Privacy policy

Wir freuen uns über dein Interesse an DUVAM. Hier erklären wir, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage, an wen sie gehen und welche Rechte du hast.

1. Verantwortliche

Fadime Simsek
DUVAM
Gartenstraße 13
88416 Ochsenhausen
Deutschland

Telefon: +49 1523 6790218
E-Mail: info@duvam.de

Als datenschutzbeauftragte Person haben wir Öznur Simsek benannt (Art. 37 DSGVO, § 38 BDSG). Erreichbar unter: DUVAM – Datenschutz (vertraulich) –, Gartenstraße 13, 88416 Ochsenhausen, E-Mail: buchhaltung@duvam.de.

2. Aufruf des Shops und Hosting

Wenn du unseren Shop aufrufst, verarbeiten die Server technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Statuscode, Browser und Betriebssystem sowie die zuvor besuchte Seite. Wir brauchen sie, um die Seiten auszuliefern, Störungen zu erkennen und den Shop vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und funktionierender Shop.

Für das Hosting nutzen wir:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – für die Webseiten des Shops. Vercel Pro; Serverfunktionen in Frankfurt am Main (fra1). Öffentlich zugängliche Seiten und Dateien werden über ein weltweites CDN ausgeliefert.
• Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA – für Anwendungsserver, Hintergrundverarbeitung, Datenbank und Redis. Railway Pro; Anwendungsserver, Hintergrundverarbeitung, PostgreSQL-Datenbank und Redis in EU West (Amsterdam, Niederlande).
• Amazon Web Services: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg; Amazon S3 in Stockholm, Schweden (eu-north-1). Öffentliche Produktbilder und veröffentlichte Bewertungsfotos werden über das weltweite CDN Amazon CloudFront ausgeliefert. Der zugrunde liegende S3-Speicher ist nicht allgemein öffentlich zugänglich. Private Kundendateien werden getrennt geschützt und direkt über zeitlich begrenzte, signierte S3-Links bereitgestellt.

Diese Dienstleister verarbeiten die für ihre jeweilige Aufgabe erforderlichen Daten in unserem Auftrag (Art. 28 DSGVO). Die weltweite CDN-Auslieferung sowie Support- und Verwaltungszugriffe können trotz gewählter EU-Serverstandorte mit einer Verarbeitung außerhalb der EU verbunden sein, insbesondere in den USA. Für Drittlandübermittlungen gelten die in Abschnitt 15 beschriebenen Garantien. Technische Laufzeitprotokolle sind bei Vercel Pro für einen Tag und bei Railway Pro für 30 Tage verfügbar. Für die Aufklärung eines konkreten Sicherheitsvorfalls erforderliche Auszüge bewahren wir bis zum Abschluss der Aufklärung auf und löschen sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Die S3-Zugriffsprotokolle liegen verschlüsselt in Amazon CloudWatch Logs in Stockholm; ihre Aufbewahrungsfrist ist auf sieben Tage eingestellt. Sie enthalten technische Zugriffsdaten einschließlich IP-Adresse, Zeitpunkt, angeforderter Dateiadresse mit etwaigen URL-Abfrageparametern, Statuscode, zuvor besuchter Seite und Browserkennung. Die CloudFront-Zugriffsprotokolle speichern wir geschützt in S3 in Stockholm. Sie enthalten nur Datum und Uhrzeit, Auslieferungsstandort, HTTP-Methode und Statuscode, Dateipfad, Datenmenge, Übertragungsdauer, Ergebnistyp und eine technische Anfragekennung. IP-Adressen, zuvor besuchte Seiten, Browserkennungen, Cookies und URL-Abfrageparameter werden in den CloudFront-Protokollen nicht gespeichert. Für diese Protokolldateien ist eine automatische Löschung nach sieben Tagen eingestellt; nicht aktuelle Dateiversionen werden einen Tag nach ihrer Ablösung zur Löschung vorgesehen. Zur Aufklärung eines konkreten Sicherheitsvorfalls erforderliche Auszüge bewahren wir bis zum Abschluss der Aufklärung auf, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Die Verbindung zu unserem Shop ist durchgehend per TLS verschlüsselt.

3. Cookies und Speicher im Browser

Wir speichern nur dann etwas auf deinem Gerät oder lesen es aus, wenn es für eine Funktion, die du nutzt, unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG) – oder wenn du eingewilligt hast (§ 25 Abs. 1 TDDDG). Wir setzen keine Werbe- oder Tracking-Cookies und keine Analysewerkzeuge von Dritten ein.

Unbedingt erforderlich

Diese Einträge braucht der Shop, damit Warenkorb, Konto, Gestaltung, Chat und Zahlung funktionieren. Sie entstehen erst, wenn du die jeweilige Funktion nutzt. Soweit dabei personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertrag und seine Anbahnung), bei den Stripe-Cookies Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Zahlungsbetrug).

_medusa_cart_id

Ordnet dir deinen Warenkorb zu. Cookie, DUVAM; sobald du etwas in den Warenkorb legst; Speicherdauer: 7 Tage.

_medusa_cache_id

Hält die Daten deines Warenkorbs und Kontos im Zwischenspeicher des Servers von denen anderer Besucher getrennt. Cookie, DUVAM; nur mit Warenkorb oder Anmeldung; Speicherdauer: 24 Stunden.

_medusa_jwt

Hält dich in deinem Kundenkonto angemeldet. Cookie, DUVAM; wenn du dich anmeldest; Speicherdauer: 7 Tage.

_medusa_pending_customer

Merkt sich deine Angaben, bis die Registrierung bestätigt ist. Cookie, DUVAM; wenn du ein Konto anlegst; Speicherdauer: höchstens 24 Stunden.

_medusa_locale

Merkt sich die Sprache, die du gewählt hast. Cookie, DUVAM; wenn du die Sprache wechselst; Speicherdauer: 1 Jahr.

_duva_chat

Gibt dir Zugang zu deinem Chat mit uns. Cookie, DUVAM; wenn du den Chat nutzt; Speicherdauer: 180 Tage.

duva_consent

Speichert deine Auswahl in diesen Datenschutzeinstellungen. Cookie, DUVAM; wenn du eine Auswahl triffst; Speicherdauer: 12 Monate.

duva:draft:v1:…

Bewahrt den Entwurf deiner Gestaltung auf, damit sie nicht verloren geht. Local Storage, DUVAM; wenn du ein Produkt gestaltest; Speicherdauer: 7 Tage nach der letzten Änderung.

duva_draft_…

Schickt eine Kopie deines Entwurfs nur an die Seite genau dieses Produkts mit, damit sie gleich mit deinem Preis und deiner Gestaltung erscheint. Wir verwenden sie nur, um diese Seite zu erstellen, und speichern sie dabei nicht. Cookie, DUVAM; wenn du ein Produkt gestaltest und seine Seite öffnest; Speicherdauer: 7 Tage nach der letzten Änderung, gelöscht mit dem Entwurf.

duva:draft-cookie:v1

Merkt sich, für welche Produktseiten ein Entwurf als Cookie mitgeschickt wird, damit er überall gelöscht werden kann. Local Storage, DUVAM; zusammen mit dem Cookie duva_draft_…; Speicherdauer: bis der letzte Entwurf gelöscht oder abgelaufen ist.

duva:card-preview:v1:…

Hält die Vorschau deiner eigenen Gestaltung bei Seitenwechseln und erneutem Öffnen bereit. Local Storage, DUVAM; wenn du ein Produkt gestaltest oder deinen Entwurf öffnest; Speicherdauer: höchstens 7 Tage, bei geschützten Bildern bis zum Ablauf des Bildzugriffs.

duva:personalizer-images:v1:…

Verwendet noch gültige private Bildadressen deiner Gestaltung erneut, damit die Vorschau ohne erneutes Laden erscheint. Local Storage, DUVAM; wenn du eigene Bilder für eine Gestaltung verwendest; Speicherdauer: bis zum Ablauf des Bildzugriffs, höchstens 7 Tage.

duva:composition-job:…

Merkt sich den angeforderten Bildauftrag und seinen Platz in deiner Gestaltung, damit er nach Neuladen und Seitenwechseln übernommen wird. Local Storage, DUVAM; wenn du ein Kindheitsbild erzeugen lässt; Speicherdauer: bis der Auftrag übernommen wurde, höchstens 7 Tage.

duva:composition-result:…

Merkt sich beide Fassungen (Farbe, Schwarz-Weiß) und die verwendeten Versuche deines Kindheitsbilds, damit du nach einem Neuladen weiterarbeiten kannst. Local Storage, DUVAM; wenn ein Kindheitsbild fertig ist; Speicherdauer: 7 Tage.

__stripe_mid, __stripe_sid

Betrugsprävention bei der Zahlung. Cookie, Stripe; nur in der Kasse; Speicherdauer: 1 Jahr bzw. 30 Minuten.

Komfort (nur mit deiner Einwilligung)

Diese Einträge machen den Shop etwas bequemer. Der Listenpuffer enthält bereits geladene Produktkarten, gegebenenfalls samt personalisierten Texten, Bildadressen und Konto-/Entwurfsangaben. Beim Abmelden oder Löschen eines Entwurfs leeren wir diesen Puffer. Die Einträge werden nur über das Neuladen einer Seite hinaus gespeichert, wenn du in den Datenschutzeinstellungen „Komfort“ erlaubst (§ 25 Abs. 1 TDDDG). Ohne Einwilligung funktioniert alles genauso – nur merkt sich der Shop diese Kleinigkeiten nicht über das Neuladen einer Seite hinaus.

duva_chat_news_seen

Merkt sich, welche Neuigkeiten im Chat du schon gesehen hast. Local Storage, DUVAM; wenn du die Neuigkeiten öffnest; Speicherdauer: bis du ihn löschst.

duva-listing:…

Speichert geladene Produktkarten samt angezeigter Gestaltung und Listenposition für das Zurückgehen. Session Storage, DUVAM; beim Blättern in Produktlisten; Speicherdauer: bis zum Schließen des Tabs, Abmelden oder Löschen eines Entwurfs.

duva-rail-hinted

Merkt sich, dass der Hinweis zum Wischen schon gezeigt wurde. Session Storage, DUVAM; beim ersten Hinweis; Speicherdauer: bis zum Schließen des Tabs.

Deine Auswahl kannst du jederzeit mit Wirkung für die Zukunft ändern oder widerrufen – über den Link „Cookie-Einstellungen“ unten auf jeder Seite.

Deine Entscheidung im Cookie-Dialog speichern wir selbst im Eintrag „duva_consent“ auf deinem Gerät (Auswahl, Version, Zeitpunkt), damit wir sie beachten und nachweisen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO und § 25 TDDDG. Ein externes Einwilligungswerkzeug setzen wir nicht ein; an Dritte geht dabei nichts.

4. Kundenkonto

Ein Konto ist freiwillig; du kannst auch als Gast bestellen. Legst du eines an, speichern wir Name, E-Mail-Adresse, Passwort (nur als Hashwert), auf Wunsch Telefonnummer und Adressen sowie deine Bestellungen und gespeicherten Entwürfe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir löschen das Konto, wenn du es uns sagst; Bestelldaten bewahren wir danach nur so lange auf, wie es gesetzlich vorgeschrieben ist (Abschnitt 16).

5. Bestellung, Versand und Buchhaltung

Für deine Bestellung verarbeiten wir Name, E-Mail-Adresse, Telefonnummer (freiwillig), Liefer- und Rechnungsadresse, die bestellten Artikel samt Personalisierung, Preise, Versandart, Zahlungsstatus und – bei einer Packstation oder Postfiliale – deine DHL-Postnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die steuer- und handelsrechtliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Ohne die als erforderlich gekennzeichneten Angaben können wir die Bestellung nicht ausführen.

Für die Zustellung geben wir Name, Lieferadresse und gegebenenfalls Postnummer an DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, weiter – bei Versand mit DHL Express an DHL Express Germany GmbH, Heinrich-Brüning-Straße 5, 53113 Bonn (Art. 6 Abs. 1 lit. b DSGVO). Deine E-Mail-Adresse und Telefonnummer geben wir nicht weiter; eine Ankündigung des Liefertermins durch DHL ist deshalb nicht möglich. DHL verarbeitet die Daten als eigener Verantwortlicher.

Sollte es zu einem Produkt einmal eine Sicherheitswarnung oder einen Rückruf geben, nutzen wir deine Kontaktdaten, um dich zu informieren (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Produktsicherheitsverordnung (EU) 2023/988).

Für unsere E-Mail-Postfächer und den Versand von Bestell- und Widerrufsbestätigungen nutzen wir Spacemail von Spaceship, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA. Verarbeitet werden Absender- und Empfängeradresse, Nachrichteninhalt samt Bestelldaten sowie technische Zustelldaten. Der Anbieter verarbeitet die Daten in unserem Auftrag auf Grundlage seines Vertrags zur Auftragsverarbeitung. Dabei ist eine Verarbeitung in den USA möglich; die Übermittlung wird durch die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO). Die Speicherdauer der Korrespondenz richtet sich nach Abschnitt 16.

6. Zahlung

Die Zahlung wickeln wir über Stripe Payments Europe, Limited, The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland, ab. In der Kasse lädt der Shop dazu Programmcode von Stripe; deine Kartendaten gibst du direkt bei Stripe ein, sie erreichen uns nie. Stripe erhält Name, E-Mail-Adresse, Rechnungsadresse, Betrag, Bestellnummer und die Zahlungsdaten sowie technische Daten zu Gerät und Verbindung, mit denen Stripe Betrug erkennt. Stripe verarbeitet die Daten teils in unserem Auftrag, teils – für Betrugsprävention und eigene gesetzliche Pflichten – als eigener Verantwortlicher. Eine Übermittlung an Stripe, LLC in den USA stützt sich auf das EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO, für Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.

Wählst du eine der folgenden Zahlungsarten, erhält zusätzlich der jeweilige Anbieter die dafür nötigen Daten und verarbeitet sie als eigener Verantwortlicher nach seinen eigenen Datenschutzhinweisen, die er dir dabei zeigt:

• Klarna: Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden.
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxemburg.
• Apple Pay: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.
• Google Pay: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
• Amazon Pay: Amazon Payments Europe S.C.A., 38 avenue John F. Kennedy, 1855 Luxemburg.

Bonitätsprüfung: Wählst du eine Zahlungsart, bei der der Anbieter in Vorleistung geht – etwa Rechnungs- oder Ratenkauf bei Klarna –, prüft der Anbieter vorher deine Identität und Zahlungsfähigkeit. Dafür verarbeitet er die Angaben aus der Bestellung (Name, Anschrift, gegebenenfalls Geburtsdatum, E-Mail-Adresse, Telefonnummer, Warenkorb, Betrag) und kann Auskünfte von Auskunfteien einholen. Das Ergebnis kann Wahrscheinlichkeitswerte (Score-Werte) enthalten, die auf einem anerkannten mathematisch-statistischen Verfahren beruhen und in die unter anderem Anschriftendaten einfließen. Der Anbieter tut das als eigener Verantwortlicher auf Grundlage seines berechtigten Interesses, Zahlungsausfälle zu vermeiden (Art. 6 Abs. 1 lit. f DSGVO); welche Auskunfteien er nutzt, steht in seinen Datenschutzhinweisen. Du kannst dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen – uns oder dem Anbieter gegenüber; die Zahlungsart steht dann gegebenenfalls nicht zur Verfügung. Wir selbst führen keine Bonitätsprüfung durch.

7. Gestaltung, Fotos und Entwürfe

Wenn du ein Produkt gestaltest, verarbeiten wir deine Texte (etwa Namen und Daten), deine Auswahl und die Fotos, die du hochlädst. Wir brauchen sie, um dir die Vorschau zu zeigen und dein Stück zu personalisieren (Art. 6 Abs. 1 lit. b DSGVO). Hochgeladene Fotos speichern wir in einem nicht öffentlichen Speicher; angezeigt werden sie nur über kurzlebige, signierte Links.

Entwürfe: Damit deine Gestaltung nicht verloren geht, speichert der Shop sie als Entwurf in deinem Browser (7 Tage nach der letzten Änderung) und – wenn du angemeldet bist – in deinem Konto (30 Tage nach der letzten Änderung). Danach löschen wir sie. Abgelaufene Browserdaten werden nicht mehr verwendet und beim nächsten Shopaufruf bereinigt; solange der Shop geöffnet ist, erfolgt die Bereinigung automatisch. Während dein Browser geschlossen ist, können wir seinen Speicher nicht löschen. Damit eine Produktseite gleich mit deinem Preis und deiner Gestaltung erscheint, schickt dein Browser beim Öffnen dieser einen Seite eine Kopie des Entwurfs als Cookie mit (duva_draft_…, nur an diese Produktseite, gelöscht mit dem Entwurf). Wir verwenden sie nur, um die Seite zu erstellen, und speichern sie dabei nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

Bestellte Gestaltungen: Die Fotos und Bilder einer Bestellung bewahren wir auf, solange Ansprüche wegen Mängeln bestehen können, und löschen sie drei Jahre nach der Bestellung (zwei Jahre Gewährleistung ab Lieferung, nach einer Nachbesserung bis zu zwölf Monate mehr). Nicht bestellte Fotos und KI-Bilder löschen wir 30 Tage nach dem Hochladen oder Erzeugen – es sei denn, sie stecken noch in einem gespeicherten Entwurf oder in einem Warenkorb, den du in den letzten 30 Tagen geändert hast; dann löschen wir sie, sobald das nicht mehr der Fall ist. Die Ausgangsfotos für ein KI-Bild löschen wir sofort, wenn das Bild erzeugt ist. Die Löschung läuft jede Nacht automatisch.

Fotos und Namen anderer Personen: Oft zeigen Fotos oder Texte nicht nur dich – etwa das Brautpaar als Kinder. Die Daten dieser Personen verarbeiten wir ausschließlich, um das bestellte Stück zu personalisieren. Rechtsgrundlage ist unser berechtigtes Interesse und das der bestellenden Person, das gewünschte Geschenk herzustellen (Art. 6 Abs. 1 lit. f DSGVO). Wer Fotos anderer Personen hochlädt, versichert uns, dass diese Personen – bei Minderjährigen die Sorgeberechtigten – einverstanden sind. Diese Datenschutzerklärung informiert auch die abgebildeten Personen (Art. 14 DSGVO). Wir veröffentlichen keine Kundenfotos und verwenden sie nicht für Werbung. Gesichter werden nicht biometrisch ausgewertet und niemand wird anhand eines Fotos identifiziert.

8. Funktionen mit künstlicher Intelligenz

Einige Funktionen nutzen KI. Sie laufen nur, wenn du sie selbst startest, und sind im Shop als KI gekennzeichnet. Die Anbieter verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO) und nutzen sie nach den für unsere API-Nutzung geltenden Vertragsbedingungen nicht zum Training ihrer Modelle. Für Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in den Verträgen zur Auftragsverarbeitung; soweit ein einschlägiger Angemessenheitsbeschluss anwendbar ist, kann die Übermittlung auch darauf gestützt werden (siehe Abschnitt 15).

Bild aus zwei Fotos und Freistellen von Gegenständen

Bei Produkten mit KI-Bild schicken wir die zwei Fotos, die du dafür auswählst, und eine feste Bildanweisung an OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Die KI erzeugt daraus ein neues Bild. Beim Freistellen eines Gegenstands (etwa für die Sticker-Vorschau) schicken wir das Foto des Gegenstands an OpenAI, um ihn auszuschneiden und seine Maße und Flächen zu schätzen. Die Verarbeitung findet auch in den USA statt. OpenAI speichert Ein- und Ausgaben bis zu 30 Tage, um Missbrauch zu erkennen; Bilder, bei denen der Verdacht auf Darstellungen von Kindesmissbrauch besteht, werden darüber hinaus geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – die Funktion ist Teil des Produkts, das du gestaltest –, für abgebildete andere Personen Art. 6 Abs. 1 lit. f DSGVO (siehe Abschnitt 7).

Lale, unsere KI-Assistentin im Chat

Im Chat antwortet zuerst Lale, unsere KI-Assistentin; das steht auch im Chat. Für ihre Antworten schicken wir den bisherigen Gesprächsverlauf, Fotos, die du im Chat sendest, und Informationen aus unserem Shop (etwa Produktdaten) an Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Die Verarbeitung findet in den USA statt. Anthropic löscht die Daten innerhalb von 30 Tagen, außer bei Verstößen gegen seine Nutzungsrichtlinien. Lale kann sich irren; verbindlich sind Auskünfte unseres Teams. Du kannst jederzeit verlangen, mit einem Menschen zu sprechen; Mitarbeitende lesen den Chat dann mit und antworten selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Bestellung oder ein Produkt geht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Fragen schnell zu beantworten). Lale trifft keine Entscheidungen über Erstattungen oder Reklamationen. Bitte sende im Chat keine Gesundheitsdaten oder andere besonders sensiblen Angaben.

9. Chat und Kontakt

Schreibst du uns im Chat, per E-Mail oder rufst an, verarbeiten wir deine Nachricht, deine Kontaktdaten und – im Chat – Fotos, die du sendest, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO bei Fragen zu Bestellung oder Produkt, sonst Art. 6 Abs. 1 lit. f DSGVO). Chatverläufe löschen wir zwölf Monate nach der letzten Nachricht automatisch, zusammen mit den darin gesendeten Fotos. Wenn du einen Chat „löschst“, blenden wir ihn für dich aus; vollständig löschen wir ihn auf deinen Wunsch – eine Nachricht im Chat oder per E-Mail genügt.

10. Adressvorschläge (Google)

Wenn du im Adressfeld der Kasse tippst, schlägt der Shop passende Adressen vor. Dazu schickt unser Server die bisher getippten Zeichen deiner Straße, das Land, die Sprache und eine zufällige Sitzungskennung an die Google Maps Platform (Places API); wählst du einen Vorschlag, fragt er die Bestandteile dieser Adresse ab. Deine IP-Adresse, dein Name oder deine E-Mail-Adresse gehen dabei nicht an Google. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google verarbeitet die Daten als eigener Verantwortlicher, auch bei Google LLC in den USA (EU-US Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser Interesse an fehlerfreien Lieferadressen und einer bequemen Eingabe. Du kannst deine Adresse jederzeit auch ohne die Vorschläge eintippen. Mehr: Datenschutzerklärung von Google.

11. Packstation- und Filialsuche (DHL)

Suchst du in der Kasse eine Packstation oder Postfiliale, schickt unser Server die eingegebene Postleitzahl oder den Ort an den Standortfinder der Deutsche Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn. Dein Name und deine Postnummer werden bei dieser Standortsuche nicht übermittelt. Die Postnummer verarbeiten wir als Teil deiner Lieferadresse und geben sie für die Zustellung wie in Abschnitt 5 beschrieben an DHL weiter (Art. 6 Abs. 1 lit. b DSGVO).

Tippst du stattdessen auf „In meiner Nähe“, fragt dein Browser zuerst, ob er deinen Standort weitergeben darf. Erlaubst du es, rundet der Browser die Koordinaten auf etwa 100 Meter; unser Server schickt nur diese gerundeten Koordinaten an denselben Standortfinder und nutzt sie nur für diese Suche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; den Standort deines Geräts fragen wir nur ab, weil du die Suche ausdrücklich startest (§ 25 Abs. 2 Nr. 2 TDDDG). Ohne Freigabe suchst du einfach per Postleitzahl oder Ort.

12. Bewertungen

Bewertungen können nur Kundinnen und Kunden abgeben, die das Produkt bei uns bestellt haben; das prüfen wir anhand der Bestellung, bevor wir eine Bewertung freigeben. Mit der Bewertung verarbeiten wir deinen Namen, den Text, freiwillig hochgeladene Fotos und die Zuordnung zur Bestellung. Veröffentlicht werden Text, Fotos und dein Vorname mit abgekürztem Nachnamen – auf Grundlage deiner Einwilligung, die du beim Absenden erteilst (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen; dann nehmen wir die Bewertung offline.

13. Widerruf eines Vertrags

Erklärst du über „Vertrag widerrufen“ einen Widerruf, speichern wir Name, E-Mail-Adresse, Bestellnummer, deine Angaben zu den betroffenen Artikeln sowie Datum und Uhrzeit des Eingangs und senden dir eine Eingangsbestätigung. Das ist gesetzlich vorgeschrieben (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB). Wir bewahren die Erklärung so lange auf wie die zugehörige Bestellung.

14. Empfänger

Deine Daten erhalten nur die in dieser Erklärung genannten Dienstleister und Stellen, und nur soweit es für den jeweiligen Zweck nötig ist. Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

15. Übermittlung in Länder außerhalb der EU

Einige Dienstleister verarbeiten Daten auch außerhalb der EU, insbesondere in den USA. Das betrifft auch die weltweite CDN-Auslieferung öffentlich zugänglicher Shopseiten und Medien. Für Übermittlungen an nach dem EU-US Data Privacy Framework zertifizierte Empfänger gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), soweit die jeweilige Verarbeitung von der Zertifizierung erfasst ist. Im Übrigen, insbesondere bei Anthropic, OpenAI und Spaceship, stützen wir Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und die Prüfung des Schutzniveaus beim Empfänger. Eine Kopie der Garantien schicken wir dir auf Anfrage.

16. Speicherdauer

Wir speichern Daten nur so lange, wie es der Zweck erfordert; die Fristen stehen bei den einzelnen Abschnitten. Gesetzliche Aufbewahrungspflichten gehen vor: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf, Geschäftsbriefe sechs Jahre (§ 147 Abgabenordnung, § 14b Umsatzsteuergesetz), jeweils ab dem Ende des Kalenderjahres. In dieser Zeit sind die Daten für alles andere gesperrt.

Daten, die wir auf Grundlage deiner Einwilligung verarbeiten, speichern wir, bis du die Einwilligung widerrufst. Daten auf Grundlage unseres berechtigten Interesses speichern wir, bis der Zweck erreicht ist oder du wirksam widersprichst – es sei denn, wir brauchen sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

17. Deine Rechte

• Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Unterrichtung der Empfänger über eine Berichtigung, Löschung oder Einschränkung (Art. 19 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – bei den Cookies über „Cookie-Einstellungen“ unten auf jeder Seite
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart (Postanschrift: Postfach 10 29 32, 70025 Stuttgart), www.baden-wuerttemberg.datenschutz.de.

Um deine Rechte auszuüben, genügt eine E-Mail an info@duvam.de.

18. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die allein auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich erheblich beeinträchtigen (Art. 22 DSGVO). Auch die KI-Assistentin entscheidet nicht über Bestellungen, Erstattungen oder Reklamationen.

Stand: 25. Oktober 2026