Datenschutzerklärung

Informationen zum Umgang mit Ihren personenbezogenen Daten

§1 Geltungsbereich

Diese Datenschutzerklärung gilt ausschließlich für die unter bathscope.com bereitgestellten Seiten. Für Internetseiten Dritter, auf die wir lediglich verweisen, übernehmen wir keine Verantwortung hinsichtlich des vertraulichen Umgangs mit personenbezogenen Daten. Bitte informieren Sie sich dort eigenständig.

§2 Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz Grundverordnung ist:

WddK Commerce UG (haftungsbeschränkt)
Hollerallee 26
28209 Bremen
Deutschland

vertreten durch Jonas Wendel

Kontakt für Datenschutzanfragen: info@bathscope.com (Im Folgenden auch „wir" oder „uns")

Ein Datenschutzbeauftragter ist nicht bestellt, da nach Art. 37 DSGVO und § 38 BDSG weder regelmäßig umfangreiche Verarbeitungstätigkeiten noch besondere Kategorien personenbezogener Daten oder eine dauerhafte Verarbeitung durch mindestens 20 Personen vorliegen.

§3 Allgemeine Hinweise zum Datenschutz

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation Telemedien Datenschutz Gesetz (TDDDG (vormals TTDSG)). Personenbezogene Daten werden vertraulich behandelt und nur zu den jeweils angegebenen Zwecken genutzt.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, Artikel 4 Nummer 1 DSGVO.
Verarbeitung bezeichnet jeden Umgang mit solchen Daten, zum Beispiel Erheben, Speichern, Auslesen oder Löschen, Artikel 4 Nummer 2 DSGVO.
Jede Verarbeitung benötigt eine gesetzliche Grundlage oder Ihre Einwilligung. Daten werden gelöscht, sobald der Zweck erreicht ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen.

Wir halten folgende Grundsätze ein

Zweckbindung: Daten werden nur für klar definierte, rechtmäßige Zwecke verarbeitet.
Datenminimierung: Es werden nur die Daten erhoben, die für den jeweiligen Zweck erforderlich sind.
Transparenz: Betroffene werden verständlich über Art, Umfang, Zweck, Rechtsgrundlagen und Empfänger der Verarbeitung informiert.
Speicherbegrenzung: Daten werden gelöscht oder anonymisiert, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten bestehen.
Integrität und Vertraulichkeit: Technische und organisatorische Maßnahmen schützen Daten vor Verlust, Missbrauch und unbefugtem Zugriff.

Keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO:

Es findet keine Entscheidung statt, die ausschließlich automatisiert erfolgt und rechtliche Wirkung entfaltet oder den Nutzer in ähnlicher Weise erheblich beeinträchtigt. Ein Profiling im Sinne von Art. 22 DSGVO wird nicht durchgeführt.

Kategorien von Empfängern, denen wir Daten offenlegen, soweit erforderlich

Hosting und Serverbetrieb: IONOS SE (Montabaur, Deutschland)
E-Mail Versand für Transaktionen und Support: Mailjet GmbH (Berlin, Deutschland)
KI Dienste zur Textgenerierung: IONOS SE (Montabaur, Deutschland) über den IONOS AI Model Hub
Authentifizierung und Login: Auth0 bzw. Okta, Inc. (San Francisco, USA)
Zahlungsabwicklung: Stripe Payments Europe Ltd. (Dublin, Irland) und verbundene Gesellschaften in den USA, PayPal Europe S.à r.l. et Cie, S.C.A. (Luxemburg, Luxemburg), Klarna Bank AB (publ) (Stockholm, Schweden)
Geocoding und Ortsvorschläge: HERE Technologies (Eindhoven, Niederlande)
Kartendarstellung: OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich)
Versanddienstleister: DHL Paket GmbH (Bonn, Deutschland)

Mit allen Dienstleistern, die als Auftragsverarbeiter tätig werden, bestehen Verträge nach Art. 28 DSGVO. Bei Übermittlungen in Drittländer stellen wir durch geeignete Garantien (zum Beispiel Standardvertragsklauseln oder Teilnahme am EU US Data Privacy Framework) ein angemessenes Datenschutzniveau sicher.

§4 Datenerhebung bei Besuch der Website

Beim Aufruf unserer Website werden automatisch technische Zugriffsdaten durch unseren Hosting-Anbieter IONOS SE erfasst und temporär in sogenannten Server-Logfiles gespeichert. Die Protokollierung in Server Logfiles ist für Betrieb und Sicherheit der Website zwingend erforderlich. Ein Widerspruch gegen diese Verarbeitung ist daher nicht möglich. Dabei werden folgende Daten protokolliert:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
Name und URL der abgerufenen Seite oder Datei
übertragene Datenmenge
Meldung über erfolgreichen Abruf (HTTP-Statuscode)
Referrer-URL (die zuvor besuchte Website)
Browsertyp, Browserversion und verwendetes Betriebssystem

Zweck und berechtigtes Interesse:

Die Erhebung dieser Log-Daten erfolgt zur Sicherstellung eines störungsfreien Betriebs sowie der Sicherheit unserer Website, insbesondere zur Erkennung und Abwehr von Missbrauch oder Angriffsversuchen. Rechtsgrundlage für diese Verarbeitung ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ergibt sich aus den genannten Sicherheitszwecken sowie der technischen Notwendigkeit, diese Daten zu speichern, um die Stabilität und Integrität unserer Webdienste zu gewährleisten. Die erhobenen Daten werden ausdrücklich nicht verwendet, um Rückschlüsse auf Ihre Person zu ziehen.

Speicherdauer der Logfiles:

Die Server-Logfiles werden spätestens 30 Tage nach Erhebung automatisiert gelöscht oder anonymisiert, sofern keine besonderen Umstände (z. B. laufende Angriffsversuche oder Sicherheitsvorfälle) eine längere Speicherung erforderlich machen.

Auftragsverarbeitung durch Hosting-Anbieter:

Unser Hosting-Anbieter IONOS SE verarbeitet diese Daten ausschließlich nach unseren Weisungen auf Basis eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Dieser Vertrag gewährleistet den Schutz und die Vertraulichkeit Ihrer personenbezogenen Daten.

HERE Maps Geocoding-Dienst:

Bei Eingabe des Geburtsortes im Horoskop-Fragebogen werden Ihre Angaben zur Erzeugung von Ortsvorschlägen an HERE Technologies B.V. (Eindhoven, Niederlande) übertragen. Auf der Bestelldetailseite wird - nach expliziter Zustimmung - Ihre Lieferadresse an HERE übertragen, um die Adresse in geografische Koordinaten umzuwandeln. Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht darin, eine präzise Adressvalidierung und eine fehlerfreie Zustellung zu ermöglichen. Die Übermittlung erfolgt innerhalb der EU.

Kartendarstellung mit OpenStreetMap:

Nach Ihrer Zustimmung zeigen wir auf der Bestelldetailseite Ihre Lieferadresse als Standort auf einer interaktiven Karte an. Diese Karte basiert auf OpenStreetMap, einem Dienst der OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich). Beim Laden der Karte wird Ihre IP-Adresse technisch bedingt an Server der OpenStreetMap Foundation übermittelt, um die Kartenkacheln an Ihren Browser auszuliefern. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das Vereinigte Königreich. Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, eine anschauliche und nutzerfreundliche Darstellung des Lieferorts bereitzustellen.

Content Delivery Networks (CDN):

Wir verwenden für eine optimierte und schnelle Bereitstellung von Bibliotheken sogenannte Content Delivery Networks, konkret jsDelivr, jQuery CDN und Bootstrap CDN. Beim Abruf dieser Ressourcen wird Ihre IP-Adresse technisch bedingt an diese CDN-Anbieter übermittelt, um Inhalte schnellstmöglich und fehlerfrei an Ihren Browser auszuliefern. Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Verbesserung der Ladegeschwindigkeit, Funktionalität und Nutzerfreundlichkeit unseres Angebotes.

§5 Kontaktformular und Support-Anfragen

Erhobene Daten im Kontaktformular

Wenn Sie über unser Kontakt- oder Support-Formular mit uns in Verbindung treten, erheben wir folgende personenbezogene Daten, die zur Bearbeitung Ihrer Anfrage erforderlich sind:

Name
E-Mail-Adresse
Inhalt Ihrer Nachricht

Diese Daten verwenden wir ausschließlich zur Beantwortung Ihrer Kontaktanfrage bzw. zur Bearbeitung Ihres Support-Falls. Eine Nutzung zu anderen Zwecken oder Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage für die Kontaktaufnahme

Die Verarbeitung der Daten aus dem Kontaktformular erfolgt auf Basis Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), welche Sie durch Absenden des Formulars erteilen. Zielt Ihre Anfrage auf den Abschluss eines Vertrags ab (z. B. Produktanfragen, Fragen zu einer Bestellung oder Support-Anfragen bestehender Kunden), erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen).

Spam Schutz mit ALTCHA (self hosted)

ALTCHA verwendet ein Proof of Work Verfahren im Browser, um Bots zu blockieren. Es werden keine personenbezogenen Daten an ALTCHA übertragen, es werden keine Cookies gesetzt und es findet kein Tracking oder Fingerprinting statt. Eine Übermittlung in Drittländer findet nicht statt, da ALTCHA ausschließlich auf unseren Servern betrieben wird. Rechtsgrundlage ist unser berechtigtes Interesse an der Absicherung der Formulare und der Missbrauchsprävention nach Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 TDDDG (vormals TTDSG), da keine nicht erforderlichen Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden. Eine Einwilligung ist nicht erforderlich.

Mailjet als E-Mail-Dienstleister

Zum Versand der Kontakt- oder Support-Anfragen nutzen wir den Dienstleister Mailjet (Mailjet GmbH, Deutschland). Die über das Kontaktformular eingegebenen Daten werden an Mailjet übermittelt, die den E-Mail-Versand in unserem Auftrag durchführen. Mailjet verarbeitet diese Daten ausschließlich in unserem Auftrag als sogenannter Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Vertrag zur Auftragsverarbeitung, der die datenschutzrechtlichen Vorgaben gewährleistet. Ihre Daten werden von Mailjet ausschließlich zur Bearbeitung Ihrer Anfrage verwendet und nicht zu eigenen Zwecken verarbeitet. Die Verarbeitung erfolgt dabei innerhalb von Rechenzentren in der EU.

Die Rechtsgrundlage für die Übermittlung und Verarbeitung durch Mailjet ist je nach Anfrage ebenfalls Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder die Durchführung vorvertraglicher Maßnahmen bzw. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Kontakt per E-Mail

Wenn Sie uns eine E-Mail senden, verarbeiten wir die Absenderadresse sowie alle personenbezogenen Angaben, die Sie in der Nachricht machen, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist unser berechtigtes Interesse an der Kommunikation mit Kunden, Artikel 6 Absatz 1 Buchstabe f DSGVO. Wir löschen die Nachricht, sobald keine gesetzliche Aufbewahrungspflicht mehr besteht und Ihr Anliegen abgeschlossen ist.

§6 Kundenkonto und Registrierung (Auth0)

Registrierungsdaten

Sie haben auf unserer Website die Möglichkeit, ein persönliches Kundenkonto anzulegen. Das Anlegen eines Kundenkontos ist freiwillig und unsere Dienste sind auch ohne ein Kundenkonto vollumfänglich nutzbar. Bei der Registrierung werden folgende personenbezogene Daten von Ihnen erhoben und gespeichert:

E-Mail-Adresse (verschlüsselt gespeichert)

Wir selbst speichern kein Passwort. Ihr Passwort wird ausschließlich bei unserem Authentifizierungsdienst Auth0 gespeichert und verarbeitet.

Diese Daten sind notwendig, um Ihnen den Zugang zu einem sicheren, passwortgeschützten Bereich bereitzustellen und Ihre Bestellungen sowie zugehörige Services verwalten zu können.

Zweck und Rechtsgrundlage

Die Verarbeitung der Registrierungsdaten erfolgt zur Erfüllung des Vertrags über die Nutzung Ihres Kundenkontos sowie zur Bereitstellung unserer Dienste gemäß Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben kann kein Kundenkonto erstellt und die damit verbundenen Dienste nicht genutzt werden.

Authentifizierungsdienst Auth0

Für Registrierung und Login nutzen wir den externen Dienst Auth0, ein Service von Okta, Inc. 100 First Street, 6th Floor, San Francisco, CA 94105, USA. Ihre Login Daten, E Mail Adresse und Passwort, werden direkt an Auth0 übermittelt, dort gespeichert und authentifiziert. Dabei findet eine Übermittlung in die USA statt. Auth0 LLC ist nach dem EU US Data Privacy Framework zertifiziert. Für diese Übermittlung besteht ein Angemessenheitsbeschluss der EU Kommission nach Art. 45 DSGVO. Solange die Zertifizierung aktiv ist, sind keine zusätzlichen Garantien erforderlich.

Wir prüfen die Zertifizierung regelmäßig. Sollte die Zertifizierung nicht mehr aktiv sein, stützen wir die Übermittlung auf die EU Standardvertragsklauseln nach Art. 46 DSGVO, ergänzt um zusätzliche technische und organisatorische Maßnahmen. Die Auth0 Zertifizierung umfasst nicht personenbezogene Daten im Beschäftigungskontext, Non HR Data.

E-Mail-Versand im Rahmen der Benutzerkontoverwaltung

Bestimmte E-Mails, die im Zusammenhang mit Ihrem Benutzerkonto stehen - zum Beispiel zur Bestätigung der Registrierung, zum Zurücksetzen Ihres Passworts oder bei sicherheitsrelevanten Kontoaktivitäten - werden automatisch durch Auth0 versendet. Hierfür wird ausschließlich Ihre E-Mail-Adresse verwendet. Diese systemtechnischen Nachrichten sind notwendig zur Kontoverwaltung und Sicherheit und erfolgen auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie ggf. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Dienste). Datenübermittlungen an Auth0 in die USA beruhen auf dem EU US Data Privacy Framework nach Art. 45 DSGVO.

Speicherdauer und Löschung

Die in Ihrem Kundenkonto gespeicherten Daten bleiben erhalten, solange Ihr Kundenkonto aktiv besteht. Sie können jederzeit die Löschung Ihres Kundenkontos veranlassen. In diesem Fall werden Ihre personenbezogenen Profildaten dauerhaft gelöscht, sofern nicht gesetzliche Aufbewahrungspflichten (etwa handels- oder steuerrechtliche Vorgaben) eine längere Speicherung vorschreiben.

Nutzen Sie unsere Dienste im Gastmodus ohne Registrierung, werden Ihre Daten lediglich temporär aus unseren eigenen Servern gespeichert und nach spätestens 90 Tagen automatisch gelöscht, um eine Datenminimierung zu gewährleisten. Eine Datenübermittlung an Auth0 geschieht im Gastmodus nicht.

§7 Bestellung und Vertragsabwicklung

Bestelldaten und Zweck der Verarbeitung

Wenn Sie eine Bestellung in unserem Onlineshop tätigen, erfassen wir zunächst lediglich Ihre E-Mail-Adresse sowie die ausgewählten Produkte im Warenkorb. Diese Angaben sind notwendig, um Ihre Bestellung technisch vorzubereiten und eindeutig zuordnen zu können. Diese Daten werden anschließend während des Bestellprozesses an Stripe übermittelt um dort den Zahlungsprozess durchzuführen.

Alle weiteren für die Vertragsabwicklung erforderlichen Daten - insbesondere Vor- und Nachname, Rechnungs- und Lieferanschrift sowie Zahlungsinformationen - werden nicht durch uns, sondern direkt durch unseren Zahlungsdienstleister Stripe erhoben. Diese Daten geben Sie eigenständig im Rahmen des Bestellprozesses bei Stripe ein. Stripe übermittelt diese Daten anschließend für die weitere Abwicklung Ihrer Bestellung an uns.

Die Verarbeitung Ihrer personenbezogenen Daten im Rahmen der Bestellung erfolgt zur Durchführung und Erfüllung des Kaufvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. (Vertragserfüllung).

Zahlungsdienstleister (Stripe, PayPal, Klarna)

Zur Abwicklung von Zahlungen setzen wir externe Zahlungsdienstleister ein:

Stripe Payments Europe Ltd. (Irland)
Bei Zahlung per Kreditkarte, Apple Pay oder anderen von Stripe unterstützten Zahlungsarten erfolgt die Eingabe Ihrer Zahlungsinformationen (z. B. Karteninhaber, Kartennummer, Prüfziffer, Gültigkeitsdatum) direkt bei Stripe. Stripe verarbeitet diese Daten eigenverantwortlich zur Durchführung der Zahlung. Des Weiteren erhebt Stripe die Lieferadresse sowie ggf. die Rechnungsadresse.
PayPal (PayPal Europe S.à r.l. et Cie, S.C.A., Luxemburg)
Bei Zahlung über PayPal erfolgt eine Weiterleitung an PayPal, wo Ihre Zahlungsdaten eigenverantwortlich durch PayPal verarbeitet werden.
Klarna Bank AB (publ), Schweden
Bei Zahlung mittels Klarna (z. B. Kauf auf Rechnung oder Sofortüberweisung) werden Ihre personenbezogenen Daten direkt durch Klarna erhoben und verarbeitet. Klarna nutzt diese Informationen eigenverantwortlich zur Zahlungsabwicklung sowie ggf. zur Identitäts- und Bonitätsprüfung.

Diese Zahlungsdienstleister verarbeiten Ihre Daten eigenverantwortlich, um die Zahlungstransaktion durchzuführen. Für diese Verarbeitung gelten ergänzend die Datenschutzbestimmungen des jeweiligen Zahlungsdienstleisters:

Weitergabe an Versanddienstleister

Zur Lieferung Ihrer Bestellung übermitteln wir Ihren Vor- und Nachnamen sowie die Lieferadresse an unseren Versanddienstleister (z. B. DHL oder DPD). Die Übermittlung dieser Daten ist zur Auslieferung der Waren erforderlich und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Aufbewahrungspflichten für Bestelldaten

Aufgrund gesetzlicher Vorgaben nach Handels- und Steuerrecht (§§ 147 AO, 257 HGB) sind wir verpflichtet, bestimmte Bestell- und Rechnungsdaten für zehn Jahre ab dem Ende des Kalenderjahres, in dem die Bestellung erfolgte, aufzubewahren. Daten, die nicht von diesen gesetzlichen Pflichten betroffen sind, löschen wir, sobald der Zweck der Speicherung entfällt.

Datenübermittlung an Behörden und zur Rechtsverteidigung

Wir übermitteln personenbezogene Daten an staatliche Stellen, wenn wir dazu rechtlich verpflichtet sind, Artikel 6 Absatz 1 Buchstabe c DSGVO. Zudem können Daten offengelegt werden, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein überwiegendes schutzwürdiges Interesse entgegensteht, Artikel 6 Absatz 1 Buchstabe f DSGVO.

Weitere Hinweise

Eine automatisierte Adress- oder Bonitätsprüfung findet nicht statt. Ebenso nutzen wir Ihre E-Mail-Adresse nach einer Bestellung nicht für Werbezwecke.

§8 Horoskop-Fragebogen und KI-gestützte Horoskop Generierung

Erhobene Angaben im Fragebogen

Für die Erstellung Ihres persönlichen Horoskops erfassen wir folgende Daten: Vorname, Geschlecht, Geburtsdatum, Geburtsort und Geburtszeit sowie Antworten auf vorgegebene Auswahlfragen zu Interesse, Element, Persönlichkeitsmerkmal, Beziehungsstatus, Wohlfühlort und aktueller Stimmung. Diese Angaben dienen ausschließlich der Individualisierung des Horoskops.

Datenminimierung und Weitergabe an IONOS AI Model Hub

An die IONOS AI Model Hub API übermitteln wir nur die für die Textgenerierung zwingend notwendigen Informationen: Sternzeichen, Geschlecht sowie die ausgewählten Antwortoptionen aus Interesse, Element, Persönlichkeit, Beziehungsstatus, Wohlfühlort und Stimmung. Vorname, exaktes Geburtsdatum, Geburtszeit und Geburtsort werden nicht an IONOS übertragen. Die Übermittlung erfolgt somit in pseudonymisierter bzw. anonymisierter Form, um das Datenvolumen und die Identifizierbarkeit zu minimieren.

KI Einsatz und Datenverarbeitung in Deutschland

Das Horoskop und sämtliche dazugehörigen Texte werden mithilfe des IONOS AI Model Hub erstellt, einem KI-Textgenerierungsdienst, der vollständig in Deutschland betrieben wird. Die oben genannten reduzierten Daten werden ausschließlich auf Servern von IONOS in Deutschland verarbeitet. Eine Übermittlung in Drittländer findet nicht statt. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder erheblicher Beeinträchtigung statt. Die Horoskope haben rein informativen und unterhaltenden Charakter.

Datenschutzvorteile durch lokale Verarbeitung

Durch die Nutzung des IONOS AI Model Hub profitieren Sie von besonders hohen Datenschutzstandards: Ihre Daten verlassen zu keinem Zeitpunkt den deutschen bzw. europäischen Rechtsraum. IONOS unterliegt vollständig dem deutschen und europäischen Datenschutzrecht, wodurch Ihre personenbezogenen Daten optimal geschützt sind.

Rechtsgrundlagen

Registrierte Kunden: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da das personalisierte Horoskop Teil des erworbenen Produkts ist.
Gastnutzer ohne Konto: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), erteilt durch das Absenden des Fragebogens.

Erweiterte KI Features

Zusätzliche Inhalte wie Tarot Texte, Chakra Balance Hinweise, tägliche Affirmationen, Sternenbotschaften oder Glückskeks Texte werden ebenfalls über die IONOS AI Model Hub API erzeugt. Auch hier werden ausschließlich die jeweils erforderlichen, bereits genannten Auswahlangaben übermittelt. Es gelten identische Rechtsgrundlagen. Die Datenverarbeitung erfolgt vollständig in Deutschland.

Speicherung und Löschung

Das generierte Horoskop wird in Ihrem Kundenkonto gespeichert, bis Sie es selbst löschen. Nutzen Sie den Dienst ohne Konto, werden Ihre Eingaben und das Horoskop nach 90 Tagen automatisch gelöscht. Auf jeder Horoskop Seite kann nur ein Horoskop erzeugt werden; eine Neugenerierung mit demselben Code ist nicht möglich.

Interessenabwägung und Datenschutz Folgenabschätzung

Wir haben den Einsatz personenbezogener Daten für KI Zwecke sorgfältig geprüft. Unser berechtigtes Interesse an einer innovativen, personalisierten Leistungserbringung wurde gegen mögliche Risiken für Ihre Rechte abgewogen. Durch strikte Datenminimierung, Pseudonymisierung und klare Löschfristen wurde das Risiko reduziert. Eine Datenschutz Folgenabschätzung gemäß Art. 35 DSGVO wurde durchgeführt. Details dazu finden Sie in § 13 dieser Datenschutzerklärung.

§9 Verwendung von Cookies

Wir setzen Cookies und vergleichbare Technologien ein, um unsere Website bereitzustellen, zu sichern und zu verbessern. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Wir unterscheiden zwischen technisch erforderlichen Cookies, die ohne Einwilligung eingesetzt werden dürfen, und optionalen Funktionen, deren Einsatz erst nach Ihrer Zustimmung erfolgt oder die ganz ohne Cookies arbeiten.

Technisch erforderliche Cookies (ohne Einwilligung)

Rechtsgrundlage: § 25 Abs. 2 TDDDG (vormals TTDSG) sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und nutzerfreundlichen Bereitstellung der Website. Ohne diese Cookies funktionieren zentrale Funktionen nicht.

Beispiele

session (Bathscope) - Zweck: Sitzungsverwaltung und Login Status
checkout_in_progress (Bathscope) - Zweck: Speicherung des Bestellfortschritts im Checkout
cookieConsent (Bathscope, LocalStorage) - Zweck: Speicherung Ihrer Cookie Einstellungen

Präferenz Cookies (nur mit Einwilligung)

Diese Cookies erleichtern die Nutzung, sind jedoch nicht zwingend erforderlich. Sie werden nur gesetzt, wenn Sie im Consent Tool zustimmen.

locale (Bathscope) - Zweck: Speicherung der gewählten Sprache

Statistiken

Wir betreiben die Open Source Lösung Plausible Analytics auf unseren eigenen Servern in Deutschland. Plausible speichert keine Cookies und legt keine dauerhaften Identifikatoren im Browser an. Erfasst werden ausschließlich aggregierte Nutzungsdaten wie aufgerufene URL, Referrer, Zeitstempel, Land, Gerätetyp und Browserklasse. Die IP Adresse wird vor Speicherung durch ein Einweg Hash Verfahren gekürzt und anonymisiert, sodass kein Rückschluss auf einzelne Personen möglich ist. Eine Zusammenführung mit anderen Daten oder ein geräteübergreifendes Tracking findet nicht statt. Die Daten verlassen unsere Server nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an einer anonymen Reichweitenmessung nach Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 25 Abs. 2 TDDDG, da keine Informationen auf Ihrem Endgerät ausgelesen oder gespeichert werden, die für Statistik erforderlich wären.

Externe Zahlungsdienstleister Cookies

Bei Nutzung unserer Zahlungsdienstleister (Stripe, PayPal, Klarna) können diese eigene Cookies setzen. Die Verarbeitung erfolgt auf deren Servern nach deren eigenen Datenschutzbestimmungen. Nähere Informationen finden Sie in den Datenschutzerklärungen der jeweiligen Anbieter.

Content Delivery Networks (CDN)

Zur schnellen Auslieferung von Bibliotheken nutzen wir jsDelivr, jQuery CDN und Bootstrap CDN. Dabei wird Ihre IP Adresse an den jeweiligen Anbieter übertragen. Eigene Cookies werden dort nicht gesetzt. Rechtsgrundlage ist unser berechtigtes Interesse an einer performanten Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO).

Verschlüsselung sensibler Daten

Besonders schützenswerte Daten wie E-Mail Adressen, Namen und Anschriften werden in unserer Datenbank mit AES 256 verschlüsselt gespeichert. Die Schlüssel werden getrennt und sicher verwahrt. Zahlungsdaten speichern wir nicht auf unseren Servern, dies übernimmt ausschließlich Stripe.

Consent Verwaltung

Beim ersten Besuch zeigen wir Ihnen einen Cookie Banner. Dort können Sie optionalen Tools zustimmen oder diese ablehnen. Ihre Entscheidung wird gespeichert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen. Nutzen Sie hierfür den entsprechenden Link oder Button in den Cookie Einstellungen auf unserer Website. Technisch notwendige Cookies können nicht abgewählt werden, da sie für den Betrieb der Seite erforderlich sind.

Zukünftige Analyse Werkzeuge

Weitere Tracking oder Marketing Tools setzen wir derzeit nicht ein. Sollten wir zusätzlich zu Plausible weitere Analyse oder Marketing Werkzeuge einsetzen, werden wir diese in dieser Erklärung benennen und, sofern erforderlich, Ihre Einwilligung einholen, bevor eine Datenverarbeitung stattfindet.

§10 Versand von Transaktions- und Service E-Mails

E-Mail-Versand durch Mailjet

Für den zuverlässigen Versand von Transaktions- und Service-E-Mails, darunter insbesondere Bestellbestätigungen, Versandbenachrichtigungen, Rechnungen sowie Nachrichten im Rahmen von Support-Anfragen, setzen wir den Dienstleister Mailjet (Mailjet GmbH, Berlin, Deutschland) ein. Mailjet übernimmt den E-Mail-Versand in unserem Auftrag als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Wir haben mit Mailjet einen Vertrag zur Auftragsverarbeitung geschlossen, der Mailjet verpflichtet, personenbezogene Daten ausschließlich gemäß unseren Weisungen zu verarbeiten und geeignete technische sowie organisatorische Maßnahmen zum Schutz der Daten zu ergreifen.

Art und Zweck der Datenverarbeitung

Zur Erfüllung unserer vertraglichen Verpflichtungen und zur Bearbeitung Ihrer Anfragen übermitteln wir an Mailjet Ihre E-Mail-Adresse sowie die jeweiligen E-Mail-Inhalte (beispielsweise Bestellinformationen in Bestätigungsmails oder Antworten auf Support-Anfragen).
Zu diesen Inhalten können insbesondere auch Ihr Name, Ihre Lieferadresse, der Inhalt Ihrer Bestellung sowie Rechnungsinformationen gehören, sofern diese für die jeweilige E-Mail erforderlich sind.

Mailjet verwendet diese Daten ausschließlich, um den zuverlässigen Versand und die Zustellung der Nachrichten sicherzustellen sowie technische Rückmeldungen über Zustellungen und Fehler (z. B. Bounces) auszuwerten. Eine Nutzung für eigene Zwecke durch Mailjet erfolgt nicht. Die Verarbeitung erfolgt innerhalb der EU.

Rechtsgrundlage der Verarbeitung

Die Datenverarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO, da diese E-Mails für die Erfüllung unseres Vertragsverhältnisses (z. B. Ihre Bestellung) oder für vorvertragliche Maßnahmen notwendig sind.

Für diese Art von systemrelevanten E-Mails ist keine gesonderte Einwilligung erforderlich.

E-Mails bei Registrierung und Kontoverwaltung

E-Mails im Zusammenhang mit der Registrierung, Passwort-Zurücksetzungen oder Kontobestätigungen werden nicht über Mailjet, sondern direkt über unseren Authentifizierungsdienst Auth0 versendet. Weitere Informationen hierzu finden Sie in § 5 dieser Datenschutzerklärung.

Hinweis auf mögliche zukünftige Newsletter

Derzeit versenden wir keine Newsletter oder Marketing-E-Mails. Sollte sich dies ändern, würden solche E-Mails ausschließlich mit Ihrer ausdrücklichen Einwilligung versendet (Double-Opt-in-Verfahren). In diesem Fall würden wir ebenfalls Mailjet nutzen und die Verarbeitung Ihrer E-Mail-Adresse wäre dann auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO gerechtfertigt.

Standort der Datenverarbeitung und Sicherheit

Die Datenverarbeitung durch Mailjet erfolgt in Rechenzentren innerhalb der Europäischen Union. Sollte es dennoch zu einer Datenübermittlung außerhalb der EU kommen, etwa zu Zwecken des technischen Supports durch den Anbieter, bestehen entsprechende Datenschutzgarantien in Form der Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO, die ein angemessenes Datenschutzniveau sicherstellen.

Mailjet verarbeitet Ihre Daten ausschließlich nach unseren Weisungen und nicht zu eigenen Zwecken. Wir gewährleisten durch vertragliche und technische Maßnahmen, dass Ihre personenbezogenen Daten sicher und vertraulich behandelt werden.

§11 Technische und organisatorische Maßnahmen

TLS Verschlüsselung

Unsere Website nutzt durchgehend SSL bzw. TLS Verschlüsselung. Sie erkennen dies an https in der Adresszeile und am Schloss Symbol im Browser. Dadurch sind alle Eingaben, insbesondere im Bestellprozess und in Formularen, vor dem Mitlesen durch Dritte geschützt.

Gesicherte Speicherung und Zugriffskontrolle

Personenbezogene Daten werden in einer geschützten Serverumgebung gespeichert. Datenbanken sind passwortgeschützt und nur einem ausdrücklich autorisierten Personenkreis zugänglich. Wir arbeiten nach dem Prinzip der minimalen Rechtevergabe, Mitarbeitende erhalten ausschließlich die Zugriffe, die sie für ihre Aufgabe benötigen. Regelmäßige Backups werden erstellt und verschlüsselt aufbewahrt.

Hosting in Deutschland

Shop und Daten werden in Rechenzentren unseres Hosting Anbieters IONOS in Deutschland betrieben. Damit unterliegen alle gespeicherten Informationen den deutschen und europäischen Datenschutzstandards. Werden ergänzend Cloud Dienste innerhalb der EU genutzt, stellen wir sicher, dass diese denselben Schutz gewährleisten. Für Übermittlungen in Drittländer gelten die unten beschriebenen Garantien.

Auftragsverarbeitungsverträge

Mit allen Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten, bestehen schriftliche Verträge nach Art. 28 DSGVO. Diese verpflichten die Anbieter, Daten ausschließlich nach unseren Weisungen zu verarbeiten, angemessene Sicherheitsmaßnahmen umzusetzen und Löschpflichten einzuhalten.

Session Verwaltung mit Redis

Sitzungsdaten wie Warenkorb und Login Status speichern wir serverseitig in einer Redis Datenbank. Ihr Browser erhält lediglich eine zufällige Session ID als Cookie. Die eigentlichen Sitzungsinhalte verbleiben verschlüsselt auf unseren Servern bei IONOS.

Internationale Datenübermittlungen und Garantien

Datenübermittlungen in Drittländer erfolgen nur auf gesetzlicher Grundlage. Wir nutzen je nach Anbieter die folgenden Mechanismen und dokumentieren diese fortlaufend.

Auth0, Okta, USA, Grundlage Art. 45 DSGVO. Übermittlung gestützt auf das EU US Data Privacy Framework, Zertifizierung aktiv, Datenkategorie Non HR Data.
Stripe. Verarbeitung primär durch Stripe Payments Europe Ltd. in Irland. Soweit Stripe verbundene Gesellschaften außerhalb der EU einsetzt, erfolgt die Übermittlung auf Basis der EU Standardvertragsklauseln nach Art. 46 DSGVO mit zusätzlichen technischen und organisatorischen Maßnahmen.
PayPal Europe, Luxemburg, sowie Klarna, Schweden. Verarbeitung in der EU. Soweit ausnahmsweise eine Drittlandübermittlung erforderlich ist, erfolgt diese nach Art. 46 DSGVO auf Basis der EU Standardvertragsklauseln.
OpenStreetMap Foundation, Vereinigtes Königreich. Übermittlung gestützt auf den Angemessenheitsbeschluss der EU Kommission für das Vereinigte Königreich nach Art. 45 DSGVO.

Wir überwachen die jeweiligen Rechtsgrundlagen regelmäßig. Bei Änderungen passen wir die Maßnahmen unverzüglich an und informieren in dieser Datenschutzerklärung.

Weitere Schutzmaßnahmen

Wir setzen auf Pseudonymisierung und Verschlüsselung sensibler Informationen, halten unsere Systeme durch regelmäßige Updates aktuell, verwenden Firewalls und Malware Schutz zum sicheren Umgang mit personenbezogenen Daten. Diese Maßnahmen werden laufend überprüft und bei Bedarf angepasst.

§12 Rechte der betroffenen Person

Recht auf Auskunft (Art. 15 DSGVO)

Sie können jederzeit eine Bestätigung verlangen, ob wir personenbezogene Daten zu Ihrer Person verarbeiten. Ist dies der Fall, haben Sie Anspruch auf unentgeltliche Auskunft über diese Daten sowie über Zwecke, Kategorien, Empfänger, geplante Speicherdauer und weitere gesetzlich vorgesehene Informationen.

Recht auf Berichtigung (Art. 16 DSGVO)

Sind Ihre gespeicherten Daten unrichtig oder unvollständig, können Sie deren Berichtigung oder Vervollständigung verlangen. Bitte wenden Sie sich hierfür an die unter § 1 genannten Kontaktmöglichkeiten.

Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern kein gesetzlicher Aufbewahrungsgrund oder ein sonstiger Vorrang tatbestandlich entgegensteht. Dies gilt insbesondere, wenn der Verarbeitungszweck entfallen ist, Sie eine Einwilligung widerrufen haben oder wir Daten unrechtmäßig verarbeiten.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter bestimmten Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen, zum Beispiel für die Dauer einer von Ihnen bestrittenen Datenrichtigkeit oder wenn Sie statt einer Löschung eine bloße Sperrung wünschen.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Auf Wunsch stellen wir Ihnen die von Ihnen bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung oder übertragen sie an einen anderen Verantwortlichen, soweit dies technisch machbar ist und Rechte Dritter nicht beeinträchtigt werden.

Widerspruchsrecht (Art. 21 DSGVO)

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen Verarbeitungen einlegen, die wir auf ein berechtigtes Interesse stützen. Eine Verarbeitung zu Zwecken der Direktwerbung wird nach Ihrem Widerspruch unverzüglich beendet.

Widerruf von Einwilligungen

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt. Zuständig ist in der Regel die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes oder des Ortes des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen, Arndtstraße 1, 27570 Bremerhaven, E-Mail: office@datenschutz.bremen.de.

Schadensersatz (Art. 82 DSGVO)

Im Falle eines Verstoßes gegen die DSGVO steht Ihnen ein Anspruch auf Schadensersatz zu. Dies umfasst auch immaterielle Schäden. Nach aktueller Rechtsprechung kann bereits der Verlust der Kontrolle über eigene personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellen.

Ausübung Ihrer Rechte

Zur Geltendmachung Ihrer Rechte genügt eine formlose Mitteilung an die in § 1 genannte Kontaktadresse. Wir beantworten Anfragen unverzüglich, spätestens innerhalb der gesetzlichen Frist von 30 Tagen.

§13 Aufbewahrungsfristen und Datenlöschung

Grundsatz der Speicherbegrenzung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Entfällt der Zweck und bestehen keine gesetzlichen Aufbewahrungspflichten mehr, werden die Daten gelöscht oder anonymisiert (Art. 5 Abs. 1 lit. e DSGVO).

Konkrete Fristen nach Datenkategorien

Vertrags und Bestelldaten: steuerrelevante Unterlagen wie Rechnungen und Zahlungsbelege werden zehn Jahre aufbewahrt, geschäftliche Korrespondenz wie Kaufverträge sechs Jahre. Die Fristen beginnen mit dem Schluss des Kalenderjahres, in dem die Daten angefallen sind.
Kundenkonto Daten: bleiben gespeichert, solange Ihr Konto aktiv ist. Nach Kontolöschung entfernen wir die Daten innerhalb kurzer Zeit, soweit keine gesetzlichen Pflichten entgegenstehen.
Horoskopdaten: bei Gastnutzung löschen wir Fragebogen Antworten und das generierte Horoskop automatisch nach 90 Tagen. In Kundenkonten gespeicherte Horoskope bleiben erhalten, bis Sie sie selbst löschen oder das Konto entfernen.
Support und Kontaktanfragen: werden nach Abschluss der Kommunikation gelöscht. Zur Nachweisführung können E-Mails bis zu zwei Jahre aufbewahrt werden, anschließend erfolgt die Löschung.
Server Logfiles: werden maximal 30 Tage gespeichert und anschließend automatisch gelöscht oder anonymisiert, es sei denn, sicherheitsrelevante Gründe erfordern ausnahmsweise eine längere Aufbewahrung.
Session Daten: serverseitige Sitzungsinformationen (zum Beispiel Warenkorb, Login Status) werden spätestens 24 Stunden nach der letzten Aktivität gelöscht.
Abgebrochene Bestellungen: Datensätze ohne Abschluss werden in der Regel innerhalb weniger Stunden, spätestens nach 24 Stunden entfernt.

Anonymisierung statt Löschung

In einzelnen Fällen anonymisieren wir Daten, anstatt sie zu löschen. Dabei entfernen wir alle personenbezogenen Merkmale, sodass keine Zuordnung zu einer Person mehr möglich ist. Solche anonymen Datensätze können wir für Statistik oder Systemoptimierung länger aufbewahren, da sie nicht mehr dem Datenschutzrecht unterliegen.

Regelmäßige Prüfung und Löschkonzept

Wir überprüfen die Erforderlichkeit der Speicherung regelmäßig und haben interne Prozesse etabliert, um Löschfristen einzuhalten und Daten entweder fristgerecht zu löschen oder zu anonymisieren.

§14 Künstliche Intelligenz und EU Rechtslage 2025 (EU AI Act)

Rechtsrahmen und Zeitplan des EU AI Act

Der Artificial Intelligence Act wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und ist am 1. August 2024 in Kraft getreten. Ab 2. Februar 2025 gelten bereits die Verbote bestimmter KI Praktiken sowie Anforderungen an KI Kompetenz. Ab 2. August 2025 greifen unter anderem Regeln für General Purpose AI Modelle, Governance und Sanktionsvorschriften. Die übrigen Pflichten, insbesondere für Hochrisiko Systeme, gelten weitgehend ab 2. August 2026; einzelne Artikel (z. B. Art. 6 Abs. 1) folgen am 2. August 2027.

Einordnung unseres KI Einsatzes

Unser Horoskopdienst nutzt ein Textgenerierungssystem mit Unterhaltungscharakter und entfaltet keine rechtliche Wirkung. Er ist daher nicht als Hochrisiko System eingestuft. Transparenzanforderungen erfüllen wir, indem wir Nutzer vor Eingabe klar über den KI Einsatz informieren (siehe § 7).

Durchgeführte Datenschutz Folgenabschätzung (DSFA)

Wir haben am 27.07.2025 eine DSFA gemäß Art. 35 DSGVO abgeschlossen. Ergebnis: Alle identifizierten Risiken (Re-Identifizierung, Datenmissbrauch, unbefugter Zugriff) wurden durch Datenminimierung, Pseudonymisierung und technische Schutzmaßnahmen auf ein niedriges Restrisiko reduziert. Eine Konsultation der Aufsichtsbehörde war nicht erforderlich.

Auftragsverarbeitung mit IONOS

Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO für die Nutzung des AI Model Hub. Da die Datenverarbeitung vollständig in Deutschland erfolgt, sind keine besonderen Garantien für internationale Datentransfers erforderlich.

Internes KI Verzeichnis und Monitoring

Wir dokumentieren eingesetzte KI Systeme intern, bewerten fortlaufend mögliche Risiken (z. B. diskriminierende Ausgaben) und überprüfen regelmäßig die Qualität der Ergebnisse.

Kontinuierliche Anpassung

Wir beobachten die weitere Umsetzung des AI Act und ergänzende Leitlinien. Prozesse und diese Datenschutzerklärung werden aktualisiert, sobald neue Pflichten für unseren konkreten KI Einsatz verbindlich werden.

§15 Weitere Hinweise und zukünftige Änderungen

Kein Angebot für Minderjährige

Unser Angebot richtet sich an Personen ab 16 Jahren. Wir fordern nicht bewusst personenbezogene Daten von Kindern oder Jugendlichen unter 16 Jahren an. Werden uns dennoch entsprechende Daten bekannt, löschen wir diese unverzüglich. Sofern ein Minderjähriger unseren Dienst nutzen möchte, ist die Zustimmung der Erziehungsberechtigten erforderlich.

Anpassungen bei neuen Funktionen

Wir passen diese Datenschutzerklärung an, sobald sich Zwecke, Rechtsgrundlagen oder Empfänger der Datenverarbeitung ändern. Dies gilt insbesondere, wenn künftig zusätzliche Tracking Dienste, Newsletter Angebote oder andere Verarbeitungstätigkeiten eingeführt werden. Soweit gesetzlich nötig, holen wir vor der Nutzung neuer Tools Ihre Einwilligung ein.

Transparenz und Verständlichkeit

Wir prüfen fortlaufend, ob ergänzende, leicht verständliche Kurzfassungen oder FAQ Formate sinnvoll sind, um Informationen zum Datenschutz noch zugänglicher zu machen, insbesondere auf mobilen Endgeräten.

Fragen zum Datenschutz

Wenn Sie Fragen zu dieser Datenschutzerklärung oder zur Verarbeitung Ihrer personenbezogenen Daten haben, wenden Sie sich jederzeit an die in § 1 genannten Kontaktmöglichkeiten. Wir helfen gern weiter.

Stand: August 2025