Datenschutzerklärung
Stand: August 2026
1. Verantwortliche Stelle
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Ersan Kasikcioglu
Merchkartell
Rosenstraße 20
97318 Kitzingen
Deutschland
E-Mail: kontakt@merch-kartell.de
2. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.
Wir halten uns an die Grundsätze der Datenminimierung und Datenvermeidung. Wir erheben nur die Daten, die für den jeweiligen Zweck erforderlich sind.
3. Rechtsgrundlagen der Verarbeitung
Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.
Bei der Verarbeitung personenbezogener Daten, die zur Erfüllung eines Vertrages erforderlich ist (z.B. Bestellungen, Kundenkonto), dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für vorvertragliche Maßnahmen.
Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (z.B. steuerliche Aufbewahrungspflichten), dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.
Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten des Betroffenen das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage.
4. Erfassung allgemeiner Daten (Server-Logfiles)
Beim Besuch unserer Website erfasst unser Hosting-Provider automatisch folgende Daten (Server-Logfiles):
- IP-Adresse des anfragenden Rechners
- Datum und Uhrzeit des Zugriffs
- Name und URL der abgerufenen Datei
- Übertragene Datenmenge
- Meldung über erfolgreichen Abruf
- Referrer-URL
- Verwendeter Browser und Betriebssystem
Diese Daten werden zur Sicherstellung eines störungsfreien Betriebs und zur Verbesserung unseres Angebots verarbeitet. Eine Zusammenführung mit anderen Datenquellen wird nicht vorgenommen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Webauftritts).
Speicherdauer: Die Logfiles werden nach maximal 7 Tagen gelöscht.
5. Kundenkonto
a) Umfang der Datenverarbeitung
Bei der Registrierung eines Kundenkontos erheben wir folgende Daten:
- Vor- und Nachname
- E-Mail-Adresse
- Passwort (verschlüsselt gespeichert mittels bcrypt-Hashing)
- Registrierungsdatum
- Kunden-ID
b) Zweck der Datenverarbeitung
Die Erhebung dieser Daten dient zur Bereitstellung eines persönlichen Kundenkontos, zur Abwicklung von Bestellungen, zur Zuordnung von Bestellhistorien und zur Kommunikation bezüglich Bestellungen und Kontoverwaltung.
c) Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Einrichtung eines Kundenkontos ist freiwillig und dient der bequemeren Nutzung unseres Shops.
d) E-Mail-Bestätigung (Double Opt-In)
Nach der Registrierung senden wir eine Bestätigungs-E-Mail an die angegebene E-Mail-Adresse. Erst nach Bestätigung wird das Konto aktiviert. Dies dient dem Schutz vor Missbrauch und stellt sicher, dass der Inhaber der E-Mail-Adresse die Registrierung selbst vorgenommen hat.
e) Passwort-Sicherheit
Passwörter werden niemals im Klartext gespeichert. Wir verwenden das bcrypt-Verfahren mit einem Kostenfaktor von 12, um Passwörter zu hashen. Eine Entschlüsselung des Passworts ist damit nicht möglich.
f) Speicherdauer und Löschung
Die Kundenkonto-Daten werden gespeichert, solange das Konto aktiv ist. Du kannst dein Konto jederzeit über die Funktion "Konto löschen" in deinem Kundenbereich löschen. Bei Löschung werden deine persönlichen Daten unverzüglich anonymisiert. Bestellbezogene Daten werden gemäß den gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) für maximal 10 Jahre aufbewahrt.
g) Datenexport (Datenportabilität)
Gemäß Art. 20 DSGVO kannst du deine gespeicherten Daten jederzeit über die Funktion "Meine Daten exportieren" in deinem Kundenbereich als maschinenlesbares JSON-Format herunterladen.
6. Bestelldaten
Bei einer Bestellung erfassen wir folgende personenbezogene Daten:
- Vorname und Nachname
- E-Mail-Adresse
- Telefonnummer (optional)
- Postanschrift (Straße, Hausnummer, PLZ, Stadt)
- Firmenname (optional)
- Informationen zu bestellten Produkten
- Zahlungsinformationen (ohne Speicherung von Kreditkartendaten)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: 10 Jahre gemäß steuerlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB).
Bewertungsanfrage per E-Mail
Nachdem Ihre Bestellung abgeschlossen ist, senden wir Ihnen einmalig eine E-Mail mit der Bitte, uns auf Google zu bewerten. Dafür verwenden wir Ihre E-Mail-Adresse, Ihren Namen und Ihre Bestellnummer aus der Bestellung. Die Bewertung selbst geben Sie freiwillig direkt bei Google ab; dabei gelten die Datenschutzbestimmungen von Google. Für den Versand nutzen wir unseren E-Mail-Dienstleister Resend (siehe Abschnitt 11).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Qualität unserer Leistungen zu verbessern und Bewertungen unserer Kundinnen und Kunden zu erhalten. Wir weisen bei der Bestellung gemäß § 7 Abs. 3 UWG auf diese Nutzung Ihrer E-Mail-Adresse hin.
Widerspruch: Sie können der Nutzung Ihrer E-Mail-Adresse für Bewertungsanfragen jederzeit widersprechen, über den Abmeldelink in der E-Mail oder per Mail an kontakt@merch-kartell.de, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch speichern wir Ihre E-Mail-Adresse nur noch als nicht umkehrbare Prüfsumme (Hash), damit wir Sie nicht erneut anschreiben.
7. Kontaktaufnahme
Falls Sie uns per E-Mail oder Kontaktformular kontaktieren, speichern wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht zur Bearbeitung Ihrer Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
Speicherdauer: Die Daten werden gelöscht, sobald das Anliegen abschließend bearbeitet ist, maximal nach 2 Jahren.
8. Cookies und Einwilligungsverwaltung
Unsere Website verwendet Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Einige Cookies sind technisch notwendig, andere dienen der Analyse und dem Marketing.
Cookie-Consent-Banner
Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Consent-Banner angezeigt, über das Sie granular auswählen können, welche Cookie-Kategorien Sie akzeptieren möchten. Sie können Ihre Auswahl jederzeit über den Link "Cookie-Einstellungen" im Footer der Website ändern oder widerrufen. Die Buttons "Alle akzeptieren" und "Ablehnen" sind gleichwertig dargestellt, wie es die DSGVO verlangt.
Ihre Einwilligung wird im Cookie cookie_consent gespeichert (Speicherdauer: 1 Jahr). Dieses Cookie speichert ausschließlich Ihre Einwilligungsentscheidung (welche Kategorien Sie akzeptiert oder abgelehnt haben) und den Zeitpunkt der Entscheidung.
Cookie-Kategorien
Notwendig (immer aktiv)
Diese Cookies sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden:
- site_authenticated — Zugangsschutz der Website (30 Tage)
- customer_session — Kundenkonto-Sitzung (30 Tage)
- admin_authenticated — Admin-Zugang (7 Tage)
- cookie_consent — Speicherung Ihrer Cookie-Einstellungen (1 Jahr)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website). Gemäß § 25 Abs. 2 TDDDG ist für technisch notwendige Cookies keine Einwilligung erforderlich.
Analyse & Statistiken (einwilligungspflichtig)
Diese Cookies werden nur gesetzt, wenn Sie im Cookie-Banner der Kategorie "Analyse & Statistiken" zustimmen. Sie ermöglichen die Erfassung anonymisierter Nutzungsdaten über Google Analytics (siehe Abschnitt 9).
Marketing (einwilligungspflichtig)
Diese Cookies werden nur gesetzt, wenn Sie im Cookie-Banner der Kategorie "Marketing" zustimmen. Sie ermöglichen personalisierte Werbung und Remarketing.
Personalisierung (einwilligungspflichtig)
Diese Cookies werden nur gesetzt, wenn Sie im Cookie-Banner der Kategorie "Personalisierung" zustimmen. Sie ermöglichen personalisierte Inhalte und Empfehlungen.
Sie können die Verwendung von Cookies in den Einstellungen Ihres Browsers einschränken oder deaktivieren. Bereits gespeicherte Cookies können jederzeit gelöscht werden.
9. Google Tag Manager und Webanalyse
a) Google Tag Manager
Wir verwenden den Google Tag Manager (GTM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ("Google"). Der Google Tag Manager ist ein technisches Hilfsmittel, das es uns ermöglicht, Tracking- und Analyse-Tags auf unserer Website zentral zu verwalten. Der GTM selbst erstellt keine Nutzerprofile, speichert keine Cookies und führt keine eigenständige Analyse durch. Er dient lediglich der Verwaltung und Ausspielung der über ihn eingebundenen Tools.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Verwaltung von Website-Tags).
b) Google Consent Mode v2
Wir setzen den Google Consent Mode v2 ein. Damit wird sichergestellt, dass Google-Dienste (wie Google Analytics) erst dann personenbezogene Daten verarbeiten, wenn Sie über unser Cookie-Banner Ihre ausdrückliche Einwilligung erteilt haben. Ohne Ihre Einwilligung werden sämtliche Consent-Signale standardmäßig auf "denied" (abgelehnt) gesetzt. Das betrifft:
- ad_storage — Werbe-Cookies
- ad_user_data — Nutzerdaten für Werbezwecke
- ad_personalization — Personalisierte Werbung
- analytics_storage — Analyse-Cookies
- personalization_storage — Personalisierungs-Cookies
Zusätzlich ist die Funktion "ads_data_redaction" aktiviert, um bei fehlendem Consent die Weitergabe von Werbedaten an Google zu unterdrücken. Die Funktion "url_passthrough" ist aktiviert, um bei fehlendem Werbe-Consent die Zuordnung von Klick-Informationen über URL-Parameter (anstelle von Cookies) zu ermöglichen.
c) Google Analytics
Über den Google Tag Manager können Analyse-Tools wie Google Analytics eingebunden werden. Google Analytics verwendet Cookies, die eine Analyse der Benutzung der Website ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung der Website werden in der Regel an einen Server von Google in der EU (Region 1) übertragen und dort gespeichert.
Google Analytics wird ausschließlich aktiviert, wenn Sie über unser Cookie-Banner der Kategorie "Analyse & Statistiken" zugestimmt haben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG.
Widerruf: Sie können Ihre Einwilligung jederzeit über den Link "Cookie-Einstellungen" im Footer unserer Website widerrufen.
d) Auftragsverarbeitung und Drittlandtransfer
Wir haben mit Google einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen. Google Ireland Limited übermittelt ggf. Daten an Google LLC in den USA. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, sodass ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO gewährleistet ist.
Weitere Informationen zum Datenschutz bei Google finden Sie unter: https://policies.google.com/privacy
10. Hosting
Unsere Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet.
Vercel verarbeitet die unter Punkt 4 genannten Server-Logdaten. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO mit Vercel. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert, sodass ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO gewährleistet ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren Bereitstellung der Website).
11. Weitergabe an Dritte
Stripe (Kartenzahlung und Klarna)
Zahlungen per Kredit- oder Debitkarte sowie mit Klarna wickeln wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Limited, Irland). Dabei werden die für die Zahlung nötigen Daten an Stripe übermittelt, z. B. Name, E-Mail-Adresse, Rechnungsbetrag, Bestellnummer sowie Ihre Karten- bzw. Zahlungsdaten. Kartendaten geben Sie direkt in ein Eingabefeld von Stripe ein; sie werden nicht auf unseren Servern gespeichert. Stripe verarbeitet die Daten zur Zahlungsabwicklung und zur Betrugsprävention, teilweise in eigener Verantwortung. Soweit Daten an Stripe, LLC in die USA übermittelt werden, ist dies durch die Zertifizierung nach dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO) sowie durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Zahlungsbetrug). Es gelten die Datenschutzhinweise von Stripe.
PayPal
Bei der Wahl von PayPal als Zahlungsmethode werden Ihre Daten an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg übermittelt. Es gelten die Datenschutzrichtlinien von PayPal.
Klarna
Bei der Wahl von Klarna werden Ihre Daten an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden übermittelt. Es gelten die Datenschutzrichtlinien von Klarna.
DHL (Versanddienstleister)
Ihre Lieferadresse wird an Deutsche Post DHL Group, Charles-de-Gaulle-Str. 20, 53113 Bonn, zur Zustellung Ihrer Bestellung weitergegeben.
Resend (E-Mail-Versand)
Für den Versand unserer E-Mails (z. B. Kontobestätigung, Bestellbestätigung, Rechnung, Stornierung, Passwort-Zurücksetzen und Bewertungsanfrage) nutzen wir den Dienst Resend, 2261 Market Street #5039, San Francisco, CA 94114, USA. Dabei werden Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen E-Mail verarbeitet. Resend ist für uns als Auftragsverarbeiter tätig (Art. 28 DSGVO) und speichert die Daten in den USA. Die Übermittlung ist durch die Zertifizierung von Resend nach dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO) sowie durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene E-Mails und Art. 6 Abs. 1 lit. f DSGVO für Bewertungsanfragen. Weitere Informationen: Datenschutzerklärung von Resend.
Eine Weitergabe an andere Dritte erfolgt nur, wenn dies gesetzlich erforderlich ist oder Sie ausdrücklich eingewilligt haben.
12. Datensicherheit
Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Zerstörung zu schützen:
- SSL/TLS-Verschlüsselung aller Datenübertragungen
- Verschlüsselte Speicherung von Passwörtern (bcrypt mit Kostenfaktor 12)
- Rate Limiting zum Schutz vor Brute-Force-Angriffen
- Zugriffsbeschränkung auf personenbezogene Daten
13. Ihre Rechte als betroffene Person
Ihnen stehen folgende Rechte gemäß der DSGVO zu:
- Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten. Im Kundenbereich können Sie Ihre Daten jederzeit über die Funktion "Meine Daten exportieren" abrufen.
- Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen. Im Kundenbereich können Sie Name und E-Mail jederzeit selbst ändern.
- Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Im Kundenbereich steht Ihnen die Funktion "Konto löschen" zur Verfügung, die Ihre Daten sofort anonymisiert. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Die Export-Funktion in Ihrem Kundenbereich stellt diese Daten als JSON-Datei bereit.
- Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer personenbezogenen Daten jederzeit widersprechen.
- Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine einmal erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Um Ihre Rechte geltend zu machen, kontaktieren Sie uns bitte unter den oben angegebenen Kontaktdaten oder nutzen Sie die entsprechenden Funktionen in Ihrem Kundenbereich.
14. Beschwerderecht bei einer Aufsichtsbehörde
Gemäß Art. 77 DSGVO haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten rechtswidrig erfolgt. Die für uns zuständige Aufsichtsbehörde ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de
15. Aufbewahrungsfristen
Ihre personenbezogenen Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt, es sei denn, gesetzliche Vorschriften schreiben eine längere Aufbewahrung vor:
- Kundenkonto-Daten: Bis zur Kontolöschung durch den Nutzer. Bei Löschung sofortige Anonymisierung.
- Bestelldaten / Rechnungen: 10 Jahre (§ 147 AO, § 257 HGB)
- Server-Logfiles: Maximal 7 Tage
- E-Mail-Kommunikation: Bis zur abschließenden Bearbeitung, maximal 2 Jahre
16. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.
17. Kontakt für Datenschutzfragen
Wenn Sie Fragen zum Datenschutz oder zur Verarbeitung Ihrer Daten haben, kontaktieren Sie uns: