Datenschutzerklärung

Acnova Oy – Tuusula, Finnland

In dieser Datenschutzerklärung wird beschrieben, wie die Acnova Oy personenbezogene Daten gemäß der Datenschutz-Grundverordnung der EU (DSGVO / GDPR) und den finnischen Datenschutzbestimmungen verarbeitet.

Wir können folgende Datenkategorien verarbeiten:

• Vor- und Nachname

• Firmenname

• E-Mail-Adresse

• Telefonnummer

• Liefer- und Rechnungsadresse

• Bestelldaten

• Bestellhistorie

• über Formulare oder den Chat übermittelte Nachrichten

• Analysedaten (auf Grundlage Ihrer Einwilligung)

• IP-Adresse (gehasht zur Protokollierung der Cookie-Einwilligung)

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Erfüllung eines Vertrags (Bestellungen, Lieferung, Zahlungen)

• gesetzliche Verpflichtung (Buchführung und Steuern)

• berechtigtes Interesse (Sicherheit der Website, Betrugsprävention)

• Einwilligung (Analyse, Marketing, Cookies)

Wir verwenden Google Analytics 4 zur Analyse der Website-Nutzung. Die Analyse wird erst nach Einwilligung der Nutzerin oder des Nutzers aktiviert. Vor der Einwilligung werden keine Analyse-Cookies geladen. Wir setzen den Google Consent Mode v2 ein.

Die Protokolle der Cookie-Einwilligung werden 365 Tage in geschützter Form gespeichert (IP-Adresse und User-Agent werden unter Verwendung eines Salts gehasht).

Dienstleister:

Google Ireland Limited.

Für die Zahlungsabwicklung nutzen wir Stripe und Paytrail. Die Zahlungsdienstleister handeln in Bezug auf die Zahlungsdaten als eigenständig Verantwortliche.

Um Ihre Bestellung zu liefern, geben wir die Empfängerdaten an den gewählten Transportdienstleister weiter: Name, Lieferadresse oder Abholstation, E-Mail und Telefonnummer.

An wen. Die von uns eingesetzten Dienstleister sind Shipit Oy Ab, PostNord Oy. Sie handeln als Auftragsverarbeiter in unserem Auftrag und nutzen die Daten ausschließlich für die Zustellung und deren Benachrichtigungen (z. B. SMS «Paket abholbereit»).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist zur Erfüllung des Bestellvertrags erforderlich. Eine gesonderte Einwilligung ist nicht nötig.

Wie lange. Kontaktdaten (E-Mail, Telefon) werden aus der Bestellung gelöscht, wenn Sie die Löschung Ihres Kontos verlangen. Name und Lieferadresse des Empfängers bleiben für die gesetzliche buchhalterische Aufbewahrungsfrist erhalten, da sie Teil des Nachweises der gelieferten Bestellung sind (Art. 17 Abs. 3 lit. b DSGVO).

Service- und transaktionsbezogene Nachrichten. Bestellbestätigungen, Proformarechnungen, Rechnungen, Zahlungsbenachrichtigungen und Gutschriften versenden wir auf der Grundlage der Erfüllung des mit Ihnen geschlossenen Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung unserer rechtlichen Verpflichtungen, insbesondere im Bereich der Buchführung (Art. 6 Abs. 1 lit. c DSGVO). Hierbei handelt es sich nicht um Marketing; diese Nachrichten bedürfen keiner gesonderten Einwilligung und können nicht abbestellt werden, solange Ihre Bestellung besteht.

Marketingnachrichten. Newsletter und Angebote sowie Erinnerungen an nicht abgeschlossene Bestellungen (Warenkorbabbruch) versenden wir ausschließlich auf der Grundlage der bei der Bestellung erteilten Einwilligung oder im Rahmen der Direktwerbung gegenüber bestehenden Kunden nach den Bestimmungen des finnischen Gesetzes über Dienste der elektronischen Kommunikation (Laki sähköisen viestinnän palveluista 917/2014, § 200). Jede Marketing-E-Mail enthält einen Abmeldelink, über den Sie sich mit einem Klick abmelden können; nach Ihrer Abmeldung senden wir Ihnen keine weiteren Marketingnachrichten. Der Versand erfolgt über Google Workspace.

Nachdem Ihre Bestellung geliefert wurde, können wir Ihnen auch danken und Sie einladen, eine Bewertung Ihres Einkaufs abzugeben (auch über unseren Bewertungspartner Trustpilot). Diese E-Mails werden auf derselben Grundlage versendet — Direktmarketing an Bestandskunden (§ 200) — und enthalten wie alle Marketingnachrichten einen Ein-Klick-Abmeldelink.

Für das Sammeln von Bewertungen nutzen wir den Dienst Trustpilot (Trustpilot A/S, Dänemark, EU). In unserem Auftrag werden ihm Ihr Name, Ihre E-Mail-Adresse und der Inhalt Ihrer Bestellung übermittelt, um Ihnen eine Einladung zur Abgabe einer Bewertung zu senden. Trustpilot handelt als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags; Verantwortlicher bleibt Acnova Oy.

Für die Kontaktaufnahme nutzen wir die WhatsApp Business API (Meta) und Telegram. In beiden Kanälen antwortet Ihnen die KI-Assistentin Hanna — siehe Abschnitt 9. Daten können dabei in Länder außerhalb des EWR übermittelt werden, siehe Abschnitt 13.

Wenn Sie im Chat auf unserer Website sowie bei WhatsApp und Telegram schreiben, sprechen Sie mit Hanna — einer KI-Assistentin der Acnova Oy. Sie ist kein Mensch. Das sagen wir bereits in der ersten Nachricht und im Kopf des Chats. Sie können jederzeit einen Menschen verlangen — es genügt, das zu sagen: Das Gespräch wird dann an eine Person übergeben, und Hanna zieht sich zurück.

Was verarbeitet wird. Der Text Ihrer Nachrichten und frühere Nachrichten desselben Gesprächs; Dateien, die Sie selbst anhängen; die Sprache Ihrer Oberfläche und die Seite, von der aus Sie geschrieben haben. Name, E-Mail und, falls nötig, Telefonnummer — nur das, was Sie selbst angeben.

Wozu und auf welcher Grundlage. Ausschließlich um Ihre Frage zu beantworten und Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — Schritte auf Ihre eigene Anfrage hin vor Vertragsschluss. Eine gesonderte Einwilligung ist dafür nicht erforderlich und wird nicht eingeholt. Der Newsletter ist eine gesonderte Angelegenheit: Er wird nur mit gesonderter Einwilligung versandt, die per Link in einer E-Mail bestätigt wird.

Wer die Konversation noch sieht. Damit Hanna antworten kann, wird der Text des Gesprächs an unseren Anbieter des KI-Modells übermittelt — Anthropic PBC, der als unser Unterauftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags tätig ist. Verantwortlicher bleibt die Acnova Oy. Die Verarbeitung erfolgt in den USA; Grundlage der Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission (SCC) — Näheres in Abschnitt 13. Nach den Bedingungen des Anbieters wird Ihr Gespräch nicht zum Training seiner Modelle verwendet.

Was das Modell nie zu sehen bekommt. Anfragen, bei denen es um Gesundheit geht — Hautreaktion, Verbrennung, Ausschlag, Arztbesuch —, werden dem externen Modell überhaupt nicht übermittelt: Ein solches Anliegen übernimmt sofort ein Mensch. Es handelt sich um besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), und wir haben uns entschieden, sie nicht einmal für eine Sekunde nach außen zu geben.

Wie lange wir speichern. Wir speichern das Gespräch, solange es für die Bearbeitung Ihrer Anfrage erforderlich ist. Entsteht aus dem Gespräch eine Bestellung oder Rechnung, gelten dafür die Fristen aus Abschnitt 12.

Löschung. Schreiben Sie an [email protected] — wir löschen Ihre Kontaktdaten und entfernen sie aus dem Gesprächstext ohne unangemessene Verzögerung, in jedem Fall innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Das Gespräch selbst kann dabei in anonymisierter Form erhalten bleiben — ohne Namen, E-Mail und Telefonnummer. Wir bewahren zudem den Nachweis darüber auf, was Ihnen gezeigt wurde und was Sie geantwortet haben (Art. 7 Abs. 1 DSGVO): Dazu sind wir verpflichtet, und Ihre Kontaktdaten wurden daraus entfernt.

Wenn Sie ein Kundenkonto haben, können Sie dasselbe selbst tun: Unter „Meine Daten" sehen Sie genau, was über Sie gespeichert ist, bis wann wir es aufbewahren müssen, und finden dort eine Schaltfläche für den Löschantrag.

Zum Schutz der Formulare wird Google reCAPTCHA verwendet.

Die Website kann eingebettete Inhalte enthalten (YouTube, Karten), die im Zusammenhang mit der Interaktion Daten erheben können.

Einsatz von Cloudflare (CDN und Schutz der Website)

Unsere Website nutzt Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) als Reverse-Proxy, Content Delivery Network (CDN), Web Application Firewall (WAF) sowie zum Schutz vor DDoS-Angriffen und schädlichen Bots. Der gesamte Datenverkehr zwischen Ihrem Gerät und unserer Website läuft über das Netzwerk von Cloudflare.

Als unser Unterauftragsverarbeiter verarbeitet Cloudflare die IP-Adresse des Besuchers, die Metadaten der Anfrage (u. a. Seitenadresse, Browsertyp und -version, Referrer und Anfrage-Header) sowie die technischen Cookies von Cloudflare. Da Cloudflare als Reverse-Proxy fungiert und die verschlüsselte (TLS-)Verbindung terminiert, ist der Inhalt des Datenverkehrs für Cloudflare zum Zeitpunkt der Verarbeitung technisch zugänglich. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit, Verfügbarkeit und Leistungsfähigkeit der Website.

Die Verarbeitung erfolgt im globalen Netzwerk von Cloudflare, einschließlich Servern in den USA, was eine Übermittlung personenbezogener Daten in ein Drittland außerhalb des EWR darstellt. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (SCC), die Bestandteil des Cloudflare-Auftragsverarbeitungsvertrags (DPA) sind, mit ergänzenden Schutzmaßnahmen; zusätzlich ist Cloudflare, Inc. unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://www.cloudflare.com/gdpr/subprocessors/ ; https://www.cloudflare.com/privacypolicy/ .

Buchhaltungsdaten — 10 Jahre. Wir bewahren Bestellungen, Rechnungen, Zahlungen und zugehörige Dokumente 10 Jahre ab Ende des Geschäftsjahres auf, in dem das Dokument entstanden ist. Jede Gesellschaft der Gruppe ist Verantwortlicher für die Dokumente ihrer eigenen Kunden: Acnova Oy für Rechnungen und Bestellungen ihrer eigenen (finnischen und sonstigen) Kunden, YDE Areal Est OÜ für Rechnungen und Bestellungen ihrer eigenen estnischen Kunden. Für die Dokumente beider Gesellschaften gilt dieselbe Aufbewahrungsfrist.

Das Gesetz verlangt weniger: Das finnische Buchhaltungsgesetz (kirjanpitolaki 1336/1997, Kap. 2 § 10) verlangt 10 Jahre für Bücher und 6 Jahre für Belege; das estnische Buchhaltungsgesetz (raamatupidamise seadus § 12) verlangt mindestens 7 Jahre. Wir haben uns bewusst für eine einheitliche, längere Frist entschieden — das ist einfacher, und so löschen wir garantiert nichts, was wir aufbewahren müssen.

Solange die Frist läuft, können wir diese Datensätze auf Anfrage nicht löschen — das ergibt sich unmittelbar aus Art. 17 Abs. 3 lit. b DSGVO (die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich). Ihre Verarbeitung wird jedoch eingeschränkt (Art. 18 DSGVO): Solche Datensätze werden von Marketing, Analyse und Empfehlungen ausgeschlossen und bestehen nur aufgrund gesetzlicher Pflicht fort. Nach Ablauf der Frist werden sie auf normalem Weg gelöscht. Das genaue Datum für Ihre eigenen Daten können Sie selbst im Kundenkonto unter „Meine Daten" einsehen.

Alles Weitere. Marketingdaten — bis zum Widerruf der Einwilligung. Protokolle der Cookie-Einwilligung — 365 Tage. Chat-Verläufe — siehe Abschnitt 9.

Ein Teil unserer Anbieter verarbeitet Daten außerhalb des EWR. Wir nennen sie ausdrücklich, damit Sie wissen, um wen es geht:

— Anthropic PBC (USA) — das KI-Modell, auf dem die Assistentin Hanna basiert. Übermittelt werden der Text der Konversation und die von Ihnen selbst angehängten Dateien (Abschnitt 9). — Cloudflare, Inc. (USA) — Schutz und Auslieferung der Website. Was genau übermittelt wird und auf welcher Grundlage, ist ausführlich in Abschnitt 11 beschrieben. — WhatsApp / Meta — Konversationen im WhatsApp-Kanal (Abschnitt 8). — Google Ireland Limited — Analyse- und E-Mail-Dienst (Abschnitte 4, 7); innerhalb der Google-Gruppe können Daten außerhalb des EWR verarbeitet werden.

Grundlage der Übermittlung: die Standardvertragsklauseln der Europäischen Kommission (SCC), die Bestandteil der Auftragsverarbeitungsverträge mit unseren Anbietern sind; soweit anwendbar, gilt zusätzlich die Zertifizierung des jeweiligen Anbieters nach dem EU-U.S. Data Privacy Framework.

Eine Kopie der angewandten Garantien (der vertraglichen Übermittlungsbedingungen) können Sie bei uns unter [email protected] anfordern — wir sind verpflichtet, sie zur Verfügung zu stellen (Art. 13 Abs. 1 lit. f und Art. 15 Abs. 2 DSGVO).

Sie haben das Recht:

• Auskunft über Ihre eigenen Daten zu erhalten

• Berichtigung zu verlangen

• Löschung zu verlangen

• die Verarbeitung einschränken zu lassen

• Ihre Einwilligung zu widerrufen

• Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzulegen

Acnova Oy

E-Mail:

[email protected]

Telefon:

+358 9 424 513 15