Datenschutzerklärung
Verordnung (EU) 2016/679 (DSGVO) und LO 3/2018 (LOPDGDD)
Verantwortlicher für die Verarbeitung
- Inhaber: Chantell Adelina Gebauer Larrosa
- NIF: 60183993P
- Anschrift: C/ Alcalde Antonio Pariente Cuesta, 11B, 3G, 28342, Valdemoro, Madrid, España.
- Kontakt in Fragen des Datenschutzes: contacto@universopumpkin.es
- Datenschutzbeauftragter: nicht erforderlich. Diese Tätigkeit fällt unter keinen der Fälle, die eine Benennung vorschreiben.
Welche Daten erhoben werden
Die für jeden der im folgenden Abschnitt erläuterten Zwecke erforderlichen Daten und keine weiteren.
| Wann | Welche Daten |
|---|---|
| Beim Kauf | Vor- und Nachname, E-Mail-Adresse, Lieferadresse und, falls eine Firmenrechnung angefordert wird, NIF und Steuersitz. Eine Kontakttelefonnummer, damit das Transportunternehmen dich über die Lieferung benachrichtigen kann. Falls du die Lieferung an eine Abholstelle wählst, welche. |
| Beim Erstellen eines Kontos | E-Mail-Adresse und Passwort (verschlüsselt, niemals sichtbar) sowie die Adressen, die du speicherst |
| Wenn du Stücke als Favoriten markierst (mit Konto) | Welche Stücke du mit dem Herz markiert hast und wann. Anderen wird nur angezeigt, wie viele Personen ein Stück in ihren Favoriten haben, nie wer |
| Bei der Anmeldung mit Apple oder Google | Das, was Apple oder Google uns mit deiner Erlaubnis bereitstellen: deine E-Mail-Adresse und, falls du ihn angibst, deinen Namen. Mit Apple kannst du deine echte E-Mail-Adresse verbergen; dann erhalten wir eine Weiterleitungsadresse von Apple. Wenn du dich mit Apple anmeldest, speichern wir die uns von Apple erteilte Erlaubnis verschlüsselt, allein um sie zurückziehen zu können, wenn du das Konto löschst |
| Bei der Zahlung | Keine Kartennummer. Die Kartendaten gibst du direkt im Zahlungsportal der Bank oder bei PayPal ein; hier wird nur gespeichert, ob die Abbuchung erfolgreich war, der Betrag und ein Referenzcode |
| Wenn du «Diese Karte für das nächste Mal merken» markierst | Die Kartenmarke (Visa, Mastercard…), ihre letzten 4 Ziffern, das Ablaufdatum und eine von der Bank bereitgestellte Referenz, die nur zum Abbuchen in diesem Shop dient. Niemals die vollständige Nummer oder den Sicherheitscode (CVV): diese hat nur die Bank |
| Wenn du unsere Apps nutzt und Benachrichtigungen erlaubst | Eine Kennung des Telefons, um ihm Benachrichtigungen zu senden, die Sprache der App und ob du die Benachrichtigungen über Neuigkeiten akzeptierst |
| Beim Eröffnen einer Rücksendung | Der von dir angegebene Grund, die Fotos, die du hinzufügst, um das Problem zu zeigen, und die zugehörige Kommunikation |
| Wenn du uns über das Kontaktformular schreibst | Dein Name, deine E-Mail-Adresse, der Grund, die Bestellnummer, falls du sie angibst, und die Nachricht |
| Beim Navigieren | Die gewählte Sprache und der Inhalt des Warenkorbs, in technischen Cookies deines Browsers. Außerdem vermerkt der Server in seinen technischen Protokollen die IP-Adresse, die angeforderte Seite, den Browser und die Uhrzeit jedes Besuchs |
| Beim Akzeptieren der Bedingungen, Anmelden zu den Neuigkeiten oder Abmelden | Was du akzeptiert oder zurückgezogen hast, wann, von wo aus (die Website, die App, die Zahlung…), die Version des dir angezeigten Textes und die IP-Adresse, von der aus es erfolgte |
Wofür und auf welcher Rechtsgrundlage
Die kommerziellen Mitteilungen – Neuigkeiten und Angebote, per E-Mail und über Benachrichtigungen unserer Apps – werden nur an diejenigen gesendet, die dieses Kästchen markieren, das getrennt von den Bedingungen steht und niemals vorab markiert ist. Es nicht zu markieren hindert dich weder am Kauf noch daran, ein Konto zu haben.
Jede dieser E-Mails enthält einen Link, um sich mit einem Klick abzumelden, ohne Passwort und ohne uns schreiben zu müssen. Du kannst dies auch über «Mein Konto» ändern oder per E-Mail beantragen. Die Abmeldung erfolgt sofort, gilt für die E-Mails und für die Handy-Benachrichtigungen und wird gespeichert – genau dafür, um dir nicht erneut zu schreiben.
Die Handy-Benachrichtigungen erscheinen zudem nur, wenn dein Telefon dich um Erlaubnis gebeten hat und du sie erteilt hast. Du kannst sie jederzeit in den Einstellungen deines Telefons deaktivieren, ohne dich von den E-Mails abzumelden.
Die E-Mails und Benachrichtigungen zur Bestellung – die Bestätigung, der Versand, die Rechnung oder eine Rücksendung – sind keine Werbung: Sie sind Teil des Kaufs und werden auch dann versendet, wenn du die anderen nicht wünschst.
Es werden keine automatisierten Entscheidungen getroffen und keine Profile erstellt.
| Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Bearbeitung, Abrechnung und Versand der Bestellung | Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) | Für die Dauer der Geschäftsbeziehung |
| Ausstellung und Aufbewahrung der Rechnungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | 4 Jahre wegen steuerlicher Verjährung; 6 Jahre gemäß Handelsgesetzbuch (Código de Comercio) |
| Bearbeitung von Rücksendungen und Garantien | Erfüllung des Vertrags und rechtliche Verpflichtung | Bis zur Verjährung der Ansprüche |
| Verwaltung deines Kontos, falls du es erstellst | Erfüllung des Vertrags | Bis du es löschst |
| Deine Favoriten speichern und, ohne zu sagen wer, anzeigen, wie viele Personen jedes Stück haben | Erfüllung des Vertrags: eine Funktion deines Kontos, die du nutzt, wenn du möchtest (Art. 6 Abs. 1 lit. b DSGVO) | Bis du das Stück aus deinen Favoriten entfernst oder dein Konto löschst |
| Speicherung deiner Karte für ein schnelleres Bezahlen, falls du es wünschst | Deine Einwilligung durch Auswahl von «Diese Karte für das nächste Mal merken» beim Bezahlen (Art. 6 Abs. 1 lit. a DSGVO) | Bis du sie unter «Zahlungsmittel» in deinem Konto entfernst oder das Konto löschst |
| Benachrichtigung auf deinem Handy über den Status deiner Bestellung (bezahlt, versandt, zugestellt) | Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b). Darüber hinaus fragt das Telefon seine eigene Erlaubnis ab, um Benachrichtigungen anzuzeigen: Dies ist eine technische Systemeinstellung, nicht die Rechtsgrundlage der Verarbeitung | Bis du die Erlaubnis auf dem Telefon widerrufst, dich abmeldest oder das Konto löschst |
| Zu erfahren, wie die Website genutzt wird – welche Seiten besucht werden, worauf geklickt wird, in welchem Schritt des Kaufs abgebrochen wird –, um sie zu verbessern | Deine Einwilligung durch Klick auf «Akzeptieren» im Statistik-Hinweis (Art. 6 Abs. 1 lit. a DSGVO und Art. 22 Abs. 2 LSSI). Wenn du nicht einwilligst, wird nichts gemessen. Du kannst sie jederzeit über «Statistik-Einstellungen» am Fuß jeder Seite widerrufen, und der Widerruf wirkt sich nicht auf das zuvor Gemessene aus. Die Daten werden pseudonymisiert: Sie werden nicht mit deinem Namen, deiner E-Mail-Adresse oder deinem Konto verknüpft | Ein Jahr ab jedem Besuch: So lange bewahrt PostHog die Daten im von uns genutzten Tarif (dem kostenlosen) auf, und nach Ablauf dieser Zeit werden sie gelöscht |
| Beantwortung deiner Anfragen über das Kontaktformular oder per E-Mail | Wenn es um eine Bestellung oder einen Kauf geht, den du tätigen möchtest, Erfüllung des Vertrags oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b); im Übrigen berechtigtes Interesse an der Betreuung derjenigen, die uns schreiben (Art. 6 Abs. 1 lit. f) | Ein Jahr ab Erledigung der Anfrage; länger nur, wenn eine Reklamation offen ist, bis diese abgeschlossen ist |
| Vorbeugung von Betrug bei den Zahlungen | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) | Das zur Erkennung unbedingt Erforderliche |
| Nachweisen können, was du akzeptiert hast und wann | Gesetzliche Pflicht, die Einwilligung nachweisen zu können (Art. 7.1 DSGVO/RGPD), und berechtigtes Interesse an der Verteidigung gegen eine Reklamation (Art. 6.1.f) | Solange sie gültig ist und danach 3 Jahre, das ist die Frist, in der die schwerwiegendsten Verstöße verjähren (Art. 72.2 LOPDGDD und Art. 45 LSSI). Nach Ablauf dieser Zeit wird sie gelöscht; von einer Abmeldung bewahren wir nur deine E-Mail-Adresse auf, ohne die IP-Adresse, um dir nicht erneut zu schreiben |
| Die Website sicher halten und Fehler oder Missbrauch aufspüren, mithilfe der technischen Protokolle des Servers | Berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6.1.f) | 30 Tage; danach werden sie von selbst gelöscht |
| Dir Neuigkeiten und Angebote des Shops zuzusenden, per E-Mail und über Benachrichtigungen auf dem Handy, falls du es anforderst | Deine Einwilligung (Art. 6.1.a DSGVO/RGPD und Art. 21 LSSI), über ein separates Kästchen, das du leer lassen kannst | Bis du dich abmeldest; die Abmeldung wird gespeichert, um dir nicht erneut zu schreiben |
Wer sonst noch deine Daten sieht
Nur die Dienstleister, die wir zur Erbringung des Dienstes benötigen. Jeder von ihnen verarbeitet die Daten einzig zu dem Zweck, seinen eigenen Dienst zu erbringen:
- Supabase — Datenbank und Kontosystem. Die Daten werden in der Europäischen Union gehostet.
- Redsys — Zahlungsgateway für Kartenzahlung, Bizum und Apple/Google Pay. Spanisches Unternehmen.
- PayPal (Europe) S.à r.l. et Cie, S.C.A. — Zahlung mit PayPal, falls du es wählst. Handelt als eigenständig Verantwortlicher für die Zahlungsdaten, die du ihm direkt bereitstellst.
- Sendcloud (Sendcloud B.V., Niederlande) — Plattform, über die die Versände abgewickelt werden, als Auftragsverarbeiter; speichert die Daten in der Europäischen Union. Über sie erhält der Transportdienstleister, den du beim Kauf wählst, das Nötige, um dir die Bestellung zuzustellen: Name, Adresse oder Abholpunkt, E-Mail-Adresse und Telefon. Correos und Correos Express verarbeiten sie in unserem Auftrag und nur zur Zustellung; InPost (InPost Spain, S.L.U.) verarbeitet sie als Verantwortlicher seines eigenen Zustelldienstes an Punto Pack und Locker, gemäß seiner Datenschutzerklärung.
- PostHog Inc. — Nutzungsstatistiken der Website, in ihrer europäischen Cloud (Frankfurt, Deutschland), nur wenn du sie akzeptierst. Erhält, welche Seiten angesehen und was angeklickt wird, die IP-Adresse, den Browser, das Betriebssystem, die Sprache und die Bildschirmgröße, aus denen auf ihren Servern ein pseudonymer Identifikator berechnet wird, der täglich wechselt. Erhält weder deinen Namen noch deine E-Mail-Adresse noch das, was du in die Formulare eingibst, und im Konto, bei der Zahlung und bei den Bestellungen werden die Klicks nicht erfasst.
- Amazon Web Services EMEA SARL — Hosting der Website, Sicherungskopien und Versand der E-Mails zu Bestellungen, Rücksendungen und, falls du sie anforderst, zu Neuigkeiten (Amazon SES). Die Server, die Sicherungskopien und der E-Mail-Versand befinden sich in Paris (Frankreich, Europäische Union). Die E-Mails enthalten nichts, was mitteilt, ob du sie öffnest, und keine Links, die erfassen, ob du sie anklickst.
- Apple (Apple Distribution International Ltd., Irland) und Google (Google Ireland Ltd.) — vertreiben unsere Apps in ihren Stores, stellen die Benachrichtigungen an das Handy zu (wir senden ihnen den Identifikator des Handys und den Text jeder Benachrichtigung, mehr nicht) und, falls du dich über sie anmelden möchtest, bestätigen sie deine Identität. Für das, was du in ihren Stores und in deinem Apple- oder Google-Konto tust, gelten ihre eigenen Datenschutzerklärungen.
Übermittlungen außerhalb der Europäischen Union
Wenn du dich für die Zahlung mit PayPal entscheidest. PayPal (Europe) S.à r.l. et Cie, S.C.A. verarbeitet diese Daten als eigenständig Verantwortlicher, gemäß seiner eigenen Datenschutzerklärung, und die PayPal-Gruppe übermittelt Daten außerhalb des Europäischen Wirtschaftsraums auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln. Diese Übermittlung erfolgt ab dem Moment, in dem du dieses Zahlungsmittel wählst; wenn du sie vermeiden möchtest, bleibt jede der anderen Zahlungsarten innerhalb der Europäischen Union.
Wenn du unsere Apps nutzt und die Benachrichtigungen zulässt. Diese werden von Apple (auf dem iPhone) und Google (auf Android) zugestellt, die den Identifikator des Handys und den Text jeder Benachrichtigung erhalten. Ihre Benachrichtigungsdienste können diese Daten in den Vereinigten Staaten verarbeiten. Apple stützt diese Übermittlungen auf die Standardvertragsklauseln der Kommission, und Google auf den Datenschutzrahmen EU-USA, dem Google LLC beigetreten ist, sowie auf eben diese Klauseln. Wenn du diese Übermittlung nicht möchtest, genügt es, die Benachrichtigungen auf dem Handy nicht zuzulassen: Die App funktioniert trotzdem.
Bei den Statistiken (PostHog), falls du sie akzeptierst. Die Daten werden in der Europäischen Union gespeichert, aber einige ihrer Dienstleister oder Support-Teams befinden sich in den Vereinigten Staaten und können auf sie zugreifen. Diese Zugriffe stützen sich auf den Datenschutzrahmen EU-USA, dem PostHog angehört, und auf Standardvertragsklauseln.
Die übrigen Dienstleister — das Hosting und die E-Mail, die Datenbank, das Gateway von Redsys, Sendcloud und die Transportdienstleister — verarbeiten die Daten in der Europäischen Union, und da wir nur in Länder der Union versenden, verlassen auch die Daten deines Versands sie nicht. Amazon Web Services gehört zu einem US-amerikanischen Konzern: Die Daten verbleiben in der EU, und jeder Zugriff aus den Vereinigten Staaten ist durch den Datenschutzrahmen EU-USA und durch die Standardvertragsklauseln seines Auftragsverarbeitungsvertrags abgedeckt.
Mindestalter
Ab 14 Jahren kannst du der Verarbeitung deiner Daten selbst zustimmen. Unter diesem Alter ist die Zustimmung derjenigen Person erforderlich, die die elterliche Sorge oder Vormundschaft ausübt.
Wir überprüfen das Alter von niemandem: Beim Anlegen eines Kontos oder beim Aufgeben einer Bestellung erklärst du, diese Voraussetzung zu erfüllen. Wenn wir Daten einer Person unter 14 Jahren ohne diese Zustimmung feststellen, löschen wir sie.
Deine Rechte
Du kannst jederzeit verlangen, auf deine Daten zuzugreifen, sie zu berichtigen, sie zu löschen, der Verarbeitung zu widersprechen, sie einzuschränken oder sie in einem übertragbaren Format zu erhalten. Es genügt, an contacto@universopumpkin.es zu schreiben und anzugeben, was du möchtest; es kann ein Dokument angefordert werden, das deine Identität nachweist.
Wenn du der Ansicht bist, dass deine Daten nicht ordnungsgemäß verarbeitet wurden, kannst du bei der spanischen Datenschutzbehörde (Agencia Española de Protección de Datos, www.aepd.es) Beschwerde einlegen.
Es gibt eine Ausnahme, die man kennen sollte: Die Daten einer bereits ausgestellten Rechnung können auf Anfrage nicht gelöscht werden, weil die gesetzliche Pflicht besteht, sie während der oben angegebenen Fristen aufzubewahren.
Wenn du ein Konto hast, kannst du es auch selbst unter «Persönliche Daten» in deinem Konto löschen: Wir senden dir eine E-Mail zur Bestätigung, und sobald du bestätigst, werden das Konto, deine persönlichen Daten, die gespeicherten Adressen und deine Favoriten gelöscht. Die Bestellungen und Rechnungen werden, ohne sie mit einem Konto zu verknüpfen, so lange aufbewahrt, wie es das Gesetz verlangt.
Was gelöscht wird, verschwindet auch aus den Sicherungskopien, wenn diese ablaufen. Jede Nacht wird eine verschlüsselte Kopie erstellt, die nur dazu dient, den Shop wiederherzustellen, falls etwas ausfällt, und jede Kopie wird nach 400 Tagen von selbst gelöscht.
Sicherheit
Die Website läuft vollständig über eine verschlüsselte Verbindung. Die Passwörter werden verschlüsselt gespeichert und sind nicht lesbar, nicht einmal aus der Administration heraus. Die Kartennummer und ihr Sicherheitscode durchlaufen diese Website zu keinem Zeitpunkt: Sie werden in der Umgebung der Bank oder von PayPal eingegeben. Wenn du anforderst, eine Karte zu merken, speichern wir nur die Referenz, die uns die Bank gibt, die Marke, die letzten 4 Ziffern und das Ablaufdatum, womit niemand sie außerhalb dieses Shops verwenden könnte.