1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist der im Impressum genannte Anbieter.
2. Zwecke und Rechtsgrundlagen der Verarbeitung
- Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO): Kundenkonto, Bestellabwicklung, Versand, Zahlung, Support.
- Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Handels- und steuerrechtliche Aufbewahrung (§ 147 AO, § 257 HGB, 6–10 Jahre).
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): IT-Sicherheit, Betrugsprävention.
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 TTDSG): optionale Cookies, Statistik, Marketing — jederzeit widerrufbar.
3. Server, Hosting und Auftragsverarbeiter
Wir hosten den Shop bei Anbietern in der EU. Die Datenbank, Authentifizierung (Login/Registrierung) und der API-Server werden durch unseren Cloud-Anbieter bereitgestellt; mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
4. Konto und Login
Bei der Registrierung verarbeiten wir E-Mail-Adresse, Passwort-Hash und optional Name/Telefon. Wir setzen ein Double-Opt-in (Bestätigungs-E-Mail) ein. Passwörter werden gegen die Datenbank kompromittierter Passwörter (Have I Been Pwned) geprüft. Bei „Mit Google fortfahren" erhalten wir Name und E-Mail von Google (USA — Angemessenheitsbeschluss, EU-US Data Privacy Framework).
5. Bestellung und Zahlung
Für die Bestellung verarbeiten wir Rechnungs- und Lieferadresse, gewählte Artikel, Bestellnummer und Zahlungsstatus. Als Zahlungsarten bieten wir Banküberweisung (Vorkasse) und PayPal an. Bei Banküberweisung erhebt deine Bank die zur Überweisung nötigen Daten; bei PayPal verarbeitet PayPal als eigenständig Verantwortlicher die für die Zahlung erforderlichen Daten gemäß seiner Datenschutzerklärung.
6. Versand
Zur Lieferung übermitteln wir Name und Lieferadresse an das beauftragte Versandunternehmen (GLS bzw. DPD). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7. Cookies und ähnliche Technologien
Notwendige Cookies bzw. lokale Speicherung (Session, Warenkorb, Login, Cookie-Einwilligung, Spracheinstellung) setzen wir ohne Einwilligung auf Grundlage von § 25 Abs. 2 TTDSG. Optionale Cookies (Statistik/Marketing) nur mit deiner Einwilligung über unser Cookie-Banner. Deine Entscheidung wird lokal in deinem Browser gespeichert und kann jederzeit geändert werden.
8. Eingesetzte Dienste und Empfänger
- Schriftarten: Alle Schriften werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder anderen Font-CDNs.
- PayPal: Wählst du PayPal als Zahlungsart, wird auf der Checkout-Seite das PayPal-JavaScript-SDK von www.paypal.com geladen. Dabei erhält PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg; ggf. Übermittlung in die USA auf Basis von Standardvertragsklauseln bzw. EU-US Data Privacy Framework) deine IP-Adresse und Browserdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung). PayPal verarbeitet Zahlungsdaten als eigenständig Verantwortlicher.
- Adressvervollständigung: Zur Vorschlagsanzeige von PLZ, Ort und Straße rufen wir die freie OpenPLZ-API (openplzapi.org, Server in der EU) auf. Übertragen werden nur die eingegebene PLZ bzw. der Straßenanfang sowie technisch bedingt deine IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fehlerarme Adresserfassung).
- E-Mail-Versand: Bestell-, Konto- und Servicemails versenden wir über den E-Mail-Dienst unseres Cloud-Anbieters als Auftragsverarbeiter (Art. 28 DSGVO).
- Hosting/CDN: Auslieferung der Website über ein CDN mit EU-Rechenzentren; Auftragsverarbeitungsvertrag liegt vor.
- Steuerberatung, Buchhaltung, Versanddienstleister im gesetzlich erforderlichen Umfang.
9. Kontaktformular
Bei einer Anfrage über das Kontaktformular verarbeiten wir Name, E-Mail-Adresse, Betreff, Anliegen und Nachricht. Zusätzlich speichern wir aus Sicherheitsgründen (Spam- und Missbrauchsabwehr) deine IP-Adresse und den User-Agent deines Browsers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit). Anfragen löschen wir, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen — Sicherheitsdaten (IP/User-Agent) spätestens nach 90 Tagen.
10. Warenkorb
Damit dein Warenkorb geräteübergreifend bzw. nach einem Seitenwechsel erhalten bleibt, speichern wir dessen Inhalt zusammen mit einer zufälligen Sitzungskennung (bei angemeldeten Nutzern mit deiner Nutzer-ID) auf unserem Server. Diese Daten sind für unsere Mitarbeitenden im internen Verwaltungsbereich einsehbar und dienen ausschließlich der Bereitstellung des Warenkorbs sowie der Verbesserung des Bestellprozesses (Art. 6 Abs. 1 lit. b und f DSGVO). Nicht abgeschlossene Warenkörbe löschen wir spätestens nach 90 Tagen. Es erfolgt keine automatisierte Werbeansprache aufgrund dieser Daten.
11. Kundenfotos / Bestandskundenwerbung
Rund 14 Tage nach deiner Bestellung senden wir dir einmalig eine E-Mail mit der Bitte um Fotos deiner aufgebauten Strecke. Grundlage ist § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (Direktwerbung gegenüber Bestandskunden). Du kannst dieser Nutzung deiner E-Mail-Adresse jederzeit kostenlos widersprechen — formlos per Mail an shop@drifttracks.de oder über den Abmeldelink in der E-Mail. Uns überlassene Fotos veröffentlichen wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.
12. Speicherdauer
- Kontodaten: bis zur Löschung deines Kontos.
- Bestell- und Rechnungsdaten: bis zu 10 Jahre aufgrund handels- und steuerrechtlicher Pflichten.
- Kontaktanfragen: nach abschließender Bearbeitung, IP/User-Agent max. 90 Tage.
- Warenkörbe: max. 90 Tage nach letzter Aktivität.
- Server-Logs: max. 30 Tage.
13. Datenübermittlung in Drittländer
Eine Übermittlung in Länder außerhalb der EU/des EWR findet nur in den oben genannten Fällen statt (insbesondere PayPal und „Mit Google fortfahren"). Die Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) bzw. der Standardvertragsklauseln der EU-Kommission (Art. 45, 46 DSGVO).
14. Deine Rechte
- Auskunft (Art. 15 DSGVO) — abrufbar im Konto unter „Daten exportieren".
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO) — Self-Service im Konto unter „Konto löschen".
- Einschränkung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. der für unseren Sitz zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Widerspruchsrecht gegen Direktwerbung: Du kannst der Verarbeitung deiner Daten zu Zwecken der Direktwerbung jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Danach verarbeiten wir deine Daten nicht mehr für diese Zwecke.
15. Datenschutzbeauftragter
Wir sind gesetzlich nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (§ 38 BDSG). Bei allen Fragen zum Datenschutz wende dich bitte an die im Impressum genannte Adresse oder an shop@drifttracks.de.
16. Keine automatisierte Entscheidungsfindung
Es findet kein Profiling und keine automatisierte Einzelfallentscheidung statt.