelöscht, soweit sie nicht für einen gesonderten zulässigen Zweck oder einen erforderlichen Nachweis benötigt werden. Eine Anmeldung zu einer solchen Nachricht ist keine pauschale Newsletter- oder Tracking-Anmeldung.

11.3 Bewertungsanfragen und Google Kundenrezensionen

Für werbliche Bewertungsanfragen verwenden wir Ihre Kontaktdaten nur mit der hierfür erforderlichen Berechtigung.

Nehmen Sie freiwillig am Programm Google Kundenrezensionen teil, übermitteln wir die für die Einladungs- und Bewertungsfunktion angegebenen Daten, insbesondere E-Mail-Adresse und Angaben zur Bestellung beziehungsweise Lieferung, an Google Ireland Limited. Grundlage der Einladungsübermittlung ist Ihre Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO.

11.4 Werbung per Post

Für eigene postalische Werbung können wir Namen und Postanschrift auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verwenden, soweit die erforderliche Interessenabwägung dies trägt. Unser Interesse liegt in der Bewerbung unseres eigenen Angebots. Sie können dieser Verwendung jederzeit widersprechen.

12. Eigene Tracking-Infrastruktur und Google Tag Manager

Für die technische Steuerung der nachfolgend erläuterten Analysen und Marketingdienste verwenden wir Shopify-Customer-Events, einen browserseitigen Google Tag Manager und einen serverseitigen Google Tag Manager.

Freigegebene Ereignisse werden über eigene Tracking-Domains zunächst an eine für uns betriebene Serverumgebung weitergeleitet. Dort werden sie entsprechend dem jeweiligen Zweck und der Einwilligung verarbeitet und an die in dieser Erklärung genannten Dienste übermittelt. Die Serverumgebung wird mit Google Cloud Run betrieben.

Das serverseitige Verfahren dient der Verwaltung und Zuordnung von Ereignissen, der Vermeidung von Doppelzählungen sowie der Steuerung der Empfänger und Datenfelder. Es ändert nicht den Zweck der Verarbeitung und schafft keine zusätzliche Rechtsgrundlage.

Dass ein Ereignis über unsere eigene Domain oder einen Server in der EU übermittelt wird, bedeutet nicht, dass es anonym ist oder ausschließlich in der EU verarbeitet wird. Die weitere Übermittlung an den jeweiligen Empfänger bleibt gesondert zu berücksichtigen.

Für einwilligungsabhängige Analysen und Marketing gelten Art. 6 Abs. 1 Buchst. a DSGVO und – bei entsprechenden Endgerätezugriffen – § 25 Abs. 1 TDDDG. Eine technische Einwilligungssteuerung, etwa der Consent Mode, ersetzt nicht Ihre Einwilligung. Notwendige Sicherheitsprotokolle richten sich nach Abschnitt 3.3; internationale Übermittlungen nach Abschnitt 21.

13. Google Analytics 4

Wir verwenden Google Analytics 4 zur Analyse der Nutzung unseres Shops und zur Verbesserung unseres Angebots. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Mit Ihrer Einwilligung werden insbesondere Seiten- und Produktaufrufe, Warenkorbaktionen, Bestellereignisse, Zeitpunkte, Online- und Sitzungskennungen, technische Geräteinformationen und Informationen zur Herkunft eines Besuchs verarbeitet. Ereignisse können innerhalb einer Sitzung oder über mehrere Besuche hinweg einer Kennung zugeordnet werden.

Die Verarbeitung erfolgt über die in Abschnitt 12 beschriebene Infrastruktur. Grundlage ist Art. 6 Abs. 1 Buchst. a DSGVO; für nicht notwendige Endgerätezugriffe gilt zusätzlich § 25 Abs. 1 TDDDG.

13.1 Nutzerkennungen und Datenverknüpfungen

Technische Nutzer- und Sitzungskennungen ermöglichen es, zusammengehörige Ereignisse auszuwerten. Soweit eine zusätzliche Verknüpfung mit Werbediensten, Werbezielgruppen oder einem bekannten Profil erfolgt, muss sie von der hierfür erforderlichen Einwilligung erfasst sein. Für Google Ads gelten ergänzend die Informationen in Abschnitt 16.

Wenn Sie zusätzlich in die Kategorie „Targeting/Marketing“ einwilligen, verwenden wir die Funktion Google Signals. Google kann dabei Nutzungsdaten mit Informationen angemeldeter Google-Nutzer verknüpfen, die die Anzeigenpersonalisierung aktiviert haben. Wir erhalten daraus nur zusammengefasste Angaben zu demografischen Merkmalen und Interessen und nutzen sie zur Auswertung und Verbesserung unseres Angebots und unserer Werbung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO, § 25 Abs. 1 TDDDG).

Mit Ihrer Einwilligung in „Targeting/Marketing“ übermitteln wir bei einer Bestellung zusätzlich Ihre E-Mail-Adresse in gehashter Form (SHA-256) an Google Analytics. Google nutzt diesen Wert zum Abgleich und zur Unterstützung unserer Werbezielgruppen in Google Ads. Der Hashwert ist ein personenbezogenes Abgleichsmerkmal und keine Anonymisierung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO).

Einwilligungen für Analytics und für personenbezogene Werbung werden entsprechend ihren jeweiligen Zwecken unterschieden. Die Verwendung eines Google-Dienstes bedeutet nicht, dass sämtliche anderen Google-Verarbeitungen ebenfalls freigegeben sind.

13.2 Speicherdauer und Widerruf

Die Speicherdauer personenbezogener Nutzer- und Ereignisdaten richtet sich nach dem Zeitraum, für den die Daten zur Auswertung der Shopnutzung und der beschriebenen Ereignisse erforderlich sind. Die Zuordnung zu einzelnen Kennungen wird gelöscht oder aufgehoben, sobald sie für diese Auswertung nicht mehr erforderlich ist oder eine gesetzliche Löschpflicht besteht. Die hierfür maßgeblichen Kriterien sind in Abschnitt 22 beschrieben.

Die Aufbewahrungseinstellungen von Google Analytics umfassen nicht automatisch jeden Datenbestand. Insbesondere separat exportierte Daten in BigQuery werden nach Abschnitt 14 behandelt. Für tatsächlich anonymisierte zusammengefasste Statistiken kann eine längere Nutzung möglich sein.

Sie können die künftige einwilligungsabhängige Erfassung in den Datenschutzeinstellungen beenden. Ihre gesetzlichen Rechte auf Löschung und Einschränkung bleiben unberührt.

Weitere Informationen: Google – Daten von Websites und Apps und Datenschutzerklärung von Google.

14. Google BigQuery, Datenauswertungen und eigenes Shop-Tracking

14.1 BigQuery als gesonderter Datenbestand

Wir verwenden Google BigQuery als Datenplattform für die Auswertung von Shopnutzung, Bestellentwicklung und der Wirksamkeit unserer Marketingmaßnahmen. Dabei unterscheiden wir zwischen aus Google Analytics exportierten Ereignisdaten, Daten aus eigenen Shop-Tracking-Funktionen und den für betriebliche Auswertungen erforderlichen Bestell- und Geschäftsdaten.

Exportiert werden die Google-Analytics-Ereignisdaten unserer Shops sassyclassy.de und sassyclassy.com.

Je Datenweg werden Ereignis- und Zeitangaben, Produkt- und Bestellbezüge sowie pseudonyme Nutzer- oder Sitzungskennungen verarbeitet. Soweit Kennungen mit Bestell- oder Kundendaten verbunden werden können, bleiben diese Datensätze personenbezogen. Die Speicherung in einer Datenplattform bewirkt keine Anonymisierung.

Für die Analyse einwilligungsabhängig erhobener Websiteaktivitäten und deren personenbezogene Verbindung mit weiteren Marketingdaten ist Art. 6 Abs. 1 Buchst. a DSGVO maßgeblich. Erforderliche betriebliche Auswertungen von Bestellungen, Umsätzen und Retouren dienen der Steuerung unseres Geschäfts und können, soweit die erforderliche Interessenabwägung dies trägt, auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen. Das Interesse liegt in der Planung von Sortiment, Beständen und betrieblichen Abläufen. Gesetzlich erforderliche Aufbewahrungen erfolgen nach Art. 6 Abs. 1 Buchst. c DSGVO.

Diese betrieblichen Zwecke erlauben keine automatische Nutzung aller Bestelldaten für personenbezogenes Werbetracking. Daten werden nur im für den jeweiligen Zweck erforderlichen Umfang zusammengeführt.

Empfänger im Rahmen der technischen Bereitstellung ist Google Cloud; weitere Zugriffe erfolgen durch die für die Datenverarbeitung zuständigen Personen und beauftragten Dienstleister. Informationen zu internationalen Übermittlungen finden Sie in Abschnitt 21.

BigQuery-Daten bilden einen eigenständigen Datenbestand. Eine Aufbewahrungseinstellung oder Löschung innerhalb von Google Analytics löscht diese Daten nicht automatisch. Für Rohdaten, verbundene personenbezogene Tabellen und daraus erzeugte Exporte gelten die auf den jeweiligen Zweck bezogenen Speicher- und Löschkriterien in Abschnitt 22. Eine Aufbewahrung ohne fortbestehenden zulässigen Zweck erfolgt nicht allein deshalb, weil Daten exportiert wurden.

14.2 Eigenes Shop-Tracking und Auswertung über Grafana

Neben Google Analytics setzen wir eine eigene Shop-Tracking-Anwendung ein, um die Nutzung unseres Angebots und die Entwicklung von Shopaktivitäten auszuwerten. Hierbei werden insbesondere Angaben zu Seiten- und Produktaufrufen, Zeitpunkten und Ereignissen sowie die für deren Zuordnung verwendeten technischen Kennungen verarbeitet.

Diese Anwendung ist von Google Analytics getrennt. Daten werden über unsere technische Infrastruktur an die hierfür genutzten Datenspeicher, insbesondere BigQuery, weitergeleitet. Grafana dient der Darstellung und Auswertung der daraus erstellten Berichte.

Soweit dabei personenbezogene Websiteaktivitäten zu Analysezwecken erfasst oder nicht notwendige Speicherungen beziehungsweise Zugriffe vorgenommen werden, erfolgt dies auf Grundlage Ihrer entsprechenden Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und gegebenenfalls § 25 Abs. 1 TDDDG. Der Widerruf ist über die Datenschutzeinstellungen möglich. Für die Aufbewahrung gelten die zweckbezogenen Kriterien aus Abschnitt 22.

15. Meta Pixel, Conversions API und erweiterter Datenabgleich

Wir nutzen Meta Pixel und die Meta Conversions API, um die Wirkung unserer Werbung auf Facebook und Instagram zu messen, Werbekampagnen zu optimieren und mit Ihrer Einwilligung interessenbezogene Zielgruppen zu bilden.

Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

15.1 Browser- und serverseitige Übermittlung

Das Meta Pixel erfasst freigegebene Ereignisse im Browser. Über die Conversions API können dazugehörige Ereignisse außerdem von unserer Server-Infrastruktur an Meta übermittelt werden. Ereigniskennungen dienen dazu, dass ein Vorgang nicht mehrfach gezählt wird.

Zu den übermittelten Ereignisarten gehören insbesondere:

Verarbeitet werden je Ereignis insbesondere Zeitpunkt, Seiten- oder Produktbezug, Bestellwert und Währung, Ereignis- und Browserkennungen, Werbeklickinformationen sowie technische Angaben wie IP-Adresse und Browserkennung.

15.2 Abgleich mit bekannten Nutzern

Wenn die dafür erforderliche Einwilligung und die entsprechenden Informationen vorliegen, übermitteln wir auch einen aus Ihrer E-Mail-Adresse gebildeten SHA-256-Hashwert. Meta kann diesen Wert mit entsprechenden Werten seiner Nutzerkonten abgleichen.

Daneben können technische Wiedererkennungskennungen, insbesondere Facebook-Browser- und Klickkennungen sowie eine externe pseudonyme Kennung, verwendet werden. Die externe Kennung kann aus der in unserer Tracking-Infrastruktur verwendeten Analytics-Client-Kennung abgeleitet werden; die Verwendung für Meta bleibt an die entsprechende Marketingeinwilligung gebunden.

Zusätzlich verwenden wir den automatischen erweiterten Abgleich des Meta-Pixels. Mit Ihrer Einwilligung in „Targeting/Marketing“ können dabei Angaben, die auf unseren Seiten vorhanden sind und technisch erkannt werden, in gehashter Form zum Abgleich an Meta übermittelt werden: E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Geschlecht, Geburtsdatum, Stadt, Bundesland, Postleitzahl und Land. Zusätzlich kann eine pseudonyme Kundenkennung verwendet werden.

Fehlt eine Meta-Browserkennung, kann unsere Server-Infrastruktur eine solche Kennung erzeugen und im Browser speichern. Die serverseitig gesetzten Cookies _fbp und _fbc sowie der Cookie _gtmeec für gehashte Abgleichsdaten haben eine konfigurierte maximale Laufzeit von 90 Tagen ab Setzen beziehungsweise zulässiger Aktualisierung. _gtmeec wird als HttpOnly-Cookie gesetzt und kann gehashte E-Mail- oder andere Abgleichskennungen für die Zuordnung späterer freigegebener Ereignisse enthalten. Auch diese Speicherungen und die weitere Verwendung für Meta setzen die entsprechende Einwilligung voraus.

Hashing ist keine Anonymisierung. Gerade der mögliche Abgleich mit einem Nutzerkonto ist Zweck dieser Verarbeitung. Technische Daten wie IP-Adresse und Browserkennung werden nicht allein dadurch ebenfalls gehasht, dass eine E-Mail-Adresse gehasht übermittelt wird.

Meta kann die Daten einem Nutzerkonto zuordnen und im Rahmen seiner eigenen Verantwortung weiterverarbeiten. Einzelheiten enthält die Datenschutzrichtlinie von Meta.

15.3 Rechtsgrundlage und Widerruf

Unsere einwilligungsabhängige Erfassung, Zuordnung und Übermittlung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. a DSGVO. Für nicht notwendige Endgerätespeicherungen und -zugriffe gilt zusätzlich § 25 Abs. 1 TDDDG.

Eine Bestellung, eine Newsletter-Anmeldung oder die Kenntnis Ihrer E-Mail-Adresse allein begründet keine Zustimmung zu diesem Abgleich. Sie können die betreffende Einwilligung in den Datenschutzeinstellungen widerrufen.

15.4 Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO und Übermittlungen

Soweit wir und Meta über bestimmte Erhebungs- und Übermittlungsschritte gemeinsam entscheiden, sind wir für diese Schritte gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Die dafür vereinbarte Aufgabenverteilung ist in der Ergänzung zur Verantwortlichkeit von Meta beschrieben.

Für die Einbindung auf unserer Website und die von uns veranlassten Übermittlungen stellen wir die erforderlichen Informationen und Einwilligungsmöglichkeiten bereit. Für Vorgänge innerhalb der Systeme von Meta ist Meta im Rahmen der jeweiligen Verantwortlichkeit zuständig. Anfragen, die Verarbeitungen bei Meta betreffen, können Sie auch unmittelbar an Meta richten; an uns gerichtete Anfragen bearbeiten wir im Rahmen unserer Verantwortung und unter Einbeziehung von Meta, soweit dies erforderlich ist.

Die gemeinsame Verantwortung umfasst nicht automatisch jede spätere Verarbeitung durch Meta. Ihre gesetzlichen Rechte können Sie gegenüber jedem der für die jeweilige gemeinsame Verarbeitung Verantwortlichen geltend machen.

Eine Verarbeitung in den USA durch Meta Platforms, Inc. ist möglich. Für internationale Übermittlungen gelten die Informationen in Abschnitt 21.

Für unsere Ereignisprotokolle und Zielgruppenzuordnungen gelten die zweckbezogenen Speicher- und Löschkriterien aus Abschnitt 22. Die weitere Speicherung in eigener Verantwortung von Meta richtet sich nach der verlinkten Datenschutzrichtlinie von Meta. Ein Widerruf bei uns beendet die künftige einwilligungsabhängige Erfassung und Übermittlung durch uns; Rechte hinsichtlich bereits bei Meta vorhandener Daten können Sie ebenfalls geltend machen.

16. Google Ads, Conversion-Messung und erweiterte Conversions

Wir nutzen Google Ads, um Werbung auszuspielen und zu messen, ob sie zu Shopbesuchen oder Käufen geführt hat.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Mit Ihrer entsprechenden Einwilligung verarbeiten wir Werbeklick- und Browserkennungen, Ereignis- und Bestellreferenzen, Zeitpunkte, Bestellwerte, Währungen und Artikelinformationen. Daten können über unsere Server-Infrastruktur an Google weitergegeben werden.

Erweiterte Conversions: Für den Abgleich eines freigegebenen Ereignisses kann ein aus Ihrer E-Mail-Adresse gebildeter Hashwert an Google übermittelt werden. Dieser ermöglicht einen Abgleich mit bei Google bekannten Nutzern. Der Hashwert ist nicht anonym.

Remarketing: Soweit aktiviert und von Ihrer Einwilligung erfasst, werden Informationen über Shopaktivitäten zur Bildung von Werbezielgruppen verwendet. Soweit Ihre Einwilligung dies umfasst, können hierfür auch die mit Google Analytics erfassten Informationen über Shopaktivitäten verwendet werden.

Rechtsgrundlage für die hier beschriebenen einwilligungsabhängigen Verarbeitungen ist Art. 6 Abs. 1 Buchst. a DSGVO; für nicht notwendige Endgerätezugriffe gilt zusätzlich § 25 Abs. 1 TDDDG. Ein Widerruf ist in den Datenschutzeinstellungen möglich.

Weitere Informationen: Google – Daten von Websites und Apps.

Unsere Speicher- und Löschkriterien für Ereignisse und Zielgruppenzuordnungen finden Sie in Abschnitt 22. Die weitere Verarbeitung durch Google richtet sich ergänzend nach den verlinkten Datenschutzhinweisen. Internationale Übermittlungen werden in Abschnitt 21 erläutert.

17. Weitere Analysefunktionen

17.1 Shopify Analytics

Wir verwenden Shopify-Berichte, um insbesondere Bestellungen, Umsätze, Artikelentwicklung und Retouren auszuwerten. Soweit dafür bereits zur Vertragsabwicklung erforderliche Daten verwendet werden, dient die Auswertung der Planung und Steuerung unseres Geschäfts. Grundlage kann Art. 6 Abs. 1 Buchst. f DSGVO sein, soweit diese Auswertung erforderlich ist und keine überwiegenden entgegenstehenden Interessen bestehen.

Eine zusätzliche personenbezogene Erfassung des Besuchsverhaltens zu Analysezwecken erfolgt nur auf Grundlage der erforderlichen Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und, bei entsprechenden Endgerätezugriffen, § 25 Abs. 1 TDDDG. Die Nutzung von Shopify-Berichten ist von den in Abschnitt 3.2 beschriebenen eigenständigen Shopify-Diensten zu unterscheiden.

17.2 Klar

Wir setzen Klar zur Auswertung von Bestell-, Umsatz-, Retouren- und Marketingdaten ein. Zweck ist es, die Entwicklung unseres Geschäfts und den Erfolg von Marketingmaßnahmen zu beurteilen. Dabei können Informationen aus den für die Auswertung eingebundenen Shop- und Marketingdatenbeständen verarbeitet werden.

Soweit personenbezogene Websiteaktivitäten erfasst oder für eine personenbezogene kanalübergreifende Marketinganalyse verbunden werden, erfolgt dies nur im Umfang Ihrer hierfür erteilten Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Für einwilligungspflichtige Endgerätezugriffe gilt zusätzlich § 25 Abs. 1 TDDDG. Erforderliche betriebliche Auswertungen richten sich nach den in Abschnitt 14.1 beschriebenen, davon getrennten Zwecken und Rechtsgrundlagen.

Die Speicherdauer richtet sich nach der Erforderlichkeit für die betreffende Auswertung. Daten werden gelöscht oder die Zuordnung zu einzelnen Personen wird aufgehoben, sobald sie nicht mehr benötigt wird; die weiteren Kriterien in Abschnitt 22 gelten ergänzend.

18. A/B-Tests mit ABLyft und Varify

Wir führen zeitlich begrenzte A/B-Tests durch. Mit A/B-Tests vergleichen wir unterschiedliche Gestaltungen oder Funktionen unseres Shops. Dabei werden Besucherinnen und Besucher unterschiedlichen Testvarianten zugeordnet und die Reaktionen auf diese Varianten ausgewertet. Soweit hierfür personenbezogene Websiteaktivitäten oder nicht notwendige Speicherzugriffe verwendet werden, erfolgt die Verarbeitung mit Ihrer Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und gegebenenfalls § 25 Abs. 1 TDDDG.

18.1 ABLyft: Basis-Skript und Shopify-Pixel

Für A/B-Tests verwenden wir ABLyft der Conversion Expert GmbH, Zeppelinring 52c, 24146 Kiel, Deutschland. Die Auswertung dient dazu, die Bedienbarkeit und Gestaltung unseres Shops zu verbessern und die Auswirkungen von Testvarianten auf Warenkorbaktionen, Bestellabschlüsse und Umsätze zu vergleichen. Soweit der Anbieter personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies als Auftragsverarbeitung.

18.1.1 Testausspielung und Wiedererkennung im Shop

Ein in unseren Shop eingebundenes ABLyft-Skript ordnet Besuche Testvarianten zu und spielt die entsprechenden Inhalte aus. Hierfür werden Test- und Variantenkennungen sowie Informationen zur Wiedererkennung eines Besuchs gespeichert beziehungsweise ausgelesen. Solche Zuordnungen können in Cookies oder vergleichbaren lokalen Speichern hinterlegt sein. Bei der technischen Kommunikation mit ABLyft werden außerdem Verbindungs- und Geräteinformationen verarbeitet. Während eines Tests wird das Skript beim Seitenaufruf geladen. Testvarianten spielen wir jedoch erst aus und Messdaten erheben wir erst, wenn Sie in „Performance/Analytics“ eingewilligt haben.

Die Test- und Variantenzuordnung wird zusätzlich zusammen mit Projekt-, Geräte- und Messzielinformationen als Attribut des Shopify-Warenkorbs hinterlegt. Beim Kauf können diese Angaben in den Bestelldatensatz in unserem Shop übernommen werden und sind dann auch in nachgelagerten Bestellsystemen enthalten. Dieser Speicherweg besteht neben den Cookies. Die Hinterlegung erfolgt nur, wenn Ihnen auf Grundlage Ihrer Einwilligung eine Testvariante ausgespielt wurde.

18.1.2 Shopify-Customer-Event-Pixel

Zusätzlich verwenden wir einen ABLyft-Custom-Pixel in Shopify Customer Events. Dieser verarbeitet Ereignisse aus dem Warenkorb und dem Bestellprozess und ordnet sie den zuvor ausgespielten Tests zu. Dazu gehören insbesondere das Hinzufügen eines Artikels zum Warenkorb sowie der Beginn, einzelne Schritte und der Abschluss des Checkouts.

Zu den verarbeiteten Angaben gehören Ereignisart und Zeitpunkt, Test- und Variantenkennungen, aufgerufene Seite, Gerätetyp, Browserinformationen und die Einordnung als neuer oder wiederkehrender Besuch. Beim Abschluss einer Bestellung kommen Bestellwert, Anzahl der bestellten Artikel sowie Produktkennungen und zugehörige Umsatzwerte hinzu. Kontakt-, Rechnungs- oder Lieferangaben übermittelt der Pixel nicht. Kennungen in Checkout- und Bestelladressen (URLs) werden vor der Übermittlung entfernt. Die Daten werden an ABLyft übermittelt. Ereignisse werden den für den jeweiligen Test eingerichteten Messzielen zugeordnet.

Die Benennung eines Checkout-Ereignisses, beispielsweise als Übermittlung von Kontakt- oder Versandinformationen, bezeichnet zunächst den betreffenden Schritt im Bestellprozess. Sie bedeutet nicht für sich genommen, dass der Pixel den Inhalt aller in diesem Schritt ausgefüllten Formularfelder übermittelt.

18.1.3 Einwilligung, Analyseverknüpfung und Widerruf

Die personenbezogene Testzuordnung und Erfolgsmessung, einschließlich der dafür veranlassten Pixel-Übermittlungen, stützen wir auf Ihre entsprechende Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Bestellnachrichten per Shopify-Webhook übermitteln wir hierfür nicht an ABLyft. Für nicht notwendige Speicherungen auf Ihrem Endgerät und Zugriffe auf dort vorhandene Informationen gilt zusätzlich § 25 Abs. 1 TDDDG. Die Einwilligungsanforderungen gelten auch dann, wenn ein Ereignis serverseitig übermittelt wird.

Soweit Test- und Varianteninformationen zusätzlich mit Google Analytics ausgewertet oder in BigQuery exportiert werden, gelten die Informationen und Einwilligungsvoraussetzungen der Abschnitte 13 und 14. Eine Einwilligung in einen einzelnen Dienst umfasst nicht automatisch jeden weiteren Datenempfänger.

Sie können die betreffende Einwilligung in den Datenschutzeinstellungen für die Zukunft widerrufen oder sich an uns wenden. Dies betrifft sowohl die weitere einwilligungsabhängige Erfassung als auch die hierfür veranlassten Übermittlungen und Zuordnungen. Die notwendige Bearbeitung Ihrer Bestellung bleibt davon getrennt. Das alleinige Löschen eines Cookies entfernt keine bereits serverseitig gespeicherten Daten.

Weitere Informationen zum Anbieter enthält die Datenschutzerklärung von ABLyft. Für Empfänger und internationale Übermittlungen gelten ergänzend die Informationen in Abschnitt 21.

18.2 Varify

Bei Tests mit Varify werden Testzuordnungen und Ereignisse zur Bewertung von Testvarianten verarbeitet. Dazu kann auch die Übermittlung des Bestellumsatzes über eine gesonderte Checkout-Anbindung gehören. Testinformationen können im Rahmen der erteilten Einwilligung mit den hierfür vorgesehenen Analyseereignissen verbunden werden.

18.3 Speicherdauer der Testdaten

Die personenbezogene Zuordnung wird nur aufbewahrt, solange sie für die Durchführung und Auswertung des jeweiligen Tests erforderlich ist. Danach werden die betreffenden Daten gelöscht oder tatsächlich anonymisiert. Technische Übermittlungsprotokolle sind von den Testkennzahlen zu unterscheiden; ihre Aufbewahrung richtet sich nach dem erforderlichen Verarbeitungs-, Fehlerbehebungs- und Sicherheitszweck. Soweit ABLyft früher Bestellnachrichten per Shopify-Webhook erhalten hat, gilt für diese Bestellkopien dasselbe. Eine gesetzliche Aufbewahrungspflicht für unsere Rechnungen rechtfertigt keine ebenso lange Speicherung einer zu Analysezwecken an einen Testdienst übermittelten Bestellkopie.

Ergänzend gelten die Informationen zu Speicherdauer und Speichertechnologien in den Abschnitten 22 und 23. Ein Widerruf der Einwilligung ist über die Datenschutzeinstellungen möglich; die gesetzlichen Rechte auf Löschung und Einschränkung bleiben unberührt.

19. Weitere Dienste und Formulare

19.1 Pinterest

Soweit in unserem Shop Pinterest-Tracking eingebunden ist, werden mit Ihrer entsprechenden Marketingeinwilligung Ereignisse wie Seitenaufrufe und Käufe sowie die hierfür verwendeten Online- und Werbekennungen verarbeitet. Zweck sind die Erfolgsmessung von Werbung und die Bildung interessenbezogener Zielgruppen. Empfänger ist Pinterest; dabei kann eine Zuordnung zu einem Pinterest-Konto erfolgen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO sowie, bei entsprechenden Endgerätezugriffen, § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung in den Datenschutzeinstellungen widerrufen. Weitere Informationen enthält die Datenschutzerklärung von Pinterest.

19.2 Eingebettete Videos

Wenn wir Videos eines externen Anbieters, insbesondere YouTube, einbetten, kann beim Laden eine Verbindung zum jeweiligen Anbieter entstehen. Dabei können IP-Adresse, aufgerufene Seite und weitere technische Daten verarbeitet und Speichertechnologien verwendet werden. YouTube gehört zu Google; für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum ist insbesondere Google Ireland Limited beteiligt.

Für einwilligungspflichtige Einbindungen holen wir vor dem Laden die entsprechende Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und gegebenenfalls § 25 Abs. 1 TDDDG ein. Sie können diese in den Datenschutzeinstellungen widerrufen. Für die Verarbeitung durch Google gelten ergänzend die Datenschutzhinweise von Google.

19.3 Schriftarten

Schriftdateien, die über unsere eigene Shop-Infrastruktur ausgeliefert werden, sind Teil der technischen Bereitstellung unserer Website nach Abschnitt 3. Werden externe Schriftartendienste wie Google Fonts geladen, kann dabei eine Verbindung zum jeweiligen Anbieter entstehen, bei der insbesondere IP-Adresse und technische Verbindungsdaten verarbeitet werden.

Soweit eine solche externe Einbindung eine Einwilligung erfordert, erfolgt sie erst nach dieser Einwilligung auf Grundlage von Art. 6 Abs. 1 Buchst. a DSGVO und, bei entsprechenden Speicherzugriffen, § 25 Abs. 1 TDDDG. Ein Widerruf ist über die Datenschutzeinstellungen möglich.

19.4 Typeform und Onlineformulare

Wenn wir ein Formular mit Typeform bereitstellen, verarbeiten wir Ihre Eingaben für den beim Formular angegebenen Zweck. Darüber hinaus können technische Daten zum Aufruf und zur Übermittlung des Formulars verarbeitet werden. Welche Angaben erforderlich oder freiwillig sind, ergibt sich aus dem jeweiligen Formular.

Bei vertragsbezogenen Anfragen ist Art. 6 Abs. 1 Buchst. b DSGVO maßgeblich. Allgemeine Anfragen bearbeiten wir nach Art. 6 Abs. 1 Buchst. f DSGVO aufgrund unseres Interesses an der Beantwortung Ihres Anliegens. Bei freiwilligen Befragungen und einwilligungsabhängigen Auswertungen ist Art. 6 Abs. 1 Buchst. a DSGVO die Grundlage; eine Einwilligung kann jederzeit widerrufen werden.

Angaben aus einem Formular werden nicht allein deshalb für Newsletter oder personenbezogenes Werbetracking verwendet, weil Sie das Formular ausfüllen. Sie werden für die Bearbeitung und Auswertung des mitgeteilten Formularzwecks aufbewahrt; danach gelten die Löschkriterien in Abschnitt 22.

19.5 Make und Prozessautomatisierung

Soweit wir Make für die technische Verbindung von Geschäftsprozessen verwenden, werden zwischen den beteiligten Systemen die für den jeweiligen Vorgang erforderlichen Daten übertragen. Dies kann insbesondere Kontakt-, Bestell- oder Vorgangsdaten sowie technische Statusinformationen betreffen. Make dient dabei der Ausführung des jeweiligen Übertragungs- und Verarbeitungsschritts.

Die Rechtsgrundlage richtet sich nach dem Hauptzweck, etwa Art. 6 Abs. 1 Buchst. b DSGVO für die Vertragsabwicklung, Art. 6 Abs. 1 Buchst. c DSGVO für gesetzliche Pflichten oder Art. 6 Abs. 1 Buchst. f DSGVO für die erforderliche Bearbeitung allgemeiner Anfragen. Für einwilligungsabhängige Marketingvorgänge bleibt die entsprechende Einwilligung erforderlich. Die technische Automatisierung begründet keine zusätzliche Berechtigung zur Verwendung Ihrer Daten.

19.6 Channable und Verkaufsschnittstellen

Über Channable können Produktinformationen für Verkaufs- und Werbekanäle bereitgestellt werden. Die Übertragung reiner Produktkatalogdaten ist von der Verarbeitung personenbezogener Daten zu unterscheiden.

Soweit Channable zur Abwicklung Ihrer Bestellung über einen angebundenen Verkaufskanal eingesetzt wird, werden die hierfür notwendigen Bestell- und Lieferdaten auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO verarbeitet. Eine zusätzliche personenbezogene Nutzung für Marketing erfolgt nur mit der hierfür erforderlichen Rechtsgrundlage und Information.

19.7 Elektronische Signaturen mit PandaDoc

Wenn wir Ihnen ein Dokument zur elektronischen Unterzeichnung über PandaDoc bereitstellen, verarbeitet der Dienst den Dokumentinhalt, Kontakt- und Signaturdaten sowie die zum Nachweis des Signaturvorgangs erforderlichen technischen Angaben.

Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit der Vorgang der Anbahnung oder Durchführung eines Vertrags dient. Die erforderliche Dokumentation der Erklärung und ihres Zugangs kann auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen; unser Interesse liegt in einem verlässlichen Nachweis der abgegebenen Erklärungen. Gesetzliche Aufbewahrungspflichten richten sich nach Art. 6 Abs. 1 Buchst. c DSGVO. Für die Speicherdauer sind der Vertrags- und Nachweiszweck sowie die jeweils geltenden Aufbewahrungspflichten maßgeblich.

Für alle in diesem Abschnitt genannten Dienste gelten ergänzend die Informationen zu Empfängern, internationalen Übermittlungen und Speicherdauer in den Abschnitten 21 und 22.

19.8 GoAffPro: Affiliate- und Partnerprogramm

Wir verwenden GoAffPro, um Empfehlungen unserer Werbe- und Vertriebspartner zuzuordnen, den Erfolg dieser Empfehlungen zu messen und darauf beruhende Provisionen zu berechnen und abzurechnen. Anbieter ist GoAffPro, 16, Sector 20, Part 1, HUDA, Sirsa, Haryana 125055, Indien.

19.8.1 Datenwege und Datenkategorien

Die Einbindung umfasst einen GoAffPro-App-Pixel in Shopify Customer Events und zusätzlich in den Shop eingebundene Skripte. Diese können Informationen aus einem Partnerlink, Websiteereignisse und Bestellbezüge verarbeiten. Bei der Kommunikation mit dem Dienst fallen außerdem technische Verbindungsdaten an. Die Verwaltung der Zuordnung und der Provisionen kann zusätzlich über die direkte Verbindung der App mit Shopify erfolgen.

Verarbeitet werden je nach Vorgang insbesondere Partner-, Referral-, Klick- und Sitzungskennungen, Herkunft und Zeitpunkt eines Besuchs, Seiten- und Produktbezug, IP-Adresse und Browserinformationen sowie Bestellreferenz, Artikel, Mengen, Bestellwert, Währung, verwendete Rabatt- oder Partnercodes und der für die Provisionsberechnung relevante Bestellstatus. Abhängig von der verwendeten Shopify-Schnittstelle und dem Vorgang können zusätzlich Kundenkennungen, Name, E-Mail-Adresse, Rechnungs- und Lieferadresse sowie Telefonnummer bereitgestellt werden. Solche Angaben dürfen nur im für den jeweiligen zulässigen Zweck erforderlichen Umfang verarbeitet werden.

GoAffPro verarbeitet die für den Dienst bereitgestellten Daten zur Unterstützung unseres Partnerprogramms. Soweit der Anbieter dabei weisungsgebunden für uns tätig ist, gelten die Anforderungen an eine Auftragsverarbeitung nach Art. 28 DSGVO. Partner erhalten im Rahmen der Provisionsabrechnung die für ihre jeweilige Zuordnung und Abrechnung erforderlichen Verkaufs- und Provisionsinformationen. Eine darüber hinausgehende Weitergabe von Kundenkontaktdaten für eigene Werbung der Partner ist von diesem Zweck nicht erfasst.

19.8.2 Referral-Cookie und Zuordnungszeitraum

Wenn Sie über einen Partnerlink in unseren Shop gelangen und entsprechend einwilligen, kann eine Referral-Kennung in einem Cookie gespeichert werden. Die hierfür konfigurierte Laufzeit beträgt sieben Tage je Speicherung. Innerhalb dieses Zeitraums kann ein späterer Kauf der Empfehlung zugeordnet werden. Bei mehreren gültigen Partnerempfehlungen gilt für die Link-Zuordnung grundsätzlich das Last-Touch-Prinzip: Entscheidend ist die zuletzt berücksichtigte Empfehlung. Ein weiterer freigegebener Partnerklick kann eine neue Zuordnung mit entsprechend neu beginnender Laufzeit auslösen.

Der Ablauf des Referral-Cookies ist nicht gleichbedeutend mit der Löschung eines bereits entstandenen Bestell- oder Provisionsdatensatzes. Diese Daten werden getrennt nach ihrem jeweiligen Zweck und den Kriterien aus Abschnitt 22 behandelt. Die Sieben-Tage-Angabe gilt für die Referral-Zuordnung und ist keine pauschale Laufzeit für jeden technisch beteiligten Speicher.

19.8.3 Rechtsgrundlagen und Widerruf

Die optionale Erfassung und Wiedererkennung Ihres Besuchs zur personenbezogenen Affiliate-Zuordnung sowie die damit verbundenen Übermittlungen stützen wir auf Ihre entsprechende Marketingeinwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Für nicht notwendige Speicherungen und Zugriffe auf Ihrem Endgerät gilt zusätzlich § 25 Abs. 1 TDDDG. Diese Voraussetzungen gelten für den App-Pixel ebenso wie für die entsprechenden Funktionen der zusätzlichen Shop-Skripte. Die Einwilligung ist keine Voraussetzung für eine Bestellung.

Sie können die Einwilligung über die Cookie- beziehungsweise Datenschutzeinstellungen nach Abschnitt 4 für die Zukunft widerrufen. Dann wird die weitere einwilligungsabhängige Affiliate-Erfassung und Zuordnung beendet. Der Widerruf ersetzt nicht automatisch die Löschung bereits rechtmäßig entstandener und weiterhin erforderlicher Abrechnungsnachweise.

Soweit vorhandene Provisionsnachweise zur Abrechnung mit unseren Partnern oder zur Klärung konkreter Ansprüche erforderlich bleiben, kann deren begrenzte weitere Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen. Unser Interesse liegt in einer richtigen, nachvollziehbaren Provisionsabrechnung und der Durchsetzung beziehungsweise Abwehr von Ansprüchen. Gesetzliche Aufbewahrungspflichten richten sich nach Art. 6 Abs. 1 Buchst. c DSGVO. Diese Zwecke erlauben kein zusätzliches Website-Tracking ohne die dafür erforderliche Einwilligung. Ihre Widerspruchsrechte finden Sie in Abschnitt 24.

19.8.4 Internationale Verarbeitung

GoAffPro ist ein Anbieter in Indien. Nach seinen eigenen Datenschutzhinweisen werden Rechenzentren in Deutschland, den USA und Singapur genutzt. Eine Verarbeitung oder ein Zugriff außerhalb des Europäischen Wirtschaftsraums kann daher stattfinden. GoAffPro nennt in diesen Hinweisen insbesondere Standarddatenschutzklauseln der Europäischen Kommission als Schutzinstrument für internationale Übermittlungen. Die Voraussetzungen und Auskunftsmöglichkeiten zu den für unsere Nutzung geltenden Garantien sind in Abschnitt 21 erläutert. Eine Einwilligung in Affiliate-Tracking ist keine pauschale Einwilligung in beliebige Drittlandübermittlungen.

Weitere Informationen enthält die Datenschutzerklärung von GoAffPro.

19.8.5 Teilnahme als Partner

Wenn Sie sich selbst für unser Partnerprogramm anmelden, verarbeiten wir Ihre Anmelde- und Kontaktdaten, Partnerkennung sowie die für die Zusammenarbeit, Provisionsabrechnung und Auszahlung erforderlichen Angaben. Für die Anbahnung und Durchführung des Partnervertrags ist Art. 6 Abs. 1 Buchst. b DSGVO maßgeblich; gesetzliche Aufbewahrungen erfolgen nach Art. 6 Abs. 1 Buchst. c DSGVO. Diese Verarbeitung Ihrer Partnerdaten ist von dem einwilligungsabhängigen Tracking der Shopbesucher zu unterscheiden.

20. Buchhaltung, rechtliche Pflichten und Bewerbungen

20.1 Buchhaltung und Steuerberatung

Bestell-, Rechnungs- und Zahlungsdaten werden verarbeitet, soweit dies für unsere Buchführung und die Erfüllung steuerlicher Pflichten erforderlich ist. Hierbei können unser Steuerberater sowie DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg eingebunden sein.

Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den jeweils einschlägigen handels- und steuerrechtlichen Pflichten. Die konkrete Rollenverteilung zwischen uns, unserer Steuerberatung und einem Softwareanbieter richtet sich nach der tatsächlichen Leistung und den geltenden Vorgaben.

Eine gesetzliche Aufbewahrungspflicht für Rechnungen rechtfertigt keine gleich lange Speicherung sämtlicher Websiteaktivitäten oder Marketingprofile.

20.2 Bewerbungen

Wenn Sie sich bei uns bewerben, erhalten Sie in unserem Bewerbungsbereich gesonderte Informationen zur Verarbeitung Ihrer Bewerbungsdaten und zu den dort eingesetzten Dienstleistern. Bitte beachten Sie die dort für das jeweilige Bewerbungsverfahren bereitgestellten Datenschutzhinweise.

Bewerbungsdaten werden nicht für das hier beschriebene Shop-Marketing verwendet.

21. Empfänger, Rollen und internationale Übermittlungen

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die die Daten für ihre Aufgaben benötigen. Externe Dienstleister werden nach ihrer jeweiligen Funktion eingebunden: als weisungsgebundene Auftragsverarbeiter, als eigenständig Verantwortliche oder – für konkret festgelegte Verarbeitungsschritte – als gemeinsam Verantwortliche.

Zu den Empfängern beziehungsweise Empfängerkategorien gehören die in dieser Erklärung beschriebenen Shop- und Hostinganbieter, Logistik- und Versandunternehmen, Zahlungsdienstleister, Kundenservice- und Kommunikationsanbieter, Analyse- und Marketingdienste einschließlich GoAffPro und der jeweils abrechnungsberechtigten Affiliate-Partner, Schnittstellendienstleister sowie Steuerberatung und Buchhaltungsdienstleister. Eine Übermittlung erfolgt nur im für den jeweiligen Zweck erforderlichen und rechtlich zulässigen Umfang.

Bei Diensten mit internationalen Konzern- und Unterauftragnehmerstrukturen können Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Dies kann auch durch einen Fernzugriff aus einem Drittland geschehen. Insbesondere bei Klaviyo sowie bei Diensten der Unternehmensgruppen Google, Meta, Shopify und Zendesk kann eine Verarbeitung in den USA stattfinden; bei Shopify kommt insbesondere auch Kanada in Betracht. Bei GoAffPro sind zusätzlich der Anbieterstandort Indien und die vom Anbieter genannten Verarbeitungsstandorte USA und Singapur zu berücksichtigen; Einzelheiten enthält Abschnitt 19.8. Ein europäischer Serverstandort schließt einen solchen Zugriff nicht automatisch aus.

Soweit ein anwendbarer Angemessenheitsbeschluss der Europäischen Kommission besteht und der konkrete Empfänger in dessen Geltungsbereich fällt, kann eine Übermittlung auf Art. 45 DSGVO gestützt werden. Bei Übermittlungen an US-Unternehmen kommt hierfür das EU-US Data Privacy Framework in Betracht, soweit die tatsächlich empfangende Gesellschaft wirksam und für die betreffenden Daten erfasst ist.

Besteht kein einschlägiger Angemessenheitsbeschluss, erfolgen Übermittlungen auf Grundlage geeigneter Garantien nach Art. 46 DSGVO. Dazu gehören insbesondere die von der Europäischen Kommission beschlossenen Standardvertragsklauseln und, soweit anwendbar, genehmigte verbindliche interne Datenschutzvorschriften. Erforderlichenfalls werden ergänzende Schutzmaßnahmen eingesetzt. Eine gewöhnliche Einwilligung in Website-Tracking ist keine pauschale Ausnahme von diesen Anforderungen.

Informationen zu den für eine konkrete Übermittlung eingesetzten Garantien und eine entsprechende Kopie können Sie über die in Abschnitt 1 angegebenen Kontaktdaten anfordern. Schutzwürdige Informationen dürfen dabei erforderlichenfalls geschwärzt werden. Ergänzend gelten die in den jeweiligen Abschnitten verlinkten Datenschutzhinweise der Anbieter.

22. Wie lange Daten gespeichert werden

Wir speichern personenbezogene Daten nur, solange sie für den jeweiligen Zweck erforderlich sind oder eine gesetzliche Aufbewahrungspflicht besteht. Entfällt die zulässige Grundlage für die weitere Speicherung, werden die Daten gelöscht oder tatsächlich anonymisiert. Ein bloßes Entfernen des Namens oder Hashing genügt dafür nicht, wenn eine Person weiterhin zugeordnet werden kann.

Die Dauer richtet sich nach den folgenden, für den jeweiligen Datenbestand maßgeblichen Kriterien:

Gesetzlich aufzubewahrende Unterlagen werden nach Ablauf der einschlägigen Aufbewahrungspflicht gelöscht, sofern kein gesonderter zulässiger Aufbewahrungsgrund mehr besteht. Für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen kann eine auf den erforderlichen Umfang begrenzte längere Speicherung notwendig sein. In diesem Fall wird die weitere Verwendung auf diesen Zweck beschränkt.

Die Laufzeit eines Cookies ist nicht mit der Aufbewahrungsdauer eines daraus erzeugten Ereignisses gleichzusetzen. Auch eine aus einem Dienst exportierte Kopie ist bei der Löschung gesondert zu berücksichtigen. Sie können uns jederzeit zu der Speicherung Ihrer konkreten Daten und zur Ausübung Ihrer Datenschutzrechte kontaktieren.

23. Speichertechnologien im Überblick

Cookies und vergleichbare Speicher können unmittelbar durch eine Websitefunktion oder im Zusammenhang mit einer serverseitigen Antwort gesetzt und ausgelesen werden. Eine Speicherung unter einer eigenen Shop-Domain ist nicht allein deshalb technisch notwendig.

Sitzungsbezogene Cookies werden mit dem Ende der betreffenden Sitzung ungültig. Dauerhafte Cookies haben eine technische Ablaufzeit, die in den Cookie-Informationen Ihres Browsers eingesehen werden kann. Andere lokale Speicher können technisch ohne eigenes Ablaufdatum bestehen; daraus folgt keine Berechtigung zu einer zeitlich unbegrenzten Verarbeitung. Maßgeblich bleiben der erklärte Zweck, Ihre Auswahl und die Löschkriterien aus Abschnitt 22.

Sie können gespeicherte Cookies und lokale Websitedaten zusätzlich in Ihrem Browser löschen oder deren Verwendung beschränken. Dadurch können notwendige Shopfunktionen und gespeicherte Einstellungen verloren gehen. Das Löschen im Browser entfernt nicht automatisch bereits an einen Server übermittelte Daten. Ihre Einwilligungen verwalten Sie über die in Abschnitt 4 beschriebenen Datenschutzeinstellungen.

24. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft über Ihre Daten, Berichtigung unrichtiger Angaben, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit die Voraussetzungen vorliegen, können Sie auch verlangen, über die Empfänger einer Berichtigung, Löschung oder Einschränkung informiert zu werden.

Einwilligungen können Sie jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit einer zuvor auf einer wirksamen Einwilligung beruhenden Verarbeitung bleibt davon unberührt.

Widerspruch gegen berechtigte Interessen: Erfolgt eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir prüfen dann, ob zwingende schutzwürdige Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine weitere Verarbeitung erlauben.

Widerspruch gegen Direktwerbung: Sie können einer Verarbeitung für Direktwerbung jederzeit widersprechen. Das gilt auch für Profiling, soweit es mit dieser Direktwerbung zusammenhängt. Danach werden Ihre Daten nicht mehr für diese Zwecke verarbeitet.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an uns. Bei begründeten Zweifeln an Ihrer Identität dürfen wir zusätzliche Informationen anfordern, soweit diese zur Identitätsbestätigung erforderlich sind. Eine pauschale Pflicht zur Übersendung einer Ausweiskopie besteht dadurch nicht.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort eines vermuteten Verstoßes. Für unser Unternehmen kommt insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Betracht: www.lda.bayern.de.

Profilbildung und automatisierte Entscheidungen

Die in dieser Erklärung beschriebenen Marketingfunktionen können Interessen- und Verhaltensprofile bilden. Das ist nicht automatisch eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

Bei einer ausschließlich automatisierten Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, gelten die besonderen Voraussetzungen und Schutzrechte des Art. 22 DSGVO. Dazu können insbesondere eine menschliche Überprüfung, die Darlegung Ihres Standpunkts und die Anfechtung der Entscheidung gehören. Für eigenständige Entscheidungen eines von Ihnen gewählten Zahlungsdienstleisters gelten ergänzend dessen Informationen.

25. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die maßgeblichen Anforderungen ändern. Über wesentliche Änderungen informieren wir in geeigneter Weise. Soweit neue oder geänderte Verarbeitungen eine Einwilligung erfordern, ersetzt die Änderung dieser Erklärung nicht die Einholung dieser Einwilligung.