Wir gehen mit deinen Daten so um, wie wir es selbst erwarten würden: Wir erheben nur, was für den Shop nötig ist, geben nichts zu Werbezwecken weiter und setzen keine Tracking- oder Analysedienste Dritter ein.

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Stefanie Reinhardt, Wümmestraße 61, 28876 Oyten
E-Mail: info@whimsicalspot.de

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten müssen wir nicht benennen, weil die gesetzlichen Voraussetzungen dafür (§ 38 BDSG) nicht vorliegen.

2. Was wir nicht tun

• Keine Werbenetzwerke, keine Profilbildung, keine Analysedienste Dritter. Wie oft welche Seite aufgerufen wird, zählen wir selbst auf unserem eigenen Server – ohne Cookie und ohne dich wiederzuerkennen (Abschnitt 17).
• Keine Social-Media-Plugins und keine eingebetteten Inhalte Dritter. Unser Instagram-Profil ist nur verlinkt.
• Schriften und Skripte liegen auf unserem eigenen Server, es werden keine externen Schriftdienste geladen.
• Deine Zahlungsdaten sehen wir nie: Kartennummern und Kontodaten gibst du direkt beim Zahlungsdienstleister ein.
• Wir verkaufen oder vermieten keine Daten.

3. Aufruf der Website

Beim Aufruf unserer Seiten speichert der Server automatisch Protokolldaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statusmeldung, übertragene Datenmenge, verweisende Seite und Browserkennung. Diese Daten sind technisch nötig, um die Seite auszuliefern, Störungen zu erkennen und Angriffe abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und störungsfreien Betrieb). Die Protokolle werden kurzfristig gespeichert und dann automatisch gelöscht.

4. Cookies und Einwilligung

Wir setzen ausschließlich technisch notwendige Cookies, etwa für deine Sitzung, den Warenkorb und den Schutz von Formularen. Dafür ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig. Da wir keine weiteren Dienste einsetzen, gibt es auf dieser Seite nichts einzuwilligen, was wir nicht ohnehin bräuchten.

Deine Entscheidung im Einwilligungsbanner halten wir zum Nachweis fest (Zeitpunkt, gewählte Einstellung, IP-Adresse; Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO). Über den Punkt Cookie-Einstellungen in der Fußzeile kannst du deine Auswahl jederzeit ändern.

5. Kundenkonto

Wenn du ein Konto anlegst, speichern wir deine E-Mail-Adresse, deinen Namen, deine Anschrift, optional Telefonnummer und Geburtsdatum sowie dein Passwort. Das Passwort speichern wir ausschließlich verschlüsselt als Prüfwert und können es selbst nicht lesen. Zusätzlich protokollieren wir Anmeldezeitpunkte und fehlgeschlagene Anmeldeversuche, um dein Konto vor fremden Zugriffen zu schützen.

Das Geburtsdatum ist freiwillig und dient nur dem Geburtstagsgutschein; du kannst es jederzeit im Profil entfernen. Wenn du die Zwei-Faktor-Anmeldung aktivierst, speichern wir deren Einrichtung und die Wiederherstellungscodes in verschlüsselter Form.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis), für die Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO. Dein Konto kannst du jederzeit selbst löschen. Abgeschlossene Bestellungen bleiben davon unberührt, weil wir sie aufbewahren müssen.

Bist du angemeldet, merken wir uns außerdem deinen Warenkorb, damit er auf einem anderen Gerät weiter zur Verfügung steht. Diese Kopie löschen wir nach 90 Tagen ohne Änderung, spätestens mit deinem Konto.

6. Bestellung, Zahlung und Versand

Für eine Bestellung verarbeiten wir Name, E-Mail-Adresse, Rechnungs- und Lieferanschrift, die bestellten Artikel, Preise, Versandkosten, einen eingelösten Gutschein sowie den Zahlungs- und Versandstatus. Das ist zur Erfüllung des Kaufvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Die Bezahlung wickeln wir über Mollie B.V., Amsterdam (Niederlande) ab. Du gibst deine Zahlungsdaten direkt bei Mollie ein; wir erhalten nur die Bestellkennung, den Betrag, die gewählte Zahlungsart und den Zahlungsstatus. Kartendaten und Kontoverbindungen werden bei uns weder übertragen noch gespeichert. Es gilt zusätzlich die Datenschutzerklärung von Mollie.

Für den Versand geben wir Name und Lieferanschrift an das beauftragte Versandunternehmen weiter, damit die Sendung zugestellt werden kann.

7. Rechnungen und gesetzliche Aufbewahrung

Zu einer versendeten Bestellung stellen wir eine Rechnung aus und bewahren sie als unveränderbares Dokument auf. Handels- und steuerrechtlich sind wir verpflichtet, Belege acht Jahre lang aufzubewahren (§ 147 Abgabenordnung, § 14b Umsatzsteuergesetz). In dieser Zeit können wir Bestell- und Rechnungsdaten nicht löschen; wir verarbeiten sie dann nur noch zur Erfüllung dieser Pflicht (Art. 6 Abs. 1 lit. c DSGVO, Art. 17 Abs. 3 lit. b DSGVO). Für die Buchhaltung erhält unsere Steuerberatung Zugriff auf die Belege.

8. Kontaktformular und E-Mail

Wenn du uns schreibst, verarbeiten wir Name, E-Mail-Adresse, Betreff und Nachricht, um dein Anliegen zu beantworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Anfragen über das Kontaktformular löschen wir automatisch nach 90 Tagen, sofern sie nicht Teil eines laufenden Vorgangs sind.

9. Newsletter

Für den Newsletter benötigen wir deine E-Mail-Adresse. Die Anmeldung erfolgt im Bestätigungsverfahren: Du erhältst zunächst eine E-Mail mit einem Bestätigungslink; erst danach ist die Anmeldung wirksam. Zum Nachweis der Einwilligung speichern wir Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung (Art. 6 Abs. 1 lit. a DSGVO, Art. 7 Abs. 1 DSGVO).

Du kannst dich jederzeit über den Abmeldelink in jeder Newsletter-Mail abmelden; wir löschen deine Adresse dann aus dem Verteiler. Anmeldungen, die nie bestätigt werden, löschen wir nach 30 Tagen automatisch.

10. Benachrichtigung, wenn ein Artikel wieder verfügbar ist

Auf Wunsch informieren wir dich einmalig, sobald ein ausverkaufter Artikel wieder vorrätig ist. Dafür speichern wir deine E-Mail-Adresse und den Artikel, ebenfalls im Bestätigungsverfahren (Art. 6 Abs. 1 lit. a DSGVO). Nach dem Versand der Nachricht wird der Eintrag gelöscht; nie bestätigte Anmeldungen löschen wir nach 30 Tagen.

11. Bewertungen

Bewerten kannst du nur Artikel, die du tatsächlich gekauft hast. Wir speichern dazu deine Bewertung, einen frei wählbaren Anzeigenamen, deinen Kommentar und die von dir hochgeladenen Bilder sowie den Bezug zu deiner Bestellung, damit wir den Kauf nachweisen können (Art. 6 Abs. 1 lit. a und lit. f DSGVO). Veröffentlicht wird eine Bewertung erst nach Freigabe. Du kannst die Löschung deiner Bewertung jederzeit verlangen.

12. Widerruf

Nutzt du unser Widerrufsformular, speichern wir deine Angaben zusammen mit dem Zeitpunkt des Eingangs und der IP-Adresse. Das ist nötig, um dir den Eingang gesetzeskonform zu bestätigen und den Zugang deiner Erklärung nachweisen zu können (Art. 6 Abs. 1 lit. c und lit. f DSGVO). Diese Nachweise bewahren wir zusammen mit der Bestellung auf.

13. Adressvorschläge bei der Eingabe

Damit sich bei der Adresseingabe keine Tippfehler einschleichen, schlagen wir zu deiner Postleitzahl den Ort und zu deiner Eingabe passende Straßennamen vor. Dafür nutzen wir die Dienste openPLZ und Photon (betrieben von der Komoot GmbH auf Basis von OpenStreetMap).

Wichtig: Diese Abfragen laufen über unseren eigenen Server. Dein Browser verbindet sich nicht mit diesen Diensten, sie erfahren daher weder deine IP-Adresse noch sonst etwas über dich. Übermittelt wird ausschließlich die eingegebene Postleitzahl beziehungsweise das eingetippte Adressfragment. Wir speichern diese Abfragen nicht (Art. 6 Abs. 1 lit. f DSGVO).

14. Prüfung der Passwortsicherheit

Wenn du ein Passwort vergibst, prüfen wir, ob es in bekannten Datenlecks auftaucht. Dazu nutzen wir den Dienst Have I Been Pwned. Dein Passwort verlässt dabei niemals unseren Server: Übermittelt werden lediglich die ersten fünf Zeichen eines Prüfwerts, aus denen sich weder dein Passwort noch deine Person ableiten lässt. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).

15. Schutz vor Missbrauch

Um Angriffe, massenhafte Anmeldeversuche und Spam zu verhindern, begrenzen wir die Zahl der Zugriffe je Absender. Dafür speichern wir keine IP-Adressen im Klartext, sondern nur einen nicht rückrechenbaren Prüfwert mit einem Zähler, der nach wenigen Minuten automatisch verfällt (Art. 6 Abs. 1 lit. f DSGVO).

16. Suche

Zur Verbesserung unseres Sortiments und der Suchfunktion speichern wir eingegebene Suchbegriffe zusammen mit Zeitpunkt und Trefferzahl, jedoch ohne IP-Adresse, Konto- oder Sitzungsbezug (Art. 6 Abs. 1 lit. f DSGVO).

17. Besuchszählung

Wir möchten wissen, welche Seiten und Produkte angesehen werden – sonst wissen wir nicht, was dich interessiert. Diese Zählung läuft vollständig auf unserem eigenen Server. Es wird kein Cookie gesetzt und nichts von deinem Gerät ausgelesen, und es werden keine Daten an Dritte übermittelt – kein Google Analytics, kein Matomo, nichts dergleichen.

Damit wir denselben Aufruf nicht doppelt zählen, bilden wir aus deiner gekürzten IP-Adresse, der Browserkennung und der Spracheinstellung eine Prüfsumme, die sich jeden Tag ändert. Deine IP-Adresse selbst speichern wir dabei nicht, und über den Tag hinaus bist du daran nicht wiedererkennbar. Gespeichert werden außerdem: aufgerufene Adresse, Zeitpunkt, Verweildauer und Seitenzahl eines Besuchs, die verweisende Seite sowie Zusammenzählungen zu Browser, Betriebssystem, Gerät und Land.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots). Da wir nichts auf deinem Gerät speichern oder auslesen, ist dafür keine Einwilligung erforderlich (§ 25 TDDDG). Die Prüfsummen löschen wir täglich, die übrigen Besuchsdaten nach 180 Tagen; die reinen Zählerstände bleiben, sie haben keinen Bezug zu einer Person.

18. Empfänger deiner Daten

Außer den unten genannten Stellen geben wir deine Daten nicht weiter:

• Unser Hostinganbieter (Ring Hosting, Deutschland) betreibt die Server, auf denen die Website und die Datenbank liegen. Er verarbeitet die Daten ausschließlich in unserem Auftrag und weisungsgebunden (Auftragsverarbeitung nach Art. 28 DSGVO).
• Mollie B.V. (Niederlande) wickelt die Zahlung ab.
• Das Versandunternehmen erhält Name und Lieferanschrift zur Zustellung.
• Unser E-Mail-Dienstleister versendet die Bestell- und Kontobenachrichtigungen.
• Steuerberatung und Finanzverwaltung erhalten Belege im Rahmen unserer gesetzlichen Pflichten.
• openPLZ und Photon erhalten ausschließlich das eingegebene Adressfragment ohne Personenbezug (siehe Abschnitt 13).

19. Übermittlung in Drittländer

Wir übermitteln keine personenbezogenen Daten in Länder außerhalb der Europäischen Union. Die einzigen Abfragen an Anbieter außerhalb der EU sind die Passwortprüfung nach Abschnitt 14 und eine automatische Geschwindigkeitsmessung unserer eigenen Seiten. In beiden Fällen werden nachweislich keine personenbezogenen Daten übertragen.

20. Wie lange wir Daten speichern

• Bestellungen, Rechnungen und Widerrufe: acht Jahre ab Ende des Kalenderjahres (gesetzliche Aufbewahrungspflicht).
• Kundenkonto: bis du es löschst.
• Kontaktanfragen: 90 Tage.
• Gespeicherter Warenkorb: 90 Tage ohne Änderung.
• Newsletter: bis zur Abmeldung; unbestätigte Anmeldungen 30 Tage.
• Server-Protokolle: wenige Tage.
• Besuchszählung: Prüfsummen einen Tag, übrige Besuchsdaten 180 Tage.
• Missbrauchsschutz: wenige Minuten.

Aus unseren Sicherungskopien verschwinden gelöschte Daten erst, wenn die jeweilige Sicherung ausläuft (spätestens nach drei Monaten).

21. Deine Rechte

Du hast das Recht auf Auskunft über die zu deiner Person gespeicherten Daten (Art. 15), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO).

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Am schnellsten geht es so: In deinem Konto kannst du unter Meine Daten exportieren jederzeit selbst eine vollständige Kopie deiner Daten herunterladen und dein Konto selbst löschen. Für alles Weitere schreib uns an info@whimsicalspot.de.

22. Beschwerderecht

Wenn du der Ansicht bist, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland deines gewöhnlichen Aufenthalts oder am Ort unserer Niederlassung.

23. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

24. Stand und Änderungen

Diese Erklärung beschreibt den aktuellen Stand unserer Verarbeitung. Ändern wir Abläufe oder setzen neue Dienste ein, passen wir sie an.