GDPR-Richtlinie

1. Geltungsbereich der DSGVO

Diese GDPR-Richtlinie erläutert, wie die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, auf die Verarbeitung personenbezogener Daten im Zusammenhang mit dieser Website angewendet wird und welche Rechte Ihnen daraus zustehen.

Der Betreiber dieser Website hat seine angegebene Kontaktanschrift außerhalb der Europäischen Union. Soweit personenbezogene Daten von Personen in der Europäischen Union im Zusammenhang mit dem gezielten Angebot von Waren oder Dienstleistungen an diese Personen verarbeitet werden, gilt die DSGVO nach Artikel 3 Abs. 2 Buchstabe a auch für einen nicht in der Union niedergelassenen Verantwortlichen.

Soweit das Bundesdatenschutzgesetz auf eine konkrete Verarbeitung anwendbar ist, werden ergänzend dessen einschlägige Vorschriften berücksichtigt.

2. Grundsätze der Verarbeitung personenbezogener Daten

Bei der Verarbeitung personenbezogener Daten gelten die Grundsätze des Artikels 5 DSGVO.

Das bedeutet insbesondere:

personenbezogene Daten werden rechtmäßig, fair und transparent verarbeitet;
Daten werden für festgelegte und legitime Zwecke erhoben;
wir beschränken die Daten auf das für den jeweiligen Zweck erforderliche Maß;
unrichtige Daten sollen berichtigt oder erforderlichenfalls gelöscht werden;
Daten werden nicht länger gespeichert, als der jeweilige Zweck oder eine konkrete Aufbewahrungspflicht es erfordert;
personenbezogene Daten werden durch angemessene organisatorische und technische Maßnahmen geschützt;
die Einhaltung dieser Grundsätze muss nach Artikel 5 Abs. 2 DSGVO nachweisbar sein.

Für den normalen Betrieb eines Möbel-Onlineshops können insbesondere Kontakt-, Liefer-, Rechnungs-, Bestell-, Transaktions-, Kundenservice- sowie erforderliche technische Daten verarbeitet werden.

3. Rechtsgrundlagen der Verarbeitung

Personenbezogene Daten werden nicht einheitlich auf Grundlage einer einzigen Rechtsgrundlage verarbeitet. Maßgeblich ist jeweils der konkrete Verarbeitungszweck.

Insbesondere können folgende Rechtsgrundlagen nach Artikel 6 DSGVO relevant sein:

Artikel 6 Abs. 1 Buchstabe b DSGVO, wenn die Verarbeitung zur Durchführung eines Kaufvertrags oder zur Bearbeitung Ihrer vorvertraglichen Anfrage erforderlich ist, beispielsweise für Bestellbearbeitung, Zahlungsvorgänge, Lieferung oder vertragsbezogenen Kundenservice;
Artikel 6 Abs. 1 Buchstabe c DSGVO, wenn eine konkrete gesetzliche Verpflichtung die Verarbeitung oder Aufbewahrung bestimmter Daten verlangt;
Artikel 6 Abs. 1 Buchstabe a DSGVO, wenn Sie freiwillig in eine bestimmte Verarbeitung eingewilligt haben, beispielsweise bei tatsächlich eingesetzten nicht erforderlichen Cookies oder anderen optionalen Funktionen;
Artikel 6 Abs. 1 Buchstabe f DSGVO, wenn eine Verarbeitung für ein konkretes berechtigtes Interesse erforderlich ist und Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen, beispielsweise für erforderliche Maßnahmen zur Sicherheit und Missbrauchsprävention der Website.

Ein berechtigtes Interesse wird nicht als pauschale Ersatzgrundlage für sämtliche Datenverarbeitungen verwendet.

4. Einwilligung und Widerruf

Wenn eine Verarbeitung auf Ihrer Einwilligung nach Artikel 6 Abs. 1 Buchstabe a DSGVO beruht, müssen die Anforderungen des Artikels 7 DSGVO erfüllt sein.

Eine Einwilligung muss freiwillig, für einen bestimmten Zweck, informiert und durch eine eindeutige Handlung erteilt werden.

Bloßes Schweigen, Untätigkeit oder das bloße Weiterbenutzen einer Website werden nicht als Ersatz für eine erforderliche aktive Einwilligung behandelt.

Nach Artikel 7 Abs. 3 DSGVO können Sie eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung.

Die Rechtmäßigkeit der Verarbeitung, die vor dem Widerruf auf Grundlage Ihrer wirksamen Einwilligung erfolgt ist, bleibt vom Widerruf unberührt.

Bei Cookies und vergleichbaren Zugriffen auf Endgeräte ist zusätzlich zu prüfen, ob nach § 25 TDDDG eine vorherige Einwilligung erforderlich ist. Die Einzelheiten hierzu finden Sie in unserer Cookie-Richtlinie.

5. Ihre Rechte nach der DSGVO

Unter den jeweiligen gesetzlichen Voraussetzungen stehen Ihnen insbesondere die folgenden Datenschutzrechte zu:

Artikel 15 DSGVO – Auskunftsrecht: Sie können eine Bestätigung darüber verlangen, ob personenbezogene Daten über Sie verarbeitet werden. Ist dies der Fall, können Sie die gesetzlich vorgesehenen Informationen über die Verarbeitung sowie eine Kopie der betreffenden personenbezogenen Daten erhalten.
Artikel 16 DSGVO – Recht auf Berichtigung: Sie können die Berichtigung unrichtiger personenbezogener Daten und, unter Berücksichtigung des Verarbeitungszwecks, die Vervollständigung unvollständiger Daten verlangen.
Artikel 17 DSGVO – Recht auf Löschung: Sie können unter den in Artikel 17 genannten Voraussetzungen die Löschung Ihrer personenbezogenen Daten verlangen. Dieses Recht ist nicht uneingeschränkt. Daten können beispielsweise weiterhin verarbeitet werden, wenn eine Ausnahme nach Artikel 17 Abs. 3 besteht, insbesondere zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Artikel 18 DSGVO – Recht auf Einschränkung: Unter den dort genannten Voraussetzungen können Sie verlangen, dass die Verarbeitung Ihrer personenbezogenen Daten eingeschränkt wird.
Artikel 20 DSGVO – Recht auf Datenübertragbarkeit: Soweit die Verarbeitung auf Ihrer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt, können Sie die von Ihnen bereitgestellten personenbezogenen Daten unter den gesetzlichen Voraussetzungen in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Soweit technisch machbar, können Sie eine direkte Übermittlung an einen anderen Verantwortlichen verlangen.
Artikel 21 DSGVO – Widerspruchsrecht: Soweit personenbezogene Daten auf Grundlage von Artikel 6 Abs. 1 Buchstabe e oder f DSGVO verarbeitet werden, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Sollte eine Verarbeitung für Direktwerbung stattfinden, kann dieser Verarbeitung nach Artikel 21 Abs. 2 DSGVO jederzeit widersprochen werden.
Artikel 7 Abs. 3 DSGVO – Widerruf der Einwilligung: Eine erteilte Einwilligung kann jederzeit für die Zukunft widerrufen werden.
Artikel 77 DSGVO – Beschwerderecht: Sie können bei einer zuständigen Datenschutzaufsichtsbehörde Beschwerde einlegen.

Die Ausübung eines Rechts hängt von den jeweiligen gesetzlichen Voraussetzungen ab; nicht jedes Recht gilt uneingeschränkt für jede Verarbeitung.

6. Auskunft nach Artikel 15 DSGVO

Im Rahmen des Artikels 15 DSGVO können Sie insbesondere Informationen erhalten über:

die Verarbeitungszwecke;
die Kategorien verarbeiteter personenbezogener Daten;
Empfänger oder Kategorien von Empfängern;
die vorgesehene Speicherdauer oder die Kriterien für ihre Festlegung;
Ihre einschlägigen Datenschutzrechte;
die Datenquelle, soweit Daten nicht bei Ihnen selbst erhoben wurden;
eine relevante automatisierte Entscheidungsfindung, soweit eine solche tatsächlich stattfindet;
die in Artikel 15 Abs. 2 vorgesehenen Informationen bei Übermittlungen in Drittländer.

Das Auskunftsrecht ist nicht auf Daten beschränkt, die in einem Kundenkonto sichtbar wären.

7. Berichtigung, Löschung und Einschränkung

Nach Artikel 16 DSGVO können Sie die Berichtigung unrichtiger und, soweit erforderlich, die Vervollständigung unvollständiger Daten verlangen.

Nach Artikel 17 DSGVO kann ein Löschungsanspruch insbesondere bestehen, wenn die Daten für ihren ursprünglichen Zweck nicht mehr erforderlich sind, eine zugrunde liegende Einwilligung wirksam widerrufen wurde und keine andere Rechtsgrundlage besteht oder eine andere Voraussetzung des Artikels 17 erfüllt ist.

Eine Löschung erfolgt jedoch nicht, soweit Artikel 17 Abs. 3 eine weitere Verarbeitung erlaubt oder verlangt.

Nach Artikel 18 DSGVO können Sie unter anderem eine Einschränkung verlangen, wenn:

Sie die Richtigkeit der Daten bestreiten und deren Richtigkeit geprüft wird;
die Verarbeitung unrechtmäßig ist, Sie aber statt einer Löschung eine Einschränkung verlangen;
wir die Daten für den ursprünglichen Zweck nicht mehr benötigen, Sie sie jedoch für Rechtsansprüche benötigen;
Sie nach Artikel 21 Abs. 1 widersprochen haben und noch geprüft wird, welche Interessen überwiegen.

Werden Daten nach Artikel 16 berichtigt, nach Artikel 17 gelöscht oder nach Artikel 18 eingeschränkt, gilt zusätzlich die Benachrichtigungspflicht gegenüber relevanten Empfängern nach Artikel 19 DSGVO, soweit diese nicht unmöglich ist oder einen unverhältnismäßigen Aufwand erfordert.

8. Datenübertragbarkeit und Widerspruch

Das Recht auf Datenübertragbarkeit nach Artikel 20 DSGVO gilt insbesondere für personenbezogene Daten, die Sie uns bereitgestellt haben, wenn die Verarbeitung:

auf einer Einwilligung nach Artikel 6 Abs. 1 Buchstabe a DSGVO oder auf einem Vertrag nach Artikel 6 Abs. 1 Buchstabe b DSGVO beruht; und
mithilfe automatisierter Verfahren erfolgt.

Das Recht beeinträchtigt nicht die Rechte und Freiheiten anderer Personen.

Wenn eine Verarbeitung auf Artikel 6 Abs. 1 Buchstabe f DSGVO gestützt wird, können Sie nach Artikel 21 Abs. 1 aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Die Verarbeitung darf dann grundsätzlich nicht fortgeführt werden, sofern nicht zwingende schutzwürdige Gründe nachgewiesen werden können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

9. Automatisierte Entscheidungen

Artikel 22 DSGVO enthält besondere Regeln für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen.

Uns liegen derzeit keine bestätigten technischen Informationen vor, anhand derer zuverlässig festgestellt werden kann, ob auf dieser Website eine Verarbeitung im Sinne des Artikels 22 DSGVO stattfindet.

Deshalb wird weder ein automatisiertes Bewertungssystem noch dessen Nichtvorhandensein als Tatsache behauptet. Dieser Punkt muss vor Veröffentlichung anhand der tatsächlichen Bestell-, Zahlungs- und gegebenenfalls Risikoprüfungsprozesse bestätigt werden.

10. Speicherdauer

Nach dem Grundsatz der Speicherbegrenzung in Artikel 5 Abs. 1 Buchstabe e DSGVO werden personenbezogene Daten nicht länger gespeichert, als es für den jeweiligen Verarbeitungszweck erforderlich ist.

Die konkrete Dauer kann je nach Datenart unterschiedlich sein, beispielsweise für:

Bestell- und Vertragsdaten;
Zahlungs- und Transaktionsdaten;
steuer- oder buchhaltungsrelevante Unterlagen;
Kundenservicekommunikation;
technische Sicherheits- und Serverprotokolle;
Cookie- und Einwilligungsinformationen.

Besteht eine konkrete gesetzliche Aufbewahrungspflicht, kann eine Speicherung über die unmittelbare Vertragsabwicklung hinaus erforderlich sein.

Für bestimmte Buchungsbelege sehen § 147 Abs. 3 AO und § 257 Abs. 4 HGB derzeit eine Aufbewahrungsfrist von acht Jahren vor; für die von § 14b Abs. 1 UStG erfassten Rechnungen gilt ebenfalls eine achtjährige Aufbewahrungsfrist. Ob diese deutschen Vorschriften auf den konkreten Betreiber und die jeweiligen Unterlagen tatsächlich anwendbar sind, hängt von dessen rechtlicher und steuerlicher Struktur ab und muss anhand der tatsächlichen Betreiberstruktur bestimmt werden.

Konkrete Speicherfristen für technische Protokolle, Cookies und sonstige technische Daten dürfen erst nach Prüfung der tatsächlichen technischen Konfiguration angegeben werden.

11. Empfänger und Auftragsverarbeiter

Personenbezogene Daten können nur insoweit an Empfänger weitergegeben werden, wie dies für einen bestimmten Verarbeitungszweck erforderlich ist.

Abhängig von der tatsächlich eingesetzten Infrastruktur können hierzu beispielsweise gehören:

Zahlungsabwicklungsdienstleister;
Transport- und Logistikdienstleister;
Hosting- und IT-Dienstleister;
Dienstleister für die tatsächliche Bestell- oder Kundenserviceabwicklung;
Buchhaltungs-, Steuer- oder andere professionelle Dienstleister;
Behörden oder Gerichte, wenn für die konkrete Übermittlung eine entsprechende Rechtsgrundlage besteht.

Soweit ein Dienstleister personenbezogene Daten in unserem Auftrag verarbeitet, gelten die Anforderungen des Artikels 28 DSGVO. Danach dürfen insbesondere nur Auftragsverarbeiter eingesetzt werden, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Konkrete Dienstleister werden nicht genannt, solange deren tatsächlicher Einsatz nicht bestätigt ist.

12. Übermittlung in Drittländer

Übermittlungen personenbezogener Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums unterliegen den Artikeln 44 bis 49 DSGVO.

Eine solche Übermittlung kann insbesondere auf Grundlage erfolgen:

einer Angemessenheitsentscheidung nach Artikel 45 DSGVO;
geeigneter Garantien nach Artikel 46 DSGVO;
oder, in den gesetzlich vorgesehenen besonderen Fällen, einer Ausnahme nach Artikel 49 DSGVO.

Die Europäische Kommission führt Japan derzeit weiterhin als Staat mit einer Angemessenheitsentscheidung nach Artikel 45 DSGVO. Eine solche Entscheidung ermöglicht Datenübermittlungen nur innerhalb ihres tatsächlichen sachlichen Anwendungsbereichs; allein eine japanische Kontaktanschrift beweist daher nicht, dass jede konkrete Übermittlung von der Entscheidung erfasst ist.

Die tatsächlichen Datenflüsse, Empfänger und Speicherorte wurden nicht vollständig bereitgestellt. Daher wird weder behauptet, dass sämtliche Daten nach Japan übertragen werden, noch dass sämtliche Drittlandübermittlungen auf einer Angemessenheitsentscheidung oder auf Standardvertragsklauseln beruhen.

13. Sicherheit und Datenschutz durch Gestaltung

Nach Artikel 32 DSGVO müssen unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie des jeweiligen Risikos geeignete technische und organisatorische Maßnahmen getroffen werden.

Diese Maßnahmen sollen insbesondere dazu beitragen:

unbefugten Zugriff zu verhindern;
unbefugte Offenlegung oder Veränderung zu verhindern;
unbeabsichtigten Verlust zu begrenzen;
Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten angemessen zu schützen.

Artikel 25 DSGVO verlangt außerdem, dass Datenschutzgrundsätze wie Datenminimierung durch geeignete technische und organisatorische Gestaltung sowie angemessene Voreinstellungen berücksichtigt werden.

Wir behaupten keine bestimmten Sicherheitszertifizierungen, Verschlüsselungsstufen oder sonstigen technischen Standards, solange deren tatsächlicher Einsatz nicht bestätigt ist.

14. Datenschutzverletzungen

Wenn eine Verletzung des Schutzes personenbezogener Daten eintritt, gilt Artikel 33 DSGVO.

Danach muss der Verantwortliche eine meldepflichtige Datenschutzverletzung grundsätzlich unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung an die zuständige Aufsichtsbehörde melden, sofern die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Artikel 34 DSGVO enthält eine davon getrennte Pflicht zur Benachrichtigung betroffener Personen, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat und keine dort vorgesehene Ausnahme greift.

Daher führt nicht jede Datenschutzverletzung automatisch zu einer individuellen Benachrichtigung sämtlicher Nutzer.

15. EU-Vertreter und Datenschutzbeauftragter

Wenn Artikel 3 Abs. 2 DSGVO anwendbar ist, verlangt Artikel 27 Abs. 1 grundsätzlich, dass ein nicht in der Europäischen Union niedergelassener Verantwortlicher schriftlich einen Vertreter in der Union benennt.

Die Ausnahme des Artikels 27 Abs. 2 Buchstabe a gilt nur, wenn die betreffende Verarbeitung gelegentlich erfolgt, keine groß angelegte Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten einschließt und unter Berücksichtigung von Art, Umständen, Umfang und Zwecken voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.

Die erforderlichen Tatsachen zur abschließenden Beurteilung dieser Ausnahme und Angaben zu einem tatsächlich bestellten EU-Vertreter wurden nicht bereitgestellt. Deshalb wird kein EU-Vertreter erfunden.

Ein Datenschutzbeauftragter muss nach Artikel 37 DSGVO nur unter den dort vorgesehenen Voraussetzungen bestellt werden. Ergänzend bestimmt § 38 Abs. 1 BDSG für bestimmte nichtöffentliche Stellen unter anderem eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Weitere Benennungspflichten können nach § 38 Abs. 1 BDSG unabhängig von dieser Personenzahl bestehen.

Da hierzu keine ausreichenden tatsächlichen Angaben vorliegen, wird kein Datenschutzbeauftragter benannt.

16. So üben Sie Ihre Rechte aus

Datenschutzbezogene Anfragen können Sie vorzugsweise per E-Mail an distribution@zisavahouse.com senden.

Zur Bearbeitung können Sie je nach Art Ihres Anliegens insbesondere folgende Angaben machen:

Ihren Namen;
die bei einer Bestellung verwendete E-Mail-Adresse;
Ihre Bestellnummer, wenn sich die Anfrage auf eine bestimmte Bestellung bezieht;
das Datenschutzrecht, das Sie ausüben möchten;
eine ausreichend konkrete Beschreibung Ihrer Anfrage.

Wenn begründete Zweifel an Ihrer Identität bestehen, erlaubt Artikel 12 Abs. 6 DSGVO die Anforderung zusätzlicher Informationen, soweit diese zur Bestätigung Ihrer Identität erforderlich sind.

Eine Identitätsprüfung wird auf das erforderliche Maß beschränkt. Wir verlangen nicht generell die Übersendung eines Reisepasses oder Personalausweises und verlangen keine vollständigen Kartendaten, PIN, CVV/CVC oder Passwörter für eine Datenschutzanfrage.

17. Fristen und Kosten für Datenschutzanfragen

Nach Artikel 12 Abs. 3 DSGVO erhalten Sie grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Eingang Ihres Antrags Informationen über die daraufhin getroffenen Maßnahmen.

Wenn dies aufgrund der Komplexität oder Anzahl der Anträge erforderlich ist, kann die Frist um höchstens zwei weitere Monate verlängert werden. In diesem Fall müssen Sie innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.

Die Ausübung der Datenschutzrechte ist nach Artikel 12 Abs. 5 grundsätzlich kostenlos.

Bei offensichtlich unbegründeten oder exzessiven Anträgen, insbesondere bei häufiger Wiederholung, kann unter den gesetzlichen Voraussetzungen entweder ein angemessenes Entgelt unter Berücksichtigung der Verwaltungskosten verlangt oder die Bearbeitung verweigert werden. Die Voraussetzungen dafür müssen vom Verantwortlichen nachgewiesen werden. Es wird keine pauschale Gebühr für GDPR-Anfragen erhoben.

18. Beschwerde und gerichtlicher Rechtsschutz

Nach Artikel 77 DSGVO haben Sie das Recht, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Eine Beschwerde kann insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes eingereicht werden.

Da anhand der derzeit verfügbaren Informationen keine einzelne deutsche Aufsichtsbehörde als ausschließlich zuständig bestimmt werden kann, wird keine bestimmte Landesbehörde als alleinige Beschwerdestelle angegeben.

Unter den Voraussetzungen der Artikel 78 und 79 DSGVO stehen zusätzlich gerichtliche Rechtsbehelfe gegen Entscheidungen einer Aufsichtsbehörde beziehungsweise gegen eine rechtswidrige Verarbeitung durch einen Verantwortlichen oder Auftragsverarbeiter zur Verfügung.

Nach Artikel 82 DSGVO kann eine Person, die wegen eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erlitten hat, unter den dort vorgesehenen Voraussetzungen Anspruch auf Schadenersatz haben.

19. Kontakt

Bei Fragen zu dieser GDPR-Richtlinie oder zur Ausübung Ihrer Datenschutzrechte ist E-Mail unser bevorzugter Kontaktweg.

Anschrift: 305, 1-8-3 OTE, NAGASAKI-SHI, NAGANO-KEN, 852-8127, JAPAN
E-Mail: distribution@zisavahouse.com
Telefon: +81 (802) 801 06 51
Geschäftszeiten: Montag bis Freitag, 8:30 bis 16:00 Uhr.