Datenschutzerklärung

1. Verantwortlicher

Vanessa Geske, Van's DIY & Bastelbedarf, Von-Arnim-Str. 40, 17309 Rollwitz, [email protected]

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist, auf Grundlage der Art. 6 Abs. 1 lit. a, b und f DSGVO.

3. Hosting

Diese Website wird auf einem eigenen Server der netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland) im Rechenzentrum Nürnberg betrieben; mit netcup besteht ein Vertrag zur Auftragsverarbeitung. Die personenbezogenen Daten, die auf dieser Website erfasst werden, werden dort auf dem Server gespeichert. Dem Server vorgeschaltet ist als Content-Delivery-Network und Schutz vor Überlastungsangriffen Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, USA); dabei werden technisch notwendige Daten (u. a. IP-Adresse, Zeitstempel, aufgerufene URL) auch von Cloudflare verarbeitet. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen, abgesichert über die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Näheres: cloudflare.com/privacypolicy.

4. Bestellabwicklung

Zur Abwicklung deiner Bestellung erheben und verarbeiten wir personenbezogene Daten, wenn dies zur Erfüllung des Vertrags erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO). Dazu gehören Name, Anschrift, E-Mail-Adresse und Zahlungsdaten. Die Daten werden ausschließlich zur Vertragsabwicklung genutzt. Die interne Benachrichtigung über eine neue Bestellung wird über den E-Mail-Versanddienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) verschickt, der dabei technisch als Auftragsverarbeiter die für diese eine Nachricht nötigen Bestelldaten verarbeitet; Resend ist nach dem EU-US Data Privacy Framework zertifiziert.

5. Zahlungsdienstleister

Bei Zahlung per PayPal geben wir die für die Zahlungsabwicklung erforderlichen Daten (u. a. Name, Anschrift, Bestellsumme) an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg, weiter. PayPal verarbeitet diese Daten teilweise auch in den USA über die Muttergesellschaft PayPal, Inc.; PayPal ist nach dem EU-US Data Privacy Framework zertifiziert, das ein angemessenes Datenschutzniveau sicherstellt. Es gelten zusätzlich PayPals eigene Datenschutzhinweise (paypal.com/de/webapps/mpp/ua/privacy-full). Bei Banküberweisung werden Daten an unser kontoführendes Kreditinstitut übermittelt.

6. Kundenkonto

Für ein Kundenkonto kannst du dich entweder mit einem eigenen Passwort anmelden oder über ein bestehendes Google- oder PayPal-Konto (OAuth 2.0 / OpenID Connect). Wählst du ein eigenes Passwort, speichern wir es nicht im Klartext, sondern nur als nicht zurückrechenbaren Prüfwert (scrypt mit Zufallssalz) — es lässt sich daraus nicht wiederherstellen, sondern nur neu setzen. Meldest du dich über Google oder PayPal an, ist bei uns gar kein Passwort gespeichert. Beim ersten Login übermitteln uns Google bzw. PayPal deine E-Mail-Adresse, deinen Namen und eine eindeutige, anbieterseitige Kennung; wir speichern diese Angaben zusammen mit dem Anmeldezeitpunkt in unserer Datenbank auf dem eigenen Server (siehe Punkt 3), um dich bei künftigen Besuchen wiederzuerkennen. Die Verarbeitung erfolgt auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags für das Kundenkonto) sowie deiner Einwilligung durch den aktiven Klick auf den jeweiligen Anmelde-Button (Art. 6 Abs. 1 lit. a DSGVO). Verantwortlich für die Verarbeitung deiner Daten bei Google ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; die Muttergesellschaft Google LLC (USA) ist nach unserer Kenntnis nach dem EU-US Data Privacy Framework zertifiziert, das ein angemessenes Datenschutzniveau sicherstellt. Für PayPal gelten dieselben Angaben wie unter Punkt 5 (PayPal (Europe) S.à r.l. et Cie, S.C.A., DPF-Zertifizierung der US-Muttergesellschaft). Es gelten zusätzlich die jeweiligen Datenschutzhinweise von Google (policies.google.com/privacy) bzw. PayPal (paypal.com/de/webapps/mpp/ua/privacy-full). Du kannst dein Kundenkonto jederzeit selbst und ohne Rückfrage in deinem Kontobereich unwiderruflich löschen (Art. 17 DSGVO) oder deine gespeicherten Kontodaten als Datei herunterladen (Art. 15, 20 DSGVO); bereits aufgegebene Bestellungen bleiben davon unberührt, da für sie eigenständige, gesetzliche Aufbewahrungspflichten gelten (siehe Punkt 10).

7. Kontaktformular

Wenn du uns über das Kontaktformular oder per E-Mail Anfragen zukommen lässt, werden deine Angaben aus dem Anfrageformular inklusive der von dir dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Die Verarbeitung dieser Daten erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw., sofern die Anfrage der Anbahnung eines Vertrags dient, auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an die oben genannte Adresse.

8. Newsletter Maschenpost

Was wir speichern: Wenn du die Maschenpost abonnierst, speichern wir deine E-Mail-Adresse und — falls du ihn angibst — deinen Vornamen. Freiwillig kannst du angeben, welche Themen dich interessieren (Plüschtiere, Schmuck, Zubehör, Mystery-Pakete); daran richten wir aus, welche Ausgaben du bekommst. Dazu speichern wir die Sprache der Seite, auf der du dich eingetragen hast, und die Stelle, an der du es getan hast (zum Beispiel Fußbereich, Startseite, Kasse oder Kundenkonto).

Deine IP-Adresse speichern wir nicht. Zum Schutz vor automatisierten Masseneintragungen zählen wir für kurze Zeit mit, wie viele Anmeldungen von einem Internetanschluss kommen. Diese Zählung liegt ausschließlich im Arbeitsspeicher, wird nach einer Stunde vergessen und landet in keiner Datenbank. Schlägt der Schutz an, notiert das Serverprotokoll den Netzanteil der Adresse (zum Beispiel 203.0.113.x) — damit wir erkennen können, ob ein Ansturm aus einem einzigen Netz kommt. Welcher Anschluss darin es war, wird nicht aufgeschrieben.

Bestätigung in zwei Schritten (Double-Opt-in): Nach dem Eintragen bekommst du eine Mail mit einem Link. Erst wenn du darauf klickst, bist du angemeldet und wir dürfen dir schreiben. Klickst du nicht, löschen wir deine Eintragung nach 14 Tagen von selbst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und, für die werbliche Nutzung, § 7 Abs. 2 Nr. 3 UWG.

Nachweis der Einwilligung: Damit wir belegen können, dass die Einwilligung wirklich von dir kam, halten wir fest, wann du dich eingetragen hast, wann du bestätigt hast, an welcher Stelle der Seite das war und welchem Satz du zugestimmt hast. Dieser Wortlaut wird bei uns am Server gespeichert und nicht aus dem Browser übernommen, damit er sich nicht nachträglich verändern lässt. Diese Vermerke können nur ergänzt, nicht geändert oder gelöscht werden.

Versanddienstleister: Den Versand übernimmt für uns die Plus Five Five, Inc., die unter dem Namen Resend auftritt, 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiterin auf Grundlage eines Vertrags nach Art. 28 DSGVO. Dabei werden deine E-Mail-Adresse und der Inhalt der Mail in die USA übermittelt und dort gespeichert. Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil dieses Vertrags sind; zusätzlich ist das Unternehmen nach dem EU-US Data Privacy Framework zertifiziert. Resend meldet uns zurück, ob eine Mail zugestellt wurde, nicht zugestellt werden konnte oder als Spam gemeldet wurde — das brauchen wir, damit wir an dauerhaft nicht erreichbare Adressen nicht weiter schreiben.

Was wir messen, und was das wert ist: Wir wollen wissen, welche Themen in der Maschenpost ankommen — nicht, was einzelne Menschen tun.

Klicks: Die Links auf Artikel und Themen in der Mail führen über eine Zwischenadresse auf unserem eigenen Server. Dabei halten wir fest, welches Ziel angeklickt wurde und wann. Nach zwölf Monaten fassen wir diese Einträge zu Monatssummen zusammen; die Verbindung zu deiner Mail und damit zu dir fällt dabei weg. Die Links zum Abmelden und zu deinen Einstellungen laufen ausdrücklich nicht über diese Messung.

Öffnungen messen wir nicht. In unseren Mails ist kein unsichtbares Zählbild. Wir erfahren also nicht, ob und wann du eine Ausgabe aufgemacht hast. Eine solche Messung wäre ohnehin wenig wert — wer Bilder blockiert, würde nie gezählt, wer sie automatisch vorab lädt, würde gezählt, ohne etwas gelesen zu haben — und wir haben uns entschieden, sie deshalb ganz zu lassen.

Keine Profile: Wir legen keine Besucherprofile an, verknüpfen die Maschenpost nicht mit Werbenetzwerken und geben die Daten an niemanden weiter außer an den oben genannten Versanddienstleister.

Abmelden, jederzeit und in einem Klick: Am Ende jeder Ausgabe steht ein Abmeldelink. Er wirkt sofort, ohne Anmeldung, ohne Nachfrage und ohne Begründung. Zusätzlich enthält jede Mail die technischen Abmeldeangaben nach RFC 8058, sodass Gmail, Outlook und andere Programme einen eigenen Abmelden-Knopf anzeigen können. Über denselben Weg kannst du auch nur deine Themen ändern, statt ganz zu gehen. Wenn du ein Kundenkonto hast, findest du den Schalter außerdem dort.

Was nach einer Abmeldung passiert: Wir löschen deine Eintragung und bewahren nur den Vermerk auf, dass und wann eine Abmeldung erfolgt ist — ohne ihn könnten wir nicht belegen, dass wir dich zu Recht nicht mehr anschreiben. Hast du uns als Spam gemeldet, merken wir uns zusätzlich eine Einwegprüfsumme (SHA-256) deiner Adresse, damit du auch dann nichts mehr bekommst, wenn jemand deine Adresse erneut einträgt. Aus dieser Prüfsumme lässt sich deine Adresse nicht zurückrechnen; sie dient ausschließlich diesem Abgleich.

Gutschein zum Start: Nach der Bestätigung bekommst du den Code MASCHE10 (10 % Rabatt, 14 Tage gültig, einmal je Person, nicht auf reduzierte Artikel). Dass er benutzt wurde, entnehmen wir deiner Bestellung — wir führen darüber keine zweite Liste.

Deine Rechte: Du kannst jederzeit Auskunft über die zu dir gespeicherten Daten verlangen, sie berichtigen oder löschen lassen und deine Einwilligung widerrufen. Die Einzelheiten stehen weiter unten im Abschnitt zu deinen Rechten. Löschst du dein Kundenkonto, melden wir dich automatisch auch von der Maschenpost ab.

Sprache: Die Maschenpost erscheint derzeit nur auf Deutsch. Anmelden kannst du dich auf allen Sprachfassungen des Shops; die Bestätigungsmail und die Seiten zum Abmelden und zu deinen Einstellungen bekommst du in der Sprache, in der du dich eingetragen hast.

9. Cookies

Diese Website verwendet ausschließlich technisch notwendige Cookies zur Bereitstellung des Warenkorbs sowie — sofern du dich anmeldest — zur Aufrechterhaltung deiner Anmeldesitzung (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Diese Cookies sind für den Betrieb der Website zwingend erforderlich und bedürfen daher keiner Einwilligung. Nicht technisch notwendige Cookies (z. B. für Statistik oder Marketing) setzen wir nicht ein.

10. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen die Verarbeitung deiner personenbezogenen Daten (Art. 21 DSGVO). Soweit die Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

11. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtlich) dies vorschreiben. Dein Kundenkonto bleibt bestehen, bis du es selbst löschst; bereits aufgegebene Bestellungen werden davon unabhängig aufgrund handels- und steuerrechtlicher Aufbewahrungsfristen (§ 257 HGB, § 147 AO) für die gesetzlich vorgeschriebene Dauer weitergespeichert.

Newsletter: bis zum Widerruf. Nicht bestätigte Eintragungen werden nach 14 Tagen von selbst gelöscht. Einzelne Klickdaten werden nach zwölf Monaten zu Monatssummen zusammengefasst, danach sind sie keiner Person mehr zuzuordnen. Nachweise über Ein- und Austragungen bleiben zum Nachweis der Rechtmäßigkeit erhalten.