1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:
Mein Steinbild · Carolin Hecky · Hosleite 13 · 95478 Kemnath · Deutschland
E-Mail: hallo@mein-steinbild.de
2. Grundsätze und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb und die Sicherheit des Shops, die Bearbeitung von Anfragen, Kundenkonten, Bestellungen, Zahlungen, Fertigung und Versand sowie für gesetzliche Nachweise erforderlich ist.
Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 Buchst. b DSGVO für Vertragsanbahnung und Vertragserfüllung, Art. 6 Abs. 1 Buchst. c DSGVO für gesetzliche Pflichten sowie Art. 6 Abs. 1 Buchst. f DSGVO für den sicheren, zuverlässigen und wirtschaftlichen Betrieb des Shops. Soweit eine Einwilligung eingeholt wird, beruht die Verarbeitung auf Art. 6 Abs. 1 Buchst. a DSGVO. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
3. Hosting und Auslieferung über Cloudflare
Diese Website wird auf der Cloudflare-Plattform betrieben. Bei einem Seitenaufruf verarbeitet Cloudflare insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemangaben sowie technische Sicherheits- und Fehlerdaten. Die Verarbeitung dient der Auslieferung der Website, der Abwehr von Angriffen und der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.
Shop-, Konto- und Bestelldaten werden in Cloudflare D1 gespeichert. Produktmedien, Rechnungen und Sicherungen können in Cloudflare R2 gespeichert werden; für die verwendeten R2-Buckets ist eine EU-Datenregion konfiguriert. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, California 94107, USA. Die Verarbeitung erfolgt auf Grundlage der vereinbarten Auftragsverarbeitung. Für unvermeidbare Drittlandübermittlungen werden die jeweils anwendbaren Garantien, insbesondere ein Angemessenheitsbeschluss oder Standardvertragsklauseln, genutzt.
4. Technische Protokolle und Sicherheit
Zur Sicherung und Überwachung des Betriebs können kurzfristig technische Protokolle verarbeitet werden. Dazu gehören unter anderem Zeitpunkt und Art eines Aufrufs, IP-Adresse, Browserinformationen, Fehlermeldungen und sicherheitsrelevante Ereignisse. Eine Zusammenführung dieser Daten mit Kundenprofilen zu Werbezwecken findet nicht statt.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in einem stabilen und sicheren Shopbetrieb, der Aufklärung technischer Fehler und dem Schutz vor Missbrauch. Protokolle werden gelöscht, sobald sie für diese Zwecke nicht mehr benötigt werden, vorbehaltlich eines konkreten Sicherheitsvorfalls oder gesetzlicher Pflichten.
5. Erforderliche Cookies und lokaler Warenkorb
Für die Anmeldung und den sicheren Betrieb des Kunden- und Adminbereichs werden technisch erforderliche Sitzungs-Cookies verwendet. Der Warenkorb wird im lokalen Speicher des Browsers gespeichert, damit die ausgewählten Artikel beim nächsten Seitenaufruf erhalten bleiben.
Diese Speicherungen sind für die vom Nutzer ausdrücklich gewünschten Shop- und Kontofunktionen erforderlich. Soweit § 25 TDDDG anwendbar ist, beruht der Zugriff auf § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung erfolgt auf Art. 6 Abs. 1 Buchst. b oder f DSGVO. Marketing-Cookies werden nicht eingesetzt.
6. Reichweitenmessung mit Umami
Wir verwenden eine selbst gehostete Installation von Umami, um die Nutzung des Shops statistisch auszuwerten. Erfasst werden insbesondere Seitenaufrufe, Referrer, Browser, Betriebssystem, Gerätetyp und das ungefähre Herkunftsland. Wir verwenden keine benutzerbezogenen Kennungen, eigenen Sitzungsmerkmale oder Sitzungsaufzeichnungen. Umami setzt für die Reichweitenmessung keine Cookies ein und speichert die IP-Adresse nicht dauerhaft. Aus IP-Adresse, User-Agent und einer Website-Kennung wird vorübergehend ein nicht unmittelbar zuordenbarer Sitzungswert gebildet.
Die Umami-Anwendung und ihre Analysedaten werden auf einem Coolify-Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Verarbeitung erfolgt in Deutschland auf Grundlage eines Vertrags zur Auftragsverarbeitung.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt darin, Reichweite, technische Nutzung und Inhalte des Shops ohne Werbeprofile und ohne geräteübergreifende Wiedererkennung zu verstehen und zu verbessern.
7. Kontakt, Resend und Microsoft 365
Bei einer Kontaktaufnahme verarbeiten wir Name, E-Mail-Adresse, Nachrichteninhalt und die für die Bearbeitung erforderlichen Begleitdaten. Das Kontaktformular versendet die Nachricht über Resend an unser Microsoft-365-Postfach. Über die elektronische Widerrufsfunktion verarbeiten wir außerdem Name, E-Mail-Adresse, Bestell- oder Vertragsreferenz, Umfang der Widerrufserklärung sowie Eingangsdatum und -uhrzeit. Resend übermittelt den Widerruf an unser Postfach und sendet dem Verbraucher unmittelbar eine Eingangsbestätigung. Resend wird außerdem für Bestellbestätigungen, Rechnungen, Versandinformationen und Anmeldelinks verwendet.
Anbieter von Resend ist Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, California 94114, USA. Die Verarbeitung erfolgt im Rahmen der vereinbarten Auftragsverarbeitung. Für Drittlandübermittlungen werden die anwendbaren Garantien, insbesondere ein Angemessenheitsbeschluss oder Standardvertragsklauseln, genutzt.
Das Postfach wird über Microsoft 365 bereitgestellt. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist regelmäßig Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft kann Daten im Rahmen des vereinbarten Datenschutz- und Auftragsverarbeitungsnachtrags auch durch verbundene Unternehmen verarbeiten.
Vertragsbezogene Kommunikation einschließlich Widerrufserklärungen wird auf Grundlage von Art. 6 Abs. 1 Buchst. b und c DSGVO verarbeitet. Für sonstige Anfragen gilt Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt in der zuverlässigen Bearbeitung von Nachrichten. Kontaktanfragen ohne anschließende Bestellung oder Streitfall werden spätestens sechs Monate nach Abschluss der Bearbeitung auch aus dem aktiven E-Mail-Postfach gelöscht. Widerrufserklärungen werden als vertragsbezogene Korrespondenz im Rahmen der dafür geltenden Nachweis- und Aufbewahrungsfristen gespeichert. Gesetzliche Pflichten und die notwendige Rechtsverteidigung bleiben unberührt.
Datenschutzhinweise von Resend Datenschutzhinweise von Microsoft
8. Freiwilliges Kundenkonto
Das Kundenkonto ist freiwillig; eine Bestellung als Gast bleibt möglich. Für das Konto verarbeiten wir insbesondere Name, E-Mail-Adresse, Anmeldedaten, Sitzungsdaten und gegebenenfalls technische Passkey-Daten. Die Anmeldung erfolgt über einen einmalig nutzbaren E-Mail-Link oder einen auf dem Gerät eingerichteten Passkey. Passwörter werden nicht im Klartext gespeichert.
Die Verarbeitung dient der sicheren Anmeldung, der Anzeige von Bestellungen und einer vereinfachten Bestellverwaltung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; Sicherheitsprotokolle beruhen zusätzlich auf Art. 6 Abs. 1 Buchst. f DSGVO. Kontodaten werden grundsätzlich bis zur Löschung des Kontos gespeichert. Aufbewahrungspflichtige Bestell- und Rechnungsdaten bleiben davon unberührt.
9. Bestellungen und Personalisierungen
Bei einer Bestellung verarbeiten wir insbesondere Produkt und Ausführung, Name, E-Mail-Adresse, Rechnungs- und Lieferanschrift, Zahlungsstatus, Bestellzeitpunkt, Bestell- und Rechnungsnummer, Versandstatus sowie gegebenenfalls Geschenknachricht, Name, Datum oder eigenen Spruch für eine Personalisierung. Diese Angaben werden benötigt, um den Vertrag zu erfüllen, das Steinbild in der bestellten Ausführung herzustellen, zu versenden und Rückfragen, Gewährleistung oder Rückabwicklung zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.
Personalisierungs- und sonstige Bestelldaten werden als Bestandteil der Vertrags- und Geschäftsunterlagen regelmäßig sechs Jahre aufbewahrt. Rechnungen, Zahlungs- und Buchungsbelege werden regelmäßig acht Jahre, bestimmte Bücher und Aufzeichnungen zehn Jahre aufbewahrt. Die Fristen beginnen grundsätzlich mit dem Schluss des jeweiligen Kalenderjahrs. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten. Soweit Daten darüber hinaus zur Geltendmachung oder Abwehr von Ansprüchen erforderlich sind, beruht dies auf Art. 6 Abs. 1 Buchst. f DSGVO.
10. Zahlung über Stripe
Die Zahlung wird über Stripe Checkout abgewickelt. Je nach Verfügbarkeit kann dort insbesondere mit Karte, Klarna, Amazon Pay, PayPal oder Apple Pay bezahlt werden. Stripe und der ausgewählte Zahlungsdienst können dabei Name, E-Mail-Adresse, Rechnungs- und Lieferanschrift, Bestellwert, Währung, Zahlungsart, Geräte- und Verbindungsdaten sowie Daten zur Betrugsprävention verarbeiten. Vollständige Kartendaten werden nicht auf unseren Systemen gespeichert.
Anbieter für Nutzer im Europäischen Wirtschaftsraum ist regelmäßig Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Die Übermittlung ist zur Zahlungsabwicklung und Vertragserfüllung gemäß Art. 6 Abs. 1 Buchst. b DSGVO erforderlich. Stripe und der jeweils ausgewählte Zahlungsdienst verarbeiten bestimmte Daten außerdem in eigener Verantwortung, insbesondere zur Erfüllung gesetzlicher Pflichten sowie zur Betrugs- und Missbrauchsprävention.
11. Versand mit DHL
Für den Versand übermitteln wir den Namen und die Lieferanschrift an DHL. Eine E-Mail-Adresse oder Telefonnummer wird nicht für Versandankündigungen an DHL weitergegeben. Die Übermittlung ist zur Vertragserfüllung gemäß Art. 6 Abs. 1 Buchst. b DSGVO erforderlich.
Versanddienstleister ist die DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, Deutschland.
12. Etsy-Verkäufe und Etsy-Import
Bei einer Bestellung über Etsy verarbeitet Etsy die Kundendaten zunächst nach den eigenen Datenschutzbestimmungen. Mein Steinbild und Etsy handeln für ihre jeweiligen Verarbeitungen grundsätzlich als getrennt Verantwortliche.
Über die Etsy-Schnittstelle übernehmen wir insbesondere Bestellnummer, Käufername, E-Mail-Adresse, Lieferanschrift, bestellte Artikel, Beträge, Gebühren, Erstattungen sowie Zahlungs- und Versandstatus in unsere interne Verwaltung. Dies dient der Erfüllung der Etsy-Bestellung, Buchführung und einheitlichen betrieblichen Verwaltung. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO.
Für Nutzer im Europäischen Wirtschaftsraum wird der Etsy-Dienst durch Etsy Ireland UC, 5th Floor, One Le Pole Square, Ship Street Great, Dublin 8, Irland, angeboten.
13. Empfänger und Drittlandübermittlungen
Zugriff auf personenbezogene Daten haben intern ausschließlich Carolin Hecky und Mirko Hecky, soweit dies für Shopbetrieb, Bestellabwicklung und Administration erforderlich ist. Extern erhalten Daten nur die für den jeweiligen Zweck benötigten Technik-, E-Mail-, Zahlungs- und Versanddienstleister sowie Banken, Finanzverwaltung oder andere Behörden, soweit eine gesetzliche Pflicht besteht. Eine Weitergabe zu Werbezwecken findet nicht statt.
Soweit ein Anbieter Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet, erfolgt die Übermittlung nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer gesetzlichen Ausnahme.
14. Deine Datenschutzrechte
Du hast nach den gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung deiner Rechte genügt eine Nachricht an hallo@mein-steinbild.de.
Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen. Gegen Direktwerbung könntest du jederzeit ohne besondere Begründung widersprechen; Direktwerbung findet derzeit nicht statt.
Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für nichtöffentliche Unternehmen in Bayern ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig.
15. Automatisierte Entscheidungen und Aktualisierungen
Auf dieser Website findet keine ausschließlich automatisierte Entscheidung durch Mein Steinbild statt, die dir gegenüber rechtliche oder ähnlich erhebliche Wirkung entfaltet. Stripe oder der ausgewählte Zahlungsdienst können in eigener Verantwortung automatisierte Prüfungen zur Betrugs- und Missbrauchsprävention einsetzen.
Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Anbieter oder gesetzliche Anforderungen ändern. Es gilt die auf dieser Seite veröffentlichte Fassung.