Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten auf pafory.com ist:

YUNIQU GmbH
Fuchseckstraße 7
70188 Stuttgart
Deutschland
Vertreten durch den Geschäftsführer Alexandr Cernomoret
E-Mail: [email protected]

2. Überblick

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage das erlaubt. Die wichtigsten sind:

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): alles, was wir brauchen, um deine Bestellung oder Mitgliedschaft abzuwickeln.
• Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): zum Beispiel die Aufbewahrung von Rechnungen nach Steuer- und Handelsrecht.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): zum Beispiel der sichere Betrieb der Website oder der Schutz vor Betrug. Hier wägen wir unser Interesse gegen deines ab. Du kannst jederzeit widersprechen (Abschnitt 22).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): zum Beispiel für Statistik- und Marketing-Cookies oder den Newsletter. Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Für das Speichern von Informationen auf deinem Gerät und das Auslesen von Informationen aus deinem Gerät gilt zusätzlich § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Das ist ohne deine Einwilligung nur erlaubt, wenn es für den von dir gewünschten Dienst unbedingt erforderlich ist.

3. Hosting, Auslieferung und Server-Logfiles

Hosting. Unsere Website, unser Shopsystem und alle unsere Server werden bei der Hetzner Online GmbH, Gunzenhausen, Deutschland, auf Cloud-Servern in Deutschland betrieben. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Cloudflare. Der Datenverkehr zu pafory.com und unseren Subdomains läuft über das Netzwerk der Cloudflare, Inc., San Francisco, USA. Cloudflare schützt die Website vor Angriffen, beschleunigt die Auslieferung und ermittelt aus deiner IP-Adresse dein Land, damit wir dir passende Sprache, Preise und Lieferländer anzeigen können. Dabei verarbeitet Cloudflare deine IP-Adresse, technische Angaben zu deinem Browser und die aufgerufenen Adressen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

Länderbestimmung. Fehlt die Länderangabe von Cloudflare, ermitteln wir dein Land anhand deiner IP-Adresse über die Datenbank GeoLite2 der MaxMind, Inc., USA.

Server-Logfiles. Bei jedem Aufruf speichern unsere Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und -version sowie Betriebssystem. Wir brauchen diese Daten, um die Website auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen diese Logfiles nach 14 Tagen.

4. Cookies, lokale Speicherung und Einwilligungsverwaltung

Was Cookies sind. Cookies sind kleine Textdateien, die dein Browser speichert. Ähnlich funktionieren der lokale Speicher (localStorage) und der Sitzungsspeicher (sessionStorage) deines Browsers. Wir nennen das hier zusammen "Cookies".

Cookiebot. Wir nutzen das Einwilligungs-Tool Cookiebot der Usercentrics A/S, Kopenhagen, Dänemark. Beim ersten Besuch fragt Cookiebot, welchen Kategorien du zustimmst:

• Notwendig: immer aktiv, weil die Website sonst nicht funktioniert, zum Beispiel Warenkorb, Anmeldung und Sicherheit.
• Präferenzen: speichern Einstellungen wie deine Sprache.
• Statistik: helfen uns zu verstehen, wie die Website genutzt wird.
• Marketing: messen den Erfolg unserer Werbung und zeigen dir passende Werbung.

Cookiebot speichert deine Auswahl im Cookie CookieConsent für 12 Monate und protokolliert die Einwilligung mit gekürzter IP-Adresse, Zeitpunkt und Browserangaben. Rechtsgrundlage ist unsere rechtliche Pflicht, Einwilligungen nachweisen zu können (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Du kannst deine Auswahl jederzeit über den Link "Cookie-Einstellungen" im Footer ändern.

Google Consent Mode. Wir setzen den Google Consent Mode ein. Ohne deine Einwilligung stehen alle Speicher-Signale auf "abgelehnt". Google-Dienste werden dann nicht geladen und setzen keine Cookies.

Google Tag Manager. Wir steuern die Einbindung von Statistik- und Marketing-Diensten über den Google Tag Manager der Google Ireland Limited, Dublin, Irland. Der Tag Manager selbst setzt keine Cookies. Er lädt die anderen Dienste nur entsprechend deiner Einwilligung. Beim Laden des Tag Managers wird deine IP-Adresse an Google übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an einer geordneten Verwaltung dieser Dienste (Art. 6 Abs. 1 lit. f DSGVO).

Server-seitiger Tag Manager. Einen Teil der Messdaten (Google Analytics, Meta) senden wir zuerst an unseren eigenen Server unter sgtm.pafory.com. Er wird in unserem Auftrag von der Stape Europe OÜ, Tallinn, Estland, auf Servern in Frankreich betrieben. Dort entfernen oder kürzen wir Daten, bevor sie an Google oder Meta weitergehen. Das passiert nur, wenn du der jeweiligen Kategorie zugestimmt hast. Der Server setzt die Cookies FPID, FPLC und FPGSID.

Eine Übersicht unserer eigenen Cookies findest du im Anhang, alle Cookies mit Speicherdauer in den Cookie-Einstellungen.

5. Kundenkonto und Anmeldung

Registrierung. Für eine Mitgliedschaft legst du ein Kundenkonto an. Wir speichern E-Mail-Adresse, Passwort (nur verschlüsselt), Name und die Adressen, die du angibst, sowie freiwillig Geschlecht und Geburtsdatum. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung. Bei jeder Anmeldung speichern wir Zeitpunkt, IP-Adresse, Browserangaben und eine Gerätekennung (Abschnitt 8), um dein Konto vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die Anmeldung wird im Cookie __Secure-next-auth.session-token für bis zu 30 Tage gespeichert.

Anmeldung mit Google oder Facebook. Du kannst dich auch mit deinem Google- oder Facebook-Konto anmelden. Dann erhalten wir vom jeweiligen Anbieter deinen Namen, deine E-Mail-Adresse und eine Kennung. Der Anbieter erfährt, dass du dich bei uns anmeldest. Anbieter sind die Google Ireland Limited, Dublin, Irland, und die Meta Platforms Ireland Limited, Dublin, Irland. Rechtsgrundlage ist deine Einwilligung, die du durch Klick auf den Button gibst (Art. 6 Abs. 1 lit. a DSGVO). Für die Verarbeitung bei Google und Meta gelten deren Datenschutzhinweise.

Konto-E-Mails. Bei Registrierung und Anmeldung übermitteln wir deine E-Mail-Adresse, Sprache und gegebenenfalls deinen Empfehlungscode an Klaviyo (Abschnitt 11), damit wir dir E-Mails zu deinem Konto und deiner Mitgliedschaft senden können (Art. 6 Abs. 1 lit. b DSGVO).

6. Bestellung, Mitgliedschaft und Vertragsabwicklung

Wenn du bestellst oder eine Mitgliedschaft abschließt, verarbeiten wir:

• Name, Rechnungs- und Lieferadresse, E-Mail-Adresse und Telefonnummer
• bestellte Produkte, Düfte in deiner Warteschlange, Preise und Gutscheincodes
• Zahlungsart und Zahlungsstatus (keine vollständigen Kartendaten, siehe Abschnitt 7)
• Status deiner Mitgliedschaft, Abbuchungstermine, Pausen und Kündigungen
• bei Kündigungen deinen Kündigungsgrund und freiwillige Anmerkungen
• bei Geschenk-Mitgliedschaften und Gutscheinen Name, E-Mail-Adresse und Nachricht für die beschenkte Person

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Kündigungsgründe werten wir aus, um unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Herkunft der Bestellung. Mit deiner Einwilligung in der Kategorie Marketing speichern wir zu deiner Bestellung, über welche Werbung oder welchen Link du zu uns gekommen bist: Kampagnenparameter wie utm_source, Klick-Kennungen von Werbeplattformen wie gclid oder fbclid, die Einstiegsseite sowie einen Empfehlungs- oder Creator-Code (Abschnitt 15). Ohne Einwilligung speichern wir diese Angaben nicht. Einen Creator- oder Gutscheincode, den du selbst eingibst, speichern wir immer, weil davon dein Rabatt und die Vergütung des Creators abhängen (Art. 6 Abs. 1 lit. b und f DSGVO).

Systeme. Bestellungen und Kundenkonten verwalten wir in unserem Shopsystem und in unserer eigenen Datenbank, beides auf Servern in Deutschland (Abschnitt 3). Für Warenwirtschaft, Versandabwicklung, Versandbestätigungen und Buchhaltung nutzen wir weclapp der weclapp SE, Frankfurt am Main, mit Rechenzentrum in Frankfurt. weclapp erhält dazu deinen Namen, deine Adressen, deine E-Mail-Adresse, deine Telefonnummer und die bestellten Produkte. Für Auswertungen unserer Bestellungen nutzen wir Metorik der UJU Pty Ltd, Australien. Metorik speichert die Daten auf Servern in den USA. Für die Übermittlung haben wir Standardvertragsklauseln abgeschlossen.

Gespeichertes Formular. Damit deine Eingaben im Bestellformular nicht verloren gehen, wenn du die Seite neu lädst, speichern wir sie im lokalen Speicher deines Browsers (pcfdk_v1) für höchstens 24 Stunden. Nach Abschluss der Bestellung löschen wir sie dort sofort.

7. Zahlungsdienstleister

Je nach gewählter Zahlungsart geben wir die für die Zahlung nötigen Daten (Name, Adresse, E-Mail-Adresse, Betrag, Bestellnummer) an den jeweiligen Zahlungsdienstleister weiter. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO). Die Zahlungsdienstleister sind für ihre Verarbeitung selbst verantwortlich.

• Kreditkarte (Braintree). Kartendaten gibst du in Eingabefelder ein, die direkt von Braintree geladen werden. Sie gelangen nicht auf unsere Server. Braintree speichert die Karte für wiederkehrende Zahlungen und gibt uns nur Kartentyp, die letzten vier Ziffern und das Ablaufdatum. Für die Sicherheitsprüfung 3-D Secure und zur Betrugserkennung erhebt Braintree Gerätedaten. Anbieter: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg.
• PayPal. Anbieter: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg.
• Amazon Pay. Amazon übermittelt uns Name, E-Mail-Adresse, Telefonnummer und Rechnungsadresse. Anbieter: Amazon Payments Europe S.C.A., Luxemburg.
• Klarna. Klarna erhält zusätzlich deine IP-Adresse, Browserangaben, eine Gerätekennung und deine Kundennummer, um Betrug zu verhindern. Je nach Zahlungsart prüft Klarna deine Identität und Bonität und kann dazu Auskunfteien abfragen. Welche Klarna-Zahlarten dir angeboten werden, entscheidet Klarna. Anbieter: Klarna Bank AB (publ), Stockholm, Schweden.

Prüfung von Zahlungsmitteln. Wenn du ein neues Zahlungsmittel hinterlegst, prüft der Zahlungsdienstleister es, ohne einen Betrag einzuziehen.

8. Betrugsprävention und Sicherheit

Gerätekennung. Um Konten und Zahlungen vor Missbrauch zu schützen, etwa vor dem mehrfachen Anlegen von Konten für Einführungsangebote oder vor Kartenbetrug, berechnen wir bei Anmeldung, Registrierung und Bestellung aus technischen Merkmalen deines Browsers eine Kennung (Gerätetyp, Bildschirm, Zeitzone, Spracheinstellungen und Ähnliches). Wir senden sie zusammen mit deiner IP-Adresse an unseren Server und bei Zahlung mit Klarna an Klarna. Rechtsgrundlage ist unser berechtigtes Interesse an der Verhinderung von Betrug (Art. 6 Abs. 1 lit. f DSGVO).

Google reCAPTCHA. Bei Kartenzahlung und im Kündigungsformular nutzen wir Google reCAPTCHA der Google Ireland Limited, um automatisierte Angriffe zu erkennen. reCAPTCHA wertet dein Verhalten auf der Seite und Browserangaben aus und überträgt dazu Daten, auch deine IP-Adresse, an Google. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Ländersperre. Aus einigen Ländern ist unser Shop zum Schutz vor Betrug nicht erreichbar. Dazu prüfen wir deine IP-Adresse beim Aufruf.

9. Versand

Wir versenden aus unserem Lager. Für die Zustellung geben wir deinen Namen und deine Lieferadresse an das Versandunternehmen weiter, das deine Sendung zustellt (Art. 6 Abs. 1 lit. b DSGVO). Wir arbeiten mit der DHL Paket GmbH, Bonn, Deutschland, und mit Asendia zusammen. Die Versandbestätigung senden wir über weclapp (Abschnitt 6). Den Versandstatus rufen wir über unseren eigenen Dienst unter api.pafory.com ab.

10. Kundenservice und Kontakt

E-Mail und Hilfe-Center. Wenn du uns schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst lit. f). Für E-Mail-Anfragen und unser Hilfe-Center unter support.pafory.com nutzen wir Help Scout der Help Scout PBC, Boston, USA. Die Übersetzung des Hilfe-Centers erfolgt über Weglot (Weglot SAS, Paris, Frankreich). Das Hilfe-Fenster von Help Scout auf unserer Website laden wir nur mit deiner Einwilligung in der Kategorie Präferenzen. Help Scout erhält dann deine IP-Adresse und Browserangaben. Help Scout ist unter dem EU-US Data Privacy Framework zertifiziert.

Kündigungsformular. Name, E-Mail-Adresse und Kündigungsgründe aus dem Kündigungsformular verarbeiten wir zur Durchführung der Kündigung (Art. 6 Abs. 1 lit. b und c DSGVO). Das Formular sendet über unseren eigenen Mailserver.

11. Newsletter und E-Mail

Newsletter. Wenn du unseren Newsletter abonnierst, senden wir dir Informationen zu Düften, Angeboten und Neuigkeiten. Wir brauchen dafür nur deine E-Mail-Adresse. Nach der Anmeldung erhältst du eine E-Mail, in der du die Anmeldung bestätigst (Double-Opt-in). Wir speichern Zeitpunkt der Anmeldung und Bestätigung sowie die IP-Adresse als Nachweis. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst den Newsletter jederzeit über den Link in jeder E-Mail abbestellen.

E-Mails an Kunden. Wenn du bei uns gekauft hast, können wir dir E-Mails zu eigenen ähnlichen Produkten senden, solange du nicht widersprichst (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen, zum Beispiel über den Link in jeder E-Mail. Dafür entstehen dir nur die Übermittlungskosten nach Basistarif.

Adventskalender-Warteliste. Wenn du dich für die Warteliste einträgst, informieren wir dich per E-Mail über den Verkaufsstart. Rechtsgrundlage ist deine Einwilligung.

Klaviyo. Für den Versand und die Auswertung unserer E-Mails nutzen wir Klaviyo der Klaviyo, Inc., Boston, USA. Das gilt für Newsletter und für E-Mails zu deinem Vertrag, zum Beispiel Bestell- und Versandbestätigungen, Zahlungserinnerungen und Hinweise zu deiner Mitgliedschaft. Für vertragsbezogene E-Mails ist Rechtsgrundlage der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Klaviyo speichert dein Profil (E-Mail-Adresse, Name, Sprache, Land, gegebenenfalls Telefonnummer und Adresse), deine Bestellungen, Ereignisse wie das Hinzufügen zum Warenkorb, Ergebnisse aus dem Parfum-Finder, deinen Mitgliedsstatus und ob du unsere E-Mails öffnest und anklickst. Daraus bilden wir Zielgruppen, um dir passende E-Mails zu senden.

Auf unserer Website ist außerdem ein Skript von Klaviyo eingebunden, das Anmeldeformulare anzeigt und erkennt, welche Seiten du besuchst (Cookie __kla_id, 2 Jahre). Das Skript laden wir nur mit deiner Einwilligung in der Kategorie Marketing.

Klaviyo versendet E-Mails über den Dienst SendGrid der Twilio Inc., USA, und erfasst Klicks über unsere Subdomain trk.pafory.com. Klaviyo ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich haben wir Standardvertragsklauseln abgeschlossen.

12. Parfum-Finder

Im Parfum-Finder beantwortest du Fragen zu Duftvorlieben, Anlässen, Persönlichkeit, Geschlecht und Alter. Deine Antworten werden in deinem Browser gespeichert (pf-stepsV2, pf-results-steps) und zur Berechnung deiner Duftempfehlung an unseren eigenen Dienst unter api.pafory.com gesendet, ohne Name oder E-Mail-Adresse. Rechtsgrundlage ist die Durchführung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

Bist du angemeldet, speichern wir dein Ergebnis in deinem Profil und bei Klaviyo, um dir passende Duftempfehlungen in deinem Konto anzuzeigen. Duftempfehlungen per Newsletter senden wir dir nur, wenn du dem Newsletter zugestimmt hast.

13. Bewertungen

Wenn du ein Produkt bewertest, speichern wir die Bewertung in unserer eigenen Datenbank, prüfen sie von Hand und veröffentlichen sie mit deinem Vornamen, dem ersten Buchstaben deines Nachnamens und deinem Land auf der Produktseite. Wir speichern zusätzlich IP-Adresse und Browserangaben, um Missbrauch zu erkennen. Wenn wir deine Bewertung freigeben, informieren wir Klaviyo darüber (Abschnitt 11), um dir eine Bestätigung zu senden. Rechtsgrundlage ist deine Einwilligung durch das Absenden der Bewertung (Art. 6 Abs. 1 lit. a DSGVO) und unser berechtigtes Interesse an echten Bewertungen (Art. 6 Abs. 1 lit. f DSGVO).

Auf der Startseite und einigen Aktionsseiten zeigen wir außerdem Bewertungen, die über reviews.io gesammelt wurden (Abschnitt 17).

14. Statistik und Analyse (mit Einwilligung)

Die folgenden Dienste nutzen wir nur, wenn du in der Kategorie Statistik eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Google Analytics 4. Wir messen, wie Besucher unsere Website nutzen: aufgerufene Seiten, Verweildauer, Klicks, Gerät, ungefährer Standort, Herkunft des Besuchs und Käufe. Bist du angemeldet, verknüpfen wir die Daten bei Käufen mit deiner Kundennummer und deinem Mitgliedsstatus, um zu verstehen, wie Kunden über mehrere Geräte einkaufen. Anbieter ist die Google Ireland Limited, Dublin, Irland. Die Daten können an die Google LLC in den USA übertragen werden. Google ist unter dem EU-US Data Privacy Framework zertifiziert. Die Daten werden nach 14 Monaten gelöscht. Cookies: _ga, _ga_*, FPID.

Microsoft Clarity. Wir zeichnen auf, wie Besucher sich auf unseren Seiten bewegen (Mausbewegungen, Klicks, Scrollen), um Bedienprobleme zu finden. Eingaben in Formularfelder werden dabei ausgeblendet. Anbieter ist die Microsoft Ireland Operations Limited, Dublin, Irland. Daten können in die USA übertragen werden. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert. Cookies: _clck, _clsk.

Eigene Nutzungsanalyse (Besucherpfade). Wir werten selbst aus, über welche Seiten Besucher zu einem Kauf oder einer Mitgliedschaft kommen. Dazu erfassen wir Seitentyp, Sprache, Geräteklasse, ob du Mitglied bist, die Testvariante (siehe unten), Kampagnenparameter, die Domain der verweisenden Seite und ob eine Klick-Kennung einer Werbeplattform vorhanden war (nur ja oder nein). Auf der Bestellbestätigung erfassen wir zusätzlich die Bestellnummer. Wir speichern keine IP-Adressen und keine Formulareingaben. Eine zufällige Besucherkennung steht im Cookie paf_vid (30 Tage ab dem letzten Besuch). Die Daten werden über Cloudflare an unsere Datenbank bei der Supabase, Inc., USA, übertragen, die auf Servern in Paris, Frankreich, liegt. Einzelne Seitenaufrufe löschen wir nach 30 Tagen. Zusammengefasste Besucherpfade und ihre Verknüpfung mit Bestellungen löschen wir nach 14 Monaten. Widerrufst du deine Einwilligung, löschen wir die Kennung.

A/B-Tests. Wir testen verschiedene Versionen einzelner Seiten, um herauszufinden, welche besser funktioniert. Dazu teilen wir Besucher zufällig einer Version zu und merken uns die Zuteilung in den Cookies ab_<Test-ID> und ab_name_<Test-ID> (30 Tage), damit du bei jedem Besuch dieselbe Version siehst. Mit deiner Einwilligung erfassen wir, welche Version du gesehen hast, die aufgerufene Adresse, die verweisende Seite und ob du gekauft hast, zusammen mit einer zufälligen Sitzungskennung. Die Daten liegen bei Supabase (siehe oben). Wir löschen sie 90 Tage nach Ende des jeweiligen Tests.

Umfragen. Auf einigen Seiten fragen wir dich in einem kurzen Fenster nach deiner Meinung. Wir speichern deine Antworten, eine zufällige Sitzungskennung, den Seitenpfad, die Domain der verweisenden Seite und die Geräteklasse. Deine IP-Adresse wird nur gekürzt und verschlüsselt verwendet, um Mehrfachantworten zu verhindern, und nach 24 Stunden gelöscht. Die Daten liegen bei Supabase (siehe oben).

15. Marketing und Erfolgsmessung von Werbung (mit Einwilligung)

Die folgenden Dienste nutzen wir nur, wenn du in der Kategorie Marketing eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie helfen uns zu messen, welche Werbung zu Besuchen, Käufen und Mitgliedschaften führt, und dir auf anderen Websites passende Werbung zu zeigen. Dafür übermitteln wir Ereignisse wie Seitenaufrufe, Warenkorb, Beginn des Bestellvorgangs, Kauf und Abschluss einer Mitgliedschaft mit Wert und Produkten.

Abgleich verschlüsselter Kundendaten. Bei einigen Plattformen senden wir zusätzlich Kundendaten, wenn sie uns vorliegen. Die Daten werden vor der Übermittlung verschlüsselt (Hash). Die Plattform gleicht sie mit ihren Nutzerkonten ab, um Käufe und Mitgliedschaften einer Werbeanzeige zuzuordnen:

• Google Ads: E-Mail-Adresse, Telefonnummer, Name und Adresse bei Kauf und Abschluss einer Mitgliedschaft.
• Meta: E-Mail-Adresse bei Seitenaufrufen. Bei Kauf und Abschluss einer Mitgliedschaft zusätzlich Telefonnummer, Vor- und Nachname, Ort, Postleitzahl, Land und Kundennummer, auch über die Conversions API.
• TikTok: E-Mail-Adresse und Kundennummer.
• Pinterest: E-Mail-Adresse bei Produktaufrufen, Kauf und Abschluss einer Mitgliedschaft.
• OpenAI: Land, Ort und Postleitzahl bei Kauf und Abschluss einer Mitgliedschaft, nicht verschlüsselt.
• Snap, Taboola, Microsoft: keine Kundendaten, nur Ereignisse und Seitenadresse.

Die Meta Conversions API senden wir über unseren server-seitigen Tag Manager (Abschnitt 4). Für die Erhebung und Übermittlung der Daten an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu findest du unter facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich. OpenAI verarbeitet die Daten als eigenständig Verantwortlicher.

Eigene Kampagnen-Cookies. Mit deiner Einwilligung speichern wir beim ersten und beim letzten Besuch über einen Werbelink die Kampagnenparameter, Klick-Kennungen, die verweisende Seite, die Einstiegsseite und gegebenenfalls einen Creator-Code in den Cookies paf_utm (erster Besuch) und paf_utm_last (letzter Besuch), jeweils für 90 Tage. Bei einer Bestellung übernehmen wir diese Angaben in die Bestellung (Abschnitt 6).

16. Affiliate-Partner

Wir arbeiten mit Partnern zusammen, die auf ihren Websites für uns werben und dafür eine Provision erhalten. Um die Provision zuzuordnen, erfassen wir, über welchen Partner du zu uns gekommen bist und ob daraus eine Bestellung entstanden ist. Das geschieht nur mit deiner Einwilligung in der Kategorie Marketing (Art. 6 Abs. 1 lit. a DSGVO).

• AdCell der Firstlead GmbH, Rosenfelder Str. 15-16, 10315 Berlin
• Linkster der Linkster GmbH, Colonnaden 5, 20354 Hamburg, Cookies TRS und TRSCJ (30 Tage)

Für AdCell, Google und Meta stellen wir außerdem Produktlisten ohne personenbezogene Daten bereit.

17. Externe Inhalte

Schriftarten. Wir binden die von uns verwendeten Schriftarten von unserem eigenen Server ein. Dabei werden keine Daten an Dritte übertragen.

Partner-Shops und Karten. Manche Marken verkaufen wir nicht selbst, sondern über Partner-Geschäfte. Wenn du auf der Produktseite "Partner Shop auswählen" öffnest, laden wir Karten von Google Maps der Google Ireland Limited. Dabei wird deine IP-Adresse an Google übertragen, Daten können in die USA übertragen werden (Data Privacy Framework). Gibst du in deinem Browser deinen Standort frei, wird auch dieser an Google übertragen. Gibst du eine Postleitzahl ein, ermitteln wir die passenden Geschäfte über Azure Maps der Microsoft Ireland Operations Limited. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch das Öffnen der Funktion gibst.

Bewertungs-Widget. Auf der Startseite und einigen Aktionsseiten zeigen wir Bewertungen über ein Widget von reviews.io (Reviews.co.uk Ltd, Vereinigtes Königreich). Das Widget laden wir nur mit deiner Einwilligung in der Kategorie Marketing. reviews.io erhält dann deine IP-Adresse und Browserangaben. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

18. Fehlerberichte

Wenn auf unserer Website ein technischer Fehler auftritt, senden wir einen Fehlerbericht an unser Entwicklerteam über Slack der Slack Technologies Limited, Dublin, Irland. Daten können in die USA übertragen werden, Slack ist unter dem EU-US Data Privacy Framework zertifiziert. Der Bericht enthält die aufgerufene Seite, die Fehlermeldung und Browserangaben, aber keine Kontaktdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO).

19. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nur weiter, wenn das in dieser Erklärung beschrieben ist. Dienstleister, die Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO), sind vertraglich an unsere Weisungen gebunden. Dazu gehören insbesondere Hetzner (Hosting), Cloudflare (Auslieferung, Schutz), Supabase (Datenbank für Statistik und Tests), Stape (server-seitiger Tag Manager), Klaviyo und SendGrid (E-Mail), Help Scout (Kundenservice), Weglot (Übersetzung des Hilfe-Centers), Usercentrics (Einwilligungen), weclapp (Warenwirtschaft, Versand, Buchhaltung), Metorik (Auswertungen), Slack (Fehlerberichte) und Microsoft (Clarity, Azure Maps).

Eigenständig verantwortlich sind Zahlungsdienstleister, Versandunternehmen, Werbeplattformen (soweit keine gemeinsame Verantwortung besteht) und Anbieter von Anmeldediensten.

Außerdem geben wir Daten an Behörden, Steuerberater und Gerichte weiter, wenn wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Rechte nötig ist.

20. Übermittlung in Drittländer

Einige Dienstleister sitzen in den USA oder übertragen Daten dorthin. Für die USA besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework). Er gilt für Unternehmen, die sich darunter zertifiziert haben. Wo das nicht der Fall ist, schließen wir Standardvertragsklauseln der EU-Kommission ab (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhältst du auf Anfrage.

21. Speicherdauer

Wir löschen deine Daten, sobald wir sie für den Zweck nicht mehr brauchen und keine gesetzliche Aufbewahrungspflicht besteht.

• Kundenkonto: bis du die Löschung verlangst. Danach löschen wir die Kontodaten, soweit keine Aufbewahrungspflicht besteht.
• Bestell- und Rechnungsdaten: 8 Jahre für Buchungsbelege, 6 Jahre für Handelsbriefe und sonstige Unterlagen, jeweils ab Ende des Kalenderjahres (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
• Warenkörbe ohne Kundenkonto (mit IP-Adresse und Browserangaben): 3 Monate.
• Newsletter: bis zur Abmeldung. Den Nachweis deiner Einwilligung bewahren wir bis zu 3 Jahre danach auf.
• Server-Logfiles: 14 Tage (Abschnitt 3).
• Cookies: siehe Anhang.

22. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO). Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Gegen die Verarbeitung für Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

Schreib uns dafür an [email protected].

Beschwerderecht. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart (Postanschrift: Postfach 10 29 32, 70025 Stuttgart), www.baden-wuerttemberg.datenschutz.de.

23. Automatisierte Entscheidungen

Wir treffen grundsätzlich keine Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Klarna kann bei bestimmten Zahlungsarten automatisiert über die Annahme entscheiden. Informationen dazu findest du in der Datenschutzerklärung von Klarna.

Empfehlungsprogramm. Um Missbrauch des Programms "Freunde werben" zu verhindern, vergleichen wir bei der Registrierung mit einem Empfehlungscode und beim Versand von Einladungen automatisch IP-Adresse und Gerätekennung (Abschnitt 8) mit bestehenden Konten. Bei einer Übereinstimmung wird die Empfehlung automatisch als verdächtig markiert, und die Gutschrift oder weitere Einladungen können gesperrt werden. Wenn du meinst, dass das zu Unrecht passiert ist, schreib uns an [email protected]. Wir prüfen den Fall dann persönlich. Rechtsgrundlage ist unser berechtigtes Interesse an der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

24. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Anhang: Eigene Cookies und lokale Speicherung

Die vollständige Liste einschließlich aller Cookies von Drittanbietern findest du in den Cookie-Einstellungen.

Lokaler Speicher deines Browsers