verantwortlicher für die verarbeitung personenbezogener daten im zusammenhang mit diesem online-shop ist:

im folgenden werden wir auch als „wir“, „uns“ oder „arboré. studios“ bezeichnet.

unser online-shop wird über shopify betrieben. shopify stellt uns die technische e-commerce-infrastruktur zur verfügung, über die insbesondere shopseiten, produktdarstellungen, warenkorb, checkout, bestellungen, kundenfunktionen und weitere shop-services bereitgestellt werden.

bei der nutzung unseres shops können deshalb personenbezogene daten durch shopify verarbeitet werden. hierzu können insbesondere ip-adresse, geräte- und browserinformationen, cookie- und kennungsdaten, nutzungs- und protokolldaten, kontakt- und adressdaten, bestell- und transaktionsdaten sowie informationen über ihre interaktion mit dem shop gehören.

soweit shopify personenbezogene daten in unserem auftrag verarbeitet, erfolgt dies zur bereitstellung und zum sicheren betrieb unseres online-shops. soweit shopify daten für eigene gesetzlich zulässige zwecke verarbeitet, richtet sich diese verarbeitung zusätzlich nach den datenschutzbestimmungen von shopify.

im rahmen der bereitstellung der shopify-services können daten auch außerhalb des europäischen wirtschaftsraums verarbeitet werden. soweit dies erforderlich ist, müssen hierfür die jeweils anwendbaren gesetzlichen voraussetzungen für internationale datenübermittlungen erfüllt sein.

beim aufruf unseres shops werden technisch erforderliche informationen verarbeitet, damit die website ausgeliefert, dargestellt und gegen missbrauch geschützt werden kann. dazu können insbesondere ip-adresse, datum und uhrzeit des zugriffs, aufgerufene seiten und dateien, referrer-informationen, browsertyp, betriebssystem, geräteinformationen und technische protokolldaten gehören.

die verarbeitung erfolgt, soweit erforderlich, zur durchführung vorvertraglicher maßnahmen beziehungsweise zur erfüllung eines vertrags sowie auf grundlage unseres berechtigten interesses an einem funktionsfähigen, stabilen und sicheren online-angebot.

wenn sie eine bestellung aufgeben, verarbeiten wir die daten, die für die anbahnung, den abschluss und die abwicklung des kaufvertrags erforderlich sind. hierzu können insbesondere name, rechnungs- und lieferanschrift, e-mail-adresse, gegebenenfalls telefonnummer, bestellte artikel, größen und varianten, bestellnummer, preis-, rabatt-, steuer- und versandinformationen, zahlungsstatus, rückerstattungen, rücksendungen und sonstige für die bestellung erforderliche angaben gehören.

rechtsgrundlage ist insbesondere art. 6 abs. 1 lit. b dsgvo. soweit wir handels-, steuer- oder sonstige gesetzliche aufbewahrungspflichten erfüllen müssen, erfolgt die verarbeitung zusätzlich auf grundlage von art. 6 abs. 1 lit. c dsgvo.

für die zahlungsabwicklung können – abhängig von den im checkout verfügbaren und von ihnen ausgewählten zahlungsarten – shopify und die jeweils eingebundenen zahlungsdienstleister personenbezogene daten verarbeiten. dabei können insbesondere identifikations-, kontakt-, bestell-, transaktions-, zahlungs-, geräte-, risiko- und authentifizierungsdaten verarbeitet werden.

wir erhalten dabei grundsätzlich nur diejenigen zahlungsinformationen, die für die bestell- und buchungsabwicklung erforderlich sind. vollständige zahlungskarten- oder vergleichbare sicherheitsdaten werden, soweit der jeweilige zahlungsdienst dies vorsieht, unmittelbar durch den zahlungsdienstleister verarbeitet.

welche zahlungsarten tatsächlich angeboten werden, ergibt sich aus dem jeweiligen checkout. eine zahlungsart wird nur dann als von uns eingesetzt behandelt, wenn sie im shop tatsächlich aktiviert und für die betreffende bestellung angeboten wird.

rechtsgrundlage für die zur vertragsabwicklung erforderliche zahlungsverarbeitung ist art. 6 abs. 1 lit. b dsgvo. soweit zahlungsdienstleister gesetzlich vorgeschriebene prüfungen, betrugsprävention oder eigene compliance-pflichten durchführen, können daneben weitere gesetzliche rechtsgrundlagen einschlägig sein.

zur lieferung von bestellungen übermitteln wir die hierfür erforderlichen daten an den für die konkrete sendung eingesetzten versand- oder logistikdienstleister. hierzu gehören regelmäßig name, lieferanschrift, bestell- beziehungsweise sendungsdaten und – soweit für zustellung oder sendungsankündigung erforderlich – e-mail-adresse oder telefonnummer.

wir können je nach zielort, verfügbarkeit, versandart und operativen anforderungen unterschiedliche transportdienstleister einsetzen. insbesondere kann dhl eingesetzt werden. daneben können andere für die jeweilige destination geeignete paket-, post-, express- oder logistikdienstleister zum einsatz kommen. daten werden nur an den tatsächlich mit der betreffenden sendung beauftragten dienstleister übermittelt.

die verarbeitung erfolgt zur erfüllung des kaufvertrags gemäß art. 6 abs. 1 lit. b dsgvo. soweit eine darüber hinausgehende elektronische sendungsankündigung eine gesonderte rechtsgrundlage erfordert, berücksichtigen wir die hierfür geltenden gesetzlichen voraussetzungen.

soweit kundenkonto-, login- oder bestellstatusfunktionen angeboten und von ihnen genutzt werden, verarbeiten wir die hierfür erforderlichen identifikations-, kontakt-, bestell- und authentifizierungsdaten. dies kann auch eine anmeldung oder verifizierung per e-mail beziehungsweise einmalcode umfassen, soweit diese funktion von shopify bereitgestellt und von ihnen verwendet wird.

soweit ein kundenkonto freiwillig ist, können sie grundsätzlich auch die jeweils angebotenen gast- beziehungsweise checkout-funktionen ohne dauerhaftes kundenkonto verwenden, sofern dies im konkreten checkout verfügbar ist.

wenn sie uns per e-mail oder auf anderem angebotenen weg kontaktieren, verarbeiten wir die von ihnen übermittelten daten, insbesondere ihre kontaktangaben, den inhalt ihrer nachricht sowie gegebenenfalls bestell- oder vorgangsdaten.

erfolgt die kontaktaufnahme im zusammenhang mit einem vertrag oder einer bestellung, ist die rechtsgrundlage art. 6 abs. 1 lit. b dsgvo. in anderen fällen kann die verarbeitung auf unserem berechtigten interesse an der bearbeitung von anfragen und der kommunikation mit ihnen gemäß art. 6 abs. 1 lit. f dsgvo beruhen.

zur erstellung, verwaltung oder bereitstellung von rechnungen kann in unserem shop die shopify-app „oxilayer invoice“ eingesetzt werden. soweit die app für einen konkreten vorgang genutzt wird, können die hierfür erforderlichen shop-, bestell-, rechnungs-, kunden- und adressdaten verarbeitet werden.

die verarbeitung erfolgt zur vertragsabwicklung und rechnungsstellung sowie zur erfüllung handels- und steuerrechtlicher pflichten, insbesondere auf grundlage von art. 6 abs. 1 lit. b und lit. c dsgvo.

wir können shopify flow zur automatisierung interner shop-prozesse verwenden. dabei können auf basis von ereignissen im shop automatisierte arbeitsabläufe ausgelöst werden, beispielsweise im zusammenhang mit bestellungen, beständen, tags, fulfillment oder internen organisatorischen vorgängen.

personenbezogene daten werden dabei nur verarbeitet, soweit sie Bestandteil des jeweiligen shop-vorgangs sind und für den eingerichteten workflow benötigt werden. die jeweilige rechtsgrundlage richtet sich nach dem zweck des zugrunde liegenden vorgangs.

soweit die in unserem shop installierte app „retail force barcode“ für produkt-, bestands-, barcode- oder vergleichbare verwaltungsprozesse eingesetzt wird, können die hierfür erforderlichen shop- und produktbezogenen daten verarbeitet werden. soweit ein konkreter vorgang ausnahmsweise personenbezogene daten umfasst, werden diese nur im für die jeweilige funktion erforderlichen umfang verarbeitet.

unser shop verwendet cookies und vergleichbare technologien. einige davon sind technisch erforderlich, damit grundlegende funktionen wie navigation, warenkorb, checkout, sicherheit, sitzungsverwaltung, sprach- oder andere von ihnen angeforderte einstellungen funktionieren.

soweit nicht technisch erforderliche cookies oder vergleichbare technologien für analyse, marketing, personalisierung oder andere einwilligungsbedürftige zwecke eingesetzt werden, erfolgt deren einsatz erst auf grundlage ihrer einwilligung, soweit gesetzlich erforderlich. eine erteilte einwilligung kann mit wirkung für die zukunft über die im shop bereitgestellten datenschutz- beziehungsweise cookie-einstellungen widerrufen oder geändert werden.

welche cookies und vergleichbaren technologien konkret eingesetzt werden, kann sich mit der technischen konfiguration des shops ändern. maßgeblich sind die jeweils tatsächlich aktivierten shop-funktionen, apps, integrations- und consent-einstellungen.

derzeit können technische shop-funktionen zur messung und auswertung von ereignissen bereitstehen. zusätzliche analyse-, werbe- oder marketingdienste sowie externe pixel werden nur dann verarbeitet, wenn sie tatsächlich eingerichtet beziehungsweise aktiviert sind.

soweit künftig beispielsweise analyse-, social-media-, advertising- oder vergleichbare trackingdienste aktiviert werden, wird diese datenschutzerklärung entsprechend der tatsächlichen konfiguration aktualisiert. soweit hierfür eine einwilligung erforderlich ist, werden die betreffenden technologien erst nach entsprechender einwilligung eingesetzt.

personenbezogene daten können – jeweils nur soweit erforderlich – insbesondere an folgende kategorien von empfängern übermittelt werden:

eine weitergabe personenbezogener daten erfolgt nicht allein deshalb, weil ein dienst oder eine zahlungs- beziehungsweise versandoption technisch verfügbar ist. maßgeblich ist, ob der betreffende dienst für den jeweiligen vorgang tatsächlich eingesetzt wird.

einige von uns oder von shopify eingesetzte dienstleister können daten in ländern außerhalb der europäischen union beziehungsweise des europäischen wirtschaftsraums verarbeiten. in solchen fällen erfolgt die übermittlung nur unter den jeweils anwendbaren datenschutzrechtlichen voraussetzungen.

hierzu können insbesondere ein angemessenheitsbeschluss der europäischen kommission, geeignete garantien wie standardvertragsklauseln oder – soweit die gesetzlichen voraussetzungen erfüllt sind – andere nach der dsgvo zulässige übermittlungsmechanismen gehören.

wir speichern personenbezogene daten grundsätzlich nur so lange, wie dies für den jeweiligen verarbeitungszweck erforderlich ist. anschließend werden die daten gelöscht oder anonymisiert, sofern keine gesetzlichen aufbewahrungspflichten, berechtigten aufbewahrungsinteressen oder sonstigen gesetzlichen gründe für eine weitere speicherung bestehen.

bestell-, rechnungs-, buchungs- und geschäftsunterlagen können insbesondere handels- und steuerrechtlichen aufbewahrungsfristen unterliegen. kommunikations- und supportdaten werden grundsätzlich gelöscht, wenn der vorgang abgeschlossen ist und keine weitere aufbewahrung erforderlich ist.

je nach verarbeitung stützen wir die verarbeitung personenbezogener daten insbesondere auf:

soweit eine verarbeitung auf einer einwilligung beruht, können sie diese grundsätzlich jederzeit mit wirkung für die zukunft widerrufen. die rechtmäßigkeit der bis zum widerruf erfolgten verarbeitung bleibt unberührt.

unter den gesetzlichen voraussetzungen haben sie insbesondere das recht auf:

wenn eine verarbeitung auf art. 6 abs. 1 lit. f dsgvo beruht, können sie aus gründen, die sich aus ihrer besonderen situation ergeben, widerspruch gegen die verarbeitung einlegen. werden personenbezogene daten für direktwerbung verarbeitet, besteht im gesetzlich vorgesehenen umfang ein jederzeitiges widerspruchsrecht gegen diese verarbeitung.

zur ausübung ihrer rechte können sie uns unter shop@arbore-studios.de kontaktieren.

sie haben außerdem das recht, sich bei einer zuständigen datenschutz-aufsichtsbehörde zu beschweren, insbesondere in dem mitgliedstaat ihres gewöhnlichen aufenthaltsorts, ihres arbeitsplatzes oder des orts des mutmaßlichen verstoßes.

für einen in bayern ansässigen nichtöffentlichen verantwortlichen kommt insbesondere das bayerische landesamt für datenschutzaufsicht als zuständige aufsichtsbehörde in betracht. die gesetzliche möglichkeit, sich an eine andere zuständige aufsichtsbehörde zu wenden, bleibt unberührt.

wir treffen angemessene technische und organisatorische maßnahmen, um personenbezogene daten gegen unbeabsichtigte oder unrechtmäßige zerstörung, verlust, veränderung, unbefugte offenlegung oder unbefugten zugriff zu schützen. ein absoluter schutz bei der übertragung oder speicherung von daten kann technisch jedoch nicht garantiert werden.

unser shop richtet sich nicht gezielt an kinder. soweit für bestimmte datenverarbeitungen eine einwilligung erforderlich ist, gelten die jeweils anwendbaren gesetzlichen alters- und einwilligungsvoraussetzungen.

wir können diese datenschutzerklärung anpassen, wenn sich unser shop, eingesetzte dienste, datenverarbeitungen oder die rechtlichen rahmenbedingungen ändern. die jeweils aktuelle fassung wird auf dieser seite veröffentlicht. bei wesentlichen änderungen informieren wir zusätzlich, soweit dies gesetzlich erforderlich ist.

the controller responsible for processing personal data in connection with this online store is:

below, we may also refer to ourselves as “we”, “us” or “arboré. studios”.

our online store is operated using shopify. shopify provides the technical e-commerce infrastructure through which store pages, product displays, cart, checkout, orders, customer functions and other store services are provided.

when you use our store, personal data may therefore be processed by shopify. this may include, in particular, ip address, device and browser information, cookie and identifier data, usage and log data, contact and address information, order and transaction data and information about your interaction with the store.

where shopify processes personal data on our behalf, this is done for the provision and secure operation of our online store. where shopify processes data for its own legally permitted purposes, that processing is additionally governed by shopify's applicable privacy information.

in connection with the provision of shopify services, data may also be processed outside the european economic area. where required, the applicable legal requirements for international transfers must be met.

when our store is accessed, technically necessary information is processed so that the website can be delivered, displayed and protected against misuse. this may include ip address, date and time of access, pages and files requested, referrer information, browser type, operating system, device information and technical log data.

where applicable, processing is carried out for pre-contractual measures or performance of a contract and on the basis of our legitimate interest in providing a functional, stable and secure online service.

when you place an order, we process the data required to initiate, conclude and perform the purchase contract. this may include your name, billing and shipping address, email address, telephone number where applicable, products ordered, sizes and variants, order number, price, discount, tax and shipping information, payment status, refunds, returns and other information required for the order.

the legal basis is in particular article 6(1)(b) gdpr. where we must comply with commercial, tax or other statutory retention obligations, processing is additionally based on article 6(1)(c) gdpr.

for payment processing, depending on the payment methods available in checkout and selected by you, shopify and the relevant payment service providers may process personal data. this may include identification, contact, order, transaction, payment, device, risk and authentication data.

as a rule, we receive only the payment information required for order and accounting purposes. complete payment card details or comparable security credentials are, where provided for by the relevant payment service, processed directly by the payment service provider.

the payment methods actually offered are those displayed in the relevant checkout. a payment method is treated as being used by us only where it is actually activated in the store and offered for the relevant order.

the legal basis for payment processing required to perform the contract is article 6(1)(b) gdpr. where payment providers carry out legally required checks, fraud prevention or their own compliance duties, additional legal bases may apply.

in order to deliver purchases, we provide the data required for the relevant shipment to the shipping or logistics provider engaged for that shipment. this normally includes your name, delivery address, order or shipment information and, where required for delivery or shipment notifications, your email address or telephone number.

depending on destination, availability, shipping method and operational requirements, we may use different carriers. dhl may in particular be used. other parcel, postal, express or logistics providers suitable for the relevant destination may also be used. data is transferred only to the provider actually engaged for the relevant shipment.

processing for delivery is carried out for performance of the purchase contract pursuant to article 6(1)(b) gdpr. where an additional electronic shipment notification requires a separate legal basis, the applicable legal requirements will be observed.

where customer account, login or order-status functions are offered and used by you, we process the identification, contact, order and authentication data required for those functions. this may include login or verification by email or one-time code where such a function is provided by shopify and used by you.

where a customer account is optional, you may generally use the guest or checkout functions offered without maintaining a permanent customer account, insofar as this is available in the relevant checkout.

when you contact us by email or another method we provide, we process the data you submit, in particular your contact details, the content of your message and, where applicable, order or case information.

where your enquiry relates to a contract or order, processing is based on article 6(1)(b) gdpr. in other cases, processing may be based on our legitimate interest in responding to enquiries and communicating with you under article 6(1)(f) gdpr.

the shopify app “oxilayer invoice” may be used in our store to create, manage or provide invoices. where the app is used for a particular transaction, the store, order, invoice, customer and address data required for that purpose may be processed.

processing is carried out for contract performance and invoicing and to comply with commercial and tax obligations, in particular on the basis of article 6(1)(b) and (c) gdpr.

we may use shopify flow to automate internal store processes. events in the store can trigger automated workflows, for example in connection with orders, inventory, tags, fulfilment or internal organisational processes.

personal data is processed only where it forms part of the relevant store transaction and is required for the configured workflow. the applicable legal basis depends on the purpose of the underlying process.

where the “retail force barcode” app installed in our store is used for product, inventory, barcode or comparable administration processes, the store and product data required for those functions may be processed. where a specific process exceptionally includes personal data, such data is processed only to the extent required for the relevant function.

our store uses cookies and comparable technologies. some are technically necessary for basic functions such as navigation, cart, checkout, security, session management, language or other settings requested by you.

where non-essential cookies or comparable technologies are used for analytics, marketing, personalisation or other purposes requiring consent, they are used only on the basis of your consent where required by law. consent may be withdrawn or changed with effect for the future through the privacy or cookie settings provided in the store.

the specific cookies and comparable technologies used may change with the technical configuration of the store. the store functions, apps, integrations and consent settings actually enabled at the relevant time are decisive.

technical store functions for measuring and evaluating events may be available. additional analytics, advertising or marketing services and external pixels are processed only if they are actually configured or activated.

if analytics, social-media, advertising or comparable tracking services are activated in the future, this privacy policy will be updated to reflect the actual configuration. where consent is required, the relevant technologies will be used only after the required consent has been obtained.

personal data may, only to the extent necessary, be transferred in particular to the following categories of recipients:

personal data is not disclosed merely because a service or payment or shipping option is technically available. the decisive factor is whether the relevant provider is actually used for the particular transaction.

some service providers used by us or by shopify may process data in countries outside the european union or european economic area. in such cases, transfers take place only subject to the applicable data protection requirements.

these safeguards may include an adequacy decision of the european commission, appropriate safeguards such as standard contractual clauses or, where the statutory requirements are met, other transfer mechanisms permitted under the gdpr.

we generally retain personal data only for as long as required for the relevant processing purpose. afterwards, the data is deleted or anonymised unless statutory retention obligations, legitimate retention interests or other legal grounds require further storage.

order, invoice, accounting and business records may in particular be subject to commercial and tax retention periods. communication and support data is generally deleted when the matter has been completed and no further retention is required.

depending on the processing activity, we rely in particular on:

where processing is based on consent, you may generally withdraw that consent at any time with effect for the future. withdrawal does not affect the lawfulness of processing carried out before the withdrawal.

subject to the statutory requirements, you have in particular the right to:

where processing is based on article 6(1)(f) gdpr, you may object on grounds relating to your particular situation. where personal data is processed for direct marketing, you have the right to object to that processing at any time to the extent provided by law.

to exercise your rights, contact us at shop@arbore-studios.de.

you also have the right to lodge a complaint with a competent data protection supervisory authority, in particular in the member state of your habitual residence, place of work or place of the alleged infringement.

for a private-sector controller established in bavaria, the bavarian state office for data protection supervision may in particular be the competent supervisory authority. your statutory right to approach another competent supervisory authority remains unaffected.

we use appropriate technical and organisational measures designed to protect personal data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access. however, no method of transmission or storage can guarantee absolute security.

our store is not specifically directed at children. where consent is required for a particular processing activity, the applicable statutory age and consent requirements apply.

we may update this privacy policy where our store, the services used, processing activities or applicable legal requirements change. the current version will be published on this page. where required by law, we will provide additional notice of material changes.