Diese Richtlinie erläutert die Grundsätze und organisatorischen Rahmenbedingungen der Verarbeitung personenbezogener Daten durch orvariq im Zusammenhang mit der Website und dem Online-Shop.
Sie ergänzt die Datenschutzerklärung und beschreibt insbesondere Datenkategorien, Verarbeitungszwecke, Rechtsgrundlagen, Empfänger, internationale Datenübermittlungen, Sicherheitsmaßnahmen und Rechte betroffener Personen.
Zwingende datenschutzrechtliche Vorschriften bleiben uneingeschränkt anwendbar.
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten ist:
orvariq
1309 Work St
Anahuac, TX 77514
United States
E-Mail
servicecenter@orvariq.com
Telefon
+1 (409) 524-6026
Servicezeiten
Montag bis Freitag
09:10–12:00 Uhr
14:00–18:10 Uhr
deutsche Ortszeit (MEZ/MESZ)
ausgenommen gesetzliche Feiertage
Servicegebiet: Deutschland
Datenschutzrechtliche Anfragen und Anträge auf Ausübung von Betroffenenrechten können an servicecenter@orvariq.com gerichtet werden.
2. Rechtsrahmen
Die Verarbeitung personenbezogener Daten richtet sich insbesondere nach:
-
der Datenschutz-Grundverordnung (DSGVO);
-
dem Bundesdatenschutzgesetz (BDSG);
-
dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG);
-
sonstigen anwendbaren Datenschutzvorschriften.
Diese Richtlinie informiert insbesondere über:
-
Datenkategorien;
-
Herkunft personenbezogener Daten;
-
Verarbeitungszwecke;
-
Rechtsgrundlagen;
-
Empfänger;
-
eingesetzte Dienstleister;
-
Drittlandübermittlungen;
-
Speicherdauer;
-
technische und organisatorische Schutzmaßnahmen;
-
Rechte betroffener Personen;
-
Antrags- und Beschwerdeverfahren.
Personenbezogene Daten werden grundsätzlich nur in dem Umfang verarbeitet, der für den jeweiligen Zweck erforderlich ist.
3. Herkunft personenbezogener Daten
Personenbezogene Daten können insbesondere stammen aus:
-
Angaben des Kunden im Bestellvorgang;
-
einem freiwillig eingerichteten Kundenkonto;
-
E-Mail- und Telefonanfragen;
-
Widerrufs-, Rückgabe- und Reklamationsvorgängen;
-
technischen Website-Zugriffen;
-
Cookie- und Einwilligungseinstellungen;
-
Zahlungsstatusdaten von Authorize.net;
-
Versand- und Zustellinformationen von Logistikpartnern;
-
Bestell- und Trackinginformationen aus Shopify und dem Shop-System;
-
Sicherheits- und Betrugsprüfungen.
4. Identitäts- und Kontaktdaten
Je nach Nutzung des Online-Shops können insbesondere verarbeitet werden:
-
Vorname;
-
Nachname;
-
Empfängername;
-
Rechnungsanschrift;
-
Lieferanschrift;
-
E-Mail-Adresse;
-
Telefonnummer;
-
Adresszusätze.
Diese Daten werden insbesondere für Bestellung, Vertragserfüllung, Lieferung, Kundenservice, Rückgabe und Erstattung verwendet.
5. Bestell- und Produktdaten
Im Zusammenhang mit Bestellungen können insbesondere verarbeitet werden:
-
Bestellnummer;
-
Produktart;
-
Größe;
-
Farbe;
-
Ausführung;
-
Stückzahl;
-
Warenwert;
-
Versandkosten;
-
Steuern und Abgaben;
-
Bestellzeitpunkt;
-
Bearbeitungsstatus;
-
Lieferstatus;
-
Widerrufs- und Rückgabeinformationen;
-
Erstattungsstatus;
-
Reklamationsdaten.
6. Zahlungsdaten
Im Zusammenhang mit Zahlungen können insbesondere verarbeitet werden:
-
Zahlungsmittel;
-
Rechnungsdaten;
-
Zahlungsbetrag;
-
Währung;
-
Zahlungsstatus;
-
Autorisierungsstatus;
-
Transaktionskennung;
-
Erstattungsstatus;
-
gekürzte Karteninformationen zur Zuordnung.
Vollständige Kreditkartendaten werden über Authorize.net verarbeitet und nicht dauerhaft auf den eigenen Shop-Servern von orvariq gespeichert.
7. Technische Daten
Beim Zugriff auf die Website können insbesondere verarbeitet werden:
-
IP-Adresse;
-
Browsertyp;
-
Browserversion;
-
Betriebssystem;
-
Gerätetyp;
-
Spracheinstellung;
-
Datum und Uhrzeit;
-
aufgerufene Seiten;
-
Referrer-URL;
-
Sitzungskennung;
-
Zugriffsstatus;
-
Fehler- und Protokolldaten.
Diese Daten können insbesondere der technischen Bereitstellung, Fehleranalyse, Systemsicherheit und Abwehr unbefugter Zugriffe dienen.
8. Kommunikations- und Servicedaten
Bei Kundenanfragen können insbesondere verarbeitet werden:
-
Name;
-
E-Mail-Adresse;
-
Telefonnummer;
-
Nachrichteninhalt;
-
Bestellnummer;
-
Produktart;
-
Größe und Farbe;
-
Fotos;
-
Angaben zu Schäden, Mängeln oder Falschlieferungen;
-
Bearbeitungsverlauf.
Die Verarbeitung beschränkt sich auf die für Zuordnung, Prüfung, Kommunikation und Bearbeitung des jeweiligen Anliegens erforderlichen Daten.
9. Cookie- und Einwilligungsdaten
Im Zusammenhang mit der Einwilligungsverwaltung können insbesondere verarbeitet werden:
-
Cookie- oder Consent-Kennung;
-
ausgewählte Kategorien;
-
Zeitpunkt der Einwilligung;
-
Zeitpunkt einer Änderung;
-
Zeitpunkt eines Widerrufs;
-
technische Informationen zum Nachweis der Auswahl.
Nicht technisch notwendige Cookies und vergleichbare Technologien werden erst nach einer erforderlichen Einwilligung aktiviert.
10. Verarbeitungszwecke
Personenbezogene Daten können insbesondere verarbeitet werden für:
-
Bereitstellung der Website;
-
Darstellung des Produktsortiments;
-
Warenkorb;
-
Bestellannahme;
-
Vertragsschluss;
-
Zahlungsautorisierung;
-
Zahlungsabwicklung;
-
Sicherheits- und Betrugsprüfung;
-
Versandvorbereitung;
-
Zustellung;
-
Sendungsverfolgung;
-
Kundenkonto;
-
Kundenservice;
-
Stornierung;
-
Widerruf;
-
freiwillige Rückgabe;
-
Rückerstattung;
-
Mängelbearbeitung;
-
Produktsicherheitsmeldungen;
-
gesetzliche Dokumentation;
-
technische Fehleranalyse;
-
Geltendmachung und Verteidigung rechtlicher Ansprüche;
-
Analyse nach Einwilligung;
-
Marketing nach Einwilligung.
Eine Verarbeitung für sachlich unvereinbare Zwecke erfolgt nur, soweit hierfür eine eigenständige gesetzliche Grundlage besteht.
11. Rechtsgrundlagen
11.1 Einwilligung
Art. 6 Abs. 1 lit. a DSGVO kann insbesondere gelten für:
-
nicht technisch notwendige funktionale Cookies;
-
Statistik- und Analyse-Cookies;
-
Marketing-Cookies;
-
einwilligungsabhängige Analyse- und Werbedienste.
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
11.2 Vertrag und vorvertragliche Maßnahmen
Art. 6 Abs. 1 lit. b DSGVO kann insbesondere gelten für:
-
Produkt- und Bestellanfragen;
-
Bestellannahme;
-
Zahlungsabwicklung;
-
Versand und Zustellung;
-
Kundenkonto;
-
Widerruf;
-
Rückgabe;
-
Reklamation;
-
Rückerstattung.
11.3 Rechtliche Verpflichtungen
Art. 6 Abs. 1 lit. c DSGVO kann insbesondere gelten für:
-
steuerrechtliche Pflichten;
-
handelsrechtliche Pflichten;
-
verbraucherschutzrechtliche Pflichten;
-
Produktsicherheits- und Behördenpflichten;
-
gesetzliche Aufbewahrungspflichten.
11.4 Berechtigte Interessen
Art. 6 Abs. 1 lit. f DSGVO kann insbesondere gelten für:
-
sicheren Website-Betrieb;
-
Abwehr unbefugter Zugriffe;
-
Betrugs- und Missbrauchsprävention;
-
technische Fehleranalyse;
-
Dokumentation des Kundenservice;
-
Geltendmachung und Verteidigung rechtlicher Ansprüche.
12. Bestellabwicklung
Die Verarbeitung einer Bestellung kann insbesondere folgende Schritte umfassen:
-
Erfassung ausgewählter Artikel;
-
Speicherung des Warenkorbs;
-
Entgegennahme von Kunden- und Adressdaten;
-
Prüfung der Bestellung;
-
Zahlungsautorisierung;
-
Zusammenstellung und Verpackung;
-
Übermittlung erforderlicher Lieferdaten;
-
Versandbestätigung;
-
Sendungsverfolgung;
-
Dokumentation der Vertragserfüllung.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.
13. Kundenkonto
Ein Kundenkonto ist freiwillig.
Eine Bestellung setzt nach den vorliegenden Shopinformationen keine Registrierung voraus.
Bei Einrichtung eines Kontos können insbesondere verarbeitet werden:
-
Name;
-
E-Mail-Adresse;
-
Zugangsdaten;
-
Rechnungs- und Lieferanschriften;
-
gespeicherte Einstellungen;
-
Bestellübersicht.
Ein Antrag auf Kontolöschung kann an:
gerichtet werden.
Gesetzlich aufzubewahrende Bestell- und Rechnungsdaten können auch nach Löschung des Kundenkontos für die gesetzlich vorgeschriebene Dauer getrennt gespeichert bleiben.
14. Authorize.net und Zahlungsmethoden
Zahlungen mit:
-
Visa;
-
Mastercard;
-
American Express
werden nach den aktuellen Shopinformationen über Authorize.net abgewickelt.
Dabei können insbesondere übermittelt werden:
-
Name;
-
Rechnungsanschrift;
-
Bestellreferenz;
-
Zahlungsbetrag;
-
Währung;
-
Kreditkartendaten;
-
Sicherheitsinformationen.
orvariq erhält insbesondere:
-
Zahlungsstatus;
-
Autorisierungsstatus;
-
Transaktionskennung;
-
Erstattungsstatus;
-
erforderliche Zuordnungsinformationen.
Die Verarbeitung erfolgt grundsätzlich zur Durchführung des Vertrags.
15. Versand- und Logistikpartner
Für Versand, Zustellung und Sendungsverfolgung können insbesondere übermittelt werden:
-
Empfängername;
-
Lieferanschrift;
-
E-Mail-Adresse;
-
Telefonnummer;
-
Bestellreferenz;
-
Paketinformationen;
-
Sendungsnummer.
Die Übermittlung dient insbesondere:
-
Versand;
-
Zustellung;
-
Tracking;
-
Bearbeitung von Zustellproblemen.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.
16. Shopify
Der Online-Shop wird technisch über Shopify bereitgestellt.
Shopify kann Daten insbesondere verarbeiten für:
-
Website-Darstellung;
-
Warenkorb;
-
Sitzungsverwaltung;
-
Bestellablauf;
-
Kundenkonto;
-
Sicherheit;
-
Fehleranalyse;
-
Bestellstatus;
-
Sendungsverfolgung.
Zu den verarbeiteten Daten können insbesondere gehören:
-
IP-Adresse;
-
Geräteinformationen;
-
Sitzungsdaten;
-
Bestellinformationen;
-
Kontodaten;
-
technische Protokolle.
Die konkrete datenschutzrechtliche Rolle von Shopify richtet sich nach dem jeweiligen Verarbeitungsvorgang.
17. Google Analytics, Google Ads und Google Tag Manager
Nach ausdrücklicher Einwilligung werden nach den vorliegenden Shopinformationen eingesetzt:
-
Google Analytics;
-
Google Ads;
-
Google Tag Manager.
Dabei können insbesondere verarbeitet werden:
-
Cookie-Kennungen;
-
Geräteinformationen;
-
Verbindungsdaten;
-
Seitenaufrufe;
-
Interaktionen;
-
Einwilligungsinformationen.
Einwilligungsabhängige Analyse- und Marketingfunktionen bleiben ohne erforderliche Einwilligung deaktiviert.
18. Empfänger personenbezogener Daten
Empfänger personenbezogener Daten können insbesondere sein:
-
Shopify;
-
Authorize.net;
-
kartenausgebende Kreditinstitute;
-
Versand- und Logistikpartner;
-
IT- und Sicherheitsdienstleister;
-
Kommunikationsdienstleister;
-
Analyse- und Marketingdienstleister nach erforderlicher Einwilligung;
-
Steuer-, Buchhaltungs- und Rechtsdienstleister;
-
Behörden und Gerichte bei gesetzlicher Verpflichtung.
Jeder Empfänger erhält grundsätzlich nur diejenigen Daten, die für seine jeweilige Aufgabe erforderlich sind.
Eine Weitergabe für eigenständige Werbezwecke erfolgt nicht ohne eine hierfür erforderliche Rechtsgrundlage oder Einwilligung.
19. Auftragsverarbeitung
Soweit Dienstleister personenbezogene Daten im Auftrag von orvariq verarbeiten, richtet sich die Zusammenarbeit nach den gesetzlichen Anforderungen an die Auftragsverarbeitung.
Entsprechende Vereinbarungen können insbesondere regeln:
-
Gegenstand der Verarbeitung;
-
Verarbeitungsdauer;
-
Datenarten;
-
Kategorien betroffener Personen;
-
technische und organisatorische Sicherheitsmaßnahmen;
-
Löschung oder Rückgabe von Daten;
-
Kontroll- und Mitwirkungspflichten.
Soweit anwendbar, gelten insbesondere die Anforderungen des Art. 28 DSGVO.
20. Internationale Datenübermittlungen
orvariq hat seine Geschäftsanschrift in den Vereinigten Staaten.
Auch Shop-, Zahlungs-, Hosting-, Analyse- oder technische Dienstleister können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.
Drittlandübermittlungen erfolgen nach Maßgabe der Art. 44 bis 49 DSGVO.
Je nach Empfänger können insbesondere eingesetzt werden:
-
ein anwendbarer Angemessenheitsbeschluss;
-
Standardvertragsklauseln der Europäischen Kommission;
-
ergänzende technische und organisatorische Schutzmaßnahmen;
-
sonstige gesetzlich zulässige Übermittlungsmechanismen.
Zu möglichen Schutzmaßnahmen gehören insbesondere:
-
Verschlüsselung;
-
Zugriffsbeschränkungen;
-
vertragliche Zweckbindung;
-
Berechtigungskonzepte;
-
Datenminimierung;
-
Prüfung eingesetzter Dienstleister.
21. Speicherdauer
Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.
Insbesondere können folgende Kriterien gelten:
-
Bestell-, Rechnungs- und Zahlungsdaten werden während gesetzlicher Aufbewahrungsfristen gespeichert;
-
Kundenkontodaten werden grundsätzlich bis zur Kontolöschung gespeichert;
-
Kommunikationsdaten werden bis zum Abschluss der Bearbeitung und gegebenenfalls bis zum Ablauf einschlägiger Verjährungsfristen gespeichert;
-
Rückgabe- und Erstattungsdaten werden bis zum Abschluss des Vorgangs und zum Ablauf einschlägiger gesetzlicher Fristen gespeichert;
-
Einwilligungsnachweise werden für den erforderlichen Nachweiszeitraum gespeichert;
-
Server-Protokolle werden nach Wegfall des technischen oder sicherheitsbezogenen Zwecks gelöscht;
-
Sicherheitsdaten können bis zur vollständigen Aufklärung eines Vorfalls gespeichert werden.
Besteht eine gesetzliche Aufbewahrungspflicht, können die betreffenden Daten für andere Zwecke gesperrt werden.
22. Datensicherheit
orvariq setzt angemessene technische und organisatorische Schutzmaßnahmen ein.
Hierzu können insbesondere gehören:
-
SSL-/TLS-Verschlüsselung;
-
beschränkte Zugriffsrechte;
-
rollenbezogene Berechtigungen;
-
Schutz administrativer Zugänge;
-
Datensicherungen;
-
Sicherheitsprotokollierung;
-
regelmäßige Kontrollen;
-
Schutz vor unbefugtem Zugriff;
-
Verfahren zur Bearbeitung von Sicherheitsvorfällen;
-
Prüfung eingesetzter Auftragsverarbeiter.
Der Zugriff auf personenbezogene Daten wird auf Personen und Dienstleister beschränkt, die ihn für ihre jeweilige Aufgabe benötigen.
23. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere:
-
Recht auf Auskunft;
-
Recht auf Berichtigung;
-
Recht auf Löschung;
-
Recht auf Einschränkung der Verarbeitung;
-
Recht auf Datenübertragbarkeit;
-
Recht auf Widerspruch;
-
Recht auf Widerruf einer Einwilligung;
-
Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde;
-
Rechte im Zusammenhang mit ausschließlich automatisierten Entscheidungen.
Ein Widerspruch gegen Direktwerbung führt dazu, dass personenbezogene Daten nicht weiter für diesen Zweck verarbeitet werden.
24. Ausübung der Datenschutzrechte
Anträge können an:
gerichtet werden.
Zur Bearbeitung sollte ein Antrag nach Möglichkeit enthalten:
-
Name;
-
verwendete E-Mail-Adresse;
-
geltend gemachtes Recht;
-
Beschreibung der betroffenen Daten oder Verarbeitung;
-
Bestellnummer, soweit ein Bestellbezug besteht.
Bei begründeten Zweifeln an der Identität können zusätzliche Informationen verlangt werden, soweit dies zur Identitätsprüfung erforderlich ist.
Grundsätzlich wird innerhalb eines Monats nach Eingang über die ergriffenen Maßnahmen informiert.
Bei hoher Komplexität oder einer großen Zahl gleichzeitig eingehender Anträge kann sich die Frist nach Maßgabe der DSGVO um bis zu zwei weitere Monate verlängern. Über eine Verlängerung und ihre Gründe wird innerhalb des ersten Monats informiert.
25. Beschwerderecht
Betroffene Personen können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.
Dies kann insbesondere eine Aufsichtsbehörde betreffen:
-
am gewöhnlichen Aufenthaltsort;
-
am Arbeitsplatz;
-
am Ort des behaupteten Datenschutzverstoßes.
Eine vorherige Kontaktaufnahme mit orvariq ist keine Voraussetzung für eine Beschwerde.
26. Änderungen dieser Richtlinie
Diese Richtlinie kann aktualisiert werden, wenn sich insbesondere:
-
gesetzliche Anforderungen;
-
Shop-Funktionen;
-
Verarbeitungsvorgänge;
-
eingesetzte Dienstleister;
-
technische Systeme
ändern.
Die jeweils aktuelle Fassung wird auf der Website veröffentlicht.
Bereits bestehende Datenschutzrechte bleiben unberührt.
27. Kontakt
Für datenschutzrechtliche Fragen oder Anträge:
orvariq
1309 Work St
Anahuac, TX 77514
United States
E-Mail
servicecenter@orvariq.com
Telefon
+1 (409) 524-6026
Servicezeiten
Montag bis Freitag
09:10–12:00 Uhr
14:00–18:10 Uhr
deutsche Ortszeit (MEZ/MESZ)
ausgenommen gesetzliche Feiertage
Servicegebiet: Deutschland
Datenschutzrechtliche Anfragen und Anträge können an servicecenter@orvariq.com gerichtet werden.