Datenschutzerklärung DiyaDuft

Stand: 2. September 2026

1. Verantwortlicher

MVC-WERK / DiyaDuft
Hauptstraße 32
53842 Troisdorf
Deutschland
Telefon: +49 2241 3013148
E-Mail: info@diyaduft.de

Ein Datenschutzbeauftragter ist nicht bestellt, soweit hierfür keine gesetzliche Pflicht besteht.

2. Allgemeine Hinweise und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unseres Onlineshops, zur Vertragsabwicklung, zur Kommunikation, zur Erfüllung gesetzlicher Pflichten oder aufgrund einer Einwilligung erforderlich ist.

Je nach Verarbeitung stützen wir uns insbesondere auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Erfüllung eines Vertrags,

• Art. 6 Abs. 1 lit. c DSGVO für rechtliche Verpflichtungen,

• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere einen sicheren und wirtschaftlichen Shopbetrieb, Betrugsprävention und die Bearbeitung von Anfragen,

• Art. 6 Abs. 1 lit. a DSGVO für einwilligungsabhängige Analyse, personalisierte Werbung und Marketingkommunikation,

• § 25 Abs. 1 TDDDG für das Speichern von Informationen auf deinem Endgerät oder den Zugriff darauf, soweit dies nicht technisch unbedingt erforderlich ist,

• § 25 Abs. 2 Nr. 2 TDDDG für technisch unbedingt erforderliche Speicher- und Zugriffsvorgänge.

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft über die Cookie- und Datenschutzeinstellungen oder über unsere Kontaktdaten widerrufen.

3. Hosting und Shopbetrieb durch Shopify

Unser Shop wird über Shopify betrieben. Anbieter für den europäischen Raum ist Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland. Shopify verarbeitet insbesondere IP-Adresse, Geräte- und Browserdaten, Nutzungsdaten, Kontaktdaten, Kundenkonto-, Warenkorb-, Bestell-, Zahlungs- und Kommunikationsdaten. Dies dient der sicheren Bereitstellung des Shops sowie der Durchführung von Bestellungen und Zahlungen.

Die Verarbeitung erfolgt je nach Vorgang auf Grundlage von Art. 6 Abs. 1 lit. b, c oder f DSGVO. Technisch notwendige Cookies und ähnliche Technologien stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG. Shopify kann verbundene Unternehmen und Unterauftragnehmer außerhalb des EWR einsetzen. Übermittlungen erfolgen nach Angaben von Shopify auf Grundlage anerkannter Garantien, insbesondere Angemessenheitsbeschlüssen oder EU-Standardvertragsklauseln.

Soweit „Shopify Network Intelligence“ aktiviert ist, kann Shopify Daten aus Interaktionen mit Shopify und verschiedenen Shopify-Händlern für erweiterte Funktionen zusammenführen. Soweit hierfür eine Einwilligung erforderlich ist, erfolgt die Aktivierung erst nach deiner Auswahl im Cookie-Banner. Weitere Informationen: Shopify-Datenschutzrichtlinie und Shopify-Datenschutzportal.

4. Server-Logdaten

Beim Aufruf des Shops werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browser, Betriebssystem, Geräteinformationen und Statuscodes. Dies ist erforderlich, um die Website auszuliefern, Fehler zu beheben und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb des Shops.

5. Kundenkonto, Warenkorb und Bestellung

Bei Registrierung, Warenkorb und Bestellung verarbeiten wir insbesondere Name, Rechnungs- und Lieferadresse, E-Mail-Adresse, Telefonnummer, bestellte Artikel, Personalisierungsangaben, Bestell- und Zahlungsstatus, Versandinformationen, Kundenkonto- und Kommunikationsdaten. Die Verarbeitung ist zur Vertragsanbahnung und Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Pflichtangaben sind als solche gekennzeichnet. Ohne sie kann eine Bestellung gegebenenfalls nicht ausgeführt werden.

Für Produktpersonalisierungen nutzen wir insbesondere Zepto Product Personalizer, Globo Product Options und Mini Fields. Dabei können die von dir eingegebenen Texte, Auswahloptionen und gegebenenfalls hochgeladenen Dateien zusammen mit Bestell- und Produktdaten verarbeitet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bitte übermittle in Freitexten oder Uploads keine nicht erforderlichen sensiblen Daten und keine Daten Dritter ohne Berechtigung.

6. Zahlungen

Shopify Payments

Bei Auswahl einer über Shopify Payments angebotenen Zahlungsart werden die für die Zahlung erforderlichen Daten von Shopify und den beteiligten Banken, Kartennetzwerken oder Zahlungsdiensten verarbeitet. Dazu können Name, Rechnungsadresse, Zahlungsinstrument, Transaktionsbetrag, Währung, Geräte-, Risiko- und Authentifizierungsdaten gehören. Wir erhalten regelmäßig nur Status- und Abrechnungsinformationen, nicht die vollständigen Karteninformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Betrugsprävention kann zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

PayPal

Bei PayPal-Zahlungen werden erforderliche Bestell- und Zahlungsdaten an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg übermittelt. PayPal verarbeitet die Daten in eigener datenschutzrechtlicher Verantwortung, unter anderem zur Zahlungsausführung, Identitätsprüfung sowie Betrugs- und Risikoprüfung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: PayPal-Datenschutzerklärung.

7. Versand und Zustellung

Zur Lieferung übermitteln wir Name, Lieferadresse und – soweit für Zustellinformationen erforderlich – E-Mail-Adresse oder Telefonnummer sowie Sendungs- und Bestelldaten an die Deutsche Post DHL Group bzw. das konkret beauftragte Transportunternehmen. Die Verarbeitung erfolgt zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Die App „Post & DHL Shipping“ verarbeitet diese Daten zur Erstellung von Versandetiketten, Sendungsankündigungen und Trackinginformationen.

8. Buchhaltung und steuerrechtliche Pflichten

Bestell-, Kunden-, Rechnungs- und Zahlungsdaten werden zur Buchführung, Rechnungsstellung, steuerlichen Dokumentation und Zusammenarbeit mit der Steuerberatung verarbeitet. Hierfür setzen wir insbesondere Lexware Office sowie AccountOne – Ecommerce2Datev der AccountOne GmbH, Fördepromenade 4d, 24944 Flensburg, ein. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit handels- und steuerrechtlichen Vorschriften sowie Art. 6 Abs. 1 lit. f DSGVO für eine geordnete Unternehmensverwaltung.

9. Kommunikation, Shopify Inbox und Messaging

Wenn du uns per E-Mail, Kontaktformular, Shopify Inbox oder Messaging kontaktierst, verarbeiten wir deine Kontakt- und Nachrichtendaten sowie gegebenenfalls Bestellinformationen zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen und ansonsten Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer effizienten Kundenkommunikation.

10. Elektronische Widerrufsfunktion

Über die App „EU Widerruf Button“ stellen wir eine elektronische Widerrufsfunktion bereit. Bei deren Nutzung verarbeiten wir insbesondere deinen Namen, Angaben zur Bestellung oder zum Vertrag, deine elektronische Kontaktadresse, den Inhalt der Widerrufserklärung sowie Datum und Uhrzeit der Absendung und Bestätigung. Dies erfolgt zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB. Die Funktion übermittelt eine Widerrufserklärung; sie führt nicht zwingend automatisch zur technischen Stornierung oder Erstattung einer Bestellung.

11. Newsletter und Klaviyo

Wenn du unseren Newsletter abonnierst, verarbeiten wir insbesondere E-Mail-Adresse, Anmelde- und Bestätigungszeitpunkt, Einwilligungsnachweis sowie gegebenenfalls Namen und freiwillige Interessenangaben. Für Versand, Segmentierung und Erfolgsmessung nutzen wir Klaviyo, Inc., 125 Summer Street, Boston, Massachusetts 02110, USA. Je nach Konfiguration können außerdem Kauf-, Warenkorb-, Geräte- und Interaktionsdaten an Klaviyo übermittelt werden.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und – soweit Informationen auf deinem Endgerät gespeichert oder ausgelesen werden – § 25 Abs. 1 TDDDG. Für den Nachweis der Einwilligung gilt Art. 6 Abs. 1 lit. c DSGVO. Die Anmeldung erfolgt grundsätzlich im Double-Opt-in-Verfahren. Du kannst den Newsletter jederzeit über den Abmeldelink oder unsere Kontaktdaten abbestellen. Klaviyo stützt Übermittlungen in die USA nach eigenen Angaben unter anderem auf das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Weitere Informationen: Klaviyo Privacy Notice.

12. Cookie-Einwilligungsmanagement

Beim ersten Besuch zeigen wir ein Einwilligungsbanner. Nicht technisch notwendige Kategorien wie Personalisierung, Marketing und Analyse sind standardmäßig deaktiviert und werden erst nach deiner Einwilligung aktiviert. „Alle ablehnen“ muss ebenso leicht erreichbar sein wie „Alle akzeptieren“. Technisch notwendige Funktionen bleiben unabhängig davon aktiv. Deine Auswahl kannst du jederzeit über den dauerhaft erreichbaren Link „Cookie- und Datenschutzeinstellungen“ ändern oder widerrufen.

Die Einwilligungsentscheidung wird gespeichert, damit sie bei weiteren Aufrufen berücksichtigt und nachgewiesen werden kann. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c und f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG.

13. Google & YouTube

Nach deiner Einwilligung nutzen wir Dienste von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, insbesondere Google Analytics 4 sowie – abhängig von unseren Kampagnen – Google Ads, Conversion-Messung, Remarketing und den Vertriebskanal Google & YouTube. Dabei können Online-Kennungen, Cookie-IDs, IP-Adresse, Geräte- und Browserinformationen, aufgerufene Seiten, Interaktionen, Warenkorb-, Kauf- und Conversion-Daten verarbeitet und mit einem Google-Konto verknüpft werden, wenn du dort angemeldet bist.

Die Verarbeitung erfolgt ausschließlich auf Grundlage deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Daten können sowohl über den Browser als auch serverseitig an Google übermittelt werden. Google kann Daten in den USA und anderen Drittländern verarbeiten und hierfür insbesondere das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln verwenden. Weitere Informationen: Google-Datenschutzerklärung.

14. Meta: Facebook und Instagram

Nach deiner Einwilligung nutzen wir den Vertriebskanal Facebook & Instagram sowie Meta Pixel und serverseitige Conversion-Schnittstellen von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Dabei können IP-Adresse, Geräte- und Browserdaten, Seitenaufrufe, Interaktionen, Warenkorb-, Kauf- und Conversion-Daten sowie gehashte Kontaktdaten verarbeitet werden. Meta kann diese Informationen einem Benutzerkonto zuordnen und für Messung, Zielgruppenbildung und personalisierte Werbung verwenden.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Übermittlung erfolgt sowohl browser- als auch serverseitig erst nach Einwilligung. Soweit Meta und wir für bestimmte Erhebungs- und Übermittlungsvorgänge gemeinsam verantwortlich sind, gelten ergänzend die Vereinbarungen von Meta zur gemeinsamen Verantwortlichkeit. Daten können in die USA übertragen werden; Meta verwendet hierfür nach eigenen Angaben anerkannte Übermittlungsmechanismen. Weitere Informationen: Meta-Datenschutzrichtlinie.

15. TikTok

Nach deiner Einwilligung nutzen wir den TikTok-Vertriebskanal, TikTok Pixel und serverseitige Ereignisschnittstellen von TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Dabei können IP-Adresse, Geräte- und Browserdaten, Online-Kennungen, Seitenaufrufe, Interaktionen, Warenkorb-, Bestell- und Conversion-Daten verarbeitet werden. TikTok kann diese Informationen zur Erfolgsmessung, Zielgruppenbildung und personalisierten Werbung verwenden.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Daten können in Drittländer übermittelt werden; TikTok verwendet hierfür nach eigenen Angaben geeignete Garantien. Einzelheiten findest du in der Datenschutzrichtlinie von TikTok.

16. Instagram-Inhalte (Instafeed)

Wir können mit „Instafeed“ Beiträge unseres Instagram-Profils im Shop anzeigen. Soweit hierbei beim Seitenaufruf eine direkte Verbindung zu Meta/Instagram hergestellt wird, aktivieren wir diese Einbindung erst nach deiner Einwilligung. Dabei können insbesondere IP-Adresse, Geräte- und Browserdaten sowie die aufgerufene Seite an Meta übermittelt werden. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung darf nur ein lokaler Platzhalter erscheinen.

17. Weitere Shopify-Apps und Automatisierungen

Wir setzen Order Printer, Shopify Flow, PicManager sowie weitere interne Shopify-Funktionen zur Erstellung von Belegen, Automatisierung von Bestellabläufen und Verwaltung von Produktmedien ein. Soweit dabei personenbezogene Daten verarbeitet werden, geschieht dies zur Vertragsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO oder aufgrund unseres berechtigten Interesses an effizienten Geschäftsabläufen nach Art. 6 Abs. 1 lit. f DSGVO. Zugriffe werden auf das für die jeweilige Funktion erforderliche Maß begrenzt.

18. Weitere Vertriebskanäle

Bei Bestellungen oder Interaktionen über Shop, Point of Sale, Ankorstore oder andere aktiv genutzte Vertriebskanäle verarbeiten wir die zur jeweiligen Anbahnung und Abwicklung erforderlichen Kunden-, Bestell-, Zahlungs- und Kommunikationsdaten. Der jeweilige Plattformbetreiber verarbeitet Daten zusätzlich in eigener Verantwortung gemäß seiner Datenschutzerklärung. Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Dokumentationspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

19. Empfänger und Drittlandübermittlungen

Empfänger können – soweit für den jeweiligen Zweck erforderlich – Shopify und dessen Unterauftragnehmer, Zahlungsdienstleister, Banken, Versandunternehmen, IT- und App-Anbieter, Marketing- und Analyseanbieter, Steuerberatung, Buchhaltungsdienste sowie Behörden und sonstige gesetzlich berechtigte Stellen sein. Einige Anbieter verarbeiten Daten außerhalb des EWR. Übermittlungen erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, des EU-US Data Privacy Frameworks oder von EU-Standardvertragsklauseln und gegebenenfalls ergänzenden Schutzmaßnahmen.

20. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Bestell-, Vertrags- und Abrechnungsdaten werden entsprechend handels- und steuerrechtlicher Vorgaben regelmäßig sechs, acht oder zehn Jahre aufbewahrt. Einwilligungsnachweise speichern wir für die Dauer ihrer rechtlichen Relevanz. Kundenkonto-Daten werden grundsätzlich bis zur Löschung des Kontos gespeichert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Supportanfragen werden nach Abschluss und Ablauf möglicher Verjährungsfristen gelöscht. Marketingdaten werden bis zum Widerruf der Einwilligung oder Wegfall des Zwecks verarbeitet; anschließend können Nachweisdaten in einer Sperrliste verbleiben, um weitere Werbung zu verhindern.

21. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Vertrags- und Zahlungsdaten sind für einen Vertragsabschluss erforderlich. Ohne diese Daten können wir die Bestellung nicht bearbeiten. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung findet durch uns grundsätzlich nicht statt. Zahlungsanbieter können in eigener Verantwortung automatisierte Betrugs- und Risikoprüfungen durchführen.

22. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für uns zuständig ist grundsätzlich:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de

23. Datensicherheit

Wir und unsere Dienstleister treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Hierzu gehören insbesondere verschlüsselte Übertragung, Zugriffsbeschränkungen und Berechtigungskonzepte. Eine vollständig risikofreie Datenübertragung kann jedoch nicht garantiert werden.

24. Änderungen

Wir aktualisieren diese Datenschutzerklärung, wenn sich Rechtslage, Shopfunktionen, Apps, Vertriebskanäle oder Datenverarbeitungen ändern. Das jeweils aktuelle Datum steht am Anfang der Erklärung.