Datenschutzerklärung

1. Verantwortlicher

Verantwortliche für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Tamara Krapp (MAK-ART), Hauptstr. 26, 51465 Bergisch Gladbach, Deutschland — E-Mail: shop@mak-art.shop

Eine Datenschutzbeauftragte ist gesetzlich nicht zu benennen, da die Voraussetzungen des § 38 BDSG nicht vorliegen. Für alle Fragen zum Datenschutz erreichst du uns unmittelbar unter den oben genannten Kontaktdaten.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, unserer Inhalte und Leistungen sowie zur Abwicklung deiner Bestellung erforderlich ist. Personenbezogene Daten sind alle Informationen, die sich auf dich als identifizierte oder identifizierbare Person beziehen.

Jede Verarbeitung stützt sich auf eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, etwa für Sitzungsaufzeichnungen oder die Benachrichtigung bei Wiederverfügbarkeit.
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen, etwa Bestellung, Zahlung und Versand.
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Pflichten, etwa steuerlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO — unsere berechtigten Interessen, etwa Sicherheit, Missbrauchsabwehr und die statistische Auswertung der Websitenutzung.

3. Hosting und Server-Logfiles

Diese Website und das dahinterliegende Shopsystem betreiben wir auf einem von uns angemieteten Server der active 1 GmbH, Kritenbarg 66, 22391 Hamburg, Deutschland. Der Server steht in einem Rechenzentrum in Frankfurt am Main, Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Aufruf erfasst der Server automatisch Daten, die dein Browser übermittelt:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• übertragene Datenmenge
• Meldung über den Erfolg des Abrufs
• verwendeter Browser samt Version und Betriebssystem

Diese Daten sind technisch erforderlich, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Logfiles nur so lange, wie es für diese Zwecke erforderlich ist.

4. Auslieferung über Cloudflare

Wir nutzen das Content Delivery Network von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, in der Europäischen Union vertreten durch Cloudflare Germany GmbH, c/o Design Offices München Atlas, Rosenheimer Straße 143C, 81671 München. Der Aufruf unserer Seiten läuft dadurch über Cloudflare-Server, die Inhalte zwischenspeichern und Angriffe abwehren. Produktbilder, von dir hochgeladene Bilddateien und unsere Rechnungs-PDFs speichern wir zusätzlich im Cloudflare-Objektspeicher R2.

Zum Schutz unseres Kontaktformulars, unserer Widerrufsfunktion und des Bezugs kostenloser Downloads (der „Gratis herunterladen“-Button auf der Produktseite) vor automatisierten Eingaben setzen wir außerdem Cloudflare Turnstile ein. Turnstile wertet technische Merkmale deines Browsers und deine IP-Adresse aus, um zwischen Mensch und Maschine zu unterscheiden; ein Klick- oder Bilderrätsel ist dafür in aller Regel nicht nötig.

Dabei kann deine IP-Adresse verarbeitet und in die USA übermittelt werden. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, stabilen und schnellen Auslieferung unserer Inhalte (Art. 6 Abs. 1 lit. f DSGVO).

5. Bestellung und Vertragsabwicklung

Wenn du bei uns bestellst, verarbeiten wir die für den Vertrag erforderlichen Daten:

• Vor- und Nachname
• Rechnungs- und Lieferanschrift
• E-Mail-Adresse
• Zahlungsdaten sowie Bestell- und Zahlungsverlauf
• bei personalisierten Produkten deine Personalisierungsangaben und gegebenenfalls hochgeladene Bilddateien

Personalisierungsangaben und hochgeladene Bilder verwenden wir ausschließlich zur Anfertigung deines Produkts. Sie werden nicht veröffentlicht und nicht für Werbung genutzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir speichern diese Daten für die Dauer der gesetzlichen Aufbewahrungs- und Gewährleistungsfristen und löschen sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

6. Zahlungsabwicklung

Zahlungen wickeln wir über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Je nach gewählter Zahlungsart werden Name, Rechnungsanschrift, E-Mail-Adresse, Bestellsumme und Zahlungsdaten an Stripe übermittelt. Wählst du PayPal, ist zusätzlich die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, eigenständig verantwortlich; bei Amazon Pay die Amazon Payments Europe S.C.A., 38 avenue J.F. Kennedy, L-1855 Luxembourg. Nutzt du Link, den Bezahldienst von Stripe zum Speichern deiner Zahlungsdaten, gelten dafür ergänzend die Datenschutzhinweise von Stripe.

Deine vollständigen Karten- oder Kontodaten erhalten wir zu keinem Zeitpunkt — du gibst sie direkt bei Stripe ein, wo sie auch verarbeitet werden. Wir erfahren lediglich, ob eine Zahlung erfolgreich war.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe sowie, je nach gewählter Zahlungsart, PayPal und Amazon Pay verarbeiten einen Teil der Daten zugleich eigenverantwortlich, etwa zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten; Einzelheiten dazu findest du in deren Datenschutzerklärungen. Dabei ist eine Übermittlung an die Stripe, Inc. in den USA möglich; die Stripe, Inc. ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert, sodass sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO stützt.

7. Betrugsprävention

Zum Schutz vor Betrugsmissbrauch und Zahlungsausfällen setzen wir technische Maßnahmen ein, um verdächtige Transaktionen zu erkennen und abzuwehren.

Zweck dieser Verarbeitung ist die Abwehr von Betrug und Zahlungsmissbrauch sowie der Schutz unserer berechtigten wirtschaftlichen Interessen.

• E-Mail-Adresse
• eine von Stripe gebildete Kennung des Zahlungsmittels (Fingerprint), die keine Kartennummer enthält, dieselbe Karte aber wiedererkennt

Rechtsgrundlage ist unser berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO.

Diese Daten speichern wir für einen Zeitraum von maximal zwei Jahren nach dem auslösenden Zahlungsvorfall. Frühere Löschung erfolgt, wenn der Sicherheitszweck entfällt. Unterlagen zu einer Zahlungsrückbuchung (Bestellbezug, E-Mail-Adresse, Kennung des Zahlungsmittels) bewahren wir wie die zugehörigen Bestelldaten auf und löschen sie danach.

Zur Ausübung deiner Rechte auf Auskunft und Löschung dieser Daten genügt eine formlose Nachricht an shop@mak-art.shop

8. Versand

Zur Zustellung deiner Bestellung geben wir deinen Namen und deine Lieferanschrift an den beauftragten Versanddienstleister weiter. Wir versenden derzeit mit der Deutschen Post AG (Charles-de-Gaulle-Straße 20, 53113 Bonn, Warensendung) sowie, je nach Sendung, mit DHL (DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn) und/oder Hermes (Hermes Germany GmbH, Essener Straße 89, 22419 Hamburg).

Deine E-Mail-Adresse geben wir dabei nicht weiter. Die Versandbestätigung mit Sendungsnummer versenden wir selbst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Digitale Produkte

Kaufst du ein digitales Produkt (Download-Datei) oder registrierst du dich für einen kostenlosen Download, verarbeiten wir die für die Bereitstellung und den Missbrauchsschutz erforderlichen Daten:

• E-Mail-Adresse
• Land laut Rechnungs- bzw. Lieferadresse (für die umsatzsteuerliche Bestimmung des Leistungsorts)
• Bestellbezug bzw. dein Kundenkonto
• Zeitpunkt der Freischaltung sowie des letzten Downloads, außerdem ein Download-Zähler zur Missbrauchsbegrenzung

Diese Daten dienen der Bereitstellung des Downloads, dem Schutz vor missbräuchlicher Mehrfachnutzung — etwa durch einen zeitlich befristeten Zugriffslink und eine Begrenzung der Downloads pro Zeitraum — sowie als steuerlicher Nachweis für die umsatzsteuerliche Behandlung digitaler Inhalte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des gekauften oder registrierten Inhalts sowie Art. 6 Abs. 1 lit. f DSGVO für den Missbrauchsschutz.

Die Downloadberechtigung ist auf 24 Monate ab Freischaltung befristet und läuft danach automatisch ab. Steuerlich relevante Daten wie Land und Betrag bewahren wir wie Rechnungsdaten für die gesetzliche Frist von zehn Jahren auf (§ 147 AO, § 257 HGB).

Den Bezug eines kostenlosen Downloads schützen wir zusätzlich mit Cloudflare Turnstile — Einzelheiten dazu findest du im Abschnitt zur Auslieferung über Cloudflare.

10. Rechnungen

Zu jeder Bestellung erstellen wir automatisch eine Rechnung im PDF-Format. Sie enthält deinen Namen, ggf. deine Firma, deine Rechnungsanschrift, die bestellten Artikel und den Rechnungsbetrag.

Die Rechnungs-PDFs speichern wir in einem nicht öffentlich zugänglichen Bereich unseres Objektspeichers. Der Zugriff erfolgt ausschließlich über zeitlich befristete, signierte Links.

Rechnungen unterliegen der gesetzlichen Aufbewahrungspflicht von zehn Jahren (§ 147 AO, § 257 HGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Ein Löschverlangen kann sich auf diese Daten daher erst nach Ablauf dieser Frist erstrecken.

11. E-Mail-Versand über Resend

Transaktions-E-Mails — Bestellbestätigung, Versandbenachrichtigung, Rechnung, Bewertungseinladung, Benachrichtigung bei Wiederverfügbarkeit, Warenkorb-Erinnerung, Newsletter, Bestätigungen zu Widerrufserklärungen sowie Antworten auf Kontaktanfragen — versenden wir über Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.

Dabei werden deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht in die USA übermittelt. Resend ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Ergänzend haben wir Standardvertragsklauseln vereinbart.

Unser E-Mail-Postfach shop@mak-art.shop wird bei ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland betrieben; mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene Nachrichten und Art. 6 Abs. 1 lit. f DSGVO für die Beantwortung deiner Anfragen.

12. Kundenkonto

Du kannst ein Kundenkonto anlegen. Wir speichern dann deine E-Mail-Adresse, ein verschlüsselt hinterlegtes Passwort, deine Namens- und Adressangaben sowie deine Bestellhistorie, damit du Bestellungen einsehen und Adressen wiederverwenden kannst.

Ein Kundenkonto ist freiwillig — du kannst bei uns ebenso als Gast bestellen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst dein Konto jederzeit löschen lassen. Bestell- und Rechnungsdaten bleiben davon unberührt, soweit gesetzliche Aufbewahrungsfristen bestehen.

13. Anmeldung mit Google

Alternativ kannst du dich mit deinem Google-Konto anmelden. Die Nutzung ist freiwillig; eine gleichwertige Registrierung per E-Mail und Passwort steht dir offen.

Wählst du diese Option, wirst du zu Google weitergeleitet und meldest dich dort an. Wir erhalten von Google deine E-Mail-Adresse, deinen Namen und eine Kennung deines Google-Kontos — nicht jedoch dein Passwort.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung in die USA an Google LLC ist dabei möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist deine Einwilligung, die du mit der Wahl dieser Anmeldeart erteilst (Art. 6 Abs. 1 lit. a DSGVO), sowie Art. 6 Abs. 1 lit. b DSGVO für die anschließende Führung deines Kundenkontos.

14. Wunschliste

Ohne Anmeldung speichern wir deine Wunschliste ausschließlich lokal in deinem Browser (localStorage). Diese Daten verlassen dein Gerät nicht und sind für uns nicht einsehbar.

Meldest du dich an, übernehmen wir eine zuvor lokal gespeicherte Wunschliste in dein Kundenkonto, damit sie auf allen deinen Geräten verfügbar ist. Sie liegt dann mit deinem Konto verknüpft auf unserem Server. Teilst du deine Wunschliste, kann jede Person mit dem Link die darauf gemerkten Produkte sehen, nicht aber deinen Namen oder deine E-Mail-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser und dein Interesse an einer komfortablen Merkfunktion. Du kannst Einträge jederzeit entfernen.

15. Produktbewertungen

Einige Zeit nach dem Versand laden wir dich per E-Mail ein, das gekaufte Produkt zu bewerten. Der Link enthält ein signiertes, zeitlich befristetes Token. Dadurch stellen wir sicher, dass nur tatsächliche Käufer:innen bewerten können — erfundene Bewertungen sind so ausgeschlossen.

Veröffentlicht werden die Bewertung selbst, die Sternezahl, das Datum und der von dir angegebene Name; hier kannst du auch ein Pseudonym verwenden. Deine E-Mail-Adresse wird nicht veröffentlicht. Jede Bewertung prüfen wir vor der Veröffentlichung.

Optional kannst du Fotos zu deiner Bewertung hochladen. Fotos abgelehnter Bewertungen löschen wir automatisiert. Hochgeladene Bilder, zu denen keine Bewertung abgeschickt wurde, löschen wir spätestens nach sieben Tagen.

Rechtsgrundlage für den Versand der Einladung ist Art. 6 Abs. 1 lit. f DSGVO, für die Veröffentlichung deine Einwilligung, die du mit dem Absenden der Bewertung erteilst (Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Löschung deiner Bewertung jederzeit verlangen.

Die Einladung zur Bewertung schicken wir dir als Kundin bzw. Kunde ohne gesonderte Einwilligung auf Grundlage von § 7 Abs. 3 UWG und Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, echte Rückmeldungen zu gekauften Produkten zu erhalten. Du kannst der Verwendung deiner E-Mail-Adresse für Bewertungsanfragen jederzeit widersprechen, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen – über den Link „Keine Bewertungsanfragen mehr“ in jeder Bewertungsanfrage, per Antwort auf die Anfrage oder formlos an uns. Deine Adresse speichern wir dann dauerhaft auf einer Sperrliste, damit der Widerspruch auch bei späteren Bestellungen beachtet wird.

16. Benachrichtigung bei Wiederverfügbarkeit

Ist ein Artikel vergriffen, kannst du dich per E-Mail benachrichtigen lassen, sobald er wieder vorrätig ist.

Wir verwenden dafür ein Double-Opt-in-Verfahren: Nach deiner Anmeldung erhältst du eine Bestätigungsmail; erst mit deiner Bestätigung wird die Anmeldung wirksam.

Nicht bestätigte Anmeldungen löschen wir nach sieben Tagen. Bestätigte Anmeldungen löschen wir unmittelbar nach dem Versand der Benachrichtigung, spätestens jedoch sechs Monate nach der Anmeldung.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.

17. Erinnerung an deinen Warenkorb

Verlässt du deinen Warenkorb, ohne die Bestellung abzuschließen, senden wir dir genau einmal nach 24 Stunden eine Erinnerung.

Das geschieht nur, wenn du dem zuvor ausdrücklich zugestimmt hast. Die Erinnerung enthält keinen Rabatt, keine Frist und keinen Countdown — sie soll dich nicht unter Druck setzen, sondern lediglich an einen möglicherweise vergessenen Warenkorb erinnern.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.

18. Newsletter

Für unseren Newsletter nutzen wir das Double-Opt-in-Verfahren: Nach deiner Anmeldung erhältst du eine E-Mail mit einem Bestätigungslink. Erst wenn du diesen anklickst, ist deine Anmeldung aktiv.

Als Nachweis der Einwilligung speichern wir deine E-Mail-Adresse, den Zeitpunkt der Anmeldung und Bestätigung sowie die dabei verwendete IP-Adresse. Nicht bestätigte Anmeldungen löschen wir nach sieben Tagen, alle übrigen spätestens sechs Monate nach der Anmeldung.

Nach deiner Bestätigung erhältst du einmalig einen Willkommens-Rabattcode; dafür speichern wir den Code zusammen mit deiner Anmeldung.

Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

Du kannst deine Einwilligung jederzeit über den Abmeldelink in jeder Newsletter-E-Mail widerrufen; dabei löschen wir deine Anmeldung samt Einwilligungsnachweis. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Für den Versand nutzen wir Resend (siehe Abschnitt E-Mail-Versand). Eine Weitergabe an weitere Dritte findet nicht statt.

19. Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse und den Inhalt deiner Nachricht, um die Anfrage zu beantworten. Deine Nachricht leiten wir über Resend (siehe Abschnitt E-Mail-Versand über Resend) an unser E-Mail-Postfach weiter.

Zum Schutz vor automatisierten Eingaben setzen wir ein für dich unsichtbares Formularfeld (Honeypot) sowie Cloudflare Turnstile ein; Einzelheiten dazu findest du im Abschnitt zu Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage der Anbahnung oder Abwicklung eines Vertrags dient, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine Aufbewahrungspflichten entgegenstehen.

20. Widerrufsfunktion

Erklärst du einen Widerruf über unsere Widerrufsfunktion, verarbeiten wir Bestellnummer, E-Mail-Adresse, die betroffenen Positionen und den Zeitpunkt des Eingangs, um den Widerruf zu bearbeiten und dir den Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB). Zusätzlich speichern wir die IP-Adresse, von der aus du den Widerruf erklärst, zusammen mit dem Zeitpunkt der Erklärung, um den fristgerechten Zugang nachweisen und Missbrauch der Funktion abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist dieser Nachweis). Wir speichern diese Angaben für die Dauer der gesetzlichen Aufbewahrungspflichten. Das Formular ist außerdem durch Cloudflare Turnstile geschützt; Einzelheiten dazu findest du im Abschnitt zu Cloudflare.

21. Produktsuche

Für die Produktsuche nutzen wir die Suchsoftware MeiliSearch. Deine Suchbegriffe werden verarbeitet, um dir passende Treffer anzuzeigen.

MeiliSearch betreiben wir selbst auf unserem Server in Deutschland; Suchanfragen werden nicht an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

22. Reichweitenmessung mit Umami

Wir nutzen die Analysesoftware Umami in einer selbst betriebenen Installation. Sie läuft auf einem Server der active 1 GmbH, Kritenbarg 66, 22391 Hamburg, in einem Rechenzentrum in Frankfurt am Main, Deutschland; mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Übertragung an unseren Analyse-Server läuft über Cloudflare (siehe Abschnitt Auslieferung über Cloudflare). Umami arbeitet ohne Cookies, ohne geräteübergreifende Wiedererkennung und ohne Profilbildung über Websites hinweg. IP-Adressen werden nicht gespeichert.

Erfasst werden die aufgerufene Seite (Adresse und Seitentitel), die verweisende Seite ohne deren Parameter, Kampagnenkennzeichen aus dem Link (utm_source, utm_medium, utm_campaign, utm_term, utm_content), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Browsersprache, die ungefähre Herkunftsregion sowie technische Ladezeit-Messwerte der Seite (Web Vitals: LCP, INP, CLS, FCP, TTFB). Alle anderen Parameter in der Adresse entfernen wir vor dem Senden. Dazu kommen Interaktionsereignisse — etwa Klicks auf Schaltflächen und Links, Suchbegriffe sowie Warenkorb- und Bestellvorgänge; beim Bestellabschluss nur Bestellsumme und Währung.

Rechtsgrundlage ist unser berechtigtes Interesse an einer statistischen Auswertung zur Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Umami speichert keine Informationen auf deinem Endgerät und setzt keine Cookies; ausgelesen werden nur technische Angaben, die für die Darstellung der Seite ohnehin anfallen (z. B. Bildschirmgröße, Sprache, Ladezeiten). Eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich: Der Umami-Tracker liest im lokalen Speicher deines Browsers lediglich den Eintrag umami.disabled aus, um einen von dir selbst gesetzten Widerspruch gegen die Messung zu beachten. Dieser Zugriff ist unbedingt erforderlich, um diesen von dir ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

23. Sitzungsaufzeichnung und Heatmaps (nur mit Einwilligung)

Hast du der Sitzungsaufzeichnung zugestimmt (im Cookie-Banner über „Alle akzeptieren“ oder in den Cookie-Einstellungen), zeichnet Umami zusätzlich deine Sitzung auf: die aufgerufenen Adressen, Mausbewegungen, Klicks, Scrollverhalten und Seitenwechsel. Daraus erstellen wir Heatmaps, um Schwachstellen im Shop zu erkennen.

Eingaben in Formularfelder werden maskiert und nicht aufgezeichnet. Bereiche mit persönlichen Angaben — etwa in Kasse, Kundenkonto, Bestellbestätigung, Downloads und Bewertungsformular — blenden wir in der Aufzeichnung vollständig aus. Zugangsschlüssel aus Links in unseren E-Mails entfernen wir aus der Adresse, bevor die Aufzeichnung beginnt. Die Daten werden bei der active 1 GmbH, Hamburg, in unserem Auftrag verarbeitet; die Übertragung dorthin läuft wie alle Seitenaufrufe über Cloudflare (siehe Abschnitt Auslieferung über Cloudflare). Eine Weitergabe an weitere Dritte findet nicht statt.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Öffne im Footer „Cookie-Einstellungen“ und deaktiviere „Sitzungsaufzeichnung & Heatmaps“. Die Seite wird neu geladen und die Aufzeichnung stoppt sofort.

24. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies sowie lokale Speicher deines Browsers:

• Warenkorb-Kennung (cart_id, 1 Jahr) — damit dein Warenkorb beim Seitenwechsel erhalten bleibt.
• Anmeldung im Kundenkonto (lokaler Speicher deines Browsers, medusa_auth_token, bis zur Abmeldung) — damit du in deinem Kundenkonto angemeldet bleibst.
• Cookie-Entscheidung (cookie_consent_v3, 6 Monate) — damit wir dich nicht bei jedem Besuch erneut fragen.
• Bot-Abwehr (__cf_bm) — setzt unser CDN Cloudflare, 30 Minuten.
• Cookies von Stripe im Bezahlvorgang — zur Abwicklung der Zahlung und zur Betrugsprävention.
• Download-Zugang (Sitzungsspeicher deines Browsers, mak-art:downloads-token, bis du den Tab schließt) — damit deine Downloads nach dem Neuladen erreichbar bleiben, ohne dass der Zugangslink in der Adresszeile steht.
• Hinweise (lokaler Speicher bzw. Sitzungsspeicher: newsletter-subscribed, newsletter-shown, mak-art:language-hint-dismissed) — damit wir dir den Newsletter- und den Sprachhinweis nicht erneut anzeigen.

Deine Wunschliste speichern wir ohne Anmeldung im localStorage deines Browsers. Unsere Reichweitenmessung setzt keine Cookies.

Für technisch notwendige Cookies ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich. Alles darüber hinaus — namentlich die Sitzungsaufzeichnung — erfolgt nur mit deiner Einwilligung. Du kannst einzelne Kategorien granular an- und abwählen und deine Entscheidung jederzeit ändern:

Cookie-Einstellungen öffnen

25. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen:

• Bestell- und Rechnungsdaten: zehn Jahre (§ 147 AO, § 257 HGB).
• Kundenkonto: bis zu dessen Löschung durch dich.
• Hochgeladene Bilddateien für personalisierte Produkte: für die Dauer der gesetzlichen Aufbewahrungs- und Gewährleistungsfristen, danach werden sie gelöscht. Bilder, zu denen keine Bestellung zustande kommt, löschen wir nach sieben Tagen.
• Anmeldungen zur Wiederverfügbarkeit: sieben Tage, wenn unbestätigt; sonst bis zum Versand der Benachrichtigung, längstens sechs Monate.
• Downloadberechtigungen für digitale Produkte: 24 Monate ab Freischaltung, danach läuft der Zugriffslink automatisch ab.
• Newsletter-Anmeldungen: sieben Tage, wenn unbestätigt; bestätigte Anmeldungen samt Einwilligungsnachweis höchstens sechs Monate ab Anmeldung oder bis zu deinem früheren Widerruf.
• Kontaktanfragen: bis zur abschließenden Bearbeitung, sofern keine Aufbewahrungspflicht besteht.
• Statistikdaten der Reichweitenmessung: 24 Monate, danach werden die Rohdaten gelöscht.
• Sitzungsaufzeichnungen und Heatmap-Daten: 30 Tage.

26. Deine Rechte

Als betroffene Person stehen dir folgende Rechte zu:

• Auskunft über die zu dir gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenn du ein Kundenkonto hast, kannst du Auskunft, Datenübertragbarkeit und Kontolöschung zusätzlich selbst unter „Meine Daten“ beziehungsweise „Konto löschen“ ausführen. Alternativ und für Bestellungen ohne Konto genügt zur Ausübung deiner Rechte weiterhin eine formlose Nachricht an shop@mak-art.shop

27. Widerspruchsrecht

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten Widerspruch einzulegen, die auf Grundlage unserer berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO erfolgt. Legst du Widerspruch ein, verarbeiten wir deine Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 21 DSGVO).

28. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf

29. Keine automatisierte Entscheidungsfindung

Wir nutzen keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO. Insbesondere findet keine automatisierte Bonitätsprüfung statt, und es gibt keine personalisierte Preisgestaltung — alle Besucher:innen sehen dieselben Preise.

30. Datensicherheit

Diese Website nutzt durchgehend eine TLS-Verschlüsselung. Du erkennst sie am „https://“ in der Adresszeile deines Browsers. Übermittelte Daten können dadurch von Dritten nicht mitgelesen werden.

Schriftarten binden wir ausschließlich von unserem eigenen Server ein. Eine Verbindung zu Google Fonts oder einem anderen externen Schriften-Dienst findet nicht statt.

31. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Rechtslage oder unser Angebot ändert — etwa wenn neue Funktionen hinzukommen. Für deinen erneuten Besuch gilt jeweils die aktuelle Fassung.