Stand 6. November 2026 · Version 5
Informationen gemäß Art. 13 Datenschutz-Grundverordnung (DSGVO) und § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).
Verantwortlicher
Andreas Ebner — DeFactory, Hansjakobweg 13, 76275 Ettlingen, Deutschland. E-Mail: contact@yourcandles.net.
Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht zur Benennung besteht.
Grundsätze
YourCandles verwendet keine Werbenetzwerke, keine Social-Media-Plugins und kein seitenübergreifendes Tracking. Schriften und Bilder werden von unserem eigenen Server ausgeliefert. Für eine Nutzungsstatistik betreiben wir eine eigene Installation von Plausible Analytics (siehe unten). Wir verarbeiten personenbezogene Daten nur, soweit das für die Website, deine Bestellung oder deine Anfrage erforderlich ist.
Hosting und Server-Logfiles
Die Website und das Shop-System laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, Serverstandort Nürnberg (Deutschland). Hetzner verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags über Auftragsverarbeitung nach Art. 28 DSGVO. Auf diesem Server liegen auch die Shop-Datenbank (Kundenkonten, Bestellungen) und die gespeicherten Rechnungen.
Beim Aufruf der Website verarbeitet unser Webserver automatisch: IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene Adresse, verweisende Adresse (Referrer), Browser und Betriebssystem (User-Agent) sowie die übertragene Datenmenge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die technische Bereitstellung, Stabilität und Sicherheit der Website, etwa die Abwehr von Angriffen. Logfiles werden spätestens nach 7 Tagen gelöscht, sofern nicht ein Sicherheitsvorfall eine längere Aufbewahrung erfordert.
Nutzungsstatistik (Plausible Analytics)
Um zu verstehen, wie die Website genutzt wird, betreiben wir Plausible Analytics auf unserem eigenen Server (analytics.defactory.eu). Ein externer Analyse-Anbieter ist nicht beteiligt; die Daten verlassen unsere Infrastruktur nicht.
Plausible arbeitet ohne Cookies und speichert nichts auf deinem Gerät. Pro Seitenaufruf werden die aufgerufene Seite, die verweisende Seite, das ungefähre Herkunftsland sowie Browser, Betriebssystem und Gerätetyp erfasst. Um wiederkehrende Aufrufe innerhalb eines Tages zu erkennen, werden IP-Adresse und Browserkennung zusammen mit einem täglich wechselnden Zufallswert in einen nicht umkehrbaren Hashwert umgerechnet; die IP-Adresse selbst wird nicht gespeichert. Nach dem Tageswechsel lässt sich der Hashwert nicht mehr mit früheren Aufrufen verknüpfen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, in zusammengefasster Form zu verstehen, welche Seiten genutzt werden, um den Shop zuverlässig zu betreiben und zu verbessern. Das Skript liest nur einen Eintrag aus deinem Browser: Es prüft, ob du der Messung mit dem Eintrag plausible_ignore im Local Storage widersprochen hast, und zählt dann nicht. Dieser Zugriff dient allein dazu, deinen Widerspruch zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist deshalb nicht erforderlich. Du kannst der Messung jederzeit widersprechen (siehe „Widerspruchsrecht“), am einfachsten über den Schalter „Nicht mitzählen“ auf dieser Seite.
Die Statistik besteht aus zusammengefassten Zahlen ohne Personenbezug und wird ohne festes Löschdatum aufbewahrt. Seiten mit Einmal-Links (Kontobestätigung, Passwort zurücksetzen) werden nicht gemessen.
Kundenkonto und Gastbestellung
Du kannst als Gast bestellen oder ein Kundenkonto anlegen. Für das Konto speichern wir E-Mail-Adresse, Name und Passwort (nur als Hash, nie im Klartext), dazu die von dir gespeicherten Adressen und deine Bestellhistorie. Zur Bestätigung deiner E-Mail-Adresse und zum Zurücksetzen des Passworts senden wir dir E-Mails mit einem zeitlich begrenzten Link. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Vertragsanbahnung).
Du kannst dein Konto jederzeit löschen, in den Kontoeinstellungen oder per E-Mail an contact@yourcandles.net. Bestell- und Rechnungsdaten bewahren wir danach nur so lange auf, wie gesetzliche Pflichten es verlangen (siehe „Speicherdauer“).
Bestellung, Rechnung und Versand
Zur Abwicklung deiner Bestellung verarbeiten wir Bestell-, Rechnungs- und Lieferdaten: Name, Anschrift, E-Mail-Adresse, bestellte Artikel, Preise und Zahlungsstatus (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsunterlagen bewahren wir zur Erfüllung steuer- und handelsrechtlicher Pflichten auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 14b UStG).
Für die Zustellung übermitteln wir Name und Lieferanschrift an das beauftragte Versandunternehmen, je nach Sendung DHL (Deutsche Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn, bzw. deren Tochter DHL Paket GmbH) oder Hermes (Hermes Germany GmbH, Essener Bogen 1, 22419 Hamburg). Deine E-Mail-Adresse geben wir an das Versandunternehmen nur weiter, wenn du im Checkout eingewilligt hast, damit es dich über die Zustellung informieren kann (Art. 6 Abs. 1 lit. a DSGVO); diese Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Zahlung über Stripe, Apple Pay und Google Pay
Kartenzahlungen sowie Zahlungen mit Apple Pay und Google Pay wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Betrugsprävention stützt sich zusätzlich auf unser und Stripes berechtigtes Interesse an einer sicheren Zahlungsabwicklung (Art. 6 Abs. 1 lit. f DSGVO).
Im Zahlungsschritt verbindet sich dein Browser mit Stripe. Stripe erhält Betrag und Währung, eine Zahlungskennung unserer Bestellung, die für die Zahlung angegebenen Kontakt- und Rechnungsdaten, IP-Adresse, Geräte- und Browserdaten sowie Signale zur Betrugsprävention. Bist du angemeldet, legt Stripe für dich einen Kundendatensatz mit Name, E-Mail-Adresse und Rechnungsanschrift an. Deine vollständigen Kartendaten gibst du in das Formular von Stripe ein; sie erreichen unsere Server nicht. Wir erhalten Transaktionskennung, Status, Zahlungsart und begrenzte Karteninformationen (z. B. Kartenmarke, letzte vier Ziffern). Stripe handelt teilweise als unser Auftragsverarbeiter und teilweise in eigener Verantwortung, etwa für gesetzliche Pflichten zur Geldwäsche- und Betrugsprävention. Datenschutzhinweise von Stripe: https://stripe.com/de/privacy.
Zahlst du mit Apple Pay oder Google Pay, ist zusätzlich der Wallet-Anbieter beteiligt: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, bzw. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Wallet-Anbieter erhält die Zahlungsanforderung (Betrag, Händler) und gibt an Stripe eine gerätegebundene Kennung (Token) statt deiner Kartennummer weiter (Art. 6 Abs. 1 lit. b DSGVO). Welche Daten der Wallet-Anbieter darüber hinaus verarbeitet, richtet sich nach deinem Vertrag mit ihm: https://www.apple.com/legal/privacy/data/de/apple-pay/ und https://policies.google.com/privacy.
E-Mails
Bestellbestätigungen, Rechnungen, Versandinformationen, Eingangsbestätigungen zu Widerrufen und Konto-E-Mails senden wir über den Dienst „Transactional Email“ der Scaleway SAS, 8 rue de la Ville-l’Évêque, 75008 Paris, Frankreich, als unseren Auftragsverarbeiter (Art. 28 DSGVO). Scaleway erhält dafür Empfängeradresse, Betreff und Inhalt der E-Mail sowie technische Zustelldaten; die Verarbeitung erfolgt in Rechenzentren in der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Newsletter oder Werbe-E-Mails versenden wir nicht.
Kontaktformular und E-Mail-Anfragen
Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deine Angaben (Name, E-Mail-Adresse, Thema, gegebenenfalls Bestellnummer, Nachricht), um deine Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung deiner Nachricht. Anfragen löschen wir, sobald sie erledigt sind und keine Aufbewahrungspflicht besteht.
Online-Widerrufsfunktion
Wenn du einen Vertrag über die Schaltfläche „Vertrag widerrufen“ widerrufst, verarbeiten wir deinen Namen, die Bestellnummer, die von dir angegebene E-Mail-Adresse, gegebenenfalls die betroffenen Artikel sowie Datum und Uhrzeit des Eingangs. Wir nutzen diese Daten, um den Widerruf abzuwickeln und dir die gesetzlich vorgeschriebene Eingangsbestätigung zu senden (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB, außerdem Art. 6 Abs. 1 lit. b DSGVO). Die Erklärung bewahren wir als Geschäftsunterlage auf (siehe „Speicherdauer“).
Speicherdauer
Server-Logfiles: spätestens 7 Tage.
Kundenkonto: bis zur Löschung durch dich.
Warenkorb und Einstellungen im Browser: bis du sie löschst.
Rechnungen und Buchungsbelege: 8 Jahre (§ 14b UStG, § 147 Abs. 3 AO). Bücher und Jahresabschlüsse: 10 Jahre. Handels- und Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen, darunter Widerrufserklärungen: 6 Jahre. Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist (§ 147 Abs. 4 AO).
Anfragen: bis zur Erledigung, danach nur, soweit eine Aufbewahrungspflicht besteht.
Nutzungsstatistik: zusammengefasste Zahlen ohne Personenbezug, unbefristet.
Nach der Löschung eines Kundenkontos sind aufbewahrungspflichtige Unterlagen für andere Zwecke gesperrt und werden nach Fristablauf gelöscht.
Empfänger und Übermittlung in Drittländer
Empfänger deiner Daten sind, jeweils nur im erforderlichen Umfang: unser Hosting-Anbieter, unser E-Mail-Versanddienstleister Scaleway, das beauftragte Versandunternehmen (DHL oder Hermes), Stripe und gegebenenfalls der von dir gewählte Wallet-Anbieter. Wir verkaufen oder vermieten keine personenbezogenen Daten.
Unser Vertragspartner für Zahlungen, Stripe Payments Europe, Ltd., sitzt in Irland. Stripe kann verbundene Unternehmen außerhalb der EU einbeziehen, insbesondere die Stripe, Inc. in den USA. Diese ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht; zusätzlich gelten die Standardvertragsklauseln der EU-Kommission. Bei Zahlung mit Apple Pay oder Google Pay können die Wallet-Anbieter Daten an Apple Inc. bzw. Google LLC in den USA übermitteln; beide sind ebenfalls nach dem EU-US Data Privacy Framework zertifiziert.
Hosting und Nutzungsstatistik finden in Deutschland statt, der E-Mail-Versand über Scaleway in der EU; dabei werden keine Daten in Drittländer übermittelt.
Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Anfragen richtest du an contact@yourcandles.net.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Widerspruchsrecht (Art. 21 DSGVO)
Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung dich betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Legst du Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Keine automatisierte Entscheidungsfindung
Wir treffen keine automatisierten Entscheidungen einschließlich Profiling im Sinne von Art. 22 DSGVO. Stripe prüft Zahlungen in eigener Verantwortung automatisiert auf Betrugsrisiken und kann eine Zahlung ablehnen; Informationen dazu und zu deinen Rechten gegenüber Stripe findest du in den Datenschutzhinweisen von Stripe.
Pflicht zur Bereitstellung
Die im Bestellvorgang als Pflichtfelder gekennzeichneten Angaben sind für den Vertragsschluss erforderlich; ohne sie können wir deine Bestellung nicht annehmen. Weitere Angaben sind freiwillig.
Datensicherheit
Die Website wird ausschließlich verschlüsselt über HTTPS ausgeliefert. Passwörter speichern wir nur als Hash. Rechnungen und andere Dateien liegen in einem privaten Speicher, der nicht öffentlich erreichbar ist; der Zugang zur Verwaltung ist nur über eine geschützte Verbindung möglich.
Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich der Shop, unsere Abläufe oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.