Datenschutzerklärung

1. Verantwortlicher

Qi Blanco UG (haftungsbeschränkt)
Vertreten durch: Dipl.-Ing. Christian Bernd Bauer
Brunnrangenstr. 25, 97711 Maßbach, Deutschland
E-Mail: info@qiblanco.com
Handelsregister: Amtsgericht Schweinfurt, HRB 7306

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (Art. 37 DSGVO, § 38 BDSG) auf uns nicht zutreffen. Bei Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Arten der verarbeiteten Daten

• Bestandsdaten (z. B. Namen, Adressen)
• Kontaktdaten (z. B. E-Mail-Adressen, Telefonnummern)
• Inhaltsdaten (z. B. Texteingaben, Nachrichten)
• Vertrags- und Bestelldaten (z. B. bestellte Produkte, Bestellhistorie)
• Nutzungsdaten (z. B. besuchte Seiten, Zugriffszeiten, Klick- und Verweildaten)
• Meta-/Kommunikationsdaten (z. B. IP-Adressen, Geräte-/Browserinformationen)
• Zahlungsdaten (z. B. Zahlungsart, Zahlungshistorie)

3. Zwecke der Verarbeitung

• Bereitstellung der Website und ihrer Funktionen
• Abwicklung von Bestellungen und Vertragserfüllung
• Beantwortung von Kontakt- und Supportanfragen
• Versand von Newslettern (nur mit Einwilligung)
• Sicherheit, Missbrauchsprävention und Stabilität
• Reichweitenmessung, Optimierung und Marketing (nur mit Einwilligung)

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage der DSGVO. Soweit wir Informationen auf Ihrem Endgerät speichern oder auslesen (z. B. Cookies), erfolgt dies zusätzlich auf Grundlage von § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz).

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Cookies, Tracking, Newsletter)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung/vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (z. B. sicherer Betrieb)
• § 25 Abs. 1 TDDDG – Einwilligung für den Zugriff auf Endgeräte-Informationen

5. Hosting und Bereitstellung der Website (Server-Logfiles)

Unsere Website wird auf der E-Commerce- und Hosting-Infrastruktur der Shopify International Ltd. (Victoria Buildings, 1–2 Haddington Road, Dublin 4, Irland) bzw. Shopify Inc. (Kanada) betrieben (u. a. Shopify „Oxygen"-Hosting für unsere Storefront). Beim Aufruf der Website werden durch den Browser automatisch übermittelte Daten in Server-Logfiles verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Referrer, Browser-/Betriebssystem-Informationen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung im Shop. Für Übermittlungen nach Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); für etwaige Verarbeitungen in den USA gelten die unter Ziffer 12 genannten Garantien. Mit Shopify besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

6. Bestellung und Zahlungsabwicklung

Zur Abwicklung von Bestellungen verarbeiten wir die von Ihnen angegebenen Bestands-, Kontakt- und Zahlungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Zahlungsabwicklung erfolgt über die von Ihnen gewählten Zahlungsdienstleister (z. B. Shopify Payments, PayPal, Kreditkarten- und Ratenkauf-Anbieter); die dabei erhobenen Zahlungsdaten werden von den jeweiligen Anbietern eigenverantwortlich verarbeitet. An Versand- und Logistikdienstleister sowie ggf. an Steuerberater und Behörden geben wir Daten weiter, soweit dies zur Vertragserfüllung bzw. zur Erfüllung rechtlicher Pflichten erforderlich ist (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

7. Cookies und Einwilligungsverwaltung

Unsere Website verwendet Cookies und vergleichbare Technologien. Technisch notwendige Cookies, die für den Betrieb und die Bestellabwicklung erforderlich sind, setzen wir auf Grundlage von § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO ohne Einwilligung ein. Alle nicht notwendigen Cookies sowie Statistik- und Marketing-Dienste werden erst nach Ihrer Einwilligung gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Zur Verwaltung Ihrer Einwilligung nutzen wir die Consent-Management-Plattform Cookiebot der Usercentrics A/S (Havnegade 39, 1058 Kopenhagen, Dänemark). Cookiebot dokumentiert und verwaltet Ihre Einwilligung; die Verarbeitung erfolgt innerhalb der EU. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen auf unserer Website widerrufen oder anpassen.

8. Reichweitenmessung und Analyse

a) Einwilligungsbasierte Analyse. Die folgenden Dienste werden ausschließlich nach Ihrer Einwilligung (Kategorie „Statistik") geladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

• Google Tag Manager, Google Analytics 4 (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Google LLC, USA): Verwaltung von Tags sowie pseudonyme Reichweitenmessung. Wir setzen den Google Consent Mode v2 ein; ohne Einwilligung werden keine Analyse-Cookies gesetzt (Standardzustand „denied"). Eine Übermittlung an Google LLC in den USA ist möglich (siehe Ziffer 12).
• Microsoft Clarity (Microsoft Corporation, One Microsoft Way, Redmond, USA): Analyse des Nutzungsverhaltens (u. a. Heatmaps, Sitzungsaufzeichnungen in pseudonymer Form) zur Verbesserung der Website. Übermittlung in die USA möglich (siehe Ziffer 12).
• Hotjar (Hotjar Ltd., Malta – Teil der Contentsquare-Gruppe): Erstellung von Heatmaps und pseudonymen Nutzungsanalysen. Der Anbieter hat seinen Sitz in der EU; soweit Sub-Auftragsverarbeiter in den USA eingesetzt werden, gelten die Garantien nach Ziffer 12.
• Eigene First-Party-Reichweitenmessung (qpx): Wir betreiben eine selbst gehostete Analyse-Lösung auf einem eigenen Server innerhalb der EU. Diese identifizierte Ebene (u. a. eine pseudonyme Kennung und Seiten-/Abschnittsnutzung) wird ebenfalls nur nach Ihrer Einwilligung aktiv. Eine Übermittlung an Dritte oder in Drittländer findet hierbei nicht statt.

Mit den genannten externen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

b) Einwilligungsfreie Basis-Reichweitenmessung (cookielos). Zusätzlich setzen wir eine selbst betriebene, cookielose Basis-Messung ein, um die grundsätzliche Reichweite und Herkunft der Zugriffe zu verstehen. Diese Messung setzt und liest keine Cookies und greift nicht auf Informationen in Ihrem Endgerät zu (kein Local-/Session-Storage, kein Fingerprint, keine persistente Besucher-ID); sie fällt daher nicht unter die Einwilligungspflicht des § 25 TDDDG. Verarbeitet werden nur Daten, die Ihr Browser ohnehin übermittelt (aufgerufene Seite ohne Suchparameter, Referrer, grobe Herkunfts-/Werbeplattform-Klasse). Eine Unterscheidung von Besuchen entsteht erst serverseitig aus einem täglich wechselnden, anschließend verworfenen Prüfwert; eine Wiedererkennung über den Tag hinaus ist nicht möglich. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO); die zugrunde liegende Interessenabwägung haben wir dokumentiert. Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen (Kontakt siehe Ziffer 1); die Verarbeitung erfolgt ausschließlich auf unserem Server in der EU, eine Weitergabe an Dritte findet nicht statt.

9. Marketing und Conversion-Messung

Die folgenden Dienste werden ausschließlich nach Ihrer Einwilligung (Kategorie „Marketing") aktiv. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

• Google Ads (Google Ireland Ltd. / Google LLC, USA): Messung des Erfolgs unserer Werbeanzeigen (Conversion-Tracking) und Remarketing. Wir nutzen den Google Consent Mode v2; werbebezogene Cookies (u. a. ad_storage) werden erst nach Einwilligung gesetzt.
• Meta (Facebook/Instagram) (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland; Meta Platforms Inc., USA): Messung von Werbe-Conversions. Diese erfolgt überwiegend serverseitig über die Meta Conversions API (CAPI), bei der wir ausgewählte Ereignisdaten (z. B. zu einer Bestellung) an Meta übermitteln; eine Zuordnung erfolgt einwilligungsbasiert. Für ein etwaiges browserseitiges Meta-Pixel gilt die vorherige Einwilligung nach § 25 Abs. 1 TDDDG. Soweit gemeinsame Verarbeitung vorliegt, besteht mit Meta eine Vereinbarung nach Art. 26 DSGVO.

10. Kundensupport-Chat (Gorgias)

Für Support- und Kontaktanfragen setzen wir das Helpdesk- und Chat-System von Gorgias Inc. (USA) ein. Wenn Sie den Chat nutzen oder uns kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Kundenkommunikation). Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (siehe Ziffer 12).

11. Newsletter und E-Mail-Marketing

Für den Versand von Newslettern und die Verwaltung von Anmeldeformularen nutzen wir ActiveCampaign, LLC (USA). Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail, mit der Sie den Empfang aktiv bestätigen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an uns abbestellen. Eine Übermittlung in die USA erfolgt nach den unter Ziffer 12 genannten Garantien.

12. Übermittlung in Drittländer (Art. 44–49 DSGVO)

Einige der von uns eingesetzten Dienste (insbesondere Google, Microsoft, Meta, ActiveCampaign und Gorgias) können personenbezogene Daten in Länder außerhalb der EU/des EWR – insbesondere in die USA – übermitteln. Für diese Übermittlungen stellen wir ein angemessenes Datenschutzniveau wie folgt sicher:

• EU-U.S. Data Privacy Framework (DPF): Soweit der US-Empfänger unter dem EU-U.S. Data Privacy Framework zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Dies betrifft nach unserem Kenntnisstand u. a. Google LLC, Microsoft Corporation und Meta Platforms Inc. Die jeweilige Zertifizierung kann unter www.dataprivacyframework.gov eingesehen werden.
• EU-Standardvertragsklauseln (SCC): Für Empfänger, die nicht (oder nicht nachweislich) unter dem DPF zertifiziert sind, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nach Art. 46 Abs. 2 lit. c DSGVO. In Umsetzung des EuGH-Urteils „Schrems II" (C-311/18) führen wir bzw. unsere Auftragsverarbeiter ergänzend eine Risikobewertung des Drittlands (Transfer Impact Assessment) durch und treffen zusätzliche Schutzmaßnahmen (z. B. Verschlüsselung, Pseudonymisierung, vertragliche und organisatorische Maßnahmen gemäß den Empfehlungen des Europäischen Datenschutzausschusses 01/2020).

Eine Kopie der Standardvertragsklauseln bzw. weitere Informationen zu den getroffenen Garantien erhalten Sie auf Anfrage unter info@qiblanco.com. Bitte beachten Sie, dass trotz dieser Garantien in Drittländern (insbesondere den USA) ein Zugriff staatlicher Stellen auf Daten nicht vollständig ausgeschlossen werden kann. Soweit erforderlich, holen wir Ihre ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO ein.

13. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Steuerrechtlich relevante Daten bewahren wir gemäß § 147 AO bis zu 10 Jahre auf; handelsrechtlich relevante Unterlagen 6 Jahre. Einwilligungsbasierte Daten werden bis zum Widerruf der Einwilligung verarbeitet.

14. Ihre Rechte als betroffene Person

Gemäß der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – sofern keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO): Sie haben das Recht, jederzeit gegen die Verarbeitung Sie betreffender Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen; dies gilt auch für ein etwaiges Profiling. Gegen die Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an info@qiblanco.com.

15. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

16. Datensicherheit (SSL/TLS)

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://" in der Adresszeile Ihres Browsers.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung.