Datenschutzerklärung

Wir freuen uns über Deinen Besuch in unserem Online-Shop. Der Schutz Deiner personenbezogenen Daten ist uns wichtig. Nachfolgend informieren wir Dich gemäß Art. 13 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir bei der Nutzung von zoevacosmetics.com verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Dir zustehen. Diese Erklärung enthält in Ziffer 4 zugleich unsere Cookie-Richtlinie.

1. Verantwortlicher

ZOEVA GmbH
Karl-Ritscher-Anlage 1-3
60437 Frankfurt am Main, Deutschland
E-Mail: service@zoeva.de
Kontaktformular

2. Datenschutzbeauftragter

Unser externer Datenschutzbeauftragter ist:

Nils Gustke
GfP Gesellschaft für Personaldienstleistungen mbH
Pestalozzistraße 27, 34119 Kassel, Deutschland
Telefon: +49 561 220774-30
E-Mail: datenschutz@gfp24.de

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Website (Hosting und Server-Logs)

Unser Online-Shop wird auf der Plattform Shopify betrieben (Shopify International Ltd., 2nd Floor Victoria Buildings, 1-2 Haddington Road, Dublin 4, Irland — als Auftragsverarbeiter). Beim rein informatorischen Besuch verarbeiten wir die Daten, die Dein Browser technisch bedingt übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL, Browsertyp und -version, Betriebssystem, Spracheinstellung.

Zweck: Anzeige der Website, Stabilität, Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: Server-Logs werden nur so lange aufbewahrt, wie es für die genannten Zwecke erforderlich ist — in der Regel wenige Wochen.

3.2 Kundenkonto

Bei Anlage eines Kundenkontos verarbeiten wir: Anrede, Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Sprache, Passwort (verschlüsselt) sowie Bestellhistorie und bevorzugte Zahlungsart.

Zweck: Bereitstellung des Kontos, Bestellübersicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Bis zur Löschung des Kontos; Du kannst Dein Konto jederzeit über service@zoeva.de oder das Kontaktformular löschen lassen. Gesetzliche Aufbewahrungspflichten bleiben unberührt (Ziffer 8).

3.3 Bestellung und Kaufabwicklung

Bei einer Bestellung (mit Konto oder als Gast) verarbeiten wir: Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse, Telefonnummer (für Versandbenachrichtigungen), Bestell- und Zahlungsdaten.

Zweck: Vertragsdurchführung inkl. Lieferung, Rechnungsstellung, Retouren- und Gewährleistungsabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO i.V.m. §§ 147 AO, 257 HGB.

Zahlungsdienstleister: Je nach gewählter Zahlungsart werden Deine Zahlungsdaten direkt durch den jeweiligen Anbieter verarbeitet, der insoweit eigenverantwortlich handelt: Shopify Payments/Shop Pay (Shopify International Ltd., Irland), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg), Klarna Bank AB (publ) (Schweden), Apple Pay (Apple Distribution International Ltd., Irland), Google Pay (Google Ireland Ltd.). Es gelten ergänzend die Datenschutzhinweise des jeweiligen Anbieters.

Versand: Zur Zustellung übermitteln wir Name, Lieferanschrift und — soweit für Versandbenachrichtigungen erforderlich — E-Mail-Adresse und Telefonnummer an die für das jeweilige Lieferland eingesetzten Versand- und Logistikdienstleister (insbesondere DHL sowie unsere Fulfillment-Partner). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Kundenservice

Anfragen über unser Kontaktformular, per E-Mail oder Chat bearbeiten wir mit unserem Helpdesk-System Gorgias Inc. (Auftragsverarbeiter). Verarbeitet werden Deine Kontaktdaten, der Inhalt der Anfrage und ggf. Bestelldaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragsbezogene Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (allgemeine Anfragen). Speicherdauer: Wir löschen Service-Vorgänge, sobald sie für die Bearbeitung und Dokumentation nicht mehr erforderlich sind; gesetzliche Aufbewahrungspflichten bleiben unberührt (Ziffer 8).

3.5 Newsletter (Klaviyo) und Personalisierung

Unseren Newsletter versenden wir über Klaviyo Inc. (USA) nur nach Anmeldung im Double-Opt-in-Verfahren: Du erhältst nach der Anmeldung eine Bestätigungs-E-Mail und wirst erst nach Klick auf den Bestätigungslink in den Verteiler aufgenommen. Protokolliert werden Anmelde- und Bestätigungszeitpunkt sowie IP-Adresse (Nachweiszweck).

Zur Personalisierung des Newsletters werten wir aus: Öffnungs- und Klickverhalten, Land/Sprache, angesehene Produkte, Bestellhistorie (u.a. Bestellwert, Kaufhäufigkeit, Warenkorbprofil, Customer Lifetime Value). Daraus erstellen wir ein Interessenprofil, um Dir relevante Inhalte zu senden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: Jederzeit über den Abmeldelink in jeder E-Mail oder an service@zoeva.de — die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Speicherdauer: Bis zum Widerruf; danach Aufnahme in eine Sperrliste (Unterdrückungsliste) zur dauerhaften Sicherstellung der Abmeldung.

3.6 „Back in Stock"-Benachrichtigung

Auf Wunsch benachrichtigen wir Dich per E-Mail, sobald ein Produkt wieder verfügbar ist. Verarbeitet wird Deine E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Adresse wird für diesen Zweck nach Versand der Benachrichtigung nicht weiterverwendet.

3.7 Produktbewertungen (Yotpo)

Bewertungen erheben wir über Yotpo Ltd. Nach einem Kauf erhältst Du eine Einladung zur Bewertung; es können nur Kundinnen und Kunden bewerten, die das Produkt tatsächlich bei uns gekauft haben (verifizierte Käufe). Verarbeitet werden E-Mail-Adresse, Name/Nickname (optional) und der Bewertungsinhalt.

Rechtsgrundlage: Einladung zur Bewertung nach einem Kauf: § 7 Abs. 3 UWG i.V.m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse); Du kannst dem Erhalt solcher Einladungen jederzeit widersprechen (Ziffer 9). Veröffentlichung der Bewertung: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4. Cookies, Tracking und Online-Marketing (Cookie-Richtlinie)

4.1 Rechtsgrundlagen und Einwilligung

Wir setzen Cookies und vergleichbare Technologien (Pixel, Local Storage, SDKs) ein. Für das Speichern von Informationen auf Deinem Endgerät und den Zugriff darauf gilt § 25 TDDDG, für die anschließende Verarbeitung personenbezogener Daten die DSGVO:

• Technisch notwendige Technologien (z.B. Warenkorb, Login, Sprach-/Länderauswahl, Consent-Speicherung, Betrugsprävention): ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b und f DSGVO).
• Alle übrigen Technologien (Statistik, Personalisierung, Marketing): nur mit Deiner Einwilligung (§ 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO).

Beim ersten Besuch fragt unser Consent-Banner (Anbieter: Pandectes GDPR Compliance) Deine Auswahl ab. Ohne Einwilligung werden keine nicht-notwendigen Technologien geladen. Deine Auswahl (auch die Ablehnung) speichern wir in einem Cookie (_pandectes_gdpr), damit wir Dich nicht erneut fragen müssen.

4.2 Auswahl jederzeit ändern oder widerrufen

Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: Klicke im Footer auf „Cookie-Banner" — dort kannst Du Kategorien einzeln aktivieren oder deaktivieren. Unabhängig davon kannst Du Cookies in Deinen Browser-Einstellungen löschen oder blockieren.

4.3 Kategorien und eingesetzte Dienste

Die angegebenen Speicherdauern sind Höchstwerte gemäß der Dokumentation der Anbieter; maßgeblich ist der jeweils aktuelle Stand, den wir regelmäßig überprüfen.

a) Notwendig (keine Einwilligung erforderlich)

Dienst	Anbieter	Zweck	Speicherdauer
Shopify Shop-Funktionen (_shopify_y, _shopify_s, cart, localization u.a.)	Shopify International Ltd. (IE)	Warenkorb, Session, Länder-/Sprachauswahl, Sicherheit	Sitzung bis 1 Jahr
Pandectes Consent (_pandectes_gdpr)	Pandectes	Speicherung Deiner Cookie-Auswahl	1 Jahr

b) Statistik / Analyse (nur mit Einwilligung)

Dienst	Anbieter	Zweck	Speicherdauer
Google Analytics 4 (_ga, _ga_*)	Google Ireland Ltd.	Reichweiten- und Nutzungsanalyse	bis 2 Jahre
Microsoft Clarity (_clck, _clsk)	Microsoft Ireland Operations Ltd.	Nutzungsanalyse, Heatmaps, Session-Aufzeichnung (Eingabefelder maskiert)	1 Tag bis 1 Jahr
Shoplift (Shoplift_*)	Shoplift Inc.	A/B-Testing der Shop-Gestaltung	bis 1 Jahr

c) Personalisierung / Funktional (nur mit Einwilligung)

Dienst	Anbieter	Zweck	Speicherdauer
Rebuy (_rsession, _ruid)	Rebuy Engine LLC	Personalisierte Produktempfehlungen	Sitzung bis 1 Jahr
Yotpo (yotpo_pixel)	Yotpo Ltd.	Anzeige und Erhebung von Produktbewertungen	bis 1 Jahr

d) Marketing (nur mit Einwilligung)

Dienst	Anbieter	Zweck	Speicherdauer
Meta-Pixel (_fbp)	Meta Platforms Ireland Ltd.	Interessenbezogene Werbung, Conversion-Messung (Facebook/Instagram)	3 Monate
TikTok-Pixel (_ttp, ttcsid)	TikTok Technology Ltd. (IE)	Interessenbezogene Werbung, Conversion-Messung	bis 13 Monate
Google Ads / Conversion (_gcl_au)	Google Ireland Ltd.	Conversion-Messung, Remarketing	3 Monate
Microsoft Advertising / Bing UET (_uetsid, _uetvid)	Microsoft Ireland Operations Ltd.	Conversion-Messung, Remarketing	1 Tag bis 13 Monate
Klaviyo Onsite (__kla_id)	Klaviyo Inc.	Zuordnung des Shop-Verhaltens zum Newsletter-Profil	bis 2 Jahre

5. Empfänger der Daten

Wir geben Daten nur weiter, soweit dies zur Vertragserfüllung erforderlich ist, Du eingewilligt hast oder eine gesetzliche Grundlage besteht. Empfängerkategorien: Shop-Plattform (Shopify International Ltd., Irland / Shopify Inc., Kanada), Zahlungsdienstleister und Versanddienstleister (Ziffer 3.3), Helpdesk (Gorgias), E-Mail-Marketing (Klaviyo), Bewertungen (Yotpo), Marketing- und Analyse-Dienste (Ziffer 4), IT- und Agentur-Dienstleister, Steuerberatung/Wirtschaftsprüfung sowie Behörden bei gesetzlicher Verpflichtung. Auftragsverarbeiter sind über Verträge nach Art. 28 DSGVO gebunden.

6. Datenübermittlung in Drittländer

Einzelne Empfänger sitzen außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort (insbesondere USA). Die Übermittlung erfolgt auf Grundlage von:

• Angemessenheitsbeschlüssen der EU-Kommission — für die USA das EU-U.S. Data Privacy Framework (DPF), soweit der Empfänger zertifiziert ist (u.a. Google LLC, Meta Platforms Inc., Microsoft Corp., Klaviyo Inc.); für Kanada (Shopify Inc.) der Angemessenheitsbeschluss für kommerzielle Organisationen;
• EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen, soweit keine DPF-Zertifizierung besteht.

Eine Kopie der jeweiligen Garantien kannst Du über die Kontaktdaten in Ziffer 1 anfordern.

7. Hinweis für Kundinnen und Kunden außerhalb der EU

Für Besucherinnen und Besucher aus der Schweiz gelten ergänzend die Vorgaben des revidierten Schweizer Datenschutzgesetzes (DSG); Verantwortlicher und Rechte entsprechen den Angaben in dieser Erklärung.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist; danach werden sie gelöscht. Vertrags- und Buchungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten und werden für deren Dauer gesperrt aufbewahrt: Handelsbücher und Jahresabschlüsse 10 Jahre, Buchungsbelege 8 Jahre, Handels- und Geschäftsbriefe 6 Jahre (§§ 238, 257 HGB, § 147 AO). Einwilligungsbasierte Daten speichern wir bis zum Widerruf; Nachweise erteilter Einwilligungen bewahren wir zur Rechtsverteidigung auf (Art. 17 Abs. 3 lit. e DSGVO).

9. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich Deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft, z.B. über den Footer-Link „Cookie-Banner", den Abmeldelink im Newsletter oder formlos an service@zoeva.de

Widerspruchsrecht (Art. 21 DSGVO)

Du hast das Recht, aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung Dich betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Werden Deine Daten für Direktwerbung verarbeitet, kannst Du dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen; dies gilt auch für ein etwaiges Profiling, soweit es mit Direktwerbung in Verbindung steht. Richte den Widerspruch formlos an service@zoeva.de.

Zur Ausübung Deiner Rechte genügt eine formlose Mitteilung an die Kontaktdaten in Ziffer 1 oder an unseren Datenschutzbeauftragten (Ziffer 2).

Beschwerderecht: Du hast das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de.

10. Pflicht zur Bereitstellung von Daten

Die Bereitstellung Deiner Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für Bestellung und Lieferung erforderlichen Daten (Ziffer 3.3) können wir Deine Bestellung jedoch nicht ausführen. Alle übrigen Angaben sind freiwillig.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Dir gegenüber rechtliche Wirkung entfaltet, findet durch uns nicht statt. Soweit Du bei Klarna eine Zahlungsart mit Zahlungsaufschub (z.B. Rechnungskauf) wählst, führt Klarna als eigenverantwortlicher Anbieter ggf. eine eigene Bonitätsprüfung durch; maßgeblich sind insoweit die Datenschutzhinweise von Klarna. Die Newsletter-Personalisierung (Ziffer 3.5) umfasst ein Profiling zu Werbezwecken auf Grundlage Deiner Einwilligung.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar; das Stand-Datum findest Du am Ende dieser Seite.

Stand: August 2026