Datenschutz

Verantwortlicher

Unternehmen

Homesolutions - Choquet und Reuter GbR

Vertreten durch

Dominic Reuter und Xavier Choquet

Anschrift

Schillerstraße 31, 70825 Korntal-Münchingen, Deutschland

E-Mail

service@timelessandmore.com

Telefon

+49 160 1617080

Verarbeitungen

Website und Sicherheit

IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode sowie technische Browser- und Verbindungsdaten. Zweck: sichere und stabile Bereitstellung, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist der sichere Betrieb des Webshops.

Kontakt

Name, E-Mail-Adresse und Inhalt der Anfrage. Zweck: Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die Beantwortung von Anfragen.

Vorbestellungsanfrage und Produktinformationen

E-Mail-Adresse, ausgewähltes Uhrenmodell und Ausführung, Einwilligungs- und Datenschutzhinweisversion, Bestätigungs-, Anfrage- und Abmeldezeitpunkte sowie pseudonymisierte Verbindungs- und Versandnachweise. Zunächst senden wir nur einen Bestätigungslink an die angegebene Adresse. Erst der bewusste Klick aktiviert die unverbindliche Anfrage und Produktneuigkeiten zu der ausgewählten Uhr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jeder Produkt-E-Mail widerrufen werden; die Anfrage löst keine Bestellung, Reservierung oder Zahlung aus.

Konto und Bestellung

E-Mail-Adresse, Name, optionale Telefonnummer, Liefer- und Rechnungsadresse, Warenkorb-, Bestell-, Zahlungsstatus- und Sitzungsdaten. Zweck: Konto, Checkout, Vertrag, Lieferung und Kundenservice. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweis- und Aufbewahrungspflichten.

Widerruf und Reklamation

Kontaktdaten, Vertrags- oder Bestellbezug, Erklärung, Nachrichten sowie Eingangs- und Bearbeitungszeitpunkte. Zweck: Bearbeitung und Nachweis des Vorgangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Interne Auftragsbearbeitung und Datensicherung

Kontakt-, Adress-, Bestell-, Artikel-, Zahlungsstatus-, Erstattungs-, Streit-, Versand- und Trackingdaten werden in zugriffsgeschützten internen Auftrags-, Warenwirtschafts- und Buchhaltungssystemen, darunter Homeflow, bereitgestellt. Verschlüsselte Sicherungskopien dienen ausschließlich der Wiederherstellung. Zwecke sind Vertragserfüllung, Versand, Kundenservice, Buchhaltung, Bestandsführung, Fehlerbehebung und Wiederanlauf nach einem Ausfall. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind ein kontrollierter Geschäftsbetrieb, Datenintegrität und Ausfallsicherheit.

Welche Daten die Adressvorschläge an OpenPLZ API übermitteln

Wenn Sie im Checkout in das Feld „Straße und Hausnummer“ tippen, sendet Ihr Browser den eingegebenen Ausschnitt ausschließlich an unseren Server. Dort wird eine am Ende erkennbare Hausnummer abgetrennt und nicht an den Verzeichnisdienst übermittelt. Unser internes Webshop-Backend fragt bei OpenPLZ API ausschließlich nach dem verbleibenden Straßennamen-Ausschnitt in Deutschland und erhält passende Straßennamen, Postleitzahlen und Orte. Name, E-Mail-Adresse, Hausnummer, Adresszusatz sowie Warenkorb-, Bestell- und Zahlungsdaten werden bei dieser Abfrage nicht an OpenPLZ API gesendet. Ihr Browser baut keine direkte Verbindung zu OpenPLZ API auf; der Dienst erhält deshalb nicht die IP-Adresse Ihres Endgeräts als Absender der Anfrage.

Adressvorschläge bleiben freiwillig

Die Adressvorschläge sollen Eingabefehler vermeiden und die Adresseingabe vereinfachen. Sie prüfen weder, ob eine Hausnummer existiert, noch ob eine Sendung tatsächlich zugestellt werden kann. Rechtsgrundlage für die unterstützende Abfrage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine fehlerarme und effiziente Erfassung von Liefer- und Rechnungsadressen. Die Nutzung ist freiwillig: Sie können Vorschläge ignorieren, die Adressfelder jederzeit manuell ausfüllen oder korrigieren und die Bestellung auch abschließen, wenn die Adresssuche nicht verfügbar ist. Eine Auswahl aus der Vorschlagsliste ist nicht erforderlich. Erst die von Ihnen ausgewählte oder manuell eingegebene und abgesendete Adresse wird für Checkout, Vertrag und Lieferung verarbeitet.

OpenPLZ-Empfänger, Hosting und Datenquellen

Datenquelle: OpenPLZ API ↗ (externer Link, öffnet in neuem Tab) / © OpenStreetMap-Mitwirkende ↗ (externer Link, öffnet in neuem Tab) (ODbL). OpenPLZ API wird von der STÜBER SYSTEMS GmbH, Berlin, als offenes Straßen- und Postleitzahlverzeichnis bereitgestellt. Die verarbeiteten Verzeichnisdaten stammen aus öffentlichen Quellen, darunter OpenStreetMap, und stehen unter der Open Database License. Der Anbieter nennt für den Webdienst Hosting bei STRATO in Deutschland sowie Cloudflare als Content-Delivery- und Sicherheitsdienst; dabei kann eine Verarbeitung in den USA auf Grundlage des EU-US Data Privacy Framework beziehungsweise von EU-Standardvertragsklauseln stattfinden. Der Anbieter kann bei der technischen Bereitstellung insbesondere den übermittelten Straßennamen-Ausschnitt, die IP-Adresse unseres Webshop-Backends und den Anfragezeitpunkt in Serverprotokollen verarbeiten. Weitere Informationen enthalten die Datenschutzhinweise von STÜBER SYSTEMS ↗ (externer Link, öffnet in neuem Tab), die Informationen zu Nutzung, Hosting und Lizenz von OpenPLZ API ↗ (externer Link, öffnet in neuem Tab).

Externe Seiten werden erst nach Ihrer Auswahl aufgerufen

Diese Website enthält als extern gekennzeichnete Links, beispielsweise zu App-Stores, Versanddienstleistern, Partner- oder Marktplatzangeboten und – sofern eingerichtet – zu Social-Media-Profilen. Beim bloßen Anzeigen unserer Seiten wird über diese Links keine Verbindung zum Zielanbieter hergestellt; wir laden keine Vorschau, kein Widget, kein Social Plugin und kein Tracking-Pixel des Zielanbieters vorab. Erst wenn Sie einen externen Link auswählen, ruft Ihr Browser die Zielseite auf. Der Zielanbieter erhält dabei insbesondere IP-Adresse, Zeitpunkt sowie Browser- und Geräteinformationen und verarbeitet weitere dort eingegebene oder mit einem dortigen Konto verknüpfte Daten nach seinen eigenen Datenschutzhinweisen. Der Wechsel wird am Link durch den Namen des Ziels und ein Extern-Symbol kenntlich gemacht. Bei Links, die in einem neuen Tab öffnen, unterdrücken wir die Übermittlung der Ausgangsadresse durch eine No-Referrer-Einstellung.

Zahlung mit der eingebetteten Stripe-Zahlungsmaske

Wenn Sie den Zahlungsschritt öffnen, legt unser Server eine Checkout-Sitzung bei Stripe an. Anschließend lädt Ihr Browser Stripe.js und bindet die von Stripe bereitgestellte Zahlungsmaske in diese Shopseite ein. Die zuvor im Shop erhobenen Kontakt-, Rechnungs- und Lieferdaten übermitteln wir zusammen mit den für den Zahlungsstart erforderlichen Kunden-, Bestell-, Artikel-, Preis-, Versand-, Sitzungs- und internen Nachweisdaten sowie – soweit für die konfigurierte Besteuerung erforderlich – Steuerdaten an Stripe. Bei einem Kundenkonto kann ein Stripe-Kundenprofil mit Name, E-Mail-Adresse und interner Kundenkennung angelegt oder aktualisiert werden. In der eingebetteten Zahlungsmaske erhebt Stripe insbesondere die Zahlungsart, die erforderlichen Karten-, Bank- oder Wallet-Daten sowie IP-Adresse, Geräte-, Browser-, Nutzungs- und Betrugserkennungssignale. Eingaben in der Zahlungsmaske können auch bei einem abgebrochenen oder abgelehnten Zahlungsversuch verarbeitet werden. Vollständige Karten- oder Bankkontodaten werden aus der Zahlungsmaske unmittelbar an Stripe übermittelt; wir speichern sie nicht. Wir erhalten insbesondere Sitzungs- und Transaktionskennungen, Betrag sowie Zahlungs-, Erstattungs- und Streitstatus. Zwecke sind Zahlungs- und Vertragsabwicklung, Zahlungsbestätigung, Erstattungen, Bearbeitung von Zahlungsstreitigkeiten, Betrugs- und Missbrauchsabwehr sowie – sofern aktiviert – Steuerberechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für gesetzliche Buchungs- und Nachweispflichten Art. 6 Abs. 1 lit. c DSGVO und für unsere Betrugs- und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist eine sichere Zahlungsabwicklung und der Schutz vor Vermögensschäden.

Rollen und beteiligte Stripe-Gesellschaften

Stripe handelt bei einem Teil der angewiesenen Zahlungs- und Plattformleistungen als Auftragsverarbeiter. Für eigene Zwecke, insbesondere die Auswahl von Banken und Zahlungsarten, Betrugs-, Verlust- und Sicherheitsprävention, aufsichts-, geldwäsche-, steuer- und behördenrechtliche Pflichten sowie Analyse und Weiterentwicklung seiner Dienste, handelt Stripe nach seinen Angaben eigenständig verantwortlich. Je nach Funktion können insbesondere Stripe Payments Europe, Limited, Stripe Technology Company, Limited, Stripe Technology Europe, Limited, Stripe, LLC und weitere Stripe-Gesellschaften beteiligt sein. Die für diesen Shop hinterlegten Vertrags-, Anbieter- und Transferangaben lauten: Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, Irland; Datenschutz: https://stripe.com/de/privacy. Maßgeblich bleibt der tatsächlich abgeschlossene Stripe-Vertrag.

Stripe-Empfänger und internationale Übermittlungen

Weitere Stripe-Empfänger können Banken, Kartennetzwerke, Wallet- und sonstige Zahlungsanbieter, Betrugs- und Identitätsprüfdienste, Infrastruktur- und Unterauftragsverarbeiter sowie zuständige Behörden sein. Stripe verarbeitet Daten weltweit, insbesondere auch in den USA. Soweit erforderlich, können Übermittlungen an zertifizierte US-Empfänger auf dem EU-US Data Privacy Framework und im Übrigen auf EU-Standardvertragsklauseln beruhen. Aktuelle Einzelheiten enthalten das Stripe Privacy Center ↗ (externer Link, öffnet in neuem Tab), die Stripe-Datenschutzerklärung ↗ (externer Link, öffnet in neuem Tab), das Stripe-DPA ↗ (externer Link, öffnet in neuem Tab), das Data Transfers Addendum ↗ (externer Link, öffnet in neuem Tab) und die Liste der Stripe-Dienstleister ↗ (externer Link, öffnet in neuem Tab).

Stripe-Technologien werden erst im eingebetteten Zahlungsschritt geladen

Vor dem Öffnen des Zahlungsschritts lädt der Browser keine Stripe-Skripte, Stripe-Frames oder Stripe-Cookies. Erst im Zahlungsschritt werden Stripe.js und die von Stripe bereitgestellten Frames geladen und in diese Shopseite eingebettet. In diesem eingebetteten Zahlungsbereich kann Stripe Cookies und ähnliche Technologien für Zahlungsabwicklung, Authentifizierung, Betrugsprävention und Sicherheit sowie – nach Maßgabe der Stripe-Einstellungen – weitere Zwecke einsetzen. Die Cookie-Auswahl dieses Webshops steuert die Endgerätespeicherung innerhalb der Stripe-Frames nicht; dort gelten die Hinweise und Auswahlmöglichkeiten von Stripe.

Optionale Statistik und Endgerätespeicherung

Eine eigene Reichweitenstatistik wird nur nach Einwilligung verarbeitet. Erfasst werden feste Seitentypen, Besuchs- und Seitenaufrufzähler, begrenzte Produkt- und Checkout-Ereignisse sowie gegebenenfalls die Auswahl einer externen Kaufmöglichkeit und eine grobe geografische Zuordnung. Nur für Zugriffe aus Deutschland kann die technisch anfallende Verbindungsadresse lokal einer ungefähren Stadt und einem Bundesland zugeordnet werden; für Zugriffe aus anderen Staaten bleibt es beim Land. Die Roh-IP-Adresse wird für diese Zuordnung nur flüchtig auf unserem Webshop-Server verwendet und weder in der Statistik gespeichert noch an DB-IP oder Homeflow übermittelt. Die Zuordnung beschreibt den ungefähren Standort des Internetzugangs, nicht den Wohn- oder tatsächlichen Aufenthaltsort. Sie kann insbesondere durch VPN-Verbindungen, Mobilfunknetze, Firmennetze oder veraltete Zuordnungsdaten ungenau oder falsch sein. Bei sichtbarem Browser-Tab wird höchstens einmal pro Minute zusätzlich eine kurzlebige Live-Präsenz erneuert. Eine Live-Zeile entsteht erst, nachdem der Browser ein zuvor von uns signiertes Statistik-Sitzungscookie gültig zurückgesendet hat; ein erster Aufruf ohne gültiges Cookie setzt nur dieses Cookie. Für die Live-Zeile speichert der Server ausschließlich einen zweckgebundenen HMAC-Nachweis der Statistik-Sitzung, den festen Seitentyp, die serverseitig aus dem signierten HTTP-only-Warenkorb ermittelte Gesamtstückzahl sowie Zeitpunkt und Ablauf der letzten Aktivität. Nach fünf Minuten wird die Präsenz nicht mehr in der Live-Auswertung berücksichtigt. Abgelaufene Zeilen werden bei weiteren Live-Aufrufen in begrenzten Mengen entfernt; verbleibende Zeilen löscht der nächste tägliche beziehungsweise Startup-Retention-Lauf. Die Live-Zeile enthält insbesondere keine Roh-IP-Adresse, keinen User-Agent, keine vollständige URL oder URL-Parameter, keine Artikelnummer oder SKU, keine Warenkorbinhalte und keine Kundenkennung. Bundesland- und Stadtgruppen werden im Homeflow-Dashboard erst einzeln angezeigt, wenn die jeweilige Gruppe im gewählten Zeitraum mindestens zehn einwilligungsbasierte Besuche erreicht. Einzelzugriffe bleiben unsichtbar; kleinere Gruppen fließen nur in zusammengefasste unterdrückte Zähler ein. Diese Schwelle verringert das Risiko, einzelne Besuche herauszuheben, ist aber keine Garantie der Anonymität bei beliebigem externem Zusatzwissen. Für die Statistikansicht erhält Homeflow ausschließlich zusammengefasste Shop-Kennzahlen. Dazu gehören in Version 4 zusätzlich getrennte Gruppenwerte für Bundesländer und ungefähre Städte. Homeflow erhält keine Statistik-Einzelereignisse, Sitzungsnachweise, Roh-IP-Adressen oder Kundenkennungen. Zusammengefasste Häufigkeiten der fest vorgegebenen Interaktionstypen werden bereits beim Eingang atomar als feste Tageszähler fortgeschrieben; die Dashboard-Abfrage wertet keine Rohereignisse aus. Die Statistik-Sitzung endet nach 30 Minuten ohne Aktivität und spätestens nach 24 Stunden. Tagesaggregate werden in der operativen Datenbank höchstens 90 Tage gespeichert. Bereits gelöschte Tagesaggregate können über diese Frist hinaus bis zur planmäßigen Rotation in verschlüsselten Sicherungskopien enthalten sein. Sicherungskopien werden nicht für Statistik ausgewertet, sondern nur für die Wiederherstellung nach einem Ausfall; nach einer Wiederherstellung werden die Löschfristen erneut angewendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über „Cookie-Einstellungen“ im Footer widerrufen werden; dabei wird das Statistik-Sitzungscookie gelöscht. Für die optional lokal betriebene Zuordnung werden Daten von DB-IP (db-ip.com, Creative Commons Attribution 4.0) verwendet.

Datenquelle und Lizenz der ungefähren Ortszuordnung

Datenquelle der lokalen GeoIP-Zuordnung: IP geolocation by DB-IP ↗ (externer Link, öffnet in neuem Tab) unter der Creative Commons Attribution 4.0 (CC BY 4.0).

Empfänger und Übermittlungen

Hosting

Albwebsolutions (Hannes Zaiser; vorgeschalteter Hosting- und TLS-Proxy) und Hetzner Online GmbH (Serverinfrastruktur)

Datenbank

Selbst betriebene PostgreSQL-Datenbank auf derselben Hetzner-Infrastruktur in Falkenstein, Deutschland; kein zusätzlicher Datenbankanbieter

E-Mail-Versand

Albwebsolutions (Hannes Zaiser), Mail-Infrastruktur in Falkenstein, Deutschland

Zahlung

Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, Irland; Datenschutz: https://stripe.com/de/privacy

Adressvorschläge

STÜBER SYSTEMS GmbH / OpenPLZ API; serverseitige Abfrage deutscher Straßennamen ohne erkannte Hausnummer

Verarbeitungsorte und Drittlandtransfers

Falkenstein (FSN1), Deutschland; keine reguläre Drittlandübermittlung vorgesehen

Speicherdauer

Server-Logs werden für folgenden Zeitraum gespeichert: Shop-Anwendungslogs speichern keine IP-Adressen; Albwebsolutions gibt für Server-Logfiles eine Löschung spätestens nach sieben Tagen an. Kontakt- und Servicedaten werden nach Abschluss des Vorgangs gelöscht, soweit keine Vertrags-, Aufbewahrungs- oder Rechtsverteidigungsgründe entgegenstehen. Unbestätigte Vorbestellungsanfragen verfallen nach 24 Stunden; ihre E-Mail-Adresse und noch nicht versandte Inhalte werden anschließend gelöscht oder unkenntlich gemacht. Bestätigte Vorbestellungs- und Produktinformationsdaten werden bis zum Widerruf oder bis zu einer dokumentierten Zweckerledigung verarbeitet. Nach einer Abmeldung werden E-Mail-Adresse, Ausführung, Token-Nachweise und nicht mehr laufende Versanddaten noch 30 Tage für Sperre, Abwicklung und Missbrauchsschutz vorgehalten und danach gelöscht oder anonymisiert; bestehen bleibt, soweit für den Missbrauchsschutz erforderlich, nur ein minimierter technischer Prozessnachweis ohne E-Mail-Adresse. Kontodaten werden bis zur Löschung des Kontos verarbeitet. Vertrags- und Buchungsdaten werden für die gesetzlichen handels- und steuerrechtlichen Fristen aufbewahrt und anschließend gelöscht oder gesperrt. Daten in internen Auftrags- und Warenwirtschaftssystemen folgen den Fristen des jeweiligen Bestell- oder Servicevorgangs. Gelöschte Daten können bis zur planmäßigen Rotation noch in verschlüsselten Sicherungskopien enthalten sein; diese werden bis dahin nur zur Wiederherstellung nach einem Ausfall verwendet. Stripe legt die Speicherdauer für seine eigenverantwortliche Verarbeitung anhand von Zahlungs-, Aufsichts-, Geldwäsche-, Sicherheits- und Betrugspräventionspflichten fest. Eine Kontolöschung bei uns führt deshalb nicht zwingend zur sofortigen Löschung aller bei Stripe rechtmäßig aufzubewahrenden Daten.

Rechte

Betroffene Personen haben nach Maßgabe der Art. 15 bis 21 DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Rechte hinsichtlich unserer Daten können Sie bei uns ausüben. Für Daten, die Stripe oder ein Plattformanbieter ausschließlich in eigener Verantwortung verarbeitet, können Sie sich zusätzlich unmittelbar an den jeweiligen Anbieter wenden.

Beschwerde bei der Datenschutzaufsicht

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, poststelle@lfdi.bwl.de, https://www.baden-wuerttemberg.datenschutz.de

Bereitstellung und automatisierte Risikoprüfung

Die für Bestellung und Lieferung als erforderlich gekennzeichneten Angaben werden für den Vertrag benötigt; ohne sie ist eine Bestellung nicht möglich. Die für den gewählten Zahlungsweg erforderlichen Angaben müssen Stripe bereitgestellt werden; ohne sie kann die Zahlung über diesen Weg nicht durchgeführt werden. Ein Kundenkonto, eine Vorbestellungsanfrage, Produktinformationen per E-Mail und die Statistik-Einwilligung sind freiwillig. Ohne die E-Mail-Adresse können die Vorbestellungsanfrage und die Produktinformationen nicht bereitgestellt werden. Der Webshop führt keine eigene Bonitätsbewertung durch. Stripe kann aus Transaktions-, Kontakt-, Adress-, IP-, Geräte-, Browser- und weiteren Betrugssignalen automatisiert einen Risikowert bilden. Stripe-eigene und im Händlerkonto eingestellte Regeln können dazu führen, dass eine Zahlung freigegeben, eine zusätzliche Authentifizierung verlangt, der Vorgang zur Prüfung vorgelegt oder die Zahlung blockiert wird. Wenn Sie eine Zahlungsablehnung klären möchten, können Sie sich an uns wenden; wir prüfen die für uns verfügbaren Angaben und beziehen Stripe ein, soweit dies erforderlich ist. Weitere Informationen zu den von Stripe verantworteten Verarbeitungen sowie zu Kontakt- und Betroffenenrechten enthält die Datenschutzerklärung ↗ (externer Link, öffnet in neuem Tab).