Datenschutzerklärung

1. Auf einen Blick

Diese Erklärung beschreibt, welche personenbezogenen Daten die FinA Wellness GmbH verarbeitet, wenn Sie finawellnessstore.eu besuchen, bestellen oder uns kontaktieren.

Für Bestellung, Lieferung und Rechnung brauchen wir Ihren Namen, Ihre Adresse, Ihre E-Mail-Adresse und Ihre Telefonnummer. Ohne diese Daten können wir den Vertrag nicht erfüllen.

Google Analytics, Google Ads, Meta und die Kampagnen-Zuordnung setzen wir nur ein, wenn Sie im Cookie-Banner zustimmen. Ihre Wahl können Sie jederzeit über den Link zu den Cookie-Einstellungen im Fußbereich der Website ändern.

Telefonate werden aufgezeichnet und von unserem Telefonanbieter mit KI verschriftlicht und zusammengefasst. Möchten Sie das nicht, schreiben Sie uns per E-Mail oder WhatsApp (Kapitel 9).

Einige Dienstleister sitzen außerhalb der EU, vor allem in den USA und Kanada (Kapitel 16).

Ihre Rechte (Kapitel 3) machen Sie per E-Mail an office@finawellnessstore.eu oder per Post an unsere Adresse (Kapitel 2) geltend. Sie können sich auch bei der Datenschutzbehörde beschweren.

Ihr Widerspruchsrecht (Art. 21 DSGVO)

Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen, gegen Direktwerbung auch ohne Begründung. Eine formlose E-Mail an office@finawellnessstore.eu oder ein Brief genügt.

2. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung ist:

FinA Wellness GmbH Brühler Straße 73A/3/12, 2340 Mödling, Österreich Geschäftsführung: DI Franz Eigel, Annemarie Prapotnik Firmenbuchnummer FN 679017 f, Landesgericht Wiener Neustadt UID ATU83457368 E-Mail: office@finawellnessstore.eu Telefon: +43 1 997 28 98 Impressum: https://finawellnessstore.eu/policies/legal-notice

Wir haben keinen Datenschutzbeauftragten bestellt. Ihr Ansprechpartner ist die Geschäftsführung unter den obigen Kontaktdaten.

3. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung, soweit keine Aufbewahrungspflicht besteht (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Ihr Widerspruchsrecht (Art. 21 DSGVO)

Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten sie dann nicht mehr, außer bei zwingenden schutzwürdigen Gründen oder zur Durchsetzung von Rechtsansprüchen. Werbe-E-Mails können Sie jederzeit ohne Begründung widersprechen. Der Aufzeichnung von Telefonaten können Sie ebenfalls jederzeit widersprechen (Kapitel 9).

Schicken Sie Ihr Anliegen an office@finawellnessstore.eu oder per Post an FinA Wellness GmbH, Brühler Straße 73A/3/12, 2340 Mödling. Wir antworten innerhalb eines Monats.

Beschwerde: Sie können sich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at, Telefon +43 1 52 152-0. Oder bei der Aufsichtsbehörde Ihres Wohnsitzes; in Deutschland ist das die Datenschutzbehörde Ihres Bundeslands.

4. Rechtsgrundlagen in Kurzform

Jede Verarbeitung stützt sich auf eine dieser Grundlagen der DSGVO:

• Einwilligung (Art. 6 Abs. 1 lit. a): Reichweitenmessung, Werbung, Werbe-E-Mails.
• Vertrag und Vertragsanbahnung (Art. 6 Abs. 1 lit. b): Bestellung, Lieferung, Beratung, Kundenkonto.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c): etwa die Aufbewahrung von Rechnungen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Das konkrete Interesse nennen wir jeweils.

Für das Speichern von Informationen auf Ihrem Gerät und das Auslesen von dort, etwa durch Cookies, gilt zusätzlich § 165 Abs. 3 TKG 2021. Ohne Einwilligung ist nur erlaubt, was für den Betrieb unbedingt erforderlich ist. Für Besucher aus Deutschland gilt entsprechend § 25 TDDDG.

Wir selbst treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

5. Website-Betrieb

Shopify. Unser Shop läuft bei der Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland. Shopify hostet den Shop, liefert die Seiten aus, stellt Checkout und Kundenkonto bereit und schreibt technische Protokolle. Verarbeitet werden IP-Adresse, Zeitpunkt, aufgerufene Seiten, Browser- und Geräteangaben sowie notwendige Cookies, etwa _shopify_essential, localization und cart_currency. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f; unser Interesse ist ein sicherer, funktionierender Shop. Shopify ist unser Auftragsverarbeiter und kann Daten an Konzerngesellschaften in Kanada und den USA übermitteln (Kapitel 16). Datenschutzhinweise: https://www.shopify.com/legal/privacy/consumers

Shop-App und Shop Pay. Beim Seitenaufruf nimmt Ihr Browser Kontakt mit shop.app auf, damit Shop Pay im Checkout bereitsteht. Für Shop Pay und die Shop-App ist Shopify eigener Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f; unser Interesse ist ein schneller Checkout mit Shop Pay.

hCaptcha. Kontaktformular und Anmeldung nutzen den Spam-Schutz hCaptcha, den Shopify einbindet. Anbieter ist die Intuition Machines, Inc., 1065 SW 8th St #704, Miami, FL, USA. hCaptcha wertet Geräte- und Verhaltenssignale aus, um Menschen von Bots zu unterscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f; unser Interesse ist der Schutz vor Spam und Missbrauch. Intuition Machines ist dabei eigener Verantwortlicher und unter dem Data Privacy Framework zertifiziert. Datenschutz: https://www.hcaptcha.com/privacy

360°-Touren (Kuula). Virtuelle 360°-Rundgänge auf einigen Produktseiten lädt Ihr Browser direkt von Kuula Inc., Kalifornien, USA. Dabei erhält Kuula Ihre IP-Adresse und setzt ein technisches Cookie für die Lastverteilung (AWSALBCORS). Das passiert beim Öffnen der Produktseite, auch ohne Einwilligung. Für die Auslieferung ist Kuula eigener Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f; unser Interesse ist, Ihnen das Produkt realistisch zu zeigen. Datenschutz: https://kuula.co/legal/privacy

Bewertungsbilder. Fotos in Bewertungen lädt Ihr Browser mit Ihrer IP-Adresse vom Bildspeicherdienst Cloudinary (Kapitel 13).

Produktfilter und Suche (Globo). Filtern oder suchen Sie, gehen Suchanfrage und IP-Adresse an einen Server der Globo Software Solution JSC, 18 Khuc Thua Du St, Hanoi, Vietnam. Nur bei Nutzung von Filter oder Suche; der Server steht laut Hostname in der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f; unser Interesse ist eine brauchbare Produktsuche. Datenschutz: https://globo.io/privacy-policy

6. Cookies und Einwilligung

Unser Cookie-Banner stammt von CookieFirst, einem Dienst der Digital Data Solutions B.V., Amsterdam, Niederlande. Sie können auf der ersten Ebene alle Cookies akzeptieren, alle verweigern oder Kategorien wählen:

• Notwendig: Warenkorb, Checkout, Sprache, Sicherheit, Speichern Ihrer Cookie-Wahl. Immer aktiv.
• Performance: Reichweitenmessung, zum Beispiel Google Analytics.
• Funktional: zusätzliche Funktionen und eingebettete Inhalte.
• Werbung: Werbung und Erfolgsmessung von Anzeigen, zum Beispiel Google Ads und Meta, sowie die Kampagnen-Zuordnung aus Kapitel 12.

CookieFirst erkennt anhand Ihrer IP-Adresse Ihr Land (Art. 6 Abs. 1 lit. f; unser Interesse ist, den Banner passend zur Rechtslage anzuzeigen) und protokolliert Ihre Wahl im Cookie cookiefirst-consent und auf EU-Servern (Art. 6 Abs. 1 lit. c mit Art. 7 Abs. 1 DSGVO). CookieFirst ist unser Auftragsverarbeiter.

Ihre Wahl gibt der Banner an die Shopify-Schnittstelle für Kundendatenschutz (Customer Privacy API) weiter. Für Google übersetzt der Shopify-Kanal „Google & YouTube" sie in den Google Consent Mode. Shopifys eigene Statistik- und Marketing-Cookies (_shopify_analytics, _shopify_marketing) setzt Shopify nur nach Ihrer Einwilligung.

Eine Liste der einzelnen Cookies mit Laufzeit finden Sie in den Cookie-Einstellungen.

Widerruf. Über den Link zu den Cookie-Einstellungen im Fußbereich jeder Seite können Sie Ihre Wahl jederzeit ändern. Der Widerruf ist so einfach wie die Erteilung.

Was ohne Einwilligung passiert. Ohne Ihre Einwilligung setzen wir keine Google-, Meta- oder Klaviyo-Cookies und übermitteln keine Nutzungsdaten an diese Anbieter. Ausnahmen:

• Beim Laden der Seite fragt Ihr Browser Klaviyo anhand Ihrer IP-Adresse nach Ihrem ungefähren Standort. Klaviyo steuert damit, welche Formulare erscheinen dürfen. Ein Cookie wird dabei nicht gesetzt.
• Auf Produktseiten mit 360°-Tour lädt Kuula den Rundgang (Kapitel 5).
• In Formularen prüft hCaptcha auf Spam (Kapitel 5).
• Nutzen Sie Filter oder Suche, geht die Anfrage an den Globo-Server (Kapitel 5).

7. Kundenkonto und Anmeldung mit Google oder Facebook

Sie können ohne Kundenkonto bestellen. Mit Konto speichern wir über Shopify Name, E-Mail-Adresse, Adressen und Bestellungen, damit Sie diese einsehen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b. Sie können das Konto jederzeit löschen lassen. Bestelldaten bewahren wir danach nur noch im gesetzlich nötigen Umfang auf (Kapitel 17).

Melden Sie sich mit Ihrem Google- oder Facebook-Konto an, erhalten wir von Google Ireland Limited beziehungsweise Meta Platforms Ireland Limited die dafür nötigen Angaben, in der Regel Name und E-Mail-Adresse. Diese Daten stammen vom jeweiligen Anbieter (Art. 14 DSGVO). Google beziehungsweise Meta erfahren dabei, dass Sie sich bei uns anmelden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b, denn Sie wählen diesen Anmeldeweg selbst.

8. Bestellung, Zahlung, Lieferung, Buchhaltung

Bestellung. Für eine Bestellung brauchen wir Namen, Rechnungs- und Lieferadresse, E-Mail-Adresse und Telefonnummer sowie die bestellten Produkte. Die Telefonnummer braucht die Spedition, um den Liefertermin abzustimmen. Ohne diese Angaben können wir die Bestellung nicht annehmen oder liefern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.

Zahlung. Im Checkout bieten wir über Shopify Payments an: Shop Pay, Visa, Mastercard, American Express, Maestro, UnionPay, Apple Pay, Google Pay, USDC, Bancontact, BLIK, EPS, iDEAL/Wero, Klarna und MobilePay. Außerdem können Sie mit PayPal zahlen. Bei Shopify Payments verarbeitet die Shopify International Limited die Zahlungsdaten als unser Auftragsverarbeiter; Kartendaten sehen wir nicht. Für Shop Pay ist Shopify eigener Verantwortlicher (Kapitel 5).

Bei Klarna oder PayPal erhalten diese Anbieter die für die Zahlung nötigen Daten. Sie sind für die Zahlungsabwicklung eigene Verantwortliche, auch wenn Klarna über Shopify Payments angeboten wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b. Klarna und PayPal können dabei in eigener Verantwortung Ihre Adresse und Bonität prüfen, auch automatisiert; Einzelheiten stehen in deren Datenschutzhinweisen.

• Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Datenschutz: https://www.klarna.com/at/datenschutz/
• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Datenschutz: https://www.paypal.com/de/webapps/mpp/ua/privacy-full

Lieferung. Wir liefern überwiegend direkt vom Hersteller. Dafür erhalten der Hersteller und seine Spedition Namen, Lieferadresse, Telefonnummer und die bestellten Produkte, nur für die Zustellung. Hersteller und Speditionen sind dafür eigene Verantwortliche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.

Rechnung und Buchhaltung. Rechnungen und Kontaktdaten führen wir in sevDesk, einem Dienst der sevdesk GmbH, Hauptstraße 115, 77652 Offenburg, Deutschland. Bestellungen aus Shopify übernimmt der Verbinder Sevify der Euphoria Group GmbH, Ehrenbergstr. 16a, 10245 Berlin, Deutschland, in sevDesk. Beide sind unsere Auftragsverarbeiter. Datenschutz: https://sevdesk.de/sicherheit-datenschutz/ und https://sevify.app/help/app/privacy

Belege legen wir in Google Drive ab, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als unser Auftragsverarbeiter. Unsere Steuerberatung erhält Lesezugriff auf die Belege. Sie und unsere Bank, die Zahlungseingänge mit Name, IBAN und Verwendungszweck sieht, sind eigene Verantwortliche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b für den Zahlungseingang und lit. c für die Aufbewahrung.

Aufbewahrung. Bücher, Aufzeichnungen und Belege bewahren wir 7 Jahre auf (§ 132 BAO). Aufzeichnungen zu Lieferungen an Kunden in anderen EU-Staaten, die wir über das One-Stop-Shop-Verfahren (OSS) melden, bewahren wir 10 Jahre auf (Art. 25a Abs. 10 UStG 1994). Daten für Gewährleistungsfälle bewahren wir bis Ablauf der Gewährleistungs- und Verjährungsfristen auf (in Österreich in der Regel 2 Jahre und 3 Monate ab Lieferung, §§ 10, 28 VGG).

9. Kontakt mit uns

E-Mail und Kontaktformular. E-Mails und Nachrichten aus dem Kontaktformular landen in unserem gemeinsamen Postfach Missive. Anbieter ist die Heliom Inc., 520 boulevard Charest Est, suite 320, Québec QC G1K 3J3, Kanada, als unser Auftragsverarbeiter. Verarbeitet werden Name, E-Mail-Adresse, Inhalt und Anhänge, auch bei Dienstleistern von Missive in den USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b, wenn es um einen Kauf geht, sonst lit. f; unser Interesse ist, Ihre Anfrage zu beantworten. Ohne E-Mail-Adresse können wir nicht antworten. Datenschutz: https://missiveapp.com/privacy

WhatsApp. Nachrichten per WhatsApp laufen über die WhatsApp Business Platform der WhatsApp Ireland Limited und erscheinen in Missive. Verarbeitet werden Ihre Rufnummer, Ihr Profilname, die Nachrichten und technische Metadaten. Rechtsgrundlage wie bei E-Mails; für WhatsApp selbst gelten dessen Datenschutzhinweise. Schreiben Sie über den WhatsApp-Knopf der Website, ist die Nachricht mit einer kurzen Kennung vorbefüllt, die Sie löschen können. Die Kennung entsteht bei jedem Seitenaufruf neu und wird nicht gespeichert; zuordnen können wir sie nur mit Ihrer Einwilligung in der Kategorie „Werbung" (Kapitel 12).

Telefon. Unsere Telefonie läuft über Aircall, Anbieter ist die Aircall SAS, Paris, Frankreich, als unser Auftragsverarbeiter. Zu Beginn jedes Anrufs hören Sie sinngemäß: „Willkommen bei FinA Wellness. Zur Qualitätssicherung werden Gespräche aufgezeichnet. Wenn Sie das nicht möchten, erreichen Sie uns auch per E-Mail an office@finawellnessstore.eu oder per WhatsApp unter dieser Nummer."

Bei einem Anruf verarbeiten wir:

1. Anrufdaten: Ihre Rufnummer, Zeitpunkt und Dauer. Sie fallen bei jedem Anruf an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f; unser Interesse ist, Anrufe zuzuordnen, zurückzurufen und unsere Erreichbarkeit zu steuern.
2. Aufzeichnung: Das Gespräch wird als Audio aufgezeichnet. Aufzeichnungen von Anrufen auf unsere Nummer speichert Aircall in Frankfurt.
3. KI-Verschriftlichung und Zusammenfassung: Aircall erstellt aus der Aufzeichnung automatisch ein Transkript und eine Zusammenfassung. Dafür nutzt Aircall Unterauftragnehmer in den USA, laut Aircall-Liste unter anderem Deepgram, AssemblyAI und Microsoft Azure. Transkripte, Zusammenfassungen und Anrufdaten speichert Aircall in den USA (Kapitel 16). Aircall wertet außerdem Tonfall und Gesprächsverlauf automatisch aus: Stimmung, Gesprächsbewertung und Hauptthemen. Zusammenfassung und Link zur Aufzeichnung speichern wir beim Kontakt in unserem Kundenverzeichnis.
4. KI-Sprachagent: Manche Anrufe nimmt ein KI-Sprachagent von Aircall an. Er sagt zu Beginn, dass Sie mit einer KI sprechen, beantwortet häufige Fragen und nimmt Ihr Anliegen auf. Auf Wunsch übernimmt ein Mitarbeiter oder wir rufen zurück. Die Stimme liefern Unterauftragnehmer wie ElevenLabs und Cartesia.

Rechtsgrundlage für die Punkte 2 bis 4 ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Unser Interesse: Wir beraten zu hochpreisigen Produkten ausführlich am Telefon und wollen nachvollziehen können, was besprochen und bestellt wurde, damit Angebote, Liefertermine und Zusagen stimmen. Außerdem sichern wir die Qualität unserer Beratung.

Ihr Widerspruch. Sie können jederzeit widersprechen, auch im Gespräch oder danach per E-Mail. Ohne Aufzeichnung erreichen Sie uns per E-Mail an office@finawellnessstore.eu oder per WhatsApp. Dann löschen wir Aufzeichnung, Transkript und KI-Zusammenfassung des Gesprächs. Eine von Hand geschriebene Gesprächsnotiz behalten wir, soweit wir sie für Ihre Bestellung brauchen (Art. 6 Abs. 1 lit. b beziehungsweise f).

Speicherdauer. Aufzeichnungen und Transkripte löscht Aircall nach 6 Monaten. Die Zusammenfassung beim Kontakt bleibt so lange, wie wir die Kundenbeziehung führen, längstens bis zum Ende der Gewährleistung.

Weder Sprachagent noch Auswertung entscheiden über Vertrag, Preis oder Zahlung (Kapitel 4). Aircall.io, Inc. ist unter dem Data Privacy Framework zertifiziert; für die übrigen Unterauftragnehmer gelten laut Aircall-Auftragsverarbeitungsvertrag Standardvertragsklauseln. Datenschutz: https://aircall.io/privacy/

Kundenverzeichnis (Notion). Kontakte, Anfragen, Bestellungen, Notizen und Anruf-Zusammenfassungen führen wir in Notion. Anbieter ist die Notion Labs, Inc., San Francisco, USA, als unser Auftragsverarbeiter. Dazu gehören Firma und Verkaufsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f; unser Interesse ist eine vollständige Kundenhistorie für die Beratung. Anfragen ohne Namen, aus denen kein Kontakt entsteht, archivieren wir nach 30 Tagen. Übermittlung in die USA: Standardvertragsklauseln (Kapitel 16). Datenschutz: https://www.notion.com/help/privacy

Adressbuch (Google). Kontaktdaten gleichen wir mit Google Contacts ab, damit wir Anrufer und Absender erkennen. Anbieter ist die Google Ireland Limited als unser Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f mit demselben Interesse.

Eigene Server. Abgleiche zwischen diesen Systemen, Bestell- und Zahlungsprotokolle und die Kampagnen-Zuordnung (Kapitel 12) laufen auf unserem Server mit n8n und PostgreSQL. Der Server steht bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland (Nürnberg). Hetzner ist unser Auftragsverarbeiter. Datenschutz: https://www.hetzner.com/legal/privacy-policy

10. E-Mails nach dem Kauf, Warenkorb-Erinnerung, Newsletter

1. E-Mails zur Bestellung. Bestellbestätigung, Rechnung und die Abstimmung der Lieferung schicken wir, weil sie zum Vertrag gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.

2. Werbe-E-Mails nach dem Kauf und Warenkorb-Erinnerung. Nach einem Kauf schicken wir eine kurze Serie mit Tipps und passenden Produkten. Wenn Sie den Checkout nicht abschließen, erinnern wir Sie an Ihren Warenkorb. Beides verschicken wir nur, wenn Sie im Checkout das Häkchen für E-Mail-Werbung gesetzt haben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a). Wir stützen diese Mails nicht auf die gesetzliche Ausnahme für Werbung an Bestandskunden nach § 174 Abs. 4 TKG 2021 bzw. für Kunden in Deutschland § 7 Abs. 3 UWG, sondern auf Ihre Einwilligung.

3. Newsletter. Sofern Sie sich für unseren Newsletter anmelden, schicken wir Ihnen zuerst eine Bestätigungs-E-Mail. Erst wenn Sie den Link darin anklicken, sind Sie angemeldet (Double-Opt-in). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a).

Abmelden. Jede Werbe-E-Mail enthält einen Abmeldelink; alternativ genügt eine Nachricht an office@finawellnessstore.eu. Das ist zugleich Ihr Widerruf.

Anbieter. Diese Mails versenden wir mit Klaviyo, einem Dienst der Klaviyo, Inc., 125 Summer Street, Boston, MA 02111, USA, als unser Auftragsverarbeiter. Klaviyo speichert die Daten ausschließlich in den USA. Verarbeitet werden E-Mail-Adresse, Name, Sprache, Bestell- und Warenkorb-Ereignisse sowie Öffnungen und Klicks in den Mails. Klaviyo ist unter dem Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln. Datenschutz: https://www.klaviyo.com/legal/privacy-notice

Speicherdauer. Wir nutzen Ihre Daten für Werbe-E-Mails, bis Sie sich abmelden. Danach vermerken wir Ihre E-Mail-Adresse auf einer Sperrliste, damit Sie keine Werbung mehr erhalten.

11. Reichweitenmessung und Werbung (nur mit Einwilligung)

Diese Dienste laufen nur mit Ihrer Einwilligung in der Kategorie „Performance" oder „Werbung" (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021), widerrufbar über die Cookie-Einstellungen.

Google Analytics 4

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics 4 ist über den Shopify-Kanal „Google & YouTube" eingebunden und folgt dem Google Consent Mode. Google Analytics setzt die Cookies _ga und _ga_EFV4JG3LQD. Verarbeitet werden eine zufällige Kennung, aufgerufene Seiten, Ereignisse, Gerät, ungefährer Standort und die Kampagne, über die Sie kamen. Zweck: verstehen, wie der Shop genutzt wird und welche Werbung wirkt.

Wir haben Google-Signale aktiviert. Sind Sie bei Google angemeldet und haben in Ihrem Google-Konto personalisierte Werbung erlaubt, verknüpft Google Ihre Nutzung über mehrere Geräte hinweg. Wir erhalten nur zusammengefasste Auswertungen.

Ereignisdaten bewahrt Google Analytics 2 Monate auf, Nutzerdaten 14 Monate. Bei neuer Aktivität beginnt die Frist neu. Für Google Analytics ist Google unser Auftragsverarbeiter.

Google Ads

Mit Google Ads messen wir, ob eine Anzeige zu einem Kauf geführt hat (Conversion-Messung), und zeigen Shop-Besuchern später wieder Anzeigen (Remarketing). Dabei setzt Google Cookies wie _gcl_au und auf doubleclick.net IDE. Verarbeitet werden die Klick-Kennung der Anzeige, besuchte Seiten und Kaufereignisse. Bei einem Kauf übermitteln wir zusätzlich Ihre E-Mail-Adresse, Telefonnummer, Namen und Adresse in verschlüsselter, gehashter Form an Google (Enhanced Conversions). Für Conversion-Messung und Remarketing ist Google eigener Verantwortlicher nach den Google-Ads-Bedingungen für Verantwortliche; für Enhanced Conversions handelt Google als Auftragsverarbeiter.

Wie Google Daten aus Websites und Apps verwendet, die Google-Dienste nutzen: https://policies.google.com/technologies/partner-sites. Allgemeine Datenschutzerklärung von Google: https://policies.google.com/privacy. Einstellungen für personalisierte Werbung: https://adssettings.google.com. Die Konzerngesellschaft Google LLC ist unter dem Data Privacy Framework zertifiziert.

Meta Pixel und Conversions API

Mit Meta Pixel und Meta Conversions API messen wir, ob Anzeigen auf Facebook und Instagram zu Besuchen und Käufen führen, und zeigen passende Anzeigen. Der Pixel setzt das Cookie _fbp; die Conversions API sendet dieselben Ereignisse zusätzlich direkt von Shopify an Meta. Übermittelt werden Ereignisse wie Seitenaufruf, Warenkorb und Kauf, Kennungen aus Cookies und Anzeigen-Klicks sowie bei einem Kauf gehashte Kontaktdaten aus dem Checkout (E-Mail, Telefon, Name, Adresse), über Browser und Conversions API.

Gemeinsame Verantwortlichkeit. Für die Erhebung dieser Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, verantwortlich (Art. 26 DSGVO).

1. Meta Platforms Ireland ist mit uns gemeinsam verantwortlich. Wie Meta die Daten danach selbst verarbeitet, erklärt Meta unter https://www.facebook.com/about/privacy.
2. Wir setzen die Meta Business Tools ein, nämlich Meta Pixel und Conversions API, zur Erfolgsmessung und Optimierung unserer Anzeigen und zur Ausspielung von Werbung an passende Zielgruppen.
3. Das Wesentliche unserer Vereinbarung mit Meta (Controller Addendum, https://www.facebook.com/legal/controller_addendum): Wir informieren Sie über die gemeinsame Verarbeitung. Meta Platforms Ireland beantwortet Ihre Anfragen nach Art. 15 bis 20 DSGVO zu den Daten, die bei Meta gespeichert sind. Richten Sie eine solche Anfrage an uns, leiten wir sie binnen 7 Tagen an Meta weiter.

Für die weitere Verarbeitung nach der Übermittlung ist Meta allein verantwortlich. Die Konzerngesellschaft Meta Platforms, Inc. ist unter dem Data Privacy Framework zertifiziert.

Klaviyo Onsite

Ist Ihr Profil bei Klaviyo bekannt, erfasst das Klaviyo-Skript nach Ihrer Einwilligung, welche Produkte Sie ansehen und was Sie in den Warenkorb legen. Es setzt das Cookie __kla_id. Wir nutzen das, um Ihnen passende E-Mails zu schicken. Anbieter und Übermittlung wie in Kapitel 10.

Menü-Pixel von Globo

Die Menü-App Globo misst über einen Pixel, welche Menüpunkte angeklickt werden und zu welchem Umsatz sie führen. Anbieter und Land stehen in Kapitel 14.

12. Kampagnen-Zuordnung bei Anfragen per Telefon oder WhatsApp

Damit wir wissen, welche Anzeige zu einem Anruf oder einer WhatsApp-Anfrage geführt hat, nutzen wir eine Kampagnen-Zuordnung. Sie läuft nur, wenn Sie im Cookie-Banner der Kategorie „Werbung" zugestimmt haben.

Was wir speichern. Kommen Sie über eine Anzeige, speichern wir auf unserem Server bei Hetzner in Deutschland: die Klick-Kennung der Anzeige (bei Google gclid, gbraid oder wbraid sowie die Kampagnen-Nummer, bei Meta die Klick-Kennung), die Kampagnen-Angaben aus der Adresse (UTM-Parameter), die Besucher-Kennung von Shopify, die Seite, von der Sie kamen, den Zeitpunkt und Ihren Einwilligungsstand. Klicken Sie auf unsere Telefonnummer oder den WhatsApp-Knopf, speichern wir Zeitpunkt und Ziel dieses Klicks.

Wie wir zuordnen. Ruft uns kurz darauf eine neue Rufnummer an, gleichen wir die Anrufdaten aus Kapitel 9 (Rufnummer und Zeitpunkt) mit den Klicks der letzten 3 Minuten ab. Bei WhatsApp nutzen wir die Kennung in der vorbefüllten Nachricht. Wir ordnen nur Anfragen von Privatkunden zu und nur Rufnummern, die wir noch nicht kennen. Das Ergebnis ist eine wahrscheinliche Zuordnung: Wer angerufen hat, muss nicht dieselbe Person sein, die auf die Anzeige geklickt hat. Kampagne, Methode und Sicherheit der Zuordnung speichern wir beim Kontakt in Notion.

Was Google bekommt. Kommt es zu einem Auftrag, melden wir ihn über die Google Data Manager API an Google Ads zurück. Übermittelt werden die Klick-Kennung, die Einwilligungs-Kennzeichen für Werbedaten und Personalisierung, der Auftragswert und die Auftragsnummer. Wir übermitteln dabei keine Namen, Rufnummern oder E-Mail-Adressen. Für diese Rückmeldung ist Google eigener Verantwortlicher. Die Anruf- und Chat-Daten liefern Aircall und Missive als unsere Auftragsverarbeiter.

Rechtsgrundlage. Auslesen der Klick-Kennungen, Speichern, Zuordnung und Rückmeldung an Google beruhen auf Ihrer Einwilligung in der Kategorie „Werbung" (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021).

Speicherdauer. Klick-Daten löschen wir nach 90 Tagen, dem Zuordnungszeitraum von Google. Das Zuordnungs-Ergebnis bleibt so lange beim Kontakt, wie wir den Kontakt führen.

Widerruf. Ändern Sie Ihre Wahl in den Cookie-Einstellungen, erfassen wir keine neuen Klicks mehr, löschen noch nicht zugeordnete Klick-Daten und melden keine Aufträge mehr an Google. Sie können der Zuordnung auch per E-Mail an office@finawellnessstore.eu widersprechen. Aufträge, die wir vor Ihrem Widerruf bereits an Google gemeldet haben, bleiben bei Google gespeichert.

13. Bewertungen

Für Kundenbewertungen nutzen wir die Shopify-App Rapid Reviews des Entwicklers William Belk. Verarbeitet werden Ihr Name in der von Ihnen gewählten Form, Bewertungstext, Sternebewertung, gegebenenfalls Fotos und Ihre E-Mail-Adresse. Name, Text und Fotos veröffentlichen wir auf der Produktseite; die E-Mail-Adresse nicht. Fotos speichert die App beim Bildspeicherdienst Cloudinary. Rechtsgrundlage für die Veröffentlichung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a), die Sie mit dem Absenden der Bewertung erteilen. Sie können sie jederzeit widerrufen; dann löschen wir die Bewertung. Die App ist unser Auftragsverarbeiter. Zur Übermittlung außerhalb der EU siehe Kapitel 16. Datenschutz: https://williambelk.com/apps/privacy

14. Weitere Shopify-Apps

Weitere Apps und welche Daten sie erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f, die Pixel von Globo und Smile.io nur mit Einwilligung (lit. a); unser Interesse ist ein vollständiger, gut bedienbarer Shop. Die Anbieter sind unsere Auftragsverarbeiter.

App	Anbieter	Zweck	Daten	Land
Tepo Product Options	Qikify, Inc.	Auswahl von Produktoptionen	keine Kundendaten beim Anbieter; die gewählten Optionen gehen über Shopify in die Bestellung	nicht angegeben
Globo Mega Menu und Smart Filter & Search	Globo Software Solution JSC, 18 Khuc Thua Du St, Hanoi	Menü, Filter, Suche	Suchanfragen und IP-Adresse; Menü-Klicks nur mit Einwilligung	Vietnam, Server in der EU
Selleasy und DealEasy	Logbase Technologies LLP, PSG STEP E-Lab, PSG College of Technology, Coimbatore 641004	Zusatzangebote im Warenkorb; ein Pixel misst, welche angesehen und gekauft werden	Name, E-Mail, Telefon, Adresse, Bestelldaten	Indien
Estimated Delivery Date	SetuBridge Technolabs, 402 Samruddhi Complex, Ahmedabad 380014	Anzeige der Lieferzeit	E-Mail, Name, Telefon, IP-Adresse, Browserangaben	Indien
T-Lab AI Language Translate	Seven Spikes Ltd., Serdikijski Sabor St., Jujen Park bl. 27/A/15, Sofia 1421	Übersetzung der Shop-Inhalte	nur Shop-Inhalte, keine Kundendaten	Bulgarien, Cloud Microsoft Azure
Easify Product Attachments	Tigren Technology Solution Co. Ltd., 130 Nguyen Duc Canh, Hoang Mai, Hanoi	Produktdokumente zum Herunterladen	beim Abruf IP-Adresse an das Auslieferungsnetz	Vietnam, Hosting USA
Page-Crafter	Full Time Cyber, Thippa Jois Colony, Thilak Nagar, Shimoga 577201	Seitengestaltung	nur Daten des Shop-Betreibers	Indien
JSON-LD for SEO	Little Stream Software	strukturierte Produktdaten für Suchmaschinen	nur im Browser, keine Datenübermittlung an den Anbieter	—
BSS Banner & Popup	BSS Commerce, Viwaseen Tower, 48 To Huu St, Nam Tu Liem, Hanoi	Banner und Hinweisfenster	E-Mail-Adressen, falls in einem Fenster eingegeben	Vietnam, Server in den USA
Simprosys Google Shopping Feed	Simprosys InfoMedia, B-303 Shapath Hexa, S.G. Highway, Ahmedabad 380060	Produktdaten für Google Shopping und den Meta-Katalog; leitet Shop-Ereignisse an Google und Meta weiter	Ereignisse, laut Anbieter nicht gespeichert	Indien
Smile.io	Smile Inc.	Statistik-Pixel der App	Seiten- und Shop-Ereignisse, nur mit Einwilligung	Kanada

15. Social-Media-Auftritte

Wir betreiben eine Facebook-Seite und ein Instagram-Profil. Besuchen Sie diese, erhalten wir von Meta zusammengefasste Besucherstatistiken (Seiten-Insights). Dafür sind wir mit der Meta Platforms Ireland Limited gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist die Seiten-Insights-Ergänzung von Meta: https://www.facebook.com/legal/terms/page_controller_addendum. Meta übernimmt danach die Hauptverantwortung, auch für Ihre Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f; unser Interesse ist ein besucherorientierter Auftritt. Alle übrigen Verarbeitungen auf Facebook und Instagram verantwortet Meta allein: https://www.facebook.com/privacy/policy

16. Empfänger außerhalb der EU

Einige Empfänger sitzen außerhalb der EU oder nutzen Dienstleister dort. Wir stützen Übermittlungen auf folgende Grundlagen: dem Data Privacy Framework für zertifizierte US-Unternehmen (Beschluss (EU) 2023/1795), dem Angemessenheitsbeschluss für Kanada (2002/2/EG) oder Standardvertragsklauseln der EU-Kommission; bei Shopify zusätzlich verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules).

Anbieter	Land	Grundlage	Fundstelle / Kopie
Shopify-Konzerngesellschaften	Kanada, USA	Binding Corporate Rules, Standardvertragsklauseln, Angemessenheitsbeschluss Kanada	https://www.shopify.com/legal/binding-corporate-rules und https://www.shopify.com/legal/dpa
Google LLC; Meta Platforms, Inc., auch für WhatsApp; Intuition Machines, Inc. (hCaptcha)	USA	Data Privacy Framework	https://www.dataprivacyframework.gov/list
Klaviyo, Inc.	USA	Data Privacy Framework und Standardvertragsklauseln	https://www.dataprivacyframework.gov/list
Aircall.io, Inc. und Unterauftragnehmer	USA	Data Privacy Framework für Aircall.io, Inc.; sonst Standardvertragsklauseln laut Aircall-Vertrag	https://aircall.io/dpa/
Notion Labs, Inc.	USA	Standardvertragsklauseln	https://www.notion.com/help/gdpr-at-notion
Logbase Technologies LLP (Selleasy)	Indien	Standardvertragsklauseln	https://logbase.io/dpa
Tigren (Easify)	Vietnam, USA	Standardvertragsklauseln laut Anbieter	https://easifyapps.com/privacy-policy
Heliom Inc. (Missive)	Kanada, USA	Kanada: Angemessenheitsbeschluss; USA: Standardvertragsklauseln, soweit vom Anbieter bereitgestellt	Kopie auf Anfrage
SetuBridge (Indien), BSS Commerce (Vietnam, USA), Kuula (USA), Qikify (Land nicht angegeben), Globo (Vietnam), Simprosys (Indien), Rapid Reviews (Land nicht angegeben), Smile.io (Kanada)	siehe links	Standardvertragsklauseln, soweit vom Anbieter bereitgestellt	Kopie auf Anfrage

Eine Kopie der Standardvertragsklauseln, soweit sie uns vorliegen, erhalten Sie auf Anfrage an office@finawellnessstore.eu. Die Liste der unter dem Data Privacy Framework zertifizierten Unternehmen finden Sie unter https://www.dataprivacyframework.gov/list.

17. Speicherdauern

Wir speichern Daten nur, solange wir sie brauchen oder aufbewahren müssen. Ein Kundenkonto besteht bis zu Ihrer Löschung.

Daten	Dauer
Bücher, Aufzeichnungen, Rechnungen und Belege	7 Jahre ab Ende des Kalenderjahres (§ 132 BAO)
Aufzeichnungen zu OSS-Lieferungen in andere EU-Staaten	10 Jahre (Art. 25a Abs. 10 UStG 1994)
Daten für Gewährleistungsfälle	bis Ablauf der Gewährleistungs- und Verjährungsfristen (in Österreich in der Regel 2 Jahre und 3 Monate ab Lieferung, §§ 10, 28 VGG)
Telefon-Aufzeichnungen und Transkripte bei Aircall	6 Monate
Anruf-Zusammenfassung im Kundenverzeichnis	für die Dauer der Kundenbeziehung, längstens bis Ende der Gewährleistung
Anfragen ohne Namen ohne entstandenen Kontakt	Archivierung nach 30 Tagen
Kontakte ohne Kauf (Kundenverzeichnis, Google Contacts)	solange die Anfrage bearbeitet wird oder Sie widersprechen
E-Mail- und WhatsApp-Verlauf	für die Dauer der Kundenbeziehung, längstens bis Ende der Gewährleistung
Werbe-E-Mails und Newsletter	bis zur Abmeldung, danach Eintrag auf der Sperrliste
Klick-Daten der Kampagnen-Zuordnung	90 Tage
Zuordnungs-Ergebnis beim Kontakt	solange wir den Kontakt führen
Google Analytics	Ereignisdaten 2 Monate, Nutzerdaten 14 Monate
Einwilligungs-Protokoll (CookieFirst)	solange wir die Einwilligung nachweisen müssen
Bewertungen	bis zu Ihrem Widerruf oder bis wir die Bewertung entfernen

18. Datensicherheit

Unsere Website ist durchgehend verschlüsselt (TLS). Zugriff auf Kundendaten haben nur die Geschäftsführung und die Mitarbeiter, die sie für ihre Aufgaben brauchen. Mit Auftragsverarbeitern arbeiten wir auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO. Zahlungsdaten wie Kartennummern liegen beim Zahlungsanbieter, nicht bei uns.

19. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung. Erfordert eine Änderung eine neue Einwilligung, fragen wir Sie vorher.

Stand: 26. September 2026