Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten im Sinne der DSGVO ist:

Santaverde GmbH Borsteler Bogen 27B 22453 Hamburg Deutschland E-Mail: service@santaverde.de

Diese Datenschutzerklärung gilt für die Nutzung unseres Onlineshops santaverde.de (Shopify-basiert) sowie für alle damit verbundenen Dienste, insbesondere Bestellabwicklung, unser Treueprogramm „aloe club", E-Mail-Marketing und Online-Werbung.

2. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungspraktiken, die eingesetzten Dienste oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie mit Datum „Letzte Aktualisierung" auf dieser Seite. Bei wesentlichen Änderungen informieren wir Sie, soweit gesetzlich erforderlich, in geeigneter Form.

3. Welche personenbezogenen Daten wir erheben

  • Kontaktdaten: Name, Adresse, Telefonnummer, E-Mail-Adresse
  • Bestellinformationen: Rechnungs- und Lieferadresse, bestellte Artikel, Zahlungsbestätigung
  • Kontoinformationen: Benutzername, Passwort (verschlüsselt)
  • Kauf- und Nutzungsdaten: angesehene/gemerkte Artikel, Warenkorb, Bestellhistorie, Interaktionen mit unseren E-Mails und Anzeigen, Geräte-, Browser- und IP-Informationen
  • Support-Daten: Inhalte Ihrer Kommunikation mit unserem Kundenservice

Einige dieser Daten erhalten wir nicht direkt von Ihnen, sondern von Dienstleistern, die für uns tätig sind (siehe die folgenden Abschnitte zu Google, Meta, Microsoft, Klaviyo, influence.io und unseren Zahlungsdienstleistern).

Für die interne Bestell-, Lager- und Rechnungsverwaltung nutzen wir zudem das Warenwirtschaftssystem JTL, das bei uns inhouse auf eigener bzw. eigens angemieteter Serverinfrastruktur betrieben wird. Da JTL dabei ausschließlich von uns selbst betrieben wird und der Softwarehersteller keinen Zugriff auf Ihre Daten erhält, handelt es sich hierbei nicht um eine Datenweitergabe an einen Dritten im Sinne dieser Erklärung; die Verarbeitung erfolgt weiterhin unter unserer alleinigen Verantwortung, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (Vertragserfüllung, gesetzliche Aufbewahrungspflichten).

4. Zwecke der Verarbeitung und Rechtsgrundlagen

Zweck

Rechtsgrundlage (Art. 6 Abs. 1 DSGVO)

Vertragsabwicklung, Bestellungen, Versand, Rücksendungen, Kontoverwaltung

lit. b (Vertragserfüllung)

Erfüllung gesetzlicher Pflichten (z. B. Steuer-, Handelsrecht)

lit. c

Betrugs- und Missbrauchsprävention, Sicherheit unserer Systeme

lit. f (berechtigtes Interesse)

Kundenservice und Serviceverbesserung

lit. f (berechtigtes Interesse)

Analyse, Personalisierung, Online-Werbung und Marketing per E-Mail über Cookies/Pixel (Google, Meta, Microsoft, Klaviyo, OpenAI/ChatGPT Ads)

lit. a (Einwilligung)

Treueprogramm aloe club

lit. b (Vertragserfüllung durch freiwillige Anmeldung)

Soweit wir uns auf berechtigtes Interesse stützen, haben wir dieses Interesse gegen Ihre Grundrechte abgewogen; Sie haben das Recht, dieser Verarbeitung nach Art. 21 DSGVO zu widersprechen (siehe Abschnitt „Ihre Rechte").

Konkret gilt: Die reine Vertragsabwicklung (Bestellung, Zahlung, Versand) erfolgt unabhängig von einer Cookie-Einwilligung; Tracking, Personalisierung und Werbemaßnahmen setzen dagegen stets Ihre vorherige Einwilligung voraus.

5. Cookies und Einwilligungsmanagement

Wir setzen auf santaverde.de Cookies, Pixel und vergleichbare Technologien ein. Technisch notwendige Cookies (z. B. Warenkorb, Login, Sicherheit) dürfen wir ohne Einwilligung verwenden. Für alle anderen Cookies – insbesondere Analyse- und Werbe-Cookies der in dieser Erklärung genannten Anbieter (Google, Meta, Microsoft, Klaviyo, OpenAI/ChatGPT Ads) – holen wir vorab Ihre Einwilligung gemäß § 25 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO über unser Consent-Banner ein Usercentrics.

Die entsprechenden Skripte werden erst geladen, nachdem Sie Ihre Einwilligung erteilt haben. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Consent-Banner (i. d. R. über einen Link im Footer der Seite) widerrufen oder anpassen. Details zu einzelnen Cookie-Kategorien und -Laufzeiten finden Sie im Consent-Banner selbst.

6. Google Ads und Google Analytics (GA4)

Wir nutzen Google Ads zur Steuerung und Erfolgsmessung von Anzeigen sowie Google Analytics 4 (GA4) zur Analyse der Nutzung unserer Seite. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; die Verarbeitung kann auch durch die Google LLC (USA) erfolgen.

Erhobene Daten (u. a. IP-Adresse, Geräte- und Browserinformationen, Interaktionen auf der Seite, Conversion-Ereignisse) werden zur Reichweitenmessung, Zielgruppenbildung und Anzeigenoptimierung verarbeitet. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG.

Bei der Übermittlung von Daten in die USA stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF), soweit Google hierfür zertifiziert ist, ergänzend auf die EU-Standardvertragsklauseln (siehe Abschnitt „Internationale Datenübermittlung").

Weitere Informationen: Google-Datenschutzerklärung, Google Ads-Datenverarbeitungsbedingungen.

7. Meta Ads (Facebook/Instagram Pixel und Conversions API)

Wir nutzen den Meta-Pixel und die Conversions API von Meta zur Erfolgsmessung unserer Facebook- und Instagram-Anzeigen und zur Bildung von Zielgruppen (z. B. Retargeting, Advantage+ Katalog-Anzeigen). Anbieter ist Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland.

Für die Erhebung und Übermittlung der Daten an Meta sind wir gemeinsam mit Meta verantwortlich im Sinne von Art. 26 DSGVO („ControllerAddendum"/Ergänzung zur gemeinsamen Verantwortlichkeit); die weitere Verarbeitung durch Meta erfolgt in eigener Verantwortung von Meta gemäß dessen Datenrichtlinie. Rechtsgrundlage für den Einsatz von Pixel/CAPI auf unserer Seite ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG.

Meta verarbeitet Daten auch in den USA; die Übermittlung stützt sich, soweit einschlägig, auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln (siehe Hinweis zur Rechtsunsicherheit des DPF in Abschnitt „Internationale Datenübermittlung"). Weitere Informationen: Meta-Datenrichtlinie.

8. Microsoft Advertising (Bing Ads)

Wir nutzen das UET-Tag (Universal Event Tracking) von Microsoft Advertising zur Erfolgsmessung unserer Bing-Anzeigen. Anbieter ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; die Verarbeitung kann auch durch die Microsoft Corporation (USA) erfolgen.

Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG. Für Datenübermittlungen in die USA gilt das in Abschnitt „Internationale Datenübermittlung" Gesagte entsprechend. Weitere Informationen: Microsoft-Datenschutzbestimmungen.

9. ChatGPT Ads (OpenAI)

Wir schalten Werbung innerhalb von ChatGPT („ChatGPT Ads"). Verantwortlich für die Verarbeitung Ihrer Daten im EWR ist OpenAI Ireland Limited, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (E-Mail: privacy@openai.com; Datenschutzbeauftragter: dpo@openai.com).

Zur Erfolgsmessung und Optimierung unserer Anzeigen setzen wir die von OpenAI bereitgestellten Measurement-Tools ein (ein Tracking-Pixel sowie ergänzend eine Conversions API zur Server-zu-Server-Übermittlung von Kaufereignissen). Die genaue technische Bezeichnung, das eingesetzte Cookie und dessen Laufzeit sind vor Veröffentlichung dieser Erklärung anhand der aktuellen OpenAI-Werbedokumentation zu verifizieren.

Nach eigenen Angaben von OpenAI werden Anzeigen im EWR zunächst rein kontextuell ausgespielt (auf Basis von Gesprächsthema, ungefährem Standort, Gerätetyp, Zeit und Sprache) und nicht auf Basis früherer Chats oder gespeicherter „Memories"; personenbezogene Kaufdaten, die wir an OpenAI übermitteln, werden dabei nach Angaben von OpenAI gehasht übertragen. Diese Angaben beziehen sich auf den Stand zum EU-Start von ChatGPT Ads (August 2026) und sollten vor Veröffentlichung anhand der aktuellen OpenAI-Werbebedingungen bestätigt werden.

Rechtsgrundlage: Die rechtliche Einordnung ist in der Fachdiskussion derzeit nicht einheitlich – teils wird berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) vertreten, teils ein Einwilligungserfordernis (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG), da es sich um ein Tracking-Pixel handelt. Wir behandeln den Einsatz des OAIQ-Pixels vorsorglich wie die übrigen Werbe-Cookies in dieser Erklärung: Er erfolgt nur nach Ihrer Einwilligung über unser Consent-Banner Usercentrics.

Für die Datenübermittlung in die USA gilt das in Abschnitt „Internationale Datenübermittlung" Gesagte entsprechend. Hinweis: ChatGPT Ads ist ein sehr neues Angebot (EU-Start 2026); Umfang, Rechtsgrundlage und Datenschutzdokumentation von OpenAI können sich kurzfristig ändern – dieser Abschnitt sollte bei Bedarf zeitnah mit OpenAIs aktueller Datenschutzerklärung abgeglichen werden.

10. Klaviyo (E-Mail-Marketing)

Für Newsletter, personalisierte Produktempfehlungen und automatisierte E-Mail-Flows (z. B. Warenkorbabbruch) nutzen wir die Plattform Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02110, USA. Klaviyo verarbeitet für uns u. a. Ihre E-Mail-Adresse, Name, Bestell- und Kaufverhalten sowie Interaktionen mit unseren E-Mails (Öffnungen, Klicks) und unserer Website.

Der Versand von Marketing-E-Mails erfolgt nur nach Ihrer ausdrücklichen Einwilligung (Double-Opt-in), Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 UWG; Sie können diese Einwilligung jederzeit über den Abmeldelink in jeder E-Mail widerrufen. Für das Tracking auf unserer Website über Klaviyo-Skripte/Cookies gilt zusätzlich die in Abschnitt „Cookies und Einwilligungsmanagement" beschriebene Einwilligungspflicht.

Klaviyo verarbeitet Daten in den USA. Nach eigenen Angaben ist Klaviyo unter dem EU-US Data Privacy Framework zertifiziert und stützt sich ergänzend auf Standardvertragsklauseln (siehe Abschnitt „Internationale Datenübermittlung"). Weitere Informationen: Klaviyo-Datenschutzerklärung und Klaviyo-Auftragsverarbeitungsvertrag.

11. Bewertungsplattform (REVIEWS.io)

Für die Einholung und Darstellung von Produktbewertungen nutzen wir REVIEWS.io Ltd, 29 St Nicholas Place, Leicester, LE1 4LD, Vereinigtes Königreich. Nach Abschluss einer Bestellung können wir Sie per E-Mail um eine Bewertung des gekauften Produkts bitten; dabei werden Ihre E-Mail-Adresse, Ihr Name und die bestellten Artikel an REVIEWS.io übermittelt. Von Ihnen abgegebene Bewertungen (Text, Sternebewertung, ggf. Fotos) werden auf unserer Seite angezeigt.

Rechtsgrundlage für die Bewertungsanfrage ist unser berechtigtes Interesse an Kundenfeedback zu einer konkret abgeschlossenen Bestellung, Art. 6 Abs. 1 lit. f DSGVO; Sie können dieser Verarbeitung jederzeit über den Abmeldelink in der Anfrage-E-Mail widersprechen. Die Veröffentlichung Ihrer Bewertung erfolgt auf Grundlage Ihrer Einwilligung bei Abgabe der Bewertung, Art. 6 Abs. 1 lit. a DSGVO.

Die Datenübermittlung an REVIEWS.io in das Vereinigte Königreich stützt sich auf den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (aktuell gültig bis Dezember 2031). Weitere Informationen: REVIEWS.io Datenschutz.

12. Treueprogramm „aloe club" (influence.io)

Für unser Treueprogramm „aloe club" setzen wir den Dienst influence.io der AppHub LLC, 116 Huntington Ave, 15th Fl, Boston, MA 02116, USA, als Auftragsverarbeiter ein. Im Rahmen Ihrer freiwilligen Teilnahme verarbeitet influence.io Ihre E-Mail-Adresse, Ihren Namen, Ihr Geburtsdatum (sofern angegeben), Ihre Bestell- und Punktehistorie sowie – bei Teilnahme am Freunde-werben-Freunde-Programm – Ihren persönlichen Empfehlungslink und Informationen zu erfolgreichen Empfehlungen.

Zweck ist die Verwaltung Ihres Punktekontos, die Gewährung von Prämien und die Abwicklung des Empfehlungsprogramms. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). influence.io setzt zudem First-Party-Cookies zur Zuordnung von Sitzungs- und Empfehlungsinformationen ein.

Für die Datenübermittlung in die USA hat influence.io die EU-Standardvertragsklauseln der Europäischen Kommission (2021, Modul 2: Verantwortlicher–Auftragsverarbeiter) hinterlegt. Ihre Daten werden auf unsere Anweisung als Verantwortlicher gespeichert und auf Anfrage innerhalb von maximal 180 Tagen gelöscht. Weitere Informationen: influence.io-Datenschutzerklärung.

13. Zahlungsdienstleister

Zur Zahlungsabwicklung im Checkout arbeiten wir mit folgenden Zahlungsdienstleistern zusammen, denen wir die für die jeweilige Zahlungsart erforderlichen Daten (u. a. Name, Rechnungsadresse, Bestellbetrag, Zahlungsbestätigung) übermitteln:

  • PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg)
  • Mollie (Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande) – darüber wickeln wir außerdem die Zahlarten Kreditkarte, eps und Klarna ab

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da die Zahlungsabwicklung Teil der Vertragserfüllung mit Ihnen ist. Die jeweiligen Anbieter verarbeiten Ihre Daten teilweise auch als eigenständig Verantwortliche gemäß ihrer eigenen Datenschutzerklärung.

14. Weitergabe an weitere Empfänger

Darüber hinaus geben wir personenbezogene Daten weiter an:

  • Shopify (Shopify International Limited, Irland, bzw. Shopify Inc., Kanada/USA) als technische Plattform für Hosting, Checkout und Bestellverwaltung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Shopify verarbeitet Daten auch außerhalb der EU/EWR gemäß eigener Auftragsverarbeitungsvereinbarung und Standardvertragsklauseln – Details siehe Shopifys eigener Datenschutzerklärung (shopify.com/legal/privacy)
  • Versand- und Fulfillment-Dienstleister DHL zur Zustellung Ihrer Bestellung
  • Kundensupport-Chat (Shopify Inbox) zur Bearbeitung Ihrer Anfragen im Chat auf unserer Seite; da es sich um eine Funktion von Shopify handelt, gelten hierfür dieselben Angaben wie im Abschnitt zu Shopify oben

sowie in den in dieser Erklärung genannten Fällen (Google, Meta, Microsoft, Klaviyo, influence.io, Zahlungsdienstleister). Eine Weitergabe kann außerdem erfolgen, wenn Sie uns dazu auffordern oder einwilligen, im Rahmen einer Unternehmenstransaktion oder zur Erfüllung gesetzlicher Verpflichtungen.

15. Internationale Datenübermittlung

Einige der oben genannten Dienstleister (Google, Meta, Microsoft, Klaviyo, OpenAI, influence.io/AppHub LLC) verarbeiten Daten auch in den USA. Wir stützen solche Übermittlungen, soweit möglich, auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) und ergänzend bzw. alternativ auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Wichtiger Hinweis: Der Fortbestand des DPF ist seit einer Entscheidung des US Supreme Court vom Juni 2026 zur Unabhängigkeit der US-Aufsichtsbehörde FTC rechtlich umstritten. Der Angemessenheitsbeschluss ist derzeit formal weiter in Kraft, eine Aussetzung durch die EU-Kommission oder eine gerichtliche Überprüfung sind aber nicht ausgeschlossen. Wir beobachten die Entwicklung und werden diese Erklärung sowie die eingesetzten Übermittlungsgrundlagen bei Bedarf zeitnah anpassen.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

  • Bestell- und Rechnungsdaten: gemäß gesetzlicher Aufbewahrungspflichten in der Regel 6 Jahre (§ 257 HGB) bzw. 10 Jahre (§ 147 AO)
  • Kontodaten: bis zur Löschung Ihres Kundenkontos
  • Marketing-Einwilligungen (Klaviyo, Google, Meta, Microsoft): bis zum Widerruf Ihrer Einwilligung, danach ggf. Nachweisspeicherung für die Dauer der gesetzlichen Verjährungsfristen
  • aloe club (influence.io): auf Anfrage Löschung innerhalb von maximal 180 Tagen
  • Cookies/Tracking: gemäß den im Consent-Banner angegebenen Laufzeiten der jeweiligen Kategorie

Nach Beendigung der Geschäftsbeziehung löschen oder anonymisieren wir Ihre Daten, sobald keine der oben genannten Aufbewahrungspflichten mehr entgegensteht; Sicherungskopien werden im Rahmen unseres routinemäßigen Backup-Zyklus überschrieben.

17. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitung auf Grundlage berechtigten Interesses (Art. 21 Abs. 1 DSGVO)
  • Widerspruch gegen Direktwerbung: Sie können der Verarbeitung Ihrer Daten zu Werbezwecken jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widersprechen (Art. 21 Abs. 2 DSGVO), etwa über den Abmeldelink in unseren E-Mails
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft, z. B. über unser Consent-Banner (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte kontaktieren Sie uns über die unten genannten Kontaktdaten. Wir können zur Identitätsprüfung zusätzliche Informationen von Ihnen anfordern.

18. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere bei der für uns zuständigen Behörde:

Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit Ludwig-Erhard-Str. 22 20459 Hamburg www.datenschutz-hamburg.de

Eine Übersicht aller Aufsichtsbehörden im EWR finden Sie hier: EDPB-Mitglieder.

19. Kontakt

Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

Santaverde GmbH Borsteler Bogen 27B 22453 Hamburg E-Mail: service@santaverde.de