Datenschutzerklärung

Verantwortliche Stelle

Boll & Boll Produkte GbR, Wormser Str. 173, 55130 Mainz, Germany. E-Mail: natalie@matinataskincare.com. Telefon: +49 171 270 6558. Vertreten durch Natalie Boll.

Wir sind gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Bitte richten Sie alle datenschutzrechtlichen Anfragen an die oben genannte Adresse.

Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung (Cookies, Newsletter, Marketing-Messung).
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Kaufvertrags (Bestellung, Lieferung, Kundenkonto, Support).
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten (steuer- und handelsrechtliche Aufbewahrung, § 147 AO, § 257 HGB).
• Art. 6 Abs. 1 lit. f DSGVO — unsere berechtigten Interessen (sicherer Betrieb der Website, Betrugsprävention, Abwehr von Angriffen und Missbrauch). Wir wägen diese jeweils gegen Ihre Interessen ab.

Besuch der Website: Server-Logs und Sicherheit

• Daten: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene URL, Referrer, Browser und Betriebssystem, Status und übertragene Datenmenge.
• Zweck: Bereitstellung der Website, Stabilität und Sicherheit, Erkennung und Abwehr von Angriffen, Bot-Filterung und Missbrauchsprävention.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Betrieb eines sicheren, verfügbaren Onlineshops und Schutz vor Angriffen, Scraping und betrügerischem Traffic.
• Empfänger: Lovable Cloud (Hosting/Infrastruktur) und Cloudflare, Inc. (CDN und Sicherheit) als Auftragsverarbeiter.
• Speicherdauer: Log- und Sicherheitsdaten werden spätestens nach 30 Tagen gelöscht oder anonymisiert, sofern kein konkreter Sicherheitsvorfall eine längere Beweissicherung erfordert.

Warenkorb und Spracheinstellung

• Daten: Produkte in Ihrem Warenkorb, Mengen und Ihre Sprachauswahl, lokal in Ihrem Browser gespeichert (localStorage).
• Zweck: Erhalt von Warenkorb und Sprache während des Besuchs und bis zum Abschluss der Bestellung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Speicherung ist unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG, eine Einwilligung ist daher nicht nötig.
• Speicherdauer: bis Sie den Warenkorb leeren, die Bestellung abschließen oder den Browserspeicher löschen.

Bestellung, Checkout und Zahlung

• Daten: Vor- und Nachname, Rechnungs- und Lieferadresse, E-Mail-Adresse, Telefonnummer (falls angegeben), Bestellinhalt und -wert, Bestellnummer, IP-Adresse zum Zeitpunkt der Bestellung sowie Zahlungsmetadaten (Zahlungsart, Autorisierungsstatus). Vollständige Kartendaten sehen und speichern wir nicht.
• Zweck: Abschluss und Durchführung des Kaufvertrags, Rechnungsstellung, Zahlungsabwicklung, Bearbeitung von Rückbuchungen und gesetzliche Buchführung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Vertrag; Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB für Rechnungen und Buchungsbelege; Art. 6 Abs. 1 lit. f DSGVO für Betrugs- und Chargeback-Prävention.
• Empfänger: Shopify International Ltd. (Irland) und Shopify Inc. (Kanada) als Auftragsverarbeiter; der von Ihnen gewählte Zahlungsdienstleister (Shopify Payments/Stripe, PayPal, Klarna soweit angeboten) als eigenständig Verantwortlicher für die Zahlung; unsere Steuerberatung und, soweit erforderlich, die Finanzbehörden.
• Speicherdauer: Rechnungen und buchführungsrelevante Bestelldaten werden 10 Jahre ab Ende des Kalenderjahres der Bestellung aufbewahrt (§ 147 AO). Nicht aufbewahrungspflichtige Daten löschen wir nach Ablauf von Gewährleistungs- und Widerrufsfristen.

Betrugsprävention und Risikoprüfung im Checkout

• Daten: IP-Adresse, Geräte- und Browsermerkmale, Abweichungen zwischen Rechnungs- und Lieferadresse, Bestellhäufigkeit und -wert, Ergebnisse der Zahlungsautorisierung.
• Zweck: Erkennung betrügerischer Bestellungen, Kartentests und Chargeback-Missbrauch vor dem Versand.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Vermeidung finanzieller Schäden durch betrügerische Bestellungen. Keine Bestellung wird ausschließlich automatisiert mit Rechtsfolge abgelehnt; es entscheidet immer ein Mensch (siehe „Automatisierte Entscheidungen“).
• Empfänger: Shopify (Fraud Analysis), der gewählte Zahlungsdienstleister, Cloudflare (Bot- und Missbrauchserkennung).
• Speicherdauer: gemeinsam mit den Bestelldaten, längstens für die gesetzliche Aufbewahrungsfrist der Bestellung.

Kundenkonto

• Daten: E-Mail-Adresse, Name, Lieferadressen, Bestellhistorie und Login-Metadaten (letzter Login, Login-Codes). Shopify-Kundenkonten nutzen Login-Codes per E-Mail anstelle von Passwörtern.
• Zweck: Zugriff auf Ihre Bestellungen und Adressen sowie einfachere Folgekäufe.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Empfänger: Shopify als Auftragsverarbeiter.
• Speicherdauer: bis Sie Ihr Konto löschen oder uns um Löschung bitten; aufbewahrungspflichtige Bestellunterlagen bleiben für die oben genannte Frist gespeichert.

Kontaktaufnahme

• Daten: Ihr Name, Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht und etwaige Anhänge.
• Zweck: Beantwortung Ihrer Anfrage und Dokumentation, soweit sie eine Bestellung betrifft.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Produktanfragen).
• Speicherdauer: Anfragen werden sechs Monate nach abschließender Bearbeitung gelöscht, sofern keine handels- oder steuerrechtlichen Aufbewahrungspflichten bestehen.

Produktbewertungen (Judge.me)

• Daten: E-Mail-Adresse, Vorname oder Initialen, Bestellnummer, Bewertung, Bewertungstext und ggf. hochgeladene Fotos.
• Zweck: Versand einer Bewertungsanfrage nach dem Kauf und Veröffentlichung der Bewertungen auf den Produktseiten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO für die Bewertungsanfrage und die Veröffentlichung; veröffentlicht wird nur der von Ihnen angegebene Name bzw. die Initialen.
• Empfänger: Judge.me Ltd. (Vereinigtes Königreich, Angemessenheitsbeschluss) und deren US-Infrastruktur als Auftragsverarbeiter.
• Speicherdauer: veröffentlichte Bewertungen bleiben online, bis Sie deren Entfernung verlangen; Bewertungsanfragen und nicht abgegebene Bewertungen werden nach 12 Monaten gelöscht.

Newsletter und E-Mail-Marketing (Klaviyo)

• Daten: E-Mail-Adresse, Vorname (optional), Datum und Uhrzeit der Anmeldung, Bestätigungszeitpunkt und für das Double-Opt-in verwendete IP-Adresse sowie Interaktionsdaten (Öffnungen, Klicks).
• Zweck: Versand unseres Newsletters zu Formeln, Ritualen und Angeboten sowie Messung, ob er gelesen wird.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Wir verwenden das Double-Opt-in-Verfahren: Ihre Anmeldung wird erst aktiv, wenn Sie den Link in der Bestätigungs-E-Mail anklicken. Anmeldung und Bestätigung dokumentieren wir als Einwilligungsnachweis.
• Profilbildung: mit Ihrer Einwilligung erfasst Klaviyo zusätzlich angesehene Produkte, Warenkorb-Ereignisse und Käufe und personalisiert damit Inhalt und Zeitpunkt unserer E-Mails. Dies hat keine rechtliche Wirkung für Sie; Sie können jederzeit widersprechen oder die Einwilligung widerrufen.
• Empfänger: Klaviyo, Inc. (USA) als Auftragsverarbeiter.
• Widerruf: jede E-Mail enthält einen Abmeldelink mit einem Klick; Sie können auch an uns schreiben. Der Widerruf berührt die Rechtmäßigkeit bereits erfolgter Verarbeitung nicht.
• Speicherdauer: Abonnementdaten werden nach der Abmeldung unverzüglich gelöscht; den Einwilligungsnachweis (Anmeldung und Bestätigung) bewahren wir danach bis zu drei Jahre als Rechtsnachweis auf.

Onsite-Tracking durch Klaviyo

• Daten: pseudonyme Profil-ID (__kla_id), aufgerufene Seiten und Produkte, Warenkorb-Ereignisse und – bei Abonnenten – die Verknüpfung mit Ihrem E-Mail-Profil.
• Zweck: relevante E-Mail-Inhalte, etwa Erinnerungen an angesehene Produkte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO / § 25 Abs. 1 TDDDG. Das Skript wird erst nach Ihrer Cookie-Einwilligung geladen.
• Speicherdauer: bis zu 2 Jahre bzw. bis zum Widerruf oder zur Löschung Ihres Profils.

Meta-Pixel (Facebook-/Instagram-Werbung)

• Daten: Cookie-Kennung (_fbp), IP-Adresse, Browser- und Gerätedaten, aufgerufene Seiten, Produktansichten, Warenkorb- und Checkout-Start-Ereignisse.
• Zweck: Messung der Werbeleistung, Bildung von Custom und Lookalike Audiences und Ausspielung unserer Anzeigen auf Meta-Plattformen (Verhaltensanalyse zu Werbezwecken).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO / § 25 Abs. 1 TDDDG. Das Pixel-Skript wird ohne Ihre Einwilligung überhaupt nicht geladen.
• Empfänger: Meta Platforms Ireland Ltd. und Meta Platforms, Inc. (USA). Für Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO; die weitere Verarbeitung durch Meta zu eigenen Zwecken verantwortet Meta allein.
• Speicherdauer: bei Meta bis zu 2 Jahre, sofern nicht vorher gelöscht; Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Google Ads und Conversion-Messung

• Daten: Cookie-Kennungen (_gcl_au, _gac_*, IDE), Klick-Kennung einer Anzeige, IP-Adresse, Browserdaten, aufgerufene Seiten und Conversion-Ereignisse (Produktansicht, Warenkorb, Checkout-Start, Kauf).
• Zweck: Messung, welche Anzeigen zu Bestellungen führen, sowie erneute Ausspielung unserer Anzeigen (Remarketing).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO / § 25 Abs. 1 TDDDG. Wir nutzen den Google Consent Mode v2 mit standardmäßig auf „denied“ gesetzter Speicherung; das Google-Tag-Skript (googletagmanager.com) wird erst nach Ihrer Einwilligung angefordert – vorher wird von dieser Website keine Verbindung zu Google aufgebaut.
• Empfänger: Google Ireland Ltd. und Google LLC (USA).
• Speicherdauer: Werbe-Cookies laufen nach 15 Minuten bis 13 Monaten ab; Conversion-Daten speichert Google nach seinen eigenen Fristen.

Shopify-Shop-Analyse und Checkout-Tracking

• Daten: pseudonyme Besucher-Kennungen (_shopify_y, _shopify_s), Landingpage und Referrer, aufgerufene Seiten und Produkte auf Shop- und Checkout-Domain, Bestell-Ereignisse.
• Zweck: Verständnis der Nutzung von Shop und Checkout sowie Messung abgeschlossener Bestellungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO / § 25 Abs. 1 TDDDG für Analyse-Cookies; unbedingt erforderliche Checkout- und Betrugspräventions-Cookies auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und § 25 Abs. 2 TDDDG.
• Empfänger: Shopify International Ltd. (Irland), Shopify Inc. (Kanada, Angemessenheitsbeschluss).
• Speicherdauer: je Cookie zwischen 30 Minuten und 2 Jahren; die vollständige Tabelle finden Sie in unserer Cookie-Richtlinie.

Versand

• Daten: Name, Lieferadresse und – für Versandbenachrichtigungen – E-Mail-Adresse und/oder Telefonnummer.
• Zweck: Zustellung Ihrer Bestellung und Sendungsverfolgung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Empfänger: DHL Paket GmbH und ggf. weitere Versanddienstleister als eigenständig Verantwortliche für die Zustellung.
• Speicherdauer: gemeinsam mit den Bestelldaten; Versandunterlagen werden nach Ablauf gesetzlicher Aufbewahrungsfristen gelöscht.

Drittlandübermittlungen und Auskunft über die Garantien

Einige unserer Auftragsverarbeiter sitzen in den USA oder verarbeiten dort Daten (Klaviyo, Inc., Meta Platforms, Inc., Google LLC, Cloudflare, Inc., US-Infrastruktur von Judge.me und unseres Hosting-Anbieters). Ist ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO). Andernfalls stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) zusammen mit zusätzlichen technischen und organisatorischen Maßnahmen wie Verschlüsselung bei Übertragung und Speicherung, Datenminimierung und einer Transfer-Folgenabschätzung. Shopify Inc. sitzt in Kanada (Angemessenheitsbeschluss für kommerzielle Organisationen), Judge.me Ltd. im Vereinigten Königreich (Angemessenheitsbeschluss).

Eine Kopie der Standardvertragsklauseln oder eine Beschreibung der jeweils bestehenden Garantien erhalten Sie kostenlos, indem Sie mit dem Betreff „Garantien nach Art. 46 DSGVO“ an natalie@matinataskincare.com schreiben. Wir antworten innerhalb eines Monats.

Trotz dieser Garantien bleibt ein Restrisiko, dass Behörden in einem Drittland Zugriff auf Daten verlangen. Ihre Einwilligung für alle nicht notwendigen US-Dienste können Sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Auftragsverarbeitungsverträge

Mit allen in dieser Erklärung genannten Auftragsverarbeitern – darunter Shopify, Klaviyo, Judge.me, Cloudflare und unser Hosting-Anbieter – haben wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen. Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO sowie dokumentierte Lösch- und Aufbewahrungsregeln.

Speicherdauern im Überblick

• Rechnungen und Buchhaltungsdaten: 10 Jahre (§ 147 AO, § 257 HGB).
• Nicht aufbewahrungspflichtige Bestell- und Versanddaten: Löschung nach Ablauf von Gewährleistungs- und Widerrufsfristen.
• Server- und Sicherheitslogs: max. 30 Tage.
• Anfragen: 6 Monate nach Abschluss der Bearbeitung.
• Newsletter-Daten: Löschung bei Abmeldung; Einwilligungsnachweis bis zu 3 Jahre danach.
• Cookies und ähnliche Technologien: gemäß Tabelle in der Cookie-Richtlinie (Sitzung bis 2 Jahre).

Automatisierte Entscheidungen und Profilbildung

Eine automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne des Art. 22 DSGVO findet nicht statt. Betrugsbewertungen sind lediglich Hinweise und werden vor einer Stornierung stets durch einen Menschen geprüft. Profilbildung erfolgt ausschließlich zu Marketingzwecken über Klaviyo, Meta und Google wie oben beschrieben und nur mit Ihrer Einwilligung.

Besteht eine Pflicht zur Bereitstellung von Daten?

Sie sind nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne die für Vertrag, Lieferung und Rechnungsstellung erforderlichen Daten können wir eine Bestellung jedoch nicht ausführen, und ohne E-Mail-Adresse und Einwilligung keinen Newsletter versenden.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Beruht die Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie an natalie@matinataskincare.com – wir beantworten Anfragen innerhalb eines Monats und stets kostenfrei.

Zudem haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist: Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Cookies

Cookies und vergleichbare Technologien, die für Shop, Warenkorb und Checkout unbedingt erforderlich sind, setzen wir nach § 25 Abs. 2 TDDDG ohne Einwilligung ein. Alle übrigen Cookies und Skripte – Meta, Google, Klaviyo, Judge.me und Shopify-Analyse – werden erst nach Ihrer Zustimmung geladen; Sie können diese Entscheidung jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen. Unsere Cookie-Richtlinie enthält eine vollständige Tabelle mit Name, Anbieter, Zweck, Dauer, Partei und Rechtsgrundlage.