1) Verantwortlicher und Überblick
1.1 Der Schutz deiner Daten wird hier ernst genommen. Diese Erklärung beschreibt, welche personenbezogenen Daten beim Betrieb dieses Shops verarbeitet werden, wozu und auf welcher Grundlage.
1.2 Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist Anika Behrens, clayaway, Anika Behrens, Bahnhofstraße 1, 24647 Wasbek, E-Mail: hey@clayaway.de. Ein Datenschutzbeauftragter muss nicht bestellt werden: clayaway ist ein Ein-Personen-Betrieb und verarbeitet keine Daten in einem Umfang, der das auslöst (§ 38 BDSG).
1.3 Es werden keine Daten verkauft und keine Werbe- oder Trackingdienste Dritter eingesetzt. Es gibt in diesem Shop keine Social-Media-Plugins, keine eingebetteten Videos, keine Schriftarten von fremden Servern und kein Cookie-Banner ‑ Letzteres deshalb nicht, weil keine einwilligungspflichtigen Cookies gesetzt werden.
2) Aufruf dieser Website
2.1 Bei jedem Aufruf übermittelt dein Browser technische Daten, die der Server in Protokolldateien festhält: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite sowie Browser- und Betriebssystemkennung.
2.2 Diese Verarbeitung ist zum Ausliefern der Seite technisch notwendig und dient zugleich der Stabilität und Sicherheit des Betriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im störungsfreien und abgesicherten Betrieb. Die Protokolle werden nach spätestens sieben Tagen gelöscht oder gekürzt.
2.3 Die Seiten dieses Shops werden auf dem eigenen Server vorgerendert. Alle Schriften und Bilder liegen ebenfalls dort; es gehen keine Anfragen an Content-Delivery-Netze oder Font-Anbieter.
3) Cookies und lokale Speicherung
3.1 Es wird ein einziges Cookie gesetzt, und zwar nur dann, wenn du etwas in den Warenkorb legst. Es heißt cart_token, enthält eine Zufallszeichenfolge und verbindet deinen Browser mit deinem Warenkorb. Ohne dieses Cookie könnte jeder, der die Nummer eines Warenkorbs errät, dessen Inhalt sehen und ändern. Es ist für den Browser nicht auslesbar (httpOnly), wird nur an den eigenen Server gesendet und läuft nach 30 Tagen ab.
3.2 Dieses Cookie ist für den von dir gewünschten Dienst unbedingt erforderlich. Es bedarf daher keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.
3.3 Hast du dich für die Drop-Benachrichtigung angemeldet und bestätigt, liegt dein Vorlaufschlüssel im localStorage deines Browsers. Er entscheidet, ob dir ein Drop vor dem offiziellen Termin angezeigt wird. Er ist bewusst kein Cookie: als Cookie führe er bei jeder einzelnen Anfrage mit, auch beim Laden von Bildern und Rechtstexten. So reist er nur mit der Katalogabfrage. Du kannst ihn jederzeit über die Einstellungen deines Browsers löschen; der Shop funktioniert dann ohne Vorlauf weiter.
3.4 Meldest du dich im Verwaltungsbereich an ‑ das betrifft nur den Betrieb, nicht Kundinnen und Kunden ‑ kommen zusätzlich ein Sitzungs- und ein CSRF-Cookie hinzu. Beide sind für den Betrieb erforderlich.
4) Bestellung und Vertragsabwicklung
4.1 Für eine Bestellung werden Vor- und Nachname, Liefer- und gegebenenfalls Rechnungsanschrift, E-Mail-Adresse, die bestellten Artikel, den Betrag, die gewählte Zahlungsart und, falls du eine angibst, deine Telefonnummer für Rückfragen des Zustellers verarbeitet.
4.2 Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) und, soweit es um Rechnung und Aufbewahrung geht, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
4.3 Rechnungen und die zugehörigen Bestelldaten werden zehn Jahre aufbewahrt. Das ist keine Ermessensentscheidung: die steuerrechtliche Aufbewahrungspflicht geht dem Löschanspruch vor (Art. 17 Abs. 3 lit. b DSGVO). Nach Ablauf der Frist wird gelöscht.
4.4 Legst du Ware in den Warenkorb, ohne zu bestellen, wird der Warenkorb nach 90 Tagen ohne Aktivität automatisch gelöscht. Ein Warenkorb, aus dem eine Bestellung geworden ist, wird sieben Tage nach Abschluss gelöscht ‑ die Bestellung selbst trägt die Daten dann weiter.
5) Zahlungsabwicklung
5.1 Die Zahlung läuft über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Beim Bezahlen wirst du zu Mollie oder zum jeweiligen Anbieter weitergeleitet und gibst die Zahlungsdaten dort ein.
5.2 An Mollie gehen der Betrag, eine Bestellreferenz und deine E-Mail-Adresse. Zurück kommt, ob die Zahlung erfolgreich war, sowie die gewählte Zahlungsart. Kartennummern, Bankzugangsdaten und Sicherheitscodes werden hier weder gesehen noch gespeichert.
5.3 Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die eigenen Verarbeitungen von Mollie ist Mollie verantwortlich; die dortige Datenschutzerklärung findest du unter https://www.mollie.com/de/privacy.
6) Versand
6.1 Für den Versand gehen dein Name und deine Lieferanschrift an das beauftragte Versandunternehmen. Ohne diese Weitergabe kann nicht zugestellt werden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
6.2 Hast du eine E-Mail-Adresse oder Telefonnummer für die Sendungsverfolgung angegeben, geht sie mit, damit dich das Versandunternehmen über die Zustellung informieren kann. Das setzt deine Einwilligung voraus (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.
6.3 Holst du im Atelier ab, findet keine Weitergabe statt.
7) E-Mails an dich
7.1 Zur Abwicklung bekommst du eine Eingangsbestätigung, die Bestellbestätigung mit Rechnung und eine Versandbenachrichtigung. Diese Mails sind Teil des Vertrags und keine Werbung; ein Widerspruch ist nicht möglich, ohne den Vertrag zu berühren (Art. 6 Abs. 1 lit. b DSGVO, § 312i BGB).
7.2 Zu jeder ausgehenden Mail wird protokolliert, wann sie erzeugt und wann sie übergeben wurde. Das dient dem Nachweis, dass die Bestellbestätigung unverzüglich versandt wurde, und dem Nachsenden, wenn die Zustellung technisch gescheitert ist.
8) Drop-Benachrichtigung
8.1 Du kannst dich benachrichtigen lassen, wenn neue Stücke erscheinen. Dafür wird deine E-Mail-Adresse verarbeitet.
8.2 Die Anmeldung läuft im Double-Opt-in-Verfahren: Nach dem Eintragen geht eine Bestätigungsmail an dich, und erst nach dem Klick auf den darin enthaltenen Link wirst du aufgenommen. Ohne Bestätigung geht keine weitere Mail an dich heraus. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG.
8.3 Zum Nachweis der Anmeldung werden der Zeitpunkt der Anmeldung, den Zeitpunkt der Bestätigung, die Browserkennung und deine IP-Adresse ‑ letztere ausschließlich als kryptografischer Hashwert, aus dem sich die Adresse selbst nicht zurückrechnen lässt, gespeichert. Nötig ist der Nachweis, dass die Anmeldung von dir stammt; die Adresse selbst ist dafür nicht nötig.
8.4 Jede Benachrichtigung enthält einen Abmeldelink. Ein Klick genügt, eine Begründung ist nicht nötig und es entstehen keine Kosten (§ 7 Abs. 3 Nr. 4 UWG). Nach der Abmeldung geht nichts mehr an dich heraus.
9) Kundenfotos
9.1 Nach einer Bestellung kommt einmalig eine E-Mail mit der Bitte um ein Foto deines Stücks in seiner neuen Umgebung und ein paar Sätze dazu. Die Teilnahme ist freiwillig, und gefragt wird genau einmal.
9.2 Schickst du etwas, werden das Foto, dein Text, der von dir gewünschte Anzeigename und, wenn du ihn angibst, ein Ort verarbeitet. Dafür werden vier getrennte Einwilligungen eingeholt, weil sie verschiedene Dinge erlauben und sich einzeln widerrufen lassen: die Veröffentlichung des Textes, die Nennung deines Namens, die Nutzung des Fotos und ‑ falls Personen darauf zu sehen sind ‑ deren Einverständnis. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. a DSGVO, für abgebildete Personen zusätzlich §§ 22, 23 KUG.
9.3 Aus jedem hochgeladenen Bild werden vor der Speicherung sämtliche eingebetteten Metadaten entfernt ‑ insbesondere GPS-Koordinaten, Aufnahmezeitpunkt und Gerätekennung. Das geschieht automatisch und ohne Zutun; das Bild wird dafür neu berechnet. Der Grund ist einfach: ein Foto aus der eigenen Wohnung trägt sonst häufig deren Koordinaten mit sich, und die sollen hier gar nicht erst ankommen.
9.4 Zum Nachweis der Einwilligung werden Zeitpunkt, Browserkennung und die IP-Adresse als Hashwert gespeichert, wie bei der Drop-Benachrichtigung.
9.5 Du kannst jede dieser Einwilligungen jederzeit und ohne Angabe von Gründen widerrufen, formlos an hey@clayaway.de. Das Foto wird dann von der Website genommen und gelöscht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
10) Widerruf einer Bestellung
Erklärst du den Widerruf über das Online-Formular, werden die dort angegebenen Daten verarbeitet, um den Widerruf zu bearbeiten und dir den Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO, § 355 BGB). Nach drei Jahren wird der Vorgang automatisch anonymisiert: die Nachweise bleiben, der Personenbezug entfällt.
11) Reichweitenmessung
11.1 Sofern eine Reichweitenmessung eingesetzt wird, geschieht dies mit Matomo auf einem selbst betriebenen Server. Es werden keine Daten an Dritte übermittelt und keine länderübergreifenden Transfers ausgelöst. Die IP-Adresse wird vor der Speicherung gekürzt, Cookies zur Wiedererkennung kommen nicht zum Einsatz.
11.2 Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die bedarfsgerechte Gestaltung des Shops. Du kannst der Messung jederzeit widersprechen.
Widerspruchsmöglichkeit für Matomo
In diesem Shop ist derzeit keine Reichweitenmessung im Einsatz. Es werden keine Besuchsdaten erfasst, ein Widerspruch ist daher nicht erforderlich.
12) Auftragsverarbeiter
Für Hosting, Mailversand und Zahlungsabwicklung kommen Dienstleister zum Einsatz. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie in dieser Rolle tätig werden. Eine Übermittlung in Länder außerhalb der EU und des EWR findet nicht statt.
13) Deine Rechte
13.1 Dir stehen gegenüber clayaway die folgenden Rechte zu:
- Auskunft darüber, ob und welche Daten zu dir verarbeitet werden (Art. 15 DSGVO);
- Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
- Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO);
- Einschränkung der Verarbeitung (Art. 18 DSGVO);
- Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO);
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO);
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).
13.2 Für die Ausübung genügt eine formlose Nachricht an hey@clayaway.de.
14) Widerspruchsrecht
Werden Daten auf Grundlage berechtigter Interessen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Die Daten werden dann nicht weiter verarbeitet, es sei denn, es lassen sich zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.
15) Keine automatisierte Entscheidungsfindung
Profiling und automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO kommen nicht zum Einsatz.
16) Änderungen dieser Erklärung
Diese Erklärung wird angepasst, wenn sich die Verarbeitungen in diesem Shop ändern. Es gilt die Fassung, die beim Aufruf dieser Seite abrufbar ist; das Datum steht oben.