Rechtliches

1. Verantwortliche Emma Louise Reuter, Empact Studio Am Gutspark 42 30539 Hannover Deutschland E-Mail: info@empact.design, Telefon: +49 162 7731285 2. Übersicht Wir verarbeiten personenbezogene Daten, wenn Sie diesen Shop besuchen, eine Bestellung aufgeben (ohne Kundenkonto) oder das Kontaktformular nutzen. 3. Hosting, Datenbank und Foto-Speicherung Diese Website wird über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf der Website erhebt Vercel automatisch technische Daten (u. a. IP-Adresse, Datum/Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp) in Server-Logfiles, zur technischen Bereitstellung und Absicherung der Website auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Die serverseitige Verarbeitung Ihrer Bestell- und Kontaktdaten sowie die Speicherung der Produkt- und Projektfotos (Vercel Blob) erfolgen in der Region Frankfurt am Main (Deutschland). Bestell-, Produkt- und Kontaktformulardaten liegen in einer PostgreSQL-Datenbank (Prisma Postgres). Zur Datensicherung legen wir täglich eine verschlüsselte Sicherungskopie dieser Datenbank sowie Kopien der Fotos in einem nicht öffentlichen Speicher bei Vercel ab, ebenfalls in der Region Frankfurt am Main (berechtigtes Interesse an Datensicherheit und Wiederherstellbarkeit, Art. 6 Abs. 1 lit. f DSGVO). Die Sicherungskopien der Datenbank werden nach 30 Tagen automatisch gelöscht. Mit Vercel besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Da Vercel Inc. seinen Sitz in den USA hat, kann es dennoch zu einer Übermittlung personenbezogener Daten in die USA kommen (etwa im Rahmen von Betrieb, Support und Missbrauchsabwehr). Vercel Inc. ist seit dem 4. Juni 2024 unter dem EU-US Data Privacy Framework zertifiziert. Für Übermittlungen in die USA besteht damit ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 als Übermittlungsgrundlage (Art. 45 DSGVO). 4. Cookies und lokaler Speicher Wir setzen ausschließlich technisch notwendige Cookies bzw. Speichertechnologien ein, für die keine Einwilligung nach § 25 Abs. 2 TDDDG erforderlich ist: ein Cookie zur Speicherung Ihrer Sprachauswahl (Deutsch/Englisch) sowie – nur beim Zugriff auf den internen Verwaltungsbereich – ein Sitzungs-Cookie zur Anmeldung. Warenkorb-Inhalte werden ausschließlich lokal in Ihrem Browser (localStorage) gespeichert und erst mit Abschluss einer Bestellung an unsere Server übermittelt. Wir setzen keine Analyse-, Marketing- oder Tracking-Cookies Dritter ein. 5. Bestellung und Kaufvertrag Bei einer Bestellung verarbeiten wir die im Bestellprozess eingegebenen Daten (Name, Lieferadresse, E-Mail-Adresse, bestellte Artikel, Preise) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zahlungsdaten (z. B. Kartendaten) werden ausschließlich direkt von unserem Zahlungsdienstleister Stripe verarbeitet (siehe Ziff. 6) und laufen zu keinem Zeitpunkt über unsere eigenen Server. Bestell- und Rechnungsdaten speichern wir für die Dauer der gesetzlichen Aufbewahrungsfristen (derzeit 8 Jahre gemäß § 257 HGB, § 147 AO), Grundlage ist Art. 6 Abs. 1 lit. c DSGVO. Wenn Sie Ihren Vertrag über unsere Online-Widerrufsfunktion („Vertrag widerrufen“) widerrufen, verarbeiten wir die dort angegebenen Daten (Name, Bestell- oder Rechnungsnummer, E-Mail-Adresse, ggf. Angaben zu den widerrufenen Artikeln) sowie Datum und Uhrzeit des Eingangs. Dies dient der Entgegennahme und Bestätigung Ihres Widerrufs, zu der wir gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB), sowie der Rückabwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Eingangsbestätigung an Sie und eine Benachrichtigung an uns werden über unser E-Mail-Postfach bei mailbox.org versandt (siehe Ziff. 8). Wir speichern Widerrufe, solange dies zum Nachweis des fristgerechten Widerrufs und zur Rückabwicklung erforderlich ist; soweit sie Grundlage einer Erstattung sind, gelten die oben genannten gesetzlichen Aufbewahrungsfristen. 6. Zahlungsabwicklung über Stripe Die Zahlungsabwicklung erfolgt über die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Als Anbieterin mit Sitz in der EU stehen wir vertraglich mit dieser irischen Gesellschaft in Beziehung. Stripe verarbeitet die im Bezahlvorgang eingegebenen Zahlungsdaten (u. a. Karten- und Zahlungsdaten, Betrag, IP-Adresse) in eigener Verantwortung als Verantwortliche im Sinne der DSGVO; es gilt die Datenschutzerklärung von Stripe (stripe.com/de/privacy), die auch etwaige Übermittlungen innerhalb der Stripe-Unternehmensgruppe außerhalb des EWR und die hierfür geltenden Garantien beschreibt. Rechtsgrundlage für die Weitergabe an Stripe: Art. 6 Abs. 1 lit. b DSGVO. 7. Kontaktformular Bei Nutzung des Kontaktformulars speichern wir die angegebenen Daten (Name, E-Mail-Adresse, Nachricht) zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Ihre Nachricht wird zusätzlich an unser E-Mail-Postfach weitergeleitet (siehe Ziff. 8). Wir löschen Kontaktanfragen, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. 8. Weitergabe an Dritte Wir geben personenbezogene Daten nur weiter, soweit zur Vertragserfüllung erforderlich oder gesetzlich verpflichtend. Für den Warenversand übermitteln wir Ihren Namen und Ihre Lieferanschrift an die DHL Group (Deutsche Post & DHL, Bonn). Der Versand von Bestellbestätigungen erfolgt über unser E-Mail-Postfach bei der mailbox.org Support & Media GmbH, Berlin; dabei werden Ihre E-Mail-Adresse und die Bestelldaten übermittelt. Die Zahlungsabwicklung erfolgt über Stripe (siehe Ziff. 6). 9. Speicherdauer Sofern oben nicht anders angegeben, löschen wir personenbezogene Daten, sobald der Verarbeitungszweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. 10. Ihre Rechte Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21). Wenden Sie sich hierzu an die oben genannte Kontaktadresse. Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, z. B. bei der Landesbeauftragten für den Datenschutz Niedersachsen (LfD Niedersachsen, www.lfd.niedersachsen.de). 11. Datenschutzbeauftragte:r Eine Pflicht zur Bestellung einer/eines Datenschutzbeauftragten besteht nach unserer Einschätzung nicht (§ 38 BDSG). 12. Automatisierte Entscheidungsfindung Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.