Datenschutz

Datenschutzerklärung

Stand: Mai 2026

Wir, die THOLI GmbH, informieren Sie nachfolgend über die Verarbeitung personenbezogener Daten bei der Nutzung unserer Website, unseres QR-basierten Kaufprozesses und unseres Angebots unter der Marke WELL KIOSK.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

THOLI GmbH
Leopoldstraße 31
80802 München
Deutschland

Vertreten durch die Geschäftsführer:
Oliver Kracheel und Thomas Viegener

E-Mail: info@well-kiosk.com
Telefon: 0151-74403945

WELL KIOSK ist eine Marke der THOLI GmbH.

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz und weiteren einschlägigen Datenschutzvorschriften.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Wir verarbeiten personenbezogene Daten insbesondere, wenn dies erforderlich ist zur:

• Bereitstellung unserer Website
• Bereitstellung des QR-basierten Kaufprozesses am WELL KIOSK Verkaufsschrank,
• Weiterleitung in den Shopify Shop,
• Durchführung von Bestellungen und Zahlungen,
• Kommunikation mit Kunden und Interessenten,
• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten,
• Sicherstellung des technischen Betriebs und der IT-Sicherheit,
• Analyse und Optimierung unserer Website und Marketingmaßnahmen, soweit hierfür eine Einwilligung vorliegt.
• Rechtsgrundlagen sind insbesondere:
• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist,
• Art. 6 Abs. 1 lit. c DSGVO, soweit wir gesetzlich zur Verarbeitung verpflichtet sind,
• Art. 6 Abs. 1 lit. f DSGVO, soweit wir ein berechtigtes Interesse an der Verarbeitung haben,
• Art. 6 Abs. 1 lit. a DSGVO, soweit Sie uns eine Einwilligung erteilt haben.

3. Kategorien personenbezogener Daten

Je nach Nutzung unseres Angebots verarbeiten wir insbesondere folgende Daten:

• Kontaktdaten, insbesondere E-Mail-Adresse,
• Bestell- und Vertragsdaten,
• Zahlungsstatus- und Transaktionsdaten,
• Daten aus Shopify-Apps, Automatisierungen und angebundenen Diensten, insbesondere Workflow-, Tag-, Status-, Prozess-, Chat- und Systemintegrationsdaten, 
• Bildaufnahmen aus der Videoüberwachung am Verkaufsschrank, soweit ein Schrank mit Kamera ausgestattet ist,
• Produkt- und Warenkorbdaten,
• Kommunikationsdaten,
• technische Nutzungs- und Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem und Referrer-URL,
• Einwilligungs- und Präferenzdaten,
• Support- und Serviceinformationen.

Vollständige Zahlungsdaten wie vollständige Kreditkartennummern oder vollständige Wallet-Zahlungsdaten erhalten wir nicht. Diese werden durch die jeweils eingebundenen Zahlungsdienstleister verarbeitet.

4. Website, Hosting und technische Bereitstellung

Unsere Website und/oder einzelne technische Bestandteile unseres Online-Angebots können über externe technische Dienstleister bereitgestellt werden.

Soweit unsere Website über Lovable Labs Incorporated, Box 190, 101 23 Stockholm, Schweden, bereitgestellt wird und die technische Infrastruktur über Supabase genutzt wird, werden im Rahmen des Hostings insbesondere technische Verbindungsdaten verarbeitet. Dazu gehören IP-Adresse, Datum und Uhrzeit des Aufrufs, aufgerufene Seiten, übertragene Datenmenge, Browserinformationen und technische Logdaten.

Zweck der Verarbeitung ist die sichere, stabile und fehlerfreie Bereitstellung unserer Website.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb unseres Online-Angebots.

Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir mit ihnen Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

5. Zugriffsdaten und Server-Logfiles

Beim Aufruf unserer Website oder des Shops werden automatisch technische Zugriffsdaten verarbeitet. Dazu können gehören:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL,
• Referrer-URL,
• Browsertyp und Browserversion,
• Betriebssystem,
• übertragene Datenmenge,
• technische Statusmeldungen.

Die Verarbeitung erfolgt zur Sicherstellung des technischen Betriebs, zur Fehleranalyse, zur Missbrauchsprävention und zur IT-Sicherheit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Server- und Logdaten werden grundsätzlich nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist. Eine längere Speicherung erfolgt nur, soweit dies zur Aufklärung sicherheitsrelevanter Vorfälle oder zur Wahrung rechtlicher Ansprüche erforderlich ist.

6. QR-basierter Kaufprozess am WELL KIOSK Verkaufsschrank

Wenn Sie an einem WELL KIOSK Verkaufsschrank ein Produkt kaufen möchten, scannen Sie einen QR-Code. Nach dem Scan werden Sie in einen Shopify Shop weitergeleitet. Dort können Sie Produkte auswählen, in den Warenkorb legen und über den Shopify Checkout bezahlen.

Im Rahmen dieses Kaufprozesses können insbesondere folgende Daten verarbeitet werden:

• technische Zugriffsdaten,
• ausgewählte Produkte,
• Warenkorbinhalte,
• Bestelldaten,
• E-Mail-Adresse,
• Rechnungs- und Zahlungsstatusdaten,
• ggf. weitere Angaben, die im Checkout abgefragt werden,
• Informationen zur Abwicklung, Bereitstellung oder Ausgabe der gekauften Produkte.

Zweck der Verarbeitung ist die Durchführung des Kaufvertrags, die Zahlungsabwicklung, die technische Bereitstellung des Bestellprozesses, die Ausgabe oder Bereitstellung der Ware sowie die Bearbeitung von Supportfällen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Soweit wir Daten zur Erfüllung gesetzlicher handels- oder steuerrechtlicher Pflichten speichern, ist Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.

7. Videoüberwachung am WELL KIOSK Verkaufsschrank

Zum Schutz des Verkaufsschranks und der darin befindlichen Waren sowie zur Prävention und Aufklärung konkreter Diebstahls-, Manipulations- oder Missbrauchsfälle setzen wir an einzelnen WELL KIOSK Verkaufsschränken eine Kamera ein. 

Die Kamera ist im Innenbereich des Verkaufsschranks angebracht und so ausgerichtet, dass grundsätzlich nur Personen erfasst werden, die den Verkaufsschrank nach einem Kauf- oder Öffnungsvorgang aktiv öffnen. Personen, die lediglich am Verkaufsschrank vorbeigehen, sollen nicht erfasst werden.

Die Videoaufzeichnung erfolgt lokal auf einer in der Kamera eingesetzten SD-Karte. Eine dauerhafte Übertragung der Aufnahmen in eine Cloud findet nicht statt. Die Aufnahmen werden grundsätzlich nur für einen kurzen Zeitraum gespeichert und spätestens nach 7 Tagen automatisch überschrieben oder gelöscht, sofern kein konkreter Vorfall festgestellt wurde. Eine längere Speicherung erfolgt nur im Einzelfall, wenn dies zur Aufklärung eines konkreten Diebstahls-, Manipulations- oder Missbrauchsfalls, zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche oder zur Übergabe an zuständige Behörden erforderlich ist. 

Verarbeitet werden können insbesondere Bildaufnahmen der Person, die den Verkaufsschrank öffnet, Zeitpunkt der Aufnahme sowie technische Metadaten der Aufzeichnung. Eine Tonaufzeichnung, Gesichtserkennung, biometrische Auswertung oder automatisierte Entscheidungsfindung findet nicht statt.

Zweck der Verarbeitung ist der Schutz des Verkaufsschranks, der darin befindlichen Waren und unserer berechtigten wirtschaftlichen Interessen sowie die Aufklärung konkreter Diebstahls-, Manipulations- oder Missbrauchsfälle.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Verhinderung und Aufklärung von Diebstahl, Manipulation und missbräuchlicher Nutzung des Verkaufsschranks. Die Videoüberwachung ist räumlich auf den Innenbereich des Verkaufsschranks begrenzt und erfolgt nicht zur allgemeinen Überwachung öffentlicher oder frei zugänglicher Bereiche.

Zugriff auf die Aufnahmen erhalten nur besonders autorisierte Personen der THOLI GmbH, soweit dies zur Prüfung eines konkreten Vorfalls erforderlich ist. Eine Auswertung erfolgt nicht dauerhaft, sondern nur anlassbezogen. Eine Weitergabe an Dritte erfolgt nur, soweit dies zur Aufklärung oder Durchsetzung rechtlicher Ansprüche erforderlich ist, insbesondere an Polizei, Strafverfolgungsbehörden, Versicherungen oder Rechtsberater.

Betroffene Personen werden durch einen gut sichtbaren Hinweis am Verkaufsschrank über die Videoüberwachung informiert. Ergänzende Informationen ergeben sich aus dieser Datenschutzerklärung.

8. Shopify Shop und Shopify Checkout

Für unseren Online-Shop und den Checkout-Prozess nutzen wir Shopify.

Anbieter der von uns genutzten Shopify-Dienste ist: 

Shopify International Limited
2nd Floor, 1–2 Victoria Buildings
Haddington Road
Dublin 4, D04 XN32
Irland

Shopify stellt die technische Plattform für den Shop, den Warenkorb, den Checkout, die Bestellverwaltung und je nach Konfiguration weitere Funktionen bereit.

Im Rahmen der Nutzung des Shopify Shops können insbesondere folgende Daten verarbeitet werden:

• Name und Kontaktdaten, soweit im Checkout abgefragt,
• E-Mail-Adresse,
• Rechnungsdaten,
• Bestelldaten,
• Produktdaten,
• Zahlungsstatusdaten,
• technische Zugriffsdaten,
• Geräte- und Browserinformationen,
• ggf. Liefer- oder Abholdaten, soweit relevant.

Zweck der Verarbeitung ist die Bereitstellung des Shops, die Durchführung von Bestellungen, die Zahlungsabwicklung, die Betrugsprävention, die technische Sicherheit und die Verwaltung von Kundenanfragen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Betrugsprävention und technische Stabilität.

Shopify verarbeitet personenbezogene Daten je nach Dienstleistung teilweise als Auftragsverarbeiter und teilweise als eigenständig Verantwortlicher. Shopify stellt hierfür ein Data Processing Addendum bereit, das nach Angaben von Shopify Bestandteil der Shopify-Nutzungsbedingungen ist.

Bei bestimmten Shopify-Consumer-Diensten, etwa Shop oder Shop Pay, kann Shopify selbst Verantwortlicher sein. Shopify weist darauf hin, dass solche Consumer Services eigenen Bedingungen und Datenschutzinformationen unterliegen.

9. Shopify Apps, Automatisierungen und angebundene Dienste

Zur technischen Bereitstellung, Steuerung, Automatisierung und Optimierung unseres Shopify Shops nutzen wir neben Shopify weitere Shopify-Funktionen, Shopify-Apps und angebundene Dienste.

Hierzu können insbesondere gehören:

• SMART Checkout Rules zur regelbasierten Steuerung von Checkout-, Zahlungs- und Versandoptionen,
• Shopify Flow zur Automatisierung interner Shop-, Bestell-, Support-, Fulfillment-, Sicherheits- und Betriebsprozesse,
• Make zur Verbindung und Automatisierung zwischen Shopify und weiteren eingesetzten Systemen,
• Shopify Inbox oder vergleichbare Messaging-Funktionen zur Kundenkommunikation im Shop,
• Shopify Claude Connector App oder vergleichbare KI-gestützte Tools zur Unterstützung interner administrativer, technischer und shopbezogener Prozesse.

Je nach Konfiguration können dabei insbesondere folgende Daten verarbeitet werden:

• Produkt- und Warenkorbdaten,
• Checkout- und Bestelldaten,
• Kundendaten, insbesondere Name und E-Mail-Adresse, soweit im Checkout oder in der Kommunikation angegeben,
• Zahlungsstatusdaten,
• Versand-, Abhol- oder Fulfillmentdaten, soweit relevant,
• Kommunikations- und Supportdaten,
• technische Prozess-, Log- und Nutzungsdaten,
• Shop- und Inventardaten,
• Tags, Statusinformationen und interne Prozesskennzeichnungen.

Die Verarbeitung erfolgt zur Bereitstellung und Steuerung des Shops, zur Durchführung und Automatisierung von Bestellungen, zur Verbesserung des Checkout-Prozesses, zur Kundenkommunikation, zur Betrugs- und Missbrauchsprävention, zur Systemintegration, zur Fehleranalyse und zur effizienten internen Bearbeitung von Betriebs- und Supportprozessen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Anbahnung oder Durchführung eines Vertrags erforderlich ist, Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten betroffen sind, sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, funktionsfähigen, effizienten und nutzerfreundlichen Shopbetrieb sowie in der Vermeidung von Missbrauch, Fehlbestellungen und technischen Störungen.

Soweit angebundene Apps oder Dienste personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir mit den jeweiligen Anbietern Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO, soweit erforderlich. Soweit Anbieter personenbezogene Daten als eigenständig Verantwortliche verarbeiten, gelten ergänzend deren eigene Datenschutzinformationen.

Personenbezogene Daten werden über Apps und Automatisierungen nur verarbeitet, soweit dies für den jeweiligen Zweck erforderlich ist. Bei der Einrichtung von Workflows und App-Berechtigungen beschränken wir den Zugriff auf personenbezogene Daten auf das erforderliche Maß.

Soweit KI-gestützte Tools wie die Shopify Claude Connector App eingesetzt werden, erfolgt dies grundsätzlich zur Unterstützung interner administrativer, technischer oder shopbezogener Prozesse. Personenbezogene Kundendaten werden an solche KI-Tools nur übermittelt, wenn dies für einen konkreten Zweck erforderlich ist, geeignete Datenschutzvereinbarungen bestehen und der Zugriff entsprechend begrenzt wurde. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet hierbei nicht statt.

10. Zahlungsabwicklung über Shopify Payments und weitere Zahlungsarten

Die Zahlungsabwicklung erfolgt über den Shopify Checkout. Dort können je nach Verfügbarkeit verschiedene Zahlungsarten angeboten werden, insbesondere:

• Kreditkarte,
• PayPal Express Checkout,
• Apple Pay,
• weitere über Shopify Payments oder Shopify Checkout eingebundene Zahlungsarten.

Für Shopify Payments gelten ergänzend die Bedingungen und Datenschutzinformationen von Shopify und den jeweils beteiligten Zahlungsprozessoren. Shopify weist darauf hin, dass Shopify und Zahlungsprozessoren personenbezogene Daten verarbeiten können und dass einzelne Zahlungsprozessoren auch als eigenständig Verantwortliche handeln können, insbesondere zur Erfüllung regulatorischer Pflichten wie KYC-, Geldwäsche-, Sanktions- oder Betrugspräventionspflichten.

Wir erhalten im Regelfall keine vollständigen Zahlungsdaten wie vollständige Kreditkartennummern. Wir erhalten transaktionsbezogene Informationen, etwa Zahlungsstatus, Betrag, Zeitpunkt, Bestellnummer und gewählte Zahlungsart, soweit dies zur Bestellabwicklung erforderlich ist.

Zweck der Verarbeitung ist die Zahlungsabwicklung, die Vertragserfüllung, Betrugsprävention, Buchhaltung und Erfüllung gesetzlicher Nachweispflichten.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

11. PayPal

Wenn Sie im Checkout PayPal oder PayPal Express Checkout wählen, werden zahlungsbezogene personenbezogene Daten an PayPal übermittelt oder von PayPal erhoben.

Anbieter für Deutschland ist in der Regel:

PayPal (Europe) S.à r.l. et Cie, S.C.A.
22–24 Boulevard Royal
L-2449 Luxemburg

PayPal verarbeitet personenbezogene Daten zur Bereitstellung der Zahlungsdienste, zur Sicherheits- und Betrugsprävention sowie zur Erfüllung gesetzlicher Pflichten. PayPal kann Daten außerdem an Zahlungsnetzwerke, Zahlungsanbieter, Finanzinstitute, Betrugspräventionsstellen und weitere an der Transaktion beteiligte Stellen weitergeben.

Für die Verarbeitung durch PayPal gelten zusätzlich die Datenschutzinformationen von PayPal.

Rechtsgrundlage für die Weitergabe zahlungsrelevanter Daten an PayPal ist Art. 6 Abs. 1 lit. b DSGVO.

12. Apple Pay und weitere Zahlungsarten

Wenn Sie Apple Pay oder andere Wallet- oder Zahlungsdienste im Shopify Checkout nutzen, werden die für die Zahlungsabwicklung erforderlichen Daten durch den jeweiligen Zahlungsdienstleister verarbeitet.

Dabei können insbesondere Zahlungsstatusdaten, Token, technische Transaktionsdaten, Geräteinformationen und weitere zur Zahlungsabwicklung erforderliche Informationen verarbeitet werden.

Wir erhalten keine vollständigen Karten- oder Wallet-Zahlungsdaten, sondern nur die zur Bestellabwicklung erforderlichen Informationen, insbesondere Zahlungsstatus, Betrag, Zeitpunkt und Bestellzuordnung.

Für die Verarbeitung durch den jeweiligen Zahlungsdienstleister gelten zusätzlich dessen Datenschutzinformationen.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

13. E-Mail-Kommunikation

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben einschließlich Ihrer Kontaktdaten zur Bearbeitung Ihrer Anfrage und für Anschlussfragen.

Unsere E-Mail-Kommunikation wird über Google Workspace abgewickelt.

Anbieter ist:

Google Ireland Limited
Gordon House
Barrow Street
Dublin 4
Irland

Zweck der Verarbeitung ist die effiziente Bearbeitung von Anfragen und die geschäftliche Kommunikation.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit die Kontaktaufnahme auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

Mit Google Ireland Limited besteht, soweit erforderlich, eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

14. Kontaktformulare und Typeform

Soweit wir Kontaktformulare von Typeform nutzen, werden die von Ihnen eingegebenen Daten zur Bearbeitung Ihrer Anfrage verarbeitet.

Anbieter ist:

Typeform S.L.
Carrer Bac de Roda 163
08018 Barcelona
Spanien

Verarbeitet werden insbesondere:

• Name,
• E-Mail-Adresse,
• Inhalt der Anfrage,
• technische Metadaten.

Zweck ist die Bearbeitung von Kontakt-, Vertriebs- oder Supportanfragen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

15. Cookies und vergleichbare Technologien

Unsere Website und unser Shopify Shop können Cookies und vergleichbare Technologien verwenden.

Technisch notwendige Cookies sind erforderlich, um die Website, den Warenkorb, den Checkout, die Sicherheit und die grundlegenden Shop-Funktionen bereitzustellen.

Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 TDDDG.

Nicht notwendige Cookies und vergleichbare Technologien, insbesondere für Analyse, Marketing, Retargeting oder Conversion Tracking, setzen wir nur ein, wenn Sie zuvor eingewilligt haben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern.

16. Google Analytics

Soweit wir Google Analytics einsetzen, nutzen wir diesen Dienst zur Analyse der Nutzung unserer Website und unseres Shops.

Anbieter ist:

Google Ireland Limited
Gordon House
Barrow Street
Dublin 4
Irland

Google Analytics kann Informationen über Ihr Nutzungsverhalten, technische Geräteinformationen, gekürzte oder anderweitig verarbeitete IP-Adressen und Interaktionsdaten verarbeiten.

Zweck ist die Reichweitenmessung, Analyse und Optimierung unseres Online-Angebots.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Eine Datenübermittlung in die USA kann nicht ausgeschlossen werden. Soweit Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

17. Google Tag Manager

Wir nutzen den Google Tag Manager zur technischen Verwaltung und Steuerung von Website-Tags.

Anbieter ist:

Google Ireland Limited
Gordon House
Barrow Street
Dublin 4
Irland

Der Google Tag Manager dient dazu, andere Dienste technisch einzubinden und zu verwalten. Der Google Tag Manager selbst erstellt keine Nutzerprofile. Über die eingebundenen Dienste können jedoch personenbezogene Daten verarbeitet werden.

Rechtsgrundlage ist, soweit der Tag Manager zur Steuerung einwilligungspflichtiger Dienste eingesetzt wird, Art. 6 Abs. 1 lit. a DSGVO. Soweit er rein technisch erforderlich eingesetzt wird, kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

18. Meta Pixel

Soweit wir das Meta Pixel einsetzen, nutzen wir diesen Dienst zur Messung und Optimierung von Werbemaßnahmen.

Anbieter ist:

Meta Platforms Ireland Limited
Merrion Road
Dublin 4
D04 X2K5
Irland

Über das Meta Pixel können technische Nutzungsdaten, Interaktionsdaten und Conversion-Daten verarbeitet werden. Meta kann diese Daten auch für eigene Zwecke verarbeiten.

Zweck ist Conversion Tracking, Kampagnenmessung und Marketingoptimierung.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

19. Google Ads

Soweit wir Google Ads und Google Ads Conversion Tracking einsetzen, nutzen wir diese Dienste zur Auswertung und Optimierung unserer Werbemaßnahmen.

Anbieter ist:

Google Ireland Limited
Gordon House
Barrow Street
Dublin 4
Irland

Zweck ist die Messung von Anzeigenleistung, Conversion Tracking und Optimierung von Werbekampagnen.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

20. Instagram und Meta-Plattformen

Wir können Profile auf Instagram oder anderen Meta-Plattformen betreiben und dort mit Nutzern kommunizieren.

Anbieter ist:

Meta Platforms Ireland Limited
Merrion Road
Dublin 4
D04 X2K5
Irland

Wenn Sie mit unseren Profilen interagieren, verarbeitet Meta personenbezogene Daten auch zu eigenen Zwecken. Dazu können Profilinformationen, Interaktionen, Nachrichten, technische Daten und Nutzungsdaten gehören.

Zweck unserer Verarbeitung ist die Darstellung unseres Unternehmens, Marketingkommunikation und Beantwortung von Anfragen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit Sie uns eine Einwilligung erteilen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO.

21. Newsletter und Klaviyo

Soweit Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse und ggf. weitere freiwillige Angaben zum Versand von Marketingkommunikation.

Für den Versand von Newslettern und Marketing-E-Mails können wir Klaviyo nutzen.

Anbieter ist:

Klaviyo, Inc.
125 Summer Street
Boston, MA 02110
USA

Verarbeitet werden insbesondere:

• E-Mail-Adresse,
• ggf. Name,
• Einwilligungsstatus,
• Anmeldezeitpunkt,
• Öffnungs- und Klickverhalten,
• ggf. Bestell- und Interesseninformationen, soweit zulässig und technisch angebunden.

Zweck ist der Versand, die Analyse und die Optimierung unserer Marketingkommunikation.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Anmeldung erfolgt, soweit eingesetzt, im Double-Opt-In-Verfahren.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink in jeder Newsletter-E-Mail.

Eine Übermittlung in die USA kann nicht ausgeschlossen werden. Soweit Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

22. WhatsApp-Kontakt

Soweit wir eine Kontaktaufnahme über WhatsApp anbieten, erfolgt die Kommunikation über den Dienst WhatsApp.

Anbieter ist:

WhatsApp Ireland Limited
4 Grand Canal Square
Grand Canal Harbour
Dublin 2
Irland

WhatsApp gehört zur Meta-Unternehmensgruppe. Bei der Nutzung von WhatsApp verarbeitet WhatsApp personenbezogene Daten auch zu eigenen Zwecken.

Wenn Sie uns über WhatsApp kontaktieren, verarbeiten wir Ihre Telefonnummer, Ihren Namen, Kommunikationsinhalte und weitere von Ihnen bereitgestellte Informationen zur Bearbeitung Ihrer Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit die Kommunikation auf einen Vertrag gerichtet ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Einwilligung erforderlich ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO.

23. Eigenes anonymes Pop-up-Tracking

Wir können die Performance einzelner Aktions-Pop-ups mit einem eigenen anonymen Tracking messen.

Erfasst werden ausschließlich:

• Ereignis, z. B. Anzeige, Klick, aktives oder passives Schließen,
• Seitenpfad,
• grobe Gerätekategorie, z. B. mobil oder Desktop,
• zufällige, nur für die aktuelle Browser-Sitzung gültige ID.

Es werden keine IP-Adressen, keine Cookies und keine personenbezogenen Daten gespeichert. Eine Identifizierung einzelner Personen ist nicht möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der statistischen Auswertung und Optimierung unserer Website.

24. Empfänger und Kategorien von Empfängern

Zugriff auf personenbezogene Daten erhalten nur Stellen, die diese Daten zur Erfüllung der jeweiligen Zwecke benötigen.

Empfänger können insbesondere sein:

• interne autorisierte Personen der THOLI GmbH,
• technische Dienstleister für Hosting, Shopbetrieb, Wartung und Support,
• Shopify als Shop-, Checkout- und Plattformanbieter,
• Zahlungsdienstleister und Zahlungsprozessoren,
• Anbieter von Shopify-Apps, Automatisierungs-, Integrations-, KI- und Messaging-Diensten, soweit diese zur Bereitstellung, Steuerung, Automatisierung, Kommunikation oder technischen Abwicklung unseres Shops eingesetzt werden, 
• E-Mail- und Kommunikationsdienstleister,
• Analyse- und Marketingdienstleister, soweit eine Einwilligung vorliegt,
• Steuerberater, Buchhaltung, Rechtsberater und Behörden, soweit erforderlich,
• Dienstleister für Betrieb, Wartung und Support der WELL KIOSK Verkaufsschränke,
• Strafverfolgungsbehörden, Versicherungen oder Rechtsberater, soweit dies zur Aufklärung konkreter Diebstahls-, Manipulations- oder Missbrauchsfälle oder zur Geltendmachung rechtlicher Ansprüche erforderlich ist. 

Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Soweit Zahlungsdienstleister oder Plattformanbieter personenbezogene Daten als eigenständig Verantwortliche verarbeiten, gelten ergänzend deren eigene Datenschutzinformationen.

Eine Weitergabe personenbezogener Daten an Dritte zu eigenen Werbezwecken erfolgt nicht ohne Ihre Einwilligung.

25. Datenübermittlung in Drittländer

Eine Verarbeitung personenbezogener Daten kann auch außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgen, insbesondere wenn Dienstleister oder deren Unterauftragnehmer in Drittländern sitzen oder technische Infrastruktur in Drittländern nutzen.

Dies kann insbesondere bei Shopify, Shopify Payments, PayPal, Google, Meta, Klaviyo, Make, Anthropic als Anbieter von Claude oder weiteren angebundenen Shopify-Apps relevant sein. 

Shopify weist für Shopify Payments darauf hin, dass personenbezogene Daten von Personen aus dem EWR durch Shopify International Limited verarbeitet und im Rahmen der Zahlungsdienste auch in andere Regionen, einschließlich Kanada und USA, übertragen werden können.

Drittlandübermittlungen erfolgen nur auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO, insbesondere Angemessenheitsbeschlüssen, EU-U.S. Data Privacy Framework, Standardvertragsklauseln oder sonstigen gesetzlich vorgesehenen Mechanismen.

Trotz solcher Garantien kann nicht vollständig ausgeschlossen werden, dass staatliche Stellen in Drittländern Zugriff auf personenbezogene Daten erhalten.

26. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Es gelten insbesondere folgende Speicherfristen:

Bestell-, Kauf- und Transaktionsdaten
Diese Daten speichern wir, soweit erforderlich, zur Vertragsdurchführung, Buchhaltung und Erfüllung gesetzlicher Aufbewahrungspflichten. Handels- und steuerrechtlich relevante Unterlagen werden regelmäßig bis zu 10 Jahre gespeichert.

E-Mail-Adresse für Bestellungen und digitale Belege
Wenn Sie im Checkout Ihre E-Mail-Adresse angeben, verarbeiten wir diese zur Bestellabwicklung, zum Versand von Bestellinformationen, zur Kommunikation über die Bestellung und zur Bearbeitung von Supportfällen. Eine Nutzung zu Marketingzwecken erfolgt nur mit gesonderter Einwilligung.

Kontaktanfragen
Daten aus Kontaktanfragen speichern wir, solange dies zur Bearbeitung, anschließenden Kommunikation, Dokumentation und Nachvollziehbarkeit erforderlich ist. Eine längere Speicherung erfolgt, soweit gesetzliche Pflichten bestehen oder rechtliche Ansprüche betroffen sein können.

Newsletter-Daten
Newsletter-Daten speichern wir bis zum Widerruf Ihrer Einwilligung oder bis der Zweck der Verarbeitung entfällt. Nach Abmeldung können wir Ihre E-Mail-Adresse in einer Sperrliste speichern, um sicherzustellen, dass keine weiteren Newsletter versendet werden.

Server- und Logdaten
Server- und Logdaten werden grundsätzlich nur für einen begrenzten Zeitraum gespeichert und regelmäßig gelöscht oder anonymisiert, sofern keine sicherheitsrelevanten Ereignisse eine längere Speicherung erforderlich machen.

Videoaufnahmen werden grundsätzlich nur für einen kurzen Zeitraum gespeichert und spätestens nach 7 Tagen automatisch überschrieben oder gelöscht, sofern kein konkreter Vorfall festgestellt wurde. Im konkreten Vorfall können relevante Sequenzen länger gespeichert werden, solange dies zur Aufklärung, Rechtsverfolgung oder Verteidigung erforderlich ist. 

Daten aus Shopify-Apps, Automatisierungen und angebundenen Diensten werden nur so lange gespeichert, wie dies für den jeweiligen Workflow, die technische Abwicklung, die Fehleranalyse, die Dokumentation oder gesetzliche Pflichten erforderlich ist. Protokoll- und Ausführungsdaten aus Automatisierungssystemen werden regelmäßig überprüft und gelöscht oder anonymisiert, sobald sie nicht mehr erforderlich sind. 

Nach Ablauf der jeweiligen Fristen werden personenbezogene Daten gelöscht oder anonymisiert.

27. Betroffenenrechte

Sie haben nach Maßgabe der gesetzlichen Vorschriften folgende Rechte:

• Recht auf Auskunft gemäß Art. 15 DSGVO,
• Recht auf Berichtigung gemäß Art. 16 DSGVO,
• Recht auf Löschung gemäß Art. 17 DSGVO,
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Recht auf Widerspruch gemäß Art. 21 DSGVO,
• Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO.

Wenn Sie eine Einwilligung widerrufen, bleibt die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung unberührt.

28. Widerspruchsrecht

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie der Verarbeitung aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben.

Wenn wir personenbezogene Daten für Direktwerbung verarbeiten, können Sie dieser Verarbeitung jederzeit widersprechen.

29. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Zuständig für unseren Sitz ist:

Bayerisches Landesamt für Datenschutzaufsicht
Promenade 18
91522 Ansbach
Deutschland

Sie können sich auch an jede andere zuständige Datenschutzaufsichtsbehörde wenden.

30. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet durch uns nicht statt.

Dies gilt nicht für Sicherheits-, Betrugspräventions- oder Risikoprüfungen, die Zahlungsdienstleister oder Plattformanbieter in eigener Verantwortung durchführen können.

31. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Datenverarbeitungen, technischen Systeme, Dienstleister oder rechtlichen Anforderungen ändern.

Es gilt die jeweils auf unserer Website veröffentlichte aktuelle Fassung.