Diese Datenschutzerklärung informiert darüber, wie orzavik personenbezogene Daten beim Besuch des Onlineshops, bei Bestellungen, Zahlungen, Lieferungen, Kundenkonten, Kundenanfragen, Rückgaben, Erstattungen, Reklamationen und Produktsicherheitsmeldungen verarbeitet.
Die Verarbeitung erfolgt nach Maßgabe der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes, des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) und der weiteren anwendbaren Datenschutzvorschriften.
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten ist:
orzavik
1654 Exeter Dr
El Paso, TX 79928
USA
E-Mail: careteam@orzavik.com
Telefon: +1 (915) 537-7017
Service- und Liefergebiet: Deutschland
Servicezeiten:
Montag bis Freitag
09:10–12:00 Uhr
14:00–18:10 Uhr
ausgenommen gesetzliche Feiertage am Serviceort
Datenschutzrechtliche Anfragen können an careteam@orzavik.com gerichtet werden.
2. Kategorien personenbezogener Daten
Je nach Nutzung des Onlineshops können insbesondere folgende personenbezogene Daten verarbeitet werden:
-
Vor- und Nachname;
-
Rechnungsanschrift;
-
Lieferanschrift;
-
E-Mail-Adresse;
-
Telefonnummer;
-
Kundenkontodaten;
-
Bestellnummer und Bestellinhalt;
-
Produkt-, Größen-, Farb- und Mengenangaben;
-
Zahlungsstatus und Transaktionsreferenzen;
-
Versand- und Trackinginformationen;
-
Rückgabe- und Erstattungsdaten;
-
Reklamations- und Sicherheitsmeldungen;
-
Kommunikationsinhalte;
-
IP-Adresse;
-
Browser- und Geräteinformationen;
-
Betriebssystem;
-
Spracheinstellungen;
-
Datum und Uhrzeit des Zugriffs;
-
aufgerufene Seiten;
-
Referrer-Adresse;
-
Cookie- und Einwilligungsinformationen;
-
Sicherheits- und Fehlerprotokolle.
Vollständige Kreditkartendaten werden innerhalb der gesicherten Zahlungsumgebung von Authorize.net verarbeitet und nicht dauerhaft auf den Shop-Servern gespeichert.
3. Herkunft der Daten
Personenbezogene Daten können insbesondere stammen:
-
direkt vom Kunden während des Bestellvorgangs;
-
aus einem freiwillig eingerichteten Kundenkonto;
-
aus E-Mails, Telefonaten oder anderen Kontaktaufnahmen;
-
von Zahlungsdienstleistern;
-
von Versand- und Logistikdienstleistern;
-
aus technischen Zugriffsdaten;
-
aus Cookie- und Einwilligungseinstellungen;
-
von Herstellern oder Behörden im Zusammenhang mit Produktsicherheitsmaßnahmen.
Daten aus externen Quellen werden nur verarbeitet, soweit sie für den konkreten Vorgang erforderlich und rechtmäßig verfügbar sind.
4. Bestellungen und Vertragsabwicklung
Für Warenkorb, Checkout und Bestellabwicklung werden die für die Durchführung der Bestellung erforderlichen Daten verarbeitet.
Dies dient insbesondere:
-
Speicherung ausgewählter Produkte im Warenkorb;
-
Entgegennahme von Bestellungen;
-
Prüfung von Liefer- und Rechnungsdaten;
-
Zahlungszuordnung;
-
Bereitstellung der Ware;
-
Versand von Bestellbestätigungen;
-
Dokumentation des Vertragsstatus;
-
Bearbeitung bestellungsbezogener Kundenanfragen.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.
5. Produkt- und Bestelldaten
Der Onlineshop bietet insbesondere folgende Produktgruppen an:
-
Visor;
-
Strickmützen;
-
Schiebermützen;
-
Flatcaps;
-
Cowboyhüte;
-
Bucket Hats;
-
Baskenmützen;
-
Baseballkappen.
Produkt-, Größen-, Farb-, Mengen- und Ausführungsinformationen können als Bestandteil einer Bestellung gespeichert werden, soweit dies für Vertragserfüllung, Versand, Kundenservice, Rückgabe oder gesetzliche Dokumentation erforderlich ist.
6. Zahlungsabwicklung über Authorize.net
Zur Zahlungsabwicklung werden die erforderlichen Bestell-, Identifikations- und Transaktionsdaten an Authorize.net und beteiligte Zahlungsinstitute übermittelt.
Die Verarbeitung dient insbesondere:
-
Zahlungsautorisierung;
-
Betrugsprävention;
-
Transaktionszuordnung;
-
Rückerstattung;
-
Bearbeitung von Zahlungsbeanstandungen;
-
Erfüllung zahlungsbezogener Pflichten.
Akzeptiert werden insbesondere:
-
Visa;
-
Mastercard;
-
American Express.
Rechtsgrundlagen können je nach Verarbeitung insbesondere Art. 6 Abs. 1 lit. b, c und f DSGVO sein.
Das berechtigte Interesse besteht insbesondere in einer sicheren Durchführung und Dokumentation des Zahlungsverkehrs.
7. Versand, DDP-Einfuhr und Zustellung
Lieferungen nach Deutschland erfolgen nach dem DDP-Prinzip (Delivered Duty Paid).
Für Versand, Einfuhr, Zustellung und Sendungsverfolgung können insbesondere folgende Daten an beteiligte Logistik-, Zoll- und Versanddienstleister übermittelt werden:
-
Empfängername;
-
Lieferanschrift;
-
E-Mail-Adresse;
-
Telefonnummer;
-
Bestell- und Paketdaten;
-
Warenbeschreibung;
-
Sendungsnummer;
-
für die Einfuhr erforderliche Angaben.
Die Verarbeitung erfolgt grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie, soweit gesetzliche Zoll- oder Dokumentationspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO.
8. Kundenservice
Bei einer Kontaktaufnahme per E-Mail oder Telefon werden nur die für die Bearbeitung des jeweiligen Anliegens erforderlichen Daten verarbeitet.
Hierzu können insbesondere gehören:
-
Name;
-
Kontaktdaten;
-
Bestellnummer;
-
Produktinformationen;
-
Nachrichteninhalt;
-
übermittelte Fotos oder Unterlagen.
Je nach Anliegen kann die Verarbeitung beruhen auf:
-
Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen;
-
Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Verpflichtungen;
-
Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen Service-, Sicherheits- und Dokumentationsanliegen.
9. Widerruf, Rückgabe und Erstattung
Für Widerrufe, Rückgaben, Reklamationen und Erstattungen können insbesondere verarbeitet werden:
-
Bestellnummer;
-
Name und Kontaktdaten;
-
zurückgesandter Artikel;
-
Rückgabegrund;
-
Fotos und Nachweise;
-
Versand- und Trackingdaten;
-
Zahlungsreferenz;
-
Bearbeitungs- und Erstattungsstatus.
Die Verarbeitung erfolgt insbesondere zur Durchführung gesetzlicher oder vertraglicher Rückgabe- und Erstattungsansprüche.
Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b und c DSGVO. Für Rechtsverfolgung oder Missbrauchsprävention kann ergänzend Art. 6 Abs. 1 lit. f DSGVO gelten.
10. Rücksendeanschrift
Die Rücksendeanschrift lautet:
orzavik
1654 Exeter Dr
El Paso, TX 79928
USA
Eine vorherige Kontaktaufnahme über:
wird zur Zuordnung empfohlen.
Eine vorherige Kontaktaufnahme ist keine Voraussetzung für die wirksame Ausübung gesetzlicher Verbraucherrechte.
11. Kundenkonto
Soweit ein freiwilliges Kundenkonto angeboten wird, können die für Anmeldung und Verwaltung erforderlichen Daten verarbeitet werden.
Das Kundenkonto kann insbesondere verwendet werden für:
-
Einsicht in Bestellungen;
-
Verwaltung von Adressen;
-
Abruf von Lieferinformationen;
-
Speicherung persönlicher Einstellungen;
-
vereinfachte spätere Bestellungen.
Die Löschung kann über:
beantragt werden.
Gesetzlich aufzubewahrende Bestell-, Rechnungs- oder Zahlungsdaten können unabhängig von der Kontolöschung weiter gespeichert bleiben.
12. Server-Protokolldaten
Beim Aufruf des Onlineshops können automatisch technische Informationen verarbeitet werden.
Hierzu können insbesondere gehören:
-
IP-Adresse;
-
Datum und Uhrzeit;
-
aufgerufene Ressource;
-
übertragene Datenmenge;
-
Browsertyp;
-
Betriebssystem;
-
Referrer-Adresse;
-
Zugriffsstatus;
-
Fehler- und Sicherheitsereignisse.
Die Verarbeitung dient insbesondere:
-
technischer Bereitstellung;
-
Fehleranalyse;
-
Angriffserkennung;
-
Stabilität und Sicherheit des Onlineshops.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. f DSGVO.
13. Cookies und Einwilligungen
Technisch erforderliche Cookies und vergleichbare Technologien können insbesondere eingesetzt werden für:
-
Warenkorb;
-
Checkout;
-
Anmeldung;
-
Sicherheit;
-
Speicherung der Datenschutzauswahl.
Nicht technisch notwendige Analyse-, Funktions- oder Marketingtechnologien werden erst nach vorheriger Einwilligung aktiviert, soweit gesetzlich erforderlich.
Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen geändert oder widerrufen werden.
Weitere Informationen enthält die Cookie-Richtlinie.
14. Shopify und technische Shop-Infrastruktur
Der Onlineshop nutzt Shopify sowie weitere technische Shop-, Hosting- und Sicherheitsdienstleister.
Im Rahmen der technischen Bereitstellung können insbesondere verarbeitet werden:
-
technische Zugriffsdaten;
-
Geräte- und Sitzungsinformationen;
-
Warenkorb- und Bestelldaten;
-
Kontoinformationen;
-
Sicherheits- und Protokolldaten.
Shopify und andere Dienstleister erhalten nur die Daten, die für ihre jeweilige Aufgabe erforderlich sind.
Soweit eine Verarbeitung ausschließlich im Auftrag erfolgt, gelten die Anforderungen des Art. 28 DSGVO.
15. Produktsicherheitsmeldungen
Bei einer Meldung über ein möglicherweise unsicheres oder fehlerhaftes Produkt können insbesondere verarbeitet werden:
-
Bestellinformationen;
-
Kontaktdaten;
-
Produktinformationen;
-
Fotos;
-
Beschreibung des Vorfalls.
Die Verarbeitung dient insbesondere:
-
Produktidentifikation;
-
Bewertung des Sicherheitsrisikos;
-
Kommunikation mit dem Kunden;
-
Organisation von Abhilfemaßnahmen;
-
Erfüllung behördlicher Meldepflichten;
-
Durchführung eines Rückrufs;
-
Dokumentation der Sicherheitsprüfung.
Gesundheitsbezogene Daten werden nur verarbeitet, wenn eine entsprechende Rechtsgrundlage nach Art. 9 DSGVO besteht.
16. Betrugs- und Missbrauchsprävention
Bestell-, Zahlungs- und technische Daten können verarbeitet werden, um insbesondere:
-
unbefugte Transaktionen;
-
Kontoübernahmen;
-
automatisierte Angriffe;
-
sonstigen Missbrauch
zu erkennen oder zu verhindern.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. f DSGVO.
Das berechtigte Interesse besteht im Schutz von Kunden, Zahlungsverkehr und technischer Infrastruktur.
17. Gesetzliche Verpflichtungen
Personenbezogene Daten können verarbeitet werden, wenn gesetzliche Pflichten dies verlangen.
Hierzu können insbesondere gehören:
-
handels- und steuerrechtliche Aufbewahrung;
-
Nachweis von Zahlungen;
-
Zoll- und Einfuhrdokumentation;
-
Beantwortung berechtigter Behördenanfragen;
-
Dokumentation von Produktsicherheitsmaßnahmen;
-
gesetzliche Auskunftspflichten.
Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. c DSGVO.
18. Empfänger personenbezogener Daten
Personenbezogene Daten können im erforderlichen Umfang insbesondere an folgende Empfängerkategorien übermittelt werden:
-
Shopify und technische Shop-Dienstleister;
-
Hosting- und IT-Sicherheitsanbieter;
-
Authorize.net und beteiligte Zahlungsinstitute;
-
Versand- und Logistikdienstleister;
-
Zoll- und Einfuhrdienstleister;
-
Kommunikationsdienstleister;
-
Hersteller und verantwortliche Wirtschaftsakteure bei Sicherheitsfällen;
-
Rechts-, Steuer- und Buchhaltungsdienstleister;
-
Behörden bei gesetzlicher Verpflichtung.
Eine Weitergabe zu nicht angegebenen, mit dem ursprünglichen Zweck unvereinbaren Zwecken erfolgt nicht.
19. Auftragsverarbeitung
Dienstleister, die personenbezogene Daten ausschließlich im Auftrag verarbeiten, werden nach Maßgabe des Art. 28 DSGVO eingebunden.
Die Vereinbarungen regeln insbesondere:
-
Gegenstand und Dauer der Verarbeitung;
-
Art und Zweck;
-
Datenkategorien;
-
betroffene Personengruppen;
-
Weisungsbindung;
-
Vertraulichkeit;
-
Sicherheitsmaßnahmen;
-
Unterstützung bei Datenschutzrechten;
-
Löschung oder Rückgabe nach Vertragsende.
20. Internationale Datenübermittlungen
Da sich der Geschäftssitz von orzavik in den Vereinigten Staaten befindet und internationale Dienstleister eingesetzt werden, können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden.
Drittlandübermittlungen erfolgen nach Maßgabe der Art. 44 ff. DSGVO.
Je nach Empfänger können insbesondere folgende Grundlagen eingesetzt werden:
-
Angemessenheitsbeschluss;
-
anerkannter Datenschutzrahmen;
-
Standardvertragsklauseln;
-
andere geeignete Garantien nach Art. 46 DSGVO;
-
gesetzlich zulässige Ausnahmen nach Art. 49 DSGVO.
Soweit erforderlich, werden zusätzliche technische oder organisatorische Schutzmaßnahmen eingesetzt.
21. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck, aufgrund gesetzlicher Aufbewahrungsfristen oder zur Sicherung rechtlicher Ansprüche erforderlich ist.
Insbesondere gilt grundsätzlich:
-
Vertrags- und Rechnungsdaten entsprechend gesetzlicher handels- und steuerrechtlicher Fristen;
-
Kundenkontodaten bis zur Löschung des Kontos, soweit keine gesetzlichen Pflichten entgegenstehen;
-
Kommunikationsdaten bis zum Abschluss des Vorgangs und Ablauf erforderlicher Nachweisfristen;
-
Sicherheitsprotokolle nur so lange, wie dies für Angriffserkennung und Aufklärung erforderlich ist;
-
Einwilligungsnachweise für den erforderlichen Nachweiszeitraum;
-
Rückgabe- und Erstattungsdaten entsprechend der zugehörigen Vertragsdokumentation;
-
Produktsicherheitsdaten entsprechend gesetzlichen Sicherheits- und Dokumentationspflichten.
Nach Ablauf der jeweiligen Fristen werden Daten gelöscht oder, soweit geeignet, anonymisiert.
22. Datensicherheit
orzavik setzt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein.
Hierzu können insbesondere gehören:
-
SSL-/TLS-Verschlüsselung;
-
Zugriffsbeschränkungen;
-
rollenbezogene Berechtigungen;
-
sichere Zahlungsumgebung;
-
Sicherheitsprotokollierung;
-
Datensicherungen;
-
Aktualisierung technischer Systeme;
-
Schutz vor unbefugtem Zugriff;
-
Verfahren zur Erkennung und Bearbeitung von Sicherheitsvorfällen;
-
Vertraulichkeitsverpflichtungen.
Die Maßnahmen werden entsprechend Risiko, technischem Stand und Art der verarbeiteten Daten überprüft.
23. Datenschutzverletzungen
Ein möglicher Datenschutz- oder Sicherheitsvorfall wird geprüft und dokumentiert.
Soweit die gesetzlichen Voraussetzungen erfüllt sind, können insbesondere folgende Maßnahmen erforderlich sein:
-
Meldung an die zuständige Datenschutzaufsichtsbehörde;
-
Benachrichtigung betroffener Personen bei hohem Risiko;
-
Begrenzung des Vorfalls;
-
Sicherung relevanter Informationen;
-
Umsetzung erforderlicher Abhilfemaßnahmen.
24. Rechte betroffener Personen
Betroffene Personen haben unter den gesetzlichen Voraussetzungen insbesondere folgende Rechte:
-
Auskunft;
-
Berichtigung;
-
Löschung;
-
Einschränkung der Verarbeitung;
-
Datenübertragbarkeit;
-
Widerspruch;
-
Widerruf einer Einwilligung;
-
Beschwerde bei einer Datenschutzaufsichtsbehörde.
Ein Widerspruch gegen Direktwerbung kann jederzeit ohne Begründung erfolgen.
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
25. Ausübung der Datenschutzrechte
Datenschutzrechtliche Anträge können gerichtet werden an:
Zur Bearbeitung können insbesondere hilfreich sein:
-
Name;
-
verwendete E-Mail-Adresse;
-
geltend gemachtes Recht;
-
Beschreibung der betroffenen Verarbeitung;
-
gegebenenfalls Bestellnummer.
Die Identität wird nur im erforderlichen Umfang überprüft.
Anträge werden grundsätzlich ohne unangemessene Verzögerung und spätestens innerhalb von einem Monat beantwortet.
Soweit nach der DSGVO zulässig, kann die Frist aufgrund von Komplexität oder Anzahl der Anträge um bis zu zwei weitere Monate verlängert werden. Über eine Verlängerung und ihre Gründe wird innerhalb des ersten Monats informiert.
26. Automatisierte Entscheidungen
Eine ausschließlich automatisierte Entscheidung, die gegenüber einer betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt, findet grundsätzlich nicht statt, sofern nicht im konkreten Vorgang ausdrücklich etwas anderes mitgeteilt wird.
Automatisierte Sicherheitsprüfungen können insbesondere zur Betrugsprävention eingesetzt werden.
27. Minderjährige
Der Onlineshop richtet sich grundsätzlich an voll geschäftsfähige Besteller.
Personenbezogene Daten Minderjähriger werden nicht wissentlich für eigenständige Marketingprofile erhoben.
Wird eine unzulässige Verarbeitung festgestellt, werden die betreffenden Daten nach Prüfung gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
28. Beschwerderecht
Betroffene Personen haben das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.
Dies kann insbesondere die Aufsichtsbehörde sein:
-
am gewöhnlichen Aufenthaltsort;
-
am Arbeitsplatz;
-
am Ort des behaupteten Datenschutzverstoßes.
Das Beschwerderecht besteht unabhängig von anderen gerichtlichen oder verwaltungsrechtlichen Rechtsbehelfen.
29. Aktualisierung dieser Datenschutzerklärung
Diese Datenschutzerklärung kann aktualisiert werden, wenn sich:
-
Verarbeitungszwecke;
-
technische Verfahren;
-
Shop-Funktionen;
-
eingesetzte Dienstleister;
-
gesetzliche Anforderungen
ändern.
Eine neue einwilligungspflichtige Verarbeitung beginnt erst nach Erteilung der erforderlichen Einwilligung.
Maßgeblich ist die jeweils veröffentlichte Fassung.
30. Datenschutzkontakt
Bei Fragen zum Datenschutz oder zur Ausübung von Datenschutzrechten:
orzavik
1654 Exeter Dr
El Paso, TX 79928
USA
E-Mail: careteam@orzavik.com
Telefon: +1 (915) 537-7017
Service- und Liefergebiet: Deutschland
Servicezeiten:
Montag bis Freitag
09:10–12:00 Uhr
14:00–18:10 Uhr
ausgenommen gesetzliche Feiertage am Serviceort