Datenschutzerklärung

1. Verantwortliche Stelle

2. Aufruf der Website und Hosting

Beim Aufruf des Shops werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browsertyp, Betriebssystem und Statuscode gehören. Die Verarbeitung dient der sicheren, stabilen und fehlerfreien Bereitstellung des Shops (Art. 6 Abs. 1 lit. f DSGVO).

Die technische Bereitstellung des Shops erfolgt über OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Für die Auslieferung der Website, den Schutz vor Angriffen und die Shop-Datenbank werden Dienste der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, eingesetzt.

Cloudflare betreibt ein weltweit verteiltes Netzwerk. Der Shop ist deshalb nicht ausschließlich einem einzelnen Serverstandort in Deutschland zugeordnet. Technische Daten können innerhalb des EWR sowie in den USA verarbeitet werden. Soweit Daten außerhalb der EU bzw. des EWR verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln.

3. Technisch notwendige Speicherungen

Für angemeldete Kunden wird das technisch notwendige, HTTP-only-Session-Cookie 164_shop_session gesetzt. Es enthält einen zufälligen Sitzungswert, ist mit SameSite=Lax und bei verschlüsselter Übertragung mit Secure geschützt und läuft spätestens nach 30 Tagen ab. Rechtsgrundlagen sind § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

Die im Datenschutzfenster getroffene Auswahl wird ausschließlich lokal im Browser gespeichert. Ohne eine freiwillige Einwilligung findet keine Besucherstatistik statt. Werbe- und Profiling-Cookies werden nicht eingesetzt.

Cloudflare kann zur Erkennung automatisierter oder missbräuchlicher Zugriffe ein technisch notwendiges Sicherheits-Cookie wie __cf_bm setzen. Es dient ausschließlich der Bot-Erkennung und Angriffsschutzfunktion, nicht der Werbung oder Reichweitenmessung. Rechtsgrundlagen sind § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO.

Zur Begrenzung wiederholter Anmelde-, Zahlungs- und Formularanfragen speichern wir vorübergehend einen pseudonymisierten, gekürzten kryptografischen Prüfwert der IP-Adresse zusammen mit Anfragegruppe, Zähler und Ablaufzeit. Abgelaufene Einträge werden regelmäßig automatisiert gelöscht. Die Verarbeitung dient dem Schutz von Kundenkonten, Bestellungen und Shop-Infrastruktur vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

4. Freiwillige Besucherstatistik

Nur wenn „Statistik erlauben“ ausgewählt wird, erfassen wir eine datensparsame Besucherstatistik. Dabei werden eine zufällige pseudonyme Besucherkennung, eine Sitzungskennung, Zeitpunkt, aufgerufener Seitenpfad, die auf den Hostnamen verkürzte Zugriffsquelle, eine ungefähre Einordnung nach Land, Region und Ort sowie die Gerätekategorie verarbeitet. Die vollständige IP-Adresse wird nicht in der Statistik gespeichert.

Die Daten dienen ausschließlich dazu, Nutzung und Auffindbarkeit des Shops zu verstehen und das Angebot zu verbessern. Es werden keine externen Analysedienste eingesetzt, keine Werbeprofile gebildet und keine Statistikdaten an Werbenetzwerke übermittelt. Rechtsgrundlagen sind die freiwillige Einwilligung nach § 25 Abs. 1 TDDDG sowie Art. 6 Abs. 1 lit. a DSGVO.

Die Auswahl kann jederzeit über „Datenschutz-Einstellungen“ in der Fußzeile mit Wirkung für die Zukunft geändert werden. Statistikdaten werden spätestens nach 180 Tagen gelöscht. Beim Widerruf wird die lokale pseudonyme Besucherkennung im Browser entfernt; bereits erhobene Daten bleiben bis zum Ablauf der genannten Frist nur in pseudonymer Form erhalten.

5. Kundenkonto

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, Kontotyp sowie bei Verbandskonten Art und Name der Gliederung. Das Passwort wird ausschließlich als technisch abgesicherter Hash gespeichert. Die Daten werden zur Einrichtung und Verwaltung des Kundenkontos verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Kontodaten bleiben bis zur Löschung des Kontos gespeichert, sofern keine gesetzlichen Pflichten entgegenstehen. Eine Löschung kann per E-Mail verlangt werden.

6. Merch-Anfragen

Bei individuellen Anfragen verarbeiten wir Verbandstyp und Verbandsname, Kontaktname, E-Mail-Adresse, optional Telefonnummer, Artikelidee, Stückzahl, Individualisierungswünsche und die Nachricht. Die Verarbeitung erfolgt zur Bearbeitung vorvertraglicher Maßnahmen und zur Angebotserstellung (Art. 6 Abs. 1 lit. b DSGVO). Nicht beauftragte Anfragen werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Bestellung und Vertragsabwicklung

Für Bestellungen verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, Liefer- oder Abholart, Lieferanschrift, bestellte Artikel und Varianten, Mengen, Preise, Bestellnummer, Zahlungsstatus und Zeitpunkte. Diese Angaben werden für Vertragsschluss, Lieferung, Kundenkommunikation und buchhalterische Nachweise benötigt (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

Vertrags- und Buchungsdaten werden für die jeweils geltenden handels- und steuerrechtlichen Fristen aufbewahrt; Buchungsbelege regelmäßig acht Jahre, sonstige Geschäftsunterlagen je nach Art sechs oder zehn Jahre.

Zum Schutz des Shops vor missbräuchlichen Bestellversuchen und zur Durchsetzung berechtigter Ablehnungen kann eine interne Sperrliste geführt werden. Hierfür werden Name, E-Mail-Adresse, optional Anschrift sowie ein interner Sperrgrund verarbeitet und vor Beginn der PayPal-Zahlung mit den eingegebenen Kundendaten abgeglichen. Bei einem Treffer werden Zeitpunkt, eingegebene Kontakt- und Adressangaben sowie eine Zusammenfassung des Warenkorbs protokolliert und die Betreiberin per E-Mail benachrichtigt; an PayPal werden dabei keine Daten übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sperreinträge und zugehörige Nachweise werden regelmäßig auf ihre Erforderlichkeit geprüft und gelöscht, sobald der Schutz- oder Nachweiszweck entfällt.

Bei Artikeln mit eigener Druckdatei verarbeiten wir zusätzlich die hochgeladene Grafik, den ursprünglichen Dateinamen, Dateiformat und Dateigröße sowie die Bestätigung, dass die erforderlichen Nutzungsrechte vorliegen. Die Datei wird in einem nicht öffentlich zugänglichen Objektspeicher abgelegt und ausschließlich zur technischen Prüfung, Erstellung des Freigabeabzugs und Durchführung des Druckauftrags verwendet (Art. 6 Abs. 1 lit. b DSGVO). Noch keiner Bestellung zugeordnete Uploads verfallen nach 48 Stunden. Zugeordnete Druckdateien werden gelöscht, sobald sie für Vertragserfüllung, Reklamationsbearbeitung und gesetzliche Nachweise nicht mehr erforderlich sind.

8. Elektronische Widerrufsfunktion

Bei Nutzung der Funktion „Vertrag widerrufen“ verarbeiten wir Name, E-Mail-Adresse, Bestellnummer, den Umfang des Widerrufs und bei einem Teilwiderruf die bezeichneten Artikel. Zusätzlich speichern wir Eingangszeitpunkt, Bearbeitungsstatus und den Wortlaut der Erklärung. Die Verarbeitung ist zur Durchführung des Widerrufs und zur Erfüllung gesetzlicher Nachweis- und Bestätigungspflichten erforderlich (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

Unmittelbar nach der Übermittlung wird über Resend eine Eingangsbestätigung an die angegebene E-Mail-Adresse gesendet. Die Widerrufsdaten werden zusammen mit den zugehörigen Vertragsunterlagen nur so lange gespeichert, wie dies für die Rückabwicklung und gesetzliche Aufbewahrungs- oder Nachweispflichten erforderlich ist.

9. PayPal-Zahlung

Wenn PayPal gewählt und die Zahlung gestartet wird, übermitteln wir PayPal die für die Zahlung erforderlichen Bestell- und Transaktionsdaten. Dazu gehören insbesondere Name, Lieferanschrift, allgemeine Artikelpositionen, Betrag, Währung, Bestellreferenz sowie der Transaktionsstatus. Konkrete Produktnamen und politische Motive werden nicht als PayPal-Artikelbezeichnung übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Empfänger ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Bank-, Karten- und Zugangsdaten werden unmittelbar von PayPal verarbeitet und nicht an uns übermittelt. Es gelten ergänzend die Datenschutzhinweise von PayPal.

10. E-Mail-Versand über Resend

Konto-, Bestell-, Versand-, Widerrufs- und Newsletter-Nachrichten werden über Resend versendet. Dabei werden E-Mail-Adresse, Name, die für die jeweilige Nachricht erforderlichen Bestell-, Versand-, Widerrufs- oder Newsletterdaten und der Nachrichteninhalt an Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA, übermittelt. Rechtsgrundlagen sind je nach Nachricht Art. 6 Abs. 1 lit. a, lit. b oder lit. c DSGVO.

Resend verarbeitet Daten in den USA; die Absicherung erfolgt nach Angaben des Anbieters insbesondere über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Der Shop setzt in diesen Nachrichten kein Öffnungs-, Klick- oder Profiling-Tracking ein.

11. Freiwilliger Newsletter und Willkommensrabatt

Der Newsletter informiert über neue eigene Artikel von 164-shop.de und kann ein Artikelfoto, Produktinformationen und einen Link zum Shop enthalten. Er wird nur nach einer freiwilligen, ausdrücklichen Anmeldung und anschließender Bestätigung der E-Mail-Adresse (Double-Opt-in) versandt. Die Anmeldung ist weder für ein Kundenkonto noch für eine Bestellung erforderlich. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a und Art. 7 DSGVO sowie § 7 Abs. 2 Nr. 2 UWG.

Zum Nachweis der Einwilligung speichern wir E-Mail-Adresse, optional Name und Kundenkonto-Zuordnung sowie Zeitpunkt und Status von Anmeldung, Bestätigung, Versand und Abmeldung. Der Bestätigungslink ist 48 Stunden gültig. Nach erfolgreicher Bestätigung wird einmalig ein persönlicher Rabattcode über 10 % erstellt. Er ist 30 Tage gültig, ab 20 Euro Warenwert einlösbar, nicht auf Versandkosten anwendbar und nur einmal verwendbar.

Die Einwilligung kann jederzeit über den Abmeldelink in jeder Newsletter-Nachricht oder im Kundenkonto mit Wirkung für die Zukunft widerrufen werden. Nach einer Abmeldung erfolgt kein weiterer Newsletter-Versand. Soweit erforderlich, bleiben minimale Nachweisdaten zur Dokumentation der Einwilligung und ihres Widerrufs bis zum Ablauf gesetzlicher Verjährungsfristen gespeichert; danach werden sie gelöscht. Ein Verkauf oder eine Nutzung der Adresse für Werbung Dritter findet nicht statt.

12. Versand mit DHL

Bei Versandbestellungen übermitteln wir die für die Zustellung erforderlichen Daten an die DHL Paket GmbH, Charles-de-Gaulle-Straße 20, 53113 Bonn. Dazu gehören Name und Lieferanschrift sowie – soweit für Versandankündigung oder Zustellung erforderlich – E-Mail-Adresse und Telefonnummer. Die Übermittlung erfolgt zur Durchführung des Vertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Weitere Informationen enthält die Datenschutzerklärung von DHL.

13. Direkt- und Sonderversand gekennzeichneter Artikel

Bei Artikeln, die im Shop ausdrücklich mit „Herstellung & Versand durch Agora Nova“ gekennzeichnet sind, übermitteln wir nach bestätigter Zahlung die für Herstellung und Direktversand erforderlichen Daten an die Agora Nova GmbH, Am Riesenberg 20, 59469 Ense. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Übermittelt werden ausschließlich Bestellnummer, Name, Lieferanschrift sowie die von Agora Nova zu erfüllenden Artikel, Varianten und Mengen. Andere Warenkorbpositionen, Preise, Zahlungsdaten, E-Mail-Adresse und Telefonnummer werden nicht an Agora Nova übermittelt. Miriam Kluck bleibt Verkäuferin und Ansprechpartnerin für Bestellung, Zahlung, Rechnung, Widerruf, Rücksendung und Gewährleistung.

Die Kennzeichnung „Förderartikel für Generation Deutschland“ allein löst keine Datenübermittlung an Agora Nova aus. Entscheidend ist ausschließlich die gesonderte Kennzeichnung für Herstellung und Direktversand.

Bei personalisierten Werbemitteln, die ausdrücklich mit „Sonderversand direkt aus der Produktion“ gekennzeichnet sind, übermitteln wir nach bestätigter Zahlung die für Herstellung und Versand erforderlichen Daten an einen von uns beauftragten Vertragspartner. Übermittelt werden ausschließlich Bestellnummer, Name, Lieferanschrift, gewählte Ausführung, Stückzahl und die individuellen Textangaben. Bei einer ausdrücklich gewählten Variante mit eigener Grafik werden außerdem die Druckdatei und die für die Druckfreigabe erforderlichen Gestaltungsangaben übermittelt. E-Mail-Adresse und Telefonnummer werden nur übermittelt, wenn dies für die Abstimmung des Freigabeabzugs im konkreten Auftrag erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verkäuferin und alleinige Vertragspartnerin des Kunden bleibt Miriam Kluck.

Wird für ein personalisiertes Werbemittel die Abholung am Infostand gewählt, werden weder der Name des Empfängers noch dessen Lieferanschrift an den Produktionspartner übermittelt. In diesem Fall erhält der Produktionspartner nur Bestellnummer, gewählte Ausführung, Stückzahl, individuelle Textangaben und – bei einer Variante mit eigener Grafik – die Druckdatei und erforderlichen Gestaltungsangaben. Das fertige Produkt wird zunächst an die Verkäuferin geliefert und von ihr zur vereinbarten Abholung bereitgestellt.

14. Weitere Empfänger und Datenübermittlung

Daten werden nur übermittelt, soweit dies für Hosting, Datenbank, Zahlungsabwicklung, E-Mail-Versand, Versand oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Eine Weitergabe für Werbezwecke oder ein Verkauf personenbezogener Daten findet nicht statt. Der AfD Stadtverband Lünen erhält keine Kunden- oder Zahlungsdaten aus dem Shop, sofern dies nicht im Einzelfall zur vereinbarten Abholung erforderlich und vom Kunden veranlasst ist.

15. Rechtsgrundlagen und Löschung

Wir verarbeiten Daten zur Vertragserfüllung und für vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie für die sichere Bereitstellung und Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Daten werden gelöscht oder gesperrt, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten mehr bestehen.

16. Technische und organisatorische Schutzmaßnahmen

Der Shop wird ausschließlich über verschlüsselte HTTPS-Verbindungen ausgeliefert. Die Shop-Datenbank wird nach Angaben des Infrastrukturbetreibers bei Übertragung und Speicherung verschlüsselt. Passwörter werden nicht im Klartext, sondern nur als gesalzene kryptografische Hashwerte gespeichert. Administrations- und Formularzugriffe werden durch Zugriffskontrollen, Herkunftsprüfungen, Anfragelimits und Sicherheitsprotokolle geschützt.

Von den betrieblich erforderlichen Shopdaten wird täglich eine gesonderte, zusätzlich mit AES-256-GCM verschlüsselte Sicherung erstellt. Sicherungen werden grundsätzlich 35 Tage aufbewahrt und anschließend automatisiert gelöscht. Zugriff auf produktive Daten, Sicherungen und Zugangsschlüssel erhalten nur berechtigte Personen und technische Auftragsverarbeiter, soweit dies für den jeweiligen Zweck erforderlich ist.

17. Betroffenenrechte

Betroffene haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen können an order@164-shop.de gerichtet werden.

18. Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig ist insbesondere:

19. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.