Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Für Fragen zum Datenschutz erreichen Sie uns unter [datenschutz@bloomda.de].

[Datenschutzbeauftragter: Falls ein Datenschutzbeauftragter benannt werden muss oder freiwillig benannt wird, hier Name und Kontaktdaten eintragen; andernfalls diesen Satz streichen.]

2. Überblick: Verarbeitungen, Rechtsgrundlagen, Speicherdauer

Die folgende Übersicht fasst zusammen, welche Daten wir zu welchem Zweck verarbeiten. Details finden Sie in den nachfolgenden Abschnitten.

3. Hosting und Server-Logfiles

Unsere Website (Storefront) wird bei [Hosting-Anbieter Storefront] ([Serverstandort]) gehostet. Unser Shop-Backend (Bestell- und Kundendaten) läuft auf einem virtuellen Server (VPS) von [Hostinger International Ltd.] ([Serverstandort, z. B. EU – bitte prüfen]). Die Anbieter verarbeiten Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf unserer Website werden automatisch Informationen in Server-Logfiles gespeichert, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte Seite/Datei, Referrer-URL, Browsertyp und -version, Betriebssystem. Dies ist zur Auslieferung und Sicherheit der Website erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb). Die Logfiles werden nach [7 Tagen] gelöscht oder anonymisiert, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

Schriftarten laden wir von unserem eigenen Server; es findet keine Verbindung zu Google Fonts statt.

4. Kundenkonto

Sie können ein Kundenkonto anlegen, müssen es aber nicht – Bestellungen sind auch als Gast möglich. Für das Konto verarbeiten wir E-Mail-Adresse, Passwort (nur als gesicherter Hash), Name, Liefer- und Rechnungsadressen sowie Ihre Bestellhistorie, um das Konto bereitzustellen und Bestellungen komfortabel abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können das Konto jederzeit löschen lassen; gesetzliche Aufbewahrungspflichten für Bestell- und Rechnungsdaten bleiben unberührt.

5. Bestellung und Vertragsabwicklung

Bei einer Bestellung verarbeiten wir die zur Vertragsabwicklung erforderlichen Daten: Name, Liefer- und Rechnungsadresse, E-Mail-Adresse, optional Telefonnummer (für Rückfragen zur Lieferung), bestellte Artikel, Versandart, Zahlungsart, Beträge und Bestellzeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben können wir den Vertrag nicht abschließen.

Transaktions-E-Mails (Bestellbestätigung, Versandbestätigung, Rechnung, Widerrufsbestätigung, Passwort-Zurücksetzen) sind Teil der Vertragsabwicklung und keine Werbung.

6. Zahlungsabwicklung

Die Zahlungen wickeln wir über Stripe ab, genauer über Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) und deren verbundene Unternehmen (Stripe). Wir binden das Stripe-Zahlungsformular (Payment Element) in den Bestellvorgang ein. Ihre Zahlungsdaten (z. B. Kartennummer, IBAN) werden direkt an Stripe übermittelt und gelangen nicht auf unsere Server; wir erhalten nur den Zahlungsstatus, Zahlungsart, die letzten Ziffern bzw. ein Zahlungs-Token und Betrugsrisiko-Hinweise.

Stripe handelt für die Zahlungsabwicklung als unser Auftragsverarbeiter (Art. 28 DSGVO). Darüber hinaus verarbeitet Stripe Daten als eigener Verantwortlicher, etwa zur Betrugsprävention, zur Erfüllung gesetzlicher Pflichten (z. B. Geldwäsche) und zur Verbesserung seiner Dienste. Hierzu informiert Stripe in seiner Datenschutzerklärung (stripe.com/de/privacy). Rechtsgrundlage für unsere Nutzung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention und sichere Zahlungsabwicklung).

Stripe setzt im Zahlungsformular Technologien (z. B. die Cookies bzw. Kennungen __stripe_mid und __stripe_sid) ein, um Betrug zu erkennen und die Zahlung sicher abzuwickeln. Diese sind für die von Ihnen ausdrücklich gewünschte Zahlung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); siehe Cookie-Richtlinie.

Zahlungsarten im Einzelnen

• Karten, Apple Pay, Google Pay: Bei Apple Pay und Google Pay übermitteln Apple bzw. Google ein Zahlungs-Token Ihrer Karte an Stripe; wir und Stripe erhalten Ihre vollständigen Kartendaten nicht. Für die Nutzung der Wallets sind Apple bzw. Google eigenständig verantwortlich.
• SEPA-Lastschrift: Wir verarbeiten über Stripe Ihre IBAN, Ihren Namen und das SEPA-Mandat zum Einzug des Betrags.
• PayPal: Sie werden zu PayPal weitergeleitet. PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) verarbeitet Ihre Daten als eigener Verantwortlicher; wir erhalten von PayPal/Stripe die Zahlungsbestätigung sowie Name und E-Mail-Adresse.
• Klarna: Wenn Sie Klarna wählen (z. B. Rechnung, Ratenkauf, Sofort bezahlen), übermitteln wir (über Stripe) die für die Zahlungsabwicklung erforderlichen Daten (u. a. Name, Anschrift, E-Mail, Telefonnummer, Warenkorbinhalt, Betrag) an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, die dabei als eigener Verantwortlicher handelt. Klarna führt ggf. eine Identitäts- und Bonitätsprüfung durch, auch auf Grundlage von Wahrscheinlichkeitswerten und unter Einbeziehung von Auskunfteien. Weitere Informationen entnehmen Sie der Datenschutzerklärung von Klarna, die Ihnen im Bestellvorgang angezeigt wird.

7. Versand

Zur Lieferung geben wir Ihren Namen und Ihre Lieferanschrift an das Versandunternehmen DHL (Deutsche Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn) weiter (Art. 6 Abs. 1 lit. b DSGVO). Ihre E-Mail-Adresse oder Telefonnummer geben wir nur weiter, wenn Sie [zugestimmt haben] (z. B. für die Paketankündigung durch DHL; Art. 6 Abs. 1 lit. a DSGVO). Bei Lieferungen nach Österreich erfolgt die Zustellung ggf. durch einen Partner von DHL.

8. E-Mail-Versand

Für den Versand von E-Mails (Transaktions-E-Mails und – mit Ihrer Einwilligung – Newsletter) nutzen wir den Dienst Resend (Resend, Inc., USA). Dabei werden Ihre E-Mail-Adresse, der Inhalt der E-Mail sowie technische Versanddaten (z. B. Zustellstatus) an Resend übermittelt und dort verarbeitet. Resend ist unser Auftragsverarbeiter (Art. 28 DSGVO); ein Auftragsverarbeitungsvertrag besteht.

Da Resend Daten in den USA speichert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission für das EU-U.S. Data Privacy Framework (Resend ist dort zertifiziert) sowie ergänzend auf Standardvertragsklauseln (Art. 45, 46 DSGVO).

9. Newsletter

Wenn Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse, die gewählte Sprache und die Quelle der Anmeldung. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach der Eintragung senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst mit der Bestätigung wird Ihre Adresse in den Verteiler aufgenommen.

Zum Nachweis Ihrer Einwilligung protokollieren wir Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, die gespeicherte Einwilligungserklärung sowie [die IP-Adresse bei Anmeldung und Bestätigung]. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); die Protokollierung beruht auf Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweispflicht). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail oder per E-Mail an uns. Nach Abmeldung speichern wir Ihre Adresse nur noch zum Nachweis (und um sie von künftigen Sendungen auszuschließen) für [3 Jahre].

10. Warenkorb-Erinnerung (nur mit gesonderter Einwilligung)

Wir senden Ihnen E-Mails zur Erinnerung an einen nicht abgeschlossenen Warenkorb ausschließlich dann, wenn Sie dem im Bestellvorgang ausdrücklich und gesondert zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 3 UWG). Dafür verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihres Warenkorbs. Sie können Ihre Einwilligung jederzeit widerrufen; ohne Einwilligung findet keine Erinnerung statt.

11. Einwilligungsverwaltung (Cookie-Banner)

Wir speichern Ihre Entscheidung zu optionalen Cookies und ähnlichen Technologien in Ihrem Browser (lokaler Speicher, Schlüssel bloomda_consent): Einwilligungsstatus je Kategorie, Version der Richtlinie, Zeitpunkt und Ablaufdatum. Es wird keine Kennung zur Wiedererkennung erzeugt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. c, f DSGVO (Nachweis der Einwilligung). Die Entscheidung gilt [12 Monate]. Sie können sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen.

12. Statistik und Marketing nur mit Einwilligung

Optionale Dienste laden wir erst, nachdem Sie in die jeweilige Kategorie eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung werden keine Skripte dieser Anbieter geladen und keine Daten an sie übermittelt. Wir nutzen Google Consent Mode v2 im Basis-Modus: Bis zu Ihrer Einwilligung sind alle Einwilligungsparameter („Analytics-Speicher“, „Werbespeicher“, „Nutzerdaten für Werbung“, „Anzeigenpersonalisierung“) auf „abgelehnt“ gesetzt und es werden keine Google-Tags geladen.

• Google Analytics 4 (Statistik; Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, USA): Messung von Seitenaufrufen und Käufen anhand von Online-Kennungen (Cookies _ga, _ga_*). Wir nutzen ausschließlich Ereignisse, die wir selbst auslösen (Produktansicht, Warenkorb, Bestellvorgang, Kauf) und übertragen keine Kontakt-, Adress- oder Zahlungsdaten.
• Google Ads (Conversion-Messung/Werbung; Google Ireland Limited und Google LLC): Zuordnung von Anzeigenklicks zu Käufen (Cookies _gcl_*).
• Meta-Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, und Meta Platforms, Inc., USA): Messung von Conversions und Aufbau von Zielgruppen (Cookies _fbp, _fbc). Für die Erhebung der Daten über das Pixel und deren Übermittlung an Meta sind wir und Meta nach der Rechtsprechung des EuGH (Rs. C-40/17) gemeinsam verantwortlich; für die weitere Verarbeitung durch Meta ist Meta allein verantwortlich.

Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework (Google LLC und Meta Platforms, Inc. sind zertifiziert) und ergänzend auf Standardvertragsklauseln. Die Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen; der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Welche Cookies mit welcher Laufzeit gesetzt werden, steht in der Cookie-Richtlinie.

13. Bearbeitung von Widerrufen

Wenn Sie Ihren Vertrag über die Funktion „Vertrag widerrufen“ widerrufen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse (für die Eingangsbestätigung), die Bestellnummer, ggf. die ausgewählten Artikel und eine optionale Nachricht sowie Datum und Uhrzeit des Eingangs. Wir senden Ihnen unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger (E-Mail). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags/Widerrufs) und Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB (gesetzliche Pflicht). Wir speichern die Daten zum Nachweis und zur Abwehr von Ansprüchen [bis zum Ende des dritten Jahres nach dem Jahr des Widerrufs] (Art. 6 Abs. 1 lit. f DSGVO); steuerlich relevante Belege werden länger aufbewahrt (Abschnitt 17).

14. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben und den Inhalt Ihrer Anfrage zur Bearbeitung (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Wir löschen die Daten, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen, in der Regel nach [zwei Jahren].

15. Datensicherheit

Die Übertragung der Daten zwischen Ihrem Browser und unseren Servern erfolgt verschlüsselt (TLS/HTTPS). Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, z. B. Zugriffsbeschränkungen und regelmäßige Sicherungen.

16. Empfänger und Drittlandübermittlungen

Empfänger Ihrer Daten sind – soweit oben beschrieben – Hosting-Anbieter, Stripe, Klarna, PayPal, das Versandunternehmen, Resend sowie (nur mit Einwilligung) Google und Meta. Daneben setzen wir ggf. Dienstleister für Buchhaltung/Steuerberatung und IT-Support ein, die an Weisungen gebunden sind. Eine Übermittlung in Länder außerhalb der EU/des EWR (insbesondere USA) erfolgt auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework) oder von Standardvertragsklauseln nach Art. 46 DSGVO. Eine Kopie der Garantien erhalten Sie auf Anfrage.

17. Aufbewahrung aus gesetzlichen Gründen

Wir sind aufgrund handels- und steuerrechtlicher Vorschriften verpflichtet, bestimmte Unterlagen aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO):

• Buchungsbelege und Rechnungen: 8 Jahre (§ 147 Abs. 3 Satz 1 Nr. 4 AO, § 257 Abs. 4 HGB, § 14b UStG; seit dem Vierten Bürokratieentlastungsgesetz verkürzt von 10 auf 8 Jahre),
• Handelsbücher, Inventare, Jahresabschlüsse: 10 Jahre,
• empfangene und abgesandte Handels- und Geschäftsbriefe: 6 Jahre.

Die Frist beginnt mit dem Ende des Kalenderjahres, in dem der Beleg entstanden ist. Während dieser Zeit sind die Daten für andere Zwecke eingeschränkt. Unabhängig davon können Daten länger gespeichert bleiben, solange sie für noch nicht verjährte Ansprüche oder Steuerfestsetzungen von Bedeutung sind.

18. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine E-Mail an [datenschutz@bloomda.de].

19. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: [zuständige Datenschutz-Aufsichtsbehörde, z. B. Landesbeauftragte/r für den Datenschutz des Bundeslandes des Unternehmenssitzes]. Sie können sich auch an die Aufsichtsbehörde an Ihrem Wohnort wenden.

20. Erforderlichkeit der Angaben

Die Bereitstellung der Daten für Bestellung, Zahlung und Lieferung ist für den Vertragsabschluss erforderlich; ohne sie können wir die Bestellung nicht ausführen. Die Angaben für Newsletter und Marketing-Dienste sind freiwillig.

21. Automatisierte Entscheidungsfindung

Wir selbst treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO), und betreiben kein Profiling zu Werbezwecken ohne Ihre Einwilligung.

Beachten Sie jedoch: Unser Zahlungsdienstleister Stripe kann Zahlungen im Rahmen der Betrugsprävention (z. B. Stripe Radar) anhand von Risikobewertungen automatisiert ablehnen oder zur Prüfung zurückhalten, und Klarna entscheidet automatisiert über die Zulassung seiner Zahlungsarten. In diesen Fällen können Sie die Entscheidung von einer Person überprüfen lassen, Ihren Standpunkt darlegen und die Entscheidung anfechten; wenden Sie sich dafür an uns oder – für Klarna – an Klarna.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils aktuelle Fassung. Stand: 2026-11-03.