Datenschutzerklärung

1. Verantwortlicher

2. Welche Daten werden erhoben

a) Dashboard (Shopbetreiber)

Bei der Registrierung und Nutzung des Dashboards verarbeiten wir:

• E-Mail-Adresse (für Login via Magic Link)
• Name (optional, für die persönliche Ansprache)
• Shop-Daten (Name, Domain)
• Zahlungsinformationen (werden direkt von Stripe verarbeitet)

b) Widget (Endkunden/Verbraucher)

Wenn ein Verbraucher über das Widget einen Widerruf einreicht, werden folgende Daten verarbeitet:

• Kundenname (Pflichtfeld)
• Identifikation – E-Mail-Adresse, Benutzername oder Kundennummer (Pflichtfeld, freie Texteingabe; es ist keine bestimmte Form vorgeschrieben)
• Bezeichnung des Vertrags / Bestellreferenz (Pflichtfeld)
• Optionale Bestätigungs-E-Mail – nur wenn der Verbraucher zusätzlich eine E-Mail-Adresse für die Eingangsbestätigung angibt (kann von der Identifikation abweichen)
• Angabe zum Teilwiderruf und ggf. betroffene Artikel (optional)
• Freitext-Nachricht (optional, max. 2.000 Zeichen)
• IP-Adresse (wird ausschließlich gehasht und gekürzt gespeichert, nicht im Klartext – nur zum Missbrauchsschutz und Rate-Limiting)
• User-Agent des Browsers (gekürzt; für technisches Debugging)
• Zeitpunkt des Widerrufs
• Kryptografischer Audit-Nachweis – Einreichungs-Hash (SHA-256), Bestätigungs-Token, Marktland, Rechtsgrundlage, Sprache sowie tägliche Merkle-Referenz; dient dem manipulationssicheren Nachweis des Widerrufs-Eingangs gemäß § 356a BGB

3. Rechtsgrundlage der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung der Account-Daten der Shopbetreiber ist für die Bereitstellung unseres SaaS-Dienstes erforderlich.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen): Die Speicherung von gehashten IP-Adressen dient dem Missbrauchsschutz (Rate Limiting).
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Die Verarbeitung der Widerrufsdaten erfolgt zur Erfüllung der gesetzlichen Pflichten aus § 356a BGB.

4. Auftragsverarbeitung

WiderrufButton handelt bei der Verarbeitung von Widerrufsdaten der Endkunden als Auftragsverarbeiter im Sinne des Art. 28 DSGVO im Auftrag des jeweiligen Shopbetreibers (Verantwortlicher).

Wir bieten allen Shopbetreibern einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO an. Dieser steht auf der AVV-Seite vollständig bereit und kann als PDF gespeichert oder gedruckt werden; mit der Registrierung gilt er als geschlossen.

Weitere Informationen finden Sie auf unserer AVV-Seite.

5. Hosting

Unsere Dienste werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet.

Alle Daten werden ausschließlich in deutschen Rechenzentren verarbeitet und gespeichert. Ein Transfer in Drittländer findet durch das Hosting nicht statt.

Hetzner verarbeitet Daten in unserem Auftrag. Ein Auftragsverarbeitungsvertrag ist geschlossen.

6. E-Mail-Versand

Für den Versand transaktionaler E-Mails (Eingangsbestätigungen, Benachrichtigungen, Magic-Link-Login) nutzen wir den SMTP-Dienst der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Ein Auftragsverarbeitungsvertrag ist geschlossen; die Verarbeitung erfolgt in deutschen Rechenzentren.

Es werden nur die für den Versand notwendigen Daten (Empfänger-E-Mail, Betreff, Inhalt) übermittelt. Es findet kein E-Mail-Tracking, keine Öffnungsraten-Messung und kein Link-Tracking statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertragserfüllung sowie gesetzliche Nachweispflicht der Eingangsbestätigung gemäß § 356a BGB).

7. Zahlungsabwicklung

Für die Zahlungsabwicklung nutzen wir Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, USA). Stripe ist als Zahlungsdienstleister nach PCI DSS zertifiziert.

Zahlungsdaten (Kreditkartennummern, IBAN) werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert. Wir erhalten von Stripe lediglich eine Kundennummer, den Zahlungsstatus und den aktuellen Plan.

Stripe verarbeitet Daten auch in den USA. Es gelten die Datenschutzbestimmungen von Stripe. Stripe hat sich dem EU-U.S. Data Privacy Framework angeschlossen.

8. Cookies

WiderrufButton setzt ausschließlich technisch notwendige Session-Cookies ein, die für die Authentifizierung im Dashboard erforderlich sind.

Wir setzen keine Tracking-Cookies, Analyse-Cookies oder Marketing-Cookies ein.

Das WiderrufButton-Widget setzt keine Cookies und nutzt weder localStorage noch sessionStorage. Es ist vollständig TTDSG-konform.

Es werden keine Tracking-Cookies und keine US-Analyse-Dienste wie Google Analytics oder Facebook Pixel eingesetzt.

Sofern aktiviert, nutzen wir ausschließlich das datenschutzfreundliche, cookielose Analyse-Tool Plausible Analytics (Plausible Insights OÜ, Estland, EU; Hosting in der EU). Plausible erfasst nur aggregierte, anonyme Reichweiten-Statistiken (Seitenaufrufe, Herkunftsquellen) ohne Cookies, ohne localStorage und ohne personenbezogenes Tracking einzelner Besucher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung).

9. Werbe-Erfolgsmessung (Google Click ID)

Rufen Sie unsere Website über eine Google-Anzeige auf, enthält die Adresszeile in der Regel den Parameter gclid (Google Click ID). Wir lesen diesen Wert aus der URL aus und speichern ihn ausschließlich lokal in Ihrem Browser (im First-Party-localStorage) zwischen. Es wird hierfür kein Cookie gesetzt.

Der zwischengespeicherte Wert dient allein dazu, bei einer späteren Registrierung den Werbeerfolg zu messen (Offline-Conversion-Messung). Es werden dabei nur die Google Click ID und der Zeitpunkt der Conversion verarbeitet; keine weiteren personenbezogenen Daten werden zu diesem Zweck erhoben oder übermittelt.

Es werden keine seitenübergreifenden Tracking-Cookies gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Wirksamkeit unserer Werbung).

10. Speicherdauer

• Account-Daten (Shopbetreiber): Gespeichert, solange das Vertragsverhältnis besteht (Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO). Nach Beendigung bzw. Kündigung des Accounts werden die Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Widerrufsdaten (Endkunden): Aufbewahrung gemäß gesetzlicher Pflichten (Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO), in der Regel 6 Jahre gemäß § 257 HGB als beweissichere Eingangsbestätigung.
• IP-Hashes (pseudonymisiert): Zur Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; automatische Löschung nach 90 Tagen.

11. SSL-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile. Alle Daten, die Sie an uns übermitteln, können nicht von Dritten mitgelesen werden.

12. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung verlangen.
• Recht auf Datenportabilität (Art. 20 DSGVO) – Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.
• Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten widersprechen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@ateliernodus.com

13. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.