Datenschutz
1. Verantwortlicher und Geltungsbereich
Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist:
Fidu Brands GmbH
Otto-Hesse-Str. 19/T9
64293 Darmstadt
Deutschland
Vertreten durch die Geschäftsführer Christian Hinz und Erdem Keles. Handelsregister: Amtsgericht Darmstadt, HRB 95515.
E-Mail: info@koaa.world
Telefon: +49 6151 384340
Zentraler Kontakt für markenübergreifende Datenschutzanliegen: info@fidubrands.com
Diese Erklärung gilt für das Angebot koaa unter koaa.world sowie für die nachfolgend beschriebenen, damit verbundenen Kunden- und Geschäftsvorgänge. Sie erläutert insbesondere Art, Zweck, Rechtsgrundlagen, Empfänger und Dauer der Verarbeitung personenbezogener Daten sowie Ihre Rechte. Nicht jeder beschriebene Vorgang findet bei jedem Besuch statt; maßgeblich sind Ihre Nutzung, der konkrete Geschäftsvorgang und Ihre Einwilligungen.
2. Datenarten, Datenquellen und Rechtsgrundlagen
Wir verarbeiten insbesondere Identifikations- und Kontaktdaten, Kommunikationsinhalte, Vertrags-, Auftrags- und Abrechnungsdaten sowie technische Zugriffs- und Nutzungsdaten. Welche Informationen tatsächlich anfallen, hängt von Ihrer Nutzung unserer Angebote ab. Reine Produkt- oder Umsatzsummen ohne Bezug zu einer identifizierbaren Person sind keine personenbezogenen Daten. Kundenkennungen, Cookie-IDs und gehashte Kontaktinformationen können dagegen weiterhin personenbezogen sein.
Daten erhalten wir unmittelbar von Ihnen, durch technisch erforderliche Vorgänge beim Websitebesuch sowie im Rahmen der unten beschriebenen Prozesse von Zahlungs- und Versanddienstleistern, Vertriebssystemen oder Ihrem Unternehmen. Werden uns Daten einer anderen Person, etwa einer Lieferempfängerin oder eines geschäftlichen Ansprechpartners, mitgeteilt, verarbeiten wir sie nur für den zugehörigen Zweck. Über nicht bei Ihnen erhobene Daten informieren wir nach Art. 14 DSGVO, soweit keine gesetzliche Ausnahme besteht.
Eine Einwilligung ist Rechtsgrundlage nach Art. 6 Abs. 1 lit. a DSGVO. Die Vorbereitung oder Erfüllung eines Vertrags mit Ihnen erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Pflichten, insbesondere zur Buchführung und Aufbewahrung, erfüllen wir nach Art. 6 Abs. 1 lit. c DSGVO. Wo wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen, benennen wir das jeweilige berechtigte Interesse im betreffenden Abschnitt; Voraussetzung ist, dass Ihre Interessen und Grundrechte nicht überwiegen.
Die Rechtsgrundlage für den Zugriff auf oder die Speicherung von Informationen in Ihrem Endgerät ist gesondert zu beurteilen. Hierfür gilt insbesondere § 25 TDDDG. Eine Rechtsgrundlage nach der DSGVO ersetzt eine erforderliche Einwilligung nach dem TDDDG nicht.
3. Websitebetrieb und Hosting mit Shopify
Wir betreiben unseren Online-Shop mit Shopify. Anbieter für die europäische Plattformnutzung ist Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland. Shopify stellt insbesondere Hosting, Inhaltsauslieferung, Warenkorb, Checkout und Kundenkontofunktionen bereit.
Beim Aufruf werden die IP-Adresse, Datum und Uhrzeit, angeforderte Seiten und Dateien, Referrer-Informationen, Browser, Betriebssystem, Sprache, Geräteinformationen, übertragene Datenmengen sowie technische Fehler- und Sicherheitsinformationen verarbeitet. Bei einer Bestellung kommen die im Abschnitt zur Vertragsabwicklung beschriebenen Angaben hinzu. IP-Adressen und andere technische Kennungen können personenbezogen sein.
Die zur Ausführung eines von Ihnen angeforderten Bestell- oder Kontovorgangs erforderliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Allgemeine Bereitstellung, Störungsbeseitigung und Schutz vor Angriffen beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb des Shops. Darauf wird keine allgemeine Erlaubnis für Werbetracking gestützt.
Shopify verarbeitet Shopdaten im Rahmen seiner Auftragsverarbeitung nach Art. 28 DSGVO. Für bestimmte eigene Dienste und Zwecke kann Shopify daneben eigenständig verantwortlich sein, insbesondere wenn Sie eigene Shopify-Angebote wie Shop oder Shop Pay verwenden. Die Rollen sind nach dem jeweils genutzten Dienst zu unterscheiden.
Shopify-Unternehmen und Unterauftragnehmer können Daten insbesondere in Irland, Kanada, den USA und weiteren in den Anbieterinformationen genannten Staaten verarbeiten. Die Shopify-Vertragsunterlagen sehen für erfasste internationale Übermittlungen Angemessenheitsbeschlüsse und/oder Standardvertragsklauseln vor. Einzelheiten und die Möglichkeit, Informationen zu den Garantien anzufordern, finden Sie auch im Abschnitt über internationale Datenübermittlungen.
Technische Protokolle werden anhand ihres Zwecks zur Bereitstellung, Fehlerbehebung und Untersuchung von Sicherheitsvorfällen aufbewahrt. Bei einem konkreten Vorfall werden nur die hierfür benötigten Informationen bis zu dessen Klärung und einer erforderlichen Rechtsverfolgung weiterverarbeitet. Bestell- und Kontodaten unterliegen den gesonderten Speicherregeln dieser Erklärung.
Weitere Informationen: Shopify-Datenschutz, Shopify-Datenschutz für Verbraucher, Shopify-Auftragsverarbeitung.
Optionale Shopify-Funktionen und Network Intelligence
Bei der Nutzung optionaler, auf Shopify Network Intelligence beruhender Personalisierungs- und Marketingfunktionen kann Shopify Daten zu Interaktionen mit unserem Shop mit Informationen aus Interaktionen mit anderen Händlern und Shopify zusammenführen. Betroffen sein können insbesondere technische Kennungen, Geräte- und Nutzungsdaten, angesehene Produkte und Kaufinteraktionen. Die Verarbeitung dient den jeweils angebotenen verbesserten Funktionen, etwa personalisierten Empfehlungen und der Messung oder Aussteuerung von Werbung.
Soweit diese Verarbeitung eine Einwilligung erfordert, erfolgt die Einbindung durch uns nur mit Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, bei entsprechenden Endgerätezugriffen, § 25 Abs. 1 TDDDG. Die erforderliche technische Shopbereitstellung wird davon getrennt behandelt. Eine Einwilligung in die allgemeinen Kaufbedingungen ersetzt keine Tracking-Einwilligung.
Soweit Shopify für solche verbesserten Dienste selbst verantwortlich ist, erläutert Shopify seine Verarbeitung, Speicherregeln, internationalen Empfänger und Rechtsgrundlagen in der verlinkten Verbraucher-Datenschutzerklärung. Ihre Auswahl für unsere Website können Sie über die Datenschutzeinstellungen ändern. Rechte gegenüber Shopify können Sie zusätzlich über das Shopify-Datenschutzportal ausüben. Für unsere eigene Verarbeitung bleiben wir Ihr Ansprechpartner.
4. Cookies und Einwilligungsverwaltung
Unsere Website verwendet Cookies und vergleichbare Technologien. Hierzu können auch Einträge im lokalen Browserspeicher, Pixel, Skripte und andere Verfahren zum Speichern oder Auslesen von Informationen gehören. Dabei ist zwischen dem Zugriff auf Ihr Endgerät und der anschließenden Verarbeitung personenbezogener Daten zu unterscheiden.
Erforderliche Funktionen
Ohne Einwilligung speichern oder lesen wir Informationen nur, soweit eine gesetzliche Ausnahme greift, insbesondere wenn dies unbedingt erforderlich ist, um einen von Ihnen ausdrücklich gewünschten digitalen Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG), oder ausschließlich der Übertragung einer Nachricht dient (§ 25 Abs. 2 Nr. 1 TDDDG). Dazu können die sichere Sitzungsverwaltung, ein von Ihnen verwendeter Warenkorb und das Speichern Ihrer Datenschutzauswahl gehören. Nicht jede nützliche oder wirtschaftlich vorteilhafte Funktion ist deshalb technisch erforderlich.
Die anschließende personenbezogene Verarbeitung beruht je nach Funktion auf Art. 6 Abs. 1 lit. b DSGVO, auf Art. 6 Abs. 1 lit. f DSGVO für die erforderliche technische Absicherung oder auf Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung gesetzlicher Nachweispflichten.
Freiwillige Analyse- und Marketingfunktionen
Für nicht erforderliche Analyse, personalisierte Werbung und andere einwilligungsbedürftige Dienste ist Ihre vorherige Einwilligung nach § 25 Abs. 1 TDDDG sowie Art. 6 Abs. 1 lit. a DSGVO maßgeblich. Die Zwecke und Anbieter werden in den jeweiligen Dienstabschnitten erläutert. Sie können eine Einwilligung verweigern, ohne dadurch die grundlegende Website- oder Bestellfunktion zu verlieren.
Auswahl, Nachweis und Widerruf
Ihre Auswahl wird über die Cookie- beziehungsweise Datenschutzeinstellungen verwaltet. Zur Zuordnung und zum Nachweis werden die getroffenen Entscheidungen, der Zeitpunkt, die zugehörige Informationsfassung sowie eine technische Einwilligungskennung verarbeitet. Die erforderliche Nachweisverarbeitung beruht auf Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO; die Endgerätespeicherung der Auswahl auf § 25 Abs. 2 Nr. 2 TDDDG. Empfänger sind die für Websitebetrieb und Einwilligungsverwaltung eingesetzten technischen Dienstleister.
Sie können Ihre Auswahl über die auf der Website erreichbaren Cookie- oder Datenschutzeinstellungen jederzeit mit Wirkung für die Zukunft ändern oder widerrufen. Zusätzlich können Sie uns über die oben genannten Kontaktdaten erreichen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Sitzungskennungen enden mit Ablauf der Sitzung beziehungsweise ihrer technisch festgelegten Gültigkeit. Dauerhafte Kennungen bestehen bis zu ihrem Ablauf oder Ihrer vorherigen Löschung. Die konkreten Laufzeiten sind von der jeweiligen Technologie zu unterscheiden; Einwilligungsnachweise werden so lange aufbewahrt, wie die darauf beruhende Verarbeitung und ihr erforderlicher Nachweis fortbestehen. Gesetzlich erforderliche oder zur konkreten Rechtsverteidigung benötigte Nachweise können darüber hinaus beschränkt gespeichert bleiben.
Sie können Cookies zusätzlich im Browser löschen oder blockieren. Das Löschen allein widerruft nicht notwendig bereits erteilte Einwilligungen und beseitigt keine bereits übermittelten Daten. Nach einem Browser- oder Gerätewechsel kann eine erneute Auswahl erforderlich sein.
5. Kontaktaufnahme und Kundenservice
Wenn Sie uns per E-Mail, Telefon, Kontaktformular oder über einen angebotenen Kundenservice kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Angaben. Dazu gehören Name, Kontaktinformationen, Ihr Anliegen, gegebenenfalls Unternehmen und Funktion sowie zugehörige Bestell-, Projekt- oder Reklamationsinformationen. Freiwillig übermittelte Dateien oder Bilder verarbeiten wir nur für die Bearbeitung des Anliegens. Bitte senden Sie keine für die Anfrage unnötigen sensiblen Daten.
Geht es um einen Vertrag mit Ihnen oder um vorvertragliche Maßnahmen auf Ihre Anfrage, ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich. Bei allgemeinen Anfragen oder der Kommunikation mit Beschäftigten und Vertretern eines Geschäftspartners ist Art. 6 Abs. 1 lit. f DSGVO Grundlage. Unser Interesse liegt an der sachgerechten Bearbeitung von Anfragen, zuverlässigen Geschäftsbeziehungen und der Dokumentation von Absprachen. Gesetzlich aufzubewahrende Geschäftskorrespondenz verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.
Empfänger sind die jeweils zuständigen Personen bei Fidu und die für E-Mail, Formularübermittlung oder Kundenservice eingesetzten Kommunikations- und IT-Dienstleister. Eine Kontaktaufnahme führt nicht automatisch zu einer Newsletteranmeldung oder einer Einwilligung in personalisierte Werbung.
Die Angabe einer geeigneten Kontaktmöglichkeit und der zur Sachverhaltsklärung notwendigen Informationen ist für eine Antwort erforderlich. Nach Abschluss des Vorgangs werden nicht mehr benötigte Informationen gelöscht. Vertragsunterlagen, Geschäftsbriefe und für konkrete Rechtsansprüche erforderliche Inhalte unterliegen den gesonderten Aufbewahrungsregeln.
6. Bestellungen, Kundenkonto und Vertragsabwicklung
Für Angebote und Bestellungen verarbeiten wir Namen, Rechnungs- und Lieferanschrift, E-Mail-Adresse, bestellte Artikel, Preise, Rabatte, Zahlungsart und Zahlungsstatus sowie gegebenenfalls eine für die konkrete Abwicklung erforderliche Telefonnummer oder geschäftliche Angaben. Die Verarbeitung dient Vertragsschluss, Lieferung, Abrechnung, Kundenservice sowie der Bearbeitung von Gewährleistungs- und sonstigen Vertragsansprüchen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei Ansprechpartnern eines Unternehmens gilt die im Abschnitt zur Geschäftskommunikation beschriebene Interessenabwägung. Handels- und steuerrechtliche Pflichten erfüllen wir nach Art. 6 Abs. 1 lit. c DSGVO, insbesondere in Verbindung mit § 257 HGB und § 147 AO.
Nutzen Sie ein Kundenkonto, verarbeiten wir zusätzlich Anmelde- und Kontoverwaltungsdaten, gespeicherte Anschriften und die Ihrem Konto zugeordneten Bestellungen. Dies dient der von Ihnen gewünschten Kontofunktion und erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Sie können die Löschung des Kontos verlangen; rechtlich erforderliche Bestell- und Abrechnungsunterlagen bleiben hiervon getrennt aufbewahrt.
Die im Bestellprozess als erforderlich gekennzeichneten Daten werden für die Vertragsabwicklung benötigt. Ohne sie ist eine Bestellung gegebenenfalls nicht möglich. Freiwillige Angaben sind entsprechend gekennzeichnet. Daten für Newsletter, Reichweitenmessung oder personalisierte Werbung sind nicht Voraussetzung für einen Kauf.
7. Zahlungsabwicklung
Bei einer Zahlung verarbeiten wir die für die gewählte Zahlungsart erforderlichen Identifikations-, Rechnungs-, Bestell-, Betrags- und Transaktionsdaten. Empfänger sind die im jeweiligen Zahlungsvorgang eingebundenen Zahlungsdienstleister, Banken und gegebenenfalls Karten- oder Wallet-Anbieter. Zahlungsinstrumentdaten können unmittelbar beim Zahlungsanbieter erhoben werden. Wir erhalten insbesondere Zahlungsstatus, Transaktionsreferenzen und die für Abrechnung oder Erstattung notwendigen Informationen.
Unsere Verarbeitung zur Durchführung der Zahlung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Dokumentation beruht auf Art. 6 Abs. 1 lit. c DSGVO. Im erforderlichen und verhältnismäßigen Umfang dienen Sicherheitsprüfungen unserem berechtigten Interesse, Zahlungsbetrug und finanzielle Schäden zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Eine Erlaubnis für allgemeines Werbetracking folgt daraus nicht.
PayPal
Wenn Sie PayPal wählen, erhält PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, die für die Zahlung erforderlichen Daten. PayPal verarbeitet diese für Zahlungsabwicklung, Missbrauchsverhinderung und gesetzliche Pflichten auch in eigener Verantwortlichkeit. Je nach gewähltem PayPal-Produkt sind Identitäts-, Betrugs- oder Bonitätsprüfungen und internationale Übermittlungen möglich. Maßgebliche weitere Informationen enthält die PayPal-Datenschutzerklärung.
Shopify Payments, Kartenzahlungen und Wallets
Wählen Sie eine über Shopify Payments bereitgestellte Zahlungsart, verarbeitet Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland, die für die Bereitstellung der Zahlungsfunktion erforderlichen Daten. Die eigentliche Zahlungsabwicklung erfolgt durch die für das Zahlungsprodukt eingebundenen Zahlungsabwickler und Finanzinstitute. Bei Nutzung einer Wallet verarbeitet auch deren Anbieter die von Ihnen veranlasste Zahlung. Welche Zahlungsarten zur Verfügung stehen, sehen Sie im Checkout; nicht jeder Anbieter erhält Daten bei jeder Bestellung.
Die jeweils eingebundenen Zahlungsunternehmen verarbeiten Daten auch zur Erfüllung eigener gesetzlicher Pflichten, etwa zur Geldwäscheprävention und zur Prüfung der Zahlungssicherheit. Einzelheiten enthalten die Shopify-Payments-Bedingungen und die dort bezeichneten Zahlungsabwickler sowie der Shopify-Datenschutz.
Für eine von Ihnen gewählte Rechnung oder Überweisung verarbeiten wir die erforderlichen Rechnungs-, Kontoverbindungs- und Zahlungseingangsdaten. Eine Zahlungsverarbeitung erfolgt nicht allein dadurch, dass ein Zahlungslogo auf unserer Website angezeigt wird.
Eigenständig verantwortliche Zahlungsdienstleister bestimmen ihre Speicherfristen und gegebenenfalls automatisierten Prüfverfahren nach ihren gesetzlichen Verpflichtungen und Datenschutzhinweisen. Ihre Rechte gegenüber uns bezüglich unserer eigenen Bestell-, Buchhaltungs- und Erstattungsdaten bleiben unberührt.
8. Warenwirtschaft und Auftragsverwaltung mit Xentral
Für Warenwirtschaft, Kunden- und Auftragsverwaltung, Angebote, Rechnungen, Lieferungen und Retouren nutzen wir Xentral der Xentral ERP Software GmbH, Viktoriastraße 3b, 86150 Augsburg, Deutschland.
Verarbeitet werden insbesondere Kunden- und Ansprechpartnerdaten, Kontaktinformationen, Rechnungs- und Lieferanschriften, Kunden- und Auftragskennungen, Artikel und Mengen, Beträge, Zahlungsstatus, Rechnungs- und Versandinformationen sowie Retouren- oder Reklamationsdaten. Informationen aus unseren Vertriebssystemen können hierzu automatisiert mit Xentral abgeglichen werden.
Die Verarbeitung zur Erfüllung eines Vertrags mit Ihnen beruht auf Art. 6 Abs. 1 lit. b DSGVO. Bei betrieblichen Ansprechpartnern und erforderlicher interner Organisation ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich; unser Interesse besteht an einer verlässlichen Warenwirtschaft, abgestimmten Auftragsbearbeitung und fehlerfreien Abrechnung. Gesetzliche Dokumentations- und Aufbewahrungspflichten erfüllen wir nach Art. 6 Abs. 1 lit. c DSGVO.
Xentral wird für die im Auftrag verarbeiteten Daten als Auftragsverarbeiter nach Art. 28 DSGVO eingesetzt. Betriebs- und Supportdienstleister erhalten Daten nur im Rahmen ihrer jeweiligen Aufgabe. Eine deutsche Anbieteranschrift allein ist keine Aussage darüber, dass jede technische Unterverarbeitung ausschließlich in Deutschland stattfindet. Für internationale Unterverarbeitung gelten zusätzlich die unten beschriebenen Transferregelungen.
Wenn Sie ein über Xentral bereitgestelltes Retourenportal verwenden, werden die zur Identifizierung der Bestellung und Bearbeitung der Rücksendung benötigten Angaben, etwa Bestellnummer, Kontaktinformation, betroffene Artikel und Rücksendegrund, zu diesem Zweck verarbeitet. Pflichtangaben dienen der Abwicklung der Rücksendung; darüber hinausgehende freiwillige Angaben sind nicht Voraussetzung für die Ausübung gesetzlicher Rechte.
Die Speicherdauer richtet sich nach dem jeweiligen Auftrag und den beschriebenen Vertrags-, Buchhaltungs- und Aufbewahrungsregeln. Weitere Anbieterinformationen: Xentral-Datenschutz.
9. Versand, Lieferung und Rücksendungen
Für die Zustellung oder Rücksendung übermitteln wir dem für den konkreten Versandweg beauftragten Paket- oder Transportdienstleister die erforderlichen Daten. Dazu gehören Name, Liefer- beziehungsweise Abholadresse, Sendungs- und Trackingnummer, Versandart und gegebenenfalls zollrechtlich erforderliche Angaben. Wir erhalten Zustell-, Rücksende- und gegebenenfalls Schadensinformationen.
Für Sendungen, die wir mit DPD abwickeln, ist DPD Deutschland GmbH, Wailandtstraße 1, 63741 Aschaffenburg, Deutschland, Empfänger der erforderlichen Lieferdaten. Bei einem anderen ausdrücklich vereinbarten Versandweg erhält der hierfür beauftragte Transportdienstleister die erforderlichen Angaben. Der konkrete Beförderer ergibt sich aus der Versand- oder Auftragsinformation.
Die Übermittlung notwendiger Lieferdaten erfolgt zur Vertragsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO. Bei einer anderen benannten Empfangsperson oder einem geschäftlichen Ansprechpartner kann Art. 6 Abs. 1 lit. f DSGVO Grundlage sein; unser Interesse liegt an der ordnungsgemäßen Ausführung der beauftragten Lieferung. Gesetzliche Zoll- und Dokumentationspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.
Eine E-Mail-Adresse oder Telefonnummer für einen zusätzlichen, freiwilligen Benachrichtigungsdienst des Transporteurs wird auf Grundlage einer entsprechenden Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO übermittelt. Ist eine Kontaktangabe für eine ausdrücklich beauftragte besondere Lieferleistung notwendig, etwa eine Terminabstimmung, wird sie für diesen konkreten Zweck verarbeitet. Die allgemeine Angabe einer E-Mail-Adresse bei einer Bestellung gilt nicht als pauschale Einwilligung in weitere Dienste des Transporteurs.
Für die eigentliche Beförderung handeln Transportdienstleister regelmäßig in eigener Verantwortlichkeit. Deren eigene Speicherregeln und Empfänger richten sich zusätzlich nach ihren Datenschutzinformationen. Informationen zu DPD: DPD-Datenschutz. Bei grenzüberschreitender Lieferung können erforderliche Empfänger im Bestimmungsland hinzukommen.
Widerruf, Retouren und Reklamationen
Bei einem Widerruf, einer Rücksendung oder einer Reklamation verarbeiten wir die Bestellzuordnung, Ihre Erklärung, betroffene Artikel sowie erforderliche Kommunikations-, Versand-, Prüf- und Erstattungsinformationen. Dies dient der Abwicklung des Vertrags und der Erfüllung gesetzlicher Ansprüche nach Art. 6 Abs. 1 lit. b beziehungsweise lit. c DSGVO. Bei streitigen Ansprüchen kann die erforderliche Rechtsverfolgung oder -verteidigung auf Art. 6 Abs. 1 lit. f DSGVO beruhen.
Ein gesetzlicher Widerruf setzt keine Begründung voraus. Freiwillige Angaben zu Rücksendegründen werden von den zur Bearbeitung erforderlichen Daten getrennt behandelt. Die Aufbewahrung richtet sich nach dem Geschäftsvorgang und den im Abschnitt zur Speicherdauer erläuterten Regeln.
10. Google Analytics
Wir nutzen Google Analytics zur statistischen Auswertung der Nutzung unserer Website. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Auswertung hilft uns, Inhalte, Bedienbarkeit und die Wirkung unserer Angebote zu beurteilen.
Nach entsprechender Einwilligung können insbesondere Seitenaufrufe, Such- und Klickereignisse, Sitzungen, Besuchszeitpunkte, Referrer, technische Geräte- und Browserinformationen, ungefähre Standortinformationen sowie technische Nutzer- und Sitzungskennungen verarbeitet werden. Bei Shopvorgängen können Produktansichten, Warenkorbaktionen und Kaufereignisse mit Artikel-, Wert- und Transaktionsinformationen hinzukommen. Solche Kennungen können einen Personenbezug herstellen, auch wenn wir keine Namen in den Auswertungen sehen.
IP-Adressen werden technisch für die Kommunikation und die Ableitung ungefährer Standortinformationen verarbeitet. Google gibt für Zugriffe aus der EU, der Schweiz und dem Vereinigten Königreich an, einzelne IP-Adressen bei dieser Analytics-Datenerhebung nicht zu protokollieren oder zu speichern. Daraus folgt nicht, dass sämtliche übrigen Analytics-Daten anonym sind.
Die Verarbeitung beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; einwilligungsbedürftige Speicherung oder Zugriffe im Endgerät auf § 25 Abs. 1 TDDDG. Sie können die Einwilligung über unsere Cookie- oder Datenschutzeinstellungen für die Zukunft widerrufen. Ein serverseitiger Übertragungsweg oder der Verzicht auf ein bestimmtes Cookie ersetzt nicht automatisch die erforderliche Rechtsgrundlage.
Google verarbeitet die für uns erhobenen Analysedaten nach seinen Auftragsverarbeitungsbedingungen. Google-Unternehmen und Unterauftragnehmer können Daten auch außerhalb des EWR, insbesondere in den USA, verarbeiten. Die Google-Vertragsunterlagen sehen für erfasste Übermittlungen anwendbare Angemessenheitsbeschlüsse beziehungsweise Standardvertragsklauseln vor.
Die Speicherung auf Nutzer- und Ereignisebene richtet sich nach den Einstellungen der jeweiligen Analytics-Property. Google unterscheidet diese Daten von zusammengefassten Standardberichten und ermöglicht ihre automatische Löschung nach der konfigurierten Frist. Bei Kennungen kann eine aktivierte Verlängerung bei erneuter Nutzung den Ablauf verschieben. Die in unserem Verantwortungsbereich geltenden Zweck- und Löschgrenzen bleiben auch für Exporte oder interne Auswertungen bestehen; eine Exportdatei darf sie nicht umgehen.
Wir verwenden einwilligungsgebundene Analyseinformationen nur für die von der Einwilligung erfassten Auswertungen. Für die weitere interne Nutzung von Berichten beachten Sie den Abschnitt zum Fidu Portal. Zusätzliche Werbezwecke sind von der reinen Reichweitenmessung zu unterscheiden und werden nicht allein durch eine allgemeine Statistik-Einwilligung erlaubt.
Weitere Informationen: Google-Datenschutz, Datenverarbeitung bei Partnerangeboten, Analytics-Datenaufbewahrung. Das Google-Browser-Add-on ist eine zusätzliche browserabhängige Möglichkeit zur Einschränkung der Analytics-Erfassung und ersetzt nicht unsere Widerrufsmöglichkeit.
11. Google Ads, Conversion-Messung und Remarketing
Wir nutzen Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, um auf unsere Angebote aufmerksam zu machen und den Erfolg von Werbemaßnahmen zu messen. Im Rahmen der Conversion-Messung kann erfasst werden, ob nach einem Werbekontakt eine bestimmte Handlung auf unserer Website erfolgt, etwa eine Anfrage oder ein Kauf. Remarketing ermöglicht, frühere Besucher auf anderen Angeboten mit interessenbezogener Werbung anzusprechen.
Nach entsprechender Einwilligung können hierfür Werbe- und Cookie-Kennungen, Klickinformationen, Referrer, Browser- und Gerätedaten, IP-Adresse, aufgerufene Inhalte sowie Ereignis-, Produkt- und Kaufwertdaten verarbeitet werden. Google kann Angaben einem eigenen Nutzerkonto zuordnen, soweit die entsprechende Zuordnung und deren rechtliche Voraussetzungen vorliegen. Eine statistische Berichtsansicht bei uns bedeutet nicht, dass Google ausschließlich anonyme Daten erhält.
Rechtsgrundlage für die personenbezogene Conversion-Messung und das Remarketing ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, bei Endgerätezugriffen zusätzlich § 25 Abs. 1 TDDDG. Die Einwilligung kann über unsere Cookie- oder Datenschutzeinstellungen widerrufen werden. Eine bloße Betrachtung unserer Werbung außerhalb unserer Website unterliegt daneben den Datenschutzinformationen des jeweiligen Angebots.
Empfänger sind Google und die in der Werbeauslieferung eingebundenen technischen Stellen. Für Google-Unternehmen und Unterauftragnehmer in Drittländern gelten die von Google vorgesehenen Transferregelungen und der Abschnitt zu internationalen Übermittlungen. Werbekennungen und Zielgruppenzuordnungen werden nur innerhalb der für die betreffende Messung oder Wiederansprache gültigen Zeitfenster genutzt; nach deren Ablauf oder einem wirksamen Widerruf endet die entsprechende zukünftige Nutzung. Eigenständige Speicherungen von Google richten sich zusätzlich nach dessen Datenschutzhinweisen.
Weitere Informationen: Google-Werbetechnologien und Google-Datenschutzerklärung.
12. Meta, Facebook- und Instagram-Werbung
Wir nutzen Werbe- und Messdienste von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Hierzu gehören die Messung von Werbeerfolgen und die Bildung von Zielgruppen für Facebook- und Instagram-Werbung. Soweit Ereignisse unserer Website über das Meta Pixel oder entsprechende Business Tools erfasst werden, erfolgt dies nach Ihrer entsprechenden Einwilligung.
Verarbeitet werden können IP-Adresse, Browser- und Geräteinformationen, technische Kennungen, Referrer, Seiten- und Produktaufrufe, Klicks, Warenkorbaktionen, Käufe, Bestellwerte und Zeitpunkte. Meta kann damit einen Werbekontakt einer späteren Handlung zuordnen und, soweit möglich, die Informationen mit einem Meta-Nutzerkonto verbinden. Wir erhalten Auswertungen zur Leistung der Werbung; dies schließt eine personenbezogene Verarbeitung bei Meta nicht aus.
Die Rechtsgrundlage für unsere einwilligungsbedürftige Marketing- und Messverarbeitung ist Art. 6 Abs. 1 lit. a DSGVO. Bei Speicherung oder Auslesen von Endgeräteinformationen gilt zusätzlich § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung in den Cookie- oder Datenschutzeinstellungen für die Zukunft widerrufen. Informationen zu Ihren eigenen Meta-Kontoeinstellungen stellt Meta zusätzlich bereit.
Soweit wir und Meta für die Erhebung und Übermittlung von Ereignisdaten gemeinsam Zwecke und Mittel bestimmen, besteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO im Umfang der einschlägigen Meta-Vereinbarung. Diese regelt insbesondere die Zuständigkeit für Informationen, Einwilligungen, Sicherheit und die Bearbeitung von Betroffenenrechten. Wir sind für die rechtmäßige Einbindung auf unserem Angebot und die erforderlichen Informationen verantwortlich. Meta übernimmt die in der Vereinbarung zugewiesenen Pflichten innerhalb seiner Systeme. Sie können Ihre Rechte ungeachtet dieser Aufgabenverteilung gegenüber beiden Verantwortlichen geltend machen. Für eine anschließende eigenständige Verarbeitung durch Meta gelten dessen Datenschutzhinweise.
Eine serverseitige Übermittlung, etwa über eine Conversions API, oder ein Abgleich gehashter Kontaktinformationen unterliegt weiterhin den jeweiligen Einwilligungs- und Informationsanforderungen. Hashwerte sind nicht automatisch anonym. Die allgemeine Nutzung unserer Website oder die Durchführung eines Kaufs stellt keine pauschale Erlaubnis für Kundenlistenabgleiche dar.
Daten können auch durch Meta-Unternehmen und technische Unterauftragnehmer in den USA oder anderen Drittländern verarbeitet werden. Meta beschreibt hierfür anwendbare Angemessenheitsbeschlüsse und Standardvertragsklauseln. Die Gültigkeit dieser Mechanismen ist auf den jeweiligen Empfänger und Verarbeitungsvorgang bezogen. Zielgruppen- und Messkennungen werden innerhalb der für die konkrete Kampagne maßgeblichen Gültigkeits- und Aufbewahrungszeiträume verwendet; Meta informiert gesondert über seine eigenen Speicherregeln.
Weitere Informationen: Meta-Datenschutz, Meta Business Tools und Vereinbarung zur gemeinsamen Verantwortlichkeit.
13. Newsletter und E-Mail-Marketing mit Klaviyo
Für Newsletter und die technische Verwaltung unseres E-Mail-Marketings verwenden wir Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02110, USA.
Anmeldung und Einwilligungsnachweis
Bei einer Newsletteranmeldung verarbeiten wir Ihre E-Mail-Adresse sowie freiwillige Angaben, etwa Namen oder Interessen. Hinzu kommen der Anmeldeweg, der Zeitpunkt, die erteilte Einwilligung und die zu deren Nachweis erforderlichen technischen Informationen. Die Zusendung aufgrund Ihrer Anmeldung beruht auf Art. 6 Abs. 1 lit. a DSGVO und den Anforderungen an elektronische Werbung nach § 7 UWG.
Wird bei dem von Ihnen genutzten Anmeldeweg eine Bestätigung Ihrer Adresse angefordert, erhalten Sie eine Bestätigungsnachricht (Double-Opt-In). Die Bestätigung und die dazugehörigen Zeitpunkte werden dann ebenfalls dokumentiert. Eine Bestätigungsnachricht dient nicht als Erlaubnis für darüber hinausgehende Werbung.
Erforderliche Nachweise verarbeiten wir nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO sowie im erforderlichen Umfang zur konkreten Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist in diesem Fall der Nachweis rechtmäßiger Kommunikation und die Abwehr unberechtigter Ansprüche.
Inhalte, Personalisierung und automatisierte Nachrichten
Unsere Newsletter informieren über Produkte, Kollektionen, Aktionen und Neuigkeiten der bei der Anmeldung bezeichneten Marke beziehungsweise des dort beschriebenen Angebots. Eine Einwilligung für eine Marke gilt nicht automatisch als Einwilligung für beliebige andere Marken oder Kommunikationskanäle.
Soweit Ihre Einwilligung eine Personalisierung umfasst, können von Ihnen angegebene Interessen, Kundenkennung, gekaufte Artikel, Bestellwerte und Zeitpunkte mit dem Newsletterprofil verknüpft werden. Die Verarbeitung dient passenden Inhalten und der Vermeidung irrelevanter Zusendungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Technisch ausgelöste Werbenachrichten, etwa Warenkorberinnerungen, Reaktivierungen oder Bewertungsaufforderungen, setzen ebenfalls die jeweils erforderliche Versandberechtigung voraus.
Erforderliche Bestell- und Servicenachrichten werden von Werbung getrennt behandelt. Ihre Verarbeitung richtet sich nach dem konkreten Vertrag und insbesondere Art. 6 Abs. 1 lit. b DSGVO. Dass eine Nachricht automatisch versendet wird, macht sie weder automatisch zu Werbung noch automatisch zu einer zulässigen Vertragsnachricht.
Abmeldung, Empfänger und Speicherung
Sie können Ihre Newslettereinwilligung jederzeit über den Abmeldelink in einer Marketing-E-Mail oder über unseren Datenschutzkontakt widerrufen. Eine Abmeldung berührt die Rechtmäßigkeit bereits erfolgter Verarbeitung nicht. Unabhängig erforderliche Vertragsnachrichten können weiterhin übermittelt werden.
Klaviyo verarbeitet die in unserem Auftrag bereitgestellten Daten nach seinem in die Vertragsbedingungen einbezogenen Data Processing Agreement gemäß Art. 28 DSGVO. Hierbei kann eine Verarbeitung in den USA stattfinden. Das veröffentlichte DPA sieht für erfasste Übermittlungen das EU-U.S. Data Privacy Framework, soweit anwendbar, sowie Standardvertragsklauseln vor.
Ein Newsletterprofil wird für die Dauer der bestehenden Versandberechtigung genutzt. Nach Abmeldung endet die Verwendung für die widerrufenen Werbezwecke. Nicht mehr erforderliche Profil- und Interaktionsdaten werden gelöscht oder anonymisiert. Ein auf E-Mail-Adresse, Sperrstatus und erforderliche Nachweisdaten beschränkter Sperrvermerk kann gespeichert bleiben, soweit dies notwendig ist, um die Abmeldung auch bei einem erneuten Systemabgleich zu beachten. Einwilligungsnachweise werden nur für den erforderlichen Nachweis und gegebenenfalls konkrete Rechtsansprüche vorgehalten; sie sind keine Erlaubnis zur Fortsetzung der Werbung.
Weitere Informationen: Klaviyo-Datenschutz und Klaviyo-Auftragsverarbeitung.
14. Newsletter-Erfolgsmessung und Website-Tracking
Soweit Sie in eine entsprechende personenbezogene Erfolgsmessung eingewilligt haben, können Marketing-E-Mails individuelle Messpixel und zuordenbare Links enthalten. Dadurch können Abrufe und Klicks, Zeitpunkte, Nachrichten- und Empfängerkennungen sowie technische Informationen zum Gerät oder E-Mail-Programm verarbeitet werden. Diese Informationen helfen uns, Inhalte und Versandzeitpunkte zu beurteilen und im erlaubten Umfang an Interessen anzupassen. Schutz- und Vorladefunktionen von E-Mail-Programmen können die Messwerte beeinflussen.
Eine bloße Newsletteranmeldung oder die Bestandskundenausnahme ist nicht automatisch eine Einwilligung in personenbezogenes Tracking. Rechtsgrundlage der entsprechenden personenbezogenen Erfolgsmessung ist Art. 6 Abs. 1 lit. a DSGVO; für einwilligungsbedürftige Endgerätezugriffe gilt zusätzlich § 25 Abs. 1 TDDDG.
Bei Nutzung von Klaviyo-Website-Technologien können nach der dafür erforderlichen Einwilligung Seiten- und Produktaufrufe, Warenkorbaktionen und andere Websiteereignisse einem bekannten Profil zugeordnet werden. Das dient der von der Einwilligung erfassten Personalisierung und Erfolgsmessung. Eine Newslettereinwilligung ersetzt diese Website-Tracking-Einwilligung nicht.
Eine Website-Tracking-Einwilligung können Sie über die Datenschutzeinstellungen widerrufen. Einen Widerruf der personenbezogenen E-Mail-Erfolgsmessung können Sie uns über den Datenschutzkontakt mitteilen; die vollständige Abmeldung von Marketing-E-Mails ist zusätzlich über den Abmeldelink möglich. Eine Abmeldung darf nicht durch erneute Importe umgangen werden.
Interaktionsdaten werden innerhalb der zugehörigen Versandberechtigung nur so lange genutzt, wie sie für die konkrete Inhalts- oder Kampagnenauswertung und die eingewilligte Personalisierung noch erforderlich sind. Nach Ende des Zwecks oder einem einschlägigen Widerruf endet diese Nutzung; notwendige, getrennte Einwilligungsnachweise bleiben davon unberührt. Anbieter, Empfänger und internationale Transferregelungen entsprechen dem vorstehenden Klaviyo-Abschnitt.
15. Eingebettete YouTube-Videos
Auf Seiten mit eingebetteten YouTube-Videos verwenden wir den Videodienst von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Einbettung dient der Darstellung von Produkt-, Marken- oder anderen von Ihnen aufgerufenen Videoinhalten.
Wenn Sie eine freigabepflichtige Einbettung aktivieren, kann Ihr Browser eine Verbindung zu YouTube beziehungsweise Google herstellen. Dabei können IP-Adresse, aufgerufene Seite, Geräte- und Browserinformationen, technische Kennungen sowie Nutzungs- und Wiedergabeereignisse übermittelt werden. Eine Zuordnung zu einem Google-Konto ist je nach Anmeldung und Einstellungen möglich. Google kann die Informationen auch für eigene in seinen Datenschutzhinweisen beschriebene Zwecke verwenden.
Die einwilligungsbedürftige Einbindung erfolgt nach Art. 6 Abs. 1 lit. a DSGVO und, soweit Endgeräteinformationen gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Ein erweiterter Datenschutzmodus oder eine andere Einbettungsdomain ist für sich genommen keine Garantie dafür, dass keinerlei Daten übertragen werden. Die Einwilligung kann über unsere Cookie- oder Datenschutzeinstellungen widerrufen werden.
Google-Unternehmen und Unterauftragnehmer können Informationen auch in den USA und anderen Drittländern verarbeiten. Die in den Google-Unterlagen beschriebenen Transferregelungen und Speicherregeln gelten ergänzend. Ein einfacher Link zu einem Video ist von einem bereits auf unserer Website geladenen Player zu unterscheiden.
Weitere Informationen: Google-Datenschutz und YouTube-Informationen zur Einbettung.
16. Externe Links und soziale Medien
Unsere Website kann Links zu unseren Präsenzen auf sozialen Netzwerken enthalten. Beim bloßen Anzeigen eines einfachen Links wird nicht allein aufgrund dieses Links eine Verbindung zu dem Zielangebot aufgebaut. Erst wenn Sie den Link aufrufen, verarbeitet der betreffende Anbieter Informationen nach seinen eigenen Datenschutzhinweisen.
Davon zu unterscheiden sind eingebettete Beiträge, Feeds, Schaltflächen oder andere externe Inhalte, die bereits innerhalb unserer Website eine Datenverbindung zum Anbieter herstellen. Bei solchen einwilligungsbedürftigen Einbettungen erfolgt die personenbezogene Verarbeitung nach Art. 6 Abs. 1 lit. a DSGVO und ein entsprechender Endgerätezugriff nach § 25 Abs. 1 TDDDG. Übermittelt werden können IP-Adresse, besuchte Seite, Geräteinformationen, technische Kennungen und Ihre Interaktion mit dem Inhalt. Ein Anbieter kann diese Daten je nach Anmeldung einem eigenen Nutzerprofil zuordnen.
Bei Facebook- und Instagram-Inhalten ist Meta Platforms Ireland Limited, Irland, Anbieter. Für andere von Ihnen aktivierte oder aufgerufene soziale Angebote gelten die beim betreffenden Inhalt erkennbaren Anbieterinformationen. Die Betreiber können Daten auch außerhalb des EWR verarbeiten; die für die jeweilige Einbettung geltenden Schutzmechanismen sind zusätzlich zu beachten.
Sie sind nicht verpflichtet, externe Inhalte freizugeben, um andere Inhalte unserer Website zu lesen oder eine Anfrage zu stellen. Eine erteilte Einwilligung kann über die Datenschutzeinstellungen widerrufen werden. Einstellungen in Ihrem eigenen Konto des sozialen Netzwerks werden dadurch nicht automatisch geändert.
17. Aktionen, Gewinnspiele und freiwillige Bewertungen
Bei einer von Ihnen gewählten Aktion, einem Gewinnspiel oder einer Bewertungsfunktion verarbeiten wir die für die jeweilige Teilnahme erforderlichen Angaben, etwa Kontaktinformationen, Ihren Beitrag, eine Teilnahme- oder Bestellzuordnung und im Gewinnfall eine Lieferanschrift. Für die Durchführung einer vereinbarten Teilnahme ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich. Freiwillige Veröffentlichungen oder eine zusätzliche werbliche Nutzung setzen die jeweils erforderliche gesonderte Rechtsgrundlage, insbesondere eine Einwilligung, voraus.
Ein gemeinsamer Aktionspartner erhält personenbezogene Daten nur, soweit dies für die konkret beschriebene Teilnahme erforderlich oder gesondert erlaubt ist. Besondere Empfänger, Veröffentlichungsregeln und Speicherfristen werden beim jeweiligen Angebot erläutert. Ein Gewinnspiel ist keine pauschale Erlaubnis, Teilnehmer in alle Markenverteiler zu übernehmen.
Teilnahmedaten werden nach Abschluss der Aktion und der Bearbeitung zugehöriger Ansprüche gelöscht, soweit keine gesetzlichen Nachweise oder wirksamen gesonderten Einwilligungen entgegenstehen. Werbliche Bewertungsaufforderungen per E-Mail werden von der erforderlichen Abwicklung einer Bestellung getrennt behandelt.
18. Interne Unternehmenssteuerung: Fidu Portal
Die Fidu Brands GmbH betreibt eine interne Datenplattform, das Fidu Portal. Darin werden Daten aus der Warenwirtschaft, den zugehörigen Vertriebssystemen und den eingesetzten Marketing- und Analysesystemen für betriebliche Zwecke bereitgestellt und ausgewertet.
Zu den Datenquellen gehören insbesondere Xentral und - für Shopvorgänge - Shopify sowie Google- und Meta-Berichte und, bei entsprechender Markenzuordnung, Klaviyo. Nicht jedes Herkunftssystem wird auf jeder Website eingesetzt. Der bloße Aufruf dieser Website führt nicht automatisch zur Verarbeitung Ihrer Daten in allen genannten Systemen.
Die zentrale Verarbeitung dient der Zuordnung und Kontrolle von Aufträgen, Lieferungen, Retouren und Zahlungen, der Bereinigung von Datenfehlern sowie der Erstellung von Umsatz-, Kosten-, Lager- und Profitabilitätsauswertungen. Je nach Aufgabe sind Kunden- und Auftragskennungen, Stammdaten, Kontaktinformationen, Artikel, Mengen, Beträge, Zeitpunkte und Statusinformationen betroffen. Bei Marketingberichten sind aggregierte Kampagnenkennzahlen von personenbezogenen Ereignissen und Profilen zu unterscheiden.
Die zur konkreten Vertragsabwicklung erforderliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO; bei geschäftlichen Ansprechpartnern gilt Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich erforderliche Dokumentation erfolgt nach Art. 6 Abs. 1 lit. c DSGVO. Erforderliche interne Abstimmungen und betriebswirtschaftliche Auswertungen stützen wir nach einer Abwägung der betroffenen Interessen auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt an korrekter Abrechnung, wirtschaftlicher Planung und nachvollziehbaren Geschäftsprozessen.
Die Speicherung im Portal schafft keine neue pauschale Erlaubnis für Werbung oder Profilbildung. Einwilligungsgebundene Daten dürfen nur innerhalb des zulässigen Zwecks weiterverarbeitet werden; eine verweigerte oder widerrufene Einwilligung darf nicht durch eine interne Kopie umgangen werden. Eine markenübergreifende Werbeprofilbildung ist von einer allgemeinen Erlaubnis zur Unternehmenssteuerung nicht umfasst.
Zugriffe werden nach Aufgabe und Erforderlichkeit vergeben. Soweit für eine Auswertung keine personenbezogenen Einzelangaben erforderlich sind, werden Daten entsprechend reduziert oder in geeigneter Form zusammengefasst. Die Löschung und Einschränkung erstreckt sich auch auf die zugehörigen Kopien und Exporte; gesetzlich aufzubewahrende Unterlagen werden getrennt behandelt.
19. Datenbank- und Backend-Infrastruktur mit Supabase
Für die zentrale Datenplattform und das Fidu Portal nutzen wir Datenbank-, Backend- und Infrastrukturleistungen von Supabase. Anbieter der veröffentlichten Cloud-Leistungen ist Supabase Pte. Ltd., Singapur.
Das für unser Portal eingerichtete Projekt verwendet die Region eu-central-1 (Frankfurt am Main, Deutschland). Damit ist die primäre Speicherung der Projektdaten in dieser Region eingerichtet. Dies ist keine Aussage, dass jede Support-, Sicherheits-, Infrastruktur- oder sonstige Nebenverarbeitung ausschließlich in Deutschland erfolgt.
Verarbeitet werden die im Abschnitt zum Fidu Portal beschriebenen Daten, soweit sie in dieser Infrastruktur gespeichert oder verarbeitet werden, sowie für den Betrieb erforderliche technische Protokoll-, Zugriffs- und Berechtigungsinformationen. Supabase wird hierfür als Auftragsverarbeiter nach Art. 28 DSGVO eingesetzt. Die materielle Rechtsgrundlage richtet sich nach dem konkreten Zweck der jeweiligen Datenverarbeitung; die Wahl einer Datenbank schafft keine zusätzliche Erlaubnis.
Nach den Anbieterunterlagen können Supabase und beauftragte technische Stellen Daten auch in Singapur, den USA oder weiteren Staaten verarbeiten. Bei erfassten Übermittlungen in Staaten ohne einschlägigen Angemessenheitsbeschluss sieht das Supabase-DPA insbesondere EU-Standardvertragsklauseln vor. Zusätzlich sind die tatsächlichen Schutzbedingungen und erforderliche ergänzende Maßnahmen zu berücksichtigen. Informationen und eine Kopie der wesentlichen Garantien können Sie bei uns anfordern.
Die Dauer der Speicherung bestimmt sich nach den beschriebenen Verarbeitungszwecken und den jeweils geltenden Lösch- oder Aufbewahrungsregeln. Weder die Dauer eines Supabase-Abonnements noch die bloße Existenz eines Datenexports rechtfertigt eine unbegrenzte personenbezogene Speicherung.
Weitere Informationen: Supabase-Auftragsverarbeitung, Supabase-Unterauftragnehmer und Supabase-Datenschutz.
20. Weitere Empfänger und internationale Datenübermittlungen
Innerhalb der Fidu Brands GmbH erhalten nur die für den jeweiligen Vorgang zuständigen Personen Zugriff. Externe Empfänger können neben den namentlich genannten Anbietern insbesondere IT- und Kommunikationsdienstleister, Transport- und Zahlungsunternehmen, erforderliche Projektpartner, Steuerberater, Rechtsberater und zuständige Behörden sein. Die Offenlegung erfolgt nur im erforderlichen Umfang und auf der für den konkreten Zweck genannten Grundlage. Behördliche Offenlegungen setzen insbesondere eine entsprechende gesetzliche Verpflichtung oder Befugnis voraus.
Auftragsverarbeiter werden nach Art. 28 DSGVO vertraglich gebunden. Eigenständig Verantwortliche, etwa bestimmte Zahlungsunternehmen oder Berufsgeheimnisträger, werden nicht allein aufgrund einer Geschäftsbeziehung zu Auftragsverarbeitern. Eine gemeinsame Verantwortlichkeit wird nur angenommen, soweit die tatsächliche Verarbeitung und die geltenden Regelungen dies vorsehen.
Bei Übermittlungen außerhalb der EU und des EWR prüfen wir zusätzlich das erforderliche Datenschutzniveau. Ein Angemessenheitsbeschluss nach Art. 45 DSGVO gilt nur für seinen konkreten Anwendungsbereich. Das EU-U.S. Data Privacy Framework gilt daher nicht unterschiedslos für alle Unternehmen mit Sitz in den USA. Fehlt ein einschlägiger Beschluss, kommen insbesondere Standardvertragsklauseln nach Art. 46 DSGVO zusammen mit einer Prüfung der tatsächlichen Schutzbedingungen und gegebenenfalls ergänzenden Maßnahmen in Betracht.
Auch ein Zugriff aus einem Drittland auf Daten in einem europäischen Rechenzentrum kann relevant sein. Die konkrete Grundlage ist beim jeweiligen Dienst beschrieben. Informationen und eine Kopie der wesentlichen vereinbarten Garantien können Sie über unseren Datenschutzkontakt anfordern; berechtigte Geheimhaltungsinteressen werden dabei gewahrt.
21. Speicherdauer, Löschung und Einschränkung
Wir unterscheiden zwischen laufenden Geschäftsdaten, gesetzlichen Archiven, Einwilligungsnachweisen und freiwilligen Analyse- oder Marketingdaten. Eine allgemeine Aufbewahrungspflicht für sämtliche Kundendaten besteht nicht.
Anfragen werden gelöscht, wenn sie abschließend bearbeitet sind und kein weiterer zulässiger Zweck besteht. Bei einem Vertragsabschluss gehen erforderliche Inhalte in die Vertragsdokumentation ein. Handels- und Geschäftsbriefe sind regelmäßig sechs Jahre, Buchungsbelege regelmäßig acht Jahre und bestimmte Buchführungsunterlagen, Inventare oder Abschlüsse regelmäßig zehn Jahre aufzubewahren. Die Einordnung richtet sich nach § 257 HGB, § 147 AO und den jeweils einschlägigen Spezialregelungen. Beginn, Verlängerungen und Ausnahmen richten sich nach dem Gesetz.
Soweit Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich bleiben, kann eine entsprechend begrenzte Aufbewahrung bis zur Klärung des Vorgangs oder zum Ablauf maßgeblicher Fristen erfolgen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ein bloß abstraktes Interesse an einer möglichen späteren Verwendung rechtfertigt keine unbegrenzte Speicherung.
Für Newsletter, Analysekennungen, Werbezielgruppen, Einwilligungsnachweise und technische Protokolle gelten die beim jeweiligen Dienst beschriebenen Fristen oder Kriterien. Ein Widerruf beendet die von ihm erfasste künftige Verarbeitung. Unabhängig rechtlich aufzubewahrende Rechnungen und ein notwendiger, auf wenige Angaben begrenzter Werbesperrvermerk können davon ausgenommen sein.
Müssen Daten nach Ende ihres operativen Zwecks weiter aufbewahrt werden, wird ihre weitere Nutzung auf den zulässigen Aufbewahrungszweck begrenzt. Löschungen und Einschränkungen sind auch bei beauftragten Dienstleistern und internen Kopien zu berücksichtigen. Sicherungskopien werden entsprechend dem festgelegten Sicherungs- und Wiederherstellungskonzept behandelt.
22. Ihre Datenschutzrechte
Unter den gesetzlichen Voraussetzungen haben Sie ein Recht auf Auskunft über Ihre personenbezogenen Daten und die zugehörige Verarbeitung sowie auf eine Kopie dieser Daten (Art. 15 DSGVO). Sie können unrichtige Daten berichtigen und unvollständige Daten vervollständigen lassen (Art. 16 DSGVO).
Sie können die Löschung verlangen, etwa wenn die Daten nicht mehr benötigt werden oder eine Verarbeitung unzulässig ist (Art. 17 DSGVO). Dieses Recht gilt nicht schrankenlos; insbesondere gesetzliche Aufbewahrungspflichten oder erforderliche Rechtsverteidigung können entgegenstehen. Unter den Voraussetzungen des Art. 18 DSGVO können Sie stattdessen eine Einschränkung der Verarbeitung verlangen.
Soweit Sie uns Daten bereitgestellt haben und deren automatisierte Verarbeitung auf Ihrer Einwilligung oder einem Vertrag beruht, haben Sie nach Art. 20 DSGVO das Recht, diese Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln zu lassen.
Einwilligungen können Sie jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf wird dadurch nicht berührt. Für die praktische Ausübung nutzen Sie die im jeweiligen Abschnitt beschriebenen Einstellungen oder unseren Datenschutzkontakt.
Besonderer Hinweis zum Widerspruch nach Art. 21 DSGVO
Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit einer auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruhenden Verarbeitung widersprechen. Dies gilt auch für ein darauf gestütztes Profiling. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Gegen die Verarbeitung Ihrer Daten für Direktwerbung können Sie jederzeit ohne Begründung Widerspruch einlegen. Dies umfasst das damit verbundene Profiling. Nach einem solchen Widerspruch werden Ihre Daten nicht mehr für diese Werbezwecke verwendet.
Beschwerde und Bearbeitung Ihrer Anliegen
Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort eines vermuteten Verstoßes. Für unser Unternehmen kommt insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit in Betracht: Kontakt und Beschwerdemöglichkeiten. Sie müssen sich nicht zuerst an uns wenden.
Wir beantworten Anträge grundsätzlich innerhalb eines Monats. Eine gesetzlich zulässige Verlängerung um bis zu zwei weitere Monate teilen wir innerhalb des ersten Monats unter Angabe der Gründe mit. Bei begründeten Zweifeln an der Identität können wir die hierfür erforderlichen zusätzlichen Informationen anfordern. Die Ausübung der Rechte ist grundsätzlich unentgeltlich; gesetzliche Ausnahmen bleiben unberührt.
23. Profilbildung und automatisierte Entscheidungen
Die einwilligungsbasierte Zuordnung von Produktinteressen oder die Bildung von Marketingsegmenten kann eine Profilbildung darstellen. Die dafür verwendeten Daten, Zwecke und Widerrufsmöglichkeiten sind bei den jeweiligen Marketingdiensten beschrieben. Eine automatische Auswertung ist nicht allein deshalb eine Entscheidung im Sinne des Art. 22 DSGVO.
Sie haben nach Maßgabe des Art. 22 DSGVO das Recht, nicht einer ausschließlich automatisierten Entscheidung einschließlich Profiling unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Bei gesetzlich zugelassenen Ausnahmen bestehen die vorgesehenen Schutzrechte, gegebenenfalls insbesondere auf menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung einer Entscheidung.
Eine Einwilligung in Reichweitenmessung, Newsletter oder personalisierte Werbung ist keine pauschale Einwilligung in rechtlich erhebliche automatisierte Entscheidungen. Für eigenständige Identitäts-, Betrugs- oder Bonitätsprüfungen eines gewählten Zahlungsdienstleisters gelten zusätzlich dessen gesonderte Informationen über Logik, Bedeutung, Auswirkungen und die Ausübung Ihrer Rechte. Ihre Rechte hinsichtlich einer von uns verantworteten Verarbeitung bleiben unberührt.
24. Datensicherheit und Änderungen
Wir treffen risikogerechte technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere angemessene Zugriffsberechtigungen, sichere Übertragungswege und Verfahren zur Erhaltung von Vertraulichkeit, Integrität und Verfügbarkeit. Die Maßnahmen werden an die tatsächlichen Risiken angepasst.
Ändern sich unsere Verarbeitungen, passen wir diese Informationen an. Erforderliche Informationen über neue Zwecke werden vor der entsprechenden Weiterverarbeitung bereitgestellt. Eine Änderung dieser Erklärung ersetzt keine gegebenenfalls neu erforderliche Einwilligung.
