Datenschutzerklärung
Datenschutzerklärung
La Bella Rosa Studios – Etsy-Shop
Stand: Mai 2026
1. Verantwortliche Stelle
Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
La Bella Rosa Studios
Inhaberin: Nadine Zech
c/o MDC#zech
Welserstraße 3
87463 Dietmannsried
Deutschland
E-Mail: contact@labellarosa-studios.com
2. Grundsätze der Datenverarbeitung
A. Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies gesetzlich erlaubt ist oder Sie eingewilligt haben.
B. Rechtsgrundlagen der Verarbeitung sind insbesondere:
1. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), z. B. zur Abwicklung Ihrer Bestellungen.
2. Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Pflichten), z. B. handels- und steuerrechtliche Aufbewahrungspflichten.
3. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), z. B. zur effizienten Organisation unseres Geschäftsbetriebs, zur IT-Sicherheit und zur Abwehr von Rechtsansprüchen.
C. Wir erheben nur die Daten, die für den jeweiligen Zweck tatsächlich erforderlich sind (Datenminimierung).
3. Datenverarbeitung bei Bestellungen über Etsy
3.1 Daten, die wir verarbeiten
Wenn Sie über unseren Etsy-Shop eine Bestellung aufgeben, verarbeiten wir in der Regel folgende personenbezogene Daten:
• Vor- und Nachname
• Lieferadresse
• ggf. Rechnungsadresse (soweit von Etsy bereitgestellt)
• E-Mail-Adresse (soweit von Etsy für die Bestellabwicklung bereitgestellt)
• Bestelldaten (Produkt, Menge, Preis, Bestellnummer)
• Zahlungsinformationen: Diese werden durch die von Etsy eingesetzten Zahlungsdienstleister verarbeitet; wir erhalten nur Zahlungsbestätigungen, keine vollständigen Zahlungsdaten (z. B. Kreditkartendaten).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
3.2 Zweck der Verarbeitung
Die genannten Daten verwenden wir ausschließlich:
• zur Bestellbearbeitung und -abwicklung (Produktion, Versand, Kundenservice)
• zur Erfüllung gesetzlicher Pflichten, insbesondere steuer- und handelsrechtlicher Aufbewahrungspflichten nach §§ 147 AO, 257 HGB.
4. Nutzung externer Dienstleister (Auftragsverarbeitung)
Wir setzen für die Durchführung unserer Leistungen spezialisierte Dienstleister ein, die personenbezogene Daten ausschließlich in unserem Auftrag und auf Basis eines Auftragsverarbeitungsvertrags (AVV) gem. Art. 28 DSGVO verarbeiten.
Diese Dienstleister sind insbesondere:
• Prodigi (Print-on-Demand / Fulfillment)
• Billbee (Auftragsabwicklung / Warenwirtschaft & Automatisierung)
5. Prodigi (Print-on-Demand- und Fulfillment-Dienstleister)
5.1 Rolle von Prodigi und vertragliche Grundlage
Zur Produktion und zum Versand Ihrer Bestellung nutzen wir den spezialisierten Print-on-Demand-Dienstleister Prodigi. Prodigi verarbeitet Ihre personenbezogenen Daten (insbesondere Name, Lieferadresse, Bestelldaten) ausschließlich auf unsere Weisung und für keinen anderen Zweck.
• Prodigi wird als Auftragsverarbeiter gem. Art. 28 DSGVO für uns tätig.
• Hierfür besteht ein Data Processing Addendum / Auftragsverarbeitungsvertrag, der u. a. den Umfang, die Zwecke, die Sicherheitsmaßnahmen und die internationale Datenübermittlung regelt.
Die von Prodigi typischerweise verarbeiteten Daten sind insbesondere: Empfängername, Lieferadresse, ggf. E-Mail/Telefon für Versand, Bestell- und Produktdetails, Bild-/Artworks für den Druck, technische Informationen zur Bereitstellung der Dienste.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
5.2 Verarbeitungszwecke durch Prodigi
Prodigi verarbeitet die Daten ausschließlich, soweit dies zur Bereitstellung der Dienste erforderlich ist, insbesondere für:
• Empfang und Validierung von Bestellungen
• Routing der Bestellungen an Produktionsstandorte
• Produktion (Druck) der Produkte
• Verpackung, Versand, Lieferung und ggf. Reprints
• Abwicklung von Reklamationen, Retouren und Supportanfragen
• Qualitätssicherung und Produktionsoptimierung
• Betrugsprävention und Plattform-Sicherheit
• Erfüllung gesetzlicher Pflichten (z. B. steuerliche Nachweise)
Prodigi verarbeitet Ihre personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen (uns) und ist zur Vertraulichkeit verpflichtet.
5.3 Produktionsstandorte und Drittländer
Je nach Lieferland kann Ihre Bestellung durch verschiedene Produktionsstandorte von Prodigi gefertigt und versandt werden:
1. Niederlande (EU)
– Verarbeitung innerhalb der EU; keine gesonderte Übermittlungsgrundlage erforderlich, da das EU-Datenschutzrecht unmittelbar gilt.
2. Vereinigtes Königreich (UK)
– Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021, sodass Datenübermittlungen nach Art. 45 DSGVO zulässig sind, ohne dass weitere Garantien erforderlich sind.
3. USA
– Für Prodigi-Standorte in den USA liegt kein Angemessenheitsbeschluss der EU-Kommission vor; Prodigi ist nicht unter dem EU‑US Data Privacy Framework zertifiziert.
– Die Übermittlung (Name, Lieferadresse, Bestelldaten) erfolgt daher auf Grundlage der Standarddatenschutzklauseln der EU-Kommission gem. Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Data Processing Addendum sind.
– Prodigi ist vertraglich verpflichtet, Ihre Daten ausschließlich weisungsgebunden und nach den Anforderungen der DSGVO zu verarbeiten.
Risikohinweis: Standarddatenschutzklauseln binden US-Behörden nicht. Es kann daher nicht vollständig ausgeschlossen werden, dass US-Behörden unter bestimmten gesetzlichen Voraussetzungen auf die übermittelten Daten zugreifen. Soweit uns bekannt wird, dass Prodigi die Standardvertragsklauseln nicht einhalten kann, werden wir die Datenübermittlung unverzüglich aussetzen.
4. Australien
– Auch für Australien besteht kein Angemessenheitsbeschluss der EU-Kommission.
– Die Übermittlung (Name, Lieferadresse, Bestelldaten) erfolgt daher ebenfalls auf Grundlage der EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO, die Prodigi vertraglich zur DSGVO-konformen Verarbeitung verpflichten.
– Auch hier gilt, dass Behördenzugriffe nicht vollständig ausgeschlossen werden können; bei bekannt gewordener Nichteinhaltung der Standardvertragsklauseln würden wir die Übermittlung aussetzen.
Prodigi betreibt ein globales Fulfillment-Netzwerk und kann Daten an Gruppenunternehmen, Produktionspartner, Logistikunternehmen, Hosting- und Technologieanbieter weitergeben, soweit dies zur Erbringung der Dienstleistungen erforderlich ist. Diese Empfänger werden durch geeignete vertragliche und organisatorische Maßnahmen geschützt.
5.4 Sicherheitsmaßnahmen von Prodigi
Prodigi hat umfangreiche technische und organisatorische Maßnahmen implementiert, um ein angemessenes Schutzniveau zu gewährleisten, insbesondere in Bezug auf:
• Zugriffs- und Zugriffskontrollen (role-based access, least privilege, regelmäßige Überprüfung der Berechtigungen)
• Authentifizierung, insbesondere Multi-Faktor-Authentifizierung für administrative Zugänge
• Vertraulichkeitsverpflichtungen für Mitarbeiter und Dienstleister
• Verschlüsselung von Daten bei der Übertragung über öffentliche Netze und minimierte Datenübermittlung an Produktionspartner
• Datenminimierung im Fulfillment-Prozess (nur erforderliche Daten werden an Produktions- und Logistikpartner übermittelt)
• Logische Trennung von Kundenkonten und Umgebungen (Produktiv, Staging, intern)
• Protokollierung und Monitoring von Produktionssystemen sowie administrativen Zugriffen
• Vulnerability- und Patchmanagement, regelmäßige Sicherheitsupdates
• Backup- und Wiederherstellungsprozesse
• Lieferantenkontrollen gegenüber Subprozessoren und Fulfillment-Partnern
5.5 Speicherdauer bei Prodigi
Prodigi unterscheidet bei der Speicherdauer:
• Produktionsbilder und Artwork-Dateien: Speicherung nur so lange, wie es für Produktion, Qualitätssicherung, Reprints und Support erforderlich ist; anschließend Löschung oder Unzugänglichmachung.
• Bestell- und Versandaufzeichnungen: Aufbewahrung entsprechend den Anforderungen für Kundendienst, Streitfälle, Chargebacks, Gewährleistung, gesetzliche Aufbewahrung und Steuerrecht.
• Rechnungen und Zahlungsunterlagen: Aufbewahrung für die nach Buchhaltungs- und Steuerrecht erforderliche Zeit.
• Supporttickets und Korrespondenz: Aufbewahrung zur Sicherstellung von Kundenservice, Streitfallbearbeitung und Qualitätssicherung.
• Betriebs-, Sicherheits- und Plattform-Logs: zeitlich begrenzte Aufbewahrung zu Sicherheits-, Betrugspräventions- und Audit-Zwecken.
• Backups: Aufbewahrung entsprechend den Standard-Backupzyklen, danach Überschreibung.
Grundsätzlich löschen oder anonymisieren wir Ihre Daten, wenn deren Verarbeitung für die genannten Zwecke nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen.
6. Billbee (Auftragsabwicklung, Warenwirtschaft & Automatisierung)
6.1 Rolle von Billbee und vertragliche Grundlage
Für die interne Bestellabwicklung, Warenwirtschaft und Automatisierung (z. B. Rechnungserstellung, Versandlabel, Statusmeldungen) nutzen wir den Dienstleister Billbee. Billbee verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen.
• Zwischen uns und Billbee besteht ein Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO. Dieser regelt insbesondere den Gegenstand, die Dauer, Art und Zweck der Verarbeitung, Kategorien von Daten und betroffenen Personen, technische und organisatorische Maßnahmen sowie Unterauftragsverhältnisse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Bestellabwicklung; ergänzend Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, z. B. Rechnungslegung) und Art. 6 Abs. 1 lit. f DSGVO (effiziente Organisation des Geschäftsbetriebs).
6.2 Umfang der Datenverarbeitung durch Billbee
Laut Beschreibung der Auftragsverarbeitung verarbeitet Billbee insbesondere folgende Daten:
• Personenstammdaten (z. B. Name)
• Kommunikationsdaten (z. B. E‑Mail, Telefonnummer)
• Vertragsstammdaten (Bestell- und Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)
• Kundenhistorie (z. B. bisherige Bestellungen)
• Vertragsabrechnungs- und Zahlungsdaten (z. B. Rechnungsbeträge, Zahlungsstatus; keine vollständigen Zahlungsinstrumente, die über Zahlungsdienstleister laufen)
• Artikeldaten und Bestelldaten (Produkte, Mengen, Preise, Bestellstatus)
• Käuferdaten (Kunden des Shopbetreibers)
Billbee stellt Schnittstellen zu Onlineshops, Marktplätzen, Buchhaltungstools und Versanddienstleistern bereit und verarbeitet die Daten für Auftragsabwicklung, Warenwirtschaft und Automatisierung.
6.3 Technische und organisatorische Maßnahmen von Billbee
Der AVV von Billbee beschreibt umfangreiche technische und organisatorische Maßnahmen gem. Art. 32 DSGVO, u. a.:
• Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• Zutritts- und Zugangskontrolle, z. B. Firewalls, Virenscanner, Spamfilter, Patch- und Schwachstellenmanagement
• Eingabekontrolle und Protokollierung, insbesondere wenn mehrere Mitarbeiterzugänge genutzt werden
• Pseudonymisierung und Verschlüsselung bei Speicherung und Übertragung; Daten werden nach aktuellem Stand der Technik verschlüsselt übertragen und gespeichert
• Sicherstellung der Verfügbarkeit (Backups, Wiederherstellbarkeit)
• Unterstützung bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Datenschutz-Folgeabschätzung, Konsultation der Aufsichtsbehörde)
• Bestellung eines externen Datenschutzbeauftragten, an den sich Betroffene oder der Verantwortliche wenden können (z. B. privacy@billbee.io)
Billbee setzt bei der Infrastruktur u. a. Unterauftragnehmer (z. B. Cloud-Provider wie AWS, Monitoring-Dienstleister wie Datadog) ein. Übermittlungen an Drittländer stützen sich – soweit erforderlich – auf geeignete Garantien, insbesondere EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO.
6.4 Unterstützung bei Betroffenenrechten und Löschung
Der Auftragsverarbeiter Billbee unterstützt uns bei der Wahrnehmung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) durch geeignete technische und organisatorische Maßnahmen und leitet Betroffenenanfragen, die ihn unmittelbar erreichen, an uns als Verantwortliche weiter.
Nach Beendigung des Vertrages oder auf Weisung löscht oder gibt Billbee die personenbezogenen Daten entsprechend den vertraglich vereinbarten Fristen und gesetzlichen Aufbewahrungspflichten zurück; ausgenommen hiervon sind Daten, zu deren Aufbewahrung Billbee gesetzlich verpflichtet ist.
7. Zahlungsdienstleister
Für die Zahlungsabwicklung nutzen wir externe Zahlungsdienstleister (z. B. Kreditkarte, PayPal, Sofortüberweisung sowie weitere im Bestellprozess angegebene Methoden).
• Diese Dienstleister erhalten die für die Zahlungsabwicklung erforderlichen Daten (z. B. Name, Rechnungsadresse, Zahlungsdaten) und verarbeiten diese eigenverantwortlich als eigene Verantwortliche gemäß ihren jeweiligen Datenschutzbestimmungen.
• Wir erhalten von diesen Dienstleistern in der Regel nur Informationen darüber, ob eine Zahlung erfolgreich war (Zahlungsbestätigung) und keine vollständigen Zahlungsdaten (z. B. vollständige Kreditkartennummer).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Kaufvertrags).
8. Speicherdauer bei uns
Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:
• Bestelldaten: 10 Jahre (steuer- und handelsrechtliche Aufbewahrungspflicht nach §§ 147 AO, 257 HGB).
• Kommunikationsdaten (z. B. E-Mails): bis zu 3 Jahre nach Abschluss des Vorgangs (regelmäßige Verjährungsfrist für vertragliche Ansprüche).
• Nach Ablauf dieser Fristen werden die Daten routinemäßig gelöscht oder anonymisiert.
Prodigi und Billbee speichern Daten jeweils nach ihren eigenen, DSGVO-konformen Aufbewahrungs- und Löschkonzepten, die u. a. gesetzliche Anforderungen und betriebliche Notwendigkeiten (Reklamationen, Steuerrecht, Sicherheit) berücksichtigen.
9. Empfänger der Daten
Eine Weitergabe Ihrer personenbezogenen Daten erfolgt ausschließlich, soweit dies für die genannten Zwecke erforderlich ist oder eine gesetzliche Verpflichtung besteht:
• Print-on-Demand-Dienstleister Prodigi (Auftragsverarbeiter)
• Produktions- und Fulfillment-Partner von Prodigi (nur notwendige Fulfillment-Daten)
• Logistik-, Post- und Versanddienstleister (zur Zustellung Ihrer Bestellung)
• Zahlungsdienstleister (für die Zahlungsabwicklung, als eigene Verantwortliche)
• Billbee (Auftragsabwicklung, Warenwirtschaft, Automatisierung, als Auftragsverarbeiter)
• Cloud- und Hostinganbieter, IT-Dienstleister und sonstige Subprozessoren von Prodigi und Billbee (z. B. Infrastruktur, Monitoring), jeweils auf Grundlage von Art. 28 DSGVO und ggf. Art. 46 DSGVO (Standardvertragsklauseln)
• Steuerberater, Rechtsanwälte und Behörden, soweit erforderlich, z. B. zur Erfüllung gesetzlicher Pflichten oder zur Durchsetzung von Rechtsansprüchen.
Eine Übermittlung zu Werbezwecken an Dritte erfolgt nicht. Prodigi verkauft keine Kundendaten und nutzt sie nicht zur Direktwerbung an unsere Kunden.
10. Ihre Rechte als betroffene Person
Sie haben gegenüber uns folgende Rechte nach der DSGVO:
1. Auskunft (Art. 15 DSGVO): Sie können Auskunft über die bei uns gespeicherten personenbezogenen Daten verlangen.
2. Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten verlangen.
3. Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen entgegenstehen.
4. Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter den gesetzlichen Voraussetzungen die Einschränkung der Verarbeitung verlangen.
5. Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten bzw. an einen anderen Verantwortlichen übermitteln zu lassen, soweit technisch machbar.
6. Widerspruch (Art. 21 DSGVO): Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit der Verarbeitung Ihrer personenbezogenen Daten, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt ist, widersprechen.
7. Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an:
E-Mail: contact@labellarosa-studios.com
11. Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).
Für uns zuständig ist insbesondere:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
12. Keine automatisierte Entscheidungsfindung
Wir führen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO durch, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.
13. Nutzung der Plattform Etsy
Unsere Produkte werden über die Handelsplattform Etsy (Etsy, Inc., 117 Adams Street, Brooklyn, NY 11201, USA) angeboten und verkauft.
• Etsy verarbeitet Ihre personenbezogenen Daten (z. B. Name, Lieferadresse, Zahlungsdaten, Kommunikation über das Etsy-Nachrichtensystem) als eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, unabhängig von unserer Verarbeitung.
• Auf die Datenverarbeitung durch Etsy haben wir keinen Einfluss; maßgeblich sind die Datenschutzbestimmungen von Etsy, die Sie der Datenschutzerklärung von Etsy entnehmen können.
• Da Etsy ein US-amerikanisches Unternehmen ist, werden Ihre Daten bei Nutzung der Etsy-Plattform in die USA übermittelt. Etsy stützt diese Übermittlung auf EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO und ggf. auf das EU‑US Data Privacy Framework. Näheres entnehmen Sie der Etsy-Datenschutzerklärung.
Wir empfehlen Ihnen, die Datenschutzerklärung von Etsy sorgfältig zu lesen, bevor Sie eine Bestellung aufgeben.
14. Aktualität und Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Mai 2026. Sie basiert insbesondere auf den mit Prodigi und Billbee geschlossenen Auftragsverarbeitungsverträgen sowie den derzeit eingesetzten technischen und organisatorischen Maßnahmen.
Durch die Weiterentwicklung unseres Etsy-Shops, den Einsatz neuer Dienstleister oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung wird auf unserer Website bzw. im Etsy-Shop bereitgestellt.
15. Wichtiger Hinweis zur rechtlichen Umsetzung
Für die Wirksamkeit dieser Datenschutzerklärung ist erforderlich, dass:
1. mit Prodigi ein wirksamer Auftragsverarbeitungsvertrag einschließlich der einschlägigen Standardvertragsklauseln geschlossen ist und die dort beschriebenen Sicherheits- und Transfermechanismen tatsächlich umgesetzt werden;
2. mit Billbee ein wirksamer Auftragsverarbeitungsvertrag einschließlich der im AVV beschriebenen technischen und organisatorischen Maßnahmen und ggf. Drittländer-Transfers (Standardvertragsklauseln) besteht;
3. die hier beschriebenen internen Prozesse (z. B. Löschfristen, Betroffenenrechte, Informationspflichten) in Ihrem Betrieb tatsächlich eingehalten werden.
Sofern sich an diesen Verträgen, den eingesetzten Dienstleistern oder den konkreten Verarbeitungsprozessen etwas ändert, ist eine Anpassung dieser Datenschutzerklärung erforderlich.