Datenschutzerklärung

Stand: 11. Oktober 2026

1. Verantwortliche und Kontakt

Verantwortlich für personenbezogene Daten im Zusammenhang mit dem Onlineshop nellycast.ro ist Nelly Aleyda Castro Ibarra, handelnd unter Nelly Castro, Calle General Prim, 11, 46005 Valencia, Spanien; NIF/NIE Y9824161R; USt-ID ESY9824161R. Kontakt: shop@nellycastro.com, Telefon +34 696 399 635.

Diese Erklärung betrifft Besuche und Verbraucherkäufe im Shop, Anfragen, Kundenkonten und damit verbundene Kommunikation. Sie erläutert unsere Datenverarbeitung nach DSGVO, spanischer LOPDGDD und LSSI-CE.

2. Daten und Herkunft

Wir verarbeiten Angaben beim Einkauf, bei Kontaktaufnahme, Einrichtung oder Nutzung eines Kontos und bei Anmeldung: Name, Kontaktdaten, Adressen, Artikel, Bestellungen, Beträge, Zahlungsstatus und Kommunikation. Steuerangaben werden verarbeitet, soweit sie zur Rechnungstellung erforderlich sind. Von Shopify sowie Zahlungs- und Versanddienstleistern erhalten wir außerdem die zur Abwicklung erforderlichen Informationen.

Beim Besuch entstehen technische und Aktivitätsdaten, etwa IP-Adresse, Browser, Gerät, besuchte Seiten, Zeitpunkt, Kennungen und Einwilligungsstatus. Die Erhebung durch optionale Technologien hängt von der Datenschutzentscheidung und den genutzten Funktionen ab. Pflichtangaben werden im jeweiligen Formular gekennzeichnet; ohne notwendige Angaben können wir den betreffenden Kauf oder die Anfrage nicht bearbeiten. Für einen Kauf ist keine Werbeanmeldung erforderlich.

3. Zwecke und Rechtsgrundlagen

• Bestellungen, Zahlung, Lieferung, Rückgaben, Gewährleistung und kaufbezogene Anfragen: Vertragserfüllung oder angefragte vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO.
• Rechnungen, steuerliche und buchhalterische Pflichten sowie gesetzlich vorgeschriebene Auskünfte: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO.
• Allgemeine Anfragen, Schutz vor Missbrauch und Rechtsansprüche: berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO, beschränkt auf das Erforderliche und unter Abwägung der Rechte betroffener Personen.
• Newsletter und elektronische Werbung aufgrund einer Anmeldung sowie Analyse oder Werbung durch nicht notwendige Technologien: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, zusätzlich zu den Anforderungen der LSSI-CE. Ein Widerruf berührt die Rechtmäßigkeit vorheriger Verarbeitung nicht.

Die Einwilligung für nicht notwendige Analyse und personalisierte Werbung betrifft auch die entsprechende Übermittlung von Serverereignissen. Eine Bestellung, bloße Shopnutzung oder vorausgewählte Checkbox ersetzt keine aktive Einwilligung. Vertragliche Servicenachrichten und werbliche Erinnerungen sind zu unterscheiden.

Die unterstützende KI-Auswertung stützen wir auf das berechtigte Interesse an einer effizienten und strukturierten Vorgangs- und Kommunikationsbearbeitung, Art. 6 Abs. 1 lit. f DSGVO, soweit die konkrete Verarbeitung erforderlich ist und die Interessen und Rechte der Betroffenen nicht überwiegen. Die Nutzung von KI ist für sich genommen keine gesetzliche Pflicht. Das Widerspruchsrecht ist in Abschnitt 10 erläutert.

4. Shopify und Shopdienste

Der Shop nutzt Shopify für Hosting, Checkout sowie Kunden- und Bestellverwaltung. Shopify verarbeitet Daten zur Bereitstellung der Plattform in unserem Auftrag. Bei bestimmten Funktionen, darunter Enhanced Services und eigene Beziehungen der Nutzer zu Shop oder Shop Pay, kann Shopify je nach Dienst eigenständig verantwortlich sein.

Shopify Network Intelligence ist aktiviert und nutzt Aktivitäts- und Kundendaten zusammen mit weiteren Shopify-Daten für Personalisierung, Analyse und Werbung. Informationen finden Sie in Shopifys Datenschutzerklärung für Verbraucher und den Datenschutzkontrollen. Diese ersetzen nicht die Kontaktaufnahme mit uns zu Rechten gegenüber unserer eigenen Verarbeitung.

Für Händler im EWR ist Shopify International Limited, Irland, Vertragspartner. Unsere Vertragserfüllung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO; Sicherheit und Missbrauchsschutz auf das berechtigte Interesse am sicheren Betrieb. Diese Grundlage ersetzt keine erforderliche Werbeeinwilligung. Shopify erläutert die Rechtsgrundlagen für eigene Zwecke der Enhanced Services in seiner verlinkten Verbraucher-Datenschutzerklärung.

5. Empfänger, Zahlung und Versand

Erforderliche Angaben werden an Dienstleister für Hosting und Unterstützung, Zahlungsabwicklung, Lieferung sowie buchhalterische und steuerliche Pflichten übermittelt. Der Shop bietet Shopify Payments und PayPal. Welche Daten und Verantwortlichkeiten betroffen sind, hängt vom gewählten Zahlungsmittel ab. Zahlungsanbieter können für Zahlungsabwicklung, Betrugsprävention und gesetzliche Pflichten eigenverantwortlich handeln.

Behörden und Gerichte können Informationen erhalten, soweit gesetzlich vorgeschrieben oder für Ansprüche erforderlich. Dienstleister, die in unserem Auftrag tätig sind, müssen unter den geltenden vertraglichen Garantien handeln.

E-Mails an shop@nellycastro.com werden über Dogado verarbeitet. Dabei fallen Kontakt-, Nachrichten- und technische Daten für Übermittlung und Speicherung an. UPS erhält für die Lieferung Empfängername, Lieferadresse, erforderliche Kontaktdaten sowie Sendungs- und Zustellinformationen. UPS verarbeitet Daten auch eigenverantwortlich für Transportleistungen und gesetzliche Pflichten. Unsere örtliche Steuerberatung erhält die für Buchführung und Steuerpflichten erforderlichen Beleg-, Transaktions- und Kundendaten. Weitere Informationen: Dogado und UPS.

Für Shopverwaltung, Bestellbearbeitung und Kommunikation sind außerdem Dienstleister für Formulare, Nachrichten, Workflow-Automatisierung, Zahlungs- und Bestellregeln, Versandabwicklung, Widerrufsfunktionen und technische Unterstützung eingebunden. Sie können Daten erhalten, die für ihre jeweilige Aufgabe erforderlich sind. Nicht jeder Dienst verarbeitet sämtliche Kundendaten.

Zur Bearbeitung von Bestellungen, Rechnungen und Kundenkommunikation verwenden wir ein internes Warenwirtschafts- und Rechnungssystem mit KI-Auswertung durch die Google Gemini API. Betroffen sein können Namen, Kontakt- und Adressdaten, Bestell- und Rechnungsangaben sowie weitere personenbezogene Inhalte der verarbeiteten Dokumente und Nachrichten.

Die Dokumentanalyse über die Gemini API kann vollständige Dateien an Google übermitteln. Bei der E-Mail-Analyse werden Betreff und ein von HTML-Markierungen bereinigter, gekürzter Nachrichtentext übertragen. Die KI extrahiert und ordnet Angaben, erstellt Zusammenfassungen und schätzt Inhalt, Stimmung und Dringlichkeit ein. Diese fehleranfälligen Einschätzungen können personenbezogene Bewertungen enthalten. Eine Anonymisierung sämtlicher übermittelter Inhalte wird nicht zugesichert.

6. Cookies, Analyse und Werbung

Notwendige Technologien ermöglichen Funktionen wie Warenkorb, Sicherheit, Sitzung und Speicherung von Einstellungen. Zusätzliche Mess- oder Werbetechnologien erfordern die entsprechende Entscheidung, soweit das Gesetz eine Einwilligung verlangt.

Die geprüfte Konfiguration umfasst aktive Google Ads und Google Analytics sowie Facebook-/Instagram- und TikTok-Pixel mit Browser- und Serverkomponenten. Diese Werkzeuge können Kennungen, technische Angaben, Besuchsaktivität und Kaufereignisse verarbeiten, um Kampagnen zu messen und Werbung auszurichten. Pseudonyme Kennungen sind keine anonymen Daten. Informationen: Google, Meta und TikTok.

Cookies speichern Informationen im Browser; vergleichbare Kennungen und Pixel können Geräte oder Interaktionen wiedererkennen. Analyse dient der Auswertung der Shopnutzung, Werbung der Kampagnenmessung und interessenbezogenen Ausspielung. Browserereignisse können mit serverseitigen Kaufereignissen verknüpft werden. Anbieter können Informationen mit vorhandenen Nutzerprofilen verbinden, soweit die Funktion dies vorsieht. Sie können Einwilligungen widerrufen und Direktwerbung jederzeit widersprechen; für entsprechende Anfragen erreichen Sie uns unter shop@nellycastro.com. Zusätzlich können Sie Cookies im Browser löschen oder blockieren. Eine Browsersperre allein verhindert keine unabhängige serverseitige Verarbeitung und löscht keine bereits übermittelten Daten.

Über „Cookie-Einstellungen“ im Footer des Shops können Sie Ihre Auswahl erneut öffnen, ändern oder für künftige Nutzungen widerrufen. Der Widerruf berührt rechtmäßige frühere Verarbeitungen nicht und löscht bereits übermittelte Daten nicht automatisch.

7. Newsletter und Kommunikation

Notwendige Nachrichten zu Bestellungen und Anfragen werden von Werbung unterschieden. Bei einer Newsletter-Anmeldung verwenden wir die E-Mail-Adresse und die dafür bereitgestellten Angaben. Die Abmeldung ist über den Link in jeder Nachricht oder per E-Mail an shop@nellycastro.com möglich.

Wir nutzen Shopify Messaging für Newsletter und Kampagnen. Shopify ist für die Anmeldung mit zusätzlicher Bestätigung (Double-Opt-in) eingestellt. Dabei können Anmeldung, Bestätigung, Zeitpunkt und zugehörige technische Informationen als Nachweis verarbeitet werden. Die aktuelle Konfiguration umfasst Öffnungsmessung und Kampagnenkennungen in Links (UTM); dadurch können Öffnungen und Reaktionen auf Kampagnen ausgewertet werden. Eine Newsletter-Anmeldung ist keine pauschale Einwilligung in jede darüber hinausgehende Profilbildung. Soweit für die Messung oder Personalisierung eine Einwilligung erforderlich ist, muss sie diese Zwecke abdecken. Abmeldung ist über den Link in der Nachricht oder über shop@nellycastro.com möglich.

8. Internationale Übermittlungen

Einige Anbieter und ihre Partner können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die von Shopify angezeigte EU-Hostingregion schließt internationale Zugriffe oder Übermittlungen nicht aus. Je nach Empfänger sind ein anwendbarer Angemessenheitsbeschluss oder andere Garantien nach Kapitel V DSGVO erforderlich, etwa verbindliche interne Datenschutzvorschriften oder Standardvertragsklauseln samt notwendigen zusätzlichen Maßnahmen.

Der frühere Privacy Shield ist keine Grundlage dieser Übermittlungen. Das EU-US Data Privacy Framework ist nur für zertifizierte US-Organisationen und die von ihrer Zertifizierung erfassten Verarbeitungen nutzbar. Informationen zu geltenden Garantien können Sie über unseren Kontakt anfordern.

Bei Shopify können insbesondere Kanada, die USA und Singapur beteiligt sein. Shopify beschreibt in seinem Vertrag zur Datenverarbeitung verbindliche interne Datenschutzvorschriften für gruppeninterne Übermittlungen aus dem EWR und Standardvertragsklauseln für weitere relevante Übermittlungen. UPS erläutert in seinem Datenschutzhinweis Standardvertragsklauseln und genehmigte gruppeninterne Datenschutzregeln. Bei Google, Meta, TikTok und Zahlungsdienstleistern sind internationale Empfänger und Zugriffe möglich. Eine EU-Vertragsgesellschaft bedeutet keine ausschließliche Verarbeitung in der EU.

Für die Gemini API gelten dienstspezifische Google-Bedingungen zur Verarbeitung von Eingaben und Ausgaben. Diese können auch außerhalb des EWR verarbeitet werden. Eine ausschließliche EU-Verarbeitung wird nicht zugesichert. Informationen: Gemini-API-Bedingungen und Google-Vereinbarung zur Auftragsverarbeitung.

Wir nutzen die Gemini API über ein betriebliches Projekt mit aktivierter Abrechnung. Nach den für kostenpflichtige Dienste geltenden Bedingungen verwendet Google Eingaben und Antworten nicht zur Verbesserung seiner Produkte. Google nennt jedoch eine zeitlich begrenzte Protokollierung für Sicherheits- und Missbrauchskontrollen sowie gesetzlich erforderliche Offenlegungen. Dies ist keine Zusicherung vollständiger Speicherfreiheit.

9. Aufbewahrung

Transaktionsdaten werden aufbewahrt, solange sie für Vertragserfüllung und Ansprüche erforderlich sind. Buchführungsunterlagen nach Art. 30 des spanischen Código de Comercio sind sechs Jahre ab dem letzten Buchungseintrag aufzubewahren; steuerliche Pflichten und mögliche Unterbrechungen von Verjährungsfristen erfordern gegebenenfalls eine weitere Prüfung. Diese Pflichten rechtfertigen keine gleich lange Aufbewahrung sämtlicher Besuchs- oder Marketingdaten.

Nach Zweckende werden Daten gelöscht oder anonymisiert, vorbehaltlich gesetzlicher Aufbewahrung und gegebenenfalls Sperrung nach Art. 32 LOPDGDD. Eine Werbeabmeldung muss weitere Sendungen verhindern; minimale Angaben können für den Nachweis oder zur Vermeidung unzulässiger Wiederaufnahme erforderlich bleiben.

Für Anfragen richtet sich die Dauer nach deren Bearbeitung und danach, ob die Kommunikation zum Vertrag oder zu möglichen Ansprüchen gehört. Kontodaten werden für das bestehende Konto und dessen Zwecke benötigt; Kontolöschung lässt gesetzlich notwendige Bestellunterlagen unberührt. Werbedaten werden bis zum Widerruf oder Wegfall des Anmeldezwecks verarbeitet. Einwilligungsnachweise werden benötigt, solange die Rechtmäßigkeit nachzuweisen ist; eine Sperrliste dient der Beachtung von Abmeldungen. Technische Protokolle und Sicherungskopien dürfen nur für Sicherheits- und Wiederherstellungszwecke und deren erforderliche Dauer aufbewahrt werden.

Im internen Rechnungssystem gespeicherte KI-Ergebnisse, Zuordnungen und Zusammenfassungen werden entsprechend ihrem Bearbeitungszweck und den für den zugehörigen Vorgang oder die Kommunikation geltenden Aufbewahrungskriterien behandelt. Die Google-Datenverwendung ist von unserer eigenen Speicherung der Rechnungen, Nachrichten und Auswertungsergebnisse zu unterscheiden.

10. Rechte und Beschwerden

Sie können bei Vorliegen der Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen sowie Verarbeitung aufgrund berechtigter Interessen widersprechen. Direktwerbung können Sie jederzeit widersprechen. Einwilligungen können Sie ohne rückwirkende Wirkung widerrufen. Datenübertragbarkeit kann bei automatisierter Verarbeitung sowohl auf Einwilligungs- als auch auf Vertragsgrundlage bestehen. Hinzu kommen die anwendbaren Rechte gegenüber ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung.

Richten Sie Anträge an shop@nellycastro.com oder die genannte Postadresse. Eine Ausweiskopie wird nicht routinemäßig verlangt; zusätzliche notwendige Informationen werden nur bei begründeten Identitätszweifeln angefordert. Die Antwort erfolgt grundsätzlich innerhalb eines Monats; unter gesetzlichen Voraussetzungen ist eine Verlängerung um bis zu zwei weitere Monate möglich, über die innerhalb des ersten Monats informiert wird. Die Ausübung ist kostenlos, vorbehaltlich gesetzlicher Ausnahmen bei offensichtlich unbegründeten oder exzessiven Anträgen.

Sie können sich bei der spanischen Datenschutzbehörde AEPD oder einer anderen zuständigen Aufsichtsbehörde beschweren. Eine vorherige Beschwerde bei uns ist nicht erforderlich.

11. Sicherheit, automatisierte Entscheidungen und Änderungen

Sicherheitsmaßnahmen müssen den Verarbeitungsrisiken entsprechen. Eine verschlüsselte Verbindung beseitigt nicht sämtliche Internetrisiken. Übermitteln Sie keine besonders sensiblen Informationen, die für Ihre Anfrage nicht erforderlich sind.

Die KI-Auswertung erstellt Zusammenfassungen und Einstufungen für die interne Bearbeitung. Zahlungsanbieter können eigene automatisierte Prüfungen zur Betrugsprävention und Zahlungsabwicklung durchführen; deren Verfahren richten sich nach dem gewählten Dienst und dessen Datenschutzhinweisen. Bestehen die gesetzlichen Voraussetzungen gegenüber ausschließlich automatisierten erheblichen Entscheidungen, können Sie insbesondere menschliches Eingreifen verlangen, Ihren Standpunkt darlegen und die Entscheidung anfechten. Kontaktieren Sie uns bei Fragen zur Bedeutung einer Verarbeitung für Ihre Bestellung.

Bei Änderungen unserer Dienste oder Datenverarbeitung passen wir diese Erklärung an. Über wesentliche Änderungen informieren wir, soweit erforderlich.