1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf den Websites und Shops von Storewy ist:
Mietzu
Wichertstr. 73
10439 Berlin
Deutschland
E-Mail: contact@storewy.com
Storewy betreibt die Plattform storewy.com sowie markenspezifische Shops unter Subdomains (z. B. ihre-marke.storewy.com).
2. Überblick
Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb unserer Websites, die Abwicklung von Bestellungen, den Support oder — mit Ihrer Einwilligung — für Conversion-Analysen erforderlich ist.
Kurzüberblick der Rechtsgrundlagen (Art. 6 DSGVO):
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Bestellung, Versand, Support | Art. 6 Abs. 1 lit. b (Vertrag) / lit. c (Rechtspflichten) |
| Server-Logfiles, Missbrauchsschutz | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) |
| Technisch notwendige Speicher (Warenkorb, Sprache, Einwilligungsstatus) | § 25 Abs. 2 TDDDG (unbedingt erforderlich); Verarbeitung Art. 6 Abs. 1 lit. f |
| Conversion-Analysen (PostHog) nach Opt-in | Art. 6 Abs. 1 lit. a (Einwilligung) / § 25 Abs. 1 TDDDG |
| Anonyme, serverseitige Reichweitenmessung ohne Cookies | Art. 6 Abs. 1 lit. f (berechtigtes Interesse), Widerspruch Art. 21 |
| Aggregierte, gerätefreie Landing-Messung (derzeit deaktiviert) | Art. 6 Abs. 1 lit. f (berechtigtes Interesse), Widerspruch Art. 21 |
Details zu Cookies und Local Storage finden Sie in unserer Cookie-Richtlinie.
3. Hosting und Server-Logfiles
Unsere Anwendung wird auf Google Cloud Run (Google Cloud Platform, Region nach Deployment-Konfiguration, i. d. R. EU) gehostet. Beim Aufruf unserer Seiten werden technisch erforderliche Logdaten verarbeitet (z. B. gekürzte IP-Adresse, Zeitstempel, angeforderte URL, User-Agent, Statuscode).
Zweck: Betrieb, Stabilität, Fehleranalyse, Missbrauchsschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: gemäß GCP-Log-Rotation, in der Regel wenige Wochen.
4. Bestellung und Zahlung
Bei einer Bestellung verarbeiten wir insbesondere Name, Liefer- und Rechnungsadresse, E-Mail, Bestellinhalt, Zahlungsstatus und Bestellnummer.
Empfänger / Auftragsverarbeiter:
| Dienst | Anbieter | Zweck | Standort |
|---|---|---|---|
| Supabase | Supabase, Inc. | Bestell-, Produkt- und Support-Datenbank | EU (Projekt-Region) |
| Stripe | Stripe Payments Europe Ltd., Dublin | Zahlungsabwicklung (Stripe Checkout) | EU / ggf. Drittland je nach Stripe-Route |
| Resend | Resend, Inc. | Transaktions-E-Mails (Bestellbestätigung) | USA (Standard Contractual Clauses) |
| AliExpress Open Platform | Alibaba / AliExpress | Bestellübermittlung an Lieferanten (Dropshipping) | Drittland (China) — siehe Abschnitt 8 |
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); steuer- und handelsrechtliche Aufbewahrung Art. 6 Abs. 1 lit. c.
Stripe-Cookies: Im Stripe-Checkout können Cookies des Zahlungsdienstleisters gesetzt werden. Details in der Cookie-Richtlinie.
5. Support-Chat (KI)
Auf den Marken-Shops bieten wir einen Support-Chat. Nachrichten werden zur Beantwortung an einen KI-Dienst (Google Gemini / Google Generative AI API) übermittelt.
Verarbeitete Daten: Chat-Inhalt, ggf. von Ihnen angegebene E-Mail, Thread-Kennung, Seiten-URL.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertragsanbahnung/-erfüllung) bzw. lit. f (Kundenkommunikation).
Speicherung: Support-Threads in Supabase.
Hinweis: Sie sprechen mit einem KI-Assistenten (siehe Hinweis im Chat).
6. Conversion-Analysen (PostHog) — nur nach Einwilligung
Sofern Sie im Cookie-Banner „Analyse akzeptieren“ wählen, nutzen wir PostHog (PostHog Inc. / PostHog Cloud EU, eu.i.posthog.com) für Conversion-Analysen.
Verarbeitete Daten (Auszug): pseudonyme Kennung (storewy.ph_anon_id), Seitenaufrufe, Klick-/Interaktionssignale (Autocapture mit Textmaskierung), Checkout-Ereignisse, ggf. E-Mail nach Kauf (Personenzusammenführung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).
Session Recording: aktiv nach Einwilligung — Sitzungsaufzeichnungen mit Textmaskierung (Eingaben und Texte werden maskiert).
AVV/DPA: mit PostHog als Auftragsverarbeiter (Art. 28 DSGVO) — Vertrag über posthog.com/dpa.
Widerruf: jederzeit über Cookie-Einstellungen im Footer (gleich einfach wie die Erteilung).
Speicherdauer: gemäß PostHog-Projektkonfiguration (EU).
Nach einem Kauf kann die zuvor pseudonyme Analyse-Kette mit Ihrer E-Mail-Adresse in PostHog zusammengeführt werden, um Conversion und Bestellwert auszuwerten. Es werden keine pre-consent-ephemeren IDs zurückverknüpft.
7. Anonyme, serverseitige Reichweitenmessung ohne Cookies
Für Besucher, die die Analyse nicht akzeptiert haben oder den Banner ignorieren, erfassen wir anonyme Besuchszahlen vollständig serverseitig auf unserer eigenen Infrastruktur (Google Cloud Run, EU). Auf Ihrem Gerät wird dafür nichts gespeichert und nichts ausgelesen — es werden ausschließlich die Daten verwendet, die Ihr Browser mit jeder Anfrage ohnehin technisch übermittelt (IP-Adresse, User-Agent).
Technik: Unser Server berechnet aus IP-Adresse und User-Agent mit einem täglich wechselnden Schlüssel einen kryptografischen Hash und verwirft die Roh-IP unmittelbar; sie wird weder gespeichert noch an Dritte übermittelt. Der Hash erlaubt nur die Zählung eindeutiger Besuche innerhalb eines Tages — eine Wiedererkennung über Tage hinweg oder eine Rekonstruktion von Personen ist ausgeschlossen. Der User-Agent wird zusätzlich in eine nicht-personenbezogene Bot-Kennzeichnung (ja/nein) übersetzt und ebenfalls verworfen. An unseren Analysedienst PostHog (EU) werden nur der Hash, die aufgerufene Seitenart und der Shop übermittelt — kein Personenprofil, keine IP, kein User-Agent.
Ihre Entscheidung im Cookie-Banner (Annahme oder Ablehnung) wird zusätzlich serverseitig als aggregiertes Ereignis gezählt (ohne weitere personenbezogene Angaben) und als Nachweis Ihrer Wahl protokolliert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (aggregierte Reichweitenmessung). § 25 TDDDG ist nicht berührt, da weder Informationen auf Ihrem Endgerät gespeichert noch von dort ausgelesen werden.
Widerspruch: Art. 21 DSGVO per E-Mail an contact@storewy.com.
8. Aggregierte Landing-Messung (derzeit aus)
Technisch vorgesehen, aber derzeit deaktiviert (POSTHOG_PRECONSENT_LANDING_ENABLED=0): eine serverseitige, gerätefreie Zählung von Landing-Page-Aufrufen ohne Personenprofil und ohne Speicherung Ihrer IP in PostHog.
Rechtsgrundlage (falls aktiviert): Art. 6 Abs. 1 lit. f DSGVO (Conversion-Messung auf Shop-Ebene).
Widerspruch: Art. 21 DSGVO per E-Mail an contact@storewy.com.
9. Drittlandübermittlungen
Soweit Dienstleister außerhalb des EWR eingesetzt werden (z. B. Resend, Google, AliExpress), erfolgt die Übermittlung auf Grundlage geeigneter Garantien (insb. EU-Standardvertragsklauseln, Art. 46 DSGVO) und — soweit erforderlich — ergänzender Risikobewertung (TIA).
10. Speicherdauer
- Bestell- und Rechnungsdaten: handels- und steuerrechtliche Fristen (in der Regel bis zu 10 Jahre).
- Support-Threads: bis zur Erledigung, danach Löschung oder Anonymisierung, sofern keine Aufbewahrungspflicht besteht.
- PostHog-Analysedaten: gemäß PostHog-Retention; Löschung auf Anfrage (siehe Formular unten).
- Einwilligungsnachweise: protokolliert (Zeitstempel, Banner-Version, Wahl) — Aufbewahrung zur Nachweispflicht nach Art. 7 Abs. 1 DSGVO, derzeit ca. 3 Jahre.
11. Ihre Rechte
Sie haben gegenüber dem Verantwortlichen u. a. folgende Rechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — über Cookie-Einstellungen oder E-Mail
Beschwerderecht bei einer Aufsichtsbehörde, z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit.
12. Analytics-Löschung und Einwilligungsverwaltung
- Einwilligung widerrufen / ändern: Link Cookie-Einstellungen in der Fußzeile jeder Seite.
- PostHog-Daten löschen: Formular am Ende dieser Seite oder E-Mail an contact@storewy.com mit der im Checkout verwendeten E-Mail-Adresse.
Bestelldaten, die wir aus steuerlichen Gründen aufbewahren müssen, werden durch die Analytics-Löschung nicht berührt.
Analytics-Daten löschen (Art. 17 DSGVO)
Wenn Sie zuvor „Analyse akzeptieren“ gewählt haben, können Sie die Löschung Ihrer PostHog-Analysedaten (Person und zugehörige Events) beantragen. Bestelldaten für steuerliche Zwecke bleiben hiervon unberührt.