Datenschutzerklärung

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten auf cosphera.net und im COSPHERA-Shop ist:

H1 Performance GmbH
Neubaugasse 24/1
8020 Graz
Österreich

Firmenbuchnummer FN 471031 v, Landesgericht für ZRS Graz
E-Mail: shop@cosphera.net
Telefon: +43 670 400 1445

COSPHERA ist eine Marke der H1 Performance GmbH. „Wir“ und „uns“ meint in dieser Erklärung die H1 Performance GmbH.

Fragen zum Datenschutz und Anträge zu deinen Rechten (Abschnitt 19) schickst du am einfachsten per E-Mail an shop@cosphera.net.

Einen Datenschutzbeauftragten haben wir nicht bestellt.

2. Das Wichtigste in Kürze

• Website:
  • Unsere Website läuft bei Netlify.
  • Bilder kommen aus einem Amazon-Web-Services-Speicher in Frankfurt, von Shopify und von unserem früheren Shop-Server.
• Shop und Bezahlung:
  • Shop, Warenkorb und Checkout stellt Shopify bereit.
  • Unser Kundenkonto auf cosphera.net betreiben wir selbst. Du meldest dich dort mit einem Code an, den wir dir per E-Mail schicken.
  • Bezahlt wird über Shopify Payments (unter anderem Karte, Apple Pay, Google Pay und Klarna) oder über PayPal.
• Bestellabwicklung:
  • Billbee wickelt deine Bestellung ab und erstellt die Rechnung.
  • Die Wolffstore GmbH versendet aus ihrem Lager mit DHL.
• Statistik und Marketing: Statistik- und Marketingdienste setzen wir nur ein, wenn du im Cookie-Banner einwilligst. Deine Wahl kannst du jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern.
• Inhalte von Drittanbietern: Videos von YouTube laden erst, wenn du sie anklickst.
• Deine Rechte:
  • Du hast unter anderem das Recht auf Auskunft, Löschung und Widerspruch.
  • Beschweren kannst du dich bei der Österreichischen Datenschutzbehörde oder bei der Aufsichtsbehörde an deinem Wohnort.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage es erlaubt. Bei jeder Verarbeitung unten nennen wir die jeweilige Grundlage:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Erfüllung eines Vertrags mit dir oder vorvertragliche Maßnahmen auf deine Anfrage.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), zum Beispiel steuer- und unternehmensrechtliche Aufbewahrungspflichten.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO). Die Interessen nennen wir jeweils dort, wo wir uns darauf stützen.

Zugriff auf dein Endgerät: Für das Speichern von Informationen auf deinem Endgerät und das Auslesen daraus (Cookies, Local Storage, Pixel) gelten zusätzlich § 25 TDDDG (Deutschland) und § 165 Abs. 3 TKG 2021 (Österreich).

• Grundsätzlich ist das nur mit deiner Einwilligung zulässig.
• Ausnahme: Es ist unbedingt erforderlich, damit wir einen von dir ausdrücklich gewünschten Dienst bereitstellen können.

4. Besuch unserer Website

4.1 Hosting und Zugriffsdaten (Netlify)

Anbieter: Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA.

Was Netlify für uns tut:

• Netlify betreibt cosphera.net und liefert die Seiten über ein weltweites Servernetz aus.
• Netlify führt unsere Serverfunktionen aus: Bewertungen und Einladungen dazu, Widerrufsformular, Sendungsstatus, Kundenkonto.
• Netlify speichert für die Anmeldung zum Kundenkonto pseudonymisierte Anmeldedaten (Abschnitt 7.3) und für die Einladungen zur Bewertung die Vermerke aus Abschnitt 11.4 (Netlify Blobs).

Zugriffsdaten: Bei jedem Aufruf verarbeitet Netlify die Daten, die dein Browser technisch übermittelt:

• IP-Adresse;
• Datum und Uhrzeit;
• aufgerufene Adresse;
• übertragene Datenmenge und Statuscode;
• die Seite, von der du kommst (Referrer);
• Browser und Betriebssystem.

Weitere Verarbeitungen auf unseren Servern:

• Fehlerprotokolle: Unsere Serverfunktionen protokollieren Fehler. Diese Protokolle können Bestellnummern oder Produktkennungen enthalten.
• Schutz vor Missbrauch: Wir begrenzen die Zahl der Anfragen je IP-Adresse, bei der Abfrage des Sendungsstatus auch je E-Mail-Adresse. Diese Angaben halten wir dafür höchstens zehn Minuten im Arbeitsspeicher. Für die Anmeldung zum Kundenkonto zählen wir außerdem pseudonymisiert je E-Mail-Adresse (Abschnitt 7.3).
• Meldung bezahlter Bestellungen: Ist eine Bestellung bezahlt, schickt Shopify die Bestelldaten an unseren Server bei Netlify. Dort prüfen wir, ob die Bestellung bezahlt ist und ob sie Kampagnenkennungen trägt (Abschnitt 5.6). Gespeichert wird davon nur ein Protokolleintrag mit Bestellnummer, Beträgen und den Namen der vorhandenen Kennungen, ohne Name und E-Mail-Adresse. Trägt die Bestellung Kennungen von Google Ads oder Meta, melden wir den Kauf von hier aus dorthin (Abschnitt 5.7); im Protokoll steht dann zusätzlich, wie die Meldung ausging, ohne die Kennungen selbst.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere, stabile und schnelle Website, die vor Missbrauch geschützt ist.
• Für die Bestellmeldung ebenfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, den Erfolg unserer Werbung zu messen. Die Kampagnenkennungen selbst speichern wir nur mit deiner Einwilligung (Abschnitt 5.6). Die Meldung des Kaufs an Google Ads und Meta beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Abschnitt 5.7).

Rolle und Vertrag: Netlify ist unser Auftragsverarbeiter. Grundlage ist das Data Processing Agreement von Netlify.

Drittland: Daten können in die USA übermittelt werden (Abschnitt 17). Datenschutzhinweise: https://www.netlify.com/privacy/

4.2 Bilder und Dateien

Bilder und andere Dateien lädt dein Browser direkt von diesen Servern. Jeder Server erhält dabei deine IP-Adresse, Browser- und Geräteangaben und die aufrufende Seite.

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg:
  • Unser Datei-Speicher (Amazon S3) liegt in der Region Frankfurt am Main.
  • AWS ist unser Auftragsverarbeiter (AWS GDPR Data Processing Addendum).
• Shopify (Abschnitt 7.1): Produkt- und Blogbilder kommen vom Shopify-Server cdn.shopify.com.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine schnelle und zuverlässige Darstellung der Website.

4.3 Produktdaten, Warenkorb und Suche (Shopify)

Produkte, Preise, Verfügbarkeit, Warenkorb und Suchergebnisse kommen direkt von Shopify. Dein Browser verbindet sich dafür mit Servern von Shopify. Shopify erhält dabei:

• deine IP-Adresse und Browserangaben;
• die Kennung deines Warenkorbs, die Produkte darin und eingegebene Rabattcodes;
• wenn du im Warenkorb einwilligst, nach der Lieferung um eine Bewertung gebeten zu werden: diese Einwilligung mit der Fassung ihres Textes, dem Zeitpunkt und einer zufälligen Kennung des Häkchens (Abschnitt 11.4);
• die Suchbegriffe, die du in unsere Suche eingibst. Ab dem dritten Zeichen gehen sie schon während des Tippens an Shopify.

Rechtsgrundlagen:

• Für den Warenkorb Art. 6 Abs. 1 lit. b DSGVO.
• Für die Einwilligung in die Bitte um eine Bewertung Abschnitt 11.4.
• Für die Suche Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine funktionierende Produktsuche.

Rolle: Shopify ist hierfür unser Auftragsverarbeiter (Abschnitt 7.1).

4.4 Verschlüsselung

Alle Verbindungen zu cosphera.net und zum Checkout sind per TLS verschlüsselt. Du erkennst das an „https://“ und dem Schloss-Symbol in der Adresszeile deines Browsers.

4.5 Produktberater

Unser Produktberater unter /produktberater läuft vollständig in deinem Browser. Deine Antworten, auch zu Schwangerschaft, Stillzeit oder Allergien, senden wir weder an unseren Server noch an Dritte. Wir speichern sie auch nicht: Verlässt du die Seite, sind sie gelöscht. Die empfohlenen Produkte lädt dein Browser von Shopify (Abschnitt 4.3), und zwar unabhängig von deinen Antworten.

5. Cookies, Einwilligung, Statistik und Marketing

5.1 So funktioniert unser Cookie-Banner

Beim ersten Besuch zeigen wir dir ein Banner. Auf dieser Datenschutzseite erscheint es nicht, damit du sie vorher in Ruhe lesen kannst. Du hast drei Möglichkeiten:

• „Cookies akzeptieren“: Du willigst in beide Kategorien ein, „Statistik“ (Abschnitt 5.3) und „Marketing“ (Abschnitte 5.4 bis 5.7 sowie Google Signals und die Verknüpfung mit Google Ads in Abschnitt 5.3).
• „Nur notwendige“: Wir verwenden nur, was für den Betrieb der Website unbedingt erforderlich ist (Abschnitt 5.2).
• Einzelauswahl über den Link „hier“: Du schaltest „Statistik“ und „Marketing“ einzeln ein und bestätigst mit „Auswahl speichern“. Beide Schalter sind aus, bis du sie selbst einschaltest.

Keine Auswahl einzelner Anbieter: Innerhalb einer Kategorie kannst du nicht nach Anbietern wählen. Welche Anbieter zu welcher Kategorie gehören, steht in den Abschnitten 5.3 bis 5.5.

Vor deiner Entscheidung laden wir keinen Statistik- oder Marketingdienst.

Speicherung deiner Entscheidung:

• Deine Entscheidung speichern wir im Cookie cosphera_consent auf deinem Gerät, 365 Tage lang.
• Der Checkout läuft auf Servern von Shopify. Damit deine Wahl auch dort gilt, übermitteln wir sie zusammen mit deinem Warenkorb an Shopify.
  • Shopify erhält dabei nur deine Wahl zu „Statistik“ und „Marketing“.
  • Für die Zwecke „Präferenzen“ und „Verkauf von Daten“, die Shopify zusätzlich vorsieht, übermitteln wir immer „nein“.
  • Hast du noch nicht entschieden, übermitteln wir nichts.

Ändern oder widerrufen: Jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile jeder Seite.

Rechtsgrundlagen: Für das Speichern deiner Entscheidung § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021. Für den Nachweis deiner Einwilligung Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.

5.2 Technisch notwendige Speicherungen

Diese Einträge brauchen wir, damit Warenkorb, Rabattlinks, das Banner, die Anmeldung im Kundenkonto und das Zurücknehmen der Einwilligung zur Bewertungseinladung funktionieren. Sie werden nicht an Werbe- oder Statistikdienste weitergegeben.

• cosphera_consent
  • Art: Cookie
  • Zweck: deine Entscheidung im Cookie-Banner
  • Dauer: 365 Tage
• cs_session
  • Art: Cookie, für Skripte auf der Seite nicht lesbar
  • Zweck: hält dich im Kundenkonto angemeldet; enthält deine E-Mail-Adresse, von uns signiert (Abschnitt 7.3)
  • Dauer: 30 Tage oder bis du dich abmeldest
• cs_signed_in
  • Art: Cookie
  • Zweck: zeigt im Kopf der Seite an, dass du angemeldet bist; enthält nur den Wert „1“
  • Dauer: 30 Tage oder bis du dich abmeldest
• cs_widerruf_order
  • Art: Cookie, für Skripte auf der Seite nicht lesbar
  • Zweck: trägt die Bestellnummer aus dem Link „Vertrag widerrufen“ deiner Bestellbestätigung in das Widerrufsformular, ohne dass sie in der Adresszeile steht
  • Dauer: höchstens 15 Minuten; gelöscht, sobald das Formular geladen ist
• cs_login
  • Art: Cookie, für Skripte auf der Seite nicht lesbar
  • Zweck: verbindet einen angeforderten Anmeldecode mit deinem Browser; enthält deine E-Mail-Adresse und eine Kennung der Anmeldung, von uns signiert
  • Dauer: 15 Minuten; gelöscht, sobald du dich angemeldet hast
• cosphera.cart-id
  • Art: Local Storage
  • Zweck: Kennung deines Warenkorbs bei Shopify
  • Dauer: bis du den Browserspeicher löschst oder der Warenkorb bei Shopify abläuft
• cosphera.cart-consent
  • Art: Local Storage
  • Zweck: mit welcher Einwilligungsentscheidung der Warenkorb zuletzt an Shopify ging
  • Dauer: wie oben
• cosphera.cart-sync, cosphera.gift-asked
  • Art: Local Storage
  • Zweck: technischer Zustand des Warenkorbs; ob wir dich nach dem Gratisprodukt gefragt haben
  • Dauer: bis du den Browserspeicher löschst
• cosphera.link-coupon, cosphera.link-coupon.checkout
  • Art: Local Storage
  • Zweck: Rabattcode aus einem Aktionslink, damit er im Warenkorb angewendet wird
  • Dauer: bis du den Browserspeicher löschst oder der Warenkorb abläuft
• cosphera.review-consent-withdrawals
  • Art: Local Storage
  • Zweck: Hast du das Häkchen zur Bewertungseinladung wieder entfernt, die zufällige Kennung dieses Häkchens, bis unser Server die Rücknahme bestätigt hat (Abschnitt 11.4)
  • Dauer: bis unser Server sie bestätigt, meist sofort, sonst beim nächsten Versuch; kommst du nicht wieder, bis du den Browserspeicher löschst
• saved_coupon
  • Art: Local Storage
  • Zweck: Rabattcode aus unserem früheren Shop; wir werten ihn nicht aus
  • Dauer: wird beim ersten Aufruf gelöscht
• np_banner_dismissed
  • Art: Session Storage
  • Zweck: dass du den Hinweis auf neue Produkte geschlossen hast
  • Dauer: bis du das Browserfenster schließt
• __cosphera_storage_probe__
  • Art: Local Storage
  • Zweck: prüft kurz, ob dein Browser Speicher erlaubt
  • Dauer: sofort wieder gelöscht

Cookies des Kundenkontos: cs_login, cs_session und cs_signed_in setzen wir erst, wenn du einen Anmeldecode anforderst bzw. dich anmeldest. Ohne sie ist die Anmeldung nicht möglich; eine Einwilligung brauchen sie deshalb nicht.

Cookies im Checkout: Im Checkout setzt Shopify eigene, technisch notwendige Cookies, etwa für Warenkorb, Sitzung, Sicherheit und die Speicherung deiner Einwilligung. Shopify beschreibt sie unter https://www.shopify.com/legal/cookies.

Rechtsgrundlagen:

• § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021.
• Für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO, beim Banner Art. 6 Abs. 1 lit. c DSGVO.

5.3 Kategorie „Statistik“: Google Analytics 4

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Zweck: Wir sehen, wie unsere Website genutzt wird, und verbessern Inhalte und Shop. Hast du auch „Marketing“ erlaubt, zusätzlich: Auswertungen zu Alter, Geschlecht, Interessen und geräteübergreifender Nutzung (Google Signals) und die Nutzung der Daten für Werbung in Google Ads (siehe unten).

Diese Daten erhält Google Analytics:

• Seitenaufrufe: nur der Pfad der Seite. Was nach „?“ oder „#“ in der Adresse steht, übermitteln wir nicht.
• Produktansichten und Warenkorb: Artikelnummer, Produktname, Kategorie, Preis, Menge; Ausnahmen in Abschnitt 5.9.
• Beginn des Checkouts: Warenkorbwert und Produkte.
• Nutzungsereignisse: wie weit du eine Seite scrollst, wie lange sie im Vordergrund ist, und Klicks auf Links zu anderen Websites, mit deren Adresse.
• Kaufabschluss (Abschnitt 5.7): Bestellnummer, Bestellwert, Versandkosten, Steuer und Produkte.
• Kennungen und Gerätedaten: eine zufällige Kennung deines Browsers im Cookie _ga bzw. _ga_<ID> (Laufzeit bis zu zwei Jahre); Angaben zu Browser, Betriebssystem und Gerät, auch genaue Versionsnummern, Hersteller und Modell des Geräts sowie die Bildschirmauflösung; ein aus der IP-Adresse abgeleiteter ungefährer Standort bis auf Ebene der Stadt. Bei Zugriffen aus der EU verwendet Google die IP-Adresse nach eigenen Angaben nur, um diesen Standort zu bestimmen, und verwirft sie danach sofort; Google Analytics 4 speichert keine IP-Adressen.

Kundendaten: Namen oder E-Mail-Adressen geben wir an Google Analytics nicht weiter. Eine technische Ausnahme gibt es: Hast du zusätzlich „Marketing“ zugestimmt, übergeben wir beim Kaufabschluss Kundendaten an das Google-Tag (Abschnitt 5.7). Diese Daten können dann technisch auch Google Analytics erreichen. In Google Analytics ist die „Erhebung von durch Nutzer bereitgestellten Daten“ eingeschaltet: Erreichen solche Daten Google Analytics, kann Google sie dort mit Daten aus Google-Konten abgleichen, um Käufe den Anzeigen zuzuordnen, über die du zu uns gekommen bist, und um Auswertungen zu Alter, Geschlecht und Interessen zu erstellen. Die automatische Erkennung solcher Angaben in Formularen unserer Website ist im Google-Tag ausgeschaltet.

Google Signals: In Google Analytics ist „Google Signals“ eingeschaltet. Es wirkt nur, wenn du „Statistik“ und „Marketing“ erlaubst; mit „Statistik“ allein sammelt Google Signals laut Google keine Daten. Mit beiden Einwilligungen darf das Google-Tag auch die Werbe-Cookies von Google lesen und setzen. Bist du in deinem Google-Konto angemeldet und hast dort personalisierte Werbung eingeschaltet, verknüpft Google deine Nutzung unserer Website mit deinem Google-Konto. Dabei nutzt Google das Analytics-Cookie _ga unserer Website zusammen mit seinen eigenen Werbe-Cookies und deinem Google-Konto. Wir selbst sehen davon nur zusammengefasste Auswertungen, etwa zu Altersgruppen, Geschlecht und Interessen unserer Besucher und zur Nutzung über mehrere Geräte. Über die Verknüpfung mit Google Ads (unten) kann Google die Verknüpfung außerdem nutzen, um dir unsere Werbung auch auf deinen anderen Geräten zu zeigen. Wir nutzen damit die Werbefunktionen von Google Analytics „Berichte zu demografischen Merkmalen und Interessen“ und „Remarketing mit Google Analytics“. Angaben zu Alter, Geschlecht und Interessen löscht Google Analytics nach zwei Monaten. Abschalten kannst du das, indem du „Marketing“ in den Cookie-Einstellungen abwählst oder unter https://adssettings.google.com personalisierte Werbung ausschaltest; dann verknüpft Google deine Besuche nicht mehr mit deinem Google-Konto.

Verknüpfung mit Google Ads: Unsere Google-Analytics-Property ist mit unserem Google-Ads-Konto verknüpft. Hast du auch „Marketing“ erlaubt, können Daten aus Google Analytics, etwa Zielgruppen und Käufe, in Google Ads einfließen und dort für Werbung genutzt werden, zum Beispiel für Remarketing (Abschnitt 5.5). Zielgruppen aus Google Analytics enthalten nach Angaben von Google nur Besucher, die der Verwendung für Werbung zugestimmt haben. Mit „Statistik“ allein sendet unsere Website selbst nichts an Google Ads.

Früherer Export (beendet): Bis zum 17.10.2026 haben wir die Daten aus Google Analytics zusätzlich täglich in ein eigenes Projekt bei Google Cloud kopiert (BigQuery, Speicherort Frankfurt am Main). Diesen Export haben wir beendet. Die bis dahin kopierten Daten löschen wir dort spätestens am 31.10.2026; bis dahin verarbeitet Google Cloud sie als unser Auftragsverarbeiter.

Rolle: Für Google Analytics ist Google unser Auftragsverarbeiter (Google Ads Data Processing Terms). Für Daten, die über die Verknüpfung in Google Ads einfließen, und für die Verknüpfung mit deinem Google-Konto über Google Signals ist Google eigenständig Verantwortlicher (Abschnitt 5.5).

Rechtsgrundlagen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021).

Speicherdauer bei Google: Google löscht die Ereignisdaten nach zwei Monaten. Nutzerdaten, die an der Kennung im Cookie _ga hängen, löscht Google 14 Monate nach der letzten Aktivität deines Browsers. Die bis zum 17.10.2026 nach BigQuery kopierten Daten löschen wir spätestens am 31.10.2026.

Drittland: Abschnitt 17.

Mehr Informationen: https://policies.google.com/technologies/partner-sites

5.4 Kategorie „Marketing“: was allgemein gilt

Mit deiner Einwilligung in „Marketing“ setzen wir die Dienste aus Abschnitt 5.5 ein. Wir verfolgen damit diese Zwecke:

• Erfolgsmessung: Wir messen, welche Anzeigen zu Besuchen und Bestellungen führen (Conversion-Messung).
• Wiedererkennung: Wir zeigen Menschen, die unsere Seiten besucht haben, auf anderen Websites und in sozialen Netzwerken Anzeigen (Remarketing).
• Zielgruppen: Wir bilden Zielgruppen für unsere Werbung.
• Google Analytics mit Google Signals und Verknüpfung zu Google Ads (Abschnitt 5.3): Auswertungen zu Alter, Geschlecht, Interessen und geräteübergreifender Nutzung; Zielgruppen und Käufe aus Google Analytics für Werbung in Google Ads.

Wie die Dienste arbeiten:

• Sie setzen Cookies oder ähnliche Kennungen auf deinem Gerät und lesen sie aus. Dein Browser übermittelt dabei deine IP-Adresse, Geräte- und Browserangaben und in der Regel die vollständige Adresse der aufgerufenen Seite.
• Wir senden Ereignisse wie Seitenaufruf, Produktansicht, In-den-Warenkorb, Checkout-Beginn und Kauf. Für Seiten und Produkte mit Gesundheitsbezug gelten Ausnahmen (Abschnitt 5.9).
• Bist du bei einem Anbieter angemeldet, kann er die Daten deinem Konto zuordnen. Er kann sie auch mit Daten aus anderen Quellen zusammenführen und für eigene Zwecke nutzen, etwa zur Verbesserung seiner Werbedienste. Diese weitere Verarbeitung verantwortet der Anbieter allein.

Rechtsgrundlagen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021).

Gemeinsame Verantwortung: Bei Meta, TikTok und Outbrain entscheiden wir gemeinsam mit dem Anbieter über die Erhebung und Übermittlung. Dafür sind wir gemeinsam Verantwortliche (Art. 26 DSGVO).

• Unsere Pflichten: deine Einwilligung einholen und dich nach Art. 13 DSGVO informieren.
• Pflichten des Anbieters: Für die Verarbeitung nach Eingang der Daten ist der Anbieter allein verantwortlich, auch für die Erfüllung deiner Rechte an den dort gespeicherten Daten.
• Deine Rechte: Du kannst sie bei uns und beim Anbieter geltend machen. Anfragen, die den Anbieter betreffen, leiten wir weiter.

5.5 Die Marketingdienste im Einzelnen

Google Ads

• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Zweck: Conversion-Messung, Remarketing, erweiterte Conversions beim Kaufabschluss (5.7)
• Daten: Ereignisse aus 5.4 (auch die Produktdaten aus 5.3), das Ausfüllen und Absenden von Formularen (ohne deine Eingaben), Cookie-Kennungen von Google, Klick-Kennungen aus Google-Anzeigen (gclid, wbraid, gbraid)
• Rolle: Eigenständig Verantwortlicher (Google Ads Controller-Controller Data Protection Terms). Für die erweiterten Conversions ist Google unser Auftragsverarbeiter.
• Drittland: Abschnitt 17
• Mehr Informationen: https://policies.google.com/technologies/partner-sites · https://business.safety.google/adsservices/

Meta-Pixel (Facebook, Instagram)

• Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland
• Zweck: Werbung auf Facebook und Instagram, Erfolgsmessung, Zielgruppen („Custom Audiences“)
• Daten: Seitenaufrufe; Produktansicht und In-den-Warenkorb (Produktname, Kategorie, Artikelnummer, Preis, Menge); Checkout-Beginn (Artikelnummern, Mengen, Wert); Kauf (5.7); Cookies _fbp, _fbc; Klick-Kennung fbclid
• Rolle: Für Erhebung und Übermittlung gemeinsam Verantwortliche (Art. 26 DSGVO; Meta Controller Addendum, https://www.facebook.com/legal/controller_addendum). Für die weitere Verarbeitung ist Meta allein verantwortlich.
• Drittland: Abschnitt 17
• Mehr Informationen: https://www.facebook.com/privacy/policy/

TikTok-Pixel

• Anbieter: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, und TikTok Information Technologies UK Limited, Kaleidoscope, 4 Lindsey Street, London EC1A 9HP, Vereinigtes Königreich
• Zweck: Werbung auf TikTok, Erfolgsmessung, Zielgruppen
• Daten: Seitenaufrufe; In-den-Warenkorb und Checkout-Beginn (Produktkennung, Produktname, Menge, Preis, Wert); Kauf (5.7); automatisch erfasste Klicks auf Links und Schaltflächen (mit deren Ziel und Beschriftung), der Titel der Seite und ob ein Formular ausgefüllt wird (ohne deine Eingaben); Cookie _ttp; Klick-Kennung ttclid
• Rolle: Gemeinsam Verantwortliche für die Pixel-Daten (Art. 26 DSGVO; TikTok Business Products (Data) Terms). Für die weitere Verarbeitung ist TikTok allein verantwortlich.
• Drittland: Abschnitt 17
• Mehr Informationen: https://www.tiktok.com/legal/page/eea/privacy-policy/en

Microsoft Advertising (UET-Tag)

• Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
• Zweck: Werbung in der Bing-Suche und im Microsoft-Werbenetz, Erfolgsmessung, Remarketing
• Daten: Seitenaufrufe (vollständige Adresse der aufgerufenen Seite), Kaufwert (5.7), Cookies von Microsoft, Klick-Kennung msclkid
• Rolle: Eigenständig Verantwortlicher (Microsoft Advertising Agreement)
• Drittland: Abschnitt 17
• Mehr Informationen: https://www.microsoft.com/de-de/privacy/privacystatement

Taboola

• Anbieter: Taboola.com Ltd., Israel. EU-Vertreter: Lionheart Squared (Europe) Ltd., 2 Pembroke House, Upper Pembroke Street 28-32, Dublin, D02 EK84, Irland
• Zweck: Empfehlungs- und Anzeigenwerbung auf Nachrichten- und Partnerseiten, Erfolgsmessung
• Daten: Seitenaufrufe; In-den-Warenkorb (Menge, Wert, Produktkennung); Checkout-Beginn (Menge, Wert); Kauf (5.7); wie weit du scrollst und wie lange eine Seite sichtbar ist; Cookies von Taboola; Klick-Kennung tblci
• Rolle: Eigenständig Verantwortlicher
• Drittland: Abschnitt 17
• Mehr Informationen: https://policies.taboola.com/privacy-policy/

Outbrain

• Anbieter: Outbrain UK Limited, 70 New Oxford Street, London WC1A 1EU, Vereinigtes Königreich
• Zweck: Empfehlungs- und Anzeigenwerbung auf Partnerseiten, Erfolgsmessung
• Daten: Seitenaufrufe, In-den-Warenkorb, Kauf (Bestellnummer, Wert; 5.7), Cookies von Outbrain
• Rolle: Gemeinsam Verantwortliche nur für die erste Erhebung und Übermittlung (Art. 26 DSGVO). Danach ist Outbrain eigenständig verantwortlich.
• Drittland: Abschnitt 17
• Mehr Informationen: https://www.outbrain.com/privacy/

ADCELL (Partnerprogramm)

• Anbieter: Firstlead GmbH, Rosenfelder Str. 15-16, 10315 Berlin
• Zweck: Im ADCELL-Partnerprogramm werben Partnerseiten für uns. Ein Skript von ADCELL erkennt, über welchen Partner du zu uns gekommen bist.
• Daten: IP-Adresse, Geräte- und Browserangaben, aufgerufene Seite, Kennung des Partnerlinks, ADCELL-Cookies
• Rolle: ADCELL bezeichnet sich als Verantwortlicher für sein Tracking.
• Mehr Informationen: https://www.adcell.de/datenschutz

Cookies der Anbieter: Namen und Laufzeiten ihrer Cookies nennen die Anbieter in ihren Datenschutzhinweisen.

5.6 Kampagnenkennungen und deine Bestellung

Wann wir Kennungen speichern: Kommst du über einen Werbelink zu uns, enthält die Adresse oft eine Klick-Kennung des Werbenetzwerks und Kampagnenangaben (utm_source, utm_medium, utm_campaign, utm_content, utm_term). Nur wenn du in „Marketing“ eingewilligt hast, speichern wir diese Angaben mit Einstiegsseite und Zeitpunkt in deinem Browser (cosphera.attribution.v1, Local Storage). Lehnst du „Marketing“ ab oder widerrufst du, löschen wir den Eintrag.

Welche Kennungen: Klick-Kennungen von Google (gclid, wbraid, gbraid), Meta (fbclid), TikTok (ttclid), Microsoft (msclkid) und Taboola (tblci).

Was mit deiner Bestellung passiert:

• Legst du Produkte in den Warenkorb, hängen wir diese Angaben an deinen Warenkorb bei Shopify. Dazu kommen die Cookie-Kennungen von Meta (_fbp, _fbc), Google Analytics (_ga) und TikTok (_ttp).
• Mit der Bestellung werden sie Teil des Bestelldatensatzes bei Shopify.
• Wir nutzen sie, um Bestellungen den Werbekampagnen zuzuordnen, über die du zu uns gekommen bist (Erfolgsmessung).

Rechtsgrundlagen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021).

Speicherdauer:

• Im Browser höchstens 90 Tage.
• An der Bestellung solange der Bestelldatensatz gespeichert ist (Abschnitt 18).

5.7 Messung des Kaufabschlusses im Checkout

Wo das Skript läuft: Der Checkout läuft bei Shopify. Um Kaufabschlüsse zu messen, haben wir dort ein eigenes Messskript („Pixel“) hinterlegt. Shopify lädt das Skript nur, wenn du sowohl in „Statistik“ als auch in „Marketing“ eingewilligt hast.

Was es übermittelt:

• an Google Analytics (Statistik): Bestellnummer, Bestellwert, Versandkosten, Steuer, Produkte (Artikelnummer, Name, Menge, Preis);
• an Google Ads (Marketing): Bestellnummer und Wert. Für die „erweiterten Conversions“ außerdem deine E-Mail-Adresse und aus der Rechnungsanschrift Vor- und Nachname, Straße, Ort, Postleitzahl und Land. Das Google-Tag wandelt diese Angaben vor der Übertragung in Hashwerte (SHA-256) um. Google gleicht sie mit Google-Konten ab;
• an Meta (Marketing): Bestellnummer, Wert, Artikelnummern sowie E-Mail-Adresse, Vor- und Nachname, Postleitzahl und Telefonnummer. Diese Angaben wandeln wir vorher in Hashwerte (SHA-256) um;
• an TikTok (Marketing): Wert, Produkte (Kennung, Name, Menge, Preis) und deine E-Mail-Adresse, vorher in einen Hashwert (SHA-256) umgewandelt;
• an Microsoft, Taboola und Outbrain (Marketing): der Bestellwert; an Taboola zusätzlich Bestellnummer und Artikelanzahl, an Outbrain zusätzlich die Bestellnummer.

Für Produkte mit Gesundheitsbezug gelten die Ausnahmen aus Abschnitt 5.9.

Was Hashing bedeutet: Hashing ist eine Pseudonymisierung, keine Anonymisierung. Wer denselben Wert kennt, kann ihn zuordnen. Genau dafür nutzen die Netzwerke ihn.

Kein Doppelmelden: Damit ein Kauf nicht doppelt gemeldet wird, legt das Skript im Browserspeicher der Shopify-Domain einen Vermerk mit der Bestellkennung an (cosphera_tracked_<Bestellkennung>).

Meldung durch unseren Server: Ist deine Bestellung bezahlt, meldet zusätzlich unser Server (Abschnitt 4.1) den Kauf an Google Ads und Meta, aber nur, wenn deine Bestellung deren Kennungen trägt (Abschnitt 5.6). Das ist nur der Fall, wenn du in „Marketing“ eingewilligt hattest. So wird der Kauf auch gemeldet, wenn Shopify das Skript nicht lädt, weil du nur in „Marketing“ eingewilligt hast, oder wenn das Skript nicht zum Zug kam. Das Skript im Checkout gibt diese Kennungen nicht weiter. Zweck: die Erfolgsmessung unserer Werbung; Google Ads und Meta nutzen die Meldung außerdem, um die eigene Werbung auszusteuern (Abschnitt 5.5). Übermittelt werden:

• an Google Ads, nur wenn die Bestellung eine Google-Klick-Kennung (gclid, wbraid oder gbraid) trägt: diese Kennung, Bestellnummer, Bestellwert, Währung und Bestellzeitpunkt, außerdem deine E-Mail-Adresse und aus der Rechnungsanschrift Vor- und Nachname als Hashwerte (SHA-256) sowie Land und Postleitzahl;
• an Meta, nur wenn die Bestellung eine Meta-Kennung (_fbp, _fbc oder fbclid) trägt: diese Kennungen, Bestellnummer, Bestellwert, Währung, Bestellzeitpunkt, Angaben zu Browser und Gerät deines Kaufs (User-Agent) und als Hashwerte (SHA-256) deine E-Mail-Adresse sowie aus der Rechnungsanschrift Vor- und Nachname, Ort, Postleitzahl und Land.

Keine Produkte, keine IP-Adresse, keine Telefonnummer. Hat das Skript im Checkout denselben Kauf schon gemeldet, werden beide Meldungen über die Bestellnummer zusammengeführt. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Kennungen hatten wir mit deiner Einwilligung gespeichert (§ 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021; Abschnitt 5.6). Wir selbst speichern dafür nichts außer dem Protokolleintrag aus Abschnitt 4.1.

Rechtsgrundlagen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021).

5.8 Bewertungsseiten und Kundenkonto

Bewertungsseiten: Auf den Seiten zur Abgabe einer Bewertung (/bewertung, /meine-bewertungen) laden wir keinen Statistik- oder Marketingdienst und senden kein Ereignis, auch wenn du eingewilligt hast. Ihre Adressen enthalten persönliche Angaben wie Bestellnummer und E-Mail-Adresse oder einen Zugangsschlüssel. Dienste, die eine andere Seite unserer Website geladen hat, laufen dort nicht weiter, auch nicht, wenn du aus dem Kundenkonto kommst: Dein Browser lädt die Seite dafür neu.

Kundenkonto (/mein-konto):

• Aus dem Kundenkonto senden wir kein Ereignis an Statistik- oder Marketingdienste, auch wenn du eingewilligt hast. Das gilt für alle Seiten des Kontos einschließlich der Anmeldung und auch, wenn du dort Produkte erneut in den Warenkorb legst.
• Öffnest du das Kundenkonto direkt, etwa über einen Link in einer E-Mail oder ein Lesezeichen, oder lädst du eine Seite des Kontos neu, laden wir dort keinen dieser Dienste. Willigst du erst im Kundenkonto ein, laden wir sie erst, wenn du es verlässt.
• Wechselst du von einer anderen Seite unserer Website ins Kundenkonto, lädt dein Browser die Seite in der Regel nicht neu. Dienste, die eine vorherige Seite nach deiner Einwilligung geladen hat, bleiben deshalb in deinem Browser. Solange du im Kundenkonto bist, schalten wir Google Analytics ab und blockieren die Anfragen, die diese Dienste an ihre Anbieter senden wollen; geprüft haben wir das für jeden Dienst, den wir einsetzen. Sie erhalten aus dem Kundenkonto deshalb weder die Adresse einer Seite noch deine Bestellnummer, und nichts von dem, was du dort ansiehst oder eingibst.
• Verlässt du das Kundenkonto, melden wir die nächste Seite erst, wenn sie angezeigt wird, mit ihrer eigenen Adresse und ihrem eigenen Titel.
• Lädst du eine Seite des Kontos neu, ist danach keiner dieser Dienste mehr in deinem Browser, bis du das Kundenkonto verlässt.

Rechtsgrundlagen: Geladen sind diese Dienste aufgrund deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021); widerrufen kannst du sie nach Abschnitt 5.10.

5.9 Seiten und Produkte mit Gesundheitsbezug

Auf Seiten zu Produkten und Themen wie Haarausfall, Kinderwunsch oder Schwangerschaft und in unserem Produktberater laden wir keine Marketingdienste und keinen Statistikdienst. Wir senden dort auch keine Ereignisse an Werbenetzwerke, selbst wenn du in „Marketing“ eingewilligt hast. Legst du ein solches Produkt an anderer Stelle in den Warenkorb oder kaufst du es, übermitteln wir an Werbenetzwerke und an Google Analytics keine Produktnamen, Artikelnummern oder Kategorien dieses Produkts.

5.10 Einwilligung widerrufen

Über „Cookie-Einstellungen“ in der Fußzeile kannst du jederzeit eine oder beide Kategorien abwählen. Ab dann senden wir an die betroffenen Dienste keine Daten mehr. War ein betroffener Dienst schon geladen, lädt dein Browser die Seite danach einmal neu, damit er nicht von sich aus weiter Daten sendet. Widerrufst du „Marketing“, löschen wir außerdem die in deinem Browser gespeicherten Kampagnenkennungen und entfernen sie von deinem Warenkorb. An bereits aufgegebenen Bestellungen bleiben sie bis zum Ablauf der Frist in Abschnitt 18 gespeichert. Hattest du den Checkout schon in einem anderen Tab geöffnet, behält er die Kennungen, mit denen er geladen wurde: Schließt du die Bestellung dort ab, trägt sie die Kennungen noch, und unser Server meldet den Kauf (Abschnitt 5.7). Gehst du nach dem Widerruf von unserem Warenkorb aus neu zur Kasse, trägt die Bestellung keine Kennungen mehr, sofern dein Widerruf den Warenkorb erreicht hat.

Ein bereits geladenes Skript bleibt im Browser, bis du die Seite neu lädst oder den Tab schließt. Ein Wechsel auf eine andere Seite unserer Website lädt es in der Regel nicht aus. Beim Wechsel von einer anderen Seite auf eine Bewertungsseite (Abschnitt 5.8) und beim Wechsel zwischen einer Seite mit Gesundheitsbezug und einer ohne (Abschnitt 5.9) lädt dein Browser die Seite aber immer neu. Cookies, die ein Anbieter schon gesetzt hat, löschst du in deinen Browsereinstellungen.

Personalisierte Werbung kannst du zusätzlich in deinem Konto beim jeweiligen Anbieter abschalten.

6. Inhalte, die erst nach deinem Klick laden

6.1 YouTube-Videos

Wie die Einbindung funktioniert: In einigen Blogartikeln binden wir Videos von YouTube ein. Bis du auf „Video laden“ bzw. den Platzhalter klickst, stellt dein Browser keine Verbindung zu YouTube her. Danach lädt das Video über youtube-nocookie.com.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Daten:

• YouTube erhält deine IP-Adresse, Geräte- und Browserangaben und die Seite, auf der das Video eingebunden ist.
• Nach dem Start des Videos kann YouTube Cookies oder ähnliche Speicher setzen.
• Bist du bei Google angemeldet, kann YouTube den Aufruf deinem Konto zuordnen.

Rolle: Google ist für YouTube eigenständig Verantwortlicher.

Rechtsgrundlagen: deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021).

Drittland: Abschnitt 17.

Mehr Informationen: https://policies.google.com/privacy

Abruf ohne deine Daten: Titel und Vorschaubilder von Videos und Playlists ruft unser Server über die YouTube-Schnittstelle ab. Dabei werden keine Daten von dir übermittelt.

7. Bestellung im Shop

7.1 Shopify als Shopsystem und Checkout

Anbieter: Unser Shop läuft auf Shopify. Unser Vertragspartner ist die Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland („Shopify“). Datenschutz-Kontakt von Shopify: c/o Intertrust Ireland, 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irland.

Was Shopify für uns tut:

• Shopify speichert unseren Produktkatalog, Warenkörbe, Bestellungen und Kundenkonten.
• Shopify berechnet die Umsatzsteuer, stellt den Checkout bereit und versendet einen Teil unserer Bestell-E-Mails (Abschnitt 10).

Wo der Checkout läuft: Nicht auf cosphera.net, sondern auf einer Adresse von Shopify, derzeit cosphera-shop.myshopify.com.

Diese Daten erfassen wir im Checkout:

• E-Mail-Adresse;
• Liefer- und Rechnungsanschrift: Name, gegebenenfalls Firma, Straße, Postleitzahl, Ort, Land;
• deine Telefonnummer, falls du sie angibst;
• gewählte Versand- und Zahlungsart;
• Rabattcodes;
• bestellte Produkte und Preise.

Angaben, die im Checkout nicht als „optional“ gekennzeichnet sind, brauchen wir für den Vertragsschluss. Ohne sie können wir den Vertrag nicht schließen.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Pflichten).

Rolle und Vertrag: Shopify ist unser Auftragsverarbeiter. Grundlage ist das Data Processing Addendum von Shopify; es ist Teil der Shopify-Nutzungsbedingungen. Shopify setzt weitere Dienstleister ein: https://help.shopify.com/en/manual/your-account/privacy/subprocessors

Drittland: Abschnitt 17.

Datenschutzhinweise von Shopify für Käufer: https://www.shopify.com/legal/privacy/customers

7.2 Daten, die Shopify zur Bestellung zusätzlich erfasst

Shopify ergänzt jede Bestellung um weitere Angaben:

• deine IP-Adresse;
• Browser- und Geräteangaben;
• Spracheinstellung;
• die Geokoordinaten deiner Anschrift;
• den Weg zu uns: erste und letzte besuchte Seite, Herkunft.

Zweck: Wir nutzen diese Angaben, um Betrug zu erkennen, Zahlungsausfälle zu verhindern und die Bestellung abzuwickeln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Betrug und Missbrauch.

7.3 Kundenkonto

Unter cosphera.net/mein-konto kannst du dein Kundenkonto nutzen. Wir betreiben es selbst, mit unseren Serverfunktionen bei Netlify (Abschnitt 4.1).

Was du dort siehst und tun kannst:

• deine Bestellungen in unserem Shop seit dem 20.10.2026, die du mit deiner E-Mail-Adresse aufgegeben hast;
• ihren Versandstatus und die Sendungsverfolgung des Versanddienstleisters;
• gekaufte Produkte erneut in den Warenkorb legen (Abschnitt 4.3);
• den Link zur Bewertung gekaufter Produkte (Abschnitt 11.1).

Anmeldung:

• Du meldest dich ohne Passwort an: Du gibst deine E-Mail-Adresse ein, und wir schicken dir einen sechsstelligen Code.
• Die E-Mail kommt von shop@cosphera.net und geht über den Mailserver unseres Postfachs bei der Host Europe GmbH (Abschnitt 14.1).
• Der Code gilt 15 Minuten und für höchstens fünf Eingaben. Fordert jemand einen neuen Code an, gilt nur noch der neue.
• Jede E-Mail-Adresse kann einen Code anfordern. Die Anmeldung verrät also nicht, ob zu einer Adresse Bestellungen existieren.

Was wo gespeichert wird:

• Auf deinem Gerät: die Cookies cs_session, cs_signed_in und cs_login (Abschnitt 5.2).
• Bei Netlify (Netlify Blobs): nur pseudonymisierte Angaben. Deine E-Mail-Adresse und den Code speichern wir dort nicht im Klartext, sondern nur als Hashwert, den wir mit einem geheimen Schlüssel bilden. Dazu kommen der Ablaufzeitpunkt des Codes und die Zahl der Eingabeversuche. Damit niemand massenhaft Codes an eine Adresse schicken lassen kann, zählen wir außerdem je Adresse, wie viele Codes in der letzten Stunde und am letzten Tag angefordert wurden und wann zuletzt.
• Deine Bestellungen lesen wir bei jedem Aufruf direkt bei Shopify ab, und zwar nur die Bestellungen, deren E-Mail-Adresse genau mit deiner übereinstimmt. Wir kopieren sie nicht und legen kein eigenes Kundenprofil an.

Statistik und Marketing: Aus dem Kundenkonto senden wir keine Daten an Statistik- oder Marketingdienste, auch wenn du eingewilligt hast. Hat eine andere Seite unserer Website solche Dienste geladen, bleiben sie beim Wechsel ins Kundenkonto in deinem Browser; solange du im Kundenkonto bist, blockieren wir aber ihre Anfragen (Abschnitt 5.8).

Löschung:

• Über „Abmelden“ löschen wir die Cookies. Sonst endet die Anmeldung nach 30 Tagen; danach forderst du einen neuen Code an.
• Die Angaben zu einem Code löschen wir, sobald er verwendet oder aufgebraucht ist oder für dieselbe Adresse ein neuer Code angefordert wird. Einen abgelaufenen Code, den niemand eingibt, löschen wir also erst, wenn für dieselbe Adresse ein neuer Code angefordert wird.
• Der Zähler je Adresse bleibt gespeichert, bis du den nächsten Code anforderst; dann wird er überschrieben.
• Auf Wunsch löschen wir den Zähler und die Angaben zu einem abgelaufenen Code sofort (shop@cosphera.net).
• Deine Bestellungen bewahren wir nach Abschnitt 18 auf, unabhängig vom Kundenkonto.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO: Du nutzt das Kundenkonto, um deine Bestellungen und ihren Versand zu verfolgen.
• Für die Begrenzung von Codes und Eingabeversuchen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Konten vor dem Erraten von Codes und E-Mail-Adressen vor massenhaft angeforderten Codes zu schützen.
• Für die Cookies § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021: Sie sind für die von dir gewünschte Anmeldung unbedingt erforderlich; eine Einwilligung brauchen sie nicht.

Rolle: Netlify, Host Europe und Shopify sind hierfür unsere Auftragsverarbeiter (Abschnitte 4.1, 14.1 und 7.1).

Kundenkonto bei Shopify: Daneben stellt Shopify ein eigenes Kundenkonto bereit. Du gelangst dorthin über die Links zur Bestellstatusseite in den Bestell-E-Mails von Shopify und über „Anmelden“ im Checkout.

• Anmeldung: ohne Passwort, mit einem Einmalcode, den Shopify an deine E-Mail-Adresse schickt.
• Inhalt: deine Bestellungen, ihr Status und deine bei Shopify gespeicherten Anschriften.
• Rolle und Rechtsgrundlage: Shopify betreibt es als unser Auftragsverarbeiter (Abschnitt 7.1); Art. 6 Abs. 1 lit. b DSGVO.
• Löschung: Wir löschen dein Konto bei Shopify, sobald du uns darum bittest (shop@cosphera.net). Bestelldaten, die wir aufbewahren müssen, bleiben bis zum Ende der Frist in Abschnitt 18 erhalten.

7.4 Shop Pay und Shop-App

Shop Pay: Shop Pay ist ein Dienst von Shopify. Nutzt du Shop Pay oder legst du dort ein Konto an, speichert Shopify deine Kontakt-, Liefer- und Zahlungsdaten in einem eigenen Shop-Konto. So kannst du sie in anderen Shops mit Shop Pay wiederverwenden.

Shop-App: Eine Sendungsverfolgung in der Shop-App bieten wir nicht an. Nutzt du die Shop-App von dir aus, etwa mit deinem Shop-Konto, gilt dafür das Folgende.

Rolle: Für beides ist Shopify eigenständig Verantwortlicher. Es gelten Shopifys Datenschutzhinweise: https://www.shopify.com/legal/privacy/customers

Rechtsgrundlage der Übermittlung an Shopify: deine Wahl von Shop Pay bzw. der Shop-App (Art. 6 Abs. 1 lit. b DSGVO).

7.6 Erinnerungen an abgebrochene Bestellungen

Wir versenden keine Erinnerungen an abgebrochene Bestellungen oder Warenkörbe.

8. Bezahlung

8.1 Shopify Payments (Karte, Klarna, EPS und weitere)

Zahlungsarten: Je nach Land, Gerät und Bestellung bieten wir über Shopify Payments Kredit- und Debitkarte, Apple Pay, Google Pay, Shop Pay (Abschnitt 7.4), Klarna und EPS an. Welche Zahlungsarten dir zur Verfügung stehen, siehst du im Checkout.

Wer die Zahlung abwickelt:

• Shopify Payments stellt die Shopify International Limited bereit.
• Die Zahlungen wickeln Zahlungsdienstleister im Auftrag von Shopify ab. Für Österreich nennt Shopify die Stripe Payments Europe, Limited (Dublin, Irland), die PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) und die Adyen N.V. (Amsterdam, Niederlande).

Kartendaten: Kartendaten gibst du direkt in einem gesicherten, PCI-zertifizierten Bereich von Shopify ein. Wir erhalten keine vollständigen Kartennummern.

Verarbeitete Daten:

• Betrag, Währung, Zahlungsangaben;
• Name, Rechnungsanschrift, E-Mail-Adresse;
• zur Betrugsprävention auch IP-Adresse und Geräteangaben.

Rollen:

• Shopify verarbeitet die Zahlungsdaten als unser Auftragsverarbeiter.
• Die Zahlungsdienstleister verarbeiten sie zum Teil in eigener Verantwortung, etwa zur Betrugsbekämpfung und wegen Pflichten zur Geldwäscheprävention.
• Apple Pay und Google Pay betreiben Apple bzw. Google in eigener Verantwortung für ihre Wallets.
• Bei EPS bestätigst du die Zahlung im Online-Banking deiner Bank.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO.
• Art. 6 Abs. 1 lit. c DSGVO (Pflichten der Zahlungsdienstleister).
• Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).

Drittland: Abschnitt 17.

Mehr Informationen: https://www.shopify.com/legal/privacy/customers

8.2 Klarna

Wählst du Klarna, öffnet sich Klarna im Checkout. Die technische Abwicklung läuft über Shopify Payments.

Anbieter: Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden.

Verarbeitete Daten: Name, Anschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer und Geburtsdatum, Bestell- und Zahlungsdaten.

Rolle: Klarna ist eigenständig Verantwortlicher.

• Klarna entscheidet, welche Klarna-Zahlungsarten dir angeboten werden.
• Klarna kann dazu eine Identitäts- und Bonitätsprüfung durchführen, auch mit Wahrscheinlichkeitswerten (Scoring) und unter Einbeziehung von Auskunfteien.

Weitere Informationen von Klarna, auch zu automatisierten Entscheidungen, zu den Auskunfteien und zu deinen Rechten:

• für Deutschland: https://cdn.klarna.com/1.0/shared/content/legal/terms/0/de_de/privacy
• für Österreich: https://cdn.klarna.com/1.0/shared/content/legal/terms/0/de_at/privacy

Rechtsgrundlage der Übermittlung an Klarna: Art. 6 Abs. 1 lit. b DSGVO.

8.3 PayPal

Wählst du PayPal, wirst du zu PayPal weitergeleitet.

Anbieter: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg.

Datenfluss:

• Wir übermitteln den Bestellbetrag und die Bestellangaben.
• Nutzt du die Expresszahlung, übermittelt PayPal uns Name, E-Mail-Adresse und Lieferanschrift aus deinem PayPal-Konto.

Rolle: PayPal ist eigenständig Verantwortlicher. Für einzelne PayPal-Zahlungsarten kann PayPal in eigener Verantwortung eine Bonitätsprüfung durchführen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mehr Informationen: https://www.paypal.com/de/legalhub/paypal/privacy-full

8.4 Rückzahlungen

Erstattungen zahlen wir über Shopify bzw. PayPal auf das Zahlungsmittel zurück, mit dem du bezahlt hast. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und c DSGVO.

9. Auftragsabwicklung, Versand und Rechnung

9.1 Billbee (Bestellabwicklung und Rechnung)

Anbieter: Billbee GmbH, Arolser Str. 10, 34477 Twistetal.

Übernommene Daten: Billbee übernimmt jede Bestellung aus Shopify: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, Produkte, Preise, Zahlungsart und Status.

Was Billbee für uns tut:

• erstellt Rechnungen und Gutschriften;
• versendet E-Mails zu deiner Bestellung (Abschnitt 10);
• gleicht Zahlungseingänge mit unseren PayPal- und Shopify-Payments-Umsätzen ab;
• gibt bezahlte Bestellungen an unser Versandlager weiter.

Rolle: Billbee ist unser Auftragsverarbeiter.

Verarbeitungsort: Billbee verarbeitet die Daten auf Servern in Deutschland und der EU. Für seinen Kundensupport setzt Billbee den Dienstleister Help Scout (USA) ein. Dabei können im Einzelfall Daten in die USA übermittelt werden (Abschnitt 17).

Anonymisierung: Die Kundendaten einer Bestellung anonymisiert Billbee nach 730 Tagen.

Belegarchiv: Jede Rechnung und Gutschrift legt Billbee außerdem als PDF in unserem Google Drive ab (Google Ireland Limited, Auftragsverarbeiter). Dort bewahren wir sie für die gesetzliche Frist auf (Abschnitt 18).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und c DSGVO.

Mehr Informationen: https://www.billbee.io/rechtliches/datenschutz

9.2 Wolffstore (Lager, Versand, Retouren)

Anbieter: Wolffstore GmbH, Steyler Straße 121, 41334 Nettetal.

Was Wolffstore für uns tut:

• holt jede bezahlte Bestellung aus Billbee;
• lagert, verpackt und versendet die Ware;
• nimmt Rücksendungen an. Die Retourenadresse ist Wevelinghoven 28a, 41334 Nettetal.

Daten: Wolffstore erhält aus Billbee die für Versand und Retouren nötigen Bestelldaten, insbesondere Name, Lieferanschrift, Bestellnummer und Produkte, gegebenenfalls E-Mail-Adresse und Telefonnummer.

Rolle: Wolffstore ist unser Auftragsverarbeiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9.3 DHL (Zustellung)

Wer zustellt:

• Wolffstore übergibt dein Paket an die DHL Paket GmbH, Charles-de-Gaulle-Straße 20, 53113 Bonn.
• Sendungen nach Österreich gehen an die Deutsche Post AG, gleiche Anschrift. Sie übergibt die Sendung zur Zustellung an ihren Partner in Österreich.

Daten: DHL erhält dafür Name und Lieferanschrift.

Rolle: DHL ist für die Beförderung eigenständig Verantwortlicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mehr Informationen: https://www.dhl.de/de/toolbar/footer/datenschutz.html

9.4 Sendungsstatus im Chat

Chat ohne Übermittlung: Die Antworten unseres Chat-Assistenten entstehen in deinem Browser. Deine Nachrichten gehen nicht an uns oder an Dritte.

Statusabfrage:

• Fragst du dort den Status deiner Sendung ab, sendet der Chat deine E-Mail-Adresse und Postleitzahl an unseren Server.
• Der Server sucht die passende Bestellung bei Shopify.
• Zurück kommen nur der Versandstatus – mit der letzten Meldung des Versanddienstleisters, ohne Ort, und dem voraussichtlichen oder tatsächlichen Zustelltag – und der Link zur Sendungsverfolgung des Versanddienstleisters.
• Wir speichern die Abfrage nicht. Nur zur Missbrauchsbegrenzung halten wir E-Mail-Adresse und IP-Adresse höchstens zehn Minuten im Arbeitsspeicher (Abschnitt 4.1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Missbrauchsbegrenzung Art. 6 Abs. 1 lit. f DSGVO.

9.5 Weitere Empfänger

Soweit erforderlich, erhalten außerdem personenbezogene Daten:

• unsere Steuerberatung bzw. Buchhaltung (Rechnungen, Gutschriften; Art. 6 Abs. 1 lit. c DSGVO);
• IT-Dienstleister, die unsere Website und unseren Shop entwickeln und technisch betreuen. Sie haben dafür Zugriff auf das Shopsystem (Auftragsverarbeiter);
• Behörden und Gerichte, wenn wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

10. E-Mails zu deiner Bestellung

• Bestellbestätigung mit Link zur Bestellstatusseite
  • Wann: sofort nach der Bestellung
  • Versand durch: Shopify
• Bestätigung einer Erstattung
  • Wann: bei einer Erstattung
  • Versand durch: Shopify
• Versandbestätigung mit Sendungsverfolgung
  • Wann: sobald Wolffstore dein Paket versendet hat
  • Versand durch: Shopify
• Paket in Zustellung und Paket zugestellt
  • Wann: wenn DHL dein Paket als in Zustellung und als zugestellt meldet
  • Versand durch: Shopify
• Rechnung (PDF)
  • Wann: sobald Wolffstore dein Paket versendet hat, in einer eigenen E-Mail
  • Versand durch: Billbee
• Gutschrift
  • Wann: bei Stornierung oder Erstattung
  • Versand durch: Billbee
• Eingangsbestätigung deines Online-Widerrufs
  • Wann: sofort nach Eingang (Abschnitt 12)
  • Versand durch: unser Postfach shop@cosphera.net bei der Host Europe GmbH (Abschnitt 14.1)
• Bitte um eine Bewertung
  • Wann: einmal, etwa 10 Tage nach der Zustellung, nur wenn du im Warenkorb eingewilligt und die Einwilligung nicht widerrufen hast (Abschnitt 11.4)
  • Versand durch: unser Postfach shop@cosphera.net bei der Host Europe GmbH (Abschnitt 14.1)

Absenderadresse ist shop@cosphera.net.

• Shopify versendet über eigene Mailserver.
• Billbee versendet über unseren E-Mail-Server.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO.
• Für Bestellbestätigung und Rechnung zusätzlich Art. 6 Abs. 1 lit. c DSGVO (§ 312f Abs. 2 BGB; § 7 Abs. 3 FAGG; Rechnungslegungspflichten).
• Für die Eingangsbestätigung des Widerrufs Art. 6 Abs. 1 lit. c DSGVO (§ 356a Abs. 4 BGB; § 13a Abs. 5 FAGG).
• Für die Bitte um eine Bewertung deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Abschnitt 11.4).

11. Produktbewertungen

11.1 Zugang zum Bewertungsformular

Das Bewertungsformular öffnet sich nur über einen persönlichen Link, der zu einer Bestellung gehört. Der Link enthält entweder einen Zugangsschlüssel oder deine Bestellnummer und E-Mail-Adresse. Unser Server prüft diese Angaben bei Shopify und öffnet dann das Formular. Auf diesen Seiten laden wir keine Statistik- oder Marketingdienste (Abschnitt 5.8).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, nur Bewertungen von Kundinnen und Kunden anzunehmen, die das Produkt tatsächlich gekauft haben.

11.2 Abgabe und Veröffentlichung

Daten: Im Bewertungsformular gibst du eine Sternebewertung, einen Text und einen angezeigten Namen an. Den Namen kannst du frei wählen oder leer lassen.

Speicherung:

• Wir speichern die Bewertung mit Produkt, Datum und einem Bezug zu deiner Bestellung bei Shopify.
• Weil sich das Formular nur über einen Link zu einer echten Bestellung öffnet (Abschnitt 11.1), kennzeichnen wir die Bewertung als verifizierten Kauf.

Prüfung und Veröffentlichung:

• Jede Bewertung prüfen wir vor der Veröffentlichung.
• Veröffentlicht werden Bewertungstext, Sterne, angezeigter Name und Datum. Das geschieht auf der Produktseite und in den öffentlich abrufbaren Produktdaten unseres Shops, auch für Suchmaschinen.

Rechtsgrundlage: deine Einwilligung beim Absenden (Art. 6 Abs. 1 lit. a DSGVO).

Widerruf: Schreibst du uns an shop@cosphera.net, nehmen wir die Bewertung wieder offline und löschen sie.

11.3 Bewertungen aus unserem bisherigen Shop

Bewertungen aus unserem früheren Shopsystem haben wir übernommen: Text, Sterne, angezeigter Name und Datum, so wie sie dort veröffentlicht waren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die bisherigen Kundenmeinungen weiter als Kaufhilfe zu zeigen.

Entfernen: Möchtest du, dass wir eine solche Bewertung entfernen, schreib uns.

11.4 Einladung zur Bewertung per E-Mail

Im Warenkorb kannst du ein Kästchen ankreuzen, das nicht vorausgewählt ist. Du findest es im Warenkorb-Fenster und am Ende der Warenkorbseite, jeweils über dem Knopf zur Kasse. Sein Text: „Ja, bittet mich nach der Lieferung einmal per E-Mail, die bestellten Produkte zu bewerten. Widerruf jederzeit über den Link in der E-Mail oder an shop@cosphera.net.“

Nur für eine Bestellung, in deren Warenkorb du das Kästchen angekreuzt hast, schicken wir dir etwa 10 Tage nachdem DHL dein Paket als zugestellt gemeldet hat, einmal eine E-Mail mit der Bitte, die bestellten Produkte zu bewerten, und einem persönlichen Link. Die Einwilligung ist freiwillig; bestellen kannst du genauso ohne sie. Für stornierte, vollständig erstattete und nicht zugestellte Bestellungen schicken wir keine Einladung. Wen wir einladen, hängt nicht davon ab, wie du das Produkt findest, und für eine Bewertung bieten wir nichts an.

Der Link: Er enthält nur eine Kennung deiner Bestellung bei Shopify, von uns signiert, und gilt höchstens 30 Tage. Öffnest du ihn, prüfen wir deine Bestellung bei Shopify erneut wie in Abschnitt 11.1, bevor sich das Bewertungsformular öffnet.

Daten: deine E-Mail-Adresse, dein Vorname, die Bestellnummer, die bestellten Produkte und der Zeitpunkt der Zustellung, jeweils aus deiner Bestellung bei Shopify.

Speicherung:

• Deine Einwilligung hängen wir an deinen Warenkorb bei Shopify, mit der Fassung des Textes, dem du zugestimmt hast, dem Zeitpunkt des Häkchens und einer zufälligen Kennung dieses Häkchens. Mit der Bestellung wird sie Teil des Bestelldatensatzes bei Shopify. So können wir nachweisen, dass und wozu du eingewilligt hast.
• Entfernst du das Häkchen wieder, schickt dein Browser die zufällige Kennung dieses Häkchens an unseren Server bei Netlify. Dort speichern wir nur sie und den Zeitpunkt, zu dem sie eingeht – keine E-Mail-Adresse, keine Warenkorb-Kennung, keine IP-Adresse (für die Anfrage selbst gilt Abschnitt 4.1). Kommt die Meldung nicht sofort an, merkt sich dein Browser die Kennung und schickt sie erneut (Abschnitt 5.2). Sobald sie bei uns ist, laden wir zu keiner Bestellung ein, die dieses Häkchen trägt, auch wenn du sie in einem Fenster abschließt, in dem die Kasse schon vorher geöffnet war. Wir löschen den Vermerk 90 Tage nach seinem Eingang; danach kann keine Bestellung mit diesem Häkchen mehr eingeladen werden.
• Damit jede Bestellung nur eine Einladung bekommt, speichern wir bei Netlify die Bestell-ID, den Zeitpunkt des Versands und die Angaben zu deiner Einwilligung.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Link in der E-Mail oder per E-Mail an shop@cosphera.net – dann tragen wir den Widerruf für dich ein. Solange du noch nicht bestellt hast, genügt es auch, das Häkchen im Warenkorb wieder zu entfernen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt (Art. 7 Abs. 3 DSGVO). Ein Widerruf gilt für jede Einwilligung, die du bis dahin gegeben hast, auch für Bestellungen, zu denen die Einladung noch aussteht. Kreuzt du das Kästchen danach bei einer neuen Bestellung wieder an, ist das eine neue Einwilligung, und zu dieser Bestellung bitten wir dich wieder um eine Bewertung. Jede Einladung sagt dir, dass sie auf deiner Einwilligung beruht, und enthält den Link zum Widerruf. Für deinen Widerruf speichern wir bei Netlify nicht deine E-Mail-Adresse, sondern einen mit einem geheimen Schlüssel gebildeten, nicht umkehrbaren Prüfwert (Hash) davon und den Zeitpunkt des Widerrufs. Daran erkennen wir die Adresse vor jedem Versand wieder und sehen, ob dein Widerruf oder dein Häkchen das spätere ist.

Versand: über unser Postfach shop@cosphera.net bei der Host Europe GmbH (Abschnitt 14.1), mit unserer eigenen DKIM-Signatur, an der dein E-Mail-Programm erkennen kann, dass die E-Mail wirklich von cosphera.net kommt. Die E-Mail enthält keine Zählpixel und keine Bilder; die Seiten zum Bewerten und zum Widerrufen laden keine Statistik- oder Marketingdienste (Abschnitt 5.8).

Rechtsgrundlagen:

• Für die Einladung deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die E-Mail selbst schicken wir nur mit dieser Einwilligung (§ 7 Abs. 2 Nr. 2 UWG; § 174 Abs. 3 TKG 2021).
• Für den Nachweis deiner Einwilligung und den Prüfwert zu deinem Widerruf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, nachweisen zu können, dass du eingewilligt hast (Art. 7 Abs. 1 DSGVO), und deinen Widerruf dauerhaft zu beachten.

12. Widerruf über das Online-Formular

Daten: Unter cosphera.net/widerruf kannst du einen Vertrag online widerrufen. Wir verarbeiten:

• deinen Namen und deine E-Mail-Adresse;
• die Bestellnummer, falls du sie zur Hand hast, sonst das Bestelldatum;
• den Umfang des Widerrufs: die ganze Bestellung oder einzelne Artikel;
• optional Bestelldatum und Anmerkung.

Speicherung: Wir speichern die Erklärung mit Datum und Uhrzeit des Eingangs bei Shopify (Abschnitt 7.1).

Eingangsbestätigung: Wir senden dir unverzüglich eine Eingangsbestätigung an die angegebene E-Mail-Adresse. Sie enthält den Inhalt deiner Erklärung sowie Datum und Uhrzeit des Eingangs.

Widerruf per E-Mail oder Brief: Widerrufst du per E-Mail oder Brief, verarbeiten wir deine Angaben wie in Abschnitt 14.1 beschrieben und bewahren die Erklärung so auf wie hier.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB bzw. § 13a FAGG.
• Art. 6 Abs. 1 lit. b DSGVO.

13. Newsletter („Beauty-Ratgeber“)

Alte Anmeldungen: Hast du dich bis zum 20.10.2026 angemeldet, liegen deine Daten bei der ActiveCampaign, LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, USA. ActiveCampaign ist unser Auftragsverarbeiter. Zur Übermittlung in die USA siehe Abschnitt 17.

14. Kontakt und Bewerbungen

14.1 E-Mail und Telefon

Daten: Schreibst du uns (etwa an shop@cosphera.net oder support@cosphera.net) oder rufst du an, verarbeiten wir deine Angaben, um dein Anliegen zu bearbeiten.

Postfächer: Unsere Postfächer betreibt die Host Europe GmbH, c/o Spaces, Gertrudenstraße 30-36, 50667 Köln, als Auftragsverarbeiter. E-Mails an shop@cosphera.net und support@cosphera.net lesen und beantworten wir mit Front, einer Software der FrontApp, Inc., 1 Montgomery Street, 13th Floor, San Francisco, CA 94104, USA. Die FrontApp, Inc. ist unser Auftragsverarbeiter. Zur Übermittlung in die USA siehe Abschnitt 17.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht.
• Sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Beantwortung deiner Anfrage.

14.2 WhatsApp

Der Link: In der Fußzeile verlinken wir auf unseren WhatsApp-Kontakt. Solange du uns nicht schreibst, fließen keine Daten.

Wenn du schreibst:

• Wir verarbeiten deine Telefonnummer, deinen WhatsApp-Namen, deine Nachrichten und Anhänge, um deine Anfrage zu beantworten.
• WhatsApp verarbeitet außerdem Metadaten in eigener Verantwortung.

Anbieter: WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. WhatsApp setzt Gesellschaften der Meta-Gruppe ein. Dabei können Daten in die USA übermittelt werden (Abschnitt 17).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Kein WhatsApp? Du kannst uns auch per E-Mail erreichen.

Mehr Informationen: https://www.whatsapp.com/legal/privacy-policy-eea

14.3 Bewerbungen

Daten: Bewirbst du dich über unser Bewerbungsformular oder per E-Mail, verarbeiten wir deine Angaben und Unterlagen für die Entscheidung über deine Bewerbung.

Formular: Das Formular läuft bei Google Forms (Google Ireland Limited).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Arbeitsverhältnisses).

Löschung: Wird nichts aus der Bewerbung, löschen wir deine Daten sieben Monate nach der Absage. Bis dahin müssen wir uns gegen Ansprüche nach dem Gleichbehandlungsrecht verteidigen können. Willigst du ein, bewahren wir deine Unterlagen länger auf.

15. Unsere Seiten in sozialen Netzwerken

Links: Auf unserer Website verlinken wir auf unsere Seiten bei Facebook, Instagram und YouTube. Es sind einfache Links ohne eingebundene Plugins. Daten fließen erst, wenn du einen Link anklickst.

Unsere Facebook-Seite:

• Für die Statistiken zu unserer Facebook-Seite („Seiten-Insights“) sind wir mit der Meta Platforms Ireland Limited gemeinsam verantwortlich (Art. 26 DSGVO).
• Meta übernimmt nach der Vereinbarung die Hauptverantwortung, auch für die Information und die Erfüllung deiner Rechte: https://www.facebook.com/legal/terms/page_controller_addendum
• Rechtsgrundlage für die Statistiken ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, unsere Seite zu verbessern.

16. Empfänger im Überblick

• Netlify, Inc. (USA)
  • Aufgabe: Hosting, Serverfunktionen, Anmeldedaten des Kundenkontos und Vermerke zu Bewertungseinladungen (Netlify Blobs)
  • Rolle: Auftragsverarbeiter
• Amazon Web Services EMEA SARL (Luxemburg; Speicher Frankfurt)
  • Aufgabe: Bilder und Dateien
  • Rolle: Auftragsverarbeiter
• webhoster.de AG (Möhnesee)
  • Aufgabe: früheres Shopsystem (Bestellungen aus der Zeit vor der Umstellung)
  • Rolle: Auftragsverarbeiter
• Shopify International Limited (Irland)
  • Aufgabe: Shopsystem, Checkout, Bestelldaten für unser Kundenkonto, Shopifys eigenes Kundenkonto, Bestell-E-Mails, Shopify Payments
  • Rolle: Auftragsverarbeiter; für Shop Pay und Shop-App eigenständig Verantwortlicher
• Stripe Payments Europe, Limited / Adyen N.V. / PayPal (Europe) S.à r.l. et Cie, S.C.A.
  • Aufgabe: Zahlungsabwicklung für Shopify Payments
  • Rolle: Unterauftragsverarbeiter von Shopify, teils eigenständig Verantwortliche
• Klarna Bank AB (publ) (Schweden)
  • Aufgabe: Klarna-Zahlungen
  • Rolle: eigenständig Verantwortlicher
• Apple bzw. Google (Apple Pay, Google Pay)
  • Aufgabe: Wallet-Zahlungen
  • Rolle: eigenständig Verantwortliche
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg)
  • Aufgabe: PayPal-Zahlungen
  • Rolle: eigenständig Verantwortlicher
• Billbee GmbH (Twistetal)
  • Aufgabe: Bestellabwicklung, Rechnungen, E-Mails
  • Rolle: Auftragsverarbeiter
• Wolffstore GmbH (Nettetal)
  • Aufgabe: Lager, Versand, Retouren
  • Rolle: Auftragsverarbeiter
• DHL Paket GmbH / Deutsche Post AG (Bonn)
  • Aufgabe: Zustellung
  • Rolle: eigenständig Verantwortliche
• Host Europe GmbH (Köln)
  • Aufgabe: E-Mail-Postfächer; Versand der Eingangsbestätigung des Widerrufs, der Anmeldecodes für das Kundenkonto und der Bitten um eine Bewertung
  • Rolle: Auftragsverarbeiter
• FrontApp, Inc. (USA)
  • Aufgabe: Bearbeitung der E-Mails an shop@cosphera.net und support@cosphera.net
  • Rolle: Auftragsverarbeiter
• Google Ireland Limited (Irland)
  • Aufgabe: Google Analytics; Google Ads (auch Kaufmeldungen unseres Servers, Abschnitt 5.7); YouTube; Google Forms; Google Drive (Archiv unserer Rechnungen und Gutschriften)
  • Rolle: Analytics, erweiterte Conversions, Forms, Drive: Auftragsverarbeiter; Ads, YouTube, Google Signals und die Daten aus der Verknüpfung von Analytics mit Ads: eigenständig Verantwortlicher
• Google Cloud (ein Unternehmen der Google-Gruppe; Abschnitt 5.3)
  • Aufgabe: Speicherung der bis zum 17.10.2026 kopierten Google-Analytics-Daten (BigQuery, Frankfurt am Main), bis spätestens 31.10.2026
  • Rolle: Auftragsverarbeiter
• Meta Platforms Ireland Limited (Irland)
  • Aufgabe: Meta-Pixel; Seiten-Insights; Kaufmeldung unseres Servers (Conversions API, Abschnitt 5.7)
  • Rolle: gemeinsam Verantwortliche
• WhatsApp Ireland Limited (Irland)
  • Aufgabe: WhatsApp-Kontakt
  • Rolle: eigenständig Verantwortlicher
• TikTok Technology Limited (Irland) / TikTok Information Technologies UK Limited (UK)
  • Aufgabe: TikTok-Pixel
  • Rolle: gemeinsam Verantwortliche
• Microsoft Ireland Operations Limited (Irland)
  • Aufgabe: Microsoft Advertising
  • Rolle: eigenständig Verantwortlicher
• Taboola.com Ltd. (Israel)
  • Aufgabe: Taboola-Pixel
  • Rolle: eigenständig Verantwortlicher
• Outbrain UK Limited (UK)
  • Aufgabe: Outbrain-Pixel
  • Rolle: gemeinsam Verantwortliche (Erhebung), danach eigenständig
• Firstlead GmbH (ADCELL) (Berlin)
  • Aufgabe: Partnerprogramm
  • Rolle: siehe 5.5
• ActiveCampaign, LLC (USA)
  • Aufgabe: bisherige Newsletterliste
  • Rolle: Auftragsverarbeiter
• IT-Dienstleister
  • Aufgabe: Entwicklung und Betrieb
  • Rolle: Auftragsverarbeiter
• Steuerberatung, Behörden
  • Aufgabe: gesetzliche Pflichten
  • Rolle: eigenständig Verantwortliche

17. Übermittlung in Länder außerhalb der EU und des EWR

In ein Drittland übermitteln wir nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Mögliche Grundlagen sind:

• ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO);
• Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914; Art. 46 Abs. 2 lit. c DSGVO);
• verbindliche interne Datenschutzvorschriften eines Konzerns (Art. 47 DSGVO).

Die Grundlagen im Einzelnen:

• USA, EU-US Data Privacy Framework (DPF):
  • Angemessenheitsbeschluss (EU) 2023/1795 für zertifizierte Unternehmen.
  • Zertifiziert sind Netlify, Inc., Google LLC, Meta Platforms, Inc., Microsoft Corporation, Amazon.com, Inc. (einschließlich AWS), Stripe, LLC, ActiveCampaign, LLC, FrontApp, Inc., Taboola, Inc. und Teads Holding Co. (Outbrain).
  • Zusätzlich schließen diese Anbieter Standardvertragsklauseln, soweit sie das vorsehen.
  • Die Liste: https://www.dataprivacyframework.gov/list
• Shopify: Für Gesellschaften der Shopify-Gruppe gelten verbindliche interne Datenschutzvorschriften. Für Shopify Inc. in Kanada gilt der Angemessenheitsbeschluss 2002/2/EG. Für Unterauftragsverarbeiter in Drittländern gelten Standardvertragsklauseln.
• Billbee (Help Scout, USA): Help Scout ist nach dem DPF zertifiziert.
• TikTok:
  • Standardvertragsklauseln.
  • Für das Vereinigte Königreich der Angemessenheitsbeschluss der EU-Kommission vom 19.12.2025.
  • TikTok verarbeitet Daten unter anderem auf Servern in den USA, in Malaysia und in Singapur. TikTok gibt an, dass Gesellschaften seiner Unternehmensgruppe auch aus weiteren Ländern, darunter China, aus der Ferne auf Daten zugreifen können.
• Taboola (Israel): Angemessenheitsbeschluss 2011/61/EU, für andere Konzerngesellschaften Standardvertragsklauseln.
• Outbrain (Vereinigtes Königreich): Angemessenheitsbeschluss vom 19.12.2025, in der Gruppe zusätzlich Standardvertragsklauseln.
• Klarna und PayPal: Für Übermittlungen außerhalb des EWR stützen sie sich auf Standardvertragsklauseln bzw. verbindliche interne Datenschutzvorschriften.

Kopien: Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage bei uns (shop@cosphera.net).

18. Wie lange wir Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder eine gesetzliche Aufbewahrungspflicht besteht. Danach löschen oder anonymisieren wir sie.

• Zugriffsdaten und Funktionsprotokolle bei Netlify, auch der Protokolleintrag zur Bestellmeldung (4.1): Funktionsprotokolle sind für uns sieben Tage abrufbar. Für Zugriffsdaten nennt Netlify keine eigene Frist; laut seinem Data Processing Agreement bewahrt Netlify die Protokolle der Systeme, mit denen es seine Dienste erbringt, 90 Tage online und ein Jahr offline auf.
• IP- und E-Mail-Adresse zur Missbrauchsbegrenzung: höchstens zehn Minuten, nur im Arbeitsspeicher
• Entscheidung im Cookie-Banner (cosphera_consent): 365 Tage
• Kampagnenkennungen im Browser: höchstens 90 Tage; gelöscht, sobald du „Marketing“ ablehnst oder widerrufst
• Kampagnenkennungen an der Bestellung: solange der Bestelldatensatz gespeichert ist
• Bestellungen, Rechnungen, Gutschriften und andere Buchungsbelege: sieben Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB). Soweit deutsches Steuerrecht gilt, acht Jahre für Buchungsbelege (§ 147 Abs. 1 Nr. 4, Abs. 3 AO). Danach löschen wir sie.
• Kundendaten in Billbee: anonymisiert nach 730 Tagen; Rechnungen und Gutschriften bewahren wir für die oben genannte Frist im Belegarchiv auf (Abschnitt 9)
• Kundenkonto auf cosphera.net (7.3): cs_session und cs_signed_in 30 Tage oder bis du dich abmeldest, cs_login höchstens 15 Minuten; die pseudonymisierten Angaben zu einem Code, bis er verwendet oder aufgebraucht ist oder für dieselbe Adresse ein neuer Code angefordert wird (bei einem abgelaufenen Code, den niemand eingibt, also bis zur nächsten Anforderung), auf Wunsch sofort; der pseudonymisierte Zähler je E-Mail-Adresse, bis du den nächsten Code anforderst oder uns um Löschung bittest. Bestellungen speichern wir dafür nicht zusätzlich.
• Kundenkonto bei Shopify: bis du die Löschung verlangst; Bestellungen darin wie oben
• Widerrufserklärungen: drei Jahre ab Ende des Kalenderjahres des Eingangs, solange noch Ansprüche aus dem Widerruf geltend gemacht werden können (Art. 17 Abs. 3 lit. e DSGVO; vgl. § 195 BGB); länger nur als Buchungsbeleg
• Bewertungen: solange sie veröffentlicht sind; auf Anfrage löschen wir sie
• Einladungen zur Bewertung (11.4): deine Einwilligung an der Bestellung bei Shopify und der Vermerk zur Einladung bei Netlify, solange die Bestellung gespeichert ist; die Kennung eines wieder entfernten Häkchens 90 Tage nach ihrem Eingang; der Prüfwert zu deinem Widerruf, bis du uns bittest, ihn zu löschen – ohne ihn könnten wir den Widerruf nicht beachten
• E-Mails und andere Anfragen: bis das Anliegen erledigt ist; Geschäftsbriefe sieben Jahre (§ 212 UGB, § 132 BAO)
• Bewerbungen: sieben Monate nach der Absage
• Google Analytics: bei Google Ereignisdaten zwei Monate, Nutzerdaten 14 Monate nach der letzten Aktivität deines Browsers; Angaben aus Google Signals zu Alter, Geschlecht und Interessen zwei Monate; die bis zum 17.10.2026 nach BigQuery kopierten Daten bis spätestens 31.10.2026
• Marketingdienste: nach den Angaben der Anbieter (Abschnitt 5.5)
• Vermerk des Messskripts (cosphera_tracked_…, Shopify-Domain): nach 30 Tagen nicht mehr berücksichtigt und beim nächsten Aufruf im selben Browser gelöscht, sonst bis du den Browserspeicher löschst

19. Deine Rechte

Du hast gegenüber uns folgende Rechte, jeweils nach den gesetzlichen Voraussetzungen:

• Auskunft: über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO);
• Berichtigung: unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen und gegen Direktwerbung (Art. 21 DSGVO; Abschnitt 20);
• Widerruf einer Einwilligung, jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Mitteilung an Empfänger: Berichtigen, löschen oder schränken wir Daten ein, teilen wir das den Empfängern mit, denen wir sie offengelegt haben (Art. 19 DSGVO).

So machst du deine Rechte geltend: per E-Mail an shop@cosphera.net oder per Post an die Anschrift in Abschnitt 1.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO; § 24 DSG).

• Für uns zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at.
• Du kannst dich auch an die Aufsichtsbehörde deines Wohnorts oder Arbeitsplatzes wenden. In Deutschland ist das die Datenschutzaufsichtsbehörde deines Bundeslandes. Eine Übersicht gibt es unter https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html

20. Dein Widerspruchsrecht (Art. 21 DSGVO)

Widerspruch aus Gründen deiner besonderen Situation:

• Verarbeiten wir deine Daten auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit widersprechen.
• Das betrifft insbesondere Zugriffsdaten, die Meldung bezahlter Bestellungen, Betrugsprävention, den Zugang zum Bewertungsformular, die Begrenzung der Anmeldecodes im Kundenkonto, Anfragen und übernommene Bewertungen.
• Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die deine Interessen, Rechte und Freiheiten überwiegen. Oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung:

• Verarbeiten wir deine Daten für Direktwerbung, kannst du dem jederzeit widersprechen.
• Danach verarbeiten wir sie nicht mehr für diesen Zweck.

So widersprichst du: Eine formlose Nachricht an shop@cosphera.net genügt.

21. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Bereitstellung: Angaben, die im Checkout nicht als „optional“ gekennzeichnet sind, brauchen wir, um den Kaufvertrag zu schließen und zu erfüllen. Ohne sie ist keine Bestellung möglich. Alle anderen Angaben sind freiwillig.

Automatisierte Entscheidungen: Wir selbst treffen keine ausschließlich automatisierten Entscheidungen nach Art. 22 DSGVO.

• Klarna und PayPal können bei der Wahl ihrer Zahlungsarten in eigener Verantwortung automatisiert über das Angebot entscheiden (Abschnitte 8.2 und 8.3). Darüber informieren sie in ihren Datenschutzhinweisen.
• Shopify Payments und die Zahlungsdienstleister können eine Zahlung zur Betrugsabwehr automatisiert ablehnen (Abschnitt 8.1).

22. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Angebot, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf cosphera.net/datenschutz veröffentlichte Fassung.