Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und sonstiger nationaler Datenschutzgesetze ist:

Lecom Handels GmbH
vertreten durch den Geschäftsführer Richard Pasch
Ria-Burkei-Straße 20
81249 München
Deutschland

Telefon: +49 89 86379848
E-Mail: kontakt@kosmon.de
Datenschutz-Anfragen: info@kosmon.de

Handelsregister: Amtsgericht München, HRB 265283
USt-IdNr.: DE342761180

2. Datenschutzbeauftragter

Wir haben aufgrund der Art und des Umfangs der bei uns verarbeiteten Daten sowie unserer Unternehmensgröße keinen Datenschutzbeauftragten bestellt. Eine entsprechende gesetzliche Verpflichtung gemäß Art. 37 DSGVO i. V. m. § 38 BDSG besteht für uns derzeit nicht. Sämtliche Anfragen rund um den Datenschutz richten Sie bitte direkt an info@kosmon.de.

3. Allgemeine Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der Nutzerin oder des Nutzers (Art. 6 Abs. 1 lit. a DSGVO), zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) oder auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Wir speichern personenbezogene Daten nur so lange, wie dies zur Erreichung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB: 6 bzw. 10 Jahre für steuerlich relevante Unterlagen) bestehen.

Empfänger: Innerhalb unseres Unternehmens erhalten nur diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung vertraglicher und gesetzlicher Pflichten benötigen. Externe Dienstleister (insb. Hosting, Zahlungsabwicklung, Versand, Marketing) erhalten Daten ausschließlich auf Basis von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO.

Drittlandübermittlung: Soweit Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) oder auf Basis der EU-Standardvertragsklauseln (Beschluss 2021/914/EU, Art. 46 Abs. 2 lit. c DSGVO). Mehrere unserer US-Dienstleister sind zusätzlich nach dem EU-US Data Privacy Framework (Adäquanz-Beschluss der EU-Kommission vom 10. Juli 2023) zertifiziert. Details zu jedem Drittland-Transfer finden Sie bei den jeweiligen Tools weiter unten.

4. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf jederzeitigen Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte formlos an info@kosmon.de. Wir kommen Ihrer Anfrage unverzüglich, spätestens innerhalb eines Monats, nach.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig für uns ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
Internet: www.lda.bayern.de

5. Hosting und Bereitstellung der Website

Beim Aufruf unserer Website erhebt das System automatisiert Daten und Informationen vom Computersystem des aufrufenden Endgeräts (sog. Server-Logfiles). Folgende Daten werden hierbei erhoben: IP-Adresse, Datum und Uhrzeit des Zugriffs, Inhalt der Anforderung (konkret abgerufene Seite), Zugriffsstatus (HTTP-Statuscode), übertragene Datenmenge, Referrer-URL, verwendeter Browser und Betriebssystem sowie die Sprache der Browseroberfläche. Die Speicherung der Server-Logfiles erfolgt für die Dauer von maximal 14 Tagen, danach werden sie anonymisiert oder gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Gewährleistung eines stabilen, sicheren und funktionsfähigen Website-Betriebs sowie in der Abwehr von Cyberangriffen.

5.1 Cloudflare (CDN & DDoS-Schutz)

Wir nutzen das Content-Delivery-Network und den DDoS-Schutz der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare leitet sämtlichen Datenverkehr zwischen Ihrem Browser und unserer Website über das eigene Servernetzwerk, um die Auslieferung zu beschleunigen und Angriffe (z. B. DDoS, Bot-Traffic) zu blockieren. Hierbei werden insbesondere IP-Adresse, Datum und Uhrzeit der Anfrage, Browser-Typ, Referrer-URL und das angefragte Datenvolumen verarbeitet.

Drittlandübermittlung: Datenübermittlung in die USA auf Basis der EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: cloudflare.com/de-de/privacypolicy/

5.2 Shopify (Shop-Backend & Hosting)

Unser Online-Shop läuft auf der Plattform der Shopify International Limited, 2nd Floor 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irland (Mutterunternehmen: Shopify Inc., 151 O'Connor Street, Ground floor, Ottawa, ON K2P 2L8, Kanada). Shopify stellt die Infrastruktur (Webserver, Datenbank, Checkout-System) für unseren Shop bereit und verarbeitet in unserem Auftrag alle Daten, die Sie bei Bestellung und Kontoerstellung übermitteln (insb. Name, Adresse, E-Mail, Telefon, Bestellinformationen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Bereitstellung des Shops).
Drittlandübermittlung: Übermittlung nach Kanada — die EU-Kommission hat für Kanada einen Angemessenheitsbeschluss erlassen (Art. 45 DSGVO). Zusätzlich bestehen für Datenflüsse in die USA EU-Standardvertragsklauseln (SCC). Mit Shopify besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO. Datenschutzerklärung Shopify: shopify.com/legal/privacy

5.3 Lovable (Frontend-Hosting)

Die Storefront (das Frontend, das Sie sehen) wird über die Headless-Hosting-Plattform Lovable (Anthropic-Lovable Labs Limited, Dublin, Irland) bereitgestellt. Lovable verarbeitet im Auftrag und ausschließlich zur Auslieferung der Webseite Server-Logfiles. Mit Lovable besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO.

5.4 Supabase (Datenbank/Backend-Services)

Bestimmte Backend-Funktionen (z. B. Edge-Functions, Webhooks, Bestellungs-Synchronisation, Newsletter-Trigger) laufen über die Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 (EU-Region: Frankfurt/eu-central-1). Verarbeitet werden technische Metadaten (Request-IDs, Timestamps, Statuscodes) sowie — sofern für die Funktion erforderlich — Kontakt- und Bestelldaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Mit Supabase besteht ein Auftragsverarbeitungsvertrag. Datenschutzerklärung: supabase.com/privacy

6. Cookies und ähnliche Technologien

Wir setzen auf unserer Website sowohl technisch notwendige als auch einwilligungspflichtige Cookies und vergleichbare Technologien (z. B. Local Storage, Pixel, Tags) ein. Cookies sind kleine Textdateien, die beim Besuch unserer Website von Ihrem Browser auf Ihrem Endgerät gespeichert werden.

Technisch notwendige Cookies (z. B. Warenkorb, Login-Session, Consent-Speicherung, CSRF-Schutz): Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TTDSG sowie Art. 6 Abs. 1 lit. f DSGVO. Diese Cookies sind notwendig, damit der Shop funktioniert; sie werden ohne Einwilligung gesetzt.

Einwilligungspflichtige Cookies und Trackingtechnologien (z. B. Marketing, Reichweitenanalyse, Personalisierung): Setzen voraussetzen Ihre ausdrückliche Einwilligung gemäß § 25 Abs. 1 TTDSG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung holen wir über unser Cookie-Consent-Banner ein, das Ihnen beim ersten Besuch der Website angezeigt wird. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen erneut über den Link im Footer aufrufen.

Wir setzen den Google-Consent-Mode v2 ein: Bei fehlender Einwilligung werden Marketing- und Analyse-Tags zunächst im „Denied"-Status geladen und übermitteln dann lediglich anonymisierte, aggregierte Signale — keine personenbezogenen Cookies oder Identifier.

7. Marketing- und Tracking-Tools

Die folgenden Tools werden ausschließlich nach Ihrer ausdrücklichen Einwilligung über das Cookie-Banner geladen (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

7.1 Meta-Pixel und Meta Conversions API (CAPI)

Wir verwenden auf unserer Website den „Meta-Pixel" (Pixel-ID 791442913620759) sowie die serverseitige „Conversions API" der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.
Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram, Conversion-Tracking, Bildung von Custom Audiences und Lookalike Audiences, Anzeigen-Optimierung sowie Retargeting von Besucherinnen und Besuchern unserer Website.
Verarbeitete Daten/Cookies: _fbp (Lebensdauer 90 Tage), _fbc (Click-ID, Lebensdauer 90 Tage), IP-Adresse (gekürzt), User-Agent, Browser-Fingerprint, besuchte URLs, Interaktionsereignisse (z. B. PageView, ViewContent, AddToCart, InitiateCheckout, Purchase), gehashte E-Mail- und Telefonnummer (SHA-256, sofern bekannt). Die Conversions API überträgt diese Daten zusätzlich serverseitig an Meta, um auch dann Conversion-Daten zu liefern, wenn Browser-Cookies blockiert werden.
Empfänger / Drittlandübermittlung: Meta Platforms Ireland Ltd. (EU). Eine Übermittlung an das Mutterunternehmen Meta Platforms, Inc. in den USA erfolgt auf Basis der EU-Standardvertragsklauseln (SCC) und der EU-US-DPF-Zertifizierung von Meta.
Speicherdauer: 90 Tage (Pixel-Cookies), bis zu 24 Monate bei aggregierten Werbe-Reports.
Widerruf: über das Cookie-Banner oder direkt im Werbeeinstellungs-Center Ihres Meta-Kontos.
Datenschutzerklärung: facebook.com/privacy/policy/

7.2 Google Analytics 4

Wir nutzen Google Analytics 4 (Property-ID 451036004) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Zweck: Reichweitenmessung, Auswertung des Nutzerverhaltens auf unserer Website, kontinuierliche Verbesserung des Angebots, Conversion-Auswertung.
Verarbeitete Daten/Cookies: _ga (Lebensdauer 2 Jahre), _ga_* (Property-spezifisch, 2 Jahre), pseudonyme Client-ID, gekürzte IP-Adresse (IP-Anonymisierung aktiv), besuchte Seiten, Verweildauer, ungefährer Standort (Land/Region), Geräte- und Browser-Informationen, Referrer, Conversion-Events.
Empfänger / Drittlandübermittlung: Google Ireland Limited (EU); Datenfluss an Google LLC in den USA auf Grundlage der EU-Standardvertragsklauseln (SCC) sowie der EU-US-DPF-Zertifizierung von Google.
Speicherdauer: Event-Daten max. 14 Monate, Aggregat-Berichte länger.
Widerruf: Cookie-Banner oder Browser-Add-on tools.google.com/dlpage/gaoptout.
Datenschutzerklärung: policies.google.com/privacy

7.3 Google Ads (gtag.js) & Google Tag Manager

Wir verwenden Google Ads (Customer-ID 4245228013) sowie den Google Tag Manager der Google Ireland Limited zur Steuerung unserer Werbe- und Tracking-Tags.
Zweck: Conversion-Tracking unserer Google-Werbeanzeigen, dynamisches Remarketing, Messung Floodlight-/Cross-Device-Conversion, technische Auslieferung weiterer Tags.
Verarbeitete Daten/Cookies: _gcl_au (Conversion Linker, Lebensdauer 90 Tage),_gcl_aw (Klick-IDs, 90 Tage), _gac_* (Kampagnen-Daten, 90 Tage), Google Click ID (GCLID), gekürzte IP-Adresse, Browser-Daten, Conversion-Events. Der Google Tag Manager selbst setzt keine Cookies, sondern lädt nur weitere Tags; gemessen werden lediglich technische Trigger-Daten.
Empfänger / Drittlandübermittlung: Google Ireland Limited (EU); ggf. Google LLC (USA) auf Basis SCC und EU-US-DPF-Zertifizierung.
Speicherdauer: bis zu 540 Tage für Conversion-Daten.
Datenschutzerklärung: policies.google.com/privacy

7.4 Microsoft Advertising (UET) / Bing Ads

Wir setzen das Universal-Event-Tracking-Tag (UET) der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland ein.
Zweck: Conversion-Messung für unsere Anzeigen im Microsoft-Werbenetzwerk (Bing, MSN, LinkedIn-Audience-Network), Remarketing.
Verarbeitete Daten/Cookies: _uetsid (Session, Lebensdauer 1 Tag),_uetvid (Visitor, Lebensdauer 16 Monate), MUID (Browser-ID, 13 Monate), Klick-ID (MSCLKID), gekürzte IP-Adresse, Browser-/Geräte-Daten, besuchte Seiten, Conversion-Events.
Empfänger / Drittlandübermittlung: Microsoft Ireland Operations Ltd. (EU); ggf. Microsoft Corporation, Redmond, WA, USA, auf Basis SCC sowie EU-US-DPF-Zertifizierung von Microsoft.
Speicherdauer: bis zu 13 Monate.
Datenschutzerklärung: privacy.microsoft.com/de-de/privacystatement

7.5 Klaviyo (Onsite-Tracking & E-Mail-Marketing)

Wir nutzen Klaviyo (Company-ID WiYwFJ) der Klaviyo, Inc., 125 Summer Street, 6th Floor, Boston, MA 02110, USA für Onsite-Tracking, Newsletter-Versand sowie automatisierte E-Mail-Flows (z. B. Begrüßungs-Serie, Warenkorbabbruch, Bestellbestätigungen, Re-Engagement).
Zweck: Personalisierung des Shop-Erlebnisses, Auslieferung relevanter E-Mail-Kampagnen, Wiederherstellung abgebrochener Warenkörbe, Segmentierung von Empfängern.
Verarbeitete Daten/Cookies: __kla_id (Klaviyo-Profil-ID, Lebensdauer 2 Jahre), weitere __kla_*-Cookies, E-Mail-Adresse (sofern eingewilligt), Vor-/Nachname, Bestellhistorie, Klick-/Öffnungsverhalten in E-Mails, besuchte Produktseiten, Warenkorbinhalte, IP-Adresse, Browser-/Geräte-Daten.
Empfänger / Drittlandübermittlung: Klaviyo, Inc. (USA). Datenübermittlung auf Basis der EU-Standardvertragsklauseln (SCC) sowie der EU-US-DPF-Zertifizierung von Klaviyo. Mit Klaviyo besteht ein Auftragsverarbeitungsvertrag (DPA) gem. Art. 28 DSGVO.
Speicherdauer: bis zum Widerruf der Einwilligung bzw. Abmeldung; technische Onsite-Cookies max. 2 Jahre.
Widerruf: Cookie-Banner; Abmeldung des Newsletters über den Abmeldelink in jeder E-Mail oder per Mail an info@kosmon.de.
Datenschutzerklärung: klaviyo.com/legal/privacy/privacy-notice

7.6 Taboola Pixel

Wir verwenden das Tracking-Pixel der Taboola, Inc., 16 Madison Square West, 7th Floor, New York, NY 10010, USA, sowie der Taboola Europe Limited, 2 Stephen Street, London W1T 1AN, Vereinigtes Königreich.
Zweck: Conversion-Messung und Optimierung unserer Anzeigen im Taboola-Native-Ad-Netzwerk, Retargeting von Website-Besuchern.
Verarbeitete Daten/Cookies: t_gid, taboola_session_id (Lebensdauer bis 13 Monate), IP-Adresse (gekürzt), User-Agent, besuchte URLs, Conversion-Events.
Empfänger / Drittlandübermittlung: Taboola, Inc. (USA), Taboola Europe Limited (UK). UK auf Basis Adäquanz-Beschluss EU/UK; USA auf Basis EU-Standardvertragsklauseln (SCC).
Speicherdauer: bis zu 13 Monate.
Datenschutzerklärung: taboola.com/policies/privacy-policy

8. Zahlungsabwicklung

Im Bestellprozess erheben und verarbeiten wir die für die Vertragsabwicklung erforderlichen Daten (Name, Anschrift, E-Mail-Adresse, ggf. Telefon). Die konkrete Zahlungsdatenerfassung erfolgt direkt durch den von Ihnen gewählten Zahlungsdienstleister. Wir selbst speichern keine vollständigen Kreditkartendaten oder Bankzugänge. Rechtsgrundlage für die Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insb. AO/HGB).

8.1 Shopify Payments (Stripe)

Zahlungen per Kreditkarte werden über Shopify Payments abgewickelt, technisch betrieben durch die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (Mutterunternehmen: Stripe, Inc., USA). Verarbeitet werden u. a. Kartennummer (PCI-DSS-konform tokenisiert), Karteninhaber, Ablaufdatum, CVC, IP-Adresse, Geräte-Fingerprint zur Betrugsprävention.
Drittlandübermittlung: USA via SCC + EU-US-DPF.
Datenschutzerklärung: stripe.com/de/privacy sowie shopify.com/legal/privacy

8.2 PayPal

Zahlungen per PayPal werden abgewickelt durch die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg. Verarbeitet werden Kontaktdaten, PayPal-Kontodaten, Zahlungsstatus, IP-Adresse, Geräte-Daten. Sofern Sie eine Bonitätsprüfung („Ratenzahlung Powered by PayPal") wählen, prüft PayPal zusätzlich Bonitätsmerkmale und holt ggf. Auskunft bei Wirtschaftsauskunfteien (z. B. SCHUFA) ein.
Datenschutzerklärung: paypal.com/de/webapps/mpp/ua/privacy-full

8.3 Klarna

Bei Auswahl von Klarna (Rechnung, Ratenkauf, Sofortüberweisung) werden Daten an die Klarna Bank AB (publ), Sveavägen 46, 11134 Stockholm, Schweden, übermittelt. Verarbeitet werden Vor-/Nachname, Adresse, Geburtsdatum, E-Mail, Telefon, IP-Adresse, Bestellinformationen, Zahlungs- und Bonitätsdaten. Klarna führt eine Risiko- und Identitätsprüfung durch und nutzt hierzu Wirtschaftsauskunfteien.
Datenschutzerklärung: klarna.com/de/datenschutz

8.4 Apple Pay / Google Pay / Shop Pay

Bei Auswahl eines Wallet-Zahlungsmittels (Apple Pay der Apple Inc., USA; Google Pay der Google LLC, USA; Shop Pay der Shopify Inc., Kanada) werden die in Ihrem Wallet hinterlegten Zahlungsdaten direkt an den jeweiligen Anbieter übermittelt. Wir selbst erhalten lediglich eine Zahlungsbestätigung und tokenisierte Transaktionsdaten — keine vollständigen Kartendaten. Drittlandtransfers in die USA erfolgen auf Basis EU-Standardvertragsklauseln (SCC); Kanada hat einen EU-Angemessenheitsbeschluss.

9. Vertrauensdienste, Bewertungen und Befragungen

9.1 Trusted Shops (Käuferschutz & Bewertungen)

Wir sind Mitglied bei der Trusted Shops GmbH, Subbelrather Str. 15c, 50823 Köln. Auf unserer Website ist das Trustbadge eingebunden; nach abgeschlossener Bestellung haben Sie zudem die Möglichkeit, am Bewertungssystem teilzunehmen und unseren Käuferschutz in Anspruch zu nehmen.
Zweck: Vertrauensbildung, Bewertungsauswertung, Käuferschutzabwicklung.
Verarbeitete Daten: gehashte E-Mail-Adresse, Bestellinformationen (für die Bewertungseinladung), bei aktiver Käuferschutz-Nutzung zusätzlich Name, Adresse, Bestelldetails.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Vertrauensbildung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Bewertungseinladung, sofern Sie zugestimmt haben).
Empfänger: Trusted Shops GmbH (Deutschland).
Datenschutzerklärung: trustedshops.com/de/datenschutz

9.2 Fairing (Post-Purchase-Umfragen)

Nach einer Bestellung kann Ihnen auf der Bestellbestätigungsseite eine kurze Umfrage angezeigt werden, die wir mit der Fairing, Inc., 169 Madison Ave #2473, New York, NY 10016, USA durchführen.
Zweck: Verständnis der Customer Journey („Woher kennen Sie uns?"), Optimierung unserer Marketing-Kanäle, Verbesserung des Shop-Angebots.
Verarbeitete Daten: pseudonyme Bestell-ID, Antwortwerte, Browser-/Geräte-Daten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
Drittlandübermittlung: USA via SCC.
Datenschutzerklärung: fairing.co/legal/privacy

10. Newsletter und E-Mail-Marketing

Wenn Sie unseren Newsletter abonnieren, erheben wir Ihre E-Mail-Adresse sowie ggf. weitere freiwillig angegebene Daten (Vorname). Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit Bestätigungslink. Erst nach Klick auf diesen Link nehmen wir Sie in den Newsletter-Verteiler auf.

Zweck: Versand von redaktionellen Inhalten, Produktempfehlungen, Aktionen und Rabatten zum Themenbereich Hautpflege, Nahrungsergänzung und Lifestyle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 7 Abs. 2 Nr. 3 UWG.
Versanddienstleister: Klaviyo, Inc. (siehe Ziffer 7.5).
Tracking im Newsletter: In unseren Newslettern sind Tracking-Pixel eingebunden, die uns Aufschluss darüber geben, ob und wann eine E-Mail geöffnet wurde und welche Links geklickt wurden. Dies erlaubt uns, künftige Newsletter relevanter zu gestalten.
Widerruf: Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an info@kosmon.de kündigen. Mit dem Widerruf wird Ihr Profil aus dem Verteiler entfernt.

11. Bestellabwicklung, Versand und Logistik

Zur Abwicklung Ihrer Bestellung verarbeiten wir die von Ihnen angegebenen Vertragsdaten (Name, Anschrift, E-Mail, Telefon, Bestellpositionen, Zahlungsart). Diese Daten werden an folgende Empfänger weitergegeben, soweit dies zur Vertragserfüllung erforderlich ist:

• Versanddienstleister (z. B. DHL Paket GmbH, DPD Deutschland GmbH) — für die Zustellung
• Zahlungsdienstleister (siehe Ziffer 8)
• Steuerberater und Buchhaltung — zur Erfüllung steuerrechtlicher Aufbewahrungspflichten
• Behörden (z. B. Finanzamt, Zoll) — soweit gesetzlich vorgeschrieben

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten).
Speicherdauer: Bestelldaten werden für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert (handelsrechtlich 6 Jahre nach § 257 HGB, steuerrechtlich 10 Jahre nach § 147 AO). Nach Ablauf werden die Daten gelöscht oder anonymisiert.

12. ERP-, Feed- und Upsell-Integrationen

Zur effizienten Abwicklung von Bestellungen und Sortimentspflege setzen wir Backend-Tools ein, die in unserem Auftrag personenbezogene Daten verarbeiten. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge gem. Art. 28 DSGVO.

12.1 weclapp (ERP)

Unsere Warenwirtschaft läuft auf der ERP-Plattform der weclapp SE, Frauenbergstraße 31-33, 35039 Marburg, Deutschland. Verarbeitet werden Bestelldaten, Rechnungs- und Lieferdaten, Artikel- und Lagerinformationen. Datenschutzerklärung: weclapp.com/de/datenschutz

12.2 Channable (Produkt-Feed-Management)

Wir verwenden die Channable B.V., Arthur van Schendelstraat 500, 3511 MH Utrecht, Niederlande, zur Verwaltung und Auslieferung unserer Produktdaten an Marketing-Kanäle. Channable verarbeitet keine Endkundendaten, sondern ausschließlich Produktinformationen (Titel, Beschreibung, Preis, Verfügbarkeit, Bilder). Datenschutzerklärung: channable.com/de/datenschutzerklarung

12.3 Zipify One-Click Upsell

Im Checkout-Flow setzen wir Zipify One-Click Upsell der Zipify Apps LLC, 401 NW 10th Ave, Portland, OR 97209, USA ein, um Ihnen nach der Erstbestellung ergänzende Angebote anzeigen zu können. Verarbeitet werden Bestell-ID, gewählte Produkte, Anzeige-Status (geklickt/abgelehnt), pseudonyme Session-ID. Drittlandübermittlung in die USA auf Basis SCC.
Datenschutzerklärung: zipify.com/legal/privacy

13. Kundenkonto und Customer-Profile

Wenn Sie ein Kundenkonto anlegen, speichern wir Ihre Stammdaten (E-Mail, Name, Adressen), die Bestellhistorie, Wunschlisten sowie ggf. Zahlungsmittel-Tokens dauerhaft, damit Sie bei zukünftigen Bestellungen nicht erneut alle Daten eingeben müssen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung zur Profilanlage).
Speicherdauer: bis zur Löschung des Kontos durch Sie. Nach Löschung des Kontos verbleiben ausschließlich diejenigen Datensätze, für die handels- oder steuerrechtliche Aufbewahrungsfristen bestehen.
Kontolöschung: jederzeit über die Einstellungen Ihres Kontos oder per E-Mail an info@kosmon.de.

14. WhatsApp-Kontakt und soziale Netzwerke

Auf unserer Website ist ein WhatsApp-Kontakt-Widget eingebunden. Bei Klick öffnet sich ein Chatfenster zu unserem WhatsApp-Business-Konto, betrieben durch die Meta Platforms Ireland Ltd. (siehe Ziffer 7.1). Erst nach aktiver Eingabe einer Nachricht durch Sie wird ein Kontakt aufgebaut. Die Verarbeitung Ihrer Nachricht erfolgt auf Grundlage Ihrer Kontaktaufnahme (Art. 6 Abs. 1 lit. b DSGVO).

Wir betreiben darüber hinaus Profile auf Instagram und Facebook (jeweils Meta Platforms Ireland Ltd.). Wenn Sie diese Profile besuchen oder mit ihnen interagieren, verarbeitet Meta Ihre Daten in eigener Verantwortung. Für die gemeinsame Verarbeitung im Rahmen der Seiten-Insights besteht eine Vereinbarung nach Art. 26 DSGVO. Datenschutzerklärung Meta: facebook.com/privacy/policy/

15. Aktualisierung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen — zum Beispiel bei der Einführung neuer Services oder dem Wechsel von Dienstleistern. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung.

Letzte Aktualisierung: 12. Mai 2026 — Version 2.0 (Tracker-Disclosure-Update).
Bei Rückfragen erreichen Sie uns unter info@kosmon.de.