Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

• STACKED - Schendelmann Strate GbR
• Kurt-Schumacher-Strasse 6D, 33615 Bielefeld, Deutschland
• E-Mail: info@stacked.clothing
• Website: www.stacked.clothing

STACK'D ist ein Marktplatz fur unabhangige Modemarken. Diese Datenschutzerklarung gilt fur alle Personen, die unsere Plattform nutzen - als Kaufer, als Marken-Partner oder als Besucher unserer Website. Wir beschreiben hier, welche personenbezogenen Daten wir erheben, warum wir sie erheben, wie lange wir sie speichern und welche Rechte Ihnen zustehen.

3.1 Kaufer

Wenn Sie auf STACK'D einkaufen, erheben wir folgende Daten:

Beim Kauf

• Name, Lieferadresse, E-Mail-Adresse
• Bestelldetails (Artikel, Menge, Preis, beteiligte Marken)
• Zahlungsdaten - diese werden ausschliesslich von unserem Zahlungsdienstleister Stripe Inc. verarbeitet. Wir speichern keine vollstandigen Kartendaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfullung)

Beim Erstellen eines Kontos

• E-Mail-Adresse, Passwort (verschlusselt), optionaler Anzeigename

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfullung)

Beim Besuch der Website

• IP-Adresse, Browsertyp, Gerateinformationen, besuchte Seiten, Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit der Plattform)

3.2 Marken-Partner

Wenn Sie Ihre Marke auf STACK'D registrieren und Ihren Shopify-Shop verbinden, erheben wir:

Kontodaten

• Name des Unternehmens, Ansprechpartner, E-Mail-Adresse, Rechnungsadresse

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfullung)

Shopify-Integration

Wir verbinden uns uber die offizielle Shopify API mit Ihrem Shop. Nach der Autorisierung durch Sie erhalten wir Zugriff auf:

• Produktkatalog und Lagerbestand (zur Anzeige auf STACK'D)
• Versandprofile und Versandanpassungen (zur Berechnung korrekter Versandkosten)
• Bestellschreibzugriff (wir schreiben Bestellungen, die auf STACK'D eingehen, in Ihren Shopify-Shop zuruck)
• Fulfillment- und Retouren-Status (Synchronisation der Lieferung mit unserer Plattform)
• Bestelldaten der von uns initiierten Bestellungen (Bestellnummer, Email, Telefon und Lieferadresse des Kaeufers) - ausschliesslich um Versand-Updates und Stornierungsmoeglichkeiten zu synchronisieren

Wir lesen ausschliesslich Bestelldaten der Bestellungen, die ueber STACK'D in Ihren Shop geschrieben wurden. Bestehende Kundenlisten oder Kundenprofile Ihres Shops werden von uns nicht ausgelesen, nicht synchronisiert und nicht zu Marketingzwecken verwendet. Erhobene Bestelldaten werden gemaess der dokumentierten Aufbewahrungsfristen geloescht oder beim Shopify-Webhook `shop/redact` (48 Stunden nach App-Deinstallation) vollstaendig entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfullung)

Wir geben personenbezogene Daten nur weiter, soweit dies zur Vertragserfullung notwendig ist oder eine gesetzliche Grundlage besteht.

Wir verkaufen keine personenbezogenen Daten. Wir geben keine Daten zu Werbezwecken an Dritte weiter.

Stripe und Shopify haben ihren Hauptsitz in den USA bzw. Kanada. Die Ubermittlung erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines gultigen Angemessenheitsbeschlusses der EU-Kommission. Auf Anfrage stellen wir Ihnen die entsprechenden Garantien zur Verfugung.

Wir setzen technisch notwendige Cookies ein, um die Plattform zu betreiben (Session-Management, Warenkorb, Authentifizierung). Diese Cookies erfordern keine Einwilligung.

Sofern wir daruber hinaus Analyse- oder Marketing-Cookies einsetzen, werden wir Sie vorab um Ihre Einwilligung bitten (Art. 6 Abs. 1 lit. a DSGVO). Sie konnen diese Einwilligung jederzeit widerrufen.

Sie haben nach der DSGVO folgende Rechte gegenuber uns:

• Auskunft (Art. 15 DSGVO) - Sie konnen erfahren, welche Daten wir uber Sie gespeichert haben.
• Berichtigung (Art. 16 DSGVO) - Sie konnen unrichtige Daten korrigieren lassen.
• Loschung (Art. 17 DSGVO) - Sie konnen die Loschung Ihrer Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschrankung der Verarbeitung (Art. 18 DSGVO)
• Datenubertragbarkeit (Art. 20 DSGVO) - Sie konnen Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO) - Sie konnen der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) - Einwilligungen konnen jederzeit mit Wirkung fur die Zukunft widerrufen werden.

Zur Ausubung Ihrer Rechte wenden Sie sich an: info@stacked.clothing

Wir beantworten Anfragen innerhalb von 30 Tagen.

Sie haben ausserdem das Recht, sich bei der zustandigen Datenschutzaufsichtsbehorde zu beschweren. Fur uns zustandig ist die Landesbeauftragte fur Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestrasse 2-4, 40213 Dusseldorf, Tel.: 0211/38424-0, Fax: 0211/38424-999, E-Mail: poststelle@ldi.nrw.de, Web: https://www.ldi.nrw.de.

Wir verwenden HTTPS-Verschlusselung fur alle Datenubertragungen. Zugriffstoken von Shopify werden verschlusselt gespeichert. Produktionsdaten und Entwicklungsdaten sind strikt getrennt. Wir fuhren regelmassige Sicherheitsuberprufungen durch und beschranken den internen Datenzugriff auf das notwendige Minimum.

Wenn Sie die Shopify-Integration deinstallieren oder Ihre Verbindung zu STACK'D trennen:

• Ihr Zugriffstoken wird sofort deaktiviert.
• Ihre Produktdaten werden innerhalb von 30 Tagen aus unserem System entfernt.
• Bereits abgeschlossene Bestelldaten bleiben aus handels- und steuerrechtlichen Grunden erhalten.

Verpflichtende Shopify-Datenschutz-Webhooks (GDPR-Webhooks)

Als offizielle Shopify-App unterstutzen wir die von Shopify vorgeschriebenen Datenschutz-Webhooks. Anfragen werden innerhalb der von Shopify vorgegebenen Fristen beantwortet:

• customers/data_request - Auskunftsersuchen eines Kunden werden innerhalb von 10 Tagen bearbeitet. Wir stellen die zu diesem Kunden gespeicherten Bestelldaten zusammen und ubermitteln sie an den Shop-Inhaber.
• customers/redact - Loschungsanforderungen fur einen einzelnen Kunden werden innerhalb von 30 Tagen umgesetzt, soweit keine gesetzliche Aufbewahrungspflicht (z. B. § 257 HGB, § 147 AO) entgegensteht.
• shop/redact - Spatestens 48 Stunden nach Deinstallation der App werden alle nicht aufbewahrungspflichtigen Shop-Daten (Zugriffstoken, Produktcache, Konfigurationsdaten) endgultig geloscht.

Im Rahmen der Shopify-Integration verarbeiten wir personenbezogene Daten der Endkunden des Marken-Partners (insbesondere Name, Lieferadresse, Bestellinhalt) als eigenstandig Verantwortliche fur den uber STACK'D abgewickelten Verkaufsvorgang. Fur Bestellungen, die wir in Ihren Shop schreiben, agieren wir gegenuber Ihrem Shop als technischer Schnittstellenpartner. Eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO stellen wir Marken-Partnern auf Anfrage zur Verfugung.

Sie konnen die Loschung aller nicht aufbewahrungspflichtigen Daten jederzeit per E-Mail an info@stacked.clothing beantragen.

Wir behalten uns vor, diese Datenschutzerklarung bei technischen oder rechtlichen Anderungen anzupassen. Die jeweils aktuelle Version ist auf unserer Website abrufbar. Bei wesentlichen Anderungen informieren wir registrierte Nutzer per E-Mail.

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

• STACKED - Schendelmann Strate GbR
• Kurt-Schumacher-Strasse 6D, 33615 Bielefeld, Germany
• Email: info@stacked.clothing
• Website: www.stacked.clothing

STACK'D is a marketplace for independent fashion brands. This privacy policy applies to everyone who uses our platform - as a buyer, as a brand partner, or as a visitor to our website. We describe which personal data we collect, why we collect it, how long we retain it, and which rights you have.

3.1 Buyers

When you shop on STACK'D, we collect the following data:

At checkout

• Name, shipping address, email address
• Order details (items, quantity, price, participating brands)
• Payment data - processed exclusively by our payment service provider Stripe Inc. We do not store full card data.

Legal basis: Art. 6(1)(b) GDPR (performance of a contract)

When creating an account

• Email address, password (encrypted), optional display name

Legal basis: Art. 6(1)(b) GDPR (performance of a contract)

When visiting the website

• IP address, browser type, device information, pages visited, timestamps

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in operation and security of the platform)

3.2 Brand partners

When you register your brand on STACK'D and connect your Shopify store, we collect:

Account data

• Company name, contact person, email address, billing address

Legal basis: Art. 6(1)(b) GDPR (performance of a contract)

Shopify integration

We connect to your store via the official Shopify API. Once you authorise the connection we receive access to:

• Product catalogue and inventory (for display on STACK'D)
• Shipping profiles, shipping rules, and delivery customisations (to calculate accurate shipping costs and delivery options)
• Order and draft-order write access (we push orders placed on STACK'D back into your Shopify store)
• Fulfilment and returns lifecycle (to synchronise shipping and return status with our platform)
• Order data of orders we initiated (order number, buyer email, phone, and shipping address) - solely to synchronise shipping updates and cancellation options

We only read order data for orders that were written into your store via STACK'D. We do not read, synchronise, or use your store's existing customer lists or customer profiles for marketing purposes. Collected order data is deleted in line with the documented retention periods or fully removed via the Shopify shop/redact webhook (within 48 hours of app uninstall).

Legal basis: Art. 6(1)(b) GDPR (performance of a contract)

We only share personal data where necessary to perform the contract or where a statutory basis applies.

We do not sell personal data. We do not share data with third parties for advertising purposes.

Stripe and Shopify are headquartered in the USA and Canada respectively. Transfers are based on EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) or a valid adequacy decision of the EU Commission. We provide the corresponding safeguards upon request.

We use strictly necessary cookies to operate the platform (session management, cart, authentication). These cookies do not require consent.

If we also use analytics or marketing cookies, we will ask for your consent beforehand (Art. 6(1)(a) GDPR). You may withdraw consent at any time.

Under the GDPR you have the following rights:

• Access (Art. 15 GDPR) - find out which data we store about you.
• Rectification (Art. 16 GDPR) - have inaccurate data corrected.
• Erasure (Art. 17 GDPR) - request deletion, unless statutory retention obligations apply.
• Restriction of processing (Art. 18 GDPR)
• Data portability (Art. 20 GDPR) - receive your data in a machine-readable format.
• Objection (Art. 21 GDPR) - object to processing based on legitimate interests.
• Withdrawal of consent (Art. 7(3) GDPR) - withdraw consent at any time with future effect.

To exercise your rights, contact: info@stacked.clothing

We answer requests within 30 days.

You also have the right to lodge a complaint with the competent data protection supervisory authority. The authority responsible for us is the Landesbeauftragte fur Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestrasse 2-4, 40213 Dusseldorf, Germany, Phone: +49 211 38424-0, Email: poststelle@ldi.nrw.de, Web: https://www.ldi.nrw.de.

We use HTTPS encryption for all data transfers. Shopify access tokens are stored encrypted. Production and development data are strictly separated. We carry out regular security reviews and restrict internal data access to the minimum necessary.

If you uninstall the Shopify integration or disconnect from STACK'D:

• Your access token is deactivated immediately.
• Your product data is removed from our system within 30 days.
• Completed order data is retained for commercial and tax reasons.

Mandatory Shopify privacy webhooks (GDPR webhooks)

As an official Shopify app we support the mandatory Shopify privacy webhooks. Requests are processed within the deadlines defined by Shopify:

• customers/data_request - customer access requests are processed within 10 days. We compile the order data we hold for the customer and provide it to the shop owner.
• customers/redact - deletion requests for an individual customer are executed within 30 days, unless a statutory retention obligation applies (e.g. German Commercial Code § 257 HGB or Fiscal Code § 147 AO).
• shop/redact - within 48 hours of app uninstallation, all shop data not subject to retention (access tokens, product cache, configuration data) is permanently deleted.

In the scope of the Shopify integration we process personal data of the brand partner's end customers (in particular name, shipping address, order content) as independent controller for the sales transaction conducted via STACK'D. For orders we write into your store, we act as a technical interface partner. A data processing agreement under Art. 28 GDPR is available to brand partners on request.

You may request deletion of all data not subject to retention obligations at any time by email to info@stacked.clothing.

We reserve the right to adapt this privacy policy to technical or legal changes. The current version is available on our website. We inform registered users of material changes by email.