Privacy policy

03Fehlerprotokolle und Missbrauchsschutz

Was

Fehlermeldungen, gegebenenfalls mit Bestellbezug; IP-Adresse bei Formular-Sperre und Honeypot

Wofür

Fehler beheben, automatisierte Angriffe abwehren

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse

Wie lange

Formular-Zähler 60 Min. · Protokoll 30 Tage · GlitchTip 90 Tage

Läuft im Shop etwas schief, schreibt er einen Eintrag in sein Protokoll: was passiert ist, auf welcher Seite und zu welcher Bestellung, soweit eine betroffen ist. Diese Einträge werden nach 30 Tagen gelöscht. Fehler und Warnungen gehen zusätzlich an ein Programm zur Fehlerverfolgung (GlitchTip), das auf demselben Server läuft und keine Daten an Dritte gibt; dort werden sie nach 90 Tagen gelöscht. Aufgaben, die im Hintergrund scheitern – etwa eine Mail, die nicht verschickt werden konnte –, bleiben mit Empfänger und Text 30 Tage lang erhalten, damit sie wiederholt werden können.

Kasse, Kontaktformular, Widerrufsformular, Motivwunsch, Bewertungsformular, die Benachrichtigung bei Verfügbarkeit, das Feld für Gutscheincodes und die Guthabenabfrage zählen, wie oft sie von einer IP-Adresse aus abgeschickt werden, die Guthabenabfrage auch je Sitzung. Der Zähler verfällt spätestens nach 60 Minuten; der abgefragte Code wird nicht gespeichert. Füllt jemand an der Kasse ein Feld aus, das nur Programme sehen, wird seine IP-Adresse im Fehlerprotokoll festgehalten. Rechtsgrundlage für beides ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Fehler zu beheben und den Shop vor automatisierten Angriffen und massenhaften Anfragen zu schützen.

04Reichweitenmessung

Was

Seite, Zeitpunkt, Sprache, Geräteart, Browsername, Herkunfts-Domain

Nicht

IP-Adresse, Cookie, Versionsnummern, Bestellnummern

Rechtsgrundlage

Keine nötig – kein Personenbezug

Wie lange

740 Tage

Um zu sehen, welche Motive angesehen werden, zählt der Shop seine eigenen Seitenaufrufe mit. Gespeichert werden dabei: die aufgerufene Seite, der Zeitpunkt, die Sprache der Seite, die Art des Geräts (Handy, Tablet oder Rechner), der Name des Browsers und – falls vorhanden – die Adresse der Website, von der du gekommen bist, und zwar ausschließlich deren Domain (etwa „etsy.com“). Führte dich ein Link aus einer Aktion des Shops hierher, wird dessen Name mitgezählt. Bei Seiten, die zu einer Bestellung oder einer Benachrichtigung gehören, wird nur die Art der Seite gespeichert, nicht die Bestellnummer oder Kennung in ihrer Adresse.

Nicht gespeichert werden: deine IP-Adresse, die Versionsnummern von Gerät, Browser oder Betriebssystem, ein Cookie oder sonst ein Merkmal, mit dem sich die Aufrufe einer Person zuordnen oder über mehrere Besuche hinweg verbinden ließen. Geräteart und Browsername bleiben bewusst grob: „Safari auf einem Handy“ beschreibt, eine Versionsangabe dazu würde beginnen zu identifizieren. Die Zählung findet auf dem Server des Shops statt, und es wird nichts auf deinem Gerät gespeichert oder ausgelesen. Nur wenn dein Browser eine Seite schon vorab geladen hat – weil der Mauszeiger kurz auf einem Link lag oder du ihn angetippt hast –, meldet ein kurzes Skript in dieser Seite dem Shop, sobald sie angezeigt wird, dass sie jetzt zu sehen ist. Es schickt dabei nur eine zufällige Nummer, die für genau diesen einen Aufruf gilt, und sonst nichts. So zählt eine vorab geladene Seite erst, wenn du sie wirklich siehst. Ein Personenbezug entsteht dadurch nicht, eine Einwilligung ist dafür nicht erforderlich. Die Zählwerte werden nach 740 Tagen automatisch gelöscht und nicht weitergegeben.

05Cookies und Browserspeicher

Dazu kommen Cookies von PayPal oder Stripe – aber nur, wenn du dort bezahlst. Sie dienen der Betrugsabwehr; mehr unter 08 Zahlung.

Damit der Warenkorb zwischen zwei Seitenaufrufen bestehen bleibt, wird ein Cookie mit einer Sitzungskennung gesetzt. Ein zweites Cookie („XSRF-TOKEN“) enthält eine Zufallszahl, mit der der Shop prüft, dass ein Formular wirklich auf seinen eigenen Seiten abgeschickt wurde und nicht von einer fremden Seite aus. Beide enthalten keine Angaben zu deiner Person und laufen 120 Minuten nach dem letzten Seitenaufruf ab.

Über dieselbe Sitzung merkt sich der Shop auf seinem Server, welche Stücke du zuletzt angesehen hast – höchstens 8, nur ihre Nummern –, und zeigt sie dir unter „Zuletzt angesehen“ auf der Produktseite und im Warenkorb. In deinem Browser kommt dafür nichts hinzu. Die Liste verschwindet mit der Sitzung, 120 Minuten nach dem letzten Seitenaufruf (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse).

Damit ein Warenkorb auch am nächsten Tag noch da ist, merkt sich ein drittes Cookie („cart“) nur die Nummer deines Warenkorbs, verschlüsselt. Es läuft 7 Tage nach deinem letzten Besuch ab und wird gelöscht, sobald du bestellt hast. Was du im Bestellformular schon eingegeben hast – Name, E-Mail-Adresse und Anschrift –, füllt das Formular noch 24 Stunden lang wieder aus, damit du nicht alles neu eingeben musst; danach wird es spätestens in der folgenden Nacht aus dem Warenkorb gelöscht.

Alle drei Cookies sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und brauchen deshalb keine Einwilligung. Weitere Cookies setzt der Shop selbst nicht; zu denen von PayPal und Stripe siehe „Zahlung“.

Wenn du mit dem Schalter „Dark mode“ ein anderes Farbschema wählst als dein System, speichert dein Browser diese Wahl im lokalen Speicher (localStorage) unter „shop-theme“ – nur „dark“ oder „light“, kein Cookie. Der Eintrag bleibt in deinem Browser und wird nicht an den Shop geschickt. Ein Ablaufdatum hat er nicht: Er verschwindet, sobald du wieder zur Einstellung deines Systems zurückschaltest oder die Websitedaten in deinem Browser löschst. Weil du das Speichern selbst auslöst, braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

07Geschenkgutscheine

Was

Für wen, von wem, Grußtext – alles freiwillig

Wofür

Steht auf dem gedruckten Gutschein, sonst nirgends

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO – Vertrag
Art. 6 Abs. 1 lit. f DSGVO – Name der beschenkten Person

Wie lange

Wie die Namen der Bestellung

Auf einen Geschenkgutschein kannst du schreiben, für wen er ist, von wem er kommt und einen Grußtext. Diese Angaben sind freiwillig; sie werden mit der Bestellung gespeichert und auf den Gutschein gedruckt. Nennst du dabei eine andere Person, gibst du deren Namen an den Shop weiter – der Name steht dann nur auf dem Gutschein und wird für nichts anderes verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Namen der beschenkten Person Art. 6 Abs. 1 lit. f DSGVO. Gelöscht werden die Angaben mit den Namen der Bestellung (siehe „Speicherdauer“).

08Zahlung

Bei Vorkasse erhältst du die Bankverbindung mit der Bestellbestätigung. Deine Bank und die Bank des Verkäufers verarbeiten dabei die üblichen Überweisungsdaten.

Bei PayPal wird die Zahlung über die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg abgewickelt. Wählst du PayPal an der Kasse, gehen der Betrag, dein Name, deine E-Mail-Adresse, deine Rechnungs- und deine Lieferanschrift an PayPal. Zahlst du über „Mit PayPal bezahlen“ im Warenkorb, geht zunächst nur der Betrag an PayPal; Name, E-Mail-Adresse und Lieferanschrift wählst du dann bei PayPal, und PayPal übermittelt sie an den Shop, damit die Bestellung ankommt. Welche weiteren Daten PayPal in deinem dortigen Konto verarbeitet, liegt außerhalb des Einflusses dieses Shops. Die Verbindung zu PayPal wird erst hergestellt, wenn du PayPal an der Kasse als Zahlungsart wählst oder im Warenkorb auf „Mit PayPal bezahlen“ klickst – wer anders zahlt, baut zu PayPal keine Verbindung auf. Ab dann erhält PayPal deine IP-Adresse und Angaben zu Browser und Gerät und kann Cookies setzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei Zahlung mit Karte, Apple Pay, Google Pay, Klarna, Amazon Pay, Revolut Pay, iDEAL | Wero, EPS oder Bancontact wird die Zahlung über die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland abgewickelt. Die Kartendaten gibst du in Felder ein, die Stripe selbst bereitstellt; der Shop bekommt sie nie zu sehen. An Stripe gehen der Betrag, die Bestellkennung, Name, E-Mail-Adresse und Rechnungsanschrift; bei den Schaltflächen im Warenkorb die Angaben, die du beim jeweiligen Anbieter freigibst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei Klarna, Amazon Pay und Revolut Pay wirst du zum Abschluss der Zahlung auf deren Seiten weitergeleitet. Stripe gibt dabei Betrag, Name, E-Mail-Adresse und Anschrift an die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, die Amazon Payments Europe S.C.A., 38 avenue John F. Kennedy, L-1855 Luxemburg, bzw. die Revolut Bank UAB, Konstitucijos ave. 21B, 08130 Vilnius, Litauen, weiter. Klarna prüft für Zahlung auf Rechnung oder in Raten gegebenenfalls deine Bonität; was Klarna, Amazon und Revolut dort verarbeiten, regeln deren eigene Datenschutzhinweise. Bei iDEAL | Wero, EPS und Bancontact wirst du zum Online-Banking deiner Bank weitergeleitet; Stripe erhält von dort die Bestätigung der Zahlung und den Namen des Kontoinhabers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wie PayPal wird auch Stripe erst geladen, wenn du eine dieser Zahlarten an der Kasse wählst oder im Warenkorb auf „Apple Pay, Google Pay & Co.“ klickst. Ab dann erhält Stripe deine IP-Adresse und Angaben zu Browser und Gerät und setzt Cookies, die der Betrugsabwehr dienen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse an sicheren Zahlungen – und für die Cookies § 25 Abs. 2 Nr. 2 TDDDG. Ob dein Browser Apple Pay oder Google Pay anbietet, fragt die Kassenseite nur deinen Browser selbst; dabei wird nichts übertragen. Außerhalb von Warenkorb und Kasse wird Stripe nie geladen. Zur Übermittlung in die USA siehe „Empfänger und Übermittlung in Drittländer“.

09Versand

Was

Name, Lieferanschrift; gegebenenfalls Postnummer, Paketshop, Zustellhinweis

An wen

Deutsche Post, DHL oder GLS

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO – Vertrag

Briefmarken

werden ohne deine Anschrift gekauft

Name und Lieferanschrift gehen an den Versanddienstleister, der die Sendung zustellt – die Deutsche Post, DHL oder GLS –, bei Lieferung an eine Packstation auch deine Postnummer, bei Lieferung in einen GLS-Paketshop dessen Anschrift, und ein Hinweis für die Zustellung, wenn du einen angegeben hast. Ohne diese Weitergabe kommt keine Sendung an. Briefmarken kauft der Shop bei der Deutschen Post ohne deine Anschrift; sie steht nur auf dem Umschlag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10E-Mails

Verschickt über

ALL-INKL.COM - Neue Medien Münnich, Friedersdorf, Deutschland (Auftragsverarbeitung)

Die E-Mails des Shops – Bestellbestätigung, Versandnachricht, Antworten und alle anderen – werden über ALL-INKL.COM - Neue Medien Münnich, Friedersdorf, Deutschland verschickt, im Auftrag und nach Weisung auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Von jeder verschickten Mail behält der Shop eine Kopie mit Empfänger, Betreff und Inhalt, damit sich später nachvollziehen lässt, was wann verschickt wurde. Mails zu einer Bestellung – Bestätigung, Zahlung, Versand, Stornierung, Gutscheine, die Eingangsbestätigung eines Widerrufs und Antworten auf Fragen zu einer Bestellung – sind Geschäftsbriefe und werden sechs Jahre aufbewahrt, gerechnet ab dem Ende des Jahres, in dem sie verschickt wurden (§ 147 AO, § 257 HGB, Art. 6 Abs. 1 lit. c DSGVO). Alle anderen Mails zu Bestellungen, etwa eine Bitte um eine Bewertung, werden nach einem Jahr gelöscht (Art. 6 Abs. 1 lit. f DSGVO). Mails zu einer Benachrichtigung bei Verfügbarkeit, einem Motivwunsch oder einer Nachricht über das Kontaktformular werden zusammen mit dem Eintrag gelöscht, zu dem sie gehören.

11Widerruf

Was

Name, E-Mail-Adresse, Bestellnummer, Umfang des Widerrufs, Sprache, Datum und Uhrzeit des Eingangs; Nachricht freiwillig

Wofür

Entgegennahme und Bearbeitung des Widerrufs, Eingangsbestätigung per Mail

Rechtsgrundlage

Art. 6 Abs. 1 lit. c DSGVO – § 356a BGB

Wie lange

6 Jahre ab Jahresende

Über „Withdraw from contract“ kannst du einen Vertrag online widerrufen. Gespeichert werden dein Name, deine E-Mail-Adresse, die Bestellnummer, ob der Widerruf die ganze Bestellung oder einzelne Produkte betrifft, die Sprache der Seite, Datum und Uhrzeit des Eingangs und – falls du eine schreibst – deine Nachricht. An die angegebene Adresse geht sofort eine Eingangsbestätigung mit diesen Angaben, die Werkstatt bekommt eine Mail dazu. Passen Bestellnummer und E-Mail-Adresse zu einer Bestellung, wird der Widerruf dort vermerkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB, der die Funktion und die Eingangsbestätigung vorschreibt.

Die Widerrufserklärung ist ein Geschäftsbrief und bleibt wie ihre Eingangsbestätigung 6 Jahre gespeichert, gerechnet ab dem Ende des Jahres, in dem sie eingegangen ist (§ 147 AO, § 257 HGB). So lange wird sie auch auf eine Löschanfrage hin nicht gelöscht.

12Bewertungen

Bitte um Bewertung

einmal nach dem Versand; Widerspruch jederzeit

Veröffentlicht

Sterne, Text, Foto ohne Metadaten, Name nur wenn angegeben

Rechtsgrundlage

Anfrage: Art. 6 Abs. 1 lit. f DSGVO – § 7 Abs. 3 UWG
Veröffentlichung: Art. 6 Abs. 1 lit. a DSGVO – Einwilligung

Etsy-Bewertungen

öffentliche Bewertungen aus dem Etsy-Shop, ohne Namen

Nach dem Versand kann an die bei der Bestellung angegebene E-Mail-Adresse einmal eine Bitte um eine Bewertung gehen. Das ist nach § 7 Abs. 3 UWG zulässig, solange du nicht widersprochen hast; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an Rückmeldungen zu den eigenen Stücken. Widersprechen kannst du jederzeit, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen: an der Kasse, über den Link in jeder solchen Mail oder formlos per Mail. Der Widerspruch wird zu deiner E-Mail-Adresse gespeichert und gilt für alle Bestellungen; er bleibt bestehen, damit er auch künftig beachtet wird.

Im Bewertungsformular gibst du Sterne und freiwillig einen Text, einen Namen und ein Foto an. Aus dem Foto werden vor dem Speichern alle eingebetteten Angaben wie Aufnahmeort und Kamera entfernt. Die Werkstatt erhält eine Mail über die neue Bewertung und liest sie, bevor sie erscheint; abgelehnt wird nur, was rechtswidrig, beleidigend oder erkennbar nicht zu dieser Bestellung ist. Veröffentlicht werden Sterne, Text, Foto und – wenn du einen angibst – der Name, sonst erscheint die Bewertung ohne Namen. Rechtsgrundlage für die Veröffentlichung ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du im Formular erteilst. Widerrufst du sie, wird die Bewertung mitsamt Foto gelöscht.

Neben den eigenen zeigt der Shop Bewertungen, die Käufer im Etsy-Shop von Wood & Riot öffentlich abgegeben haben. Übernommen werden Sterne, Text, Datum, das bewertete Stück und ein Foto, wenn eines dabei ist – ohne den Namen der Person. Die Fotos werden auf den Server des Shops kopiert, nicht bei Etsy nachgeladen. Entfernt jemand seine Bewertung oder ihr Foto bei Etsy, verschwindet sie auch hier. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, Kaufinteressierten die Erfahrungen früherer Käufer zu zeigen. Du kannst dem widersprechen; die Bewertung wird dann hier nicht mehr gezeigt. Von Bestellungen über Etsy übernimmt der Shop nur Land, Betrag und Artikel, um den Bestand abzugleichen, keine Namen oder Anschriften.

14Motivwunsch

Was

Motiv, Begründung, Sprache; E-Mail-Adresse freiwillig

Wofür

Rückfrage oder Antwort – keine Werbung

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse

Wie lange

6 Monate nach Erledigung

Unter den Bildern einer Art kannst du dir ein Motiv wünschen, das es hier noch nicht gibt. Gespeichert wird das gewünschte Motiv, eine Begründung, wenn du eine schreibst, die Sprache der Seite und – falls du sie angibst – deine E-Mail-Adresse. Die Adresse ist freiwillig und dient allein einer Rückfrage oder Antwort; Werbung wird an sie nicht verschickt, und du trägst dich damit in keinen Verteiler ein. Rechtsgrundlage ist das berechtigte Interesse, deinen Wunsch zu beantworten, nach Art. 6 Abs. 1 lit. f DSGVO.

Ein Wunsch, der erledigt oder abgelehnt ist, wird nach sechs Monaten gelöscht, mitsamt der Adresse. Offene Wünsche bleiben, bis über sie entschieden ist. Du kannst jederzeit formlos per Mail verlangen, dass dein Wunsch gelöscht wird.

15Kontaktformular

Was

Name, E-Mail-Adresse, Thema, Nachricht, Sprache; Bestellnummer freiwillig

Wofür

Beantwortung; geht zusätzlich als Mail an die Werkstatt

Rechtsgrundlage

Zu einer Bestellung: Art. 6 Abs. 1 lit. b DSGVO – Vertrag
Sonst: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse

Wie lange

1 Jahr nach Erledigung

Über das Kontaktformular kannst du schreiben, ohne ein Mailprogramm zu benutzen. Gespeichert werden dein Name, deine E-Mail-Adresse, das gewählte Thema, der Nachrichtentext, die Sprache der Seite und – falls du eine angibst – die Bestellnummer. Die Nachricht geht zusätzlich als Mail an die Werkstatt; deine Adresse steht darin als Antwortadresse, damit die Antwort dich erreicht. Rechtsgrundlage ist bei Fragen zu einer Bestellung Art. 6 Abs. 1 lit. b DSGVO, sonst das berechtigte Interesse an der Beantwortung deiner Anfrage nach Art. 6 Abs. 1 lit. f DSGVO.

Eine erledigte Anfrage wird nach einem Jahr gelöscht, mitsamt Name und Adresse. Offene Anfragen bleiben, bis sie beantwortet sind. Du kannst jederzeit formlos per Mail verlangen, dass deine Nachricht gelöscht wird.

17Speicherdauer

1. 60 Min. Zähler der Formulare je IP-Adresse
2. 3 Tage Unbestätigte Benachrichtigungen bei Verfügbarkeit
3. 30 Tage Server-Protokolle, Fehlerprotokoll, gescheiterte Aufgaben, abgebrochene Bestellungen
4. 90 Tage Fehler in GlitchTip
5. 6 Monate Erledigte Motivwünsche
6. 1 Jahr Erledigte Kontaktanfragen, bestätigte Benachrichtigungen (höchstens), übrige Mails wie die Bitte um eine Bewertung
7. 740 Tage Seitenaufrufe, ohne Bezug zu Personen
8. 2 Jahre und 6 Monate Ältestes Backup – so lange steckt Gelöschtes noch darin
9. 6 Jahre Geschäftsbriefe und Widerrufserklärungen, ab Jahresende
10. 10 Jahre Bestellungen, ab Jahresende – danach anonym

Bestellungen unterliegen samt Rechnung handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB). Nach 10 Jahren, gerechnet ab dem Ende des Jahres der Bestellung, werden Name, Anschrift, E-Mail-Adresse, Telefonnummer und Notizen automatisch gelöscht; übrig bleiben nur Beträge, bestellte Stücke und Lieferland, ohne Bezug zu deiner Person. Wie lange alles andere bleibt, steht jeweils im Abschnitt dazu.

Zum Schutz vor Datenverlust werden Datenbank und Dateien täglich verschlüsselt gesichert. Die Backups der letzten Wochen bleiben vollständig erhalten, danach je eines pro Woche, pro Monat und schließlich pro Jahr; das älteste ist höchstens 2 Jahre und 6 Monate alt, danach wird es automatisch gelöscht. So lange bleiben Daten in den Backups erhalten, auch nachdem sie im laufenden System gelöscht wurden. Genutzt werden die Backups allein, um den Shop nach einem Ausfall wiederherzustellen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Verwahrt werden die Backups bei ALL-INKL.COM - Neue Medien Münnich, Friedersdorf, Deutschland, ebenfalls im Auftrag und nach Weisung auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

18Deine Rechte

Kostenlos und jederzeit – eine formlose Mail an info@woodandriot.de genügt.

Du kannst jederzeit und kostenlos Auskunft über die zu dir gespeicherten Daten verlangen (Art. 15 DSGVO) sowie deren Berichtigung (Art. 16), Löschung (Art. 17), die Einschränkung der Verarbeitung (Art. 18) und die Herausgabe in einem übertragbaren Format (Art. 20). Gegen eine Verarbeitung, die auf berechtigtem Interesse beruht, kannst du Widerspruch einlegen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); was bis dahin geschehen ist, bleibt davon unberührt.

Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Eine kurze Nachricht vorab spart in den meisten Fällen allen Beteiligten Zeit.

19Minderjährige und Datenpannen

Der Shop richtet sich nicht an Kinder. Bestellungen von Personen unter 16 Jahren bedürfen der Zustimmung der Erziehungsberechtigten.

Gelangen deine Daten trotz aller Sorgfalt unbefugt an Dritte, werden du und die zuständige Aufsichtsbehörde nach Maßgabe der Art. 33 und 34 DSGVO unverzüglich informiert.

A–ZGlossar

Anonymisierung

Daten werden so verändert, dass sie keiner Person mehr zuzuordnen sind. Anonyme Daten fallen nicht unter die DSGVO.

Aufsichtsbehörde

Die staatliche Stelle, die überwacht, ob Unternehmen den Datenschutz einhalten, und bei der du dich beschweren kannst.

Auftragsverarbeitung

Ein Dienstleister – etwa der Hoster – verarbeitet Daten nur im Auftrag und nach Weisung des Shops, vertraglich gebunden nach Art. 28 DSGVO. Er darf sie nicht für eigene Zwecke nutzen.

BCR

Binding Corporate Rules – verbindliche interne Datenschutzvorschriften eines Konzerns, von einer Aufsichtsbehörde genehmigt (Art. 47 DSGVO).

Backup

Eine Sicherheitskopie von Datenbank und Dateien, um den Shop nach einem Ausfall wiederherzustellen.

Berechtigtes Interesse

Art. 6 Abs. 1 lit. f DSGVO: Eine Verarbeitung ist erlaubt, wenn der Shop einen nachvollziehbaren Grund hat und deine Interessen nicht überwiegen. Du kannst widersprechen (Art. 21).

Cookie

Eine kleine Textdatei, die eine Website in deinem Browser ablegt und beim nächsten Aufruf zurückbekommt.

Data Privacy Framework

Abkommen zwischen EU und USA. Zertifizierte US-Unternehmen gelten als ausreichend sicher für Daten aus der EU.

Double-Opt-in

Du trägst dich ein und bestätigst danach per Link in einer Mail. Erst dann gilt die Anmeldung – so kann niemand fremde Adressen eintragen.

Drittland

Jedes Land außerhalb der EU und des EWR. Dorthin dürfen Daten nur mit besonderen Garantien gehen.

Einwilligung

Art. 6 Abs. 1 lit. a DSGVO: Du stimmst ausdrücklich zu. Du kannst jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3).

Honeypot

Ein unsichtbares Formularfeld. Menschen sehen es nicht, Programme füllen es aus – so erkennt der Shop automatisierte Anfragen.

IP-Adresse

Die Nummer, unter der dein Gerät im Internet erreichbar ist. Über deinen Internetanbieter lässt sie sich einer Person zuordnen.

Metadaten (EXIF)

Angaben, die Kameras und Handys in ein Foto schreiben, etwa Aufnahmeort und Gerät.

Rechtliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO: Ein Gesetz verlangt die Verarbeitung, etwa die Aufbewahrung von Rechnungen nach § 147 AO.

Standardvertragsklauseln

Von der EU-Kommission vorgegebene Vertragsklauseln für Übermittlungen in Drittländer (Art. 46 DSGVO).

TDDDG

Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. § 25 regelt, wann etwas auf deinem Gerät gespeichert werden darf; technisch Notwendiges braucht keine Einwilligung.

Vertragserfüllung

Art. 6 Abs. 1 lit. b DSGVO: Die Daten werden gebraucht, um deine Bestellung auszuführen.

Widerspruch

Art. 21 DSGVO: Du verlangst, dass eine Verarbeitung aufgrund berechtigten Interesses endet – bei Werbung ohne Begründung.