Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

2. Das Wichtigste in Kürze

• Wir verwenden keine Analyse-Tools und keine Tracking-Cookies.
• Schriften liegen auf unserem eigenen Server. Beim Laden der Seite gehen keine Anfragen an Google.
• Daten erheben wir nur, soweit wir sie für den Betrieb der Website, Ihre Bestellung, Ihr Konto, Ihre Bewertung oder den von Ihnen bestätigten Newsletter brauchen.

3. Hosting und Server-Logs

Die Website wird bei Vercel gehostet. Bei jedem Aufruf werden technisch bedingt Zugriffsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, Browser und Betriebssystem sowie die zuvor besuchte Seite (Referrer).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Website sicher und stabil auszuliefern und Angriffe zu erkennen. Die Logs werden nur so lange gespeichert, wie es dafür nötig ist, und danach im Rahmen der Aufbewahrungseinstellungen des Hostings automatisch gelöscht.

4. Cookies und Speicherung im Browser

Wir setzen nur Cookies, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind:

• Anmelde-Cookies (Name beginnt mit „sb-“): halten Sie nach dem Login angemeldet. Sie werden nur gesetzt, wenn Sie sich anmelden, und enden mit dem Abmelden oder dem Ablauf der Sitzung.
• Sprach-Cookie („lang“): merkt sich die gewählte Sprache.

Außerdem speichert Ihr Browser im lokalen Speicher (localStorage) Ihre Einkaufstasche und Ihre Eingaben im Bestellformular. Diese Daten bleiben auf Ihrem Gerät, bis Sie sie im Browser löschen; an uns gehen sie erst, wenn Sie bestellen.

Rechtsgrundlage für das Speichern und Auslesen auf Ihrem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b und f DSGVO. Weil alles davon unbedingt erforderlich ist, brauchen wir keine Einwilligung und zeigen kein Cookie-Banner.

Beim Bezahlen lädt Ihr Browser die Zahlungsschaltflächen direkt von PayPal. PayPal erhält dabei Ihre IP-Adresse und technische Browserdaten und kann eigene Cookies setzen. Einzelheiten stehen in Abschnitt 6 und in der Datenschutzerklärung von PayPal.

5. Kundenkonto und Anmelde-Logs

Für ein Kundenkonto verarbeiten wir Ihre E-Mail-Adresse und Ihre Zugangsdaten. Konten und Anmeldung laufen über Supabase. Dabei entstehen Authentifizierungs-Logs mit Zeitpunkt, Art des Vorgangs (zum Beispiel Anmeldung oder Fehlversuch), IP-Adresse und Browserkennung.

Rechtsgrundlage für das Konto ist Art. 6 Abs. 1 lit. b DSGVO, für die Anmelde-Logs Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor unbefugtem Zugriff). Das Konto bleibt bestehen, bis Sie es löschen. Anmelde-Logs werden nach Ablauf der Aufbewahrungsfrist des Dienstes automatisch gelöscht.

Nach dem Löschen des Kontos

Wenn Sie Ihr Konto löschen, löschen wir es und entfernen Ihre E-Mail-Adresse aus den Bestelldatensätzen unserer Datenbank. Zwei Dinge bleiben bestehen:

• Ein Hash Ihrer Geräte-IP-Adresse bleibt 14 Tage lang gespeichert und wird danach gelöscht. Er ist ein Schlüssel-Hash, aus dem sich die IP-Adresse nicht zurückrechnen lässt, gilt aber weiterhin als personenbezogenes Datum. Er dient der Betrugsabwehr, etwa gegen das wiederholte Anlegen und Löschen von Konten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
• Bestell- und Rechnungsdaten, die wir aufbewahren müssen (Abschnitt 7).

6. Bestellung, Zahlung und Versand

Für eine Bestellung verarbeiten wir Name, Lieferadresse, E-Mail-Adresse, bestellte Artikel, Beträge, Bestellnummer sowie die Vorgangsnummern von PayPal und Printful. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ohne diese Angaben können wir die Bestellung nicht ausführen.

Bei Zahlung per Überweisung erhalten wir von Ihrer Bank Name, IBAN, Betrag und Verwendungszweck. Ihre Bank verarbeitet die Zahlung als eigener Verantwortlicher. Ihre Lieferadresse speichern wir bis zur Übergabe an Printful. Wird eine Bestellung nicht bezahlt und storniert, löschen wir sie.

• Supabase speichert Bestellungen in unserer Datenbank.
• PayPal wickelt die Zahlung ab und ist dafür selbst Verantwortlicher (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg). PayPal erhält Zahlungs- und Bestelldaten und kann Bonitäts- und Betrugsprüfungen nach eigenen Regeln durchführen. Es gilt die Datenschutzerklärung von PayPal.
• Printful druckt und versendet die Ware aus Fulfillment-Zentren in der EU (Lettland, Spanien). Printful erhält dafür Name, Lieferadresse und E-Mail-Adresse sowie die bestellten Artikel.
• Resend versendet die Bestellbestätigung und weitere E-Mails zu Ihrer Bestellung.

Einen Rabattcode speichern wir zusammen mit der zugehörigen E-Mail-Adresse, der PayPal-Vorgangsnummer und dem Einlösezeitpunkt, damit er nur einmal eingelöst werden kann (Art. 6 Abs. 1 lit. b und f DSGVO).

Ein freiwilliges Trinkgeld läuft als eigene Zahlung über PayPal und wird Ihrer Bestellnummer zugeordnet.

7. Aufbewahrung von Bestelldaten

Bestell- und Rechnungsdaten bewahren wir auf, soweit uns § 147 AO und § 257 HGB dazu verpflichten: je nach Art der Unterlage 6 Jahre (Handels- und Geschäftsbriefe), 8 Jahre (Buchungsbelege) oder 10 Jahre (Bücher und Abschlüsse). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Ein Löschantrag und die Löschung des Kontos beenden diese Pflicht nicht (Art. 17 Abs. 3 lit. b DSGVO): Rechnungen und Belege bleiben auch nach der Kontolöschung bei PayPal und in unserer Buchhaltung, bis die Frist abgelaufen ist. In dieser Zeit nutzen wir sie nur noch zur Erfüllung dieser Pflichten.

8. Widerruf

Wenn Sie einen Vertrag widerrufen, verarbeiten wir Ihren Namen, die Bestellnummer, Ihre E-Mail-Adresse, Ihre eventuelle Nachricht sowie Datum und Uhrzeit des Eingangs. Wir brauchen das, um den Widerruf abzuwickeln und Ihnen den Eingang zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO, § 356a BGB). Die Daten bewahren wir so lange auf wie die zugehörigen Bestelldaten (Abschnitt 7).

9. Newsletter

Den Newsletter erhalten Sie nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und im Double-Opt-in-Verfahren: Nach der Anmeldung senden wir eine E-Mail mit einem Bestätigungslink, und erst nach dem Klick darauf sind Sie angemeldet. Die Anmeldung wird in Supabase gespeichert, der Versand läuft über Resend.

Um die Einwilligung nachweisen zu können (Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO), protokollieren wir E-Mail-Adresse, Sprache, den Wortlaut der Einwilligung, einen Hash Ihrer IP-Adresse sowie die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO.

Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail oder per Nachricht an Purrlightshop@gmail.com. Danach senden wir keine Newsletter mehr. Das Einwilligungsprotokoll behalten wir, solange der Nachweis rechtlich gebraucht werden kann, in der Regel bis zum Ablauf der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB).

10. Bewertungen und Fotos

Wenn Sie eine Bewertung abgeben, verarbeiten wir Bestellnummer, E-Mail-Adresse, Anzeigenamen, Sternebewertung, Text und bis zu zwei Fotos sowie den Zeitpunkt Ihrer Einwilligung. Bestellnummer und E-Mail-Adresse dienen der Prüfung, ob die Bewertung zu einer echten Bestellung gehört, und werden nicht veröffentlicht. Anzeigename, Bewertung, Text und Fotos sind öffentlich auf dieser Website sichtbar.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern die Fotos als WebP-Dateien in einem öffentlich abrufbaren Speicher bei Supabase. Laden Sie bitte keine Fotos hoch, auf denen andere Personen ohne deren Zustimmung zu erkennen sind.

Sie widerrufen die Einwilligung, indem Sie die Bewertung über den Löschlink aus unserer E-Mail löschen oder uns unter Purrlightshop@gmail.com schreiben. Bewertung und Fotos werden dann gelöscht. Einzelne Fotos lassen sich nicht separat entfernen, nur die ganze Bewertung. Bewertungen bleiben ansonsten gespeichert, bis sie gelöscht werden.

11. Schutz vor Missbrauch

Um Formulare und Schnittstellen vor Massenanfragen und Missbrauch zu schützen, zählen wir Anfragen pro IP-Adresse und speichern Kennzeichen bei Upstash Redis. Die Zähler enthalten die IP-Adresse und laufen nach etwa einer Minute ab. Länger gespeicherte Kennzeichen zur Missbrauchsabwehr enthalten nur einen Schlüssel-Hash der IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit des Shops.

12. Druckvorlagen

Unsere Druckvorlagen liegen bei ImgBB. Dort werden nur Grafiken gespeichert und keine personenbezogenen Daten von Ihnen.

13. Empfänger

Folgende Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO):

• Vercel (USA): Hosting und Server-Logs
• Supabase (USA): Konten, Bestellungen, Bewertungen, Fotos, Newsletter-Einwilligungen
• Upstash (USA): Redis für Ratenbegrenzung und Missbrauchsabwehr
• Resend (USA): E-Mail-Versand
• Printful (USA, Fulfillment in Lettland und Spanien): Herstellung und Versand; erhält Name, Adresse und E-Mail-Adresse

PayPal verarbeitet Zahlungsdaten als eigener Verantwortlicher. An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Daten werden nicht verkauft.

14. Übermittlung in Drittländer

Bei Anbietern mit Sitz in den USA können Daten in die USA übermittelt werden. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien können Sie unter Purrlightshop@gmail.com anfordern.

15. Ihre Rechte

Ihnen stehen die folgenden Rechte zu. Schreiben Sie dazu an Purrlightshop@gmail.com.

• Auskunft über Ihre Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

16. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die Datenschutzbehörde des Bundeslands, in dem unser Sitz liegt. Eine Liste der deutschen Behörden steht bei der Datenschutzkonferenz.

17. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Nutzung der Website ist ohne Konto möglich. Die in den Bestell-, Konto- und Bewertungsformularen abgefragten Angaben brauchen wir für den jeweiligen Zweck; ohne sie ist er nicht möglich. Eine gesetzliche Pflicht zur Angabe besteht darüber hinaus nicht. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO oder Profiling setzen wir nicht ein.