Datenschutz im Shop

Hier steht, welche personenbezogenen Daten wir verarbeiten, wenn du in unserem Shop auf orbita-media.de einkaufst und bei uns bestellst, wozu wir das tun, auf welcher Rechtsgrundlage, an wen die Daten gehen und welche Rechte du hast. Wir beschreiben nur, was in diesem Shop tatsächlich passiert.

1. Verantwortlicher

E-Mail: kontakt [at] orbita-media [dot] de
Datenschutzfragen: datenschutz [at] orbita-media [dot] de
Telefon: +49 15679 036138
Vertreten durch die Geschäftsführer Noah Malik und Stefan Schott, weitere Angaben im Impressum.

Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Datenschutzfragen erreichst du uns unter den Angaben oben.

2. Das Wichtigste in Kürze

• Kein Tracking in Warenkorb und Kasse: Dort setzen wir keine Analyse-, Werbe- oder Social-Media-Dienste ein und erstellen keine Nutzungsprofile. Für die übrigen Seiten von orbita-media.de gilt unsere Datenschutzerklärung.
• Auf deinem Gerät speichern wir nur, was der Shop zum Funktionieren braucht: Warenkorb, Anmeldung, Schutz vor Angriffen und in der Kasse die Betrugsabwehr des Zahlungsdienstleisters.
• Für eine Bestellung brauchen wir Name, Lieferanschrift und E-Mail-Adresse. Sie gehen an den Zahlungsdienstleister Stripe und an die Werkstatt Verlagsauslieferung, die dein Paket packt und verschickt.
• Werbung per E-Mail bekommst du nur mit deiner Einwilligung oder, nach einem Kauf, als Bitte um eine Bewertung. Beidem kannst du jederzeit widersprechen.

3. Aufruf des Shops, Hosting und Server-Protokolle

Wenn du den Shop aufrufst, überträgt dein Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, die zuvor besuchte Seite, Browser und Betriebssystem. Ohne diese Daten können wir dir die Seiten nicht ausliefern.

Hosting: Shop und Datenbank laufen auf unseren eigenen Servern bei der Hetzner Online GmbH, Gunzenhausen, in einem Rechenzentrum in Deutschland. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Die Protokolle der Anwendung, in denen auch IP-Adressen stehen können, werden fortlaufend überschrieben und spätestens mit jeder neuen Version des Shops gelöscht.

Cloudflare: Vor den Servern liegt das Netzwerk der Cloudflare, Inc., San Francisco, USA. Cloudflare leitet die Aufrufe weiter, beschleunigt die Auslieferung und wehrt Angriffe und Bots ab. Dabei verarbeitet Cloudflare deine IP-Adresse und die Verbindungsdaten, auch in den USA. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).

Warenkorb und Kasse liegen auf unserer Verlagswebsite orbita-media.de, die ebenfalls auf unseren Servern liegt.

• Rechtsgrundlage: berechtigtes Interesse an einem sicheren und stabilen Shop (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

4. Cookies und Speicherung auf deinem Gerät

Wir speichern nur Informationen auf deinem Gerät, die unbedingt erforderlich sind, damit der Shop die Funktionen bereitstellen kann, die du nutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür brauchen wir keine Einwilligung. Analyse- oder Werbe-Cookies gibt es nicht, Schriften liefern wir selbst aus.

• orbita_cart_id (lokaler Speicher des Browsers) – merkt sich deinen Warenkorb, bis du bestellst oder den Speicher leerst.
• orbita_bestellung (Sitzungsspeicher) – zeigt nach dem Kauf deine Bestellbestätigung an. Bis du den Tab schließt.
• _medusa_cart_id – merkt sich deinen Warenkorb im Kundenkonto-Bereich. 7 Tage.
• _medusa_jwt – hält dich in deinem Kundenkonto angemeldet. 7 Tage oder bis zur Abmeldung.
• _medusa_pending_customer – hält bei der Registrierung deine Angaben fest, bis du deine E-Mail-Adresse bestätigt hast. 24 Stunden.
• _medusa_cache_id – zufällige Kennung, damit dir der Shop aktuelle Preise und Bestände zeigt. 24 Stunden.
• cf_clearance (Cloudflare) – bestätigt nach einer Sicherheitsprüfung, dass du kein Bot bist. Bis zu 1 Jahr.
• __stripe_mid, __stripe_sid (Stripe) – nur in der Kasse: Betrugsabwehr bei der Zahlung. 1 Jahr bzw. 30 Minuten. Stripe wertet dafür auch Geräte- und Browsermerkmale aus.

• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für die Speicherung, Art. 6 Abs. 1 S. 1 lit. b DSGVO (Bestellung und Kundenkonto) und lit. f DSGVO (Sicherheit, Betrugsabwehr) für die Verarbeitung.

5. Bestellung

Für deine Bestellung verarbeiten wir: Vor- und Nachname, Lieferanschrift und gegebenenfalls abweichende Rechnungsanschrift, E-Mail-Adresse, Telefonnummer (wenn du sie angibst), die bestellten Artikel, Preise, Versandart, Zahlart und Zahlungsstatus. Ohne Name, Anschrift und E-Mail-Adresse können wir die Bestellung nicht annehmen und nicht liefern.

Sobald du in der Kasse deine E-Mail-Adresse eingibst, legen wir einen Kundendatensatz an, auch wenn du ohne Konto bestellst. Warenkorb und Kasse auf orbita-media.de übermitteln deine Angaben direkt an unser Shop-System; dort wird die Bestellung angelegt.

Kaufst du Merch-Artikel, schreiben wir dafür Treuepunkte auf ein Konto zu deinem Kundendatensatz (Punktestand). Für Bücher gibt es wegen der Buchpreisbindung keine Punkte.

• Rechtsgrundlage: Vertrag und Vertragsanbahnung (Art. 6 Abs. 1 S. 1 lit. b DSGVO), gesetzliche Aufbewahrungspflichten (lit. c), für die Treuepunkte unser berechtigtes Interesse an der Kundenbindung (lit. f).

6. Prüfung der Lieferanschrift

Damit kein Paket an einer unvollständigen Anschrift scheitert, prüfen wir die Lieferanschrift nach dem Bestelleingang automatisch. Dafür senden wir Straße mit Hausnummer, Postleitzahl, Ort und Land – ohne Namen und ohne E-Mail-Adresse – an zwei Verzeichnisdienste:

• OpenPLZ API der STÜBER SYSTEMS GmbH, Deutschland (amtliches Straßen- und Postleitzahlenverzeichnis für Deutschland, Österreich und die Schweiz),
• Photon der komoot GmbH, Potsdam (Adresssuche auf Grundlage von OpenStreetMap).

Passt etwas nicht zusammen, halten wir die Bestellung an und schreiben dir mit einem Link, über den du die Anschrift bestätigst oder korrigierst. Über die Lieferung entscheidet am Ende deine Bestätigung oder ein Mensch bei uns, nicht das Verfahren allein.

• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer zuverlässigen Zustellung (lit. f).

7. Zahlung

Die Zahlung wickelt die Stripe Payments Europe, Limited, Dublin, Irland, ab. In der Kasse lädt dein Browser dazu das Zahlungsformular direkt von Stripe; deine Karten- oder Kontodaten gehen an Stripe, nicht an uns. Wir erhalten nur Zahlart, Betrag und Zahlungsstatus. Stripe prüft Zahlungen auf Betrug und verarbeitet dazu auch Geräte- und Verbindungsdaten. Stripe verarbeitet Daten auch bei der Stripe, Inc. in den USA; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Wählst du eine der folgenden Zahlarten, gibt Stripe die dafür nötigen Daten (insbesondere Name, Anschrift, E-Mail-Adresse und Bestellbetrag) an den jeweiligen Anbieter weiter, der sie in eigener Verantwortung nach seinen Datenschutzbestimmungen verarbeitet:

• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg
• Klarna: Klarna Bank AB (publ), Stockholm, Schweden. Klarna kann bei Rechnungs- und Ratenkauf deine Identität und Bonität prüfen.
• Apple Pay: Apple Distribution International Ltd., Cork, Irland
• Google Pay: Google Ireland Limited, Dublin, Irland
• Revolut Pay: Revolut Bank UAB, Vilnius, Litauen
• Satispay: Satispay Europe S.A., Luxemburg
• Billie (Rechnungskauf für Firmen): Billie GmbH, Berlin. Billie prüft die Bonität des Unternehmens.
• Link: Stripe speichert auf deinen Wunsch deine Zahldaten für spätere Käufe.

• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO), gesetzliche Pflichten der Zahlungsdienstleister (lit. c), berechtigtes Interesse an der Abwehr von Zahlungsbetrug (lit. f).

8. Versand

Lager, Verpackung und Versand übernimmt in unserem Auftrag (Art. 28 DSGVO) die Werkstatt Verlagsauslieferung (Die Werkstatt Verlagsauslieferung GmbH, Rastede). Sie ruft bezahlte Bestellungen über eine Schnittstelle ab und erhält Name, Lieferanschrift, E-Mail-Adresse, Telefonnummer (wenn angegeben) und die bestellten Artikel. Die Schnittstelle betreibt ihr Softwaredienstleister, die KIS GmbH, Kaufering. Die Werkstatt übergibt das Paket mit Name und Anschrift an das Versandunternehmen und meldet uns die Sendungsnummer zurück. Rücksendungen gehen ebenfalls an die Werkstatt.

Lieferst du in die Schweiz, nach Großbritannien oder Norwegen, gehen Name und Anschrift für die Zustellung auch dorthin. Für die Schweiz und Großbritannien gibt es Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO), Norwegen gehört zum Europäischen Wirtschaftsraum; im Übrigen ist die Übermittlung für die Lieferung erforderlich (Art. 49 Abs. 1 S. 1 lit. b DSGVO).

• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO).

9. E-Mails rund um deine Bestellung

Wir schicken dir die Bestellbestätigung, die Versandbestätigung mit Sendungsnummer, bei Vorbestellungen eine Nachricht, wenn sich der Erscheinungstermin verschiebt, Rückfragen zur Lieferanschrift und die Bestätigung, wenn du den Vertrag widerrufst. Für den Versand nutzen wir Amazon Simple Email Service der Amazon Web Services EMEA SARL, Luxemburg, mit einem Rechenzentrum in der EU (Stockholm, Schweden), in unserem Auftrag (Art. 28 DSGVO). Die Muttergesellschaft Amazon.com, Inc. sitzt in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert.

• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO).

10. Bitte um eine Bewertung und Bewertungen

Etwa eine Woche nach dem Versand bitten wir dich per E-Mail, deine Bücher zu bewerten. Dafür nutzen wir die E-Mail-Adresse, die du bei der Bestellung angegeben hast (§ 7 Abs. 3 UWG). Du kannst dem jederzeit widersprechen, ohne dass dir andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Link in jeder dieser E-Mails, auf der Seite Werbe-E-Mails abbestellen oder per Mail an datenschutz [at] orbita-media [dot] de.

Gibst du eine Bewertung ab, speichern wir Sterne, deinen Text, die zugehörige Bestellung und deinen Namen. Wir prüfen jede Bewertung, bevor sie erscheint. Öffentlich zeigen wir nur deinen Vornamen, den ersten Buchstaben deines Nachnamens und den Hinweis „Verifizierter Kauf“. Auf Wunsch löschen wir deine Bewertung jederzeit.

• Rechtsgrundlage: für die Bitte um eine Bewertung unser berechtigtes Interesse an Rückmeldungen und Direktwerbung (Art. 6 Abs. 1 S. 1 lit. f DSGVO), für die Veröffentlichung deine Einwilligung mit dem Absenden der Bewertung (lit. a).

11. Erinnerung an deinen Warenkorb

Nur wenn du in der Kasse das Häkchen „Erinnere mich per E-Mail …“ setzt, schreiben wir dir einmal, falls du deinen Einkauf nicht abschließt. Wir speichern dazu den Zeitpunkt deiner Einwilligung. Ohne Häkchen bekommst du keine Erinnerung. Du kannst die Einwilligung jederzeit widerrufen, auf denselben Wegen wie unter Nummer 10.

• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).

12. Abgleich mit unserem Newsletter-System

Unseren Newsletter versenden wir mit der Software Dittofeed, die wir selbst auf unseren Servern in Deutschland betreiben. Nur wenn du unseren Newsletter über das Double-Opt-in-Verfahren abonniert hast, übertragen wir nach einer Bestellung deine E-Mail-Adresse, die gekauften Titel, den Bestellwert und den Zeitpunkt dorthin. So beenden wir Newsletter-Strecken zu einem Buch, das du schon gekauft hast, und empfehlen dir passende Folgetitel. Ob ein Abo besteht, prüfen wir vorher in Dittofeed anhand deiner E-Mail-Adresse. Ohne Abo geht nichts dorthin, und eine Bestellung im Shop allein meldet dich nicht an.

• Rechtsgrundlage: deine Einwilligung in den Newsletter (Art. 6 Abs. 1 S. 1 lit. a DSGVO) und unser berechtigtes Interesse, dir keine unpassenden Mails zu schicken (lit. f).

13. Kundenkonto

Ein Kundenkonto ist freiwillig; du kannst auch ohne bestellen. Für das Konto speichern wir Vor- und Nachname, E-Mail-Adresse, ein verschlüsseltes Passwort, auf Wunsch Telefonnummer und Anschriften sowie deine Bestellungen. Vor der Freischaltung bestätigst du deine E-Mail-Adresse. Anschriften kannst du im Konto selbst ändern und löschen; das ganze Konto löschen wir auf deine Nachricht hin.

• Rechtsgrundlage: Vertrag über die Nutzung des Kontos (Art. 6 Abs. 1 S. 1 lit. b DSGVO).

14. Online-Widerruf und Kontakt

Widerrufst du einen Vertrag über unser Widerrufsformular, speichern wir deine Angaben (E-Mail-Adresse, Bestellnummer, Name, Anschrift, Daten und deine Mitteilung), bestätigen dir den Eingang per E-Mail und leiten die Erklärung an unseren Kundendienst weiter. Rechtsgrundlage ist unsere gesetzliche Pflicht (Art. 6 Abs. 1 S. 1 lit. c DSGVO i. V. m. §§ 356, 356a BGB).

Schreibst du uns eine E-Mail oder rufst du an, verarbeiten wir deine Angaben, um dein Anliegen zu bearbeiten. Unsere Postfächer liegen bei ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, wenn es um eine Bestellung geht, sonst unser berechtigtes Interesse an der Beantwortung (lit. f).

15. Wie lange wir Daten speichern

• Bestell- und Rechnungsdaten: so lange Handels- und Steuerrecht es verlangen, für Rechnungen und andere Buchungsbelege acht Jahre, für Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO, § 257 HGB).
• Kundenkonto: bis du es löschen lässt; Bestelldaten darin danach nur noch im Rahmen der Aufbewahrungspflichten.
• Warenkörbe ohne Bestellung: Für eine Erinnerung nutzen wir sie höchstens 30 Tage und nur mit deiner Einwilligung. Nach 90 Tagen löschen wir automatisch E-Mail-Adresse und Anschrift darin, ebenso Name, E-Mail-Adresse und Telefonnummer eines Kundendatensatzes ohne Bestellung. Einen Widerspruch gegen Werbung behalten wir. Auf Wunsch löschen wir sofort.
• Einwilligungen und Widersprüche: für die Dauer, in der wir sie nachweisen müssen. Einen Widerspruch gegen Werbung merken wir uns dauerhaft, damit er wirkt.
• Bewertungen: bis du ihre Löschung verlangst.
• Kontaktanfragen: bis sie erledigt sind, soweit keine Aufbewahrungspflicht besteht.
• Protokolle der Anwendung: werden fortlaufend überschrieben, spätestens mit der nächsten Version des Shops gelöscht.

16. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); bis dahin bleibt die Verarbeitung rechtmäßig.

Schreib uns dafür einfach an datenschutz [at] orbita-media [dot] de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

17. Dein Widerspruchsrecht

Verarbeiten wir deine Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 S. 1 lit. f DSGVO), kannst du dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO).

Der Verarbeitung für Direktwerbung, etwa der Bitte um eine Bewertung, kannst du jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO). Dann nutzen wir deine Daten nicht mehr dafür. Am schnellsten geht das über den Link in der jeweiligen E-Mail oder auf der Seite Werbe-E-Mails abbestellen, sonst per Mail an datenschutz [at] orbita-media [dot] de.

18. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die allein auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Bonitätsprüfungen bei Klarna oder Billie nehmen diese Anbieter in eigener Verantwortung vor.

19. Änderungen

Ändern sich die Verarbeitungen im Shop, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht.