Datenschutzerklärung

Datenschutzerklärung, AtopicV

Stand: 2026-06-22 · DSGVO-/TDDDG-konform für DACH (DE/AT/CH)

Status: Owner-Review erforderlich · Anschließend als Shopify-Policy `/policies/privacy-policy` oder Page `/pages/datenschutzerklaerung` veröffentlichen

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

> AtopicV [Rechtsform, z.B. GmbH / UG / Einzelunternehmen]

> [Straße + Hausnummer]

> [PLZ Ort]

> Deutschland

> E-Mail: service@atopicv.com

> Geschäftsführer / Inhaber: [Name Ayyub Roschmann / Vollständiger Name]

> Handelsregister: [HRB-Nummer, falls vorhanden]

> USt-IdNr.: [DE-USt-Nummer]

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO derzeit nicht zu bestellen. Anfragen zur Datenverarbeitung werden vom Verantwortlichen direkt bearbeitet (siehe Kontaktdaten oben).

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer:innen ausschließlich im Rahmen der Erforderlichkeit zur Bereitstellung eines funktionsfähigen Online-Shops sowie unserer Inhalte und Leistungen. Eine Verarbeitung erfolgt nur auf Grundlage gesetzlicher Erlaubnistatbestände (insbesondere Art. 6 Abs. 1 lit. a, b, c und f DSGVO).

3. Datenverarbeitung beim Besuch der Website

3.1 Server-Logs

Beim bloßen Aufruf unserer Website (atopicv.com) erfasst Shopify Inc. als Hosting-Provider automatisch Logfiles:

IP-Adresse (gekürzt verarbeitet)
Datum + Uhrzeit
HTTP-Request-Daten (URL, Status-Code, Datenmenge)
Referrer-URL
User-Agent

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit + Missbrauchs-Abwehr)

Speicherdauer: 90 Tage, anschließend gelöscht oder anonymisiert

Empfänger: Shopify Inc. (siehe Abschnitt 8)

3.2 Cookies + Tracking, TDDDG §25 Consent-Pflicht

Wir verwenden auf unserer Website Cookies + ähnliche Speicher-Technologien. Hierbei unterscheiden wir:

A) Technisch notwendige Cookies (kein Consent erforderlich, Art. 6 Abs. 1 lit. f DSGVO + TDDDG §25 Abs. 2 Nr. 2):

Shopify-Session-Cookie (`_secure_session_id`), Warenkorb-Funktionalität
Shopify-Cart-Cookie (`cart`), Bestell-Vorgang
Consent-Status-Cookie (`atv-consent-v1`), speichert deine Consent-Entscheidung selbst

B) Tracking + Reichweitenmessung (nur nach expliziter Einwilligung gemäß TDDDG §25 Abs. 1 / Art. 6 Abs. 1 lit. a DSGVO):

Diese werden nur geladen, nachdem du im Cookie-Banner auf „Annehmen" geklickt hast. Ohne deine Einwilligung erfolgt keinerlei Tracking.

Dienst	Zweck	Anbieter / Sitz	Drittland-Transfer

|---|---|---|---|

Microsoft Clarity	Anonyme Heatmaps + Session-Recordings	Microsoft Ireland Operations Ltd., Dublin / USA-Server	USA (Art. 49 + EU-US-Data-Privacy-Framework)
Google Analytics 4	Anonyme Reichweitenmessung mit `anonymize_ip`	Google Ireland Ltd., Dublin / USA-Server	USA (Art. 49 + EU-US-DPF)
Google web-vitals	Core-Web-Vitals-Messung via unpkg-CDN	Google LLC / unpkg.com (USA)	USA (Art. 49 + EU-US-DPF)
Klaviyo (onsite + identify)	Newsletter-Personalisierung + Browse-Abandon-Trigger	Klaviyo Inc., Boston USA	USA (Art. 49 + EU-US-DPF)

Widerruf: Du kannst deine Einwilligung jederzeit widerrufen, indem du dein Browser-LocalStorage für atopicv.com leerst, der Banner erscheint dann beim nächsten Besuch erneut.

4. Datenverarbeitung beim Bestell-Vorgang

4.1 Kundenkonto + Bestellung

Wenn du bei uns bestellst, verarbeiten wir folgende Daten:

Anrede, Vor- + Nachname
Lieferadresse + Rechnungsadresse
Email-Adresse + Telefonnummer (sofern angegeben)
Zahlungsdaten (siehe 4.2)
Bestellhistorie

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag-Erfüllung) + Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufbewahrung)

Speicherdauer: 10 Jahre (§147 AO + §257 HGB-konform)

Auftragsverarbeiter: Shopify Inc. (siehe 8.1)

4.2 Zahlungsabwicklung

Zahlungsdaten verarbeiten wir nicht selbst. Sie werden an die folgenden Zahlungsdienstleister übermittelt:

Shopify Payments / Stripe (Stripe Payments Europe Ltd., Dublin)
PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg)
Klarna (Klarna Bank AB, Stockholm)
SEPA-Lastschrift über Shopify Payments
Apple Pay / Google Pay / Shop Pay (via Shopify Payments)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag-Erfüllung)

Datenschutzerklärungen: stripe.com/privacy · paypal.com/de/legalhub/privacy-full · klarna.com/de/datenschutzbestimmungen

4.3 Versand-Dienstleister

Versanddaten (Name + Adresse) übermitteln wir an:

DHL (Deutsche Post AG / DHL Group, Bonn)
GLS (General Logistics Systems Germany GmbH, falls relevant)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

5. Newsletter + Email-Marketing

5.1 Newsletter-Anmeldung (Double-Opt-In)

Wenn du dich für unseren Newsletter anmeldest, verwenden wir das Double-Opt-In-Verfahren: Du erhältst zunächst eine Bestätigungs-Email an die angegebene Adresse. Erst nach Klick auf den Bestätigungslink fügen wir dich der Empfänger-Liste hinzu.

Verarbeitete Daten: Email-Adresse + Anmelde-Zeitpunkt + IP-Adresse zum Anmelde-Zeitpunkt (Nachweis-Pflicht).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Empfänger / Verarbeiter: Klaviyo Inc., 125 Summer Street, 6th Floor, Boston, MA 02110, USA (siehe 8.2)

Speicherdauer: Bis zum Widerruf der Einwilligung

Widerruf: Über den Abmelde-Link in jeder Newsletter-Email oder per Email an service@atopicv.com

5.2 Skin-Quiz mit optionalem Email-Opt-In

Unser Hauttyp-Quiz funktioniert vollständig ohne Email-Eingabe. Optional kannst du am Ende deine Email-Adresse + Skin-Type-Profil an Klaviyo übermitteln, um personalisierte Hautpflege-Hinweise zu erhalten. Diese Übermittlung erfolgt ausschließlich nach expliziter Einwilligung via Checkbox.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO

6. Kundenservice + Kontakt

Wenn du uns per Email (service@atopicv.com) oder über das Kontakt-Formular kontaktierst, verarbeiten wir deine Mitteilung + Email-Adresse + Name (falls angegeben) zur Bearbeitung deines Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche / vertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (Service-Qualität)

Speicherdauer: Bis zu 3 Jahre nach letzter Korrespondenz

7. Hosting + Theme-Provider

Hosting + Shop-System:

Shopify Inc., 151 O'Connor St., Ground floor, Ottawa, ON K2P 2L8, Kanada (EU-Server-Region verfügbar)
Datenschutz: shopify.com/legal/privacy
Auftragsverarbeitungs-Vertrag: shopify.com/legal/dpa

Web-Fonts:

Google Fonts (Google Ireland Ltd., Dublin), geladen über `fonts.googleapis.com` mit `media=print` Trick für non-render-blocking
Eine IP-Übermittlung an Google erfolgt beim Fontload. Wir nutzen `font-display: swap` zur Minimierung der Blocking-Time. Die Übermittlung erfolgt im berechtigten Interesse an performanter Typografie (Art. 6 Abs. 1 lit. f DSGVO).
Hinweis: Falls du die Google-Font-Übermittlung vermeiden möchtest, kannst du die Schriften in deinem Browser blockieren, die Website nutzt System-Font-Fallbacks (Georgia / Helvetica).

Marketing-Assets (Videos):

Higgsfield, KI-Video-Generation. Videos liegen als Shopify-File-Assets bei Shopify selbst. Ein Daten-Transfer zu Higgsfield erfolgt NICHT zur Laufzeit.

8. Auftragsverarbeiter + Drittlandtransfers

8.1 Shopify (Vertrag-Erfüllung + Hosting)

Sitz: Kanada
EU-Daten-Lokation: Shopify nutzt EU-Server für DACH-Shops nach DSGVO-Konformität
Drittland-Transfer: Kanada gilt als angemessener Drittstaat (Art. 45 DSGVO + Adäquanz-Beschluss 2002/2/EG)
DPA: shopify.com/legal/dpa
Standardvertragsklauseln (SCC) 2021: Hinterlegt

8.2 Klaviyo (Newsletter + Onsite-Tracking)

Sitz: USA (Boston, MA)
Drittland-Transfer: USA, Rechtsgrundlage EU-US-Data-Privacy-Framework (Art. 45 DSGVO + Adäquanz-Beschluss vom 10. Juli 2023) ODER SCC 2021 mit zusätzlichen Garantien
Status: Klaviyo ist EU-US-DPF-zertifiziert (siehe dataprivacyframework.gov)
DPA: klaviyo.com/legal/data-processing-agreement
Aktivität: Nur nach Consent (siehe 3.2.B)

8.3 Microsoft Clarity (Heatmaps)

Sitz: Microsoft Ireland Operations Ltd., Dublin (EU), Daten-Transfer in USA möglich
Drittland-Transfer: USA, EU-US-DPF + SCC 2021
DPA: microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
Aktivität: Nur nach Consent (siehe 3.2.B)
Anonymisierung: Clarity erhebt keine PII direkt; alle Inhalte werden anonymisiert/maskiert

8.4 Google Analytics 4 (Reichweite)

Sitz: Google Ireland Ltd., Dublin (EU)
Drittland-Transfer: USA, EU-US-DPF
IP-Anonymisierung: Aktiviert (`anonymize_ip: true`)
DPA: business.safety.google/adsprocessorterms
Aktivität: Nur nach Consent (siehe 3.2.B)

8.5 unpkg.com (web-vitals Library-CDN)

Sitz: USA
Drittland-Transfer: USA, Art. 49 Abs. 1 lit. a DSGVO (Einwilligung über Consent-Gate)
Aktivität: Nur nach Consent (siehe 3.2.B)
Migration geplant: Wir prüfen die Selbst-Hosting-Option für die web-vitals-Library, um Drittland-Transfer zu eliminieren.

9. Deine Rechte als Betroffene:r (Art. 15 ff. DSGVO)

Du hast jederzeit das Recht:

Auskunft über die zu deiner Person gespeicherten Daten zu erhalten (Art. 15)
Berichtigung unrichtiger Daten zu verlangen (Art. 16)
Löschung deiner Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17)
Die Einschränkung der Verarbeitung zu verlangen (Art. 18)
Daten-Portabilität, deine Daten in maschinenlesbarem Format zu erhalten (Art. 20)
Widerspruch gegen die Verarbeitung zur Direkt-Werbung einzulegen (Art. 21)
Deine Einwilligung mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen (Art. 77), zuständig ist deine Landes-Datenschutzbehörde

Kontakt für Betroffenenrechte: service@atopicv.com, wir bearbeiten Anfragen innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).

10. SSL-Verschlüsselung

Diese Website nutzt aus Gründen der Sicherheit + zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du daran, dass die Adresszeile des Browsers `https://` zeigt.

11. Aktualität dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand vom 2026-06-22. Wir behalten uns vor, sie an geänderte rechtliche Rahmenbedingungen anzupassen. Die jeweils aktuelle Version ist stets unter `atopicv.com/policies/privacy-policy` einsehbar.

Owner-To-Do vor Veröffentlichung

[ ] Adress-Block (Abschnitt 1) ausfüllen mit echter Rechtsform, Anschrift, HRB-Nr., USt-IdNr.
[ ] Verantwortlicher-Name mit vollständigem rechtlichem Namen ergänzen
[ ] Telefon-Nummer ergänzen (Pflicht §5 TMG für Impressum-Verweis)
[ ] Zahlungsdienstleister-Liste auf tatsächlich aktive Methoden in Shopify Payments reduzieren
[ ] Anwalt-Review empfohlen (besonders Abschnitt 8, SCC + EU-US-DPF Zitierung)
[ ] Upload-Path: als Shopify-Page `/pages/datenschutzerklaerung` ODER als Policy `/policies/privacy-policy` veröffentlichen
[ ] Footer-Verlinkung: Im Footer der Website unter "Rechtliches" anzeigen (bereits in theme.liquid + footer-group vorgesehen)