Sie können sich jederzeit bei Fragen zum Datenschutz an unseren Datenschutzbeauftragten wenden. 

3. Allgemeine Hinweise zur Datenverarbeitung 

3.1 Umfang der Verarbeitung personenbezogener Daten 

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist. 

3.2 Rechtsgrundlagen der Verarbeitung 

Soweit wir für Verarbeitungsvorgänge eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage. Bei der Verarbeitung zur Erfüllung eines Vertrags dient Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, dient Art. 6 Abs. 1 lit. c DSGVO. Ist die Verarbeitung zur Wahrung eines berechtigten Interesses erforderlich, dient Art. 6 Abs. 1 lit. f DSGVO. 

3.3 Datenlöschung und Speicherdauer 

Die personenbezogenen Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt. Eine darüber hinausgehende Speicherung kann erfolgen, wenn dies gesetzlich vorgesehen ist. Eine Sperrung oder Löschung erfolgt auch, wenn eine gesetzlich vorgeschriebene Speicherfrist abläuft, es sei denn, es besteht eine Erforderlichkeit zur weiteren Speicherung für einen Vertragsabschluss oder eine Vertragserfüllung. 

3.4 Hosting durch Shopify 

Diese Website wird auf den Servern von Shopify International Limited, Victoria Buildings, 2nd Floor, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland, gehostet. Shopify verarbeitet in unserem Auftrag alle Daten, die im Zusammenhang mit dem Betrieb dieses Onlinestores anfallen. Mit Shopify haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Bei der Nutzung von Shopify kann eine Übermittlung personenbezogener Daten in die USA oder andere Drittländer erfolgen (Shopify setzt hierbei teilweise eigene Unterauftragsverarbeiter ein, u. a. Google Cloud). Shopify ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; es wurden zudem Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart. 

4. Bereitstellung der Website und Erstellung von Logfiles 

Bei jedem Aufruf unserer Website erfasst unser System automatisiert Daten und Informationen des aufrufenden Rechners: 

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Speicherung erfolgt für maximal 30 Tage. 

5. Kundenkonto und Bestellprozess 

5.1 Kundenkonto 

Sie haben die Möglichkeit, ein Kundenkonto anzulegen. Zur Registrierung erheben wir Name, E-Mail-Adresse sowie ein selbst gewähltes Passwort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gespeichert, solange das Konto aktiv ist; nach Löschung des Kontos werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. 

5.2 Bestellprozess 

Im Rahmen einer Bestellung verarbeiten wir Name, Anschrift, E-Mail-Adresse, Telefonnummer (optional), Zahlungsdaten sowie Bestellinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungsrelevante Daten werden entsprechend der gesetzlichen Aufbewahrungsfristen bis zu 10 Jahre gespeichert (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB). 

5.3 Wunschlisten-Funktion (Wishlist Power) 

Unser Shop bietet eine Wunschlisten-Funktion, die durch die App Wishlist Power bereitgestellt wird. Hierbei werden Produktpräferenzen in Ihrem Konto gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO. 

5.4 Produktbewertungen (Judge.me) 

Sie können Produktbewertungen abgeben. Hierfür nutzen wir Judge.me (Judge.me B.V., Keizersgracht 520, 1017 EK Amsterdam, Niederlande). Verarbeitet werden Ihr Name (oder Pseudonym), Ihre E-Mail-Adresse sowie der Bewertungstext. Bewertungen sind öffentlich sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Bei der Nutzung kann eine Datenübermittlung in Drittländer erfolgen; es wurden Standardvertragsklauseln vereinbart. 

6. Zahlungsdienstleister 

Zur Abwicklung von Zahlungen setzen wir folgende Dienstleister ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. 

6.1 Shopify Payments (Kreditkarte, Shop Pay, Google Pay, Apple Pay, Klarna) 

Zahlungen per Kreditkarte, Shop Pay, Google Pay, Apple Pay und Klarna werden über Shopify Payments abgewickelt (Shopify International Limited, s. Abschnitt 3.4). Die Zahlungsdaten werden direkt an Shopify Payments übermittelt. Wir haben keinen Zugriff auf vollständige Kreditkartendaten. Es können Übermittlungen in die USA stattfinden; es gelten die unter 3.4 genannten Schutzmaßnahmen. 

6.2 PayPal 

Bei Zahlung per PayPal werden Sie auf die Website der PayPal (Europe) S.à.r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxembourg, weitergeleitet. PayPal ist für die dort stattfindende Datenverarbeitung eigenständig verantwortlich. Bitte beachten Sie die Datenschutzerklärung von PayPal. 

6.3 Klarna 

Sofern Klarna als eigenständige Zahlungsoption verfügbar ist: Anbieter ist die Klarna Bank AB, Sveavägen 46, 111 34 Stockholm, Schweden. Klarna ist für die Zahlungsabwicklung eigenständig verantwortlich. Informationen zum Datenschutz finden Sie unter klarna.com/de/datenschutz. 

7. Versand und Logistik 

Zur Lieferung Ihrer Bestellung übermitteln wir Ihre Versanddaten (Name, Lieferanschrift, ggf. Telefonnummer) an folgende Versanddienstleister. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. 

7.1 DHL 

Deutsche Post DHL Group, Charles-de-Gaulle-Straße 20, 53113 Bonn. DHL ist bei der Erbringung von Zustelldienstleistungen eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Wir übermitteln Ihren Namen und Ihre Lieferanschrift auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit dies zur Vertragserfüllung erforderlich ist. Informationen finden Sie in der Datenschutzerklärung von DHL. 

7.2 DPD 

DPD Deutschland GmbH, Wailandtstraße 1, 63741 Aschaffenburg. DPD ist bei der Erbringung von Zustelldienstleistungen eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Wir übermitteln Ihren Namen und Ihre Lieferanschrift auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit dies zur Vertragserfüllung erforderlich ist. Informationen finden Sie in der Datenschutzerklärung von DPD. 

7.3 Deutsche Post – Dialogpost (Direktmarketing) 

Für postalische Direktmarketingmaßnahmen nutzen wir den Dienst Dialogpost der Deutschen Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Sie können dieser Verwendung jederzeit widersprechen. 

8. Cookies und Einwilligungsmanagement 

8.1 Einsatz von Cookies 

Unsere Website verwendet Cookies. Wir unterscheiden zwischen technisch notwendigen Cookies (keine Einwilligung erforderlich) und optionalen Cookies (Einwilligung erforderlich). 

8.2 Consent-Management (CookieFirst) 

Wir setzen das Consent-Management-Tool CookieFirst ein, um Ihre Einwilligungen zu erfassen und zu verwalten. Anbieter ist die Digital Data Solutions BV, Plantage Middenlaan 42A, 1018 DH Amsterdam, Niederlande (eingetragen bei der Handelskammer, KvK-Nr. 75762277). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. CookieFirst protokolliert Ihre Einwilligungsentscheidungen. Rechtsgrundlage für den Einsatz ist Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 DSGVO. Wir unterscheiden folgende Kategorien: 

9. Webanalyse 

9.1 Matomo (selbst gehostet) 

Zum Zweck der Webseitenanalyse setzen wir die Open-Source-Software Matomo ein. Die Datenverarbeitung durch Matomo findet ausschließlich auf unseren eigenen Servern statt, die bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben werden. Eine Übermittlung der erhobenen Daten an den Software-Hersteller (InnoCraft Ltd., Neuseeland) oder an sonstige Dritte findet nicht statt. Es liegt somit keine Auftragsverarbeitung durch InnoCraft und keine Drittlandübermittlung vor. 

Mit Matomo werden Nutzungsdaten (u. a. aufgerufene Seiten, Verweildauer, Herkunft des Besuchs, IP-Adresse) erhoben und unter Verwendung von Pseudonymen zu Nutzungsprofilen zusammengefasst. Da Matomo in der Standardkonfiguration Cookies setzt, erfolgt der Einsatz ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG), die Sie über unser Cookie-Banner in der Kategorie „Analysen“ erteilen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft  

11.3 Automatisierte E-Mail-Flows 

Über Klaviyo versenden wir automatisierte E-Mails, z. B. bei abgebrochenem Warenkorb oder als Nachkauf-Angebot. Diese Mails werden nur an Personen versandt, die hierzu eingewilligt haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. 

11.4 Bestandskunden-Werbung (§ 7 Abs. 3 UWG) 

Im gesetzlich zulässigen Umfang dürfen wir Kunden per E-Mail über ähnliche Produkte informieren, ohne dass eine gesonderte Einwilligung erforderlich ist (§ 7 Abs. 3 UWG). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Sie können dieser Nutzung jederzeit widersprechen. 

11.5 Abmeldung / Widerruf 

Sie können Ihre Einwilligung jederzeit widerrufen. Jede Newsletter-E-Mail enthält einen Abmeldelink. Nach dem Widerruf werden Ihre Daten für den Newsletter-Versand nicht mehr verwendet. 

12. Buchhaltung und Rechnungsstellung 

12.1 Rechnungsprinter Pro (Pathway) 

Zur Erstellung von Rechnungen nutzen wir die Shopify-App Rechnungsprinter Pro (Anbieter: pathway solutions GmbH, c/o ba tax, Alstertwiete 3, 20099 Hamburg). Im Rahmen der Rechnungsstellung werden Kunden- und Bestelldaten verarbeitet. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: 10 Jahre (§ 147 AO). 

12.2 DATEV 

Für Buchhaltungszwecke wird eine Schnittstelle zu DATEV (DATEV eG, Paumgartnerstraße 6–14, 90329 Nürnberg) eingesetzt. Hierbei werden buchhalterisch relevante Daten übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: 10 Jahre. 

13. Datenimport und -export (Matrixify) 

Wir nutzen Matrixify zur Durchführung von Datenimporten und -exporten für interne Analyse- und Verwaltungszwecke. Anbieter ist die ITissible SIA (Lettland, EU). Hierbei können Bestell- und Kundendaten verarbeitet werden. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum als Teil der Nutzungsbedingungen) gemäß Art. 28 DSGVO. Matrixify setzt Amazon Web Services (AWS) als Unterauftragsverarbeiter ein, wodurch es zu einer Übermittlung in die USA kommen kann; AWS ist unter dem DPF zertifiziert und es wurden Standardvertragsklauseln vereinbart. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. 

14. Drittlandübermittlungen 

Verschiedene von uns eingesetzte Dienste übermitteln personenbezogene Daten in Länder außerhalb der EU/des EWR (insbesondere in die USA). Wir stellen ein angemessenes Datenschutzniveau sicher durch: 

Betroffen sind insbesondere: Shopify (inkl. Unterauftragsverarbeiter), Klaviyo, Google (Ads), Meta (Meta Ads), Judge.me sowie Matrixify (über AWS). 

15. Ihre Rechte als betroffene Person 

Als betroffene Person stehen Ihnen folgende Rechte zu: 

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@hartkorn-gewuerze.de 

16. Beschwerderecht bei der Aufsichtsbehörde 

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist: