Datenschutzerklärung

1. Verantwortliche Stelle

E-Mail: [E-Mail-Adresse]

Wir verarbeiten personenbezogene Daten nur, soweit das für den Betrieb dieser Website und die Abwicklung deiner Bestellung nötig ist. Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht.

2. Aufruf der Website und Hosting

Die Website läuft auf einem von uns gemieteten Server der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, in einem Rechenzentrum in der EU. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Bestell-, Konto- und Lagerdaten liegen in einer Datenbank auf diesem Server. [Prüfen: Anschrift von STRATO und abgeschlossenen Vertrag zur Auftragsverarbeitung]

Beim Aufruf einer Seite speichert der Server ein Zugriffsprotokoll mit IP-Adresse, Datum und Uhrzeit, aufgerufener Seite, Antwortstatus und Browser-Angaben, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Das Protokoll wird nach spätestens 7 Tagen automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zur Datensicherung legen wir jede Nacht eine verschlüsselte Kopie der Datenbank in einem Cloudspeicher von Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ab. Den Schlüssel haben nur wir, Google kann den Inhalt nicht lesen. Die Kopien werden nach höchstens 12 Monaten gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb und unsere Pflicht, Rechnungen aufzubewahren (Art. 6 Abs. 1 lit. c und lit. f DSGVO). [Prüfen: ob dieser Absatz so passt]

Schriften werden von unserem eigenen Server geladen. Beim Seitenaufruf wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut. Wir verwenden keine Analyse- oder Werbe-Tracker.

3. Warenkorb im Browser

Den Inhalt deines Warenkorbs (Artikel, Menge, gewünschte Gravur) speichern wir im lokalen Speicher deines Browsers (localStorage), damit er beim Neuladen erhalten bleibt. Diese Daten verlassen deinen Browser erst, wenn du bestellst. Die Speicherung ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit über die Browsereinstellungen löschen. Ein Cookie setzen wir im Shop nur, wenn du dich in deinem Kundenkonto anmeldest (siehe Abschnitt 5).

4. Bestellung

Für deine Bestellung verarbeiten wir Name, Lieferadresse, E-Mail-Adresse, optional Telefonnummer und Nachricht, die bestellten Artikel und die Zahlungsart. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wegen steuer- und handelsrechtlicher Aufbewahrungspflichten speichern wir Bestell- und Rechnungsdaten bis zu zehn Jahre (§ 147 AO, Art. 6 Abs. 1 lit. c DSGVO).

Zur Lieferung geben wir Name und Anschrift an den Versanddienstleister weiter (Deutsche Post / DHL, DPD oder Hermes), je nach Sendung.

5. Kundenkonto

Ein Kundenkonto ist freiwillig. Du kannst auch ohne Konto bestellen. Legst du eines an, speichern wir:

• deine E-Mail-Adresse (sie ist dein Anmeldename),
• dein Passwort nur als Hash: einen verschlüsselten Fingerabdruck (Verfahren scrypt), aus dem sich das Passwort nicht zurückrechnen lässt. Das Passwort selbst kann niemand lesen, auch wir nicht,
• Zeitpunkte: wann du das Konto angelegt und deine E-Mail-Adresse bestätigt hast, wann du dich zuletzt angemeldet und wann du das Konto zuletzt geändert hast,
• optional eine Lieferadresse (Name, Straße, PLZ, Ort, Telefonnummer), nur wenn du sie in deinem Konto oder an der Kasse speicherst,
• die Zuordnung deiner Bestellungen zum Konto. Nach der Bestätigung deiner E-Mail-Adresse ordnen wir dem Konto auch frühere Bestellungen mit derselben Adresse zu, damit du ihren Stand und die Sendungsnummer sehen kannst.

Wir verarbeiten diese Daten, um dir das Konto bereitzustellen: Anmeldung, Übersicht deiner Bestellungen mit Stand und Sendungsnummer, Vorausfüllen der Kasse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung des Kontos).

E-Mails zum Konto: Zum Bestätigen deiner E-Mail-Adresse (Link 24 Stunden gültig) und zum Zurücksetzen des Passworts (Link eine Stunde gültig) schicken wir dir je einen Link, der nur einmal gilt. Bei uns gespeichert ist davon nur ein Fingerabdruck, nicht der Link selbst. Außerdem bekommst du eine Nachricht, wenn dein Passwort geändert wurde, wenn jemand mit deiner Adresse ein zweites Konto anlegen will und wenn dein Konto gelöscht wurde. Für den Versand und das Versandprotokoll gilt Abschnitt 8.

Anmelde-Cookie: Wenn du dich anmeldest, setzen wir das Cookie „hh_konto“. Es enthält nur die Nummer deines Kontos und den Ablaufzeitpunkt, ist gegen Veränderung gesichert und gilt 7 Tage, mit „Angemeldet bleiben“ 30 Tage. Beim Abmelden wird es gelöscht. Das Cookie ist für die von dir gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Schutz vor Missbrauch: Damit niemand über unsere Formulare massenhaft E-Mails an fremde Adressen auslöst oder Passwörter durchprobiert, merken wir uns bei „Konto anlegen“, „Passwort vergessen“ und „Bestätigungsmail erneut senden“ für höchstens eine Stunde die IP-Adresse und einen Fingerabdruck der eingegebenen E-Mail-Adresse, nur im Arbeitsspeicher des Servers. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer und Löschen: Die Kontodaten speichern wir, bis du das Konto löschst (unter „Mein Konto“ → „Einstellungen“ → „Konto löschen“) oder uns bittest, es zu löschen. Selbst löschen kannst du dein Konto, sobald keine Bestellung mehr in Bearbeitung ist (alle versendet oder storniert). Beim Löschen entfernen wir das Konto mit Passwort-Hash, gespeicherter Adresse und offenen Links sofort und schicken dir eine Bestätigung. Deine Bestellungen und Rechnungen bleiben wegen der gesetzlichen Aufbewahrungspflichten erhalten (siehe Abschnitt 4), hängen dann aber an keinem Konto mehr. Das gilt auch für den Nachweis verschickter E-Mails. [Prüfen: ob nie bestätigte Konten nach einer festen Frist automatisch gelöscht werden sollen; derzeit löscht die Inhaberin sie bei Bedarf in der Verwaltung]

Nachweis der Löschung: Damit wir belegen können, dass und wann wir ein Konto gelöscht haben, behalten wir danach nur die E-Mail-Adresse, den Zeitpunkt und ob du oder wir das Konto gelöscht haben. Name, Anschrift und Passwort gehören nicht dazu. Rechtsgrundlage ist unser berechtigtes Interesse, die Löschung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO). [Prüfen: wie lange dieser Nachweis aufbewahrt wird, z. B. drei Jahre; derzeit wird er nicht automatisch gelöscht]

In unserer Verwaltung sehen wir deine E-Mail-Adresse, die Zeitpunkte, die gespeicherte Lieferadresse und die zugeordneten Bestellungen, nie dein Passwort. Wir können es auch nicht ändern, sondern dir nur einen Link zum Zurücksetzen schicken.

6. Zahlung

• Überweisung: Deine Zahlung sehen wir mit Name, IBAN und Verwendungszweck auf unserem Konto.
• PayPal: Beim Bezahlen über PayPal gibst du deine Daten direkt an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Es gilt die Datenschutzerklärung von PayPal.
• Kartenzahlung (falls angeboten): Die Zahlung läuft über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Wir erhalten von Stripe nur die Bestätigung der Zahlung, keine Kartendaten.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO.

7. Widerruf über die Widerrufsfunktion

Nutzt du die Funktion „Vertrag widerrufen“, speichern wir Bestellnummer, Name, E-Mail-Adresse, Angaben zum Umfang und den Zeitpunkt, um den Widerruf zu bearbeiten und nachzuweisen (Art. 6 Abs. 1 lit. c DSGVO).

8. E-Mails

Nach deiner Bestellung schicken wir dir eine Bestellbestätigung per E-Mail, später je eine Nachricht, wenn deine Zahlung eingegangen ist und wenn wir die Bestellung versendet haben (mit Sendungsnummer, falls vorhanden). Nach einem Widerruf über die Widerrufsfunktion bekommst du eine Eingangsbestätigung. Hast du ein Kundenkonto, kommen die E-Mails zum Konto dazu (Abschnitt 5). Dafür verwenden wir deine E-Mail-Adresse, deinen Namen und die Angaben zur Bestellung, zum Widerruf bzw. zum Konto (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Wir protokollieren, wann welche E-Mail an welche Adresse ging, um den Versand nachweisen zu können.

Die E-Mails verschicken wir über unser E-Mail-Postfach bei der STRATO GmbH (Anschrift siehe Abschnitt 2). STRATO verarbeitet dabei Absender, Empfänger, Betreff und Inhalt der E-Mail als Auftragsverarbeiter in Rechenzentren in der EU; der Vertrag zur Auftragsverarbeitung aus Abschnitt 2 gilt auch hierfür. [Prüfen: ob der Vertrag zur Auftragsverarbeitung mit STRATO das E-Mail-Postfach umfasst]

9. WhatsApp und Instagram

Auf unserer Website verlinken wir auf WhatsApp und Instagram (Meta Platforms Ireland Ltd.). Es handelt sich um einfache Links, es werden keine Inhalte dieser Dienste eingebunden. Daten fließen erst an Meta, wenn du einen Link anklickst. Schreibst du uns per WhatsApp, verarbeiten wir deine Nachricht und Telefonnummer, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO).

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wende dich dafür an die oben genannte Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der Behörde deines Bundeslandes.

Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.