Datenschutzerklärung

1. Verantwortlicher

GeschenkOn GmbH, Königsallee 2b, 40212 Düsseldorf, Deutschland

E-Mail: [email protected]

2. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten, um unsere Website, Nutzerkonten, Bestell- und Gutscheinfunktionen, Partnerprozesse, Sicherheitsmechanismen sowie gesetzlich erforderliche Dokumentations- und Abrechnungsprozesse bereitzustellen.

• Bereitstellung der Website, öffentlicher Inhalte, Suchfunktionen, Nutzerkonten und Plattformfunktionen zur Vertragsanbahnung und Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).
• Abwicklung von Bestellungen, Gutscheinen, Einlösungen, Rückerstattungen, Rechnungen und Partnerabrechnungen einschließlich elektronischer Rechnungsformate (Art. 6 Abs. 1 lit. b und lit. c DSGVO).
• Prüfung, Aktivierung und laufende Betreuung von Partnern, Vertragsverwaltung, Onboarding, Rollenzuteilung, Einladungs- und Freigabeprozesse sowie Auszahlungsvorbereitung (Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO).
• Versand transaktionsbezogener E-Mails, Zustellkontrolle, Sicherheits- und Nachweisprotokolle, Supportbearbeitung und Missbrauchsprävention (Art. 6 Abs. 1 lit. b und lit. f DSGVO).
• Absicherung der Plattform, Authentifizierung, Betrugsprävention, Audit-Protokollierung, technische Fehleranalyse, Lastverteilung und Betriebsstabilität (Art. 6 Abs. 1 lit. f DSGVO).
• Einholung, Verwaltung und Nachweis von Cookie- und Tracking-Einwilligungen über unser Consent-Management (Art. 6 Abs. 1 lit. a, lit. c und lit. f DSGVO).
• Zustellung, Bereitstellung und Einlösung von Gutscheinen an Empfänger, die vom Käufer, von einem Geschäftskunden oder von einem ausstellenden Partner benannt werden (Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 6a).
• Werbliche Push-Benachrichtigungen in der GeschenkOn-App nur nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Abschnitt 7a).

Unser berechtigtes Interesse liegt insbesondere in der sicheren, stabilen und wirtschaftlich sinnvollen Bereitstellung der Plattform, in der Missbrauchsabwehr, in revisionssicherer Dokumentation sowie in der Verteidigung und Durchsetzung rechtlicher Ansprüche.

3. Kategorien personenbezogener Daten

• Kontodaten: E-Mail-Adresse, Anzeigename, Spracheinstellungen, optional Geburtsdatum und Statusinformationen.
• Authentifizierungs- und Sicherheitsdaten: IP-Adresse, User-Agent, Geräte- und Sitzungsdaten, Social-Login-Identifier, Passkey-/WebAuthn-bezogene Credential-Daten, Challenge- und Prüfprotokolle, Step-up-Ereignisse.
• Nutzungs- und Zugriffsdaten: angeforderte URLs, Referrer, Zeitpunkte, Antwortcodes, Request-IDs, Geräte- und Browsermerkmale sowie serverseitige Protokolle.
• Transaktionsdaten: Bestellnummern, Order-Items, Gutschein-IDs, Gutscheinart, rechtliche Hinweisversionen, Checkout-Bestätigungen, Zahlungsstatus, Rechnungsdaten, steuerrelevante Daten, Versand- und Fulfillment-Informationen, Rückerstattungs- und Stornovorgänge.
• Partner- und Vertragsdaten: Ansprechpartner, geschäftliche Stammdaten, Vertragsstatus, Onboarding-Status, Rollen- und Einladungsdaten, Prüf- und Freigabevermerke, Auszahlungs- und Bankverifikationsdaten, Settlement-Auslöser, Verzögerungsfristen, Abrechnungszyklen und technische Freigabestatus.
• Kommunikationsdaten: Supportanfragen, transaktionsbezogene E-Mails, Zustellstatus, Zustellereignisse, Versandmetadaten und Kommunikationshistorien.
• Einwilligungs- und Cookie-Daten: Consent-ID, Consent-Status, Kategorien, Zeitpunkte und technisch notwendige Cookie-Informationen.
• Abrechnungs- und E-Rechnungsdaten: Abrechnungsmonate, Netto-, Steuer- und Bruttobeträge, Korrektur- und Stornovorgänge, Dateimetadaten und strukturierte Dokumentinhalte. Bei einem MZG-Einlösungsbeleg über 250,00 EUR können hierzu Name, Anschrift und Land des tatsächlichen Leistungsempfängers gehören.
• Audit- und Missbrauchsdaten: Freigabehistorien, Rollenwechsel, Sicherheitsereignisse, Zustell- und Webhook-Metadaten, Missbrauchssignale und technische Nachweise.

4. Benutzerkonto, Authentifizierung und Social Login

Für Registrierung, Anmeldung und Kontoverwaltung nutzen wir derzeit Google Cloud Identity Platform. Je nach gewählter Methode verarbeiten wir insbesondere E-Mail-Adresse, technische Nutzer-IDs, Sitzungsinformationen, Statusdaten und sicherheitsrelevante Authentifizierungsdaten.

Zusätzlich unterstützen wir Passkey-/WebAuthn-basierte Anmelde- und Sicherheitsfunktionen. Dabei speichern wir die hierfür erforderlichen technischen Credential-Daten und Sicherheitsprotokolle, jedoch keine biometrischen Rohdaten. Die biometrische oder gerätebasierte Freigabe erfolgt lokal auf dem Endgerät der Nutzerin oder des Nutzers.

Derzeit bieten wir Social Login über Google an. Dabei verarbeiten wir - abhängig von den freigegebenen Informationen - insbesondere E-Mail-Adresse, technische Konto-ID und Basis-Profildaten.

5. Partner-Onboarding, Verträge und Rollenverwaltung

Wenn sich Unternehmen oder Vertreter über unsere Plattform als Partner bewerben oder bestehende Partnerzugänge administrativ verwaltet werden, verarbeiten wir zusätzliche geschäftsbezogene und personenbezogene Daten.

Dazu gehören insbesondere Firmenname, Ansprechpartner, geschäftliche Kontakt- und Adressdaten, Onboarding- und Vertragsstatus, geplante Nutzung der Plattform, Prüf- und Freigabevermerke sowie Vertrags- und Dokumentmetadaten.

Die für ein Stripe Connected Account erforderlichen KYC-, Identitäts-, Vertretungs-, Steuer-, Dokument- und Auszahlungsbankdaten werden im aktiven Onboarding unmittelbar durch Stripe in dessen eingebetteten Komponenten erhoben und geprüft. GeschenkOn speichert für diesen Ablauf grundsätzlich nur die Stripe-Account-Referenz, technische Status- und Anforderungscodes, Zeitpunkte und notwendige Auditdaten, nicht jedoch neu eingegebene Ausweisdokumente, Selfies, vollständige Bankverbindungen oder KYC-Formularinhalte.

Historische, vor der Umstellung erfasste Onboarding-Profildaten können bis zum Abschluss einer dokumentierten Aufbewahrungs- und Löschprüfung gesperrt fortbestehen. Sie werden im aktiven Stripe-Onboarding nicht erneut verwendet oder angezeigt. Gesetzlich erforderliche Vertrags- und Unternehmensdaten werden getrennt von Stripe-KYC-Daten verarbeitet.

Zur kontrollierten Rechtevergabe verarbeiten wir außerdem Operator-Einladungen und Rolleninformationen. Dazu gehören Empfänger-E-Mail-Adresse, Zielrolle, zugehöriger Franchise-, Marken- oder Shop-Bezug, Einladungsstatus, Ablaufdatum, Versand-, Annahme-, Ablehnungs-, Storno- und erneute Versandereignisse sowie die verantwortliche Administratorin oder der verantwortliche Administrator.

Beim elektronischen Vertragsschluss über unser Partnerportal speichern wir zum Nachweis des Vertragsschlusses den Zeitpunkt der Abgabe des Vertragsangebots und der Annahme, die angezeigte Vertragsfassung und Sprache, Prüfsummen der angezeigten Vertragsdokumente und der Vertragszusammenfassung, den Wortlaut der bestätigten Erklärungen, die angegebenen Unternehmens- und Vertretungsdaten sowie Hashwerte der IP-Adresse und der Browserkennung. IP-Adresse und Browserkennung speichern wir für diesen Zweck nicht im Klartext. Ebenso speichern wir Angebote zur Verlängerung oder Änderung des Vertrags, Ablehnungsgründe und den Versand der zugehörigen Mitteilungen. Rechtsgrundlagen sind die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB) sowie unser berechtigtes Interesse an der Beweissicherung (Art. 6 Abs. 1 lit. f DSGVO). Die Nachweisdaten bewahren wir zehn Jahre nach Ablauf des Kalenderjahres auf, in dem der Vertrag endet; die Hashwerte von IP-Adresse und Browserkennung löschen wir bereits drei Jahre nach Ablauf dieses Kalenderjahres.

6. Bestellungen, Gutscheine, Zahlungen, Settlement und E-Rechnung

Zur Vertragsabwicklung verarbeiten wir Bestell-, Gutschein-, Zahlungs-, Kommunikations- und Statusdaten. Hierzu gehören Bestellnummern, Order-Item-Daten, Gutschein-IDs, Empfängerbezüge, Zahlungsreferenzen, Rechnungsnummern und steuerlich relevante Dokumentationsdaten.

Die Bezahlung wird produktiv über Stripe als technischen Zahlungsdienstleister abgewickelt. Dabei verarbeiten wir Zahlungs-, Checkout-, Zahlungsstatus-, Webhook- und Reconciliation-Daten, soweit dies für Vertragsdurchführung, Betrugsprävention, Nachweis und steuerliche Dokumentation erforderlich ist.

Um Kakao Pay und Naver Pay nur bei Zugriffen aus Südkorea anzuzeigen, werten wir einen Länderhinweis aus. Diesen ermittelt unser Netzwerk- und Sicherheitsdienstleister Cloudflare, Inc. (USA) als Auftragsverarbeiter anhand der IP-Adresse Ihres Zugriffs und übermittelt uns nur den Ländercode. Für diese Prüfung verwenden wir selbst keine IP-Adresse und speichern oder protokollieren den Ländercode nicht.

Zahlungsarten. Die Zahlung wird über Stripe abgewickelt. Wählen Sie Klarna, werden die für die Zahlungsabwicklung erforderlichen Daten (Name, Rechnungsanschrift, E-Mail-Adresse, Bestellbetrag und Bestellpositionen) an die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, übermittelt, die als eigenständige Verantwortliche Identitäts- und Bonitätsprüfungen durchführen kann; es gelten die Datenschutzhinweise von Klarna. Wählen Sie Google Pay, erfolgt die Zahlung mit den in Ihrem Google-Konto hinterlegten Zahlungsdaten; die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verarbeitet diese Daten als eigenständige Verantwortliche nach ihren Datenschutzbestimmungen. GeschenkOn erhält keine vollständigen Kartendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Neben Endkundenbestellungen verarbeiten wir partnerbezogene Settlement-, Auszahlungs- und E-Rechnungsdaten. Hierzu gehören insbesondere Abrechnungszeiträume, Netto-, Steuer- und Bruttobeträge, Auszahlungsreferenzen, Stripe-Connect-bezogene Verifikations- und Auszahlungsstatusdaten, Korrektur- oder Stornovorgänge sowie strukturierte Daten für elektronische Rechnungsformate wie XRechnung oder ZUGFeRD.

Für neue Gutscheinstrukturen speichern wir je Order-Item die Gutscheinart, die maßgebliche rechtliche Hinweisversion, notwendige Checkout-Bestätigungen und eine Settlement-Policy-Momentaufnahme. Diese Daten dienen der Vertragsdurchführung, Nachweisführung, Partnerabrechnung, steuerlichen Dokumentation und Bearbeitung von Rückfragen oder Rückabwicklungen.

Im SC&T-Zahlungsfluss verarbeiten wir außerdem unveränderliche Zuordnungs- und Auditdaten zu Checkout-Batch, Verkäuferbestellung, Franchise, Zahlungsreferenz, Partner-Bruttoerlös, Provision, Steuer, grenzüberschreitender Transfer-Servicegebühr, Kleinbestellzuschlag, Partnertransfer, Transferumkehrung, Erstattung, Dispute, Chargeback und Korrektur. Jeder wirtschaftlich relevante Eintrag erhält einen eindeutigen Ereignisschlüssel, Ursprungsobjektbezug und Integritätshash; Berichtigungen erfolgen durch Gegen- oder Korrektureinträge. Diese Nachweise werden nur im erforderlichen Umfang und für Vertragsdurchführung, Abrechnung, Betrugsprävention, Rechtsverteidigung sowie gesetzliche Steuer- und Aufbewahrungspflichten verarbeitet.

Wenn ein einzelner MZG-Einlösungsbeleg 250,00 EUR übersteigt, erfasst GeschenkOn in der Geschenkbox die für eine Vollrechnung erforderlichen Angaben des tatsächlichen Leistungsempfängers. Das änderbare Profil wird verschlüsselt gespeichert und nur für die Erstellung künftiger Einlösungsbelege verwendet. Bei jeder betroffenen Einlösung wird zusätzlich eine unveränderliche, verschlüsselte Dokumentationsmomentaufnahme angelegt, damit die ausgestellte Rechnung später nachgewiesen werden kann. Die Angaben werden nicht für Stripe-KYC verwendet und ersetzen keine KYC-Daten.

Rechtsgrundlagen sind, je nach Einzelfall, die Vertragsdurchführung und die Erfüllung gesetzlicher Rechnungs-, Steuer- und Aufbewahrungspflichten. Das änderbare Profil kann berichtigt oder gelöscht werden, soweit keine Pflicht zur weiteren Verarbeitung besteht; bereits einer ausgestellten Rechnung zugeordnete Nachweisdaten bleiben für die gesetzliche Aufbewahrungsdauer gesperrt erhalten.

Bei physischen Lieferprodukten verarbeiten wir, soweit erforderlich, Lieferadresse, Versandstatus, Tracking-Referenzen, Fulfillment-Status und partnerbezogene Shopify-Referenzen. Shopify dient dabei nur als angebundenes Erfüllungssystem des jeweiligen Partners, sofern eine solche Verbindung eingerichtet ist.

6a. Daten von Gutscheinempfängern

Wenn Sie einen Gutschein als Geschenk erhalten, haben wir Ihre E-Mail-Adresse nicht bei Ihnen selbst erhoben. Sie stammt von der Person, die den Gutschein gekauft hat, von einem Geschäftskunden, der Gutscheine an mehrere Empfänger versendet, oder von einem Partnerunternehmen, das eigene Gutscheine über die Plattform ausgibt (Art. 14 DSGVO). Wir verarbeiten Ihre E-Mail-Adresse und die zum Geschenk gehörenden Angaben ausschließlich, um Ihnen den Gutschein zuzustellen und bereitzustellen, die Einlösung zu ermöglichen, die Zustellung nachzuweisen sowie Supportanfragen und Missbrauchsfälle zu bearbeiten. Rechtsgrundlage ist unser berechtigtes Interesse und das berechtigte Interesse des Absenders an der zuverlässigen Zustellung des gewünschten Geschenks (Art. 6 Abs. 1 lit. f DSGVO).

Wir verwenden Ihre Adresse nicht für Werbung. Durch den Erhalt eines Gutscheins werden Sie für keinen Newsletter und keine sonstige Werbung angemeldet.

Ihre E-Mail-Adresse speichern wir nur kurz: Sie wird 90 Tage nach der erfolgreichen Zustellung des Gutscheins maskiert. Wird ein Versand nicht ausgeführt oder eine Geschenkanfrage abgebrochen, wird sie nach 30 Tagen maskiert. Zahlungs- und Ausgabebelege bewahren wir nur für die zahlende Person oder das zahlende Unternehmen (Käufer, Geschäftskunde oder ausstellender Partner) für die gesetzlichen Fristen auf; nach der Maskierung ist Ihre E-Mail-Adresse auch darin nicht mehr lesbar. Übernehmen Sie den Gutschein in ein eigenes Benutzerkonto, gelten für dieses Konto die übrigen Abschnitte dieser Datenschutzerklärung.

Empfänger dieser Daten sind Mailgun für den E-Mail-Versand (EU-Region) sowie der ausstellende Partner, soweit dies für die Einlösung erforderlich ist. Ihnen stehen die Rechte nach Abschnitt 13 zu, insbesondere das Recht, der Verarbeitung nach Art. 21 DSGVO zu widersprechen.

6b. Geschäftskundenkonten

Für Geschäftskundenkonten verarbeiten wir zusätzlich die erforderlichen Unternehmens-, Kontakt-, Vertretungs- und Freigabeangaben. Dazu gehören insbesondere Firma, Rechtsform, Geschäftsanschrift, Land, gegebenenfalls USt-IdNr., Handelsregister- oder Steuernummer, Vor- und Nachname sowie E-Mail-Adresse der handelnden Person, die Bestätigung ihrer Vertretungsberechtigung, der Prüf- und Freigabestatus sowie die für Abschluss und Nachweis von Bestellungen notwendigen Berechtigungs- und Vertragsinformationen, etwa die einbezogene Fassung der Allgemeinen Geschäftsbedingungen für Geschäftskunden. Firma, Anschrift und gegebenenfalls USt-IdNr. werden in die Rechnungen und Belege zur Bestellung übernommen. Angaben zur Person von Unternehmensvertretern verarbeiten wir nur, soweit dies für diese Zwecke erforderlich ist.

Rechtsgrundlagen sind die Anbahnung und Durchführung des Vertrags mit dem Unternehmen (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Rechnungs- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie für die Angaben zu handelnden Personen unser berechtigtes Interesse an der Prüfung der Unternehmereigenschaft und Vertretungsberechtigung und an der Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO). Versendet ein Geschäftskunde Gutscheine an mehrere Empfänger, gilt für die Empfängerdaten Abschnitt 6a. Eine dafür verwendete CSV-Datei wird nur in Ihrem Browser ausgelesen und nicht auf unsere Server hochgeladen; übermittelt wird nur die bestätigte Empfängerliste.

7. Transaktionsbezogene E-Mails und Kommunikationsmetadaten

Für den Versand transaktionsbezogener E-Mails nutzen wir Mailgun als technischen E-Mail-Dienstleister. Mailgun wird bevorzugt in der EU-Region eingesetzt.

Verarbeitet werden insbesondere Empfängeradresse, Template- und Zustellinformationen, Versandzeitpunkte, Nachrichten- und Zustellstatus, Bounce- oder Fehlerereignisse, technische Zustellereignisse, Sicherheits- und Webhook-Metadaten sowie zugehörige Support- und Nachweisinformationen.

7a. Keine Werbe-E-Mails; Push-Benachrichtigungen in der App

GeschenkOn versendet keine Werbung per E-Mail oder SMS und keinen Newsletter. E-Mails erhalten Sie nur, soweit sie für Ihr Benutzerkonto, Ihre Bestellungen, die Zustellung von Gutscheinen, die Sicherheit oder gesetzlich vorgeschriebene Mitteilungen erforderlich sind.

In der GeschenkOn-App können Sie Benachrichtigungen erhalten. Dienstbezogene Benachrichtigungen, etwa zu Bestellungen, Gutscheinen oder Sicherheitsereignissen, senden wir zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Werbliche Push-Benachrichtigungen, etwa zu Aktionen von GeschenkOn oder von Partnern, senden wir nur, wenn Sie dem in der App ausdrücklich zugestimmt haben (Opt-in); ohne Ihre Zustimmung ist diese Kategorie ausgeschaltet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft in den Benachrichtigungseinstellungen der App widerrufen; zusätzlich können Sie Benachrichtigungen in den Systemeinstellungen Ihres Geräts abschalten.

Dafür verarbeiten wir das Push-Token und die Plattform Ihres Geräts, Ihre Spracheinstellung, den Status Ihrer Einwilligung mit Zeitpunkt sowie Versand- und Zustellstatus der Benachrichtigungen. Die Zustellung erfolgt über Firebase Cloud Messaging von Google und den Push-Dienst des Betriebssystems Ihres Geräts.

8. Website-Zugriff, Hosting, Logs und technische Sicherheit

Beim Aufruf unserer Website und App verarbeiten wir Server- und Zugriffsprotokolle. Hierzu gehören insbesondere IP-Adresse, Datum und Uhrzeit des Abrufs, angeforderte URL, Header-Informationen, technische Antwortdaten, Geräte- und Browsermerkmale, Referrer und Request-IDs.

Für Hosting, Auslieferung und zentrale Plattformfunktionen nutzen wir Dienste von Google Cloud. Hierzu gehören insbesondere Firebase Hosting, Cloud Run, Identity Platform, Cloud Storage, Cloud SQL und Cloud Tasks.

Der Website- und App-Verkehr wird über das Netzwerk von Cloudflare, Inc. (USA) geleitet, das als Auftragsverarbeiter DNS, Auslieferung sowie den Schutz vor Angriffen und Missbrauch bereitstellt. Dabei verarbeitet Cloudflare insbesondere IP-Adresse, angeforderte URL, Header-Informationen und technische Verbindungsdaten.

Zusätzlich verarbeiten wir Audit-, Sicherheits- und Missbrauchsprotokolle. Dazu gehören insbesondere Rollen- und Freigabeereignisse, Einladungs- und Onboarding-Historien, Fehlerzustände, Zustell- und Webhook-Ereignisse, Missbrauchssignale sowie weitere technische Nachweisdaten, soweit dies zur sicheren Bereitstellung, Fehleranalyse, Missbrauchsprävention und Rechtsverteidigung erforderlich ist. Unveränderliche Abrechnungsnachweise werden nach Ablauf der jeweils anwendbaren Aufbewahrungs- und Verjährungsfristen archiviert, gesperrt oder gelöscht; eine operative Löschung oder Überschreibung vor Fristablauf ist ausgeschlossen, soweit gesetzliche Pflichten oder die Verteidigung von Rechtsansprüchen entgegenstehen.

9. Cookies und Consent-Management

Wir verwenden technisch notwendige Cookies und sitzungsbezogene Speichermechanismen zur Bereitstellung der Website, zur Anmeldung, zur Sitzungsverwaltung, zur Sicherheitssteuerung und zur Sicherstellung zentraler Plattformfunktionen.

Für das Consent-Management verwenden wir eine eigene Lösung von GeschenkOn. Dabei verarbeiten wir insbesondere eine zufällige Consent-ID, die gewählten Kategorien, die Version dieser Hinweise, die Sprache sowie Zeitpunkt und Art der Entscheidung, um Ihre Einwilligung nachweisen zu können. Ihre Auswahl wird zusätzlich in einem eigenen, technisch notwendigen Cookie (go_consent) auf Ihrem Gerät gespeichert. Ein externer Anbieter für das Consent-Management wird nicht eingesetzt. Sie können Ihre Auswahl jederzeit über die Datenschutz-Einstellungen ändern oder widerrufen.

Bei erteilter Statistik-Einwilligung kann GeschenkOn eigene First-Party-Tracking-Ereignisse verarbeiten, um Seitenaufrufe, technische Nutzungsereignisse, Spracheinstellungen und aggregierte Reichweiten der Plattform zu messen. Dabei werden keine bewusst direkt identifizierenden Rohdaten wie E-Mail-Adressen, Telefonnummern, Zahlungsdaten, IBAN, Lieferadressen oder Namen in den Tracking-Parametern gespeichert; IP-Adresse, User-Agent und anonyme Sitzungsreferenzen werden nur gehasht oder technisch minimiert verarbeitet.

Analyse- oder Marketing-Tags wie Google Analytics, Google Tag Manager, Google Ads oder Meta Pixel werden nur geladen oder mit nicht notwendigen Ereignissen versorgt, wenn die dafür erforderliche Einwilligung vorliegt und die jeweilige Konfiguration aktiviert ist. Ohne entsprechende Einwilligung werden nur technisch notwendige Plattformfunktionen ausgeführt.

10. Kategorien von Empfängern

• Google Cloud als technischer Infrastruktur- und Plattformdienstleister.
• Cloudflare, Inc. als Auftragsverarbeiter für Domain-, DNS-, Netzwerk- und Sicherheitsdienste (Weiterleitung des Website- und App-Verkehrs, Schutz vor Angriffen, Länderhinweis für die Anzeige von Zahlungsarten).
• Stripe für Zahlungsabwicklung, Zahlungsstatus, Betrugsprävention und partnerbezogene Connect- bzw. Settlement-Prozesse.
• Mailgun für transaktionsbezogene E-Mail-Zustellung und Zustellmetadaten.
• Shopify oder Shopify-angebundenen Partnersystemen, soweit dies für physische Fulfillment-, Versand- oder Bestandsprozesse erforderlich ist.
• Partnergeschäfte, soweit dies zur Vertragserfüllung, Einlösung, Rechnungsstellung, Partnerabrechnung oder Bearbeitung partnerbezogener Leistungen erforderlich ist.

11. Drittstaatenübermittlungen

Die Verarbeitung durch Mailgun in der EU-Region und durch Cloud Storage in europe-west3 erfolgt innerhalb der EU und ist keine Drittlandübermittlung. Für die EWR-Vertragsgesellschaft von Stripe beruht eine Verarbeitung in den USA bei entsprechend zertifizierten Empfängern auf dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Cloudflare, Inc. kann Daten auch in den USA verarbeiten; dies beruht auf dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend auf den EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags.

12. Speicherfristen

• Server- und Zugriffslogs: grundsätzlich 30 Tage, soweit keine längere Aufbewahrung aus Sicherheits-, Nachweis- oder Missbrauchsgründen erforderlich ist.
• Login- und sicherheitsbezogene Ereignisdaten: grundsätzlich 90 Tage, soweit keine längere Speicherung zur Missbrauchsaufklärung oder Rechtsverteidigung erforderlich ist.
• Bestellungen, Rechnungs- und steuerlich relevante Transaktionsdaten: 10 Jahre, soweit handels- oder steuerrechtliche Pflichten bestehen.
• E-Mail-Adressen von Gutscheinempfängern: Maskierung 90 Tage nach erfolgreicher Zustellung; bei nicht ausgeführtem Versand oder abgebrochener Geschenkanfrage nach 30 Tagen (Abschnitt 6a).
• Partnervertrags-, Onboarding-, Auszahlungs- und Verifikationsdaten: so lange, wie dies für Vertragsdurchführung, gesetzliche Pflichten, Prüfzwecke und Rechtsverteidigung erforderlich ist.
• Settlement- und E-Rechnungsdaten: so lange, wie dies für Buchführung, steuerliche Nachweise, Compliance und kaufmännische Dokumentation erforderlich ist.

13. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach Maßgabe der gesetzlichen Vorgaben. Soweit eine Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

14. Beschwerderecht und Änderungen

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche, technische oder betriebliche Rahmenbedingungen ändern oder wenn wir neue Dienste, Funktionen oder Verarbeitungen einführen.