Datenschutz

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

VAROYAL GmbH
Havelstraße 6
36043 Fulda
Deutschland
E-Mail: datenschutz@varoyal.de

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten zur Bereitstellung unserer Website, zur Bearbeitung Ihrer Anfragen und Bestellungen, zur Erfüllung gesetzlicher Pflichten sowie auf Grundlage berechtigter Interessen oder Ihrer Einwilligung. Die jeweiligen Zwecke und Rechtsgrundlagen beschreiben wir in den folgenden Abschnitten.

Die Verarbeitung erfolgt auf Grundlage der Datenschutz-Grundverordnung (DSGVO) sowie der einschlägigen nationalen Datenschutzvorschriften.

Wir hosten unsere Website bei webhoster.de AG, Zum Haunert 22, 59519 Möhnesee, NRW, Deutschland. Mit dem Hoster wurde ein Vertrag zur Auftragsverarbeitung (AVV) abgeschlossen.

3. Arten der verarbeiteten Daten

• Bestandsdaten (z. B. Name, Adresse)
• Kontaktdaten (z. B. E-Mail-Adresse)
• Vertrags- und Zahlungsdaten
• Nutzungs- und Zugriffsdaten (z. B. IP-Adresse, Browser, Betriebssystem)
• Pseudonyme Nutzungs-, Ereignis- und Leistungsdaten für die Basisauswertung; zusätzliche Verknüpfungs-, Attributions- und Marketingdaten nur nach der jeweils erforderlichen Einwilligung

4. Zwecke und Rechtsgrundlagen der Verarbeitung

• Vertragserfüllung und Kundenservice (Art. 6 Abs. 1 lit. b DSGVO)
• Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO)
• Technischer Betrieb und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO)
• Pseudonyme Basisauswertung zur Verbesserung unseres Shops (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse); zusätzliche Analyse, Attribution und Marketing nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

5. HYMERCE-Einwilligungsverwaltung

Zur Verwaltung Ihrer Einwilligungen verwenden wir die in HYMERCE integrierte Einwilligungsverwaltung. Optionale Dienste und Speicherzugriffe für Funktionalität, Analyse, Marketing oder Personalisierung bleiben gesperrt, bis Sie die jeweils erforderliche Einwilligung erteilt haben. Technisch notwendige Funktionen bleiben aktiv.

Die Auswahl ist in die Kategorien „Essenziell“, „Funktional“, „Analyse“, „Marketing“ und „Personalisierung“ gegliedert. Ihre Entscheidung wird zusammen mit der zugrunde liegenden Richtlinienversion, den gewählten Kategorien und Diensten sowie Zeit- und Ablaufangaben serverseitig protokolliert. Ein technisch notwendiges, signiertes und nur per HTTP zugängliches Cookie (_hymerce_consent_v1) verweist auf die aktuelle Entscheidung. Die Entscheidung gilt höchstens 180 Tage.

Sie können Ihre Auswahl jederzeit über „Privatsphäre-Einstellungen“ im Seitenfuß ändern oder eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

6. Native Steuerung von Analyse- und Marketingdiensten

HYMERCE steuert optionale Analyse-, Marketing- und Attributionsdienste direkt. Dabei wird weder ein Web- noch ein serverseitiger Tag-Management- oder Tracking-Proxy-Dienst eines Drittanbieters eingesetzt. Eine Provider-Destination übermittelt erst dann Daten, wenn sie administrativ aktiviert wurde und die passende Einwilligung vorliegt. Deaktivierte Destinationen übertragen keine Daten.

7. Analyse und Attribution

HYMERCE Analytics: Pseudonyme Basisauswertung

Wir verwenden HYMERCE Analytics auf unserem eigenen Shop-System, um Besuche, Seitenaufrufe, Shop-Aktivitäten, Käufe und die technische Seitenleistung auszuwerten. Dazu gehören beispielsweise aufgerufene Seiten, Zeitpunkte, Besuchsdauer, allgemeine Geräte-, Browser- und Betriebssystemangaben, beobachtete Zugriffsquellen sowie zuordenbare Shop-Ereignisse. So können wir Nutzung, Bedienbarkeit und Ladezeiten unseres Angebots beurteilen und verbessern.

Für die Basisauswertung wird aus der beim Zugriff übermittelten IP-Adresse und Browserkennung mithilfe eines nur für unsere Installation verwendeten geheimen Schlüssels eine pseudonyme Messkennung gebildet. Die vollständige IP-Adresse und die vollständige Browserkennung werden nicht als Analytics-Fakten gespeichert. Ungefähre Standortangaben können anhand einer lokal betriebenen Datenbank bestimmt werden; dafür wird Ihre IP-Adresse nicht an einen externen Geolokalisierungsdienst übermittelt.

Diese Kennung kann wiederkehrende Zugriffe zuordnen, identifiziert aber nicht verlässlich eine einzelne Person: Gemeinsam genutzte Verbindungen und Geräte können zusammenfallen, geänderte IP-Adressen oder Browserangaben zu neuen Kennungen führen. Auch Bestell- und Ereignisbezüge können eine Zuordnung ermöglichen. Die Daten sind deshalb pseudonym und nicht anonym.

Die Basisauswertung erfolgt unabhängig von der optionalen Analyse-Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Nutzung und technische Qualität unseres Shops zu verstehen und unser Angebot zu verbessern. Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Nutzen Sie dafür die Kontaktdaten in dieser Datenschutzerklärung. Ein Widerspruch gegen die Basisauswertung ist von der Änderung optionaler Analyse- oder Marketingeinwilligungen zu unterscheiden.

Zusätzliche Analyse und Attribution nach Einwilligung

Nur mit Ihrer Einwilligung in den Dienst HYMERCE Analytics in der Kategorie „Analyse“ ergänzen wir die Basisauswertung um weitergehende Zusammenhänge zwischen Besuchen, Anfragen und Käufen. Dabei können etwa Zugriffsquellen und Kampagnenangaben einem späteren Ereignis zugeordnet werden. Passende E-Mail-Adressen, Telefonnummern oder angemeldete Kundenkonten können verwendet werden, um Vorgänge auch über mehrere Geräte hinweg zu verknüpfen. Ein Kundenkonto oder eine Bestellung allein ersetzt diese Einwilligung nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

Sie können diese Einwilligung jederzeit über die „Privatsphäre-Einstellungen“ im Seitenfuß widerrufen. Dadurch werden die zusätzlichen Verknüpfungen und Attributionsdaten gesperrt und im Rahmen der Bereinigung entfernt. Die pseudonymen Basisdaten werden durch diesen Widerruf nicht automatisch gelöscht. Ein gesonderter Widerspruch oder ein anwendbarer Löschungsanspruch bleibt möglich.

Speicherung, Auskunft und Löschung bei HYMERCE Analytics

Für pseudonyme Basisdaten und die zusätzlichen Verknüpfungen ist derzeit keine feste automatische Löschfrist eingerichtet. Sie ermöglichen Vergleiche über längere Zeiträume. Die zusätzlichen Verknüpfungen unterliegen weiterhin dem Widerruf der Einwilligung; gesetzliche Löschungs- und Widerspruchsrechte bleiben unberührt. Minimale Sperrnachweise können erhalten bleiben, damit gelöschte oder gesperrte Daten nicht durch eine erneute Verarbeitung wiederhergestellt werden.

Wenn Sie Auskunft, Widerspruch oder Löschung wünschen, kontaktieren Sie uns bitte über die unten genannten Kontaktdaten. Wir prüfen die vorhandenen Zuordnungen und Nachweise. Eine Übereinstimmung von IP-Adresse und Browser allein belegt nicht, dass alle zugehörigen Aktivitäten von derselben Person stammen.

Independent Analytics

Zusätzlich verwenden wir Independent Analytics zur Auswertung von Seitenaufrufen, Besuchsquellen, Sitzungen, Geräteinformationen, ungefähren Standorten und zugeordneten Shop-Umsätzen. Die Auswertungsdaten werden in unserer eigenen WordPress-Datenbank gespeichert. Für die Besucherzuordnung wird aus IP-Adresse und Browserangaben mit einem installationsbezogenen Schlüssel eine Kennung gebildet; der Schlüssel wird nach der aktuellen Einstellung monatlich gewechselt. Die IP-Adresse wird dabei nicht im Klartext als Besucherdatensatz gespeichert. Standortinformationen werden anhand einer lokalen Datenbank ermittelt.

Diese pseudonyme Basisauswertung erfolgt auf Grundlage unseres berechtigten Interesses an Nutzungsstatistiken und der Verbesserung unseres Angebots gemäß Art. 6 Abs. 1 lit. f DSGVO. Auch für diese Statistik ist derzeit keine feste automatische Löschfrist eingerichtet. Ein Schlüsselwechsel löscht vorhandene Statistiken nicht. Für Widerspruch, Auskunft und Löschung können Sie die Kontaktdaten in dieser Datenschutzerklärung nutzen.

Google Analytics 4 nach Einwilligung

Google Analytics 4 wird nur bei administrativ aktivierter Anbindung und Ihrer Einwilligung in den entsprechenden Analysedienst eingesetzt. Dabei können insbesondere Seitenaufrufe, Interaktionen, Ereignis- und technische Informationen an Google übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Ohne die passende Einwilligung erfolgt diese Übermittlung durch HYMERCE nicht. Ihre Einwilligung können Sie jederzeit über die „Privatsphäre-Einstellungen“ widerrufen.

8. Optionale Marketing- und Attributionsdienste

Die technische Integration unterstützt Google Ads, Meta, Microsoft Advertising, Pinterest und moebel.de. Ein solcher Dienst wird nur verwendet, wenn seine Destination administrativ aktiviert ist und Sie in die Kategorie „Marketing“ eingewilligt haben. Eine personalisierte Nutzung setzt zusätzlich die dafür erforderliche Einwilligung voraus. Welche optionalen Dienste aktuell aktiv sind, zeigt die HYMERCE-Einwilligungsverwaltung.

Je nach aktiviertem Dienst können Nutzungs-, Ereignis-, Interaktions-, Transaktions- und technische Identifikationsdaten verarbeitet werden. Sofern dies für einen aktivierten Dienst konfiguriert und von der Einwilligung gedeckt ist, können Kontaktinformationen vor der Übermittlung mit einem kryptografischen Einwegverfahren gehasht werden. Das Hashing schützt die Übertragung, stellt jedoch keine Anonymisierung dar.

9. Empfänger und Drittlandübermittlungen bei optionalen Diensten

Bei einem aktivierten optionalen Dienst kann der jeweilige Anbieter Empfänger der beschriebenen Daten sein. Abhängig vom Anbieter kann eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums stattfinden. Eine solche Übermittlung erfolgt nur im Rahmen des aktivierten Dienstes, der erteilten Einwilligung und der jeweils anwendbaren datenschutzrechtlichen Übermittlungsgrundlage.

10. Newsletter, Warenkorberinnerungen und Bewertungsanfragen

Newsletter

Wenn Sie unseren Newsletter abonnieren, verwenden wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Wir senden zunächst eine Bestätigungsmail. Erst nachdem Sie den darin enthaltenen Link bestätigt haben, erhalten Sie den Newsletter. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Warenkorberinnerungen

Wenn Sie ausdrücklich zustimmen, erinnern wir Sie per E-Mail an den betreffenden Warenkorb, falls Sie den Einkauf nicht abschließen. Die Zustimmung ist freiwillig und keine Voraussetzung für eine Bestellung. Die Bestätigungsmail wird zeitversetzt nach einer Phase ohne erfasste Warenkorb- oder Checkout-Aktivität versendet. Schließen Sie den Kauf vorher ab, entfällt diese Bestätigungsmail. Erst nach Ihrer Bestätigung erhalten Sie höchstens drei Erinnerungen innerhalb von sieben Tagen. Ein abgeschlossener Kauf, ein geleerter Warenkorb oder Ihr Widerruf beendet die weiteren Erinnerungen.

Bewertungsanfragen nach einer Bestellung

Nach einer Bestellung können Sie uns freiwillig erlauben, Sie später einmal per E-Mail um eine Bewertung der gekauften Artikel zu bitten. Auch diese Zustimmung bestätigen Sie über einen Link in einer gesonderten Bestätigungsmail. Ohne bestätigte Einwilligung senden wir keine solche Bewertungsanfrage. Ihre Bestellung und deren Abwicklung bleiben von Ihrer Entscheidung unberührt. Die Einwilligung gilt für die betreffende Bestellung und ist kein Newsletter-Abonnement.

Einwilligung, Widerruf und Speicherdauer

Für Warenkorberinnerungen und Bewertungsanfragen verarbeiten wir Ihre E-Mail-Adresse, die Zuordnung zum betreffenden Warenkorb beziehungsweise zur Bestellung sowie den Wortlaut und die Zeitpunkte Ihrer Einwilligung, Bestätigung und eines etwaigen Widerrufs. Bei Warenkorberinnerungen werden außerdem die ausgewählten Artikel und die zuletzt erfasste Aktivität berücksichtigt. Rechtsgrundlage für den jeweiligen E-Mail-Versand ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG.

Sie können die jeweilige Einwilligung jederzeit über den Widerrufslink in unseren entsprechenden E-Mails oder durch eine Nachricht an datenschutz@varoyal.de widerrufen. Hierfür entstehen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Gespeicherte Warenkorbinhalte und Wiederherstellungslinks für diese Erinnerungen laufen nach sieben Tagen ab und werden im Rahmen der automatischen Bereinigung entfernt. Einwilligungsnachweise ohne Bestellbezug werden spätestens im Rahmen der Bereinigung nach 365 Tagen gelöscht. Nachweise mit Bestellbezug unterliegen den Aufbewahrungs- und Löschfristen der zugehörigen Bestellung. Soweit Nachweise nach einem Widerruf noch erforderlich sind, bewahren wir sie ausschließlich zur Dokumentation der bisherigen Einwilligung und zur Abwehr möglicher Rechtsansprüche auf; sie berechtigen nicht zum weiteren Versand. Grundlage hierfür ist unser berechtigtes Interesse an einer nachweisbaren rechtskonformen Kommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO.

E-Mail-Versanddienstleister

Der Versand von E-Mails und Newslettern erfolgt über den Dienst Amazon Simple Email Service (Amazon SES), bereitgestellt von Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Amazon SES wird als Auftragsverarbeiter eingesetzt. Es wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

Es kann nicht ausgeschlossen werden, dass personenbezogene Daten in die USA übermittelt werden. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln der Europäischen Union gemäß Art. 46 DSGVO.

11. Weitergabe an Dritte

Personenbezogene Daten werden nur weitergegeben, soweit dies zur Vertragserfüllung erforderlich ist oder eine entsprechende Einwilligung vorliegt.

Empfänger personenbezogener Daten können insbesondere Zahlungsdienstleister, Versand- und Logistikdienstleister, IT-Dienstleister sowie Anbieter von Analyse- und Marketingdiensten sein, soweit dies zur Vertragserfüllung oder aufgrund einer Einwilligung erforderlich ist.

Zahlungs- und Finanzierungsanbieter

Je nach der von Ihnen ausgewählten Zahlungsart übermitteln wir die für die Abwicklung erforderlichen Stamm-, Kontakt- und Adressdaten, Bestellinformationen sowie Zahlungs- und Transaktionsdaten an den beteiligten Zahlungs- oder Finanzierungsanbieter. Unsere Übermittlung zur Durchführung Ihrer gewählten Zahlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Verarbeitung zur Erfüllung gesetzlicher Pflichten erforderlich ist, gilt Art. 6 Abs. 1 lit. c DSGVO.

Bei Rechnungskauf, Zahlungsaufschub oder Ratenzahlung kann der jeweilige Finanzierungsanbieter die Identität, Zahlungsfähigkeit und das Betrugsrisiko prüfen. Dabei können, abhängig vom Anbieter und dem gewählten Angebot, auch Wirtschaftsauskunfteien und automatisierte Bewertungsverfahren eingesetzt werden. Die Prüfung und die Entscheidung über das Finanzierungsangebot erfolgen durch den jeweiligen Anbieter nach dessen Datenschutzhinweisen. Dort finden Sie auch Informationen zu den eigenen Rechtsgrundlagen, Empfängern, Speicherfristen und Rechten gegenüber diesem Anbieter.

Mollie: Karten, Wallets und weitere Zahlungsarten

Kreditkarten, unterstützte Wallets wie Apple Pay und Google Pay sowie die bei uns darüber angebotenen PayPal- und Klarna-Zahlungen werden über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, abgewickelt. Mollie verarbeitet die für die ausgewählte Zahlung erforderlichen Daten und leitet sie gegebenenfalls an den beteiligten Zahlungsdienst, die kartenausgebende Bank oder das Kreditkartenunternehmen weiter. Weitere Informationen finden Sie in der Datenschutzerklärung von Mollie.

PayPal

Bei Auswahl von PayPal ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, an der Zahlungsabwicklung beteiligt. Welche Zahlungsoptionen und gegebenenfalls Prüfungen PayPal anbietet, hängt vom gewählten Angebot ab. Einzelheiten erläutert die Datenschutzerklärung von PayPal.

Klarna

Bei Auswahl eines Klarna-Angebots werden die erforderlichen Daten an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, übermittelt, bei unserer Anbindung auch über Mollie. Klarna verarbeitet sie zur Durchführung des gewählten Zahlungsangebots und zu den in seinen Datenschutzhinweisen erläuterten Prüfungen. Weitere Informationen finden Sie in den Datenschutzhinweisen von Klarna.

Alma

Bei Auswahl einer Zahlung mit Alma übermitteln wir die erforderlichen Daten an Alma SAS, 176 Avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, Frankreich. Dazu gehören insbesondere die zur Zuordnung und Prüfung der Anfrage benötigten Kontakt- und Adressdaten, Angaben zur Bestellung und zum gewählten Zahlungsplan. Alma verwendet diese Daten zur Prüfung und Abwicklung der angebotenen Ratenzahlung oder des Zahlungsaufschubs. Einzelheiten zur Verarbeitung und zu Ihren Rechten finden Sie in der Datenschutz- und Datenmanagementrichtlinie von Alma.

easyCredit: Rechnungskauf und Ratenkauf

Bei Auswahl von easyCredit-Rechnung oder easyCredit-Ratenkauf werden die erforderlichen Daten an die TeamBank AG Nürnberg, Beuthener Straße 25, 90471 Nürnberg, übermittelt. Die TeamBank prüft die Anfrage und verarbeitet die Daten für die Zahlungsabwicklung sowie die in der Bestellstrecke beschriebenen Identitäts- und Bonitätsprüfungen. Maßgeblich sind die dort bereitgestellten Datenschutzhinweise und die ergänzenden easyCredit-Bedingungen. Allgemeine Informationen finden Sie unter easyCredit Datenschutz.

Versanddienstleister und Spediteure

Sofern die Lieferung durch eine Spedition erfolgt, geben wir Ihre E-Mail-Adresse und Telefonnummer vor der Zustellung an den beauftragten Transportdienstleister weiter, damit dieser den Liefertermin mit Ihnen abstimmen kann (Avisierung). Die Weitergabe erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ohne die Weitergabe dieser Daten ist eine telefonische Terminvereinbarung und somit die Zustellung per Spedition oft nicht möglich.

12. Spam-Vermeidung bei Formularen

Wir verwenden Cloudflare Turnstile zur Vermeidung von Spam in Formularen. Anbieter ist Cloudflare Inc., 101 Townsend St., San Francisco, USA. Turnstile prüft automatisiert, ob eine Eingabe durch eine natürliche Person erfolgt. Dabei können technische Daten wie IP-Adresse, Browser-Informationen und Interaktionsdaten verarbeitet werden. Eine Datenübertragung in die USA kann nicht ausgeschlossen werden. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

13. Speicherdauer

Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

14. Rechte der betroffenen Personen

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse) erfolgt, Widerspruch einzulegen. Dies gilt insbesondere für Direktwerbung.
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO). Zuständige Behörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Der Widerruf einer Einwilligung hat keine Auswirkungen auf die Nutzung der Website oder auf vertragliche Leistungen. Die Ausübung der Rechte ist kostenfrei.

15. Datensicherheit

Es werden technische und organisatorische Maßnahmen eingesetzt, um personenbezogene Daten vor unbefugtem Zugriff zu schützen.