Datenschutzerklärung

Der Schutz Ihrer Daten ist uns wichtig. Wir verarbeiten personenbezogene Daten sorgfältig und transparent. Nachfolgend erklären wir Zwecke, Rechtsgrundlagen und Ihre Rechte. Diese Hinweise gelten für unseren Online‑Shop und alle hier beschriebenen Dienste.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Lummy GmbH
Am Damm 34, 12587 Berlin
E‑Mail: [email protected]
Telefon: 000000

Bei Fragen schreiben Sie uns bitte per E‑Mail. Wir kümmern uns schnell und zuverlässig.

2. Ihre Rechte als betroffene Person

Sie haben umfangreiche Rechte nach der DSGVO. Wir unterstützen Sie dabei gern.

Auskunft (Art. 15 DSGVO): Sie erhalten Informationen zu Ihren Daten. Dazu zählen Zwecke, Kategorien, Empfänger und Speicherdauer.
Berichtigung (Art. 16 DSGVO): Sie können unrichtige oder unvollständige Daten korrigieren lassen.
Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Pflichten entgegenstehen.
Einschränkung (Art. 18 DSGVO): Wir dürfen Ihre Daten dann nur noch speichern, nicht weiterverarbeiten.
Datenübertragbarkeit (Art. 20 DSGVO): Sie erhalten Ihre Daten in einem gängigen, maschinenlesbaren Format.
Widerspruch (Art. 21 DSGVO): Sie können aus Gründen Ihrer besonderen Situation widersprechen. Dies gilt für Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. e oder f DSGVO. Gegen Direktwerbung können Sie jederzeit widersprechen.
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig ist z. B. die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Bitte richten Sie Anfragen an die oben genannten Kontaktdaten. Wir prüfen jeden Fall sorgfältig und fristgerecht.

3. Allgemeine Hinweise

Wir schützen Ihre Daten mit Technik und Augenmaß. Eine sichere Verbindung ist dabei zentral.

SSL/TLS‑Verschlüsselung: Unsere Website nutzt HTTPS. Ihre Daten werden verschlüsselt übertragen. So sind Inhalte vor unbefugtem Zugriff geschützt.

Rechtsgrundlagen der Verarbeitung (Art. 6 Abs. 1 DSGVO):

lit. a Einwilligung: z. B. Analyse, Marketing, Newsletter.
lit. b Vertrag und vorvertragliche Maßnahmen: z. B. Bestellungen, Kundenkonto, Kommunikation.
lit. c Rechtliche Verpflichtung: z. B. steuerliche Aufbewahrung.
lit. f Berechtigte Interessen: z. B. Sicherheit, Betrugsprävention, einfache Bereitstellung.

Wir nutzen ein Consent‑Banner. Sie wählen dort Analyse und Marketing. Ihre Auswahl lässt sich jederzeit ändern. Die Einstellungen merken wir uns per Cookie oder lokalem Speicher. Ohne Einwilligung setzen wir nur technisch erforderliche Cookies.

4. Hosting

Unser Shop wird auf Servern in Deutschland betrieben. Der Hosting‑Anbieter stellt Infrastruktur, Speicher und Sicherheitsfunktionen bereit.

Verarbeitete Daten:

IP‑Adresse, Datum und Uhrzeit der Anfrage
Zeitzonendifferenz, HTTP‑Status, übertragene Datenmenge
Referrer, Browser, Betriebssystem, Sprache

Zwecke: Auslieferung der Website, Stabilität, Sicherheit, Missbrauchserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist ein sicherer und effizienter Betrieb.

Speicherdauer: Server‑Logfiles werden in der Regel kurzfristig gelöscht. Längere Speicherung erfolgt nur zu Beweiszwecken bei Sicherheitsvorfällen.

5. Shop‑System (Shopware)

Wir betreiben den Online‑Shop mit Shopware. Dabei verarbeiten wir Bestelldaten, Lieferdaten und Zahlungsinformationen.

Verarbeitete Daten zur Bestellabwicklung:

Stammdaten: Name, Adresse, E‑Mail, Telefon
Vertragsdaten: Warenkorb, Bestellungen, Preise, Lieferstatus
Kommunikationsdaten: Nachrichten, Supportanfragen

Zweck: Durchführung von Bestellungen, Kundenservice, Rechnungserstellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Daten kann kein Vertrag erfüllt werden.

Speicherdauer: Wir speichern nach HGB und AO. Handels- und steuerrechtliche Aufbewahrung beträgt in der Regel 6 bis 10 Jahre. Danach löschen oder anonymisieren wir die Daten.

6. Zahlungsabwicklung

Zahlungsdaten verarbeiten wir nur soweit nötig. Je nach gewählter Methode leiten wir Daten an Zahlungsdienste weiter. Diese sind eigene Verantwortliche. Details finden Sie in deren Datenschutzhinweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Versandabwicklung

Zur Zustellung Ihrer Bestellung übermitteln wir Daten an unsere Versanddienstleister. Ohne diese Übermittlung kann keine Lieferung erfolgen.

Datenübermittlung an Versanddienstleister:

Name und Lieferadresse
E‑Mail für Sendungsankündigung
Telefon für Rückfragen oder Avis

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden dort bis zur Zustellung verarbeitet. Gesetzliche Aufbewahrungen bleiben unberührt.

DHL

Zweck: Abholung, Transport und Zustellung der Waren. Speicherung bis zur Zustellung und gemäß gesetzlichen Pflichten.

GLS

Zweck: Abholung, Transport und Zustellung der Waren. Speicherung bis zur Zustellung und gemäß gesetzlichen Pflichten.

8. CDN und Sicherheitsdienste

Cloudflare CDN

Anbieter: Cloudflare Inc., USA. Wir nutzen Cloudflare als Content Delivery Network und für Sicherheitsfunktionen wie DDoS‑Schutz.

Verarbeitete Daten: IP‑Adresse, Zugriffszeiten, Header‑Informationen, Protokolldaten, ggf. Sicherheits‑Cookies. Cloudflare kann Traffic über weltweit verteilte Server routen.

Zwecke: Performance, Ausfallsicherheit, Schutz vor Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist die sichere und schnelle Auslieferung unserer Seiten.

Drittlandtransfer: Übermittlung in die USA. Grundlage ist das EU‑US Data Privacy Framework. Weitere Informationen: https://www.cloudflare.com/privacypolicy/

Speicherdauer: Technische Protokolle werden bei Cloudflare kurzzeitig gespeichert. Längere Speicherung erfolgt nur zu Sicherheitszwecken.

9. Analyse und Statistik

Google Analytics

Anbieter: Google Ireland Limited, Gordon House, Dublin, Irland.

Zweck: Analyse der Nutzung unserer Website. Wir verbessern Inhalte, Usability und Angebote auf Basis aggregierter Werte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Consent‑Banner). Ohne Einwilligung setzen wir keine Analyse‑Cookies.

Einstellungen: Wir verwenden IP‑Anonymisierung. Ihre IP wird innerhalb der EU gekürzt. Google setzt Cookies und ähnliche Technologien ein.

Verarbeitete Daten: Seitenaufrufe, Klickpfade, Scroll‑Tiefe, Geräteinformationen, Browser, Referrer, Session‑Dauer, ungefährer Standort. Nutzer‑IDs sind pseudonym.

Consent Mode v2: Wir nutzen den Google Consent Mode v2. Bei fehlender Einwilligung werden nur begrenzte, cookielose Signale übermittelt. Messungen erfolgen dann modellbasiert.

Drittlandtransfer: Es kann ein Transfer an Google LLC in die USA stattfinden. Grundlage ist das EU‑US Data Privacy Framework. Details: https://policies.google.com/privacy

Speicherdauer: Nutzer‑ und Ereignisdaten werden in Analytics nach unserer Einstellung befristet aufbewahrt und dann automatisch gelöscht.

Opt‑Out: Sie können Ihre Einwilligung jederzeit im Consent‑Banner widerrufen. Zusätzlich bietet Google ein Browser‑Add‑on zur Deaktivierung an.

10. Werbung und Conversion‑Tracking

Google Ads (Conversion Tracking und ggf. Remarketing)

Anbieter: Google Ireland Limited, Dublin, Irland.

Zweck: Messung von Kampagnenerfolg und Optimierung unserer Werbung. Optional setzen wir Remarketing für relevante Anzeigen ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Ohne Einwilligung erfolgt kein Tracking und kein Remarketing.

Verarbeitete Daten: Werbe‑IDs, Cookie‑Informationen, besuchte Seiten, Conversions wie Bestellungen, pseudonyme Nutzer‑IDs, Geräte‑ und Browserdaten.

Drittlandtransfer: Übermittlung an Google LLC, USA, möglich. Grundlage ist das EU‑US Data Privacy Framework. Datenschutzhinweise: https://policies.google.com/privacy

Speicherdauer: Cookies haben eine begrenzte Laufzeit. Kampagnendaten werden von uns statistisch ausgewertet und fristgerecht gelöscht.

Widerspruch: Einwilligung jederzeit im Consent‑Banner widerrufbar. Personalisierte Werbung kann zudem in Ihrem Google‑Konto angepasst werden.

TikTok Pixel

Anbieter: TikTok Technology Limited, Irland. Bei Nutzung können Übermittlungen an verbundene Unternehmen in Drittländer, insbesondere die USA, erfolgen.

Zweck: Conversion‑Tracking, Reichweitenmessung und interessenbasierte Werbung. Wir optimieren Anzeigen und Zielgruppen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Verarbeitete Daten: Seitenaufrufe, Ereignisse (z. B. AddToCart, Purchase), Geräte‑Infos, IP‑Adresse, Cookie‑IDs, Werbe‑IDs, Referrer, Zeitzone. Daten werden pseudonym erfasst und zu Profilen zusammengeführt.

Drittlandtransfer: Übertragung in die USA ist möglich. Schutz erfolgt über Standardvertragsklauseln und ergänzende Maßnahmen. Bitte beachten Sie das Restrisiko staatlicher Zugriffe.

Speicherdauer: Pixel‑Daten und Cookies verfallen nach festgelegten Zeiträumen. Aggregierte Kampagnendaten speichern wir länger für Analysen.

Widerruf: Ihre Einwilligung können Sie im Consent‑Banner jederzeit zurücknehmen. Dadurch wird das Pixel künftig nicht mehr gesetzt.

Weitere Informationen: https://www.tiktok.com/legal/privacy-policy

11. Newsletter

Brevo (Sendinblue)

Wir versenden Newsletter über Brevo (Sendinblue). Anbieter ist ein europäischer Dienstleister. Die Verarbeitung erfolgt auf unseren Auftrag hin.

Zweck: Versand von Informationen, Angeboten und Aktionen per E‑Mail. Wir nutzen das Double‑Opt‑In‑Verfahren. Sie bestätigen Ihre Anmeldung über einen Link.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung protokollieren wir mit Zeitstempel, IP und Anmeldedaten, um sie nachweisen zu können.

Verarbeitete Daten: E‑Mail‑Adresse, optional Name. Für den technischen Versand werden IP‑Adresse, Zeitpunkte und Kommunikationsmetadaten verarbeitet.

Tracking: Wir messen Öffnungen und Klicks. Damit verbessern wir Inhalte und Versandzeitpunkte. Rechtsgrundlage ist Ihre Einwilligung. Sie können dem Tracking widersprechen, indem Sie den Newsletter abbestellen oder die Anzeige von Bildern deaktivieren.

Drittlandtransfer: Brevo verarbeitet Daten überwiegend in der EU. Ein Transfer in die USA kann bei einzelnen Unterauftragsverarbeitern vorkommen. Schutz erfolgt über Standardvertragsklauseln.

Abmeldung: Sie können den Newsletter jederzeit abbestellen. Ein Link findet sich am Ende jeder E‑Mail. Alternativ schreiben Sie uns eine kurze Nachricht.

Speicherdauer: Nach Abmeldung sperren wir Ihre E‑Mail auf einer Blacklist, um weitere Zusendungen zu verhindern. Gesetzliche Nachweispflichten bleiben unberührt.

12. Kundenkonto

Sie können ein Kundenkonto anlegen. Damit bestellen Sie schneller und sehen Bestellhistorie und Rechnungen.

Gespeicherte Daten:

Name, Rechnungs- und Lieferadressen
E‑Mail, Login‑Daten (gehashtes Passwort)
Bestellhistorie, Zahlungs- und Lieferstatus

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Nutzung zur Vertragserfüllung. Optional gespeicherte Komfort‑Daten beruhen auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Löschung: Sie können Ihr Konto jederzeit löschen lassen. Wir löschen oder anonymisieren Daten, soweit keine Aufbewahrungsfristen entgegenstehen.

Sicherheit: Passwörter speichern wir nur als Hash. Bitte wählen Sie ein starkes Passwort und halten Sie es geheim.

13. Produktbewertungen

Sie können unsere Produkte bewerten. Damit helfen Sie anderen Kundinnen und Kunden bei der Auswahl.

Gespeicherte Daten:

Name oder Pseudonym
E‑Mail‑Adresse zur Verifikation
Bewertungstext, Sternvergabe, Zeitpunkt

Veröffentlichung: Wir zeigen den Namen oder das Pseudonym und den Bewertungstext an. Die E‑Mail wird nicht veröffentlicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Absenden der Bewertung) oder Art. 6 Abs. 1 lit. f DSGVO bei berechtigtem Interesse an transparenten Kundenmeinungen. Sie können der Anzeige widersprechen, wenn überwiegende Interessen entgegenstehen.

Löschung: Auf Anfrage löschen oder anonymisieren wir Bewertungen, soweit keine gesetzlichen Pflichten entgegenstehen.

14. Cookies und ähnliche Technologien

Wir verwenden Cookies, Local Storage und vergleichbare Technologien.

Kategorien:

Erforderlich: z. B. Warenkorb, Login, Sicherheit (Art. 6 Abs. 1 lit. f DSGVO bzw. lit. b bei Vertragserfüllung).
Funktional: Komfortfunktionen wie Merkliste (Art. 6 Abs. 1 lit. a DSGVO).
Statistik: Reichweitenmessung mit Google Analytics (Art. 6 Abs. 1 lit. a DSGVO).
Marketing: Google Ads, TikTok Pixel (Art. 6 Abs. 1 lit. a DSGVO).

Speicherdauer: Session‑Cookies verfallen beim Schließen des Browsers. Persistente Cookies haben begrenzte Laufzeiten. Konkrete Zeiten finden Sie in den jeweiligen Diensteinstellungen.

Widerruf: Sie können Einwilligungen im Consent‑Banner ändern oder widerrufen. Zudem können Sie Cookies im Browser löschen.

15. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, wenn es notwendig ist oder eine Einwilligung vorliegt.

Auftragsverarbeiter: Hosting, Newsletter, IT‑Dienstleister, Support. Verarbeitung nur nach Weisung und mit Vertrag nach Art. 28 DSGVO.
Eigenständige Verantwortliche: Zahlungs- und Versanddienste, Plattformen für Werbung.
Behörden: Nur bei rechtlicher Pflicht.

Wir wählen Dienstleister sorgfältig aus. Wir prüfen Sicherheitsmaßnahmen, Verschlüsselung und Löschkonzepte.

16. Datenquellen und Pflicht zur Bereitstellung

Wir erhalten Daten in der Regel direkt von Ihnen. Manche Daten entstehen technisch bei Nutzung der Website. Für Bestellungen sind bestimmte Angaben erforderlich. Ohne diese Angaben können wir keinen Vertrag schließen.

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für Zwecke nötig ist.

Vertrags- und Bestelldaten: gemäß HGB und AO bis zu 10 Jahre.
Supportanfragen: sechs bis 24 Monate, je nach Vorgang.
Analyse‑ und Marketingdaten: entsprechend der Dienste‑Einstellungen, bis Widerruf der Einwilligung.
Kundenkonto: bis zur Löschung, danach nur soweit gesetzlich erforderlich.

Nach Ablauf der Fristen löschen oder anonymisieren wir Daten gemäß unserem Löschkonzept.

18. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein. Dazu zählen Zugriffsbeschränkungen, Verschlüsselung, Rollenkonzepte, Backups und Protokollierung. Unsere Systeme werden regelmäßig aktualisiert. Mitarbeitende sind auf Vertraulichkeit verpflichtet.

19. Minderjährige

Unser Angebot richtet sich an Erwachsene. Wir verarbeiten wissentlich keine Daten von Kindern ohne Zustimmung der Erziehungsberechtigten.

20. Profiling und automatisierte Entscheidungen

Wir treffen keine Entscheidungen ausschließlich automatisiert, die rechtliche Wirkung entfalten. Marketing‑Dienste bilden pseudonyme Nutzungsprofile. Dies erfolgt nur mit Einwilligung.

21. Internationale Datentransfers

Bei einigen Diensten kann es zu Übermittlungen in Drittländer kommen.

EU‑US Data Privacy Framework: Google‑Dienste und Cloudflare.
Standardvertragsklauseln: z. B. TikTok und einzelne Unterauftragsverarbeiter von Brevo.

Wir prüfen zusätzliche Maßnahmen wie Pseudonymisierung und Minimierung. Dennoch besteht in Drittländern ein Restrisiko staatlicher Zugriffe, das wir nicht vollständig ausschließen können.

22. Widerspruch gegen Direktwerbung

Sie können Direktwerbung jederzeit widersprechen. Dies gilt auch für Profiling, soweit es mit Direktwerbung zusammenhängt. Schreiben Sie uns dazu eine kurze Nachricht oder nutzen Sie Abmeldelinks.

23. Kontakt und Nachweise

Für Datenschutzanfragen erreichen Sie uns per E‑Mail. Bitte beschreiben Sie Ihr Anliegen möglichst genau. Wir identifizieren Sie zuverlässig und antworten fristgerecht. Wir dokumentieren Einwilligungen und Widerrufe, um unsere Rechenschaftspflichten zu erfüllen.

24. Aktualität und Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Prozesse ändern. Prüfen Sie die Hinweise regelmäßig. Bei wesentlichen Änderungen informieren wir Sie aktiv, wenn erforderlich.