Datenschutzerklärung

1. Verantwortlicher

Julian Sekora, Süderstraße 33, 24955 Harrislee, Deutschland, E-Mail hallo@walleria.de.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb des Shops und die Abwicklung von Bestellungen erforderlich ist oder du eingewilligt hast. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Pflichten, z. B. Aufbewahrung), lit. f (berechtigte Interessen, z. B. Sicherheit und Betrugsvermeidung) und lit. a (Einwilligung). Für das Speichern und Auslesen von Informationen auf deinem Endgerät gilt § 25 TDDDG.

3. Shop-System und Hosting (Shopify)

Unser Online-Shop läuft auf der Plattform Shopify der Shopify International Limited, Victoria Buildings, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland („Shopify“). Shopify stellt den Shop bereit, speichert ihn und verarbeitet in unserem Auftrag die beim Besuch und bei Bestellungen anfallenden Daten: IP-Adresse, Browser- und Geräteangaben, aufgerufene Seiten, Warenkorb, Bestell-, Kontakt- und Lieferdaten. Mit Shopify besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Als Speicherort ist die Europäische Union eingestellt; Shopify kann Daten zusätzlich an die Shopify Inc. in Kanada (Angemessenheitsbeschluss der EU-Kommission) und an Unterauftragsverarbeiter in weiteren Ländern, insbesondere den USA, übermitteln. Grundlage dafür sind das EU-U.S. Data Privacy Framework bzw. die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Betrieb eines sicheren, funktionsfähigen Shops).

Shopify verarbeitet bestimmte Daten zudem in eigener Verantwortung, etwa zur Betrugsvermeidung, zur Sicherheit seiner Dienste und – wenn du sie nutzt – für Shop Pay und die Shop-App. Näheres findest du in den Datenschutzhinweisen von Shopify unter shopify.com/de/legal/datenschutz.

4. Bestellung und Personalisierung

Für die Bestellung verarbeiten wir Name, Anschrift, E-Mail-Adresse, ggf. Telefonnummer sowie die Personalisierungsangaben, die du im Shop einträgst (z. B. Namen, Daten, Wunschtexte) oder hochlädst (z. B. Ultraschallbild oder Tierfoto). Diese Daten sind zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ein Ultraschallbild kann Rückschlüsse auf eine Schwangerschaft zulassen und gilt damit als Gesundheitsdatum (Art. 9 DSGVO); es verarbeiten wir nur auf Grundlage deiner ausdrücklichen Einwilligung, die du beim Hochladen per Kontrollkästchen erteilst (Art. 9 Abs. 2 lit. a DSGVO) und jederzeit mit Wirkung für die Zukunft per E-Mail an hallo@walleria.de widerrufen kannst. Hochgeladene Bilder werden zunächst bei Shopify gespeichert und für die Herstellung in unseren Speicher bei Supabase (Abschnitt 10) übertragen; wir löschen sie 30 Tage nach Versand bzw. Bereitstellung deiner Dateien. Rechnungs- und Bestelldaten bewahren wir wegen der handels- und steuerrechtlichen Pflichten 10 Jahre auf (§ 147 AO, § 257 HGB). Personalisierungsangaben (Namen, Daten, Wunschtexte) löschen wir 90 Tage nach Lieferung aus unserer Auftragsdatenbank, soweit sie nicht Teil der aufbewahrungspflichtigen Rechnungsdaten sind. Interne Benachrichtigungen über neue Bestellungen (Name, Anschrift, E-Mail-Adresse, Personalisierung, Druckdatei) empfangen wir in einem geschäftlich genutzten Postfach bei Apple (iCloud Mail, Apple Distribution International Ltd., Irland; Art. 6 Abs. 1 lit. b und f DSGVO). Ein Kundenkonto ist nicht erforderlich.

5. Zahlungsabwicklung

Shopify Payments: Zahlungen per Kredit- oder Debitkarte, Apple Pay, Google Pay und – soweit angeboten – Klarna wickeln wir über Shopify Payments ab. Dienstleister ist in der EU die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, gemeinsam mit Shopify. Übermittelt werden die für die Zahlung nötigen Daten (Name, E-Mail-Adresse, Rechnungsadresse, Betrag, Zahlungsmittel); Kartendaten werden ausschließlich beim Zahlungsdienstleister verarbeitet und sind für uns nicht sichtbar. Bei Zahlung mit Klarna verarbeitet zusätzlich die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, deine Daten, auch zur Identitäts- und Bonitätsprüfung nach ihren eigenen Datenschutzhinweisen.

PayPal: Wählst du PayPal, wirst du zu PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, weitergeleitet. PayPal erhält Name, Anschrift, E-Mail-Adresse und Bestellbetrag und verarbeitet die Daten nach seinen eigenen Datenschutzhinweisen (paypal.com/de/legalhub/privacy-full).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Betrugsprüfung der Zahlungsdienstleister stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.

6. Versand

Für gedruckte Poster erstellen wir die Versandlabels mit Sendcloud (Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Niederlande; Auftragsverarbeitung nach Art. 28 DSGVO) und übergeben die Sendung an DHL / Deutsche Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn. Dafür übermitteln wir Name und Lieferanschrift (Art. 6 Abs. 1 lit. b DSGVO). Deine E-Mail-Adresse geben wir an DHL nur zur Paketankündigung weiter, wenn du eingewilligt hast.

7. Herstellung der Druck- und Download-Dateien

Aus deinen Personalisierungsangaben erzeugen wir die Druck- und Download-Dateien automatisiert. Die Berechnung läuft auf Servern der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (GitHub Actions); verarbeitet werden dabei nur die Angaben, die auf dem Poster erscheinen, und ggf. dein hochgeladenes Bild. Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln; mit GitHub besteht ein Auftragsverarbeitungsvertrag. Die fertigen Dateien liegen in unserem Speicher bei Supabase (Abschnitt 10). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mails und Bewertungsanfrage

Die Bestell- und Versandbestätigung verschickt Shopify. Download-Links und Nachrichten zur Herstellung verschicken wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin); mit Brevo besteht ein Auftragsverarbeitungsvertrag, die Verarbeitung erfolgt in der EU (Art. 6 Abs. 1 lit. b DSGVO).

Bewertungsanfrage: Einige Tage nach dem Kauf bitten wir dich einmalig per E-Mail um eine Bewertung des gekauften Posters (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG; unser Interesse ist ehrliches Feedback und die Verbesserung unseres Angebots). Du kannst dem jederzeit widersprechen – per Klick auf den Link in der E-Mail, mit einer kurzen Antwort oder einer Nachricht an hallo@walleria.de, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch speichern wir deine E-Mail-Adresse in einer Sperrliste, damit wir dich nicht erneut anschreiben (Art. 6 Abs. 1 lit. c und f DSGVO).

Danke-Gutschein: Wenige Minuten nach deiner Bestellung schicken wir dir einmalig per E-Mail einen persönlichen Rabattcode für eine weitere Bestellung bei uns (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG; unser Interesse ist Werbung für eigene ähnliche Produkte). Dafür legen wir den Code in unserem Shopify-Konto an und speichern Bestellnummer, Code und Versandstatus höchstens 90 Tage. Du kannst dem jederzeit widersprechen – wie bei der Bewertungsanfrage oben, kostenlos bis auf die Übermittlungskosten nach den Basistarifen.

Zustimmung bei digitalen Dateien: Bestellst du digitale Dateien, bestätigst du im Warenkorb per Kontrollkästchen, dass wir sofort liefern dürfen (§ 356 Abs. 5 BGB). Zeitpunkt und Wortlaut dieser Zustimmung speichern wir als Nachweis bei der Bestellung (Art. 6 Abs. 1 lit. b und c DSGVO).

9. Newsletter

Anmeldung und Inhalt: Für unseren Newsletter kannst du dich auf der Startseite, auf der Seite „Newsletter“, in der Fußzeile des Shops oder im Checkout anmelden. Wir schicken dir dann etwa ein- bis zweimal im Monat E-Mails zu neuen Postern, saisonalen Ideen (z. B. Weihnachten, Geburt, Muttertag) und gelegentlichen Aktionen. Nötig ist nur deine E-Mail-Adresse. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Bestätigung (Double-Opt-in) und Nachweis: Nach der Anmeldung bekommst du eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, nehmen wir dich in den Verteiler auf; ohne Bestätigung erhältst du keinen Newsletter. Damit wir deine Einwilligung nachweisen können, protokolliert Shopify für uns den Zeitpunkt von Anmeldung und Bestätigung, die Art der Einwilligung und – soweit dabei erfasst – die IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO).

Versand über Shopify: Den Newsletter verschicken wir mit der E-Mail-Funktion von Shopify (Shopify Messaging, früher Shopify Email). Shopify verarbeitet dafür deine E-Mail-Adresse und deinen Anmeldestatus in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO, siehe Abschnitt 3). Deine Anmeldung wird in deinem Kundenprofil bei Shopify mit dem Vermerk „newsletter“ gespeichert.

Auswertung: Soweit die Versandfunktion das technisch vorsieht, kann Shopify erfassen, ob ein Newsletter zugestellt und geöffnet wurde und welche Links darin angeklickt wurden (z. B. über ein unsichtbares Zählpixel und weitergeleitete Links). Wir nutzen diese Angaben nur, um zu sehen, welche Themen gut ankommen, und den Newsletter zu verbessern; Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Möchtest du das nicht, kannst du in deinem E-Mail-Programm das automatische Laden von Bildern abschalten oder den Newsletter abbestellen.

Speicherdauer und Abmeldung: Deine Anmeldung speichern wir, bis du dich abmeldest. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder E-Mail oder mit einer kurzen Nachricht an hallo@walleria.de. Danach bekommst du keinen Newsletter mehr. Den Nachweis über Einwilligung und Abmeldung bewahren wir auf, solange wir ihn zur Abwehr von Ansprüchen brauchen können, in der Regel bis zu drei Jahre (Art. 6 Abs. 1 lit. f DSGVO). Hast du bei uns bestellt, bleiben deine Bestelldaten davon unberührt (Abschnitt 4).

Erinnerungen: An einen abgebrochenen Einkauf erinnern wir per E-Mail nur, wenn du unseren Newsletter abonniert hast. Nutzt du die Shop-App von Shopify, kann Shopify dich dort nach deinen Einstellungen in der App an angesehene Artikel erinnern.

10. Bestellabwicklung, Kundenbilder und Bewertungen (Supabase)

Bestelldaten für die Herstellung, deine hochgeladenen Bilder, die fertigen Dateien und die Produktbewertungen speichern wir bei Supabase (Supabase Inc., 970 Toa Payoh North, Singapur) im Rechenzentrum Frankfurt am Main (eu-central-1). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO einschließlich der Standardvertragsklauseln der EU-Kommission besteht.

Online-Widerrufsfunktion: Erklärst du deinen Widerruf über das Formular „Vertrag widerrufen“, verarbeiten wir die eingegebenen Angaben (Bestellnummer, Name, E-Mail-Adresse, freiwillig Artikel, Datum, Anschrift und Nachricht) sowie den Zeitpunkt des Eingangs, um den Widerruf zu bearbeiten und dir den Eingang unverzüglich per E-Mail zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO). Zum Schutz vor Missbrauch speichern wir zusätzlich einen gekürzten, nicht umkehrbaren Hashwert deiner IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Die Erklärung bewahren wir als Nachweis drei Jahre zum Jahresende auf, soweit keine längeren handels- oder steuerrechtlichen Fristen gelten.

Produktbewertungen: Bewerten können nur Käuferinnen und Käufer. Dafür gibst du Bestellnummer und E-Mail-Adresse der Bestellung an; wir prüfen damit, ob du das Poster gekauft hast. Veröffentlicht werden nur die Sterne, dein Text, der angegebene Name und das Datum – nie deine E-Mail-Adresse. Jede Bewertung prüfen wir vor der Veröffentlichung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (du gibst die Bewertung freiwillig ab); du kannst die Löschung jederzeit per E-Mail verlangen. Um Missbrauch zu verhindern, begrenzen wir die Zahl der Versuche je Stunde (Art. 6 Abs. 1 lit. f DSGVO).

11. Cookies, Einwilligung und Reichweitenmessung

Technisch notwendig: Cookies und Speichereinträge für Warenkorb, Checkout, Sprach- und Ländereinstellung, Sicherheit und das Speichern deiner Cookie-Auswahl setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ein. Eine Übersicht der Shopify-Cookies findest du unter shopify.com/de/legal/cookies.

Nur mit deiner Einwilligung: Die unten genannten Statistik- und Marketingdienste laden erst, wenn du im Cookie-Banner zustimmst (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). „Statistik“ gibt Google Analytics und Microsoft Clarity frei, „Marketing“ das Meta-Pixel, Google Ads und ChatGPT Ads. Du kannst deine Auswahl jederzeit über den Link „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen; der Widerruf gilt für die Zukunft. Einige Anbieter verarbeiten Daten auch in den USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, sonst auf EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

Eigener Zugriffszähler (ohne Einwilligung): Damit wir sehen, welche Seiten und Poster gefragt sind und an welcher Stelle Bestellungen abbrechen, zählen wir Seitenaufrufe, ausgewählte Klicks (z. B. „In den Warenkorb“, Schritte im Checkout) und Käufe mit einem eigenen Zähler. Er setzt keine Cookies und speichert oder liest nichts auf deinem Gerät. Übermittelt werden die aufgerufene Seite, die verweisende Seite, Kampagnenangaben aus dem Link (utm-Parameter bzw. ob ein Anzeigenklick vorlag) und die Verweildauer. Aus IP-Adresse und Browserkennung bilden wir auf dem Server einen täglich wechselnden, nicht umkehrbaren Hashwert, um Mehrfachaufrufe am selben Tag zu erkennen; IP-Adresse und Browserkennung selbst speichern wir nicht, abgeleitet werden nur Gerätetyp (Handy, Tablet, Rechner) und Land. Automatisierte Zugriffe (z. B. Suchmaschinen und Prüfroboter) erkennen wir an der Browserkennung und am Herkunftsland und zählen sie nicht als Besuche. Die Daten liegen bei Supabase in Frankfurt (Abschnitt 10) und werden nach 24 Monaten automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine datensparsame Reichweitenmessung. Hast du „Do Not Track“ oder „Global Privacy Control“ in deinem Browser aktiviert, zählen wir dich nicht. Du kannst jederzeit widersprechen (hallo@walleria.de).

Google Analytics 4 (Statistik): Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir messen damit, wie der Shop genutzt wird: Seitenaufrufe, angesehene Artikel, Warenkorb, Checkout und Käufe (mit Bestellwert und Artikeln). Google Analytics speichert keine vollständigen IP-Adressen; Werbe- und Personalisierungsfunktionen sind für diese Messung abgeschaltet. Cookies: _ga, _ga_* (bis zu 2 Jahre). Google LLC (USA) ist nach dem Data Privacy Framework zertifiziert.

Microsoft Clarity (Statistik): Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Clarity zeigt uns in Heatmaps und Sitzungsaufzeichnungen, wie Besucher die Seiten nutzen, damit wir Bedienprobleme finden. Eingaben in Formularfeldern werden dabei maskiert und nicht übertragen. Cookies: _clck (1 Jahr), _clsk (1 Tag). Microsoft ist nach dem Data Privacy Framework zertifiziert.

Google Ads (Marketing): Anbieter ist die Google Ireland Limited (Anschrift siehe oben). Wir messen, ob ein Klick auf unsere Anzeige zu einem Kauf führt (Conversion-Messung), und können Besuchern unseres Shops später Anzeigen zeigen (Remarketing). Bei einem Kauf wird deine E-Mail-Adresse im Browser verschlüsselt (Hashwert) an Google übermittelt, damit Google den Kauf der Anzeige zuordnen kann (erweiterte Conversions). Cookies: _gcl_au und _gcl_* (90 Tage).

Meta-Pixel (Marketing): Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Das Pixel misst, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und Käufen führen, und ermöglicht Werbung für Besucher unseres Shops. Für die Erhebung und Übermittlung der Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Vereinbarung); für die weitere Verarbeitung ist Meta allein verantwortlich. Cookie: _fbp (3 Monate). Meta Platforms, Inc. ist nach dem Data Privacy Framework zertifiziert.

ChatGPT Ads (Marketing): Anbieter ist die OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Das Messpixel zeigt uns, ob unsere Anzeigen in ChatGPT zu Besuchen und Käufen führen (Seitenaufrufe, angesehene Artikel, Checkout, Kauf). Unabhängig vom Cookie-Banner melden wir jeden Kauf außerdem direkt von unserem Server an OpenAI, ausschließlich mit Betrag, Währung und einer technischen Bestellkennung, ohne Namen, E-Mail-Adresse oder Gerätedaten. So wird ein Kauf nur einmal gezählt (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Erfolgsmessung unserer Werbung).

12. Schriftarten und externe Inhalte

Alle Schriftarten werden von den Servern unseres Shops bzw. von Shopify geladen; es findet keine Verbindung zu Google Fonts statt.

Karten-Poster: Auf den Seiten der Karten-Poster laden wir die Kartenansicht von OpenFreeMap (openfreemap.org) und nutzen für die Ortssuche den Dienst Photon der komoot GmbH, Potsdam. Dabei werden deine IP-Adresse und – bei der Suche – der eingegebene Ort an diese Dienste übertragen. Das geschieht nur, wenn du ein Karten-Poster aufrufst bzw. einen Ort suchst (Art. 6 Abs. 1 lit. b DSGVO, Gestaltung deines Posters).

13. Internes Werbe-Werkzeug „Walleria Ads Tool“ – Umgang mit Google-Nutzerdaten (Google user data)

Für die Auswertung unserer eigenen Google-Ads-Kampagnen betreiben wir ein internes Werkzeug mit dem Namen „Walleria Ads Tool“. Es nutzt die Google Ads API und meldet sich per Google OAuth 2.0 an. Diese Erklärung beschreibt, wie das Werkzeug auf Google-Nutzerdaten zugreift, sie verwendet, speichert und weitergibt (access, use, store, share).

Wer ist betroffen? Ausschließlich wir selbst als Betreiber von walleria.de. Das Werkzeug wird nur mit unserem eigenen Google-Konto verbunden. Besucherinnen, Besucher und Kundinnen und Kunden melden sich dort nicht an, und es werden keine Google-Konten Dritter verknüpft.

Zugriff (access): Das Werkzeug fordert den OAuth-Bereich „https://www.googleapis.com/auth/adwords“ an und liest damit Daten unseres eigenen Google-Ads-Werbekontos: Kampagnen, Anzeigengruppen, Budgets sowie Leistungskennzahlen wie Impressionen, Klicks, Kosten und Conversions. Es greift auf keine E-Mails, Kontakte, Dateien, Kalender oder sonstigen Inhalte eines Google-Kontos zu.

Verwendung (use): Die abgerufenen Kennzahlen dienen allein dazu, unsere Werbekampagnen zu beobachten, Berichte für uns selbst zu erstellen und Budgets zu steuern. Eine Verwendung für Werbung an Dritte, für Profilbildung, für Kreditwürdigkeitsprüfungen oder zum Training von KI-Modellen findet nicht statt.

Speicherung (store): OAuth-Zugriffs- und Aktualisierungstoken speichern wir verschlüsselt auf einem zugangsgeschützten Rechner in Deutschland. Abgerufene Kampagnenkennzahlen werden als Berichte lokal gespeichert und spätestens nach 24 Monaten gelöscht. Der Zugriff kann jederzeit unter myaccount.google.com/permissions widerrufen werden; danach werden die Token gelöscht.

Weitergabe (share): Google-Nutzerdaten aus dem Werkzeug werden nicht verkauft, nicht vermietet und nicht an Dritte weitergegeben. Eine Übermittlung erfolgt nur an Google selbst im Rahmen der API-Nutzung. Menschen lesen die Daten nur, soweit es zur Auswertung unserer eigenen Werbung nötig ist.

Die Nutzung und Übertragung von Informationen aus Google-APIs an andere Anwendungen richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Fragen dazu beantworten wir unter der im Impressum genannten E-Mail-Adresse.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Beschwerden richtest du an eine Datenschutzaufsichtsbehörde, für unseren Sitz ist das das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.