Datenschutzerklärung

Letzte Fassung: 25. August 2026

1. Wer für Ihre Daten verantwortlich ist

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Lorenz & Rotsch GbR
Sandheide 28
21714 Hammah
Deutschland

Vertretungsberechtigte Gesellschafter: Richard Rotsch, Enzo Lorenz
E-Mail: info@304supply.de
Telefon: +49 176 47114202

Für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte erreichen Sie uns unter info@304supply.de.

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten bestellt, weil bei uns in der Regel weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).

2. Worum es in dieser Erklärung geht

Wir betreiben unter 304supply.de einen Online-Shop für Schmuck aus 304er Edelstahl. Diese Erklärung sagt Ihnen, welche Daten wir dabei verarbeiten, warum wir das tun, auf welcher Rechtsgrundlage, wie lange wir die Daten speichern und welche Rechte Sie haben.

Personenbezogene Daten sind alle Angaben, die sich auf Sie beziehen oder auf Sie zurückführbar sind. Dazu gehören Ihr Name, Ihre Anschrift, Ihre E-Mail-Adresse, aber auch Ihre IP-Adresse und Kennungen, die Ihrem Gerät zugeordnet werden.

3. Unsere Grundsätze

• Wir speichern nur, was wir für den jeweiligen Zweck brauchen.
• Wir nennen Ihnen für jede Verarbeitung die Rechtsgrundlage.
• Eine Einwilligung, die Sie uns erteilt haben, können Sie jederzeit für die Zukunft widerrufen.
• Alle Dienstleister, die für uns Daten verarbeiten, arbeiten auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Überblick: welche Dienste wir einsetzen

Dienst	Wofür	Rechtsgrundlage	Wo die Daten liegen
Shopify	Shop, Warenkorb, Kasse, Kundenkonto, Bestellungen	Art. 6 Abs. 1 lit. b und lit. f	Irland, Kanada, USA
Shopify Payments / Stripe, PayPal, Klarna, Apple Pay, Shop Pay, Google Pay	Zahlung	Art. 6 Abs. 1 lit. b	EU, USA
Billbee	Versandabwicklung, Etiketten, Rechnungen	Art. 6 Abs. 1 lit. b	Deutschland
DHL	Zustellung und Sendungsverfolgung	Art. 6 Abs. 1 lit. b	Deutschland
Klaviyo	E-Mail-Marketing und Transaktionsmails, Kundenprofil	Art. 6 Abs. 1 lit. a, lit. b, lit. f	USA
Vercel	Betrieb unserer eigenen Inner-Circle-App auf auth.304supply.de, Serverprotokolle	Art. 6 Abs. 1 lit. b und lit. f	USA, EU
Resend	Versand der Anmelde- und Login-Mails des Inner Circle	Art. 6 Abs. 1 lit. b	USA
Microsoft Clarity	Sitzungsaufzeichnung und Heatmaps	wird beim Aufruf der Seite geladen	USA
Triple Whale	Messung, welche Werbung zu einer Bestellung geführt hat	wird beim Aufruf der Seite geladen	USA
Judge.me	Produktbewertungen	Art. 6 Abs. 1 lit. a und lit. f	Vereinigtes Königreich
Pandectes GDPR Compliance	der Cookie-Hinweis selbst und der Nachweis Ihrer Einwilligung	Art. 6 Abs. 1 lit. c, § 25 Abs. 2 Nr. 2 TDDDG	Estland
hCaptcha / reCAPTCHA (über Shopify)	Schutz der Formulare vor automatisierten Anfragen	Art. 6 Abs. 1 lit. f	USA

5. Die Verarbeitungen im Einzelnen

5.1 Aufruf unserer Website

Wenn Sie 304supply.de aufrufen, verarbeitet unser Shop-System technisch notwendige Daten: Ihre IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, die zuvor besuchte Seite, Browsertyp und Betriebssystem sowie die übertragene Datenmenge.

Zweck ist die Auslieferung der Seite, die Stabilität des Shops und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, den Shop sicher und funktionsfähig zu betreiben.

Der Shop wird von der Shopify International Limited betrieben. Shopify verarbeitet diese Daten in unserem Auftrag und ist zugleich für einige eigene Zwecke verantwortlich. Einzelheiten dazu stehen in Abschnitt 5.2.

Speicherdauer: nach den Vorgaben von Shopify; eine feste Frist nennt der Anbieter nicht.

5.2 Shop-Plattform Shopify

Anbieter: Shopify International Limited, Victoria Buildings, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland, mit Konzernmutter Shopify Inc., Ottawa, Kanada.

Shopify hostet den Shop, verwaltet Warenkorb, Kasse, Kundenkonto und Bestellungen und setzt dafür technisch notwendige Cookies. Dazu gehören unter anderem Sitzungs- und Warenkorb- Cookies sowie Cookies zur Betrugsabwehr an der Kasse.

Rechtsgrundlage für die Vertragsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO. Für die technisch notwendigen Cookies gilt § 25 Abs. 2 Nr. 2 TDDDG, dafür brauchen wir keine Einwilligung. Für die Betrugsabwehr stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO.

Shopify verarbeitet Daten auch außerhalb der EU, insbesondere in Kanada und den USA. Für Kanada besteht ein Angemessenheitsbeschluss der Europäischen Kommission für gewerbliche Organisationen. Für Übermittlungen in die USA gilt Abschnitt 6.

Shopify setzt für uns außerdem sogenannte Web Pixels ein.

5.3 Cookies, Tracking und Ihre Einwilligung

Auf 304supply.de setzen wir Cookies und vergleichbare Techniken ein. Wir unterscheiden zwei Gruppen.

Technisch notwendig. Ohne sie funktioniert der Shop nicht. Dazu gehören Warenkorb, Anmeldung, Spracheinstellung, Sicherheitsprüfungen an der Kasse und die Speicherung Ihrer Cookie-Entscheidung selbst. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b und lit. f DSGVO. Hierfür brauchen wir keine Einwilligung.

Nicht notwendig. Dazu gehören Sitzungsaufzeichnung, Reichweitenmessung, Werbemessung und Marketing. Für diese Gruppe holen wir Ihre Einwilligung über den Cookie-Hinweis ein. Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Den Cookie-Hinweis liefert die App Pandectes GDPR Compliance, Pudisoo küla, Männimäe/1, 74626 Kuusalu vald, Estland. Sie speichert Ihre Entscheidung und dokumentiert sie, damit wir die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO).

Sie können Ihre Entscheidung jederzeit ändern oder widerrufen. Klicken Sie dazu auf das Cookie-Symbol unten links auf jeder Seite. Der Widerruf wirkt für die Zukunft.

Was heute abweichend davon tatsächlich geschieht. Wir sagen Ihnen das offen, weil wir Ihnen keine Beschreibung geben wollen, die von der Wirklichkeit abweicht. Zwei Dienste werden bereits beim Aufruf unserer Seiten geladen, also bevor Sie im Cookie-Hinweis eine Entscheidung getroffen haben:

Dienst	Was beim Aufruf der Seite passiert
Microsoft Clarity	Es wird eine Verbindung zu clarity.ms aufgebaut. Ab diesem Moment werden Ihre Mausbewegungen, Klicks, Scrollbewegungen, aufgerufene Seiten und Angaben zu Ihrem Browser und Gerät erfasst und zu einer abspielbaren Sitzungsaufzeichnung zusammengesetzt. Einzelheiten in Abschnitt 5.10.
Triple Whale	Es wird eine Verbindung zu config-security.com aufgebaut, einer Messadresse dieses Anbieters. Dabei wird eine dauerhafte Gerätekennung gesetzt und Ihr Weg durch den Shop mit einer späteren Bestellung zusammengeführt. Einzelheiten in Abschnitt 5.11.

Das geschieht unabhängig davon, ob Sie im Cookie-Hinweis zugestimmt, abgelehnt oder gar nichts angeklickt haben. Wenn Sie das nicht möchten, können Sie beide Dienste heute nur über Ihren Browser oder eine Erweiterung blockieren, zum Beispiel indem Sie die genannten Adressen sperren. Wir arbeiten daran, beide Dienste hinter den Cookie-Hinweis zu legen.

Speicherdauer der Einwilligungsnachweise: 3 Jahre ab Erteilung oder Widerruf

5.4 Bestellung und Vertragsabwicklung

Wenn Sie bestellen, verarbeiten wir: Vor- und Nachname, Rechnungs- und Lieferanschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, die bestellten Artikel, den Bestellwert, das Zahlungsmittel, den Zahlungsstatus und die Bestellnummer.

Zweck ist die Erfüllung des Kaufvertrags mit Ihnen, einschließlich Versand, Rechnung, Rückfragen und Abwicklung von Rückgaben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit wir die Daten für die Buchhaltung aufbewahren, zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Die Angabe dieser Daten ist für den Vertragsschluss erforderlich. Ohne sie können wir Ihre Bestellung nicht ausführen.

5.5 Zahlung

Die Zahlung läuft je nach gewählter Zahlungsart über einen der folgenden Anbieter:

• Shopify Payments, technisch abgewickelt durch die Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg
• Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden

• Apple Pay, Google Pay und Shop Pay als beschleunigte Bezahlwege über Shopify

An den jeweiligen Anbieter geben wir die für die Zahlung nötigen Daten weiter: Name, Anschrift, E-Mail-Adresse, Betrag und Bestellbezug. Zahlungskartendaten und Bankdaten geben Sie unmittelbar beim Zahlungsdienstleister ein. Wir sehen und speichern sie nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Zahlungsdienstleister sind für ihre eigenen Zwecke, insbesondere Betrugsabwehr und Bonitätsprüfung, eigenständig verantwortlich. Bitte lesen Sie dazu deren eigene Datenschutzhinweise.

5.6 Versand über Billbee und DHL

Für die Versandabwicklung nutzen wir Billbee Billbee GmbH, Arolser Str. 10, 34477 Twistetal, Deutschland. Billbee übernimmt Bestelldaten aus Shopify, erzeugt Versandetiketten und Belege und meldet die Sendungsnummer zurück.

Die Zustellung übernimmt die DHL DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, Deutschland. Wir übermitteln dafür Name, Lieferanschrift und, wenn Sie sie angegeben haben, E-Mail-Adresse und Telefonnummer. Die E-Mail-Adresse und die Telefonnummer dienen der Benachrichtigung über die Zustellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Beide Anbieter verarbeiten die Daten in Deutschland.

5.7 Kundenkonto und Inner Circle

Der 304 Inner Circle ist unser kostenloses Mitgliederprogramm. Er läuft über eine eigene Anwendung, die wir unter auth.304supply.de betreiben. Gehostet wird sie bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA.

Anmeldung ohne Passwort. Sie geben Ihre E-Mail-Adresse ein und erhalten von uns einen einmaligen Anmeldelink. Dieser Link ist 30 Minuten gültig. Erst der Klick auf den Link beweist, dass die Adresse Ihnen gehört. Wir speichern kein Passwort. Der Versand dieser Anmelde- und Bestätigungsmails läuft über Resend, Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.

Nach dem Login setzen wir ein Sitzungs-Cookie mit dem Namen _ic_session. Es ist ein Jahr gültig und dient allein dazu, Sie angemeldet zu halten. Zusätzlich liegt ein
Sitzungsmerkmal in der lokalen Speicherung Ihres Browsers, weil manche Browser Cookies zwischen unseren beiden Domains blockieren.

Was wir zu Ihrer Mitgliedschaft speichern. Wir speichern die folgenden Angaben an Ihrem Kundendatensatz bei Shopify. Eine eigene Datenbank betreiben wir nicht.

Feld	Inhalt
miles_balance, miles_lifetime	aktueller Miles-Stand und insgesamt gesammelte Miles
miles_expires_at	Datum, an dem Ihre Miles verfallen
miles_history	Buchungsjournal Ihrer Miles, gekürzt auf die letzten 200 Einträge
actions_completed, pending_submissions	erledigte und eingereichte Challenges
pending_discount, pending_redeem	offene Rabattcodes aus einer Miles-Einlösung
referred_by, referral_invites, referral_unlock	wer Sie geworben hat und wen Sie eingeladen haben
birthday	Ihr Geburtstag, nur Tag und Monat, ohne Jahr
phone	Ihre Telefonnummer, wenn Sie sie angeben
instagram_handle, tiktok_handle	Ihr Account-Name, wenn Sie eine Follow-Challenge machen
login_streak	wie viele Tage in Folge Sie sich angemeldet haben
email_verified, consent_state	ob Ihre Adresse bestätigt ist und ob eine Werbeeinwilligung vorliegt
whatsapp_consent_at, whatsapp_consent_version	Zeitpunkt und Wortlaut einer WhatsApp-Einwilligung
attribution	Herkunft Ihres ersten Besuchs: UTM-Werte, Landeseite, verweisende Seite. Ohne IP-Adresse und ohne Browserkennung.
return_ledger	Register Ihrer Rückgabe-Gutschriften
used_auth_codes, redeem_idem	technische Einmal-Kennungen, damit ein Link oder eine Einlösung nicht doppelt wirkt
last_order_at, delivered_at, ic_joined_at	Zeitpunkte für die Steuerung der Mitgliedschaft
email_flow_log	wann welche automatische Mail zuletzt an Sie ging, damit Sie nicht zu viele bekommen
Kunden-Tags	inner-circle, Ihre Klasse, gegebenenfalls ic-nurture

Zwecke und Rechtsgrundlagen.

• Betrieb Ihres Mitgliedskontos, Anmeldung, Miles-Konto, Prämien: Art. 6 Abs. 1 lit. b DSGVO. Die Mitgliedschaft ist ein eigenes Vertragsverhältnis mit uns.
• Geburtstag, Telefonnummer, Instagram- und TikTok-Name: Art. 6 Abs. 1 lit. a DSGVO. Diese Angaben sind freiwillig. Sie erhalten dafür Miles. Wenn Sie sie nicht angeben, bleibt Ihre Mitgliedschaft in vollem Umfang bestehen, Sie bekommen nur diese Miles nicht.
• attribution: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Auswertung, über welchen Weg Mitglieder zu uns kommen.
• return_ledger, used_auth_codes, redeem_idem und die Anti-Missbrauchs-Grenzen: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Verhinderung von Missbrauch des Programms.

Löschung. Sie können Ihr Mitgliedskonto jederzeit löschen lassen. Schreiben Sie dazu formlos an info@304supply.de. Mit dem Kundendatensatz entfallen alle oben genannten Felder in einem Schritt. Ihre Bestell- und Rechnungsdaten bleiben getrennt davon so lange gespeichert, wie es das Steuer- und Handelsrecht verlangt (Abschnitt 7).

5.8 Rückgabe, Widerruf und die Miles-Alternative

Wenn Sie eine Rückgabe über unser Retouren-Portal starten oder Ihren Widerruf online erklären, verarbeiten wir Ihren Namen, Ihre Bestellnummer und Ihre E-Mail-Adresse. Sie erhalten eine Eingangsbestätigung auf einem dauerhaften Datenträger.

Wenn Sie sich für die freiwillige Alternative "1,5-facher Warenwert als Miles-Guthaben" entscheiden, legen wir dazu einen Eintrag im Register return_ledger an. Der Eintrag enthält Bestellnummer, Warenwert, gutgeschriebene Miles, Datum und Status.

Rechtsgrundlage für die Bearbeitung des Widerrufs: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 355 ff. BGB. Rechtsgrundlage für das Register: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Nachvollziehbarkeit von Gutschriften und die Verhinderung von Mehrfachnutzung.

5.9 E-Mail-Marketing über Klaviyo

Anbieter: Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA

Klaviyo versendet für uns zwei verschiedene Arten von E-Mails, und die Regeln dafür sind verschieden.

Transaktions- und Service-Mails. Bestellbestätigung, Versandbenachrichtigung, Anmeldelink, Bestätigung einer Rückgabe, Ausgabe eines von Ihnen angeforderten Rabattcodes. Diese Mails gehören zur Abwicklung Ihres Vertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie erhalten sie ohne gesonderte Einwilligung und können sie nicht abbestellen, solange ein Vertrag läuft.

Werbe-Mails. Willkommensserie, Erinnerungen an Ihr Miles-Guthaben, Geburtstagsaktion, Rückgewinnung, Bewertungsanfragen, Empfehlungsaufrufe und Angebote. Diese senden wir nur:

1. wenn Sie ausdrücklich eingewilligt haben und diese Einwilligung durch Klick auf den Bestätigungslink bestätigt haben (Double-Opt-in). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG; oder
2. wenn Sie bei uns gekauft haben und wir Ihnen Werbung für eigene ähnliche Waren senden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und § 7 Abs. 3 UWG. In diesem Fall weisen wir Sie in jeder Mail darauf hin, dass Sie widersprechen können.

Wir dokumentieren Zeitpunkt und Zustand Ihrer Einwilligung, damit wir sie nachweisen können (Art. 7 Abs. 1 DSGVO).

Was in Ihrem Klaviyo-Profil steht. Bei einer Messung am 19.08.2026 waren 501 Profile angelegt. Ein Profil kann enthalten: Name, Anschrift, Telefonnummer, Geburtstag (Tag und Monat), Ihre Bestellungen und Bestellwerte, welche Mails Sie geöffnet und angeklickt haben, Ihre Inner-Circle-Klasse und Ihren Miles-Stand. Bei einem Teil der Profile ist zusätzlich eine IP-Adresse gespeichert (am 19.08.2026 waren das 10 von 501). Diese stammt aus dem Anmeldevorgang.

Öffnungs- und Klickmessung. In unseren Werbe-Mails messen wir, ob Sie die Mail geöffnet und welche Links Sie angeklickt haben. Wir nutzen das, um unsere Mails zu verbessern und Ihnen passendere Inhalte zu schicken. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit der Anmeldung zum Newsletter erteilen.

Widerruf. Sie können Ihre Einwilligung jederzeit widerrufen. Nutzen Sie dafür den Abmeldelink am Ende jeder Werbe-Mail oder schreiben Sie an info@304supply.de. Der Widerruf wirkt für die Zukunft. Transaktionsmails erhalten Sie danach weiterhin.

5.10 Sitzungsaufzeichnung mit Microsoft Clarity

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, und Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA.

Clarity zeichnet auf, wie Sie unsere Seiten benutzen. Erfasst werden Mausbewegungen, Scrollverhalten, Klicks, aufgerufene Seiten, Verweildauer, Browsertyp, Bildschirmgröße, ungefährer Standort auf Länderebene und eine gekürzte oder verarbeitete IP-Adresse. Daraus entstehen abspielbare Sitzungsaufzeichnungen und Heatmaps.

Zweck ist, zu verstehen, wo Besucher hängenbleiben, und den Shop zu verbessern.

Wann Clarity lädt. Clarity wird beim Aufruf unserer Seiten geladen, also bevor Sie im Cookie-Hinweis entschieden haben, und unabhängig davon, wie Sie dort entscheiden. Wir beschreiben das in Abschnitt 5.3 im Einzelnen.

Rechtsgrundlage. Vorgesehen ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Solange der Dienst vor Ihrer Entscheidung lädt, deckt diese Einwilligung den Vorgang nicht.

Microsoft verarbeitet die Daten auch in den USA. Siehe Abschnitt 6.

Speicherdauer laut Microsoft: Aufzeichnungen 30 Tage; Klickdaten, markierte oder als Favorit gespeicherte Sitzungen und Heatmaps 9 Monate.

5.11 Werbemessung mit Triple Whale

Anbieter: Triple Whale, Inc., 800 North High Street, Columbus, OH 43215, USA.

Triple Whale setzt beim Aufruf unserer Seiten ein Zählpixel und eine dauerhafte Gerätekennung. Damit ordnen wir eine Bestellung der Werbeanzeige zu, über die Sie zu uns gekommen sind. Erfasst werden unter anderem die aufgerufenen Seiten, die Herkunftsquelle (UTM-Werte, verweisende Seite), Geräte- und Browserangaben, die IP-Adresse und die Bestellung selbst.

Weil dabei eine dauerhafte Kennung gesetzt und Ihr Verhalten über mehrere Aufrufe hinweg zusammengeführt wird, handelt es sich um eine Profilbildung zu Werbezwecken.

Wann Triple Whale lädt. Das Zählpixel wird beim Aufruf unserer Seiten geladen, also bevor Sie im Cookie-Hinweis entschieden haben, und unabhängig davon, wie Sie dort entscheiden. Die Anfragen laufen über die Adresse config-security.com. Wir beschreiben das in Abschnitt 5.3 im Einzelnen.

Rechtsgrundlage. Vorgesehen ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Solange der Dienst vor Ihrer Entscheidung lädt, deckt diese Einwilligung den Vorgang nicht.

Speicherdauer und Lebensdauer der Gerätekennung legt der Anbieter fest. Eine feste Frist nennt er öffentlich nicht; wir fragen sie beim Anbieter ab und tragen sie hier ein, sobald sie vorliegt.

5.12 Produktbewertungen mit Judge.me

Anbieter: Judge.me Ltd, c/o Buckworths, 2nd Floor, 1–3 Worship Street,
London EC2A 2AB, Vereinigtes Königreich.

Nach einem Kauf können wir Sie per E-Mail um eine Bewertung bitten. Wenn Sie eine Bewertung abgeben, verarbeiten wir Ihren Namen oder den von Ihnen gewählten Anzeigenamen, Ihre Bewertung, den Text, gegebenenfalls hochgeladene Bilder und die Angabe, ob es sich um einen verifizierten Kauf handelt. Ihre Bewertung wird öffentlich auf der Produktseite angezeigt.

Rechtsgrundlage für die Anfrage: Art. 6 Abs. 1 lit. a DSGVO, soweit die Anfrage per Werbemail erfolgt, sonst Art. 6 Abs. 1 lit. f DSGVO. Rechtsgrundlage für die Veröffentlichung Ihrer Bewertung: Art. 6 Abs. 1 lit. a DSGVO. Sie entscheiden selbst, ob Sie eine Bewertung abgeben.

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

5.13 Creator-Programm

Wenn Sie sich über unsere Creator-Seite bewerben, verarbeiten wir: Ihren Namen, Ihre E-Mail-Adresse, Ihre Plattform und Ihren Account-Namen bei Instagram, TikTok oder YouTube, Ihre selbst angegebene Reichweite, Ihre Nische, Ihren Ort, Ihre Nachricht an uns sowie Zeitpunkt und Bestand Ihrer ausdrücklichen Einwilligung zur Kontaktaufnahme. Zusätzlich verarbeiten wir Ihre IP-Adresse kurzzeitig, um das Formular vor automatisierten Massen- einsendungen zu schützen.

Bewerbungen als Creator werden getrennt von unseren Kundendaten in einer eigenen Anwendung gespeichert. Sie werden nicht zu einem Kundenkonto und nicht zu einer Mitgliedschaft im Inner Circle.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO für die Kontaktaufnahme, Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung einer Zusammenarbeit, Art. 6 Abs. 1 lit. f DSGVO für den Schutz des Formulars.

Speicherdauer: Absagen werden nach 6 Monaten gelöscht. Laufende Zusammenarbeiten werden für die Dauer der Zusammenarbeit gespeichert, Abrechnungsunterlagen danach nach den steuerlichen Fristen

5.14 Sicherheit und Missbrauchsabwehr

Wir begrenzen, wie oft dieselbe Adresse oder derselbe Anschluss bestimmte Vorgänge auslösen kann, zum Beispiel Anmeldelinks anfordern. Dafür verarbeiten wir Ihre IP-Adresse nur flüchtig im Arbeitsspeicher unseres Servers. Sie wird nicht dauerhaft gespeichert und nicht mit Ihrem Konto verknüpft.

Bei Formularen im Shop setzt Shopify zusätzlich einen automatischen Schutz vor Bots ein (hCaptcha beziehungsweise reCAPTCHA).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Missbrauch, vor dem Ausnutzen unseres Bonusprogramms und vor Angriffen.

5.15 Buchhaltung und gesetzliche Pflichten

Wir sind verpflichtet, Rechnungen, Belege und Bestelldaten aufzubewahren und im Bedarfsfall an Finanzbehörden herauszugeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG.

5.16 Kontaktaufnahme

Wenn Sie uns per E-Mail oder über ein Formular schreiben, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag mit Ihnen geht, sonst Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Anfragen ohne Vertragsbezug 6 Monate nach abschließender Bearbeitung. E-Mails, die als Handelsbriefe gelten, 6 Jahre nach § 257 Abs. 4 HGB

5.17 QR-Code auf der gedruckten Dankeskarte

Jeder Sendung liegt eine gedruckte Dankeskarte bei. Sie trägt einen QR-Code. Er führt auf

https://304supply.de/pages/inner-circle?ic_login=1

Was der QR-Code selbst enthält. Der Code enthält ausschließlich diese eine Adresse. Er enthält keine Bestellnummer, keinen Kundennamen, keine Kennung und keinen individuellen Code. Alle gedruckten Karten tragen denselben Code. Wir können deshalb aus einem Scan nicht ableiten, wer gescannt hat oder zu welcher Bestellung die Karte gehörte.

Was beim Scan geschieht. Der Scan öffnet eine ganz normale Seite unseres Shops. Es gelten deshalb dieselben Regeln wie bei jedem anderen Aufruf unserer Seiten:

• Es entstehen die technischen Zugriffsdaten aus Abschnitt 5.1, insbesondere Ihre IP-Adresse, Zeitpunkt, aufgerufene Seite sowie Browser- und Geräteangaben.
• Es laden die in Abschnitt 5.3 genannten Dienste, also auch Microsoft Clarity und Triple Whale. Ein Scan der Karte wird damit ebenso aufgezeichnet und der Werbemessung zugeordnet wie jeder andere Seitenaufruf. Für die Rechtsgrundlage gilt derselbe offene Punkt wie dort.
• Der Zusatz ic_login=1 in der Adresse bewirkt nur eines: das Anmeldefenster des Inner Circle öffnet sich sofort, statt dass Sie es selbst suchen müssen. Er überträgt keine Daten über Sie.

Was passiert, wenn Sie sich danach anmelden. Erst wenn Sie im Anmeldefenster Ihre E-Mail-Adresse eingeben, entstehen personenbezogene Daten zu Ihrer Mitgliedschaft. Dafür gilt Abschnitt 5.7. Wenn Sie nur scannen und die Seite wieder verlassen, entsteht kein Mitgliedskonto.

Rechtsgrundlage für den Seitenaufruf: Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 5.1). Rechtsgrundlage für eine anschließende Anmeldung: Art. 6 Abs. 1 lit. b DSGVO
(Abschnitt 5.7).

6. Übermittlung in die USA und andere Drittländer

Ein Teil der oben genannten Dienste verarbeitet Daten in den USA. Das betrifft insbesondere Shopify, Klaviyo, Microsoft Clarity, Triple Whale, Vercel und Resend.

Die USA sind ein Drittland ohne allgemeines Schutzniveau, das dem europäischen entspricht. Es gilt Folgendes:

EU-US Data Privacy Framework. Die Europäische Kommission hat am 10. Juli 2023 entschieden, dass Unternehmen in den USA, die unter dem EU-US Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau bieten. Für Übermittlungen an zertifizierte Unternehmen ist deshalb keine weitere Garantie nötig.

Ob ein Anbieter zertifiziert ist, prüfen wir für jeden Anbieter einzeln anhand der offiziellen Liste unter https://www.dataprivacyframework.gov. Wo eine Zertifizierung nicht besteht oder nicht nachgewiesen ist, gilt der folgende Absatz.

Standardvertragsklauseln. Wo ein Anbieter nicht zertifiziert ist, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche technische und organisatorische Maßnahmen.

Einwilligung. Wenn Sie im Cookie-Hinweis zustimmen, willigen Sie damit auch in die Übermittlung Ihrer Daten in die USA ein (Art. 49 Abs. 1 lit. a DSGVO). Wir weisen Sie darauf hin, dass US-Behörden unter bestimmten Voraussetzungen auf diese Daten zugreifen können und dass Ihnen dagegen möglicherweise keine mit dem europäischen Recht
vergleichbaren Rechtsmittel zur Verfügung stehen.

Kanada. Shopify hat seinen Konzernsitz in Kanada. Für Kanada besteht ein
Angemessenheitsbeschluss der Europäischen Kommission für gewerbliche Organisationen, die dem kanadischen PIPEDA unterliegen.

Eine Kopie der Standardvertragsklauseln können Sie bei uns anfordern.

7. Wie lange wir Ihre Daten speichern

Datenart	Vorschlag	Begründung
Bestell- und Rechnungsdaten, Buchungsbelege	10 Jahre ab Ende des Kalenderjahres	§ 147 Abs. 3 AO, § 257 Abs. 4 HGB. Hinweis: Seit dem 01.01.2025 gilt für Buchungsbelege eine verkürzte Frist von 8 Jahren, für Handelsbücher, Inventare und Jahresabschlüsse bleiben es 10 Jahre.
Handelsbriefe, geschäftliche E-Mails	6 Jahre ab Ende des Kalenderjahres	§ 257 Abs. 4 HGB, § 147 Abs. 3 AO
Kundenkonto und Inner-Circle-Mitgliedschaft, wenn Sie es selbst löschen	sofort, spätestens 30 Tage	Art. 17 DSGVO
Inaktives Kundenkonto, keine Bestellung und kein Login	Löschung nach 24 Monaten, mit Vorwarnung per E-Mail 30 Tage vorher	Art. 5 Abs. 1 lit. e DSGVO. Der Wert muss länger sein als die Verfallfrist für Miles, sonst löschen wir Konten, die noch ein Guthaben haben. Achtung: Wird die Verfallfrist nach der Entscheidung zu Ziffer 8.4 der AGB auf 36 Monate verlängert, passt dieser Wert nicht mehr und muss mitwachsen.
Marketingprofil bei Klaviyo nach Ihrem Widerruf	Löschung nach 6 Monaten	Nach dem Widerruf entfällt die Rechtsgrundlage. Die Frist dient nur noch dem Nachweis des Widerrufs.
Sperrliste der Werbeabmeldungen	unbefristet, nur E-Mail-Adresse in verkürzter Form	Art. 6 Abs. 1 lit. c und lit. f DSGVO. Ohne diese Liste könnten wir Sie versehentlich erneut anschreiben.
Einwilligungsnachweise (Cookie-Hinweis, Newsletter)	3 Jahre ab Widerruf oder Ende der Nutzung	Art. 7 Abs. 1 DSGVO in Verbindung mit § 195 BGB
Serverprotokolle Vercel und Shopify	nach den Vorgaben des jeweiligen Anbieters	Art. 6 Abs. 1 lit. f DSGVO. Die Aufbewahrung liegt beim Anbieter; Shopify nennt hierfür keine feste Frist, Vercel hält Laufzeitprotokolle je nach Tarif nur wenige Stunden bis Tage vor. Wir nennen deshalb keine Frist, die wir nicht einhalten können.
IP-Adresse in der Ratenbegrenzung	flüchtig, nicht dauerhaft gespeichert	Art. 6 Abs. 1 lit. f DSGVO. Diese Angabe ist belegt, sie ist kein Vorschlag.
Sitzungsaufzeichnungen Microsoft Clarity	30 Tage, markierte Sitzungen und Heatmaps 9 Monate	Angabe von Microsoft
Gerätekennung Triple Whale	wird vom Anbieter festgelegt, Frist beim Anbieter erfragt	Angabe steht aus
Rückgabe-Register return_ledger	3 Jahre nach dem letzten Eintrag	§ 195 BGB. Heute läuft dieses Register unbefristet.
Widerrufserklärungen und Eingangsbestätigungen	3 Jahre	Nachweis der Erfüllung der Pflichten aus § 356 BGB
Creator-Bewerbungen ohne Zusammenarbeit	6 Monate	Art. 6 Abs. 1 lit. f DSGVO
Produktbewertungen	solange die Bewertung veröffentlicht ist, danach 3 Jahre	Nachweis der Echtheit nach § 5b Abs. 3 UWG

Unabhängig davon löschen wir Daten, sobald der Zweck entfällt und keine
Aufbewahrungspflicht mehr besteht. Wo eine Aufbewahrungspflicht der Löschung entgegensteht, sperren wir die Daten stattdessen für jede weitere Verwendung.

8. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte:

• Auskunft (Art. 15 DSGVO): Sie können erfahren, welche Daten wir über Sie verarbeiten, und eine Kopie davon verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können falsche Daten korrigieren lassen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem gängigen Format erhalten oder direkt an einen anderen Anbieter übertragen lassen.
• Widerspruch (Art. 21 DSGVO): Sie können jederzeit widersprechen, wenn wir Ihre Daten auf Grundlage eines berechtigten Interesses verarbeiten. Gegen Direktwerbung können Sie jederzeit und ohne Begründung widersprechen. Danach verwenden wir Ihre Daten nicht mehr für Werbung.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

So erreichen Sie uns:

Per E-Mail an info@304supply.de oder per Post an
Lorenz & Rotsch GbR, Sandheide 28, 21714 Hammah, Deutschland.

Eine formlose Nachricht genügt. Sie müssen kein Formular ausfüllen und keinen Grund nennen. Wir können Sie um einen Nachweis Ihrer Identität bitten, wenn begründete Zweifel bestehen, dass die Anfrage von Ihnen stammt (Art. 12 Abs. 6 DSGVO).

Unsere Frist: Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihrer Anfrage. Wenn Ihre Anfrage besonders umfangreich ist, dürfen wir diese Frist um bis zu zwei weitere Monate verlängern. In diesem Fall sagen wir Ihnen das innerhalb des ersten Monats und nennen den Grund (Art. 12 Abs. 3 DSGVO).

Die Ausübung Ihrer Rechte ist für Sie kostenlos.

Ihr Recht auf Beschwerde bei einer Aufsichtsbehörde

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Land Ihres Wohnsitzes, Ihres Arbeitsplatzes oder des vermuteten Verstoßes (Art. 77 DSGVO).

Für uns zuständig ist, weil Hammah im Landkreis Stade in Niedersachsen liegt:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Deutschland
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Internet: https://www.lfd.niedersachsen.de

9. Automatisierte Entscheidungen und Profilbildung

Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

Wir bilden allerdings Gruppen und Segmente, um Ihnen passende Angebote zu schicken. Ihre Inner-Circle-Klasse ergibt sich zum Beispiel automatisch aus Ihrem bisherigen Gesamtumsatz. Auch die Auswahl, welche automatische E-Mail Sie erhalten, erfolgt regelbasiert anhand Ihres Verhaltens. Rechtsgrundlage dafür ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO beziehungsweise Art. 6 Abs. 1 lit. b DSGVO für die Mitgliedschaft selbst.

Mitgliederpreise. Mitglieder des Inner Circle sehen andere Preise als Nichtmitglieder. Dieser Unterschied hängt allein von der Mitgliedschaft ab und nicht von einer automatisierten Auswertung Ihres persönlichen Verhaltens.

10. Sind Sie verpflichtet, Daten bereitzustellen?

Für eine Bestellung brauchen wir Ihren Namen, Ihre Anschrift und Ihre E-Mail-Adresse. Ohne diese Angaben kommt kein Vertrag zustande.

Alle übrigen Angaben sind freiwillig. Das gilt ausdrücklich für Geburtstag, Telefonnummer, Instagram- und TikTok-Name und die Teilnahme am Inner Circle. Wenn Sie diese Angaben nicht machen, entstehen Ihnen keine Nachteile beim Kauf.

11. Datensicherheit

Die Übertragung zwischen Ihrem Browser und unserem Shop ist mit TLS verschlüsselt. Für den Inner Circle speichern wir keine Passwörter, sondern arbeiten mit einmaligen Anmeldelinks. Zugriffe auf unsere Verwaltungsbereiche sind mit Schlüsseln geschützt.

Kein Sicherheitsverfahren ist vollkommen. Bitte senden Sie uns keine vertraulichen Angaben über unverschlüsselte Kanäle.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Wesentliche Änderungen teilen wir Ihnen mit, soweit das gesetzlich vorgeschrieben ist.