Datenschutz

Datenschutzerklärung für www.cosmeticexpress.com

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), des österreichischen Datenschutzgesetzes (DSG) und des Telekommunikationsgesetzes 2021 (TKG 2021); für Nutzer aus Deutschland gilt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Im Folgenden informieren wir Sie, welche Daten wir beim Besuch unseres Onlineshops und bei einer Bestellung verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen wir sie weitergeben und welche Rechte Sie haben.

Diese Erklärung gilt nicht für Websites anderer Anbieter, auf die wir verlinken.

I. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung ist:

CosmeticExpress GmbH
Wiedner Hauptstraße 40, 1040 Wien, Österreich
FN 387550 b, UID ATU67527349
E-Mail: dsgvo@cosmeticexpress.com
Telefon: +43 2236 394380-45

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dsgvo@cosmeticexpress.com oder per Post an die oben genannte Anschrift.

II. Aufruf der Website und Hosting

Unser Onlineshop wird von der IWAVES Medientechnik e.U., Wien, Österreich, betrieben und technisch betreut. Die Server stehen im Rechenzentrum der Hetzner Online GmbH in Deutschland, also innerhalb der EU. Beide sind für uns als Auftragsverarbeiter tätig. Zur Überwachung der Server und zur Fehlerbehebung setzt IWAVES zusätzlich Monitoring-Dienste ein (Bugsnag und Slack); dabei können in Fehlermeldungen auch technische Zugriffsdaten an Anbieter in den USA übermittelt werden (siehe Abschnitt XVIII).

Bei jedem Aufruf unserer Website werden automatisch folgende Zugriffsdaten in Server-Logfiles gespeichert:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei und die Seite, von der aus Sie zu uns gekommen sind (Referrer)
• übertragene Datenmenge und Zugriffsstatus (z. B. Datei übertragen, Datei nicht gefunden)
• verwendeter Browser und Betriebssystem

Diese Daten benötigen wir, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch oder Angriffe zu erkennen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Onlineshop (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden. Eine Zusammenführung mit anderen Daten findet nicht statt.

III. Kundenkonto und Bestellung

Für eine Bestellung benötigen wir folgende Angaben:

• Vor- und Nachname, gegebenenfalls Firmenname und UID-Nummer
• Rechnungs- und Lieferadresse
• E-Mail-Adresse
• Telefonnummer (freiwillig)
• Geburtsdatum (freiwillig, siehe Abschnitt VII)
• Bestelldaten (Artikel, Preise, gewählte Zahlungs- und Versandart)

Wir verwenden diese Daten, um Ihre Bestellung anzunehmen, abzuwickeln und zu liefern, Ihnen Bestell- und Versandbestätigungen zu senden, Zahlungen abzuwickeln sowie Widerrufe, Rücksendungen und Gewährleistungsfälle zu bearbeiten. Rechtsgrundlage ist die Erfüllung des Vertrages bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Angaben können wir keinen Vertrag mit Ihnen abschließen.

Sie können ohne Kundenkonto als Gast bestellen oder ein Kundenkonto anlegen. Im Kundenkonto speichern wir Ihre Angaben und Bestellungen, damit Sie diese bei künftigen Bestellungen nicht erneut eingeben müssen und Ihre Bestellhistorie einsehen können. Sie können Ihr Kundenkonto jederzeit löschen lassen; eine Nachricht an dsgvo@cosmeticexpress.com genügt.

Rechnungen und alle für die Buchhaltung relevanten Bestelldaten bewahren wir aufgrund der gesetzlichen Aufbewahrungspflichten (§ 132 Bundesabgabenordnung, § 212 Unternehmensgesetzbuch) sieben Jahre ab Ende des Kalenderjahres auf, bei laufenden Verfahren auch länger (Art. 6 Abs. 1 lit. c DSGVO).

IV. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder über das Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Bestellnummer und Ihre Nachricht), um Ihre Anfrage zu beantworten. Betrifft die Anfrage eine Bestellung oder einen Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Anfragen, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Gleiches gilt für Widerrufserklärungen, die Sie uns über das Widerrufsformular auf unserer Website, per E-Mail oder per Post senden; diese bewahren wir zum Nachweis auf (Art. 6 Abs. 1 lit. c und f DSGVO).

V. Zahlungsabwicklung

Für die Abwicklung Ihrer Zahlung geben wir die dafür erforderlichen Daten (insbesondere Name, Anschrift, E-Mail-Adresse, Bestellnummer und Rechnungsbetrag) an den von Ihnen gewählten Zahlungsdienstleister weiter (Art. 6 Abs. 1 lit. b DSGVO): PayPal, Apple Pay, Google Pay, unseren Dienstleister für Kartenzahlungen (Kreditkarte, Maestro) bzw. Klarna. Ihre Karten- und Kontodaten geben Sie direkt beim Zahlungsdienstleister ein; wir erhalten diese nicht. Die Zahlungsdienstleister verarbeiten Ihre Daten zum Teil in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen.

Klarna: Bei „Später bezahlen“ prüft Klarna Ihre Identität und Kreditwürdigkeit und entscheidet, ob Ihnen diese Zahlungsart angeboten wird. Informationen dazu und zu Ihren Rechten finden Sie in der Datenschutzerklärung von Klarna, die Ihnen im Bestellprozess angezeigt wird. Sie können jederzeit eine andere Zahlungsart wählen.

Betrugsvorbeugung: Damit PayPal und Klarna im Bestellprozess angezeigt werden können und Zahlungen vor Missbrauch geschützt sind, werden deren Skripte und Cookies als technisch notwendig eingesetzt. Dabei kommt auch ein Dienst zur Geräteerkennung (Online Metrix) zum Einsatz, der anhand technischer Merkmale Ihres Geräts Betrugsversuche erkennen soll. Rechtsgrundlage ist die Vertragserfüllung und unser berechtigtes Interesse an der Vermeidung von Zahlungsausfällen und Betrug (Art. 6 Abs. 1 lit. b und f DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 2 TDDDG).

VI. Versand

Für die Lieferung geben wir Ihren Namen und Ihre Lieferadresse an das von Ihnen gewählte Versandunternehmen weiter – GLS, DPD, Österreichische Post bzw. DHL sowie deren Partnerunternehmen im Zielland (Art. 6 Abs. 1 lit. b DSGVO).

Die Versandetiketten erstellen wir mit der Versandsoftware Sendcloud der Sendcloud B.V., Niederlande. Sendcloud verarbeitet dafür in unserem Auftrag Ihren Namen, Ihre Lieferadresse, Ihre E-Mail-Adresse, gegebenenfalls Ihre Telefonnummer sowie die Sendungsdaten und stellt die Seite zur Sendungsverfolgung bereit, auf die der Link in unserer Versandbestätigung führt.

Damit Sie über den Zustelltermin informiert werden und die Zustellung steuern können (z. B. Umleitung, Wunschnachbar), übermitteln wir dem Versandunternehmen zusätzlich Ihre E-Mail-Adresse und, falls angegeben, Ihre Telefonnummer. Rechtsgrundlage ist unser berechtigtes Interesse und Ihr Interesse an einer reibungslosen Zustellung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Weitergabe jederzeit widersprechen, am einfachsten per E-Mail vor dem Versand an dsgvo@cosmeticexpress.com.

VII. Newsletter, Klaviyo und Postwerbung

Wenn Sie unseren Newsletter abonnieren, verwenden wir Ihre E-Mail-Adresse und, falls angegeben, Ihren Namen, um Ihnen regelmäßig Informationen zu Angeboten, Rabattgutscheinen, Geschenken zur Bestellung und Neuheiten zu senden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021 bzw. § 7 Abs. 2 UWG für Empfänger in Deutschland).

Die Anmeldung erfolgt im sogenannten Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail, in der Sie das Abonnement bestätigen. Wir speichern Zeitpunkt der Anmeldung und Bestätigung sowie die IP-Adresse, um Ihre Einwilligung nachweisen zu können.

Für den Versand nutzen wir den Dienst Klaviyo, Inc., USA, der die Daten in unserem Auftrag verarbeitet. Damit wir Ihnen Inhalte senden können, die zu Ihnen passen, übermitteln wir Klaviyo auch Ihre Bestellungen (gekaufte Artikel, Bestellwert, Bestelldatum). Wir messen außerdem, ob ein Newsletter geöffnet und welche Links angeklickt wurden. Diese Personalisierung und Auswertung ist Teil Ihrer Einwilligung zum Newsletter; sie endet mit der Abmeldung.

Klaviyo-Cookies: Wenn Sie im Cookie-Banner zusätzlich „Klaviyo Cookies“ zulassen, erfasst Klaviyo, welche Produkte Sie in unserem Shop ansehen und in den Warenkorb legen. Sind Sie für den Newsletter angemeldet, können wir Sie so per E-Mail an einen nicht abgeschlossenen Einkauf erinnern oder Ihnen passende Produkte vorschlagen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG). Zur Übermittlung in die USA siehe Abschnitt XVIII.

Sie können den Newsletter jederzeit abbestellen – über den Abmeldelink am Ende jedes Newsletters, in Ihrem Kundenkonto oder per E-Mail an info@cosmeticexpress.com. Nach der Abmeldung löschen wir Ihre Daten aus dem Newsletter-Verteiler; die Nachweise über die erteilte Einwilligung bewahren wir bis zu drei Jahre auf (Art. 6 Abs. 1 lit. c und f DSGVO).

Geburtstagsgruß und Nachkauf-Erinnerungen: Wenn Sie uns freiwillig Ihr Geburtsdatum mitteilen (z. B. im Kundenkonto oder bei der Newsletter-Anmeldung), senden wir Ihnen als Newsletter-Abonnent zu Ihrem Geburtstag einen Gruß, gegebenenfalls mit einem Angebot. Außerdem können wir Sie per Newsletter daran erinnern, wenn ein von Ihnen gekauftes Produkt voraussichtlich bald aufgebraucht ist. Rechtsgrundlage ist Ihre Einwilligung zum Newsletter (Art. 6 Abs. 1 lit. a DSGVO). Das Geburtsdatum können Sie jederzeit in Ihrem Kundenkonto oder per E-Mail an dsgvo@cosmeticexpress.com löschen lassen; mit der Abmeldung vom Newsletter endet auch diese Nutzung.

Postwerbung: Gelegentlich senden wir Kunden Informationen zu Angeboten und Neuheiten per Post an die bei einer Bestellung angegebene Anschrift. Dafür verwenden wir Ihren Namen und Ihre Anschrift. Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Nutzung jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), z. B. per E-Mail an dsgvo@cosmeticexpress.com; danach erhalten Sie keine Postwerbung mehr.

VIII. Produktbewertungen

Kunden mit Kundenkonto können Artikel in unserem Shop bewerten. Dabei speichern wir Ihre Bewertung, den Bewertungstext, das Datum und den von Ihnen angegebenen Namen; Bewertung und Name werden im Shop veröffentlicht. Bitte geben Sie keine Daten an, die nicht veröffentlicht werden sollen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können; wir entfernen Ihre Bewertung dann aus dem Shop.

IX. Gewinnspiele, Produkttests und Werbeaktionen

Die Teilnahme an Newsletter, Produktbewertungen, Gewinnspielen, Produkttests und Werbeaktionen ist freiwillig und keine Voraussetzung für eine Bestellung.

Wenn Sie an einem Gewinnspiel, einem Produkttest oder einer anderen Werbeaktion teilnehmen, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, bei Versand auch die Lieferadresse), um die Aktion durchzuführen, Gewinner bzw. Testerinnen und Tester auszuwählen und zu benachrichtigen sowie Gewinne oder Testprodukte zu versenden (Art. 6 Abs. 1 lit. b DSGVO). Bei Produkttests verwenden wir Ihr Feedback, um unser Sortiment zu verbessern; veröffentlicht wird es mit Ihrem Namen nur, wenn Sie dem ausdrücklich zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO). Nach Abschluss der Aktion werden die Daten gelöscht, sofern Sie nicht in eine weitere Verwendung, etwa den Newsletter, eingewilligt haben oder gesetzliche Aufbewahrungspflichten bestehen. Einzelheiten finden Sie in den jeweiligen Teilnahmebedingungen.

X. Cookies und Einwilligung

Unser Onlineshop verwendet Cookies und ähnliche Technologien. Das sind kleine Dateien bzw. Informationen, die auf Ihrem Endgerät gespeichert oder von dort ausgelesen werden. Manche Cookies werden beim Schließen des Browsers gelöscht (Session-Cookies), andere bleiben für eine bestimmte Zeit gespeichert, längstens zwei Jahre (dauerhafte Cookies). Eine Übersicht aller Cookies und Dienste mit ihrem Zweck finden Sie in den „Cookie-Einstellungen“ am Seitenende.

Technisch notwendige Cookies benötigen wir, damit der Shop funktioniert, etwa für den Warenkorb, die Anmeldung im Kundenkonto, die Zeitzone, die Zahlungsabwicklung und Betrugsvorbeugung (Abschnitt V), den Schutz unserer Formulare (Abschnitt XVI) und die Speicherung Ihrer Cookie-Auswahl. Diese setzen wir ohne Einwilligung ein (§ 165 Abs. 3 TKG 2021, § 25 Abs. 2 TDDDG; Art. 6 Abs. 1 lit. b und f DSGVO).

Alle anderen Cookies und Dienste – für Statistik, Marketing und Komfortfunktionen (Abschnitte VII und XI bis XV) – setzen wir nur ein, wenn Sie im Cookie-Banner eingewilligt haben (§ 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, indem Sie die „Cookie-Einstellungen“ am Seitenende aufrufen. Der Widerruf ist formlos und ohne Angabe von Gründen möglich; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Zusätzlich können Sie Cookies in den Einstellungen Ihres Browsers löschen oder blockieren; einzelne Funktionen des Shops stehen dann möglicherweise nicht zur Verfügung.

XI. Statistik

Google Analytics 4 und Google Tag Manager: Mit Ihrer Einwilligung nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Irland („Google“). Google Analytics erfasst mithilfe von Cookies, wie Sie unseren Shop nutzen (z. B. aufgerufene Seiten, Verweildauer, Herkunft, Bestellungen, verwendetes Gerät und Standort bis auf Ebene der Stadt), und erstellt daraus für uns Auswertungen. So können wir unseren Shop verbessern. IP-Adressen werden in Google Analytics 4 nicht gespeichert. Zusätzlich haben wir folgende Funktionen aktiviert:

• Google Signals: Sind Sie bei Google angemeldet und haben Sie in Ihrem Google-Konto personalisierte Werbung zugelassen, verknüpft Google die Nutzungsdaten mit Ihrem Google-Konto. So erhalten wir geräteübergreifende Auswertungen, und Google kann Ihnen auch auf anderen Geräten passende Werbung zeigen. Wir selbst erhalten dabei nur zusammengefasste Statistiken, keine Daten aus Ihrem Google-Konto.
• Von Nutzern bereitgestellte Daten: Geben Sie bei uns Daten ein, etwa bei einer Bestellung oder Registrierung, übermitteln wir Ihre E-Mail-Adresse und gegebenenfalls Telefonnummer, Name und Anschrift in verschlüsselter (gehashter) Form an Google, damit Google die Nutzung genauer zuordnen kann.
• Personalisierte Werbung: Die Analytics-Daten können für Werbung in Google Ads genutzt werden, etwa um Besuchern unseres Shops passende Anzeigen zu zeigen.

Die Daten werden nach 14 Monaten gelöscht. Eingebunden werden Google Analytics und Google Ads über den Google Tag Manager, der selbst keine Nutzungsprofile erstellt. Der Google Tag Manager wird erst geladen, nachdem Sie im Cookie-Banner eingewilligt haben (Google Consent Mode). Dabei können Daten an Google LLC in die USA übermittelt werden (siehe Abschnitt XVIII).

Shopware Analytics: Mit Ihrer Einwilligung nutzen wir Shopware Analytics der shopware AG, Deutschland. Der Dienst wertet aus, wie unser Shop genutzt wird (z. B. aufgerufene Seiten, Produkte, Warenkorb und Bestellungen), damit wir Sortiment und Shop verbessern können.

Rechtsgrundlage ist jeweils Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG), die Sie über die „Cookie-Einstellungen“ jederzeit widerrufen können.

XII. Werbung und Anzeigenmessung

Mit Ihrer Einwilligung setzen wir Dienste ein, mit denen wir messen, ob jemand über eine unserer Anzeigen in unseren Shop gekommen ist und eingekauft hat, und mit denen wir Besuchern unseres Shops auf anderen Websites und in sozialen Netzwerken passende Anzeigen zeigen können (Remarketing). Dabei werden Informationen über Ihren Besuch (z. B. aufgerufene Seiten, in den Warenkorb gelegte Artikel, Bestellungen) und Gerätedaten an den jeweiligen Anbieter übermittelt. Sind Sie dort mit einem Konto angemeldet, kann der Anbieter diese Informationen Ihrem Konto zuordnen. Die Anbieter verarbeiten die Daten teilweise in eigener Verantwortung.

Erweiterte Conversions und Conversions API: Damit wir Bestellungen unseren Anzeigen zuordnen können – auch wenn Sie eine Anzeige auf einem anderen Gerät gesehen haben –, nutzen wir bei Google Ads die „erweiterten Conversions“ und bei Meta die „Conversions API“ mit „erweitertem Datenabgleich“. Dabei übermitteln wir Ihre E-Mail-Adresse und gegebenenfalls Telefonnummer, Name und Anschrift in verschlüsselter (gehashter) Form sowie Angaben zu Ihrem Besuch und Ihrer Bestellung an Google bzw. Meta, die diese Werte mit den Daten ihrer Nutzer abgleichen. Bei der Conversions API sendet zusätzlich unser Server die Ereignisse direkt an Meta, damit sie auch bei blockierten Browser-Skripten ankommen; doppelt übermittelte Ereignisse werden über eine Ereignis-Kennung zusammengeführt. Auch diese Übermittlungen erfolgen nur, wenn Sie in Marketing-Cookies eingewilligt haben.

Für die Erhebung und Übermittlung der Daten über das Meta-Pixel, die Meta Conversions API und das TikTok-Pixel sind wir gemeinsam mit Meta bzw. TikTok verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist der jeweilige Anbieter allein verantwortlich. Die Vereinbarungen dazu finden Sie bei Meta und bei TikTok. Rechtsgrundlage für alle genannten Dienste ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG), die Sie über die „Cookie-Einstellungen“ jederzeit widerrufen können. Zur Übermittlung in Länder außerhalb der EU siehe Abschnitt XVIII.

XIII. Preisvergleichsportale

Unsere Produkte sind auf Preisvergleichsportalen gelistet: Kelkoo, Geizhals sowie billiger.de der solute GmbH, Deutschland. Kommen Sie über ein solches Portal zu uns, speichert ein Cookie mit Ihrer Einwilligung, über welches Portal Sie gekommen sind (bei billiger.de bis zu 30 Tage). Bestellen Sie anschließend bei uns, übermitteln wir dem jeweiligen Portal zur Abrechnung und Erfolgsmessung die Bestellnummer, den Bestellwert bzw. die Artikelpreise und die Klick- bzw. Zuordnungskennung des Portals; Geizhals und Kelkoo erhalten außerdem Angaben zu den bestellten Artikeln (z. B. Artikelnummer, Produktname, Menge und Preis). Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer und Ihre Rechnungs- oder Lieferanschrift übermitteln wir nicht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG), die Sie über die „Cookie-Einstellungen“ jederzeit widerrufen können.

XIV. Partnerprogramme (Affiliate-Marketing)

Wir arbeiten mit Partner-Websites zusammen, die auf unsere Produkte verweisen und bei einer daraus entstandenen Bestellung eine Provision erhalten. Dafür nutzen wir mit Ihrer Einwilligung das Partnernetzwerk der Awin AG, Deutschland. Ein Cookie speichert, über welchen Partner Sie zu uns gekommen sind; bei einer Bestellung werden Bestellnummer, Bestellwert, Zeitpunkt und die Partner-Kennung übermittelt, damit die Provision abgerechnet werden kann.

Über das Awin-Netzwerk sind außerdem Partner eingebunden, die Besucher unseres Shops später erneut ansprechen oder Inhalte für sie personalisieren (Retargeting): Nunami (früher „recova“) der Exceed Solutions GmbH, Deutschland, Usemax sowie der Performance-Marketing-Partner Mediaventive. Sie erfassen Sitzungsdaten (z. B. aufgerufene Seiten, Produkte im Warenkorb, Preise, Zeitpunkt des Besuchs und eine Sitzungskennung), um Ihnen passende Angebote zu zeigen – per E-Mail nur, wenn Sie dem jeweiligen Anbieter dafür eine Einwilligung erteilt haben. Wie lange die dabei gesetzten Cookies gespeichert werden, finden Sie in den „Cookie-Einstellungen“; Nunami löscht die erfassten Sitzungsdaten nach höchstens 40 Tagen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG), die Sie über die „Cookie-Einstellungen“ jederzeit widerrufen können.

XV. Komfortfunktionen

Merkzettel: Wenn Sie es zulassen, speichern wir die Artikel auf Ihrem Merkzettel in einem Cookie auf Ihrem Gerät, damit Sie sie bei Ihrem nächsten Besuch wiederfinden.

YouTube-Videos: Auf einigen Seiten binden wir Videos von YouTube der Google Ireland Limited, Irland, ein. Die Videos werden erst geladen, wenn Sie im Cookie-Banner „YouTube-Video“ zugelassen haben. Dann werden Daten (z. B. IP-Adresse, aufgerufene Seite, Gerätedaten) an Google übermittelt; sind Sie bei Google angemeldet, kann Google dies Ihrem Konto zuordnen. Dabei können Daten an Google LLC in die USA übermittelt werden (siehe Abschnitt XVIII).

Rechtsgrundlage ist jeweils Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG), die Sie über die „Cookie-Einstellungen“ jederzeit widerrufen können.

XVI. Google reCAPTCHA

Zum Schutz unserer Formulare (z. B. Kontaktformular, Widerrufsformular, Registrierung) vor Spam und automatisierten Angriffen nutzen wir Google reCAPTCHA der Google Ireland Limited, Irland. reCAPTCHA prüft anhand von Nutzungs- und Gerätedaten (z. B. IP-Adresse, Mausbewegungen, Verweildauer, Browserangaben), ob eine Eingabe von einem Menschen stammt. Dabei können Daten an Google LLC in die USA übermittelt werden (siehe Abschnitt XVIII). Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unseres Shops vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); soweit dabei Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, die dafür nicht unbedingt erforderlich sind, erfolgt dies nur mit Ihrer Einwilligung (§ 165 Abs. 3 TKG 2021, § 25 Abs. 1 TDDDG).

XVII. Unsere Auftritte in sozialen Netzwerken

Wir betreiben Seiten bei Facebook und Instagram (Meta Platforms Ireland Limited, Irland) sowie bei TikTok (TikTok Technology Limited, Irland), Pinterest (Pinterest Europe Limited, Irland) und X (Twitter International Unlimited Company, Irland). Wenn Sie diese Seiten besuchen oder dort mit uns interagieren, verarbeiten die Netzwerke Ihre Daten nach ihren eigenen Datenschutzbestimmungen. Wir erhalten von den Netzwerken nur zusammengefasste Statistiken über die Nutzung unserer Seiten (z. B. Reichweite, Interaktionen); für diese Statistiken sind wir gemeinsam mit dem jeweiligen Netzwerk verantwortlich (Art. 26 DSGVO). Die Vereinbarung mit Meta finden Sie unter Informationen zu Seiten-Insights. Nachrichten und Kommentare, die Sie uns dort senden, verarbeiten wir, um sie zu beantworten. Rechtsgrundlage ist unser berechtigtes Interesse an der Kommunikation mit Kunden und Interessenten (Art. 6 Abs. 1 lit. f DSGVO). Ihre Rechte können Sie sowohl uns gegenüber als auch direkt beim jeweiligen Netzwerk geltend machen.

XVIII. Übermittlung in Länder außerhalb der EU

Einige der genannten Dienstleister haben ihren Sitz in den USA oder übermitteln Daten dorthin. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework). Google, Meta, Microsoft, Pinterest, Klaviyo und Slack (Salesforce) sind danach zertifiziert. Bei Bugsnag und TikTok erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); bei TikTok ist auch ein Zugriff aus China möglich.

XIX. Weitere Empfänger

Neben den oben genannten Dienstleistern geben wir Ihre Daten nur weiter, soweit dies erforderlich ist, und zwar an:

• unseren IT-Dienstleister und unsere Webagentur für Betrieb, Wartung und Weiterentwicklung des Shops (als Auftragsverarbeiter)
• den E-Mail-Versanddienstleister turboSMTP, über den wir die E-Mails unseres Shops versenden (z. B. Bestell-, Versand- und Servicemails), mit Datenverarbeitung in der EU (als Auftragsverarbeiter)
• den Dienstleister ChannelPilot der Channel Pilot Solutions GmbH, Deutschland, über den wir Bestellungen auf Online-Marktplätzen abwickeln (als Auftragsverarbeiter)
• unsere Steuerberatung zur Erfüllung steuer- und unternehmensrechtlicher Pflichten
• Rechtsanwälte und Inkassounternehmen, wenn dies zur Durchsetzung offener Forderungen nötig ist oder wir eine Forderung abtreten
• Behörden und Gerichte, soweit wir dazu gesetzlich verpflichtet sind oder dies zur Abwehr von Gefahren für die öffentliche Sicherheit erforderlich ist

Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen. Wir verkaufen Ihre Daten nicht.

XX. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die konkreten Fristen finden Sie in den einzelnen Abschnitten und für Cookies in den „Cookie-Einstellungen“. Danach werden die Daten gelöscht.

XXI. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre bei uns gespeicherten Daten, deren Herkunft und die Empfänger, an die wir sie übermittelt haben, sowie eine kostenlose Kopie davon (Art. 15 DSGVO)
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wir selbst treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO; zur Bonitätsprüfung durch Klarna siehe Abschnitt V.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an dsgvo@cosmeticexpress.com oder per Post an CosmeticExpress GmbH, Wiedner Hauptstraße 40, 1040 Wien, Österreich. Wir antworten innerhalb eines Monats; in komplexen Fällen kann sich die Frist um bis zu zwei Monate verlängern, worüber wir Sie informieren.

Beschwerderecht (Art. 77 DSGVO): Wenn Sie der Ansicht sind, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzlandes wenden, in Deutschland an die Datenschutzbehörde Ihres Bundeslandes.

XXII. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten vor Verlust, Missbrauch und unberechtigtem Zugriff zu schützen. Die Übertragung Ihrer Daten in unserem Shop erfolgt verschlüsselt (TLS); Sie erkennen dies am Schloss-Symbol in der Adresszeile Ihres Browsers. Bitte geben Sie Ihr Passwort niemals weiter – unsere Mitarbeiter werden Sie nie danach fragen – und melden Sie sich nach der Nutzung ab, wenn Sie Ihr Gerät mit anderen teilen.

XXIII. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.