Datenschutzerklärung

Datenschutzerklärung

Stand: 24. September 2026

Hier steht, welche Daten wir verarbeiten, wenn Du unseren Shop besuchst, bestellst oder mit uns sprichst, warum wir das tun und welche Rechte Du hast. Wir haben es so konkret wie möglich geschrieben: Jeder Dienst, der Deine Daten sieht, steht mit Namen hier drin.

1. Wer verantwortlich ist

Alevo Craftwork GmbH, Am Hofrasen 3, 36103 Flieden, Deutschland, vertreten durch den Geschäftsführer Dr. Thorsten Lottici. Telefon 06669 999 4068, E-Mail info@craftbrothers.net. Craftbrothers ist eine Marke dieser Gesellschaft. Einen Datenschutzbeauftragten müssen wir nach der Größe unseres Betriebs nicht benennen; Datenschutzfragen beantwortet die Geschäftsführung unter der genannten Adresse.

2. Deine Rechte

Du hast das Recht auf Auskunft über Deine bei uns gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeiten wir Daten auf Grundlage berechtigter Interessen, kannst Du aus Gründen Deiner besonderen Situation widersprechen (Art. 21); gegen Direktwerbung kannst Du jederzeit ohne Angabe von Gründen widersprechen. Eine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen. Eine E-Mail an info@craftbrothers.net genügt.

Du kannst Dich außerdem bei einer Aufsichtsbehörde beschweren, für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, datenschutz.hessen.de.

3. Der Shop läuft auf Shopify

Unser Shop wird von Shopify betrieben (Shopify International Ltd., Victoria Buildings, 1–2 Haddington Road, Dublin 4, Irland). Shopify stellt die Shop-Software, die Server, den Checkout, das Kundenkonto und die Zahlungsabwicklung bereit und verarbeitet dabei in unserem Auftrag alle Daten, die im Shop anfallen (Art. 28 DSGVO). Konzernintern überträgt Shopify Daten auch nach Kanada (Angemessenheitsbeschluss der EU-Kommission) und in die USA auf Grundlage verbindlicher interner Datenschutzvorschriften (Binding Corporate Rules). Für einzelne Funktionen, insbesondere Shop Pay, das Shop-Konto und die Betrugsprävention im Checkout, ist Shopify selbst Verantwortlicher; dafür gilt die Datenschutzerklärung von Shopify für Kundinnen und Kunden.

Beim Aufruf einer Seite entstehen Server-Protokolle: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Sie dienen dem sicheren Betrieb und der Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO) und werden nach kurzer Zeit gelöscht.

Weitere Seiten unserer Marken. Einzelne Informations- und Aktionsseiten sowie die Seiten unserer Marke Jeckenzentrale (jeckenzentrale.de) laufen nicht bei Shopify, sondern werden von Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ausgeliefert. Dort entstehen dieselben Server-Protokolle wie oben; die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission. Formulare auf diesen Seiten (etwa Anfragen für Orden) landen in unserem Auftragssystem in Deutschland, siehe Abschnitt 7. Für jeckenzentrale.de gibt es zusätzlich eine eigene Datenschutzerklärung auf dieser Seite.

4. Cookies und Einwilligung

Technisch notwendige Cookies (Warenkorb, Login, Spracheinstellung, Sicherheit) setzen wir ohne Einwilligung (§ 25 Abs. 2 TDDDG). Alles, was der Messung oder Werbung dient, läuft erst, wenn Du im Banner beim ersten Besuch zustimmst (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ablehnen ist genauso leicht wie Zustimmen. Deine Auswahl kannst Du jederzeit über „Cookie-Einstellungen“ am Seitenende ändern; ein Widerruf wirkt für die Zukunft. Welche Dienste betroffen sind, steht in den Abschnitten 11 und 12.

5. Bestellung, Kundenkonto, Zahlung

Wenn Du bestellst, verarbeiten wir Name, Anschrift, E-Mail-Adresse, Telefonnummer, Bestelldaten und Zahlungsdaten, um den Vertrag zu erfüllen: Fertigung, Versand, Rechnung, Kundenservice, Gewährleistung (Art. 6 Abs. 1 lit. b DSGVO). Ein Kundenkonto ist freiwillig; Du kannst es jederzeit löschen lassen.

Die Zahlung wickelt der Anbieter ab, den Du im Checkout wählst. Er erhält die dafür nötigen Daten (Betrag, Name, Kontakt, bei Kauf auf Rechnung auch Anschrift und Geburtsdatum) und ist dafür eigener Verantwortlicher:

  • Shopify Payments (Kreditkarte, Apple Pay, Google Pay): Shopify, technisch über Stripe Payments Europe Ltd., Dublin.
  • Shop Pay: Shopify als Verantwortlicher, siehe Abschnitt 3.
  • PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Bei Kauf auf Rechnung oder Lastschrift über PayPal kann PayPal eine Bonitätsprüfung vornehmen.
  • Klarna (Rechnung, Ratenkauf, Sofortüberweisung): Klarna Bank AB, Sveavägen 46, 111 34 Stockholm, Schweden. Klarna prüft bei Rechnungs- und Ratenkauf Deine Bonität.

Bestell- und Rechnungsdaten bewahren wir auf, solange wir gesetzlich dazu verpflichtet sind: Buchungsbelege und Rechnungen acht Jahre, Geschäftsbriefe sechs Jahre (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB).

6. Versand

Für den Versand geben wir Name, Lieferadresse und, damit Dich der Zusteller über die Zustellung informieren kann, Deine E-Mail-Adresse oder Telefonnummer an unseren Versanddienstleister und den jeweiligen Paketdienst weiter: Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Niederlande, sowie DHL Paket GmbH, DPD Deutschland GmbH, UPS Deutschland Inc. & Co. OHG und Deutsche Post AG (Warenpost). Für einzelne Sendungen nutzen wir Shippo (Shippo Inc., San Francisco, USA, zertifiziert nach dem EU-US Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Zustellbenachrichtigung Art. 6 Abs. 1 lit. f DSGVO; Du kannst der Weitergabe Deiner Kontaktdaten an den Zusteller widersprechen.

7. Konfigurator und hochgeladene Bilder

Fast alle unsere Produkte gestaltest Du selbst: mit Texten, Namen, Daten, Fotos und Motiven. Diese Eingaben sind Vertragsinhalt (Art. 6 Abs. 1 lit. b DSGVO). Sie laufen über zwei Systeme: den Craftbrothers-Personalizer, unsere eigene Anwendung, die wir bei Fly.io Inc., 2045 W Grand Ave, Chicago, IL 60612, USA, betreiben (Auftragsverarbeitung mit Standardvertragsklauseln der EU-Kommission), und für einige Produkte den Zepto Product Personalizer (Zepto Apps, Dhaka, Bangladesch), eine Shopify-App, die Deine Eingaben in unserem Auftrag nach den Datenschutzvorgaben von Shopify verarbeitet; die Übermittlung stützt sich auf Standardvertragsklauseln.

Deine Bestellung und die Druckdaten verarbeitet unser Fertigungssystem auf Servern der Host Europe GmbH, Hansestraße 111, 51149 Köln, Deutschland.

Lädst Du Fotos hoch, auf denen andere Menschen zu sehen sind, brauchst Du deren Einverständnis; das bestätigst Du mit dem Upload. Deine Motive, Vorlagen und Eingaben bewahren wir sieben Jahre nach der letzten Bestellung auf. Der Grund: Viele Stücke werden Jahre später noch einmal bestellt oder ergänzt (ein zweites Schild, ein weiterer Anhänger mit demselben Foto), und bei einer Reklamation oder Nachfertigung müssen wir wissen, was genau wir gefertigt haben. Rechtsgrundlage ist unser berechtigtes Interesse an Nachbestellung und Nachfertigung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem widersprechen und die Löschung Deiner Motive jederzeit früher verlangen; dann fertigen wir bei einer Nachbestellung aus Deiner neuen Datei.

8. Kundenservice: E-Mail, Telefon, KI

E-Mail. Schreibst Du uns, verarbeiten wir Deine Nachricht, um sie zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Unsere Postfächer laufen bei Google Workspace (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Übermittlung in die USA nach dem EU-US Data Privacy Framework). Anfragen ordnen wir in unserem Support-System Deiner Bestellung zu; es läuft auf Servern der Host Europe GmbH (Deutschland) und der Fly.io Inc. (USA, Standardvertragsklauseln).

KI-gestützte Antwortentwürfe. Für eingehende Anfragen erstellt eine KI einen Antwortvorschlag, den eine Mitarbeiterin oder ein Mitarbeiter prüft, ändert und erst dann versendet. Dafür übermitteln wir den Text Deiner Anfrage und die zugehörigen Bestelldaten an die Gemini-API von Google (Google Ireland Ltd.). Google verarbeitet die Daten in unserem Auftrag und nutzt sie nicht zum Trainieren seiner Modelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an schnellen, richtigen Antworten. Entscheidungen trifft immer ein Mensch.

Telefon. Rufst Du uns an, nimmt zunächst unser KI-Telefonassistent das Gespräch an. Er sagt Dir zu Beginn, dass Du mit einem Sprachassistenten sprichst und dass das Gespräch aufgezeichnet und in Text umgewandelt wird; wenn Du das nicht möchtest, kannst Du auflegen und uns schreiben. Aufzeichnung und Transkript werden Deinem Anliegen zugeordnet, damit ein Mensch Dich zurückrufen oder die Frage beantworten kann. Dafür setzen wir Vapi (Vapi Inc., San Francisco, USA) und Twilio (Twilio Inc., San Francisco, USA, zertifiziert nach dem EU-US Data Privacy Framework; Übermittlung im Übrigen auf Grundlage von Standardvertragsklauseln) ein. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Du durch das Weiterführen des Gesprächs nach der Ansage erteilst. Aufzeichnungen löschen wir spätestens zwölf Monate nach Abschluss Deines Anliegens.

SMS. Rückrufzusagen und kurze Statusinfos schicken wir Dir auf Wunsch per SMS über Twilio (Art. 6 Abs. 1 lit. b DSGVO).

9. Bewertungen

Nach Deinem Kauf fragen wir Dich per E-Mail, ob Du das Stück bewerten möchtest. Das dürfen wir bei Bestandskunden für ähnliche Produkte ohne Einwilligung (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO); Du kannst dem jederzeit widersprechen, am einfachsten über den Link in der E-Mail. Die Bewertungen sammelt und zeigt Loox (Loox Online Ltd., Tel Aviv, Israel; für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission). Eine Bewertung mit Vornamen, Anfangsbuchstaben des Nachnamens, Text und Foto wird nur veröffentlicht, wenn Du sie abgibst und der Veröffentlichung zustimmst.

10. Newsletter

Für unseren Newsletter brauchen wir Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Du mit dem Bestätigungslink erteilst (Double-Opt-in). Wir versenden über Shopify Email und über Klaviyo (Klaviyo Inc., 125 Summer Street, Boston, MA 02110, USA, zertifiziert nach dem EU-US Data Privacy Framework). Wir messen, ob Mails geöffnet und Links geklickt werden, um Inhalte zu verbessern. Abmelden kannst Du Dich jederzeit über den Link in jeder Mail; Deine Adresse löschen wir dann aus dem Verteiler.

11. Messung und Werbung (nur mit Deiner Einwilligung)

Die folgenden Dienste setzen Cookies oder lesen Geräteinformationen aus und laufen erst nach Deiner Zustimmung im Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Daten in die USA übermitteln; Google, Meta und Pinterest sind nach dem EU-US Data Privacy Framework zertifiziert.

  • Google Analytics 4 (Google Ireland Ltd.): Reichweite, Seitenaufrufe, Herkunft der Besuche, Geräte, mit gekürzter IP-Adresse. Cookies bis 24 Monate. Über den Google Consent Mode erhält Google ohne Einwilligung nur anonyme Signale ohne Cookies.
  • Google Ads (Conversion-Tracking, Remarketing): ob ein Kauf auf eine Anzeige zurückgeht, und Anzeigen für Besucher unseres Shops im Google-Netzwerk. Cookies bis 90 Tage.
  • Google Tag Manager: verwaltet die Einbindung der genannten Google-Dienste, verarbeitet selbst keine Daten zu eigenen Zwecken.
  • Meta-Pixel und Conversions API (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4): Messung und Optimierung unserer Anzeigen auf Facebook und Instagram; Ereignisse wie Seitenaufruf, Warenkorb und Kauf werden im Browser und zusätzlich von unserem Server an Meta übermittelt. Für die Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu findest Du hier.
  • Pinterest Tag (Pinterest Europe Ltd., Palmerston House, Fenian Street, Dublin 2): Messung unserer Pinterest-Anzeigen.
  • Hotjar (Hotjar Ltd., Dragonara Business Centre, St Julian's, Malta): Heatmaps und aufgezeichnete Nutzungsabläufe, damit wir sehen, wo Besucher im Shop hängen bleiben. Eingaben in Formulare werden maskiert, IP-Adressen gekürzt.
  • Shopify Analytics: Besuchs- und Verkaufsstatistik innerhalb von Shopify.

12. Eingebettete Inhalte und Sicherheit

Vimeo. Produktvideos betten wir über Vimeo ein (Vimeo Inc., 330 West 34th Street, New York, USA, zertifiziert nach dem EU-US Data Privacy Framework). Beim Abspielen erhält Vimeo Deine IP-Adresse und setzt Cookies; die Einbindung läuft erst nach Deiner Einwilligung.

Schriften. Ein Teil unserer Schriften wird von Google Fonts geladen (Google Ireland Ltd.); dabei erhält Google Deine IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; wir stellen die Schriften auf eigene Auslieferung um.

Spamschutz. Formulare schützen Shopify und wir mit hCaptcha (Intuition Machines Inc., San Francisco, USA) und Google reCAPTCHA. Dabei werden Geräte- und Nutzungsdaten ausgewertet, um Bots zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

Verschlüsselung. Alle Seiten und der Checkout werden per TLS verschlüsselt übertragen.

13. Widerrufsfunktion

Wenn Du Dein Widerrufsrecht über unsere Online-Widerrufsfunktion ausübst, verarbeiten wir Name, E-Mail-Adresse, Bestellnummer und Deine freiwilligen Angaben, um die Erklärung entgegenzunehmen, Dir den Eingang mit Datum und Uhrzeit zu bestätigen und den Vorgang abzuwickeln (Art. 6 Abs. 1 lit. b und c DSGVO, § 356a BGB). Diese Daten bewahren wir für die Dauer der handels- und steuerrechtlichen Fristen auf.

14. Partner- und Influencer-Programm

Nimmst Du an unserem Partnerprogramm teil, verarbeiten wir Deine Kontakt-, Kanal- und Auszahlungsdaten sowie die Bestellungen, die über Deinen Code oder Link eingehen (Art. 6 Abs. 1 lit. b DSGVO). Dafür nutzen wir Shopify Collabs und unser eigenes Partnerportal.

15. Buchhaltung, Steuern, Automatisierung

Rechnungs- und Zahlungsdaten übergeben wir an unsere Buchhaltung: Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg (Lexware Office), und an unseren Steuerberater. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Zwischen unseren Systemen übertragen Zapier Inc. (San Francisco, USA, EU-US Data Privacy Framework) und Make (Celonis GmbH, München) Bestelldaten automatisiert in unserem Auftrag (Art. 6 Abs. 1 lit. f DSGVO).

16. Übermittlung in Drittländer

Wo ein Dienst außerhalb der EU sitzt, steht es oben dabei. Die Übermittlung stützt sich auf einen Angemessenheitsbeschluss der EU-Kommission (Kanada, Israel, EU-US Data Privacy Framework für zertifizierte US-Unternehmen) oder auf die Standardvertragsklauseln der EU-Kommission mit zusätzlichen Schutzmaßnahmen. Kopien der Vereinbarungen stellen wir auf Anfrage bereit.

17. Wie lange wir speichern

  • Bestell-, Rechnungs- und Zahlungsdaten: 8 Jahre ab Ende des Jahres der Bestellung (gesetzliche Belegaufbewahrung), dann Löschung.
  • Motive, Fotos, Vorlagen und Personalisierungstexte aus dem Konfigurator: 7 Jahre nach der letzten Bestellung, auf Wunsch früher.
  • Kundenkonto: bis Du es löschst; inaktive Konten löschen wir nach 7 Jahren.
  • Support-Anfragen: 3 Jahre nach Abschluss; Telefonaufzeichnungen 12 Monate.
  • Newsletter-Daten: bis zum Widerruf.
  • Server-Protokolle: 14 Tage.
  • Mess- und Werbedaten: nach den Fristen des jeweiligen Dienstes, längstens 24 Monate.

18. Änderungen

Wenn wir neue Dienste einsetzen oder sich das Recht ändert, passen wir diese Erklärung an. Die aktuelle Fassung findest Du immer unter www.craftbrothers.net/policies/privacy-policy.