Datenschutzerklärung

E-Mail: info@arccollectors.com

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung und zum sicheren Betrieb unseres Onlineshops, zur Bearbeitung von Anfragen, zur Durchführung vorvertraglicher Maßnahmen, zur Abwicklung von Bestellungen, Zahlungen und Lieferungen oder zur Erfüllung gesetzlicher Verpflichtungen erforderlich ist.

Soweit die Verarbeitung für die Durchführung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit wir gesetzlichen Verpflichtungen unterliegen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Für den sicheren, stabilen und technisch zuverlässigen Betrieb unseres Onlineshops kann die Verarbeitung auf Grundlage unserer berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Unser Onlineshop wird über Vercel betrieben.

Bei der Nutzung der Website können insbesondere folgende technische Daten verarbeitet werden:

• IP-Adresse
• Datum und Uhrzeit eines Zugriffs
• aufgerufene URL
• Browser- und Geräteinformationen
• Request- und Headerinformationen
• technische Fehler- und Protokolldaten

Die Verarbeitung dient insbesondere der Auslieferung der Website, der Gewährleistung von Sicherheit und Stabilität sowie der technischen Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Soweit Vercel personenbezogene Kundendaten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage einer Vereinbarung zur Auftragsverarbeitung. Für bestimmte im Rahmen der Nutzung des Dienstes entstehende technische Nutzungs-, Kontakt- und Servicedaten kann Vercel nach Maßgabe seiner Datenschutz- und Datenverarbeitungsbedingungen in eigener datenschutzrechtlicher Verantwortung handeln.

Die von uns einsehbaren Runtime Logs werden im derzeit verwendeten regulären Pro-Tarif nach der aktuellen Vercel-Dokumentation grundsätzlich für einen Tag vorgehalten. Sollten wir künftig zusätzliche Protokollierungs-, Observability- oder Log-Weiterleitungsfunktionen aktivieren, werden wir diese Datenschutzerklärung entsprechend anpassen.

Vercel kann personenbezogene Daten auch in den Vereinigten Staaten oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Für entsprechende Übermittlungen sieht das Data Processing Addendum von Vercel insbesondere geeignete vertragliche Garantien wie die Standardvertragsklauseln der Europäischen Kommission vor.

Wir verwenden Supabase für die technische Backend-Infrastruktur unseres Shops. Hierzu gehören insbesondere:

• PostgreSQL-Datenbank
• Produkt- und Bestelldaten
• Checkout und Reservierungen
• Zahlungsstatus
• Supabase Storage für Produktbilder
• Admin-Authentifizierung

Für unser Projekt wurde als primäre Region Irland ausgewählt. Supabase gibt an, dass bei Auswahl einer konkreten EU-Region insbesondere PostgreSQL, Auth und Storage in dieser Region bereitgestellt werden. Backups, Logs, Unterauftragnehmer oder weitere technische Verarbeitungsvorgänge können jedoch für die internationale Transferbewertung zusätzlich relevant sein.

Beim Abruf von Produktbildern kann der Browser unmittelbar eine Verbindung zu Supabase Storage herstellen. Dabei können insbesondere die IP-Adresse, Browserinformationen und die angeforderte Bild-URL verarbeitet werden. Die Verarbeitung dient der Bereitstellung der Produktbilder und damit einem funktionsfähigen und nutzerfreundlichen Shop. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der funktionsfähigen und nutzerfreundlichen Bereitstellung des Onlineshops.

Im Rahmen einer Bestellung werden insbesondere folgende Daten in Supabase verarbeitet:

• Vor- und Nachname
• optionale Firmenangabe
• E-Mail-Adresse
• Lieferanschrift
• Land
• Versandmethode
• bestellte Artikel
• Preise und Versandkosten
• Bestellstatus
• Zahlungsstatus
• technische Reservierungs- und Zahlungsinformationen

Die Verarbeitung erfolgt zur Vertragsanbahnung und Vertragsdurchführung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Soweit Supabase Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage einer Vereinbarung zur Auftragsverarbeitung. Das aktuelle Supabase-DPA sieht für erforderliche internationale Datenübermittlungen insbesondere die EU-Standardvertragsklauseln vor.

Für die Warenkorbfunktion verwenden wir den lokalen Browserspeicher (localStorage).

Unter dem Schlüssel arc-collectors-cart werden ausschließlich Produktkennungen beziehungsweise Produkt-Slugs und Mengen gespeichert. Namen, E-Mail-Adressen oder Lieferanschriften werden dort nicht gespeichert. Der Eintrag bleibt grundsätzlich erhalten, bis der Warenkorb verändert oder geleert oder der lokale Browserspeicher durch den Nutzer gelöscht wird.

Beim Start eines Checkouts verwenden wir außerdem das technisch erforderliche Cookie arc_checkout_reservation. Dieses enthält einen zufälligen Reservierungs-Token, jedoch keine Lieferadresse und keine E-Mail-Adresse. Das Cookie ist als HttpOnly ausgestaltet, wird in der Produktionsumgebung mit Secure verwendet und besitzt die Einstellung SameSite=Lax. Es ist zeitlich befristet und dient ausschließlich dazu, den Browser einer laufenden Checkout-Reservierung zuzuordnen.

Die Speicherung beziehungsweise der Zugriff auf Informationen im Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG, soweit dies unbedingt erforderlich ist, um eine vom Nutzer ausdrücklich gewünschte Shop- oder Checkoutfunktion bereitzustellen.

Soweit die anschließende Verarbeitung personenbezogener Daten für vorvertragliche Maßnahmen oder die Durchführung des Kaufvertrags erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Wir verwenden derzeit keine Analyse-, Marketing- oder Werbe-Tracking-Technologien.

Wenn Sie eine Bestellung vorbereiten oder durchführen, verarbeiten wir insbesondere folgende Daten:

• Vor- und Nachname
• E-Mail-Adresse
• optionale Firmenangabe
• Lieferanschrift
• Versandmethode
• Bestellpositionen
• Warenwert
• Versandkosten
• Gesamtbetrag
• Bestellstatus
• Zahlungsstatus

Die Verarbeitung ist erforderlich, um die Bestellung zu bearbeiten, den Kaufvertrag durchzuführen, die Zahlung zuzuordnen und die bestellte Ware auszuliefern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für Kartenzahlungen verwenden wir Stripe Hosted Checkout.

Beim Start einer Zahlung werden insbesondere folgende Daten aus unserem Shop an Stripe übermittelt:

• E-Mail-Adresse
• Gesamtbetrag
• Währung
• generischer Produktname „Arc Collectors Bestellung“
• interne Payment-ID

Nicht aus unserem Checkout an Stripe übermittelt werden insbesondere:

• Lieferanschrift
• konkrete Kartennamen oder Bestellpositionen
• öffentlicher Reservierungs-Token

Die zur Kartenzahlung notwendigen Zahlungsinformationen werden unmittelbar auf der von Stripe bereitgestellten Zahlungsseite eingegeben. Arc Collectors erhält und speichert keine vollständigen Kreditkartendaten.

Beim Aufruf und bei der Nutzung der von Stripe bereitgestellten Zahlungsseite kann Stripe zusätzlich insbesondere IP-Adresse, Browser- und Geräteinformationen, Transaktionsdaten sowie Informationen über die Interaktion mit der Zahlungsoberfläche verarbeiten. Stripe kann dabei Cookies und vergleichbare Technologien einsetzen.

Diese Verarbeitung dient insbesondere der Bereitstellung und Absicherung des Zahlungsvorgangs, der Authentifizierung, der Betrugs- und Verlustprävention sowie der Sicherheit und Weiterentwicklung der Stripe-Dienste. Eine Verarbeitung durch Stripe kann auch stattfinden, wenn ein begonnener Zahlungsvorgang nicht abgeschlossen wird.

In unseren eigenen Systemen verarbeiten wir nach der Zahlungsabwicklung nur die für die technische Zuordnung und Abwicklung notwendigen Stripe-Informationen, insbesondere Checkout-Session-ID, Payment-Intent-ID und Zahlungsstatus.

Rechtsgrundlage der für die Zahlungsabwicklung erforderlichen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Stripe verarbeitet personenbezogene Daten je nach konkretem Zweck teilweise in unserem Auftrag und teilweise in eigener datenschutzrechtlicher Verantwortung, insbesondere zur Erfüllung eigener gesetzlicher, regulatorischer, Sicherheits- und Betrugspräventionspflichten.

Stripe kann personenbezogene Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Für entsprechende Übermittlungen sieht das aktuelle Stripe Data Transfers Addendum unter anderem das EU-US Data Privacy Framework sowie die EU-Standardvertragsklauseln vor.

Wir wickeln den Versand unserer Bestellungen über Deutsche Post AG beziehungsweise DHL Paket GmbH ab.

Zur Durchführung einer tatsächlichen Lieferung werden die für den Versand erforderlichen Daten an den jeweils eingesetzten Versanddienstleister übermittelt. Dazu können insbesondere gehören:

• Name des Empfängers
• Lieferanschrift
• erforderliche Sendungsinformationen

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Derzeit besitzt der Shop keine automatische DHL- oder Deutsche-Post-API-Anbindung. Die Versandart wird im System gespeichert; eine Übermittlung an den Versanddienstleister erfolgt außerhalb dieses automatisierten Checkout-Prozesses.

Unsere geschäftliche Kontaktadresse lautet:

info@arccollectors.com

Das zugehörige E-Mail-Postfach wird bei STRATO GmbH betrieben.

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir insbesondere:

• Ihre E-Mail-Adresse
• gegebenenfalls Ihren Namen
• den Inhalt Ihrer Nachricht
• sonstige von Ihnen freiwillig mitgeteilte Angaben

Soweit Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags dient, ist Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage.

Bei sonstigen Anfragen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Bearbeitung und Beantwortung geschäftlicher Anfragen.

Soweit STRATO GmbH E-Mail-Inhalte und weitere personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies im Rahmen einer Auftragsverarbeitung. STRATO GmbH führt E-Mail-Dienste ausdrücklich als Gegenstand seiner Vereinbarung zur Auftragsverarbeitung auf.

Nicht vertragsbezogene Anfragen werden gelöscht, sobald die Anfrage abschließend bearbeitet wurde und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen, insbesondere zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, entgegenstehen. Vertrags- oder steuerlich relevante E-Mails werden entsprechend den einschlägigen gesetzlichen Aufbewahrungspflichten gespeichert.

Bestimmte personenbezogene Angaben sind erforderlich, damit eine Bestellung durchgeführt werden kann.

Hierzu gehören insbesondere:

• Name
• E-Mail-Adresse
• Lieferanschrift
• die für Bestellung und Versand erforderlichen Angaben

Ohne diese Daten können wir einen Kaufvertrag beziehungsweise die Lieferung der Ware nicht ordnungsgemäß durchführen.

Angaben, die ausdrücklich als optional gekennzeichnet sind, etwa eine Firmenangabe oder ein optionaler Adresszusatz, sind nicht zwingend für eine Bestellung erforderlich.

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Für abgeschlossene Bestellungen können insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten gelten. § 147 AO sieht derzeit unter anderem eine Aufbewahrungsfrist von grundsätzlich acht Jahren für Buchungsbelege und grundsätzlich sechs Jahren für empfangene und abgesandte Handels- oder Geschäftsbriefe vor.

Nach Ablauf der jeweils anwendbaren Aufbewahrungsfristen werden personenbezogene Daten gelöscht oder anonymisiert, sofern keine andere Rechtsgrundlage für ihre weitere Verarbeitung besteht.

Eindeutig zahlungsfreie Checkoutvorgänge, die vor Einleitung eines Zahlungsvorgangs abgebrochen wurden oder abgelaufen sind, werden nach einer internen Frist von 30 Tagen automatisiert um ihre Kontakt- und Lieferdaten bereinigt, sofern kein anderer rechtlicher oder technischer Aufbewahrungsgrund besteht. Diese 30-Tage-Frist ist eine interne Aufbewahrungsregel von Arc Collectors und keine gesetzlich vorgeschriebene Frist.

Dabei werden insbesondere E-Mail-Adresse, Name, eine optionale Firmenangabe und die Lieferanschrift entfernt. Der technische Reservierungs-Token wird ersetzt, sodass ein früheres Checkout-Cookie keinen Zugriff mehr auf den Vorgang ermöglicht.

Diese automatisierte Bereinigung gilt nicht für bezahlte Bestellungen oder Vorgänge, für die bereits ein Zahlungsvorgang angelegt wurde. Hierzu gehören insbesondere laufende, fehlgeschlagene oder abgelaufene Zahlungsversuche sowie Rückerstattungs-, Rückbelastungs-, verspätete Zahlungs- und Streitfälle.

Die Speicherdauer solcher Zahlungsvorgänge richtet sich danach, wie lange die Daten insbesondere für die Zahlungszuordnung, die Erkennung verspäteter Zahlungen, Rückerstattungen und Rückbelastungen, die Systemsicherheit, die Verhinderung von Missbrauch, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder die Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich sind. Entfallen diese Zwecke und besteht keine andere Rechtsgrundlage, werden die personenbezogenen Daten gelöscht oder anonymisiert.

Gesetzliche Aufbewahrungspflichten für abgeschlossene Käufe bleiben unberührt.

Backups der eingesetzten Anbieter können die betreffenden Daten noch bis zum Ablauf der jeweiligen Backup-Rotation enthalten. Die Bereinigung des operativen Shopsystems bewirkt daher keine unmittelbare Löschung aus sämtlichen vorhandenen Backups.

Soweit dies zur jeweiligen Verarbeitung erforderlich ist, können personenbezogene Daten insbesondere an folgende Empfänger beziehungsweise Kategorien von Empfängern übermittelt werden:

• Vercel für Hosting und technische Bereitstellung
• Supabase für Datenbank-, Storage- und Backenddienste
• Stripe für die Zahlungsabwicklung
• STRATO GmbH für geschäftliche E-Mail-Kommunikation
• Deutsche Post AG beziehungsweise DHL Paket GmbH für die Versandabwicklung
• Steuerberatung, Behörden oder andere gesetzlich berechtigte Stellen, soweit eine gesetzliche Verpflichtung oder andere Rechtsgrundlage besteht

Personenbezogene Daten werden nicht zu Werbezwecken an Dritte verkauft.

Einzelne von uns eingesetzte Dienstleister oder deren Unterauftragnehmer können personenbezogene Daten auch außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums verarbeiten.

Soweit kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgen solche Übermittlungen nur unter Verwendung geeigneter Garantien oder auf Grundlage einer anderen nach der DSGVO zulässigen Transfergrundlage. Dazu können insbesondere die von der Europäischen Kommission verabschiedeten Standardvertragsklauseln gehören.

Vercel, Supabase und Stripe sehen in ihren aktuellen Datenschutz- beziehungsweise Datenverarbeitungsvereinbarungen entsprechende Mechanismen für internationale Datenübermittlungen vor.

Informationen zu den im Einzelfall eingesetzten Garantien können bei uns unter info@arccollectors.com angefordert werden.

Unter den jeweiligen gesetzlichen Voraussetzungen stehen Ihnen insbesondere folgende Rechte zu:

• Recht auf Auskunft
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch gegen bestimmte Verarbeitungen; hierzu finden Sie nachfolgend einen gesonderten Hinweis

Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die entsprechenden Rechte ergeben sich insbesondere aus Art. 15 bis 21 DSGVO.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Datenschutzverstoßes.

Für Arc Collectors ist am Unternehmenssitz insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg eine zuständige Aufsichtsbehörde.

Arc Collectors trifft selbst keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO.

Wir verwenden derzeit keine personenbezogenen Daten für personalisierte Werbung oder verhaltensbasierte Nutzerprofile.

Im Rahmen der Zahlungsabwicklung kann Stripe automatisierte Verfahren zur Betrugs-, Verlust- und Sicherheitsprävention einsetzen. Für diese Verarbeitungen kann Stripe je nach Zweck in eigener datenschutzrechtlicher Verantwortung handeln.

Bei Nutzung der elektronischen Widerrufsfunktion verarbeiten wir insbesondere Ihren Namen, die öffentliche Bestellreferenz, die E-Mail-Adresse für die Eingangsbestätigung, die Angabe, ob die gesamte Bestellung oder ein Teil widerrufen wird, bei einem Teilwiderruf die Beschreibung der betroffenen Artikel sowie Datum und Uhrzeit des Eingangs und technische Versandinformationen zur Eingangsbestätigung.

Die Verarbeitung dient der Entgegennahme des Widerrufs, seiner Zuordnung zum Vertrag, der gesetzlich erforderlichen elektronischen Eingangsbestätigung sowie der Bearbeitung und dem Nachweis des Widerrufs. Im Widerrufsformular werden keine Kartendaten oder Stripe-Zahlungsdaten erhoben.

Die Verarbeitung erfolgt über die bereits beschriebenen Systeme Vercel, Supabase und STRATO E-Mail. Widerrufsdaten gehören zu Vertrags- beziehungsweise Geschäftsunterlagen und werden nach den jeweils einschlägigen gesetzlichen Aufbewahrungs-, Nachweis- und Verjährungsanforderungen gelöscht. Der interne 30-Tage-Cleanup für eindeutig zahlungsfreie Checkoutvorgänge gilt nicht für diese Datensätze.

Die Übertragung unserer Website erfolgt verschlüsselt über HTTPS.

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten entsprechend dem bestehenden Risiko insbesondere vor Verlust, Manipulation, unberechtigtem Zugriff oder sonstiger unzulässiger Verarbeitung zu schützen.

Die eingesetzten Maßnahmen werden unter Berücksichtigung der technischen Entwicklung und der jeweiligen Risiken überprüft und angepasst.

Ein absoluter Schutz von Daten kann bei einer Übertragung oder Verarbeitung über das Internet nicht garantiert werden.