Datenschutzerklärung

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten wir beim Betrieb des Online-Marktplatzes STACKED (www.stacked.clothing, einschließlich der Shopify-App „STACKED“) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie speichern und welche Rechte du hast.

1. Verantwortliche

1.1 STACKED als Betreiber des Marktplatzes

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für den Betrieb des Marktplatzes (Website, Kundenkonto, Warenkorb, Bestellvorgang, Kundenservice, Widerrufsfunktion, Meldeverfahren, Marken-Dashboard und Shopify-App) ist:

STACKED Schendelmann Strate GbR, Kurt-Schumacher-Strasse 6D, 33615 Bielefeld, Germany, E-Mail: info@stacked.clothing

Die vollständigen Anbieterangaben findest du im Impressum. Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.

1.2 Die Marken als Verkäufer

Kaufverträge auf STACKED schließt du mit der jeweiligen Marke. Für die Abwicklung des Kaufvertrags (Versand, Rechnungsstellung, Gewährleistung, Retouren, steuerliche Aufbewahrung) ist die jeweilige Marke eigenständige Verantwortliche. Wir übermitteln ihr dafür die nötigen Bestelldaten (siehe Abschnitt 4). Die Datenschutzhinweise der Marke findest du auf deren Website; die Kontaktdaten der Marke stehen auf ihrer Impressumsseite auf STACKED. Bei Marken mit eigenem Shopify-Checkout schließt du Bestellung und Zahlung im Checkout des Shopify-Shops der Marke ab; dort verarbeiten die Marke und Shopify deine Daten nach den im Checkout verlinkten Datenschutzhinweisen.

1.3 Zahlungsdienstleister

Zahlungen werden über Stripe im eigenen Stripe-Konto der jeweiligen Marke abgewickelt (siehe Abschnitt 5.4). Stripe und – bei Zahlung mit Klarna – Klarna verarbeiten Zahlungsdaten teilweise als eigene Verantwortliche (z. B. zur Betrugsprävention und zur Erfüllung geldwäscherechtlicher Pflichten). Das gilt für Bestellungen über den STACKED-Checkout. Bei Marken mit eigenem Shopify-Checkout wird die Zahlung im Checkout der Marke von Shopify bzw. den Zahlungsdienstleistern der Marke (z. B. Shopify Payments, PayPal, Klarna) abgewickelt; STACKED erhält dabei keine Zahlungsdaten.

2. Besuch der Website

2.1 Server-Logfiles

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter Vercel automatisch technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das ist für die Auslieferung der Website, die Stabilität und die Abwehr von Angriffen erforderlich.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb); § 25 Abs. 2 Nr. 2 TDDDG für den Zugriff auf das Endgerät.
• Speicherdauer: Logs werden nach spätestens 30 Tagen gelöscht.

2.2 Cookies und vergleichbare Technologien

Wir verwenden technisch notwendige Cookies und lokale Speicher (Anmeldung/Session, Warenkorb, Sicherheit, Zugang zur Beta, gewählte Sprache stitchup.locale, Speicherung deiner Cookie-Entscheidung). Für sie ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Sprachwahl ist eine von dir ausdrücklich gewünschte Einstellung.

Alle anderen Dienste (Präferenzen, Statistik, Marketing) setzen wir nur ein, wenn du im Cookie-Banner einwilligst (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Entscheidung speichern wir im Cookie stitchup.consent (früher STACKED.consent) für 365 Tage und protokollieren sie – mit pseudonymer Sitzungskennung, Zeitpunkt, Version und gewählten Kategorien – zum Nachweis (Art. 7 Abs. 1 DSGVO). Du kannst deine Einwilligung jederzeit über „Datenschutzeinstellungen“ im Seitenfuß ändern oder widerrufen.

Kategorien:

• Notwendig: wie oben beschrieben.
• Präferenzen: Speicherung optionaler Anzeigeeinstellungen (z. B. Farbschema), Zuordnung zu einer Seitenvariante bei Varianten-Tests (Cookie ab_test_variant), Adressvervollständigung und Kartenvorschau mit Google Maps (Abschnitt 2.4).
• Statistik: Google Analytics 4, Vercel Web Analytics und Vercel Speed Insights (Abschnitt 2.3).
• Marketing: derzeit nicht im Einsatz.

2.3 Statistik (nur mit Einwilligung)

• Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Analyse der Nutzung unserer Website (aufgerufene Seiten, Verweildauer, Geräte- und Browserdaten, ungefährer Standort, Ereignisse wie „In den Warenkorb“). IP-Adressen werden von Google in der EU gekürzt. Cookies: _ga, _ga_*, Speicherdauer bis zu 14 Monate. Eine Übermittlung an Google LLC in die USA ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert.
• Vercel Web Analytics und Speed Insights (Vercel Inc., USA): aggregierte, cookielose Reichweiten- und Ladezeitmessung. Übermittlung in die USA auf Grundlage des Data Privacy Framework bzw. von Standardvertragsklauseln.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Widerruf jederzeit mit Wirkung für die Zukunft.

2.4 Google Maps: Adressvervollständigung und Kartenvorschau (nur mit Einwilligung)

Bei der Eingabe von Adressen können wir Vorschläge über Google Places anzeigen und eine von Hand eingegebene Adresse beim Speichern mit Google prüfen (Abgleich von Postleitzahl und Ort). Dafür werden deine Eingaben direkt aus deinem Browser an Google übermittelt. Auf der Bestellbestätigung und in den Bestelldetails können wir die Lieferadresse auf einer Karte anzeigen; dafür wird die Adresse über unseren Server an die Geocoding-API von Google übermittelt und die Karte von Google Maps geladen (Google Ireland Limited; Übermittlung an Google LLC, USA, möglich, Data Privacy Framework). Dabei erhält Google u. a. deine IP-Adresse. Adressvervollständigung, Adressprüfung, Karte und Adressabfrage werden erst geladen, wenn du in der Kategorie „Präferenzen“ eingewilligt, in einem Adressformular auf „Adresse mit Google suchen“ geklickt (gilt bis zum Neuladen der Seite) oder auf „Karte aktivieren“ geklickt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

3. Kundenkonto

Für ein Kundenkonto verarbeiten wir E-Mail-Adresse, Passwort (nur als Hash), Vor- und Nachname, optional Telefonnummer, Adressen, Spracheinstellung und – falls du es angibst – dein Geburtsdatum. Das Geburtsdatum ist freiwillig; wir nutzen es nur zur Anzeige in deinem Profil.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); für freiwillige Angaben Art. 6 Abs. 1 lit. a DSGVO.
• Speicherdauer: bis zur Löschung des Kontos. Bestelldaten, die gesetzlichen Aufbewahrungspflichten unterliegen, bleiben danach gesperrt gespeichert (Abschnitt 9).
• Anmelde-E-Mails (Bestätigung, Passwort zurücksetzen) versenden wir über Supabase Auth und Resend.

4. Bestellungen

Für eine Bestellung verarbeiten wir: Name, E-Mail-Adresse, Liefer- und Rechnungsadresse, ggf. Telefonnummer, Bestellinhalt, Preise, Versandkosten, Zahlungsstatus, die Versionen der akzeptierten AGB und der Widerrufsbelehrung (mit einem nicht umkehrbaren, gesalzenen Hashwert deiner IP-Adresse als Nachweis), sowie Versand- und Retourenstatus.

• Zweck: Vermittlung und Abwicklung der Kaufverträge mit den Marken, Bestellbestätigung, Kundenservice, Retouren, Nachweis der Vertragsbedingungen.
• Empfänger: die jeweilige Marke (eigene Verantwortliche) erhält Name, Lieferadresse, E-Mail, ggf. Telefonnummer und den Bestellinhalt – technisch, indem wir die Bestellung in ihren Shopify-Shop schreiben. Jede Marke erhält nur die Daten ihrer eigenen Bestellung.
• Marken mit eigenem Shopify-Checkout: Bevor du bei der Marke bezahlst, übermitteln wir an ihren Shopify-Shop den Warenkorb, deine E-Mail-Adresse und deine Lieferadresse (mit Name und ggf. Telefonnummer), damit der Checkout vorausgefüllt ist, sowie eine Warenkorbkennung und – wenn du angemeldet bist – eine Kundenkennung von STACKED zur Zuordnung der Bestellung. Nach Abschluss erhalten wir vom Shopify-Shop der Marke die Bestelldaten (Bestellinhalt, Preise, Name, E-Mail, Lieferadresse, Bestell-, Versand-, Storno- und Erstattungsstatus), um die Bestellung in deinem Konto anzuzeigen, die Provision abzurechnen und gesetzliche Pflichten zu erfüllen. Andere Bestellungen des Shops speichern wir nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für den Nachweis der Vertragsbedingungen Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: Rechnungs- und buchungsrelevante Daten 8 bzw. 10 Jahre (§ 147 AO, § 257 HGB, § 14b UStG), Aufzeichnungen nach § 22f UStG 10 Jahre; im Übrigen 3 Jahre ab Ende des Jahres der Bestellung (regelmäßige Verjährung).

5. Dienstleister und Empfänger

Wir setzen folgende Dienstleister ein. Soweit sie in unserem Auftrag tätig sind, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

5.1 Hosting und Infrastruktur

• Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) – Hosting der Website, Server-Funktionen, Logfiles. Übermittlung in die USA: Data Privacy Framework und Standardvertragsklauseln.
• Supabase Inc. (970 Toa Payoh North #07-04, Singapur) – Datenbank, Authentifizierung, Dateispeicher, Edge Functions. Datenbank-Region: EU (Frankfurt). Übermittlungen außerhalb der EU nur auf Grundlage von Standardvertragsklauseln.

5.2 E-Mail-Versand

• Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) – Versand von Transaktions-E-Mails (Bestellbestätigung, Versand-, Erstattungs- und Widerrufsbestätigung, Meldungsbestätigungen, Anmelde-E-Mails). Übermittlung in die USA: Standardvertragsklauseln bzw. Data Privacy Framework. Öffnungs- und Klick-Tracking ist deaktiviert.

5.3 Shopify

• Shopify International Limited (Victoria Buildings, 2. Etage, 1-2 Haddington Road, Dublin 4, Irland) bzw. Shopify Inc. (Kanada; Angemessenheitsbeschluss) – Die Marken betreiben ihre Shops auf Shopify. Wir lesen über die Shopify-Schnittstelle Produktdaten, Lagerbestände und Versandprofile und schreiben über den STACKED-Checkout eingegangene Bestellungen in den Shop der jeweiligen Marke. Bei Marken mit eigenem Shopify-Checkout legen wir über die Shopify-Storefront-Schnittstelle einen vorausgefüllten Warenkorb im Shop der Marke an und erhalten die dort entstandene Bestellung über Shopify-Webhooks (siehe Abschnitt 4). Bestandskundenlisten der Marken lesen wir nicht.

5.4 Zahlungsabwicklung: Stripe und Klarna

Dieser Abschnitt gilt für Bestellungen über den STACKED-Checkout. Zur Zahlung bei Marken mit eigenem Shopify-Checkout siehe Abschnitt 1.3.

• Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Jede Zahlung wird als sogenannte Direct Charge im eigenen Stripe-Konto der jeweiligen Marke abgewickelt. Deine Zahlungsdaten (z. B. Kartennummer, Ablaufdatum, Name, Rechnungsadresse, Gerätedaten zur Betrugsprävention) gibst du direkt in ein von Stripe bereitgestelltes Eingabefeld ein; sie werden von Stripe verarbeitet und im Stripe-Konto der Marke gespeichert. STACKED erhält keine vollständigen Kartendaten, sondern nur Zahlungsstatus, Zahlungsart, die letzten vier Ziffern und ein Token. Stripe ist für Zahlungsdaten teils eigene Verantwortliche (stripe.com/de/privacy). Übermittlungen an Stripe, Inc. (USA): Data Privacy Framework und Standardvertragsklauseln.
• Klarna Bank AB (publ) (Sveavägen 46, 111 34 Stockholm, Schweden) – Wenn du Klarna wählst, werden über Stripe Identitäts- und Kontaktdaten sowie Bestelldaten an Klarna übermittelt. Klarna ist eigene Verantwortliche und kann eine Identitäts- und Bonitätsprüfung durchführen (klarna.com/de/datenschutz).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO.

5.5 Google

• Google Ireland Limited – Google Analytics 4 (Abschnitt 2.3) sowie Google Maps und Geocoding (Abschnitt 2.4), jeweils nur mit Einwilligung.

5.6 Behörden und Berater

Soweit gesetzlich vorgeschrieben, übermitteln wir Daten an Behörden (z. B. Finanzbehörden im Rahmen der Plattformmeldepflicht nach dem PStTG für Verkäuferdaten, Marktüberwachungsbehörden, Strafverfolgungsbehörden auf Anordnung) sowie an zur Verschwiegenheit verpflichtete Steuerberater und Rechtsanwälte. Rechtsgrundlage: Art. 6 Abs. 1 lit. c bzw. f DSGVO.

Wir verkaufen keine personenbezogenen Daten.

6. Widerrufsfunktion

Wenn du über /widerruf einen Vertrag widerrufst, verarbeiten wir Name, E-Mail-Adresse, Bestellnummer, deine Nachricht, Zeitpunkt der Erklärung, IP-Adresse und Browserkennung. Wir leiten die Erklärung an die betroffene Marke weiter und senden dir eine Eingangsbestätigung.

• Zweck: Entgegennahme der Erklärung als Empfangsbote der Marke, Nachweis von Inhalt und Zeitpunkt (§ 356a BGB).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB; Art. 6 Abs. 1 lit. f DSGVO (Nachweis).
• Speicherdauer: 3 Jahre ab Ende des Jahres der Erklärung; die IP-Adresse wird nach 90 Tagen gelöscht.

7. Meldungen rechtswidriger Inhalte (DSA)

Wenn du über /melden einen Inhalt meldest, verarbeiten wir den gemeldeten Inhalt, deine Begründung, die gewählte Kategorie, die Bestätigung deines guten Glaubens und – freiwillig – deinen Namen und deine E-Mail-Adresse. Wir verwenden die Angaben zur Prüfung, zur Entscheidung, zur Information der betroffenen Marke (ohne deine Kontaktdaten, außer bei Rechtsverletzungen, die nur mit deiner Identität geprüft werden können, z. B. Urheber- oder Markenrechtsverletzungen) und zur Benachrichtigung über unsere Entscheidung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16, 17 DSA.
• Speicherdauer: 3 Jahre ab Abschluss des Vorgangs.

8. Marken (Verkäufer) und Shopify-App

Für Marken verarbeiten wir Kontakt- und Kontodaten, Firmen- und Steuerdaten (Firma, Anschrift, Vertretungsberechtigte, Handelsregister, USt-IdNr., Steuernummer, Kleinunternehmerstatus), Bankverbindungs- und Kontoinformationen des Stripe-Kontos (bei Marken mit STACKED-Checkout), Shopify-Zugriffstoken (verschlüsselt), Produktdaten, Abrechnungsdaten und Kommunikation.

• Zwecke: Vertragserfüllung (Plattformvertrag), Rechnungs- und Gutschriftserstellung, Prüfung der Verkäuferangaben (§ 22f UStG, Art. 30 DSA), Meldung an das Bundeszentralamt für Steuern nach dem PStTG (DAC7).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Speicherdauer: Vertragsdauer zzgl. gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre). Nach Deinstallation der Shopify-App wird das Zugriffstoken sofort deaktiviert; nicht aufbewahrungspflichtige Shopdaten werden spätestens 48 Stunden nach dem Shopify-Webhook shop/redact gelöscht. Anfragen nach customers/data_request und customers/redact bearbeiten wir innerhalb der von Shopify vorgegebenen Fristen.

9. Warteliste und Kontaktformular

• Warteliste: E-Mail-Adresse, Art des Eintrags, bei Marken Website, sowie Nachweis der Einwilligung (Zeitpunkt, Textversion, Sprache). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Käufer) bzw. lit. b (Marken). Speicherung bis zum Widerruf, spätestens 12 Monate nach dem Start des Marktplatzes.
• Kontakt: Wenn du uns schreibst, verarbeiten wir deine Angaben zur Beantwortung (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und löschen sie, wenn der Vorgang abgeschlossen ist und keine Aufbewahrungspflicht besteht.

10. Speicherdauer im Überblick

• Bestell-, Rechnungs- und Buchungsdaten: 8 bzw. 10 Jahre (§ 147 AO, § 257 HGB, § 14b UStG)
• Aufzeichnungen über Verkäufer nach § 22f UStG: 10 Jahre
• DAC7-Meldedaten: 10 Jahre (§ 22 PStTG)
• Kundenkonto: bis zur Löschung
• Widerrufserklärungen, DSA-Meldungen: 3 Jahre
• Einwilligungsnachweise (Cookies): 3 Jahre nach Ablauf der Einwilligung
• E-Mail-Versandprotokoll: 2 Jahre
• Server-Logs: bis zu 30 Tage

11. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort (Vercel, Resend, Stripe, Google). Übermittlungen erfolgen auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für Shopify Inc. (Kanada) besteht ein Angemessenheitsbeschluss. Eine Kopie der Garantien erhältst du auf Anfrage.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Wende dich dazu an info@stacked.clothing. Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes.

13. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Bereitstellung der Bestelldaten ist für den Vertragsschluss erforderlich; ohne sie können wir die Bestellung nicht vermitteln. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet durch STACKED nicht statt. Bei Zahlung mit Klarna kann Klarna eine automatisierte Bonitätsprüfung durchführen.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.