Datenschutzerklärung

Wie die Romeru Vesta GmbH mit deinen Daten umgeht, wenn du woodflame-store.de nutzt.

1. Verantwortlicher und Überblick

Romeru Vesta GmbH
Muldestr. 2
70806 Kornwestheim
Deutschland
Geschäftsführung: Nicolas Roset, Franzi Rupp
Amtsgericht Stuttgart, HRB 801760
E-Mail: datenschutz@woodflame-store.de
Telefon: +49 1515 5567518

Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz richtest du an die oben genannte E-Mail-Adresse.

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du woodflame-store.de besuchst, ein Kundenkonto anlegst, bestellst, uns schreibst, den Newsletter oder Push-Nachrichten bestellst oder eine Bewertung abgibst. Zu jeder Verarbeitung nennen wir Zweck, Rechtsgrundlage, Empfänger und Speicherdauer. Dienste, die nur mit deiner Einwilligung laufen, sind als solche gekennzeichnet.

2. Website, Hosting und Sicherheit

Shopify. Unser Shop läuft auf der Plattform von Shopify. Beim Aufruf jeder Seite verarbeitet Shopify technisch notwendige Daten, damit die Seite ausgeliefert, gegen Angriffe geschützt und der Warenkorb geführt werden kann.

• Anbieter: Shopify International Limited, Irland
• Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem
• Rechtsgrundlage: berechtigtes Interesse an einem sicheren und funktionsfähigen Shop, Art. 6 Abs. 1 lit. f DSGVO; notwendige Cookies nach § 25 Abs. 2 Nr. 2 TDDDG
• Speicherdauer: Server-Protokolle nach den Fristen von Shopify, in der Regel bis zu 90 Tage

Shopify Network Intelligence. Shopify verwendet Daten aus unserem Shop gesichert zusammen mit Daten anderer Shopify-Shops, um eigene Produkte, die Ausrichtung von Anzeigen und die Personalisierung zu verbessern. Dafür ist Shopify selbst verantwortlich; andere Händler können deine Daten nicht einsehen. Rechtsgrundlage für die Weitergabe an Shopify ist unser berechtigtes Interesse an einem verbesserten Shop-System (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem jederzeit widersprechen (siehe Deine Rechte). Einzelheiten nennt Shopify in seiner Datenschutzerklärung.

Die Verbindung zum Shop ist mit TLS verschlüsselt. Wir und unsere Dienstleister schützen Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

3. Cookies und Einwilligung

Cookies sind kleine Dateien, die dein Browser speichert. Unbedingt notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), weil Warenkorb, Kasse und Sicherheit ohne sie nicht funktionieren. Alle anderen Cookies und vergleichbaren Techniken setzen wir erst, wenn du im Einwilligungsbanner zustimmst. Du kannst allen zustimmen, alle ablehnen oder einzelne Kategorien wählen (Analyse, Marketing).

Widerruf: Deine Auswahl änderst oder widerrufst du jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ unten auf jeder Seite. Zusätzlich kannst du Cookies in deinem Browser löschen.

Diese Cookies setzt der Shop (gemessen am 13.10.2026). Tippe auf einen Anbieter für Einzelheiten:

4. Kundenkonto, Bestellung und Bewertungen

Du kannst ohne Konto bestellen. Legst du ein Konto an, speichern wir deine Angaben, Adressen und Bestellungen, damit du sie später einsehen kannst. Die Anmeldung läuft über einen Einmalcode an deine E-Mail-Adresse, über den Shop-Login von Shopify oder über „Mit Google fortfahren“.

„Mit Google fortfahren“. Wählst du die Anmeldung mit Google, übermittelt Google uns Namen und E-Mail-Adresse zum Anlegen des Kontos.

• Anbieter: Google Ireland Limited, Irland
• Daten: Name, E-Mail-Adresse, Google-Kontokennung
• Rechtsgrundlage: Vertrag, Art. 6 Abs. 1 lit. b DSGVO
• Speicherdauer: bis zur Löschung deines Kontos

Für deine Bestellung verarbeiten wir Name, Rechnungs- und Lieferadresse, E-Mail-Adresse, Telefonnummer (wenn angegeben), bestellte Artikel und Zahlungsstatus. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen und Buchungsbelege bewahren wir nach Handels- und Steuerrecht auf (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB). Ohne diese Angaben können wir die Bestellung nicht ausführen.

Zahlungsdaten gibst du direkt beim Zahlungsdienst ein; wir erhalten nur den Zahlungsstatus. Rechtsgrundlage ist auch hier der Vertrag; zur Betrugsprävention zusätzlich das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Je nach gewählter Zahlungsart sind das:

Shopify Payments. Abwicklung der Zahlung und Betrugsprävention.

• Anbieter: Shopify International Limited, Irland; die Zahlung wickelt Stripe Payments Europe, Limited, Irland, ab
• Daten: Name, Adresse, Betrag, Zahlungsdaten
• Speicherdauer: nach den gesetzlichen Fristen des Anbieters

PayPal. Abwicklung der Zahlung und Betrugsprävention.

• Anbieter: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg
• Daten: Name, Adresse, Betrag, Zahlungsdaten
• Speicherdauer: nach den gesetzlichen Fristen des Anbieters

Klarna. Abwicklung der Zahlung und Betrugsprävention.

• Anbieter: Klarna Bank AB (publ), Schweden
• Daten: Name, Adresse, Betrag, Zahlungsdaten, bei Kauf auf Rechnung oder Raten auch eine Bonitätsprüfung durch den Anbieter
• Speicherdauer: nach den gesetzlichen Fristen des Anbieters

Apple Pay und Google Pay. Abwicklung der Zahlung und Betrugsprävention.

• Anbieter: Apple Distribution International Ltd., Irland; Google Ireland Limited, Irland
• Daten: Name, Adresse, Betrag, Zahlungsdaten
• Speicherdauer: nach den gesetzlichen Fristen des Anbieters

Versanddienstleister. Wir geben Name und Lieferadresse an das Versandunternehmen weiter. Deine E-Mail-Adresse geben wir nur weiter, wenn der Versanddienst dich über die Zustellung informieren soll.

• Anbieter: DHL oder DPD, je nach Sendung
• Daten: Name, Lieferadresse, gegebenenfalls E-Mail-Adresse
• Rechtsgrundlage: Vertrag, Art. 6 Abs. 1 lit. b DSGVO
• Speicherdauer: bis zur Zustellung, danach nach den Fristen des Versanddienstes

Judge.me. Bewertungen sammeln und zeigen wir mit Judge.me. Nach einer Bestellung kann Judge.me dich per E-Mail um eine Bewertung bitten.

• Anbieter: Judge.me Ltd, Vereinigtes Königreich
• Daten: Name oder Kürzel, E-Mail-Adresse, Bewertungstext, Sterne, Bestellbezug
• Rechtsgrundlage: berechtigtes Interesse an echten Kundenbewertungen, Art. 6 Abs. 1 lit. f DSGVO; die Veröffentlichung mit deiner Einwilligung, Art. 6 Abs. 1 lit. a DSGVO
• Speicherdauer: solange die Bewertung angezeigt wird

5. Kontakt, Newsletter und Push-Nachrichten

Cloudflare. Nachrichten aus dem Kontaktformular und Anmeldungen für „Benachrichtige mich“ (wenn ein Produkt wieder lieferbar ist) nimmt ein Dienst bei Cloudflare entgegen. Die Datenbank liegt in einem Rechenzentrum in Westeuropa; die Anfragen können über Cloudflares weltweites Netz laufen.

• Anbieter: Cloudflare, Inc., USA
• Daten: Name, E-Mail-Adresse, Nachricht, gewünschtes Produkt, IP-Adresse
• Rechtsgrundlage: für Anfragen zu einer Bestellung Art. 6 Abs. 1 lit. b DSGVO, sonst berechtigtes Interesse an der Beantwortung, Art. 6 Abs. 1 lit. f DSGVO; „Benachrichtige mich“ mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO
• Speicherdauer: bis die Anfrage erledigt ist; Benachrichtigungen bis zum Versand oder Widerruf

Google reCAPTCHA. Shopify schützt Formulare (Anmeldung, Kontakt, Newsletter) mit Google reCAPTCHA vor automatisierten Angriffen. reCAPTCHA wertet dabei Verhaltens- und Gerätedaten aus.

• Anbieter: Google Ireland Limited, Irland
• Daten: IP-Adresse, Browser- und Geräteangaben, Mausbewegungen und Verweildauer im Formular
• Rechtsgrundlage: berechtigtes Interesse am Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO
• Speicherdauer: nach den Fristen von Google

Brevo. Unseren Newsletter versenden wir nur mit deiner Einwilligung im Double-Opt-in-Verfahren. Nach der Anmeldung bekommst du eine E-Mail mit einem Bestätigungslink; erst danach bist du eingetragen. Wir messen, ob E-Mails geöffnet und Links angeklickt werden. Stimmst du im Banner der Kategorie Marketing zu, ordnet Brevo deine Besuche im Shop deinem Newsletter-Kontakt zu (Cookie sib_cuid).

• Anbieter: Sendinblue SAS (Brevo), Frankreich
• Daten: E-Mail-Adresse, Vorname (wenn angegeben), Anmelde- und Bestätigungszeitpunkt, IP-Adresse, Öffnungen und Klicks
• Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; Website-Zuordnung zusätzlich § 25 Abs. 1 TDDDG
• Speicherdauer: bis zur Abmeldung; der Nachweis der Einwilligung bis zu drei Jahre danach

Abmelden kannst du dich jederzeit über den Link in jeder E-Mail oder per Nachricht an uns. Transaktions-E-Mails zu deiner Bestellung erhältst du unabhängig vom Newsletter.

PushOwl. Erlaubst du in deinem Browser Benachrichtigungen, senden wir dir über PushOwl Hinweise zu Angeboten oder deinem Warenkorb. Ohne deine Freigabe im Browser bekommst du keine Nachricht. Das Programm von PushOwl lädt aber mit jeder Seite und meldet Programmfehler an Bugsnag; dabei erhalten beide deine IP-Adresse.

• Anbieter: Brevo CRM Solutions Private Limited, Indien (Tochter der Sendinblue SAS); für Fehlermeldungen setzt PushOwl Bugsnag ein (SmartBear Software, Inc., USA)
• Daten: Push-Kennung des Browsers, Gerät und Browser, ungefährer Ort aus der IP-Adresse, Warenkorbinhalt; bei Fehlern Fehlermeldung, Browser und IP-Adresse
• Rechtsgrundlage: Push-Nachrichten mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Laden des Programms und Fehlermeldungen aus berechtigtem Interesse an einer funktionierenden Seite, Art. 6 Abs. 1 lit. f DSGVO
• Speicherdauer: bis du die Benachrichtigungen im Browser abschaltest; Fehlermeldungen nach den Fristen von Bugsnag

6. Analyse und Werbung

Google Analytics und die Werbedienste in diesem Abschnitt laufen nur, wenn du im Banner der Kategorie Analyse oder Marketing zustimmst. Rechtsgrundlage für sie: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; Speichern und Auslesen auf deinem Gerät nach § 25 Abs. 1 TDDDG. Microsoft Clarity lädt dagegen auf jeder Seite, ohne deine Zustimmung aber ohne Cookies (Einzelheiten unten).

Google Analytics 4. Google Analytics zeigt uns, wie der Shop genutzt wird: welche Seiten besucht werden, woher Besucher kommen und wo sie abbrechen. Wir nutzen den Einwilligungsmodus von Google: ohne deine Zustimmung lädt Google Analytics nicht.

• Anbieter: Google Ireland Limited, Irland
• Daten: pseudonyme Kennung, IP-Adresse (nach Angabe von Google nicht gespeichert), Seitenaufrufe, Klicks, Gerät, Browser, ungefährer Ort, Herkunft des Besuchs
• Speicherdauer: 14 Monate (Aufbewahrung der Ereignisdaten in Google Analytics)

Microsoft Clarity. Microsoft Clarity erstellt pseudonyme Heatmaps und Sitzungsaufzeichnungen, damit wir sehen, wo Besucher hängen bleiben. Eingaben in Formularfelder werden dabei ausgeblendet. Clarity lädt auf jeder Seite. Ohne deine Zustimmung arbeitet es ohne Cookies und kann Besuche nicht über mehrere Seitenaufrufe hinweg wiedererkennen; stimmst du der Kategorie Analyse zu, setzt es zusätzlich die Cookies _clck und _clsk.

• Anbieter: Microsoft Ireland Operations Limited, Irland
• Daten: pseudonyme Kennung, Mausbewegungen, Klicks, Scrollen, Seitenaufrufe, Gerät, Browser, IP-Adresse
• Rechtsgrundlage: ohne Zustimmung berechtigtes Interesse an einer verständlichen, fehlerfreien Seite, Art. 6 Abs. 1 lit. f DSGVO; mit Zustimmung Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; Speichern und Auslesen auf deinem Gerät nach § 25 Abs. 1 TDDDG
• Speicherdauer: bis zu 1 Jahr (Cookies), Aufzeichnungen bis zu 30 Tage

Stimmst du der Kategorie Marketing zu, setzen wir die folgenden Dienste ein. Sie messen, ob ein Besuch aus einer Anzeige oder einem Pin entstand und ob daraus eine Bestellung wurde, und können dir unsere Anzeigen auf anderen Seiten erneut zeigen (Remarketing). Das ist eine Form von Profilbildung; automatisierte Entscheidungen mit rechtlicher Wirkung für dich (Art. 22 DSGVO) treffen wir nicht.

Google Ads. Conversion-Messung und Remarketing.

• Anbieter: Google Ireland Limited, Irland
• Daten: pseudonyme Kennung, aufgerufene Seite, Zeitpunkt, Referrer, Bestellwert, Geräte- und Browserangaben
• Speicherdauer: bis zu 90 Tage (Cookies)

Google Merchant Center. Misst, welche Produkte aus Googles Einkaufsanzeigen und -einträgen zu Besuchen und Bestellungen führen.

• Anbieter: Google Ireland Limited, Irland
• Daten: pseudonyme Kennung, aufgerufenes Produkt, Bestellwert
• Speicherdauer: nach den Fristen von Google

Meta Pixel. Misst den Erfolg unserer Anzeigen auf Facebook und Instagram und bildet Zielgruppen.

• Anbieter: Meta Platforms Ireland Limited, Irland
• Daten: pseudonyme Kennung, aufgerufene Seiten, Warenkorb- und Kaufereignisse, Gerät, IP-Adresse
• Speicherdauer: bis zu 90 Tage (Cookies)

Pinterest-Tag. Misst, welche Pins und Pinterest-Anzeigen zu Besuchen und Bestellungen führen.

• Anbieter: Pinterest Europe Limited, Irland
• Daten: pseudonyme Kennung, aufgerufene Seiten, Warenkorb- und Kaufereignisse, Gerät, IP-Adresse
• Speicherdauer: bis zu 1 Jahr (Cookie)

Personalisierte Werbung kannst du zusätzlich in den Einstellungen deines Google-, Meta- oder Pinterest-Kontos abschalten.

Auf Instagram, TikTok und Pinterest verweisen wir nur mit einfachen Links. Daten fließen erst, wenn du einen Link anklickst; dann gilt die Datenschutzerklärung des jeweiligen Netzwerks. Für unsere Seiten dort sind wir gemeinsam mit dem Netzwerk verantwortlich (Art. 26 DSGVO), soweit das Netzwerk Statistiken über Besuche erstellt.

7. Übermittlung in Drittländer

Einige Anbieter verarbeiten Daten außerhalb der EU. Grundlage ist jeweils ein Angemessenheitsbeschluss der EU-Kommission (für die USA das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist; ebenso für das Vereinigte Königreich) oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Betroffen sind:

• Shopify: Shopify Inc. (Kanada, Angemessenheitsbeschluss) und Unterauftragnehmer in den USA
• Shopify Payments: Stripe, Inc., USA
• PayPal: PayPal, Inc., USA
• Apple Pay und Google Pay: Apple Inc. und Google LLC, USA
• „Mit Google fortfahren“: Google LLC, USA
• Cloudflare: Cloudflare, Inc., USA
• Google reCAPTCHA: Google LLC, USA
• PushOwl: Indien und USA (PushOwl, Bugsnag)
• Judge.me: Vereinigtes Königreich (Angemessenheitsbeschluss der EU-Kommission)
• Google Analytics 4: Google LLC, USA
• Microsoft Clarity: Microsoft Corporation, USA
• Google Ads: Google LLC, USA
• Google Merchant Center: Google LLC, USA
• Meta Pixel: Meta Platforms, Inc., USA
• Pinterest-Tag: Pinterest, Inc., USA

8. Speicherdauer

Wir löschen Daten, sobald der Zweck entfällt und keine Aufbewahrungspflicht besteht. Rechnungen und Buchungsbelege bewahren wir zehn Jahre auf, Geschäftsbriefe sechs Jahre (§ 147 AO, § 257 HGB). Die Fristen der einzelnen Dienste stehen in den Abschnitten oben.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Verarbeitung bis dahin bleibt rechtmäßig. Schreib dazu an datenschutz@woodflame-store.de.

Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO); dann verwenden wir deine Daten dafür nicht mehr.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Wir passen diese Erklärung an, wenn sich Dienste oder Rechtslage ändern. Stand: 13.10.2026.