Datenschutz - Kunden

1. Name und Kontaktdaten des Verantwortlichen

novacare GmbH

Bruchstr. 48

67098 Bad Dürkheim

2. Kontaktdaten des Datenschutzbeauftragten

DSBX GmbH

Gablonzer Straße 4

76185 Karlsruhe

E-Mail: novacare@dsbx.one

3. Zwecke und Rechtsgrundlagen der Datenverarbeitung

Vertragsabwicklung und CRM: Zur Anbahnung, Durchführung und Abrechnung von Verträgen verarbeiten wir im ERP-System Daten von Geschäftskontakten (B2B) und Privatpersonen (B2C). Eine Bonitätsprüfung bei Auskunfteien vor Vertragsschluss erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Onlineshop-Betrieb: Für den Betrieb unserer Onlineshops nutzen wir das Shopsystem Shopify. Shopify bindet in seiner Grundversion diverse Drittanbieter (z. B. für Zahlung und Versand wie PayPal, DHL etc.) ein. Durch optional erhältliche Apps können zudem weitere Services angebunden werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Direktwerbung für Bestandskunden: Wir informieren unsere Bestandskunden primär per E-Mail und vereinzelt per Post über ähnliche Produkte unseres Sortiments (unter Beachtung der Vorgaben des § 7 Abs. 3 UWG). In den Newslettern wird ein unkompliziertes Opt-Out-Verfahren (Abmeldelink) bereitgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absatzförderung und Kundenbindung).

E-Mail-Marketing und Tracking: Für den Versand von Newslettern setzen wir den Dienst Klaviyo ein. Klaviyo erfasst und analysiert das Klick- und Öffnungsverhalten der Empfänger, um diese Daten zur nachbereitenden Analyse bereitzustellen. Rechtsgrundlage für dieses Tracking ist Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Messeaufträge und Lead-Erfassung: Auf Messen nutzen wir die Anwendung MoreApp zur Erfassung von Aufträgen sowie in seltenen Fällen zur Erfassung von Kundendaten (Leads ohne direkten Kaufabschluss). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Neukundengewinnung).

Einsatz KI-gestützter Systeme

Zur Bearbeitung Ihrer Bestellungen und zur Verbesserung unserer Abläufe setzen wir KI-gestützte Anwendungen ein. Konkret verarbeiten wir personenbezogene Daten im Rahmen eines KI-basierten Auftragsimports sowie zur Analyse und Auswertung von Bestell- und Kundendaten. Hierfür nutzen wir Dienste der IONOS SE. Künftig kommen zudem KI-Funktionen von Microsoft (Microsoft Copilot) zum Einsatz, etwa zur Erstellung von Antwortvorschlägen und zur Auswertung von Daten (z. B. in Excel).

Zwecke: Abwicklung und Verwaltung Ihrer Bestellungen, Kundenkommunikation sowie Optimierung und Auswertung unserer Geschäftsprozesse.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Auftragsbearbeitung; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienten, wirtschaftlichen Abläufen) für Analyse- und Auswertungszwecke.

Keine Nutzung zu Trainingszwecken: Die im Rahmen dieser Dienste verarbeiteten personenbezogenen Daten werden von IONOS und Microsoft nicht zum Training oder zur Weiterentwicklung der KI-Modelle verwendet. Die Verarbeitung erfolgt ausschließlich weisungsgebunden für die genannten Zwecke; der Einsatz erfolgt damit datenschutzkonform.

Auftragsverarbeitung: Die eingesetzten Anbieter (IONOS SE, Microsoft) sind auf Grundlage entsprechender Verträge (Auftragsverarbeitungsvertrag bzw. Microsoft Data Protection Addendum) als Auftragsverarbeiter für uns tätig. Soweit eine Verarbeitung außerhalb der EU oder des EWR erfolgt, ist diese durch die EU-Standardvertragsklauseln abgesichert.

Keine automatisierte Entscheidung im Einzelfall: Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung i.S.d. Art. 22 DSGVO findet nicht statt.

4. Empfänger oder Kategorien von Empfängern der Daten

Hosting- und Cloud-Dienstleister: Unsere Systeme werden primär On-Premise betrieben; ergänzend nutzen wir IONOS für das Hosting von Teilanwendungen sowie Shopify für die Onlineshops. Backups werden verschlüsselt On-Premise und zusätzlich bei IONOS gesichert.

Marketing- und Vertriebs-Tools: Im Rahmen von Auftragsverarbeitungsverträgen erhalten die Anbieter Klaviyo Inc. und MoreApp Zugriff auf Daten. Zudem werden Daten an die über Shopify eingebundenen Zahlungs- und Versanddienstleister weitergegeben.

5. Datenübermittlung in Drittländer

Durch den Einsatz von Cloud-Services wie Shopify und Klaviyo sowie die Einbindung optionaler Apps im Onlineshop werden Daten an Dienstleister in Drittländern (insbesondere in die USA) übermittelt. Wir stellen sicher, dass diese Übermittlungen datenschutzrechtlich legitimiert sind: Bei zertifizierten US-Anbietern stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework). Bei anderen Anbietern schließen wir verbindliche EU-Standardvertragsklauseln (SCCs) ab, um ein angemessenes Datenschutzniveau zu garantieren.

6. Speicherdauer

Vertragsdaten: Nach vollständiger Abwicklung des Vertrages werden die Daten für die Dauer der gesetzlichen steuer- und handelsrechtlichen Aufbewahrungsfristen (i. d. R. 6 Jahre nach § 257 HGB und 10 Jahre nach § 147 AO) gespeichert.

Interessenten- und Lead-Daten: Reine Kontaktdaten von Interessenten (z. B. aus der Erfassung über MoreApp) werden gelöscht, sobald der Zweck für die Erfassung entfällt (z. B. bei ausbleibendem geschäftlichen Interesse) und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Bereitstellung der Daten und automatisierte Entscheidungsfindung

Pflicht zur Bereitstellung: Die Bereitstellung Ihrer personenbezogenen Daten ist in der Regel für den Vertragsabschluss oder die Durchführung vorvertraglicher Maßnahmen erforderlich. Stellen Sie die erforderlichen Daten nicht bereit, können wir den Vertrag mit Ihnen unter Umständen nicht abschließen oder erfüllen.

Automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

8. Betroffenenrechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Besonderer Hinweis zum Widerspruchsrecht:

Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Direktwerbung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft zu widersprechen (Art. 21 Abs. 2 DSGVO).

Zudem steht Ihnen ein Beschwerderecht bei der zuständigen Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).