Datenschutz / Privacy Policy

Datenschutzerklärung

Stand: 13. September 2026

1. Verantwortlicher und Datenschutzkontakte

Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist:

THE QUIDDITY GmbH
Mittelweg 171b, 20148 Hamburg 
E-Mail: headquarters@the-quiddity.com
Telefon: +49 15773357755

Vertreter im Vereinigten Königreich

Soweit aufgrund unserer Geschäftstätigkeit gegenüber Personen im Vereinigten Königreich ein Vertreter nach Art. 27 UK GDPR erforderlich ist:

Kontaktperson – in Bestimmung.
[Anschrift im Vereinigten Königreich]
E-Mail: [E-Mail-Adresse]

Privacy Officer für Neuseeland

Für Angelegenheiten nach dem New Zealand Privacy Act 2020:

Ada Pauline Greif 
E-Mail: headquarters@the-quiddity.com
Postanschrift: Mittelweg 171b, 20148 Hamburg

2. Anwendungsbereich und anwendbare Datenschutzvorschriften

Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten beim Besuch unseres Online-Shops, bei der Nutzung unserer Produktindividualisierung, bei Bestellungen, Zahlungen, Lieferungen sowie bei der Nutzung von Analyse-, Sicherheits- und Marketingdiensten verarbeiten.

Für die Verarbeitung durch unser in Deutschland ansässiges Unternehmen gelten insbesondere:

• die Datenschutz-Grundverordnung (DSGVO),
• das Bundesdatenschutzgesetz (BDSG),
• das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Für Personen im Vereinigten Königreich gelten, soweit anwendbar, zusätzlich insbesondere:

• die UK GDPR,
• der Data Protection Act 2018,
• die Privacy and Electronic Communications Regulations (PECR),
• sowie die datenschutzrechtlichen Änderungen durch den Data (Use and Access) Act 2025.

Für Personen in Neuseeland gelten, soweit dessen gesetzliche Anwendungsvoraussetzungen erfüllt sind, zusätzlich die Bestimmungen des Privacy Act 2020.

Für Personen in Australien gelten ergänzend die dortigen Datenschutzvorschriften, insbesondere der Privacy Act 1988 und die Australian Privacy Principles (APPs), soweit diese auf unser Unternehmen beziehungsweise die konkrete Verarbeitung Anwendung finden.

Unabhängig von zusätzlichen ausländischen Vorschriften erfolgt die Verarbeitung durch unsere Niederlassung in Deutschland grundsätzlich nach den Anforderungen der DSGVO.

3. Kategorien personenbezogener Daten

Abhängig von der Nutzung unseres Onlineangebotes können insbesondere folgende Daten verarbeitet werden:

• Stamm- und Kontaktdaten, insbesondere Name, Anschrift, E-Mail-Adresse und gegebenenfalls Telefonnummer,
• Rechnungs- und Lieferdaten,
• Bestell- und Vertragsdaten,
• Angaben zur individuell gewählten Produktgestaltung,
• das aus dem Individualisierungstest erzeugte Charakter- beziehungsweise Präferenzergebnis,
• Zahlungs- und Transaktionsdaten,
• Kommunikations- und Servicedaten,
• Versand- und Zustellinformationen,
• IP-Adresse sowie technische Geräte- und Browserinformationen,
• Nutzungs- und Interaktionsdaten,
• Cookie-, Consent- und vergleichbare Online-Kennungen.

Wir erheben und verarbeiten nur solche Daten, die für den jeweiligen Zweck erforderlich sind oder deren Verarbeitung auf einer sonstigen gesetzlichen Grundlage, insbesondere einer Einwilligung, beruht.

4. Allgemeine Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten insbesondere auf folgenden Rechtsgrundlagen:

Vertrag und vorvertragliche Maßnahmen – Art. 6 Abs. 1 lit. b DSGVO
wenn die Verarbeitung für die Durchführung eines Vertrags oder für vorvertragliche Maßnahmen auf Anfrage der betroffenen Person erforderlich ist, insbesondere für Produktkonfiguration, Bestellung, Zahlung und Versand.

Rechtliche Verpflichtungen – Art. 6 Abs. 1 lit. c DSGVO
wenn wir Daten aufgrund steuer-, handels-, verbraucherschutz-, buchführungs- oder sonstiger gesetzlicher Pflichten verarbeiten müssen.

Einwilligung – Art. 6 Abs. 1 lit. a DSGVO
insbesondere bei nicht erforderlichen Analyse-, Marketing- oder Trackingdiensten.

Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO
insbesondere zur Sicherung unseres Onlineangebotes, zur Verhinderung von Missbrauch, zur Fehleranalyse, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen sowie in anderen Fällen, in denen unsere berechtigten Interessen oder die Interessen Dritter nicht durch überwiegende Interessen oder Rechte der betroffenen Person verdrängt werden.

Soweit wir eine Verarbeitung auf berechtigte Interessen stützen, werden diese beim jeweiligen Verarbeitungsvorgang näher beschrieben.

5. Erforderlichkeit der Bereitstellung von Daten

Bestimmte personenbezogene Daten sind erforderlich, um einen Vertrag mit uns abzuschließen und durchzuführen.
Hierzu gehören insbesondere die für die Bestellung erforderlichen:

• Kontaktinformationen,
• Rechnungsinformationen,
• Lieferinformationen,
• Produkt- und Individualisierungsangaben,
• Zahlungsinformationen.

Pflichtangaben werden im Bestellprozess entsprechend kenntlich gemacht.
Werden erforderliche Angaben nicht bereitgestellt, können wir eine Bestellung gegebenenfalls nicht annehmen, herstellen, abrechnen oder ausliefern.
Freiwillige Angaben werden nur verarbeitet, soweit sie mitgeteilt wurden und für den jeweils angegebenen beziehungsweise rechtlich zulässigen Zweck verwendet werden dürfen.
Für die Erstellung eines individuell konfigurierten Produktes sind außerdem die für den Individualisierungstest beziehungsweise die Produktkonfiguration vorgesehenen Auswahlentscheidungen erforderlich.

6. Hosting und Server-Logdaten – IONOS

Unsere Website wird bei IONOS gehostet.
Beim Aufruf unserer Website werden technisch erforderliche Informationen verarbeitet. Hierzu können insbesondere gehören:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seiten und Dateien,
• übertragene Datenmenge,
• Browsertyp und Browserversion,
• Betriebssystem,
• Referrer-URL,
• technische Angaben zum verwendeten Endgerät,
• Fehler- und Sicherheitsinformationen.

Die Verarbeitung dient dazu,

• die Website technisch auszuliefern,
• ihre Stabilität und Sicherheit zu gewährleisten,
• technische Fehler zu analysieren,
• Angriffe und missbräuchliche Zugriffe zu erkennen und abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und störungsfreien Betrieb unseres Onlineangebotes. Soweit der Hosting-Anbieter Daten ausschließlich in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Vertrages zur Auftragsverarbeitung nach Art. 28 DSGVO.

Logdaten werden nur so lange gespeichert, wie dies für technische und sicherheitsbezogene Zwecke erforderlich ist.

Ist ein konkreter Sicherheitsvorfall zu untersuchen, können die hierfür erforderlichen Informationen bis zum Abschluss der Untersuchung beziehungsweise bis zur Geltendmachung oder Abwehr daraus resultierender Ansprüche gespeichert werden.

IONOS WebAnalytics

Wir nutzen IONOS WebAnalytics zur statistischen Auswertung der Besuche unserer Website und zur technischen Optimierung unseres Onlineangebotes. Dabei können insbesondere die aufgerufenen Seiten und Dateien, die zuvor besuchte Website (Referrer), der Zeitpunkt des Zugriffs sowie Angaben zu Browser, Betriebssystem und Endgerät erfasst werden. Nach Angaben von IONOS werden diese Daten über ein Zählpixel oder über Logdateien ermittelt.

IONOS WebAnalytics verwendet keine Cookies.

Die beim Seitenaufruf übermittelte IP-Adresse wird nach Angaben von IONOS unmittelbar anonymisiert und anschließend nur in anonymisierter Form verarbeitet. Soweit beim Seitenaufruf personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse liegt in der statistischen Auswertung und technischen Verbesserung unserer Website.

7. WooCommerce und Shopfunktion

Wir verwenden WooCommerce als Shopsystem.

Soweit WooCommerce als auf unserem eigenen Webspace installierte Software verwendet wird, findet durch die bloße Nutzung der Shopsoftware nicht automatisch eine Übermittlung von Kundendaten an WooCommerce.com oder Automattic statt.

Die im Shop erfassten Daten werden insbesondere verarbeitet zur:

• Darstellung des Warenkorbs,
• Konfiguration der Produkte,
• Durchführung des Bestellvorgangs,
• Verwaltung und Dokumentation von Bestellungen.

Hierzu können insbesondere gehören:

• Name,
• Rechnungs- und Lieferadresse,
• E-Mail-Adresse,
• Telefonnummer, soweit angegeben,
• Warenkorbinhalt,
• Bestell- und Produktdaten,
• Individualisierungsinformationen,
• Zahlungsstatus,
• Versandstatus.

Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.

Soweit zusätzliche WooCommerce-/Automattic-Dienste wie WooPayments eingesetzt werden, gelten ergänzend die nachfolgenden Angaben zu diesen Diensten.

Automatische Länderbestimmung und Währungsanzeige

Wir haben in WooCommerce die automatische Länderbestimmung aktiviert.

Dabei wird die IP-Adresse anhand einer Geodatenbank einem Land zugeordnet. Diese Zuordnung kann vom tatsächlichen Aufenthaltsland des Besuchers abweichen. WooCommerce nutzt hierfür eine MaxMind-Geodatenbank auf unserem Server. Das ermittelte Land kann verwendet werden, um vor Eingabe einer Lieferadresse landesabhängige Steuern und Versandmöglichkeiten im Shop anzuzeigen.

Zusätzlich nutzen wir die Mehrwährungsfunktion von WooPayments. Anhand des ermittelten Landes wird Besuchern zu Beginn angeboten, Preise in einer passenden Währung anzeigen zu lassen, sofern wir diese Währung anbieten. Wird dieses Angebot nicht angenommen, bleiben die Preise in Euro. Die spätere Eingabe eines Landes im Bestellprozess ändert die angezeigte Währung nicht.
Wenn Sie eine angebotene Währung aktiv auswählen, speichern wir diese Auswahl, damit die gewählte Währung bei der weiteren Nutzung des Shops berücksichtigt wird.

Für die endgültige Berechnung von Steuern und Versandkosten berücksichtigen wir die Angaben, die Sie im Bestellprozess machen. Die für die Bestellung geltende Währung und der Gesamtpreis werden vor Abgabe der Bestellung angezeigt.

Rechtsgrundlage für die automatische Anzeige landesabhängiger Shopinformationen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Besuchern passende Preise und Shopinformationen anzuzeigen. Soweit Daten für die Vorbereitung oder Durchführung einer Bestellung erforderlich sind, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

8. Individualisierungstest und Zuordnung von Charaktereigenschaften

Funktionsweise

Auf unserer Website wird ein selbst entwickelter Test zur Individualisierung der angebotenen Produkte eingesetzt.
Der Nutzer trifft während des Tests verschiedene Auswahlentscheidungen. Diese Auswahlentscheidungen werden automatisiert ausgewertet und bestimmten Charaktereigenschaften beziehungsweise Präferenzen zugeordnet.
Aus der Auswertung wird ein Ergebnis erzeugt, das der Auswahl beziehungsweise Gestaltung des individualisierten Produktes dient.

Keine Speicherung der einzelnen Testantworten nach Testabschluss

Die einzelnen im Test vorgenommenen Auswahlentscheidungen werden nur während der jeweiligen Testdurchführung verarbeitet, um das Ergebnis zu berechnen. Nach Berechnung des Ergebnisses speichern wir die einzelnen Antworten weder im Browser noch als eigenständigen Datensatz auf unserem Server. Für die spätere Produktanzeige wird nur das Ergebnis verwendet. Der Test ist als einmaliger Ablauf ausgestaltet. Bei einer erneuten Durchführung entsteht eine neue Auswertung. Während des Testvorgangs können die Angaben technisch vorübergehend innerhalb der jeweiligen Sitzung verarbeitet werden, soweit dies erforderlich ist, um das Ergebnis zu berechnen und darzustellen.

Sitzungsübergreifende Anzeige des Ergebnisses

Im Unterschied zu den einzelnen Testantworten wird das aus dem Test erzeugte Ergebnis im Browser des verwendeten Geräts über das Ende der Sitzung hinaus vorgehalten. Es kann dort bis zu 24 Stunden nach Abschluss des Tests bei einem späteren Besuch mit demselben Browser erneut auf den Produkten im Shop angezeigt werden, ohne dass der Test wiederholt werden muss.

Nach Ablauf der 24 Stunden wird das Ergebnis nicht mehr zur Anzeige auf den Produkten verwendet und aus dem Local Storage entfernt. Ist die Website zu diesem Zeitpunkt nicht geöffnet, erfolgt die technische Entfernung beim nächsten Aufruf der Website. Wird vorher ein neuer Test abgeschlossen, ersetzt dessen Ergebnis das bisherige; die 24-Stunden-Frist beginnt mit Abschluss des neuen Tests erneut. Werden die entsprechenden Website-Daten im Browser gelöscht, ist das Ergebnis schon früher nicht mehr verfügbar. Auf einem anderen Gerät oder in einem anderen Browser wird es nicht automatisch angezeigt.

Speicherung des Ergebnisses

Das aus dem Test erzeugte Ergebnis beziehungsweise die daraus abgeleitete Charakter- oder Präferenzzuordnung wird im Zusammenhang mit dem ausgewählten Produkt angezeigt.

Das Ergebnis erscheint insbesondere:

• bei der Produktdarstellung beziehungsweise Produktkonfiguration,
• im Checkout,
• in den Bestelldaten,
• in der Bestell- beziehungsweise Vertragsbestätigung.

Sobald das Testergebnis einer konkreten Bestellung oder einer identifizierbaren Person zugeordnet wird, behandeln wir es als personenbezogenes Datum.
Es wird zusammen mit der Bestellung gespeichert, soweit dies zur Herstellung des individualisierten Produkts, zur Vertragsabwicklung und zum Nachweis der vom Kunden bestellten Individualisierung erforderlich ist.

Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Durchführung des vom Nutzer gewünschten Individualisierungsvorgangs und – bei anschließender Bestellung – zur Herstellung und Durchführung des individuell konfigurierten Produktes.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen auf Anfrage des Nutzers und für die Vertragserfüllung.

Profiling und automatisierte Verarbeitung

Die automatisierte Zuordnung der Auswahlentscheidungen zu Charaktereigenschaften beziehungsweise Präferenzen kann datenschutzrechtlich als Profiling einzustufen sein, soweit dabei personenbezogene Daten zur Bewertung persönlicher Aspekte verarbeitet werden.

Die Auswertung dient ausschließlich der Produktindividualisierung.

Sie wird insbesondere nicht dazu verwendet, Entscheidungen über

• Kreditwürdigkeit,
• Beschäftigung,
• Versicherungen,
• Zugang zu wesentlichen Leistungen oder
• vergleichbare rechtlich oder tatsächlich erhebliche Angelegenheiten

zu treffen.

Der Test führt nicht zu einer ausschließlich automatisierten Entscheidung, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Nach der gegenwärtigen Ausgestaltung findet deshalb keine automatisierte Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO statt.

Besondere Kategorien personenbezogener Daten

Der Test ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO zu erheben.
Insbesondere werden für die Testauswertung keine Angaben zu

• Gesundheit,
• rassischer oder ethnischer Herkunft,
• Religion oder Weltanschauung,
• politischen Meinungen,
• Gewerkschaftszugehörigkeit,
• genetischen oder biometrischen Merkmalen,
• Sexualleben oder sexueller Orientierung

benötigt.

Nutzer werden gebeten, solche Angaben im Rahmen der Produktindividualisierung nicht mitzuteilen.

9. Bestellungen und Vertragsabwicklung

Bestellungen können ohne Einrichtung eines dauerhaften Kundenkontos erfolgen.
Im Rahmen einer Bestellung verarbeiten wir insbesondere:

• Name,
• Rechnungsanschrift,
• Lieferanschrift,
• E-Mail-Adresse,
• gegebenenfalls Telefonnummer,
• bestellte Produkte,
• individuelle Produkt- und Veredelungsmerkmale,
• das mit dem Produkt verbundene Testergebnis,
• Bestellzeitpunkt,
• Preise und Versandkosten,
• gewählte Zahlungsart,
• Zahlungsstatus,
• Liefer- und Versandstatus,
• gegebenenfalls Kommunikation zur Bestellung.

Die Verarbeitung erfolgt zur Durchführung des Vertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Soweit Daten aufgrund steuer-, handels- oder sonstiger gesetzlicher Aufbewahrungspflichten gespeichert werden müssen, erfolgt die weitere Speicherung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

10. Zahlungsabwicklung

Zur Zahlungsabwicklung übermitteln wir die für die vom Kunden ausgewählte Zahlungsart erforderlichen personenbezogenen Daten an den jeweiligen Zahlungsdienstleister.

Hierzu können insbesondere gehören:

• Name,
• Rechnungsanschrift,
• E-Mail-Adresse,
• Bestellnummer,
• Rechnungsbetrag,
• Währung,
• Zahlungsstatus,
• Transaktionsinformationen,
• IP-Adresse und technische Informationen, soweit dies durch den Zahlungsdienst erforderlich ist.

Wir speichern grundsätzlich keine vollständigen Kreditkarten- oder vergleichbaren Zahlungsinstrumentdaten, soweit diese unmittelbar durch den Zahlungsdienstleister erhoben werden.
Die Übermittlung durch uns erfolgt grundsätzlich zur Durchführung des Zahlungs- und Kaufvertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsdienstleister können bestimmte Daten anschließend in eigener datenschutzrechtlicher Verantwortlichkeit verarbeiten, insbesondere zur:

• Durchführung von Zahlungsvorgängen,
• Betrugsprävention,
• Geldwäschebekämpfung,
• Identitätsprüfung,
• Bonitätsprüfung, soweit dies für die gewählte Zahlungsart vorgesehen ist,
• Erfüllung regulatorischer Pflichten.

WooPayments und Stripe

Über WooPayments bieten wir Kredit- und Debitkartenzahlung sowie Apple Pay, Google Pay und Amazon Pay an. Die Zahlungsabwicklung erfolgt über die von WooCommerce/Automattic bereitgestellte Zahlungsinfrastruktur unter Einbindung von Stripe. Dabei können insbesondere die für den Zahlungsvorgang erforderlichen Zahlungs-, Transaktions- und technischen Daten verarbeitet werden.

Stripe beziehungsweise WooPayments können zusätzlich Informationen für Betrugs- und Risikoprüfungen verarbeiten. Hierzu können automatisierte Risikobewertungen gehören, die dazu führen können, dass einzelne Zahlungsvorgänge blockiert, abgelehnt oder einer zusätzlichen Prüfung unterzogen werden.

Soweit solche Entscheidungen durch den Zahlungsdienstleister in eigener Verantwortlichkeit erfolgen, gelten dessen eigene Datenschutzinformationen.

PayPal

Über die Erweiterung WooCommerce PayPal Payments bieten wir die Zahlungsart PayPal an. „Pay Later“ und weitere PayPal-Zahlungsarten bieten wir nicht an. Bereits auf der Seite des leeren Warenkorbs werden PayPal-Komponenten geladen; dadurch können technische Verbindungsdaten, insbesondere die IP-Adresse, an PayPal übermittelt werden. Nach unseren bisherigen Prüfungen setzt PayPal beim Aufruf des leeren Warenkorbs keine Cookies. Bei Auswahl von PayPal werden zusätzlich die für die Zahlungsabwicklung erforderlichen Informationen an PayPal übermittelt.

PayPal verarbeitet Daten insbesondere zur:

• Zahlungsabwicklung,
• Identitätsprüfung,
• Betrugsprävention,
• Erfüllung finanzaufsichtsrechtlicher Verpflichtungen.

Amazon Pay

Bei Nutzung von Amazon Pay über WooPayments werden die für den Zahlungsvorgang erforderlichen Zahlungs- und Transaktionsdaten an die beteiligten Zahlungsdienstleister übermittelt. Amazon verarbeitet diese Informationen im Rahmen seiner eigenen datenschutzrechtlichen Verantwortlichkeit nach den für Amazon Pay geltenden Datenschutzbestimmungen.

Apple Pay und Google Pay

Bei Nutzung von Apple Pay oder Google Pay über WooPayments werden die für den Zahlungsvorgang erforderlichen Zahlungs- und Transaktionsdaten an die beteiligten Zahlungsdienstleister übermittelt. Hierbei können zusätzlich Daten durch Apple beziehungsweise Google verarbeitet werden.

Die Nutzung dieser Zahlungsarten erfolgt auf Auswahl des Kunden.

Ergänzende Informationen zur Datenverarbeitung durch die beteiligten Anbieter finden Sie in den Datenschutzhinweisen von Automattic/WooPayments, Stripe, PayPal, Amazon Pay, Apple Pay und Google. Diese Hinweise erläutern auch weitere Dienste der Anbieter; für die Nutzung unseres Shops gelten die hier beschriebenen, tatsächlich angebotenen Zahlungsarten.

Sift im Checkout

Nach dem Hinzufügen eines Produkts kann der Checkout aufgerufen werden. Erst beim Aufruf des Checkouts wird in der derzeitigen Shop-Konfiguration eine Ressource von cdn.sift.com geladen. Sift wird im Zusammenhang mit der Erkennung und Verhinderung betrügerischer Zahlungsvorgänge eingebunden. Beim Aufbau der Verbindung werden technische Verbindungsdaten, insbesondere die IP-Adresse, an Sift übermittelt. Soweit das nachgeladene Skript ausgeführt wird, können auch technische Browser- und Gerätemerkmale für die Risikoprüfung verarbeitet werden.

Nach unseren bisherigen Prüfungen wurden bei diesem Ladevorgang keine von Sift gesetzten Cookies festgestellt. Der Umstand, dass eine Netzwerkanfrage selbst keinen Cookie setzt, lässt noch keinen Schluss darüber zu, ob das nachgeladene Skript andere Informationen aus dem Browser ausliest. Soweit wir die Verarbeitung zur Absicherung des Bestell- und Zahlungsprozesses verantworten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, missbräuchliche Bestellungen und betrügerische Zahlungen zu erkennen und zu verhindern. Weitere Angaben zu technisch erforderlichen Zugriffen und Einwilligungen finden Sie in Abschnitt 13.

11. Versand und Lieferung

Zur Erfüllung des Kaufvertrags übermitteln wir die für den Versand erforderlichen personenbezogenen Daten an das jeweils beauftragte Versand- und Logistikunternehmen. Hierzu gehören insbesondere DHL beziehungsweise die für die konkrete Sendung eingesetzten nationalen oder internationalen Transport-, Zoll- und Zustellpartner.
Übermittelt werden können insbesondere:

• Name,
• Lieferanschrift,
• Versandinformationen,
• Sendungsinformationen,
• sonstige zur ordnungsgemäßen Zustellung erforderliche Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Eine E-Mail-Adresse oder Telefonnummer wird einem Versanddienstleister nur übermittelt, soweit dies für die konkrete Vertragsdurchführung erforderlich ist oder hierfür eine sonstige zulässige Rechtsgrundlage besteht. Soweit Kontaktdaten ausschließlich für einen zusätzlichen, nicht erforderlichen Versandankündigungs- oder Komfortdienst verwendet werden sollen, erfolgt die Weitergabe nur, soweit hierfür eine erforderliche Einwilligung vorliegt.

Bei Lieferungen in das Vereinigte Königreich, nach Australien oder Neuseeland können erforderliche Lieferdaten an dort eingesetzte Transport-, Zoll- oder Logistikpartner übermittelt werden.

Die Regelungen über internationale Datenübermittlungen bleiben hiervon unberührt.

12. Kontaktaufnahme und Kundenservice

Wenn Sie uns per E-Mail, Kontaktformular, Telefon oder auf anderem Weg kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Informationen zur Bearbeitung Ihrer Anfrage.

Hierzu können insbesondere gehören:

• Name,
• E-Mail-Adresse,
• Telefonnummer,
• Bestellnummer,
• Inhalt der Kommunikation,
• Zeitpunkt der Kommunikation,
• sonstige freiwillig mitgeteilte Angaben.

Bezieht sich die Anfrage auf einen bestehenden oder beabsichtigten Vertrag, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. In anderen Fällen erfolgt die Verarbeitung regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse besteht in der ordnungsgemäßen Bearbeitung von Anfragen und der Kommunikation mit Nutzern und Kunden.

13. Cookies und ähnliche Technologien

Cookies und ähnliche Technologien können Informationen auf Ihrem Gerät speichern oder dort vorhandene Informationen auslesen. Dazu gehört auch der lokale Browserspeicher. Ob dafür eine Einwilligung erforderlich ist, richtet sich nach dem jeweiligen Zweck und der konkreten technischen Verwendung, nicht allein danach, ob die Technik als Cookie bezeichnet wird. Die Verarbeitung personenbezogener Daten beurteilen wir zusätzlich nach der DSGVO.

Warenkorb, Checkout und Shopberichte

WooCommerce kann Cookies oder vergleichbare Technologien einsetzen, damit Warenkorb und Bestellvorgang funktionieren, insbesondere um Warenkorbinhalte und den Stand des Checkouts wiederzuerkennen. Soweit ein Zugriff auf Ihr Gerät für eine von Ihnen ausdrücklich gewünschte Shopfunktion unbedingt erforderlich ist, erfolgt er ohne Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG. Dies gilt nicht pauschal für sämtliche Zusatzfunktionen von WooCommerce. Die Verarbeitung personenbezogener Daten für die Vorbereitung oder Durchführung einer Bestellung erfolgt grundsätzlich nach Art. 6 Abs. 1 lit. b DSGVO; weitere Angaben stehen in den Abschnitten 7, 9 und 10.

Der Warenkorb ist auch ohne hinzugefügtes Produkt aufrufbar. WooCommerce verwendet im Zusammenhang mit Warenkorb und Bestellung insbesondere Sitzungs- und Warenkorbkennungen wie wp_woocommerce_session_*, woocommerce_cart_hash und woocommerce_items_in_cart. Sie dienen dazu, eine Sitzung und den Warenkorbinhalt wiederzuerkennen. Welche Kennungen im Einzelfall gesetzt werden, hängt von der Nutzung der Shopfunktionen ab.

Schon beim Aufruf des leeren Warenkorbs werden nach der derzeitigen Einbindung Komponenten von PayPal geladen und Verbindungen zu PayPal aufgebaut, obwohl noch keine Zahlungsart ausgewählt wurde. Dabei können technische Verbindungsdaten, insbesondere die IP-Adresse, an PayPal übermittelt werden. Nach unseren bisherigen Prüfungen werden beim Aufruf des leeren Warenkorbs keine Cookies durch PayPal gesetzt. Der Checkout ist erst erreichbar, nachdem ein Produkt zum Warenkorb hinzugefügt wurde. Weitere Angaben zu PayPal stehen in Abschnitt 10.

Die im WooCommerce-Administrationsbereich verfügbaren Berichte über Bestellungen und Umsätze werten Daten zu Bestellungen und Kunden aus. Die WooCommerce-Funktion zur Erfassung der Bestellherkunft (Order Attribution) ist nicht aktiviert.

Individualisierungstest

Nach Abschluss des Individualisierungstests wird nur das berechnete Ergebnis im Local Storage des verwendeten Browsers für eine spätere Anzeige auf Produkten vorgehalten. Die einzelnen Testantworten werden nach der Berechnung nicht gespeichert. Das Ergebnis wird höchstens 24 Stunden nach Testabschluss im Shop angezeigt. Ein neuer Test ersetzt das vorherige Ergebnis und beginnt eine neue 24-Stunden-Frist. Wenn Sie die Website-Daten im Browser löschen, endet die Anzeige gegebenenfalls früher. Nach Ablauf der 24 Stunden wird der Eintrag aus dem Local Storage entfernt; wenn die Website zu diesem Zeitpunkt nicht geöffnet ist, geschieht dies beim nächsten Aufruf. Ein mit einer Bestellung verknüpftes Ergebnis wird unabhängig davon als Bestandteil der Bestelldaten verarbeitet; Einzelheiten stehen in den Abschnitten 8 und 17.

Zahlungsarten im Checkout

Im Checkout bieten wir über WooPayments Kredit- und Debitkartenzahlung, Apple Pay, Google Pay und Amazon Pay sowie über WooCommerce PayPal Payments ausschließlich PayPal an; Pay Later und weitere PayPal-Zahlungsarten sind nicht aktiviert. Hierbei werden Komponenten der beteiligten Zahlungsdienstleister und für Sicherheitsprüfungen unter anderem Ressourcen von hCaptcha (newassets.hcaptcha.com) geladen. Stripe kann für die Betrugsprävention insbesondere die Kennungen __stripe_mid und __stripe_sid einsetzen. Weitere von Zahlungs- oder Sicherheitsdiensten eingesetzte Browserkennungen können hinzukommen. Der Abruf einer Ressource von einer fremden Domain beweist für sich genommen noch keine Cookie-Setzung. Soweit ein Zugriff auf Ihr Gerät zur Bereitstellung einer von Ihnen ausdrücklich gewünschten Zahlungsfunktion unbedingt erforderlich ist, ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Zugriffe, die darüber hinausgehen oder bereits vor Auswahl einer Zahlungsart erfolgen, sind nach ihrem konkreten Zweck und Zeitpunkt zu beurteilen. Weitere Informationen finden Sie in Abschnitt 10 und in den Datenschutzhinweisen von hCaptcha. Google Pay ist eine Zahlungsart; wir setzen weder Google Analytics noch Google-Werbung ein.

Sift und Sicherheitsprüfungen im Checkout

Nach dem Hinzufügen eines Produkts wird beim Aufruf des Checkouts eine Ressource von cdn.sift.com geladen. Bei der bisher überprüften Einbindung wurden durch diesen Ladevorgang keine Cookies von Sift festgestellt. Beim Verbindungsaufbau können technische Daten wie die IP-Adresse an Sift übermittelt werden. Ein geladenes Skript kann darüber hinaus Geräte- oder Browsermerkmale auslesen; für die Beurteilung einer etwaigen Einwilligungspflicht ist der tatsächliche Zugriff maßgeblich. Zweck der Einbindung ist die Prüfung von Betrugsrisiken beim Bestell- und Zahlungsvorgang. Weitere Angaben zu Sift finden Sie in Abschnitt 10.

Währungsauswahl

Wenn Sie eine angebotene Währung aktiv auswählen, speichern wir diese Auswahl, damit der Shop die gewählte Währung weiter anzeigen kann. Weitere Informationen zur Währungsanzeige stehen in Abschnitt 7.

IONOS WebAnalytics und weitere Technik

IONOS WebAnalytics verwendet nach Angaben von IONOS keine Cookies und ermittelt Daten über Server-Logdateien oder ein Zählpixel. Bei einem Zählpixel kann unabhängig von Cookies zu prüfen sein, ob ein einwilligungsbedürftiger Zugriff auf das Gerät erfolgt. Einzelheiten zu IONOS WebAnalytics stehen in Abschnitt 6. Die in Abschnitt 14 beschriebenen Schriftarten werden lokal geladen. Die in Abschnitt 7 beschriebene Länderbestimmung anhand der IP-Adresse und einer Datenbank auf unserem Server speichert für sich genommen keine Informationen in Ihrem Browser. Wir setzen nach der derzeitigen Konfiguration weder Google Analytics noch Meta Pixel oder Cookies für Google- oder Meta-Werbung ein.

Einwilligung und Einstellungen

Soweit für das Speichern oder Auslesen von Informationen auf Ihrem Gerät eine Einwilligung erforderlich ist, holen wir sie ein, bevor die betreffende Technik eingesetzt wird. Eine Rechtsgrundlage für die anschließende Verarbeitung personenbezogener Daten, etwa ein berechtigtes Interesse, ersetzt diese Einwilligung nach § 25 Abs. 1 TDDDG nicht. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; falls wir eine Einwilligungsabfrage einsetzen, stellen wir dafür eine ebenso einfache Widerrufsmöglichkeit bereit. Gespeicherte Website-Daten können Sie außerdem in Ihrem Browser löschen. Dies kann die Funktion des Warenkorbs, des Checkouts oder die erneute Anzeige Ihres Testergebnisses beeinträchtigen. Für Nutzer im Vereinigten Königreich gelten die jeweils anwendbaren Vorschriften der PECR und UK GDPR.

14. Lokal eingebundene Google Fonts

Soweit Google Fonts auf unserer Website verwendet werden, werden diese lokal auf unserem eigenen Server eingebunden.
Beim Aufruf der Website findet deshalb allein aufgrund der Darstellung dieser Schriftarten keine Verbindung zu Servern von Google statt. Es erfolgt durch die lokale Einbindung keine Übermittlung der IP-Adresse oder anderer personenbezogener Daten an Google allein zum Laden der verwendeten Schriftarten.

15. Daten aus anderen Quellen

Wir erheben personenbezogene Daten grundsätzlich unmittelbar bei Ihnen.

Im Zusammenhang mit einer Bestellung können wir jedoch in begrenztem Umfang Informationen von von uns eingesetzten Dienstleistern erhalten.
Hierzu gehören insbesondere:

• Zahlungsbestätigungen,
• Zahlungsablehnungen,
• Transaktionsstatus von Zahlungsdienstleistern,
• Betrugs- oder Risikostatus, soweit für die Zahlungsabwicklung erforderlich,
• Versandinformationen,
• Zustellinformationen,
• Rücksendeinformationen.

Diese Informationen werden ausschließlich zur Abwicklung der jeweiligen Bestellung, zur Missbrauchsprävention, zur Bearbeitung von Reklamationen beziehungsweise zur Erfüllung gesetzlicher Pflichten verwendet.

16. Internationale Datenübermittlungen

Aufgrund des Einsatzes international tätiger Dienstleister und aufgrund grenzüberschreitender Lieferungen können personenbezogene Daten auch außerhalb Deutschlands beziehungsweise außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Eine solche Übermittlung erfolgt nur, wenn die jeweils erforderlichen datenschutzrechtlichen Voraussetzungen erfüllt sind.

Angemessenheitsbeschlüsse

Besteht für das Empfängerland ein Angemessenheitsbeschluss der Europäischen Kommission, kann eine Übermittlung auf dessen Grundlage erfolgen.

Dies gilt derzeit unter anderem für das Vereinigte Königreich und Neuseeland.

Für entsprechend zertifizierte Unternehmen in den Vereinigten Staaten kann eine Übermittlung auf Grundlage des EU-US Data Privacy Framework erfolgen, soweit dessen Voraussetzungen für den jeweiligen Empfänger erfüllt sind.

Andere geeignete Garantien

Besteht kein einschlägiger Angemessenheitsbeschluss oder ist der konkrete Empfänger davon nicht erfasst, verwenden wir, soweit erforderlich, geeignete Garantien nach Art. 46 DSGVO.
Hierzu gehören insbesondere die von der Europäischen Kommission genehmigten Standardvertragsklauseln.
Soweit erforderlich, verwenden wir ergänzende vertragliche, technische oder organisatorische Schutzmaßnahmen.

Australien

Für Australien besteht derzeit kein allgemeiner Angemessenheitsbeschluss der Europäischen Kommission.
Soweit personenbezogene Daten an einen eigenständigen Empfänger in Australien übermittelt werden und eine Drittlandübermittlung im Sinne der DSGVO vorliegt, stellen wir deshalb eine zulässige Grundlage für die Übermittlung sicher. Dies kann insbesondere durch geeignete Garantien nach Art. 46 DSGVO erfolgen. Ausnahmen nach Art. 49 DSGVO werden nur verwendet, wenn die jeweiligen gesetzlichen Voraussetzungen im konkreten Einzelfall erfüllt sind.

Internationale Dienstleister

Auch bei der Nutzung von Google Pay und bei Diensten von Stripe, Automattic beziehungsweise WooCommerce, PayPal, Amazon, Sift oder anderen internationalen Anbietern kann eine Verarbeitung in Staaten außerhalb des Europäischen Wirtschaftsraums stattfinden.

Je nach Anbieter und Verarbeitung erfolgt eine solche Übermittlung insbesondere auf Grundlage

• eines Angemessenheitsbeschlusses,
• des EU-US Data Privacy Framework,
• von Standardvertragsklauseln,
• oder eines anderen gesetzlich zulässigen Übermittlungsmechanismus.

Informationen und Kopien der Garantien

Weitere Informationen zu den für eine konkrete Drittlandübermittlung eingesetzten Garantien sowie eine Kopie der jeweils anwendbaren geeigneten Garantien können über die in Abschnitt 1 angegebenen Kontaktdaten angefordert werden.
Soweit erforderlich, können vertrauliche, sicherheitsrelevante oder geschäftlich sensible Bestandteile einer zur Verfügung gestellten Kopie geschwärzt beziehungsweise anderweitig geschützt werden, soweit dadurch der wesentliche Inhalt der Datenschutzgarantien für die betroffene Person nachvollziehbar bleibt.

17. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungspflichten beziehungsweise andere gesetzliche Gründe für eine weitere Speicherung bestehen.

Insbesondere gelten folgende Grundsätze:

Testantworten

Die einzelnen im Test vorgenommenen Auswahlentscheidungen werden nur während der jeweiligen Testdurchführung verarbeitet, um das Ergebnis zu berechnen. Nach Berechnung des Ergebnisses speichern wir die einzelnen Antworten weder im Browser noch als eigenständigen Datensatz auf unserem Server.

Testergebnis vor einer Bestellung

Das im Local Storage vorgehaltene Ergebnis wird bis zu 24 Stunden nach Abschluss des Tests für die erneute Anzeige auf Produkten im Shop verwendet. Danach wird es nicht mehr angezeigt und aus dem Local Storage entfernt; wenn die Website zu diesem Zeitpunkt nicht geöffnet ist, erfolgt die technische Entfernung beim nächsten Aufruf. Ein neuer Test ersetzt das bisherige Ergebnis und startet eine neue 24-Stunden-Frist. Werden die entsprechenden Website-Daten im Browser gelöscht, kann die Anzeige schon früher entfallen. Ein mit einer Bestellung verknüpftes Ergebnis wird davon unabhängig als Bestandteil der Bestelldaten gespeichert.

Testergebnis und Individualisierung

Das mit einer Bestellung verknüpfte Ergebnis und die für die Herstellung erforderlichen Individualisierungsinformationen werden als Bestandteil der Bestell- und Vertragsdokumentation so lange gespeichert, wie dies für

• Vertragsabwicklung,
• Herstellung,
• Nachweis der bestellten Ausführung,
• Bearbeitung von Mängel- oder Haftungsfällen,
• gesetzliche Aufbewahrungs- und Verjährungsfristen

erforderlich ist.

Bestell-, Vertrags- und Rechnungsdaten

Diese werden abhängig von Art und rechtlicher Einordnung des jeweiligen Dokuments insbesondere für sechs, acht oder zehn Jahre gespeichert, soweit handels- oder steuerrechtliche Vorschriften dies verlangen.

Zahlungsinformationen

Wir speichern grundsätzlich nur die für Buchhaltung, Zahlungsnachweis und Vertragsabwicklung erforderlichen Transaktionsinformationen. Vollständige Zahlungsinstrumentdaten wie vollständige Kreditkartennummern werden grundsätzlich durch den jeweiligen Zahlungsdienstleister verarbeitet und von uns nicht vollständig gespeichert.

Server- und Sicherheitsdaten

Diese werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und Sicherheit erforderlich ist.
Informationen über einen konkreten Sicherheitsvorfall können bis zu dessen vollständiger Klärung und gegebenenfalls bis zur Geltendmachung oder Abwehr damit verbundener Rechtsansprüche aufbewahrt werden.

Consent-Nachweise

Informationen darüber, dass eine Einwilligung erteilt, verweigert, geändert oder widerrufen wurde, können so lange aufbewahrt werden, wie dies zum Nachweis einer ordnungsgemäßen Einwilligungsverwaltung sowie im Hinblick auf gesetzliche Verjährungs- und Nachweispflichten erforderlich ist.

Kundenservice

Kommunikation wird grundsätzlich gelöscht, sobald eine Anfrage abschließend erledigt ist und keine vertraglichen, gesetzlichen, beweisrechtlichen oder haftungsbezogenen Gründe für eine weitere Speicherung bestehen.
Soweit die Kommunikation Bestandteil einer Bestellung oder eines Rechtsfalls ist, richtet sich die Speicherdauer nach dem betreffenden Vorgang.
Nach Wegfall des jeweiligen Speicherzwecks werden Daten gelöscht oder anonymisiert, soweit keine weitere gesetzliche Grundlage für ihre Aufbewahrung besteht.

18. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten insbesondere gegen

• unbeabsichtigten Verlust,
• rechtswidrigen Verlust,
• unberechtigte Veränderung,
• Zerstörung,
• unbefugte Offenlegung,
• unbefugten Zugriff

zu schützen.

Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Art und des Umfangs der Verarbeitung sowie der mit der Verarbeitung verbundenen Risiken regelmäßig überprüft und soweit erforderlich angepasst.

19. Rechte nach der DSGVO

Soweit die DSGVO auf die Verarbeitung Ihrer personenbezogenen Daten Anwendung findet, stehen Ihnen nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte zu:

• Recht auf Auskunft gemäß Art. 15 DSGVO,
• Recht auf Berichtigung gemäß Art. 16 DSGVO,
• Recht auf Löschung gemäß Art. 17 DSGVO,
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Recht auf Widerspruch gemäß Art. 21 DSGVO,
• Recht auf Widerruf einer erteilten Einwilligung gemäß Art. 7 Abs. 3 DSGVO.

Der Widerruf einer Einwilligung wirkt für die Zukunft.
Die Rechtmäßigkeit einer Verarbeitung, die bis zum Widerruf auf Grundlage der Einwilligung erfolgt ist, bleibt unberührt.

Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen

Werden personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung einlegen.

Wir verarbeiten die betreffenden Daten anschließend nicht weiter, sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung bestehen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Nach der DSGVO können Sie sich insbesondere an eine Aufsichtsbehörde

• an Ihrem gewöhnlichen Aufenthaltsort,
• an Ihrem Arbeitsplatz oder
• am Ort des mutmaßlichen Datenschutzverstoßes

wenden.
Sie können sich außerdem an die für unser Unternehmen zuständige deutsche Datenschutzaufsichtsbehörde wenden.

20. Zusätzliche Hinweise für Personen im Vereinigten Königreich

Soweit wir Waren oder Dienstleistungen gezielt Personen im Vereinigten Königreich anbieten, gilt für die betreffende Verarbeitung ergänzend die UK GDPR und das sonstige anwendbare Datenschutzrecht des Vereinigten Königreichs.

Personen im Vereinigten Königreich verfügen nach Maßgabe des geltenden Rechts insbesondere über Rechte auf:

• Information,
• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung,
• Datenübertragbarkeit,
• Widerspruch,
• Widerruf erteilter Einwilligungen,
• sowie gegebenenfalls Rechte im Zusammenhang mit automatisierter Entscheidungsfindung.

Nicht erforderliche Cookies und vergleichbare Technologien werden entsprechend den jeweils geltenden Anforderungen der PECR und UK GDPR eingesetzt.

UK Representative

Soweit wir nach Art. 27 UK GDPR zur Benennung eines Vertreters im Vereinigten Königreich verpflichtet sind, können betroffene Personen diesen unter den in Abschnitt 1 angegebenen Kontaktdaten erreichen.
Der Vertreter dient insbesondere als Kontaktstelle für betroffene Personen und den Information Commissioner’s Office (ICO).
Unsere eigene Verantwortlichkeit für die Datenverarbeitung bleibt von der Bestellung eines Vertreters unberührt.

Datenschutzbeschwerden

Personen im Vereinigten Königreich können Datenschutzbeschwerden über die in Abschnitt 1 angegebenen Kontaktdaten beziehungsweise über unseren UK Representative einreichen. Wir stellen einen klar zugänglichen Weg zur Einreichung solcher Beschwerden zur Verfügung. Eine Datenschutzbeschwerde wird entsprechend den anwendbaren gesetzlichen Vorgaben behandelt.

Insbesondere werden wir:

• den Eingang einer Datenschutzbeschwerde innerhalb von 30 Tagen bestätigen,
• angemessene Schritte zur Untersuchung der Beschwerde unternehmen,
• erforderliche interne Nachforschungen durchführen,
• die beschwerdeführende Person in angemessenem Umfang über den Fortgang informieren,
• und das Ergebnis der Prüfung ohne unangemessene Verzögerung mitteilen.

Die 30-Tage-Frist betrifft die Bestätigung des Eingangs und bedeutet nicht, dass jede Beschwerde innerhalb von 30 Tagen abschließend entschieden werden muss.

Beschwerde beim ICO

Personen im Vereinigten Königreich können sich außerdem nach Maßgabe des anwendbaren Rechts an den Information Commissioner’s Office (ICO) wenden.
Eine vorherige Beschwerde bei uns ist keine Voraussetzung dafür, soweit das geltende Recht nichts anderes bestimmt.
Wir empfehlen dennoch, Datenschutzanliegen zunächst über die genannten Kontaktmöglichkeiten mitzuteilen, damit wir sie unmittelbar prüfen und gegebenenfalls beheben können. Das gesetzliche Beschwerderecht gegenüber dem ICO wird hierdurch nicht eingeschränkt.

Internationale Übermittlungen

Soweit personenbezogene Daten aus dem Vereinigten Königreich außerhalb des Vereinigten Königreichs verarbeitet oder übermittelt werden, verwenden wir die nach dem UK-Datenschutzrecht erforderlichen Angemessenheitsregelungen, vertraglichen Schutzmaßnahmen oder sonstigen zulässigen Übermittlungsmechanismen.
Weitere Informationen über die für eine konkrete internationale Übermittlung verwendeten Schutzmaßnahmen können über die in Abschnitt 1 angegebenen Kontaktdaten angefordert werden.

21. Zusätzliche Hinweise für Personen in Australien

Die Verarbeitung personenbezogener Daten durch unser in Deutschland ansässiges Unternehmen richtet sich unabhängig vom Aufenthaltsort der betroffenen Person grundsätzlich nach der DSGVO, soweit deren räumlicher Anwendungsbereich eröffnet ist.

Soweit zusätzlich der Australian Privacy Act 1988 und die Australian Privacy Principles auf unser Unternehmen oder eine konkrete Verarbeitung Anwendung finden, gelten die daraus folgenden zwingenden Rechte und Verpflichtungen ergänzend.

Personen in Australien können sich mit Datenschutzanfragen oder Datenschutzbeschwerden über die in Abschnitt 1 angegebenen Kontaktdaten an uns wenden.

Soweit der Australian Privacy Act auf die betreffende Verarbeitung Anwendung findet und ein Anliegen nicht zufriedenstellend gelöst werden kann, können gegebenenfalls weitere Beschwerderechte gegenüber dem Office of the Australian Information Commissioner (OAIC) bestehen.

Wir überprüfen die Anwendbarkeit der australischen Datenschutzvorschriften erneut, wenn sich insbesondere

• Unternehmensgröße,
• Jahresumsatz,
• Geschäftstätigkeit,
• Art der verarbeiteten personenbezogenen Daten oder
• Nutzung automatisierter Entscheidungen

wesentlich verändern.

22. Zusätzliche Hinweise für Personen in Neuseeland

Da wir Waren nach Neuseeland anbieten, kann der New Zealand Privacy Act 2020 auf die Verarbeitung personenbezogener Daten von Personen in Neuseeland Anwendung finden.

Erhebung und Zweck

Wir erheben beziehungsweise verarbeiten personenbezogene Daten neuseeländischer Kunden insbesondere zur:

• Produktindividualisierung,
• Bestellabwicklung,
• Zahlungsabwicklung,
• Lieferung,
• Kundenkommunikation,
• Sicherheit,
• und – soweit die erforderlichen Voraussetzungen einschließlich gegebenenfalls einer Einwilligung erfüllt sind – für Analyse und Marketing.

Die jeweiligen Datenkategorien ergeben sich aus den vorstehenden Abschnitten dieser Datenschutzerklärung.

Erforderliche und freiwillige Angaben

Soweit personenbezogene Daten zur Durchführung einer Bestellung erforderlich sind, können wir den betreffenden Vertrag ohne diese Informationen gegebenenfalls nicht abschließen oder ordnungsgemäß durchführen.
Andere Angaben sind freiwillig.

Empfänger

Personenbezogene Daten können insbesondere an

• Zahlungsdienstleister,
• Hosting- und IT-Dienstleister,
• Versand- und Logistikunternehmen,
• Zoll- beziehungsweise Zustellpartner,
• und nach erforderlicher Zustimmung an Analyse- oder Marketingdienstleister

übermittelt werden.

Zugang und Berichtigung

Personen in Neuseeland können nach Maßgabe des Privacy Act 2020 Auskunft über die zu ihrer Person gespeicherten personenbezogenen Daten verlangen und deren Berichtigung beantragen.
Wird eine beantragte Berichtigung nicht vorgenommen, können nach Maßgabe des geltenden Rechts zusätzliche Rechte bestehen, insbesondere auf Beifügung einer Erklärung zur gewünschten Berichtigung.

Privacy Officer

Anfragen nach dem Privacy Act 2020 können an die in Abschnitt 1 genannte Kontaktperson als Privacy Officer gerichtet werden.
Der Privacy Officer ist insbesondere Ansprechpartner für:

• Datenschutzanfragen,
• Auskunftsersuchen,
• Berichtigungsersuchen,
• Datenschutzbeschwerden,
• sowie die Zusammenarbeit mit dem neuseeländischen Office of the Privacy Commissioner.

Verarbeitung außerhalb Neuseelands

Unsere zentrale Datenverarbeitung findet grundsätzlich in Deutschland beziehungsweise im Europäischen Wirtschaftsraum statt.
Soweit personenbezogene Daten aus Neuseeland an andere Organisationen außerhalb Neuseelands offengelegt werden, beachten wir die Anforderungen des Information Privacy Principle 12 des Privacy Act 2020, soweit dieses auf die betreffende Weitergabe Anwendung findet.
Hierzu können insbesondere angemessene vertragliche, gesetzliche oder sonstige nach neuseeländischem Recht zulässige Schutzmaßnahmen gehören.

Beschwerden

Personen in Neuseeland können sich bei Datenschutzanliegen zunächst an unseren Privacy Officer wenden.
Daneben besteht nach Maßgabe des Privacy Act 2020 die Möglichkeit, sich an das Office of the Privacy Commissioner of New Zealand zu wenden.

23. Änderungen dieser Datenschutzerklärung

Wir überprüfen diese Datenschutzerklärung regelmäßig und passen sie an, wenn sich insbesondere

• unsere Verarbeitungsprozesse,
• eingesetzte Dienstleister,
• technische Funktionen,
• Lieferländer,
• oder rechtliche Anforderungen

ändern.

Die jeweils aktuelle Fassung wird auf unserer Website veröffentlicht.

Soweit eine Änderung die Art oder den Zweck einer bestehenden Datenverarbeitung wesentlich verändert und hierfür nach geltendem Recht eine zusätzliche Information oder Einwilligung erforderlich ist, werden betroffene Personen entsprechend informiert beziehungsweise wird eine erforderliche Einwilligung eingeholt.

Privacy Policy

Last updated: 13 September 2026

1. Controller and Privacy Contacts

Controller

The controller responsible for processing personal data is:

THE QUIDDITY GmbH
Mittelweg 171b , 20148 Hamburg 
Email: headquarters@the-quiddity.com
Telephone: +4915773357755

United Kingdom Representative

Where a representative under Article 27 UK GDPR is required in connection with our activities concerning individuals in the United Kingdom:

Contact Person – being determined
[UK address]
Email: [email address]

New Zealand Privacy Officer

For matters arising under the New Zealand Privacy Act 2020:

Ada Pauline Greif
Email: headquarters@the-quiddity.com
Mittelweg 171b , 20148 Hamburg 

2. Scope and Applicable Privacy Laws

This Privacy Policy explains how we process personal data when individuals visit our online shop, use our product customisation process, place orders, make payments, receive deliveries or use analytics, security and marketing services.

As a business established in Germany, our processing is governed in particular by:

• the EU General Data Protection Regulation (GDPR);
• the German Federal Data Protection Act;
• the German Telecommunications Digital Services Data Protection Act (TDDDG).

For individuals in the United Kingdom, the following may additionally apply:

• the UK GDPR;
• the Data Protection Act 2018;
• the Privacy and Electronic Communications Regulations (PECR);
• and the relevant data-protection amendments introduced by the Data (Use and Access) Act 2025.

For individuals in New Zealand, the Privacy Act 2020 applies where its statutory territorial requirements are met.

For individuals in Australia, the Privacy Act 1988 and Australian Privacy Principles (APPs) apply where the statutory requirements for their application to our business or the relevant processing activity are met.

Regardless of additional overseas privacy laws, processing carried out by our establishment in Germany is generally subject to the GDPR where its territorial scope applies.

3. Categories of Personal Data

Depending on how our online services are used, we may process in particular:

• identity and contact information, including name, address, email address and, where provided, telephone number;
• billing and delivery information;
• order and contract information;
• information relating to the customer’s individual product configuration;
• the character or preference result produced by our customisation test;
• payment and transaction information;
• customer-service and communications data;
• shipping and delivery information;
• IP address and technical device and browser information;
• usage and interaction information;
• cookie, consent and similar online identifiers.

We collect and process only personal information that is required for the relevant purpose or for which another lawful basis, including consent where required, is available.

4. General Legal Bases Under the GDPR

We process personal data in particular on the following bases:

Contract and Pre-Contractual Steps – Article 6(1)(b) GDPR

where processing is necessary to perform a contract or to take steps requested by the individual before entering into a contract, including product configuration, ordering, payment and delivery.

Legal Obligations – Article 6(1)(c) GDPR

where processing is required by tax, commercial, accounting, consumer-protection or other legal obligations.

Consent – Article 6(1)(a) GDPR

in particular for non-essential analytics, marketing and tracking technologies.

Legitimate Interests – Article 6(1)(f) GDPR

in particular to secure our online services, prevent misuse, analyse technical errors, establish, exercise or defend legal claims, and in other situations where our legitimate interests or those of a third party are not overridden by the individual’s interests or rights.

Where we rely on legitimate interests, the relevant interest is further described in the applicable section.

5. Information Required to Enter Into a Contract

Certain personal information is required in order to enter into and perform a contract with us.

This includes in particular information required for:

• contact;
• billing;
• delivery;
• product customisation;
• payment.

Mandatory fields are identified accordingly during checkout.

If required information is not provided, we may be unable to accept, manufacture, charge for or deliver an order.

Optional information is processed only where it has been provided and may lawfully be used for the relevant stated purpose.

Selections required by the customisation test or product-configuration process are also necessary where the customer wishes to order the corresponding individually configured product.

6. Hosting and Server Logs – IONOS

Our website is hosted by IONOS.

When the website is accessed, technical information required to deliver and secure the website may be processed, including:

• IP address;
• date and time of access;
• pages and files accessed;
• amount of data transferred;
• browser type and version;
• operating system;
• referring URL;
• technical device information;
• error and security information.

This processing is carried out in order to:

• technically deliver the website;
• maintain its stability and security;
• analyse technical errors;
• detect and prevent attacks and misuse.

The legal basis is Article 6(1)(f) GDPR.

Our legitimate interest is the secure and reliable operation of our online services.

Where the hosting provider processes information solely on our behalf, such processing is governed by a data-processing agreement under Article 28 GDPR.

Server logs are retained only for as long as necessary for technical and security purposes.

Information required to investigate a particular security incident may be retained until that investigation and any resulting legal claims have been concluded.

IONOS WebAnalytics

We use IONOS WebAnalytics to analyse visits to our website statistically and to improve the technical performance of our online services.

The data collected may include the pages and files accessed, the website previously visited (referrer), the time of access, and information about the visitor’s browser, operating system and device.

According to IONOS, this data is collected through a tracking pixel or log files.

IONOS WebAnalytics does not use cookies.

IONOS states that the IP address transmitted when a page is accessed is anonymised immediately and subsequently processed only in anonymised form.

To the extent that personal data is processed when a page is accessed, the legal basis is Article 6(1)(f) of the EU GDPR.

Our legitimate interest is to analyse website use statistically and improve the technical performance of our website.

7. WooCommerce and Shop Functions

We use WooCommerce as our shop system.

Where WooCommerce is operated as software installed on our own hosting environment, use of the shop software alone does not automatically cause customer information to be transmitted to WooCommerce.com or Automattic.

Information entered in our shop is processed in particular to:

• operate the shopping cart;
• configure products;
• carry out checkout;
• administer and document orders.

This may include:

• name;
• billing and delivery address;
• email address;
• telephone number, where provided;
• shopping-cart contents;
• order and product information;
• customisation information;
• payment status;
• shipping status.

The legal basis is generally Article 6(1)(b) GDPR.

Where additional WooCommerce or Automattic services such as WooPayments are used, the provisions below relating to those services also apply.

Automatic Country Detection and Currency Display

We have enabled automatic country detection in WooCommerce.

To do this, an IP address is assigned to a country using a geolocation database. This assignment may differ from the visitor’s actual country of residence. WooCommerce uses a MaxMind geolocation database stored on our server for this purpose. The detected country may be used to display country-specific taxes and shipping options in the shop before a shipping address is entered.

We also use WooPayments’ multi-currency feature. Based on the detected country, visitors are offered the option of viewing prices in a corresponding currency when we support that currency. If the visitor does not accept this offer, prices remain displayed in euros. Entering a country later in the checkout process does not change the displayed currency. If you actively select one of the currencies offered, we save your selection so that the selected currency is used when you continue using the shop.

For the final calculation of taxes and shipping costs, we take into account the information you provide during checkout. The currency and total price applicable to your order are displayed before you place the order.

The legal basis for automatically displaying country-specific shop information is Article 6(1)(f) GDPR. Our legitimate interest is to show visitors relevant prices and shop information. Where processing is necessary to prepare or fulfil an order, the legal basis is Article 6(1)(b) GDPR.

8. Customisation Test and Assignment of Character Traits

How the Test Works

We use a test developed by us to customise the products we offer.

During the test, users make a series of selections. These selections are evaluated automatically and assigned to particular character traits or preferences. The resulting assessment is used to select or design the customised product.

Individual Test Answers Are Not Stored After the Test

The individual selections made during the test are processed only while the respective test is being carried out in order to calculate the result. Once the result has been calculated, we do not store the individual answers in the browser or as a separate data record on our server. Only the result is used for subsequent product display.

The test is designed as a one-time process. Completing it again produces a new assessment. During the test, the selections may be processed temporarily within the current session where this is necessary to calculate and display the result.

Display of the Result Across Sessions

Unlike the individual test answers, the result generated by the test is retained in the browser on the device used beyond the end of the session. For up to 24 hours after completion of the test, it may be displayed again on products in the shop during a later visit using the same browser, without the need to repeat the test.

After the 24 hours have elapsed, the result is no longer used for display on products and is removed from Local Storage. If the website is not open at that time, it is technically removed the next time the website is accessed. If a new test is completed before then, the new result replaces the previous one and a new 24-hour period begins when the new test is completed. If the relevant website data is deleted from the browser, the result becomes unavailable sooner. It is not displayed automatically on another device or in another browser.

Storage of the Result

The result generated by the test, or the character-trait or preference assignment derived from it, is displayed in connection with the selected product.

The result appears in particular:

• in the product presentation or configuration;
• at checkout;
• in the order information;
• in the order or contract confirmation.

Once the test result is linked to a specific order or an identifiable individual, we treat it as personal data. It is stored together with the order where necessary to manufacture the customised product, perform the contract and document the customisation ordered by the customer.

Purpose and Legal Basis

Processing takes place to carry out the customisation requested by the user and, where an order is placed, to manufacture and fulfil the order for the individually configured product.

The legal basis is Article 6(1)(b) GDPR for pre-contractual steps requested by the user and for performance of the contract.

Profiling and Automated Processing

The automated assignment of selections to character traits or preferences may constitute profiling under data-protection law where personal data is processed to evaluate personal aspects of an individual.

The evaluation is used exclusively for product customisation.

In particular, it is not used to make decisions concerning:

• creditworthiness;
• employment;
• insurance;
• access to essential services; or
• comparable matters of significant legal or practical importance.

The test does not result in a solely automated decision that produces legal effects concerning an individual or similarly significantly affects that individual. Accordingly, the test as currently designed does not involve automated individual decision-making within the meaning of Article 22(1) GDPR.

Special Categories of Personal Data

The test is not designed to collect special categories of personal data within the meaning of Article 9 GDPR.

In particular, the evaluation of the test does not require information concerning:

• health;
• racial or ethnic origin;
• religion or beliefs;
• political opinions;
• trade-union membership;
• genetic or biometric characteristics;
• sex life or sexual orientation.

Users are asked not to provide such information during product customisation.

9. Orders and Contract Performance

Orders may be placed without creating a permanent customer account.

When an order is placed, we may process in particular:

• name;
• billing address;
• delivery address;
• email address;
• telephone number, where provided;
• products ordered;
• individual product and finishing characteristics;
• the test result associated with the product;
• order date and time;
• prices and shipping costs;
• selected payment method;
• payment status;
• shipping and delivery status;
• communications relating to the order.

Processing is necessary to perform the contract and is based on Article 6(1)(b) GDPR.

Where information must subsequently be retained to comply with tax, commercial or other statutory obligations, continued processing is based on Article 6(1)(c) GDPR.

10. Payment Processing

To process payments, we disclose the personal data required for the payment method selected by the customer to the relevant payment service provider.

This may include in particular:

• name;
• billing address;
• email address;
• order number;
• invoice amount;
• currency;
• payment status;
• transaction information;
• IP address and technical information, where required by the payment service.

We generally do not store complete credit-card details or comparable payment-instrument data where these are collected directly by the payment service provider. Our disclosure of data generally takes place to process the payment and perform the purchase contract on the basis of Article 6(1)(b) GDPR.

Payment service providers may subsequently process certain data under their own responsibility for data protection, in particular for:

• processing payments;
• fraud prevention;
• anti-money-laundering compliance;
• identity checks;
• credit checks, where provided for the selected payment method;
• compliance with regulatory obligations.

WooPayments and Stripe

Through WooPayments, we offer payment by credit and debit card as well as Apple Pay, Google Pay and Amazon Pay. Payments are processed using the payment infrastructure provided by WooCommerce/Automattic, with Stripe integrated into that infrastructure. In this process, payment, transaction and technical data required for the payment may be processed.

Stripe or WooPayments may also process information for fraud and risk checks. This may include automated risk assessments that can result in individual payment transactions being blocked, declined or subjected to additional review.

Where such decisions are made by the payment service provider under its own responsibility, the provider’s own privacy information applies.

PayPal

We offer PayPal through the WooCommerce PayPal Payments extension. We do not offer “Pay Later” or other PayPal payment methods. PayPal components are loaded even on the empty shopping-cart page; as a result, technical connection data, in particular the IP address, may be transmitted to PayPal. According to our checks to date, PayPal does not set cookies when the empty shopping-cart page is opened. If PayPal is selected, the information required to process the payment is also transmitted to PayPal.

PayPal processes data in particular for:

• payment processing;
• identity checks;
• fraud prevention;
• compliance with financial regulatory obligations.

Amazon Pay

When Amazon Pay is used through WooPayments, payment and transaction data required for the payment is transmitted to the payment service providers involved. Amazon processes this information under its own responsibility for data protection in accordance with the privacy terms applicable to Amazon Pay.

Apple Pay and Google Pay

When Apple Pay or Google Pay is used through WooPayments, payment and transaction data required for the payment is transmitted to the payment service providers involved. In this process, Apple or Google may also process data.

Customers choose whether to use these payment methods.

Further information about processing by the providers involved can be found in the privacy notices of Automattic/WooPayments, Stripe, PayPal, Amazon Pay, Apple Pay and Google. Those notices also describe other services offered by the providers; the payment methods actually available in our shop are those described here.

Sift at Checkout

After a product has been added to the shopping cart, the checkout can be accessed. In the current shop configuration, a resource from cdn.sift.com is loaded only when the checkout is opened. Sift is integrated to detect and prevent fraudulent payments. When the connection is established, technical connection data, in particular the IP address, is transmitted to Sift. If the subsequently loaded script is executed, technical browser and device characteristics may also be processed for risk assessment.

According to our checks to date, no cookies set by Sift were detected during this loading process. The fact that a network request itself does not set a cookie does not establish whether the subsequently loaded script reads other information from the browser. Where we are responsible for processing to secure the ordering and payment process, the legal basis is Article 6(1)(f) GDPR. Our legitimate interest is to detect and prevent abusive orders and fraudulent payments. Further information about technically necessary access and consent is provided in Section 13.

11. Shipping and Delivery

In order to perform the sales contract, we provide the required personal information to the relevant shipping and logistics provider.

This includes DHL and the domestic or international carriers, customs providers and last-mile delivery partners used for the particular shipment.

Information disclosed may include:

• name;
• delivery address;
• shipping information;
• tracking information;
• other information required to complete delivery.

The legal basis is Article 6(1)(b) GDPR.

An email address or telephone number is disclosed to a carrier only where this is necessary to perform the particular contract or where another lawful basis permits the disclosure.

Where contact information is intended solely for an additional, non-essential delivery-notification or convenience service, such disclosure is made only where any required consent has been obtained.

For deliveries to the United Kingdom, Australia or New Zealand, required delivery information may be disclosed to local carriers, customs providers or logistics partners.

The provisions concerning international transfers in this Privacy Policy also apply.

12. Contact and Customer Service

When an individual contacts us by email, contact form, telephone or another means, we process the information provided in order to handle the enquiry.

This may include:

• name;
• email address;
• telephone number;
• order number;
• content of the communication;
• date and time of communication;
• other information provided voluntarily.

Where the enquiry relates to an existing or proposed contract, processing is based on Article 6(1)(b) GDPR.

In other cases, processing is generally based on Article 6(1)(f) GDPR.

Our legitimate interest is the proper handling of enquiries and communications with users and customers.

13. Cookies and Similar Technologies

Cookies and similar technologies can store information on your device or read information already stored there. This includes local browser storage. Whether consent is required depends on the particular purpose and technical use, not solely on whether the technology is called a cookie. We also assess the processing of personal data separately under the GDPR.

Shopping Cart, Checkout and Shop Reports

WooCommerce may use cookies or similar technologies to make the shopping cart and ordering process work, in particular to recognise the contents of the cart and the stage reached in checkout. Where access to your device is strictly necessary to provide a shop function you have expressly requested, it takes place without consent under Section 25(2) No. 2 TDDDG. This does not apply automatically to every additional WooCommerce function. The processing of personal data to prepare or fulfil an order is generally based on Article 6(1)(b) GDPR; further information is provided in Sections 7, 9 and 10.

The shopping cart can be opened even when no product has been added. In connection with the cart and ordering process, WooCommerce uses session and cart identifiers such as wp_woocommerce_session_*, woocommerce_cart_hash and woocommerce_items_in_cart. They serve to recognise a session and the contents of the cart. Which identifiers are set in a particular case depends on how the shop functions are used.

Under the current integration, PayPal components are loaded and connections to PayPal are established as soon as the empty cart is opened, even though no payment method has yet been selected. Technical connection data, in particular the IP address, may be transmitted to PayPal as a result. According to our checks to date, PayPal does not set cookies when the empty cart is opened. Checkout can be accessed only after a product has been added to the cart. Further information about PayPal is provided in Section 10.

The order and sales reports available in the WooCommerce administration area analyse order and customer data. WooCommerce’s Order Attribution feature, which records where orders originate, is not enabled.

Customisation Test

After the customisation test is completed, only the calculated result is retained in the Local Storage of the browser used so that it can be displayed again on products. The individual test answers are not stored after the result has been calculated. The result is displayed in the shop for no more than 24 hours after the test is completed. A new test replaces the previous result and starts a new 24-hour period. If you delete the website data in your browser, the result may cease to be displayed sooner. After 24 hours, the entry is removed from Local Storage; if the website is not open at that time, removal takes place on the next visit. A result linked to an order is processed separately as part of the order data; further details are provided in Sections 8 and 17.

Payment Methods at Checkout

At checkout, we offer credit and debit card payments, Apple Pay, Google Pay and Amazon Pay through WooPayments, and PayPal alone through WooCommerce PayPal Payments; Pay Later and other PayPal payment methods are not enabled. Components provided by the payment service providers involved are loaded, as are resources used for security checks, including resources from hCaptcha (newassets.hcaptcha.com). For fraud prevention, Stripe may use identifiers including __stripe_mid and __stripe_sid. Other browser identifiers used by payment or security services may also be added. Retrieving a resource from an external domain does not, by itself, establish that a cookie is set. Where access to your device is strictly necessary to provide a payment function you have expressly requested, consent is not required under Section 25(2) No. 2 TDDDG. Access that goes beyond this or occurs before a payment method is selected must be assessed according to its specific purpose and timing. Further information is provided in Section 10 and in hCaptcha’s privacy notice. Google Pay is a payment method; we do not use Google Analytics or Google advertising.

Sift and Security Checks at Checkout

After a product has been added, a resource from cdn.sift.com is loaded when checkout is opened. In the integration examined to date, this loading process did not set any cookies from Sift. Technical data such as the IP address may be transmitted to Sift when the connection is established. A loaded script may also read device or browser characteristics; whether consent is required depends on the access that actually takes place. The purpose of the integration is to assess fraud risks during the ordering and payment process. Further information about Sift is provided in Section 10.

Currency Selection

If you actively select one of the currencies offered, we save your selection so that the shop can continue to display the selected currency. Further information about the currency display is provided in Section 7.

IONOS WebAnalytics and Other Technologies

According to IONOS, IONOS WebAnalytics does not use cookies and collects data through server log files or a tracking pixel. Where a tracking pixel is used, it may be necessary to assess whether access to the device requires consent, regardless of whether cookies are used. Further information about IONOS WebAnalytics is provided in Section 6. The fonts described in Section 14 are loaded locally. The country detection described in Section 7, which uses the IP address and a database on our server, does not by itself store information in your browser. Under the current configuration, we do not use Google Analytics, Meta Pixel or cookies for Google or Meta advertising.

Consent and Settings

Where consent is required to store information on your device or read information from it, we obtain that consent before using the relevant technology. A legal basis for the subsequent processing of personal data, such as a legitimate interest, does not replace the consent required under Section 25(1) TDDDG. You may withdraw consent at any time with effect for the future; if we use a consent prompt, we provide an equally easy way to withdraw consent. You can also delete stored website data in your browser. This may affect the operation of the shopping cart or checkout, or the renewed display of your test result. The applicable provisions of PECR and the UK GDPR apply to users in the United Kingdom.

14. Locally Hosted Google Fonts

Where Google Fonts are used on our website, they are hosted locally on our own server. Visiting the website therefore does not establish a connection to Google’s servers solely to display these fonts. Hosting the fonts locally means that no IP address or other personal data is transmitted to Google solely to load them.

15. Information Received from Other Sources

We generally obtain personal information directly from the individual.

However, in connection with an order we may receive limited information from service providers, including:

• payment confirmations;
• payment refusals;
• transaction statuses from payment providers;
• fraud or risk status where required for payment processing;
• shipping information;
• delivery information;
• return information.

Such information is used only to process the relevant order, prevent misuse, handle complaints or comply with legal obligations.

16. International Data Transfers

Because we use internationally operating service providers and make cross-border deliveries, personal data may be processed outside Germany or outside the European Economic Area.

Any such transfer takes place only where the applicable legal requirements for international transfers are satisfied.

Adequacy Decisions

Where the European Commission has adopted an adequacy decision for the relevant recipient country, a transfer may be based on that decision.

This currently includes, among others, the United Kingdom and New Zealand.

Transfers to qualifying organisations in the United States may be based on the EU-US Data Privacy Framework where the relevant recipient is validly certified and the applicable requirements are met.

Other Appropriate Safeguards

Where there is no applicable adequacy decision, or where the relevant recipient is not covered by one, we use appropriate safeguards under Article 46 GDPR where required.

These may include European Commission Standard Contractual Clauses.

Additional contractual, technical or organisational safeguards are used where required.

Australia

There is currently no general European Commission adequacy decision for Australia.

Where personal data is transferred to an independent recipient in Australia and that transfer constitutes an international transfer under the GDPR, we ensure that an appropriate lawful transfer mechanism is in place.

This may in particular include safeguards under Article 46 GDPR.

Derogations under Article 49 GDPR are relied upon only where their statutory requirements are satisfied in the particular circumstances.

International Service Providers

Services provided by Google, Meta, Stripe, Automattic/WooCommerce, PayPal, Amazon and other international providers may involve processing outside the European Economic Area.

Depending on the provider and processing activity, transfers may be protected by:

• an adequacy decision;
• the EU-US Data Privacy Framework;
• Standard Contractual Clauses;
• or another legally permitted transfer mechanism.

Information and Copies of Safeguards

Further information about the safeguards used for a particular international data transfer and a copy of the applicable appropriate safeguards may be requested using the contact details in Section 1.

Where necessary, confidential, security-sensitive or commercially sensitive parts of a copy may be redacted or otherwise protected, provided that the essential substance of the relevant data-protection safeguards remains understandable to the individual.

17. Retention Periods

We retain personal data only for as long as necessary for the relevant purpose or where statutory retention obligations or other legal grounds require further retention.

In particular, the following principles apply:

Test Answers

The individual selections made during the test are processed only while the respective test is being carried out in order to calculate the result. Once the result has been calculated, we do not store the individual answers in the browser or as a separate data record on our server.

Test Result Before an Order

The result retained in Local Storage is used for up to 24 hours after completion of the test so that it can be displayed again on products in the shop. After that, it is no longer displayed and is removed from Local Storage; if the website is not open at that time, technical removal takes place on the next visit. A new test replaces the previous result and starts a new 24-hour period. If the relevant website data is deleted from the browser, the result may cease to be displayed sooner. A result linked to an order is stored separately as part of the order data.

Test Result and Customisation

The result linked to an order and the customisation information required to manufacture the product are retained as part of the order and contract records for as long as necessary for:

• performing the contract;
• manufacturing the product;
• documenting the version ordered;
• handling defects or liability claims;
• complying with statutory retention periods and limitation periods.

Order, Contract and Invoice Data

Depending on the type and legal classification of the relevant document, this data is retained for six, eight or ten years where required by German commercial or tax law.

Payment Information

We generally retain only the transaction information required for accounting, proof of payment and performance of the contract. Complete payment-instrument details, such as full credit-card numbers, are generally processed by the relevant payment service provider and are not stored in full by us.

Server and Security Data

This data is retained only for as long as necessary for operation, error analysis and security. Information relating to a particular security incident may be retained until the incident has been fully investigated and, where applicable, until related legal claims have been asserted or defended.

Consent Records

Information showing that consent was given, refused, changed or withdrawn may be retained for as long as necessary to demonstrate proper consent management and to meet applicable statutory limitation and evidential requirements.

Customer Service

Communications are generally deleted once an enquiry has been fully resolved and no contractual, statutory, evidential or liability-related reason requires further retention. Where a communication forms part of an order or legal matter, its retention period is determined by that matter. Once the relevant purpose for retention no longer applies, data is deleted or anonymised unless there is another legal basis for retaining it.

18. Data Security

We implement appropriate technical and organisational measures to protect personal data against in particular:

• accidental loss;
• unlawful loss;
• unauthorised alteration;
• destruction;
• unauthorised disclosure;
• unauthorised access.

The safeguards are reviewed and, where necessary, adjusted having regard to the state of the art, the nature and scale of processing and the risks associated with that processing.

19. Rights Under the GDPR

Where the GDPR applies, individuals have, subject to the statutory requirements, in particular:

• the right of access under Article 15 GDPR;
• the right to rectification under Article 16 GDPR;
• the right to erasure under Article 17 GDPR;
• the right to restriction under Article 18 GDPR;
• the right to data portability under Article 20 GDPR;
• the right to object under Article 21 GDPR;
• the right to withdraw consent under Article 7(3) GDPR.

Withdrawal of consent operates for the future.

It does not affect the lawfulness of processing carried out before withdrawal.

Right to Object to Processing Based on Legitimate Interests

Where personal data is processed on the basis of Article 6(1)(f) GDPR, the individual may object on grounds relating to their particular situation.

We will then cease the relevant processing unless compelling legitimate grounds override the individual’s interests, rights and freedoms or the processing is necessary for the establishment, exercise or defence of legal claims.

Supervisory Complaints

Individuals have the right to lodge a complaint with a data-protection supervisory authority.

Under the GDPR, this may in particular be a supervisory authority:

• in the individual’s habitual residence;
• at the individual’s place of work;
• or at the place of the alleged infringement.

A complaint may also be submitted to the German supervisory authority responsible for our business.

20. Additional Information for Individuals in the United Kingdom

Where we specifically offer goods or services to individuals in the United Kingdom, the UK GDPR and other applicable UK data-protection legislation also apply to the relevant processing.

Individuals in the United Kingdom have, subject to applicable law, rights including:

• information;
• access;
• rectification;
• erasure;
• restriction;
• portability;
• objection;
• withdrawal of consent;
• and, where relevant, rights concerning automated decision-making.

Non-essential cookies and similar technologies are used in accordance with the applicable requirements of PECR and UK GDPR.

UK Representative

Where Article 27 UK GDPR requires us to appoint a representative in the United Kingdom, individuals may contact the representative using the contact details in Section 1.

The representative acts in particular as a contact point for individuals and the Information Commissioner’s Office (ICO).

Appointment of a representative does not affect our own responsibility for the processing.

Data Protection Complaints

Individuals in the United Kingdom may submit a data-protection complaint using the contact details in Section 1 or through our UK Representative.

We provide a clear and accessible means for making such complaints.

Complaints are handled in accordance with applicable statutory requirements.

In particular, we will:

• acknowledge receipt of a data-protection complaint within 30 days;
• take appropriate steps to investigate the complaint;
• make appropriate internal enquiries;
• keep the complainant appropriately informed about progress;
• and communicate the outcome without undue delay.

The 30-day period relates to acknowledgement of receipt and does not mean that every complaint must be fully resolved within 30 days.

Complaints to the ICO

Individuals in the United Kingdom may also have the right to complain to the Information Commissioner’s Office (ICO).

A prior complaint to us is not a prerequisite where applicable law does not require one.

We nevertheless encourage individuals to contact us first where appropriate so that we can investigate and, where possible, resolve the matter directly.

This does not restrict any statutory right to complain to the ICO.

International Transfers

Where personal data relating to individuals in the United Kingdom is processed or transferred outside the UK, we use the adequacy mechanisms, contractual safeguards or other lawful transfer arrangements required by UK privacy law.

Further information concerning safeguards used for a particular international transfer may be requested using the contact details in Section 1.

21. Additional Information for Individuals in Australia

Processing carried out by our establishment in Germany remains generally subject to the GDPR where its territorial scope applies, irrespective of where the individual lives.

To the extent that the Australian Privacy Act 1988 and Australian Privacy Principles also apply to our business or to a particular processing activity, the mandatory rights and obligations arising under those laws apply in addition.

Individuals in Australia may submit privacy enquiries or complaints using the contact information in Section 1.

Where the Australian Privacy Act applies and a matter cannot be resolved satisfactorily, additional rights to complain to the Office of the Australian Information Commissioner (OAIC) may be available.

We reassess the application of Australian privacy legislation if there is a material change in particular to:

• our business size;
• annual turnover;
• business activities;
• the categories of personal information processed;
• or the use of automated decision-making.

22. Additional Information for Individuals in New Zealand

Because we offer goods to New Zealand, the New Zealand Privacy Act 2020 may apply to processing of personal information relating to individuals in New Zealand.

Collection and Purpose

We collect or process personal information relating to New Zealand customers in particular for:

• product customisation;
• order processing;
• payment;
• delivery;
• customer communications;
• security;
• and, where the necessary conditions including any required consent are met, analytics and marketing.

The relevant categories of personal information are described throughout this Privacy Policy.

Mandatory and Optional Information

Where information is necessary to perform an order, we may be unable to enter into or properly perform the contract without it.

Other information is voluntary.

Recipients

Personal information may in particular be provided to:

• payment providers;
• hosting and IT providers;
• shipping and logistics companies;
• customs or delivery partners;
• and, after any required consent has been obtained, analytics or marketing providers.

Access and Correction

Individuals in New Zealand may, subject to the Privacy Act 2020, request access to personal information held about them and request correction of that information.

Where a requested correction is not made, applicable law may provide additional rights, including a right to have a statement of the requested correction attached to the relevant record.

Privacy Officer

Requests under the Privacy Act 2020 may be addressed to the New Zealand Privacy Officer identified in Section 1 as our Privacy Officer.

The Privacy Officer acts in particular as the contact for:

• privacy enquiries;
• access requests;
• correction requests;
• privacy complaints;
• and cooperation with the New Zealand Office of the Privacy Commissioner.

Processing Outside New Zealand

Our central processing generally takes place in Germany and the European Economic Area.

Where personal information from New Zealand is disclosed to another organisation outside New Zealand, we comply with Information Privacy Principle 12 of the Privacy Act 2020 where it applies to the relevant disclosure.

This may include appropriate contractual, statutory or other safeguards permitted by New Zealand law.

Complaints

Individuals in New Zealand may first raise privacy concerns with our Privacy Officer.

They may also contact the Office of the Privacy Commissioner of New Zealand in accordance with the Privacy Act 2020.

23. Changes to this Privacy Policy

We review this Privacy Policy periodically and update it where there are changes in particular to:

• our processing activities;
• service providers;
• technical functions;
• delivery countries;
• or applicable legal requirements.

The current version is published on our website.

Where a change materially alters an existing processing purpose or practice and applicable law requires additional notice or consent, we will provide that notice or obtain the required consent before commencing the relevant new processing.