Datenschutzerklärung
Datenschutzerklärung, Stand: 14. September 2026
Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.
1. Verantwortliche und Kontakt
Für die Datenverarbeitung Verantwortliche ist:
MBR Skin GmbH
Edelhofweg 8-9
08280 Aue-Bad Schlema
Telefon: +49 3772 39528-0
E-Mail: info@mbrskin.com
2. Allgemeine Hinweise und Geltungsbereich
Diese Datenschutzerklärung gilt für den Online-Shop und die Website der MBR Skin GmbH („Website“ / „Shop“) sowie für die damit verbundenen Funktionen und Services.
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).
Wenn Sie unsere Website besuchen, einen Kauf tätigen oder anderweitig mit uns kommunizieren, verarbeiten wir personenbezogene Daten. Im Folgenden informieren wir Sie darüber, welche Daten wir zu welchen Zwecken, auf welcher Rechtsgrundlage und für welche Dauer verarbeiten und welche Rechte Ihnen zustehen.
3. Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer
Innerhalb unseres Unternehmens erhalten diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung der Zwecke benötigen.
Darüber hinaus geben wir personenbezogene Daten an Dienstleister weiter, die uns bei der Erbringung unserer Leistungen unterstützen (z. B. Hosting und Shop-System, Zahlungsabwicklung, Versandabwicklung und Logistik, Einwilligungsmanagement, Kundenservice, E-Mail-Versand und E-Mail-Marketing, Webanalyse, Nutzungsanalyse und Server-Side-Tagging). Soweit diese Dienstleister Daten in unserem Auftrag und nach unserer Weisung verarbeiten, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Einzelne Dienstleister verarbeiten Ihre Daten – wie in den jeweiligen Abschnitten beschrieben – auch zu eigenen Zwecken als eigenständig Verantwortliche.
Eine Übermittlung Ihrer Daten an staatliche Stellen oder Behörden erfolgt nur im Rahmen zwingender gesetzlicher Vorschriften oder aufgrund behördlicher bzw. gerichtlicher Anordnung.
Soweit Daten in Länder außerhalb der EU bzw. des Europäischen Wirtschaftsraums (EWR) übermittelt werden, erfolgt dies nur, wenn ein angemessenes Datenschutzniveau gewährleistet ist. Wir stützen entsprechende Übermittlungen auf einen Angemessenheitsbeschluss der Europäischen Kommission (z. B. das EU-U.S. Data Privacy Framework für entsprechend zertifizierte Empfänger in den USA) oder auf geeignete Garantien im Sinne von Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission, ggf. ergänzt um zusätzliche Schutzmaßnahmen. Eine Kopie der jeweiligen Garantien können Sie bei uns anfordern.
4. Hosting und Shop-System (Shopify)
Unsere Website und unser Online-Shop werden auf der Plattform des Anbieters Shopify gehostet. Anbieter ist die Shopify International Limited, Victoria Buildings, 2nd Floor, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland.
Shopify stellt die technische Infrastruktur bereit, über die wir unseren Shop betreiben (u. a. Bereitstellung der Website, Verwaltung von Produkten, Bestellungen und Kundenkonten, Checkout). Dabei verarbeitet Shopify die personenbezogenen Daten, die im Zusammenhang mit dem Besuch und der Nutzung des Shops anfallen (z. B. Bestell-, Kontakt-, Nutzungs- und Zugriffsdaten). Eine Übermittlung in Drittländer (u. a. Kanada und USA) kann stattfinden; sie ist durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer" genannten Mechanismen" abgesichert.
Rechtsgrundlage für den Einsatz von Shopify ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb unseres Online-Shops (Art. 6 Abs. 1 lit. f DSGVO) sowie, soweit die Verarbeitung der Vertragsabwicklung dient, Art. 6 Abs. 1 lit. b DSGVO. Soweit über den Shop Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, die für den Betrieb technisch nicht zwingend erforderlich sind, erfolgt dies nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG). Wir haben mit Shopify einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.
Soweit Shopify Daten aus Ihren Interaktionen mit unserem Shop, mit anderen Händlern und mit Shopify nutzt, um die Plattform und ihre Funktionen bereitzustellen, abzusichern und weiterzuentwickeln, ist Shopify insoweit eigenständig datenschutzrechtlich verantwortlich. Für diese Verarbeitung gelten die Datenschutzbestimmungen von Shopify; Anfragen zur Ausübung Ihrer Rechte in Bezug auf diese Verarbeitung können Sie unmittelbar an Shopify richten.
Weitere Informationen finden Sie in der Datenschutzerklärung von Shopify: https://www.shopify.com/legal/privacy.
5. Bereitstellung der Website und Server-Logfiles
Bei jedem Aufruf unserer Website werden automatisch Informationen erhoben, die Ihr Browser an den Server übermittelt. Dies sind insbesondere:
· die IP-Adresse des anfragenden Endgeräts,
· Datum und Uhrzeit des Zugriffs,
· Name und URL der abgerufenen Datei sowie die übertragene Datenmenge,
· die Website, von der aus der Zugriff erfolgt (Referrer-URL),
· der verwendete Browser, das Betriebssystem und der Name Ihres Zugangsproviders.
Diese Daten sind technisch erforderlich, um Ihnen die Website anzuzeigen, die Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an der Funktionsfähigkeit und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung dieser Daten mit anderen Datenquellen zur Identifizierung Ihrer Person nehmen wir nicht vor.
6. Cookies und Einwilligungsmanagement
Unsere Website verwendet Cookies und vergleichbare Technologien (z. B. im lokalen Speicher Ihres Browsers abgelegte Informationen). Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Sie richten keinen Schaden an und enthalten keine Schadsoftware.
Wir unterscheiden zwischen technisch notwendigen Cookies, die für den Betrieb der Website und des Shops erforderlich sind (z. B. Warenkorb, Login-Status, Sicherheits- und Spracheinstellungen), und nicht notwendigen Cookies (z. B. für Statistik/Analyse, Marketing und die Einbindung von Drittinhalten).
Technisch notwendige Cookies werden auf Grundlage von § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt; die damit verbundene Verarbeitung personenbezogener Daten stützt sich auf Art. 6 Abs. 1 lit. f DSGVO bzw. – im Rahmen der Vertragsabwicklung – auf Art. 6 Abs. 1 lit. b DSGVO. Alle nicht notwendigen Cookies und Technologien werden erst gesetzt bzw. ausgelöst, nachdem Sie über unser Einwilligungsbanner Ihre Einwilligung erteilt haben (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen, indem Sie die Cookie-Einstellungen über Link/Verweis auf die Cookie-Einstellungen erneut aufrufen.
Einwilligungsmanagement mit Cookiebot. Zur Einholung, Verwaltung und Dokumentation Ihrer Einwilligungen setzen wir die Consent-Management-Plattform Cookiebot ein. Anbieter ist die Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark („Cookiebot“). Cookiebot blendet beim ersten Aufruf unserer Website das Einwilligungsbanner ein, blockiert einwilligungspflichtige Cookies und Dienste, bis Sie Ihre Auswahl getroffen haben, und speichert Ihre Entscheidung, damit sie bei weiteren Seitenaufrufen berücksichtigt und nachgewiesen werden kann.
Beim Laden des Banners verarbeitet Cookiebot die URL der aufgerufenen Seite, die Browsersprache, den User-Agent Ihres Browsers und Ihre IP-Adresse, um das Banner in der zutreffenden Sprache und Ausgestaltung anzuzeigen; nach Angaben des Anbieters werden diese Daten ausschließlich zur Auslieferung des Banners verarbeitet und anschließend nicht aufbewahrt. Wenn Sie Ihre Einwilligung erteilen oder verweigern, protokolliert Cookiebot Ihre IP-Adresse in gekürzter Form, Datum und Uhrzeit, den User-Agent, die URL, von der aus die Einwilligung erteilt wurde, einen anonymen, zufälligen und verschlüsselten Schlüssel sowie Ihren Einwilligungsstatus. Der Schlüssel und der Einwilligungsstatus werden zudem in dem Cookie „CookieConsent“ in Ihrem Browser gespeichert, das eine Laufzeit von bis zu zwölf Monaten hat.
Rechtsgrundlage für die Speicherung des Cookies „CookieConsent“ auf Ihrem Endgerät und den Zugriff darauf ist § 25 Abs. 2 Nr. 2 TDDDG; die Speicherung ist unbedingt erforderlich, um Ihre Cookie-Auswahl bei weiteren Seitenaufrufen zu berücksichtigen, und bedarf daher keiner Einwilligung. Rechtsgrundlage für die Protokollierung Ihrer Einwilligungsentscheidung ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO; wir erfüllen damit unsere Pflicht, erteilte Einwilligungen nachweisen zu können. Soweit wir die Protokolle darüber hinaus zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verwenden, beruht dies auf unserem berechtigten Interesse an einer rechtssicheren Dokumentation unserer Einwilligungspraxis (Art. 6 Abs. 1 lit. f DSGVO). Die Einwilligungsprotokolle werden nach Angaben des Anbieters fortlaufend zwölf Monate nach ihrer Erhebung gelöscht, spätestens jedoch mit Beendigung unseres Vertrags mit Cookiebot.
Die Einwilligungsprotokolle werden in Rechenzentren von Microsoft innerhalb der Europäischen Union gespeichert (Irland, mit Ausfallsicherung in den Niederlanden). Für die Auslieferung des Einwilligungsbanners nutzen wir die europäische Variante des Content Delivery Network von Cookiebot, sodass Verbindungsdaten einschließlich Ihrer IP-Adresse hierbei nicht in Drittländern verarbeitet werden. Cookiebot ist als unser Auftragsverarbeiter tätig; wir haben mit der Usercentrics A/S einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Weitere Informationen finden Sie in der Datenschutzerklärung von Cookiebot: https://www.cookiebot.com/de/privacy-policy/.
7. Kundenkonto und Registrierung
Sie können in unserem Shop ein Kundenkonto anlegen. Hierbei verarbeiten wir die von Ihnen angegebenen Daten (insbesondere Name, Anschrift, E-Mail-Adresse und Zugangsdaten). Das Kundenkonto erleichtert Ihnen die Bestellung sowie die Verwaltung Ihrer Adressen und Bestellungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und Vertragserfüllung). Die Anlage eines Kundenkontos ist freiwillig; Sie können auch als Gast bestellen.
Die im Rahmen des Kundenkontos gespeicherten Daten verarbeiten wir, solange das Konto besteht, und löschen sie anschließend, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Abschnitt „Speicherdauer und Löschung“). Sie können Ihr Kundenkonto jederzeit löschen lassen.
8. Bestell- und Vertragsabwicklung
Rechtsgrundlage für die Verarbeitung der zur Vertragsabwicklung erforderlichen Daten (Name, Anschrift, E-Mail-Adresse, bestellte Artikel, Bestell- und Transaktionsdaten) ist Art. 6 Abs. 1 lit. b DSGVO. Die Angabe einer Telefonnummer ist freiwillig; soweit Sie sie angeben, verarbeiten wir sie zur erleichterten Abwicklung und Kommunikation im Zusammenhang mit Ihrer Bestellung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Soweit wir Vertrags- und Rechnungsdaten aufgrund handels- und steuerrechtlicher Pflichten aufbewahren, beruht dies auf Art. 6 Abs. 1 lit. c DSGVO.
Zur Abwicklung Ihrer Bestellung geben wir Daten an unseren Versanddienstleister, an die beauftragten Transportunternehmen UPS und DHL sowie an den jeweiligen Zahlungsdienstleister weiter, soweit dies für die Lieferung der Produkte und die Abwicklung der Zahlung erforderlich ist. Einzelheiten hierzu finden Sie in den Abschnitten „Versandabwicklung (Sendcloud, UPS und DHL)“ und „Zahlungsdienstleister (Shopify Payments, Mollie und PayPal)“.
9. Versandabwicklung (Sendcloud, UPS und DHL)
Für die Abwicklung des Versands nutzen wir die Versandsoftware Sendcloud der Sendcloud GmbH, Fürstenrieder Str. 70, 80686 München („Sendcloud“). Über Sendcloud erstellen wir die Versandetiketten und übermitteln die Sendungsdaten elektronisch an das jeweils beauftragte Transportunternehmen. Hierzu werden die für den Versand erforderlichen Daten an Sendcloud übermittelt, insbesondere Name, Lieferanschrift, ggf. Firma, Bestellnummer und Sendungsdaten (z. B. Gewicht, Abmessungen, Sendungsnummer), bei Sendungen mit Zollabfertigung zusätzlich Warenbeschreibung und Warenwert sowie Ihre E-Mail-Adresse und Telefonnummer, soweit diese nach den nachfolgenden Regelungen an das Transportunternehmen weitergegeben werden oder wir sie für eigene Versandbenachrichtigungen nutzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Sendcloud verarbeitet diese Daten ausschließlich in unserem Auftrag und nach unserer Weisung; wir haben mit Sendcloud einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Die Verarbeitung erfolgt nach Angaben von Sendcloud in Rechenzentren innerhalb der EU (Frankfurt am Main sowie weitere EU-Regionen). Sendungsdaten werden von Sendcloud spätestens 365 Tage und Bestelldaten spätestens 180 Tage nach ihrer Anlage in der Plattform automatisch gelöscht, der Verlauf versendeter Versandbenachrichtigungen nach 90 Tagen; im Übrigen löschen wir dort gespeicherte Daten, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Soweit wir Ihnen über Sendcloud in unserem Namen Versandbenachrichtigungen mit dem Sendungsstatus und einem Link zur Sendungsverfolgung per E-Mail zusenden, erfolgt dies auf Grundlage unseres berechtigten Interesses an einer transparenten und zuverlässigen Information über den Versandstatus (Art. 6 Abs. 1 lit. f DSGVO); dieser Verarbeitung können Sie jederzeit nach Maßgabe von Art. 21 Abs. 1 DSGVO widersprechen (siehe Abschnitt „Widerspruchsrecht (Art. 21 DSGVO)“). Für den Versand dieser E-Mails setzt Sendcloud E-Mail-Versanddienstleister als Unterauftragsverarbeiter ein; soweit diese ihren Sitz außerhalb der EU bzw. des EWR haben, ist die Übermittlung nach Angaben von Sendcloud durch die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Weitere Informationen finden Sie in der Datenschutzerklärung von Sendcloud: https://www.sendcloud.com/de/datenschutz/.
Die Zustellung erfolgt durch die von uns beauftragten Transportunternehmen UPS (United Parcel Service Deutschland S.à r.l. & Co. OHG, Görlitzer Straße 1, 41460 Neuss) und DHL (DHL Paket GmbH, Charles-de-Gaulle-Straße 20, 53113 Bonn). An das jeweilige Transportunternehmen übermitteln wir Ihren Namen, Ihre Lieferanschrift und die für die Zustellung erforderlichen Sendungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Ist für eine Sendung eine Zollabfertigung erforderlich, übermitteln wir die hierfür erforderlichen Angaben einschließlich Ihrer E-Mail-Adresse und Telefonnummer an das Transportunternehmen, das insoweit die Zollanmeldung vornimmt (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Im Übrigen geben wir Ihre E-Mail-Adresse und Ihre Telefonnummer an das Transportunternehmen nur weiter, wenn Sie hierin im Bestellprozess ausdrücklich eingewilligt haben, damit das Transportunternehmen Sie über die Zustellung informieren oder den Zustelltermin mit Ihnen abstimmen kann (Art. 6 Abs. 1 lit. a DSGVO). Die Erteilung dieser Einwilligung ist freiwillig; die Zustellung erfolgt auch ohne Einwilligung, und über den Versandstatus informieren wir Sie in diesem Fall selbst. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft uns gegenüber oder unmittelbar gegenüber dem Transportunternehmen widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die Transportunternehmen sind für die Verarbeitung Ihrer Daten zum Zweck der Beförderung und Zustellung eigenständig datenschutzrechtlich verantwortlich; es gelten insoweit deren Datenschutzhinweise (UPS: https://www.ups.com/de/de/support/shipping-support/legal-terms-conditions/privacy-notice.page; DHL: https://www.dhl.de/de/toolbar/footer/datenschutz.html).
10. Zahlungsdienstleister (Shopify Payments, Mollie und PayPal)
Für die Abwicklung von Zahlungen in unserem Shop setzen wir die Zahlungsdienstleister Shopify Payments und Mollie sowie – als hiervon unabhängigen, unmittelbar von uns eingebundenen Zahlungsdienstleister – PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg) ein. Welcher Zahlungsdienstleister Ihre Zahlung abwickelt, hängt von der von Ihnen gewählten Zahlungsart ab; Kredit- und Debitkartenzahlungen können je nach Zahlungsart und Verfügbarkeit entweder über Shopify Payments oder über Mollie abgewickelt werden. Ihre Zahlungsdaten geben Sie in der Regel unmittelbar gegenüber dem jeweiligen Zahlungsdienstleister ein; vollständige Kartendaten (insbesondere die vollständige Kartennummer und die Kartenprüfnummer) erhalten wir nicht.
Shopify Payments. Shopify Payments wird von der Shopify International Limited (Anschrift siehe Abschnitt „Hosting und Shop-System (Shopify)“) bereitgestellt; Shopify verarbeitet die Zahlungsdaten insoweit für uns als Auftragsverarbeiter. Die technische Zahlungsabwicklung erfolgt über die von Shopify für Deutschland eingesetzten Zahlungsabwickler. Dies sind derzeit die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland („Stripe“), die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, sowie die Adyen N.V., Simon Carmiggeltstraat 6-50, 1011 DJ Amsterdam, Niederlande; welcher Zahlungsabwickler im Einzelfall tätig wird, richtet sich nach der gewählten Zahlungsart. Die jeweils aktuelle Liste veröffentlicht Shopify unter https://www.shopify.com/legal/processor-list. An den jeweiligen Zahlungsabwickler werden die für die Zahlung erforderlichen Daten übermittelt, insbesondere Name, Anschrift, E-Mail-Adresse, Zahlungsmittel- bzw. Kartendaten, Rechnungsbetrag, Währung und Transaktionsnummer sowie Geräte- und Verbindungsdaten wie die IP-Adresse (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlungsabwickler verarbeiten diese Daten darüber hinaus als eigenständig Verantwortliche, insbesondere zur Betrugsprävention und Transaktionsüberwachung sowie zur Erfüllung eigener aufsichts- und geldwäscherechtlicher Pflichten, etwa zum Abgleich mit Sanktions- und Embargolisten; insoweit gelten deren Datenschutzhinweise. Weitere Informationen finden Sie in den Datenschutzhinweisen von Shopify für Kundinnen und Kunden von Shops (https://www.shopify.com/legal/privacy/customers) sowie bei Stripe (https://stripe.com/de/privacy), PayPal (https://www.paypal.com/de/legalhub/paypal/privacy-full) und Adyen (https://www.adyen.com/policies-and-disclaimer/privacy-policy).
Über Shopify Payments stehen aktuell folgende Zahlungsarten zur Verfügung:
· Kredit- und Debitkarten: Visa, Mastercard, American Express, Maestro, UnionPay
· Klarna und Sofortüberweisung (Anbieter: Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden)
· Shop Pay (beschleunigter Bezahlvorgang von Shopify)
· Apple Pay (Anbieter: Apple)
· Google Pay (Anbieter: Google)
· eps-Überweisung, iDEAL, Bancontact und TWINT
Mollie. Mollie ist ein Zahlungsdienst der Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande („Mollie“), einem bei der niederländischen Zentralbank (De Nederlandsche Bank) unter der Registernummer F0038 als E-Geld-Institut zugelassenen und beaufsichtigten Unternehmen. Wenn Sie eine über Mollie angebotene Zahlungsart wählen, werden Sie zur Eingabe Ihrer Zahlungsdaten an Mollie weitergeleitet bzw. Ihre Zahlungsdaten werden unmittelbar an Mollie übermittelt. Mollie erhält dabei die für die Zahlung erforderlichen Daten, insbesondere Ihre Zahlungsdaten (z. B. Kartendaten oder Bankverbindung), Ihren Namen, ggf. Ihre Anschrift und E-Mail-Adresse, Angaben zur Bestellung (Betrag, Währung, Bestellnummer) sowie Ihre IP-Adresse und Angaben zu Browser und Endgerät. Die Zahlungsbeträge werden über die Stichting Mollie Payments, Keizersgracht 126, 1015 CW Amsterdam, Niederlande, abgewickelt, eine von Mollie errichtete Stiftung, die die für Händler vereinnahmten Gelder getrennt vom Vermögen der Mollie B.V. verwahrt; auf Ihrem Kontoauszug kann daher „Mollie“ oder „Stg Mollie Payments“ als Zahlungsempfänger erscheinen. Mollie verarbeitet die Daten zur Durchführung der Zahlung, zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten als eigenständig Verantwortlicher; es gelten insoweit die Datenschutzbestimmungen von Mollie: https://www.mollie.com/de/privacy. Soweit Mollie Empfänger außerhalb des EWR einsetzt, stellt Mollie nach eigenen Angaben sicher, dass ein geeigneter Übermittlungsmechanismus vorliegt, etwa die Standardvertragsklauseln der Europäischen Kommission.
Kartenzahlungen (3-D Secure). Bei Kartenzahlungen setzt der jeweilige Zahlungsdienstleister das 3-D-Secure-Verfahren zur starken Kundenauthentifizierung ein. Dabei werden Angaben zur Zahlung (z. B. Rechnungsbetrag und Transaktionskennung) sowie Geräte- und Verbindungsdaten an Ihre kartenausgebende Bank übermittelt, die die Authentifizierung durchführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie das berechtigte Interesse an einer sicheren Zahlungsabwicklung und der Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO).
Wenn Sie mit PayPal bezahlen, werden die zur Zahlungsabwicklung erforderlichen Daten an PayPal übermittelt; Einzelheiten finden Sie unter https://www.paypal.com/de/legalhub/paypal/privacy-full.
Die Verarbeitung Ihrer Zahlungsdaten erfolgt zur Erfüllung des Vertrags bzw. zur Durchführung des Zahlungsvorgangs (Art. 6 Abs. 1 lit. b DSGVO) sowie, soweit es um die Verhinderung von Betrug und die Gewährleistung der Sicherheit des Zahlungsverkehrs geht, auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Soweit wir Zahlungs- und Transaktionsdaten aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten aufbewahren, beruht dies auf Art. 6 Abs. 1 lit. c DSGVO (siehe Abschnitt „Speicherdauer und Löschung“). Bei einzelnen Zahlungsarten kann der jeweilige Anbieter eine Bonitätsprüfung durchführen; die Datenverarbeitung richtet sich insoweit nach den Datenschutzbestimmungen des jeweiligen Anbieters. Die jeweiligen Anbieter sind eigenständig für die Verarbeitung der bei ihnen anfallenden Daten verantwortlich; als beaufsichtigte Zahlungs- bzw. E-Geld-Institute unterliegen sie eigenen gesetzlichen Aufbewahrungs- und Prüfpflichten (Art. 6 Abs. 1 lit. c DSGVO), deren Dauer sich nach ihren eigenen Datenschutzhinweisen richtet.
11. Kontaktaufnahme
Wenn Sie mit uns per E-Mail, Telefon oder über ein Kontaktformular in Verbindung treten, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, Kontaktdaten, Inhalt der Anfrage), um Ihre Anfrage zu bearbeiten und zu beantworten. Rechtsgrundlage ist – sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder der Durchführung vorvertraglicher Maßnahmen dient – Art. 6 Abs. 1 lit. b DSGVO, im Übrigen unser berechtigtes Interesse an der Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
12. Newsletter und E-Mail-Werbung
Sie können unseren Newsletter abonnieren, mit dem wir Sie über Angebote, Produkte und Aktionen informieren. Für die Anmeldung verwenden wir das Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail, in der wir Sie um Bestätigung bitten, dass Sie den Newsletter erhalten möchten. So stellen wir sicher, dass Sie niemand ohne Ihre Zustimmung anmeldet. Pflichtangabe für den Versand ist allein Ihre E-Mail-Adresse; weitere, gesondert markierte Angaben sind freiwillig.
Rechtsgrundlage für den Versand des Newsletters ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 UWG). Zum Nachweis der Anmeldung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die dabei verwendete IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse, den Nachweis der erteilten Einwilligung führen zu können, da uns insoweit die Darlegungs- und Beweislast trifft (Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 7 Abs. 1 DSGVO). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in jedem Newsletter oder durch eine Nachricht an uns. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach Ihrer Abmeldung speichern wir Ihre E-Mail-Adresse ggf. in einer Sperrliste, um künftige Zusendungen zuverlässig zu verhindern. Rechtsgrundlage hierfür ist unser berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten und erneute Werbezusendungen auszuschließen (Art. 6 Abs. 1 lit. f DSGVO).
Soweit wir mit dem Newsletter das Öffnungs- und Klickverhalten messen (Erfolgsmessung), erfolgt dies auf Grundlage Ihrer gesonderten Einwilligung. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne den Newsletter insgesamt abbestellen zu müssen.
Werbung an Bestandskunden: Haben Sie bei uns Produkte erworben und uns dabei Ihre E-Mail-Adresse mitgeteilt, behalten wir uns vor, Sie per E-Mail über eigene, ähnliche Produkte zu informieren. Grundlage hierfür ist § 7 Abs. 3 UWG; einer gesonderten Einwilligung bedarf es nicht. Dieser Verwendung können Sie jederzeit kostenfrei widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Auf das Widerspruchsrecht weisen wir Sie bereits bei Erhebung der E-Mail-Adresse sowie in jeder Werbe-E-Mail hin.
Newsletter-Versand und Marketing-Automation mit Klaviyo. Für den Versand unseres Newsletters und weiterer Werbe-E-Mails, die Verwaltung der Anmeldungen und Einwilligungen sowie die Auswertung unserer E-Mail-Kampagnen nutzen wir die Marketing-Plattform Klaviyo. Anbieter ist die Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02111, USA („Klaviyo“). Über Klaviyo versenden wir neben dem Newsletter auch automatisierte Werbe-E-Mails, die an Ihr Verhalten in unserem Shop anknüpfen (z. B. eine Begrüßungsserie nach der Anmeldung, Erinnerungen an nicht abgeschlossene Bestellungen oder angesehene Produkte sowie Nachrichten nach einem Kauf). Solche Nachrichten erhalten Sie nur, wenn Sie in den Erhalt von Werbe-E-Mails eingewilligt haben oder wir Ihnen als Bestandskunde nach den vorstehenden Regelungen Werbung für eigene, ähnliche Produkte zusenden dürfen.
Klaviyo verarbeitet dabei Ihre E-Mail-Adresse, Ihren Namen und die bei der Anmeldung erhobenen Daten (Zeitpunkt der Anmeldung und der Bestätigung, IP-Adresse, verwendetes Formular) sowie den Status Ihrer Einwilligungen. Klaviyo ist mit unserem Shop-System verbunden; hierüber werden die in Ihrem Kundenkonto bzw. bei Ihren Bestellungen hinterlegten Stammdaten (Name, E-Mail-Adresse, Telefonnummer, Ort, Postleitzahl und Land), Ihre Bestell-, Warenkorb- und Versanddaten (bestellte Produkte, Bestellwert, Rabattcodes, Bestell- und Versandstatus) sowie – nur mit Ihrer Einwilligung (siehe unten) – Ihre Aktivitäten in unserem Shop (aufgerufene Seiten und Produkte, Suchanfragen, in den Warenkorb gelegte Produkte) in einem Kundenprofil bei Klaviyo zusammengeführt. Wir nutzen diese Profile, um unsere Werbe-E-Mails auf Ihre Interessen abzustimmen (z. B. Hinweise zu angesehenen oder gekauften Produkten), Empfängergruppen zu bilden (Segmentierung) und den Erfolg unserer Kampagnen auszuwerten. Klaviyo berechnet aus den Bestell- und Interaktionsdaten zudem statistische Prognosewerte (z. B. den voraussichtlichen künftigen Bestellwert, die Wahrscheinlichkeit eines erneuten Kaufs, den voraussichtlichen Zeitpunkt der nächsten Bestellung sowie eine aus dem Vornamen abgeleitete Einschätzung des Geschlechts), die wir ausschließlich für die Auswahl und Gestaltung unserer Werbung verwenden; Entscheidungen mit rechtlicher Wirkung für Sie werden hierauf nicht gestützt.
Rechtsgrundlage für den Versand von Newslettern und sonstigen Werbe-E-Mails ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 UWG) bzw. bei Bestandskunden § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Die Zusammenführung Ihrer Kunden- und Bestelldaten in Klaviyo, die Segmentierung, die Personalisierung unserer Werbung und die Berechnung der genannten Prognosewerte stützen wir auf unser berechtigtes Interesse an einer bedarfsgerechten und effizienten Kundenansprache (Art. 6 Abs. 1 lit. f DSGVO); dieser Verarbeitung können Sie jederzeit nach Maßgabe von Art. 21 Abs. 2 DSGVO widersprechen (siehe Abschnitt „Widerspruchsrecht (Art. 21 DSGVO)“). Die Erfassung Ihrer Aktivitäten in unserem Shop (Onsite-Tracking) erfolgt über ein Skript von Klaviyo, das ein Cookie („__kla_id“) mit einer zufälligen Kennung in Ihrem Browser speichert; sobald Sie sich über ein Anmeldeformular, einen Link in einer unserer E-Mails oder im Bestellvorgang zu erkennen geben, wird die erfasste Aktivität Ihrem Kundenprofil zugeordnet. Das Skript wird nur mit Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG); das Cookie hat eine Laufzeit von bis zu zwei Jahren, die je nach Browser kürzer sein kann, und ist mit seiner Speicherdauer in unseren Cookie-Einstellungen aufgeführt. Die Messung von Öffnungen und Klicks in unseren E-Mails (siehe oben) erfolgt über ein in die E-Mail eingebettetes Zählpixel und über Klaviyo weitergeleitete Links; hierbei verarbeitet Klaviyo den Zeitpunkt, Ihre IP-Adresse und Angaben zu Ihrem E-Mail-Programm bzw. Browser.
Wiedererkennung wiederkehrender Besucher (First-Party ID). Das Cookie „__kla_id“ wird von den Browsern nur für eine begrenzte Zeit gespeichert; ist es abgelaufen, können wir Sie bei einem erneuten Besuch zunächst nicht mehr wiedererkennen. Um Sie über einen längeren Zeitraum hinweg wiedererkennen und Ihre Aktivitäten Ihrem Kundenprofil zuordnen zu können, setzen wir die Funktion „First-Party ID“ von Klaviyo ein. Dabei wird ein weiteres Cookie („__kle_id“) nicht durch das Skript in Ihrem Browser, sondern durch die Antwort eines Servers gesetzt, der unter einer Subdomain unserer Website erreichbar ist; die Anfragen an diese Subdomain werden über die Infrastruktur von Klaviyo geleitet. Serverseitig gesetzte Cookies unterliegen nicht den Laufzeitbegrenzungen, die Browser für per Skript gesetzte Cookies vorsehen; das Cookie „__kle_id“ hat deshalb eine längere Speicherdauer, die in unseren Cookie-Einstellungen aufgeführt ist. Ist das Cookie „__kla_id“ bei einem erneuten Besuch abgelaufen, wird es anhand des Cookies „__kle_id“ erneuert; Ihre weitere Aktivität in unserem Shop wird dann wieder Ihrem bestehenden Kundenprofil zugeordnet. Die Funktion dient allein der erneuten Zuordnung bereits bestehender Profile; neue Profile werden hierdurch nicht angelegt, und eine geräte- oder browserübergreifende Wiedererkennung findet nicht statt. Nach Angaben von Klaviyo werden hierfür weder Fingerprinting-Verfahren noch IP-Adressen, Geräteangaben oder Browserkennungen (User-Agent) ausgewertet. Auch das Cookie „__kle_id“ wird nur mit Ihrer Einwilligung gesetzt und ausgelesen (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG); Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen. Nach einem Widerruf und nach dem Löschen der Cookies in Ihrem Browser findet keine Wiedererkennung mehr statt.
Klaviyo verarbeitet die Daten in unserem Auftrag; wir haben mit Klaviyo einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen (abrufbar unter https://www.klaviyo.com/legal/dpa). Die Daten werden auf Servern von Klaviyo in den USA gespeichert (Rechenzentrum von Amazon Web Services im US-Bundesstaat Virginia); auch der Versand unserer E-Mails erfolgt über die dort betriebene Infrastruktur von Klaviyo und dessen Unterauftragsverarbeitern. Die Übermittlung in die USA ist dadurch abgesichert, dass die Klaviyo, Inc. nach dem EU-U.S. Data Privacy Framework zertifiziert ist; ergänzend hat Klaviyo mit uns die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) vereinbart. Ihre Daten bleiben bei Klaviyo gespeichert, solange Sie unseren Newsletter beziehen bzw. solange wir Ihre Kundendaten für die genannten Zwecke benötigen; nach Ihrem Widerruf oder Widerspruch beschränken wir die Verarbeitung auf die oben beschriebene Sperrliste und löschen die übrigen Profildaten, sobald sie für die Werbezwecke nicht mehr erforderlich sind. Spätestens 90 Tage nach Beendigung unseres Vertrags mit Klaviyo werden alle bei Klaviyo gespeicherten Daten gelöscht. Weitere Informationen finden Sie in den Datenschutzhinweisen von Klaviyo: https://privacy.klaviyo.com/.
13. Webanalyse und Marketing (Google Analytics, Google Tag Manager, Server-Side-Tagging, Google Ads Conversion-Tracking)
Wir nutzen Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Google Analytics verwendet Cookies und ähnliche Technologien, die eine Analyse Ihrer Nutzung der Website ermöglichen (z. B. aufgerufene Seiten, Verweildauer, ungefährer Standort, verwendetes Gerät). Die hierdurch erzeugten Informationen werden an Server von Google übertragen und dort verarbeitet. Google Analytics 4 nutzt IP-Adressen lediglich zur Ableitung grober Standortangaben; eine Speicherung oder Protokollierung vollständiger IP-Adressen findet nach Angaben von Google nicht statt, da die IP-Kürzung in Google Analytics 4 standardmäßig und nicht deaktivierbar aktiv ist. Eine Übermittlung in Drittländer (insbesondere in die USA) kann stattfinden und ist durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer" genannten Mechanismen abgesichert.
Google Analytics. Wir setzen Google Analytics ausschließlich auf Grundlage Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Der Dienst wird erst geladen, nachdem Sie über unser Einwilligungsbanner zugestimmt haben. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen. Mit Google haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Die über Google Analytics erfassten Nutzungsdaten werden nach Ablauf der von uns eingestellten Aufbewahrungsdauer von 14 Monaten automatisch gelöscht.
Google Tag Manager. Auf unserer Website setzen wir den Google Tag Manager ein. Er dient der Verwaltung und Auslösung von Website-Tags (z. B. für Analyse- und Marketing-Dienste). Beim Laden des Google Tag Manager wird ein Skript auf Ihrem Endgerät ausgeführt; dabei können Ihre IP-Adresse und Geräteinformationen an Server von Google übertragen werden, wobei eine Übermittlung in die USA stattfinden kann, die durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer“ genannten Mechanismen abgesichert ist. Wir setzen den Google Tag Manager ausschließlich auf Grundlage Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG); er wird erst geladen, nachdem Sie über unser Einwilligungsbanner zugestimmt haben. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen.
Server-Side-Tagging (Stape). Den Google Tag Manager betreiben wir zusätzlich als serverseitigen Container (Server-Side-Tagging). Dabei werden die Daten zu Ihrer Nutzung der Website nicht unmittelbar aus Ihrem Browser an Google übermittelt, sondern zunächst an einen in unserem Auftrag betriebenen Tagging-Server gesendet, der unter einer Subdomain unserer Website erreichbar ist, dort verarbeitet (z. B. gefiltert und um nicht benötigte Angaben bereinigt) und erst anschließend an die in diesem Abschnitt beschriebenen Google-Dienste weitergeleitet. Da der Tagging-Server unter unserer eigenen Domain läuft, kann er Cookies auch selbst über die Serverantwort setzen oder deren Gültigkeitsdauer verlängern; die eingesetzten Cookies und ihre Speicherdauer sind in unseren Cookie-Einstellungen aufgeführt. Der Tagging-Server wird für uns von der Stape Europe OÜ, Sepapaja tn 6, 15551 Tallinn, Estland („Stape“) auf der Infrastruktur des europäischen Cloud-Anbieters Scaleway S.A.S. in einem Rechenzentrum innerhalb der EU betrieben; Zugriff auf die dort verarbeiteten Daten haben ausschließlich wir und Stape. Auf dem Tagging-Server werden insbesondere Ihre IP-Adresse, der User-Agent Ihres Browsers, die aufgerufene URL und die Referrer-URL, Kennungen aus Cookies (z. B. die Client-ID von Google Analytics), die von den Tags erfassten Ereignisdaten (z. B. Seitenaufrufe, Käufe einschließlich Bestellwert und Währung) sowie der Status Ihrer Einwilligung verarbeitet. Stape verarbeitet diese Daten ausschließlich in unserem Auftrag; wir haben mit Stape einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen (abrufbar unter https://stape.io/eu-dpa). Die Verarbeitung auf dem Tagging-Server findet innerhalb der EU statt; eine Übermittlung in ein Drittland erfolgt insoweit nicht. Die anschließende Weiterleitung an die Google-Dienste ist durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer“ genannten Mechanismen abgesichert. Die Server-Protokolle des Tagging-Servers (Betriebs- und Fehlerprotokolle) werden von Stape für höchstens zehn Tage gespeichert; für die an die Google-Dienste weitergeleiteten Ereignisdaten gelten die dort beschriebenen Speicherfristen. Wir setzen das Server-Side-Tagging ausschließlich auf Grundlage Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG); Daten werden erst an den Tagging-Server gesendet, nachdem Sie über unser Einwilligungsbanner zugestimmt haben. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die Datenschutzerklärung von Stape für dessen eigene Website finden Sie unter https://stape.io/eu-privacy-notice.
Google Ads Conversion-Tracking. Wir nutzen das Conversion-Tracking von Google Ads. Damit werten wir aus, ob Nutzer über eine unserer Google-Anzeigen auf unsere Website gelangt sind und dort eine vordefinierte Aktion (z. B. einen Kauf) ausgeführt haben. Hierzu wird ein Cookie gesetzt, sobald Sie auf eine Google-Anzeige klicken; die erzeugten Informationen können an Server von Google – auch in den USA – übertragen werden und sind durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer" genannten Mechanismen abgesichert. Eine Identifizierung Ihrer Person ist uns dabei nicht möglich. Wir setzen das Conversion-Tracking ausschließlich auf Grundlage Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG) und haben mit Google einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen.
Zur Steuerung der Einwilligung setzen wir den Google Consent Mode v2 ein. Solange Sie keine Einwilligung erteilt haben, werden weder Cookies gesetzt noch Daten – auch keine cookielosen Signale (sog. Pings) – an unseren Tagging-Server oder an Google übermittelt; die entsprechenden Tags werden erst nach Ihrer Einwilligung ausgelöst.
Weitere Informationen zur Datenverarbeitung durch Google finden Sie unter: https://policies.google.com/privacy.
14. Nutzungsanalyse (Microsoft Clarity)
Zur Verbesserung der Nutzerfreundlichkeit unseres Shops setzen wir den Analysedienst Microsoft Clarity ein. Vertragspartner ist für uns die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland; die Datenverarbeitung erfolgt durch die Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA (zusammen „Microsoft“). Clarity zeichnet auf, wie Besucher unsere Seiten nutzen: Es erfasst Mausbewegungen, Klicks, Scrollverhalten, Verweildauer, die aufgerufenen Seiten und deren Aufbau und erstellt daraus Sitzungsaufzeichnungen (sog. Session Replays), Heatmaps sowie Auswertungen zu Nutzungswegen und Abbrüchen (z. B. im Bestellvorgang). Über die Anbindung an unser Shop-System werden hierfür auch Ereignisse aus dem Bestellvorgang (z. B. Beginn des Bestellvorgangs, abgeschlossene Bestellung und Bestellwert) einbezogen. Wir nutzen die Auswertungen – einschließlich automatisierter, KI-gestützter Zusammenfassungen durch Microsoft –, um Fehler und Hindernisse auf unseren Seiten zu erkennen und unseren Shop zu verbessern.
Clarity verarbeitet hierzu eine zufällig erzeugte, pseudonyme Nutzerkennung, die in Cookies gespeichert wird (u. a. „_clck“ zur Wiedererkennung Ihres Browsers auf unserer Website und „_clsk“ zur Zusammenfassung mehrerer Seitenaufrufe zu einer Sitzung), Ihre IP-Adresse (die Microsoft auch zur ungefähren Standortbestimmung nutzt), Angaben zu Browser, Betriebssystem und Endgerät, die aufgerufenen Seiten und die Herkunftsseite (Referrer) sowie die beschriebenen Interaktionsdaten. Daneben setzt Microsoft beim Laden des Dienstes Cookies unter eigenen Domains (u. a. „MUID“ und „CLID“), die Microsoft zur Wiedererkennung von Browsern über verschiedene Microsoft-Dienste hinweg verwendet. Die eingesetzten Cookies und ihre Speicherdauer sind in unseren Cookie-Einstellungen aufgeführt. Eingaben in Formularfelder und Auswahlmenüs (z. B. im Kundenkonto oder im Bestellvorgang) werden von Clarity nicht aufgezeichnet, sondern bereits in Ihrem Browser maskiert; nach unserer Einstellung werden darüber hinaus Zahlen und E-Mail-Adressen auf unseren Seiten maskiert, bevor Inhalte an Microsoft übertragen werden.
Wir setzen Microsoft Clarity ausschließlich auf Grundlage Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Der Dienst wird erst geladen und Cookies werden erst gesetzt, nachdem Sie über unser Einwilligungsbanner zugestimmt haben; Ihren Einwilligungsstatus übermitteln wir an Microsoft, das Cookies nur bei vorliegender Einwilligung setzt. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nur wenn Sie zusätzlich in Cookies für Marketingzwecke eingewilligt haben, verwendet Microsoft die über Clarity erfassten Daten auch für sein Werbenetzwerk Microsoft Advertising (z. B. zur Erfolgsmessung und Ausspielung von Anzeigen); andernfalls findet eine Weitergabe an Microsoft Advertising nach Angaben von Microsoft nicht statt.
Microsoft verarbeitet die über Clarity erfassten Daten nicht in unserem Auftrag, sondern als eigenständig Verantwortlicher zu eigenen Zwecken, insbesondere um den Dienst bereitzustellen, seine Produkte und Dienste zu verbessern sowie – im Rahmen der von Ihnen erteilten Einwilligung – Nutzerprofile auch für Werbezwecke zu erstellen. Für diese Verarbeitung gilt die Datenschutzerklärung von Microsoft (https://privacy.microsoft.com/de-de/privacystatement); Anfragen zur Ausübung Ihrer Rechte in Bezug auf diese Verarbeitung können Sie unmittelbar an Microsoft richten. Die Daten werden in der Cloud-Infrastruktur von Microsoft gespeichert; dabei findet eine Übermittlung in die USA statt, die dadurch abgesichert ist, dass die Microsoft Corporation nach dem EU-U.S. Data Privacy Framework zertifiziert ist; ergänzend bestehen zwischen der Microsoft Ireland Operations Limited und der Microsoft Corporation die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Sitzungsaufzeichnungen werden nach Angaben von Microsoft 30 Tage, aggregierte Klick- und Heatmap-Daten neun Monate gespeichert und anschließend gelöscht.
15. Social-Media-Verlinkungen (Facebook, Instagram, LinkedIn)
Auf unserer Website finden Sie Verlinkungen zu unseren Profilen in den sozialen Netzwerken Facebook und Instagram (Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland) sowie LinkedIn (Anbieter: LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland). Diese Verlinkungen sind als einfache Icons eingebunden; beim bloßen Aufruf unserer Website werden hierdurch keine personenbezogenen Daten an die Anbieter übermittelt. Erst wenn Sie ein solches Icon anklicken, werden Sie zur jeweiligen Plattform weitergeleitet. Für die anschließende Verarbeitung Ihrer Daten auf der Plattform ist allein der jeweilige Anbieter verantwortlich; es gelten dessen Datenschutzhinweise.
16. Google Maps
Wir nutzen den Kartendienst Google Maps, um Ihnen z. B. unseren Standort anzuzeigen und die Anfahrt zu erleichtern. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Beim Laden von Google Maps wird eine Verbindung zu Servern von Google hergestellt, wobei Ihre IP-Adresse und ggf. weitere Daten an Google übermittelt werden. Google verarbeitet diese Daten auch zu eigenen Zwecken und ist insoweit eigenständig datenschutzrechtlich verantwortlich; Einzelheiten entnehmen Sie der Datenschutzerklärung von Google (https://policies.google.com/privacy). Eine Übermittlung an die Google LLC in den USA kann stattfinden und ist durch die im Abschnitt „Empfänger, Auftragsverarbeitung und Übermittlung in Drittländer" genannten Mechanismen abgesichert.
Die Einbindung von Google Maps erfolgt nur nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Die Karte wird erst geladen, nachdem Sie zugestimmt haben. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen erneut aufrufen.
17. Speicherdauer und Löschung
Wir verarbeiten und speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erreichung des jeweiligen Verarbeitungszwecks erforderlich ist oder wie es gesetzliche Aufbewahrungspflichten vorsehen. Nach Wegfall des Zwecks und Ablauf etwaiger Aufbewahrungsfristen werden die Daten routinemäßig gelöscht oder in ihrer Verarbeitung eingeschränkt.
Für Vertrags-, Rechnungs- und Buchungsdaten bestehen handels- und steuerrechtliche Aufbewahrungspflichten (insbesondere nach Handelsgesetzbuch und Abgabenordnung) von in der Regel sechs, acht oder zehn Jahren; Buchungsbelege wie Rechnungen sind seit dem 1. Januar 2025 nur noch acht Jahre aufzubewahren. Während dieses Zeitraums beschränken wir die Verarbeitung auf die Erfüllung der gesetzlichen Pflichten.
18. Datensicherheit
Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen, und passen diese fortlaufend an den Stand der Technik an.
Unsere Website nutzt eine TLS-Verschlüsselung. Bitte beachten Sie, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann; ein lückenloser Schutz vor dem Zugriff durch Dritte ist nicht möglich.
19. Ihre Rechte als betroffene Person
Ihnen stehen nach der DSGVO insbesondere die folgenden Rechte zu:
· Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen.
· Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer Daten verlangen.
· Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder andere Gründe entgegenstehen.
· Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken.
· Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format herausgeben, oder sie an einen anderen Verantwortlichen übermitteln.
· Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
· Widerspruch (Art. 21 DSGVO): Unter den Voraussetzungen des Art. 21 DSGVO können Sie der Verarbeitung widersprechen; Einzelheiten finden Sie im gesonderten Abschnitt „Widerspruchsrecht (Art. 21 DSGVO)“.
· Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (siehe Abschnitt „Beschwerderecht bei einer Aufsichtsbehörde“).
Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die oben genannten Kontaktdaten.
20. Widerspruchsrecht (Art. 21 DSGVO)
Sofern wir Ihre personenbezogenen Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Soweit wir Ihre Daten für Direktwerbung verarbeiten, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung zu diesem Zweck einzulegen; dies gilt auch für ein damit verbundenes Profiling. Widersprechen Sie der Verarbeitung für Zwecke der Direktwerbung, werden Ihre Daten nicht mehr für diese Zwecke verarbeitet.
21. Beschwerderecht bei einer Aufsichtsbehörde
Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für die MBR Skin GmbH ist die folgende Aufsichtsbehörde zuständig:
Die Sächsische Datenschutz- und Transparenzbeauftragte
Maternistraße 17, 01067 Dresden
(Postanschrift: Postfach 11 01 32, 01330 Dresden)
Telefon: +49 351 85471-101
E-Mail: post@sdtb.sachsen.de
Internet: www.datenschutz.sachsen.de
22. Keine automatisierte Entscheidungsfindung
Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Sollten einzelne Zahlungsanbieter im Rahmen einer Bonitätsprüfung automatisierte Verfahren einsetzen, informieren diese hierüber in ihren eigenen Datenschutzhinweisen. Die im Abschnitt „Newsletter und E-Mail-Werbung“ beschriebenen Prognosewerte dienen allein der Auswahl und Gestaltung unserer Werbung und haben keine rechtliche Wirkung für Sie.
23. Aktualität und Änderung dieser Datenschutzerklärung
Diese Datenschutzerklärung hat den oben angegebenen Stand. Durch die Weiterentwicklung unserer Website und unserer Angebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es erforderlich werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Datenschutzerklärung kann jederzeit auf unserer Website abgerufen werden.