Datenschutzerklärung
1. Wer für deine Daten verantwortlich ist
Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist Belal Arbach, Einzelunternehmer, Geschäftsbezeichnung Arbach Luxury Perfumes, Quellenstraße 99/1, 1100 Wien, Österreich, E-Mail management@arbach-perfumes.at, Telefon +43 681 10639298. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Für alle Fragen zum Datenschutz erreichst du uns unter den genannten Kontaktdaten.
2. Überblick
Wir verarbeiten deine Daten nur, soweit das für den Betrieb dieser Website, für die Abwicklung deiner Bestellung und für die Beantwortung deiner Anfragen erforderlich ist oder soweit du eingewilligt hast. Die folgenden Abschnitte erklären für jeden dieser Zwecke, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, an wen wir sie weitergeben und wie lange wir sie speichern.
3. Besuch der Website und Hosting
Unser Online-Shop läuft auf der Plattform von Shopify International Limited, The Sidings, 4th Floor, Grand Canal Quay, Dublin D02 E7K8, Irland. Beim Aufruf jeder Seite verarbeitet Shopify für uns technisch notwendige Zugriffsdaten, nämlich deine IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene und die zuvor besuchte Seite sowie Angaben zu deinem Browser und Betriebssystem. Das ist erforderlich, um dir die Website anzuzeigen und sie vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Shopify ist insoweit unser Auftragsverarbeiter (Art. 28 DSGVO). Shopify kann Daten an Konzerngesellschaften in Kanada und in den USA übermitteln. Für Kanada besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), Übermittlungen innerhalb des Shopify-Konzerns stützt Shopify auf verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 lit. b und Art. 47 DSGVO).
Für einzelne eigene Dienste, insbesondere Shop Pay und die Shop-App, ist Shopify selbst Verantwortlicher, Einzelheiten findest du in der Datenschutzerklärung von Shopify.
4. Bestellung und Vertragsabwicklung
Wenn du bei uns bestellst, verarbeiten wir die Daten, die du im Bestellvorgang angibst, nämlich deinen Vor- und Nachnamen, deine Liefer- und Rechnungsanschrift, deine E-Mail-Adresse, auf Wunsch deine Telefonnummer, die bestellten Waren, die gewählte Versand- oder Abholart und die Zahlungsart. Wir benötigen diese Daten, um den Vertrag mit dir abzuschließen und zu erfüllen, dir die Bestellbestätigung und Nachrichten zum Stand deiner Bestellung zu senden und einen Widerruf, eine freiwillige Rückgabe oder eine Gewährleistungsanfrage abzuwickeln (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Angaben können wir deine Bestellung nicht annehmen. Rechnungen und die zugehörigen Bestelldaten bewahren wir sieben Jahre auf, weil uns die Bundesabgabenordnung dazu verpflichtet (§ 132 BAO, Art. 6 Abs. 1 lit. c DSGVO). Die übrigen Bestelldaten löschen wir, sobald allfällige Ansprüche aus dem Vertrag verjährt sind.
5. Widerruf über unsere Online-Funktion
Erklärst du den Widerruf über die Funktion „Vertrag widerrufen“, verarbeiten wir deinen Namen, deine E-Mail-Adresse, deine Bestellnummer, die betroffenen Waren und deine allfälligen Anmerkungen, um den Widerruf abzuwickeln und dir den Eingang zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO). Die Funktion wird für uns von der 401layers UG (haftungsbeschränkt), Dorothea-Erx.-Str. 1a, 40721 Hilden, Deutschland, als Auftragsverarbeiter betrieben, die dabei auch deine IP-Adresse und Angaben zu deinem Browser verarbeitet.
6. Zahlung
Für die Zahlung geben wir die dafür erforderlichen Daten an den Zahlungsdienstleister weiter, den du im Bestellvorgang wählst, nämlich deinen Namen, deine Rechnungsanschrift, den Rechnungsbetrag und die Bestellnummer (Art. 6 Abs. 1 lit. b DSGVO). Deine vollständigen Karten- oder Kontodaten gibst du direkt beim Zahlungsdienstleister ein, wir selbst erhalten sie nicht. Zahlungen mit Kredit- oder Debitkarte, Apple Pay, Google Pay und EPS wickelt über Shopify Payments die Stripe Payments Europe, Limited, Dublin, Irland, ab. Bei Apple Pay und Google Pay verarbeiten zusätzlich Apple beziehungsweise Google deine Daten in eigener Verantwortung, soweit das für die Nutzung ihrer Wallet erforderlich ist. Wählst du Shop Pay, verarbeitet Shopify deine Daten als eigener Verantwortlicher.
Wählst du Klarna, übermitteln wir deine Bestell- und Kontaktdaten an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, die diese Daten als eigener Verantwortlicher verarbeitet, auch zur Prüfung deiner Identität und Kreditwürdigkeit.
Wählst du PayPal, wirst du zu PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, weitergeleitet, die deine Daten als eigener Verantwortlicher verarbeitet. Einzelheiten findest du jeweils in den Datenschutzerklärungen dieser Anbieter.
7. Versand und Abholung im Geschäft
Wenn wir deine Bestellung versenden, geben wir deinen Namen, deine Lieferanschrift und die Paketdaten an das Versandunternehmen weiter (Art. 6 Abs. 1 lit. b DSGVO). Deine E-Mail-Adresse geben wir dem Versandunternehmen nur weiter, damit es dich über die Zustellung informieren kann (Art. 6 Abs. 1 lit. f DSGVO), und du kannst dem jederzeit widersprechen. Versandunternehmen ist die Österreichische Post AG, Rochusplatz 1, 1030 Wien. Wählst du die Abholung in unserem Geschäft, verwenden wir deine E-Mail-Adresse, um dich zu verständigen, sobald deine Bestellung bereitliegt.
8. Kontaktaufnahme
Wenn du uns per E-Mail, per WhatsApp oder telefonisch kontaktierst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten. Betrifft deine Anfrage eine Bestellung, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, in allen anderen Fällen unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Schreibst du uns über WhatsApp, verarbeitet zusätzlich WhatsApp Ireland Limited deine Nachrichten in eigener Verantwortung, wenn du das nicht möchtest, erreichst du uns auch per E-Mail oder Telefon. Wir löschen Anfragen, sobald sie erledigt sind, soweit uns keine gesetzliche Pflicht zur Aufbewahrung trifft.
9. Newsletter
Wenn du dich für unseren Newsletter anmeldest, verarbeiten wir deine E-Mail-Adresse, deinen Vornamen und die von dir gewählte Auswahl (für sie, für ihn, Unisex), um dir Informationen über unsere Angebote, neue Düfte und unseren Online-Shop zu senden. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Nach der Anmeldung erhältst du eine E-Mail, mit der du deine Anmeldung bestätigst, erst danach senden wir dir den Newsletter, und zum Nachweis deiner Einwilligung speichern wir den Zeitpunkt deiner Anmeldung und deiner Bestätigung.
Den Versand des Newsletters besorgt für uns Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA, als Auftragsverarbeiter. Klaviyo ist unter dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO) und hat zusätzlich die Standardvertragsklauseln der Europäischen Kommission vereinbart. Hast du im Cookie-Banner der Kategorie „Marketing“ zugestimmt, setzt Klaviyo außerdem ein Cookie, um dir das Anmeldefenster nur einmal zu zeigen und dich nach einer Anmeldung an einen nicht abgeschlossenen Einkauf zu erinnern.
Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jedem Newsletter oder mit einer Nachricht an uns.
Nach deiner Abmeldung löschen wir deine Daten, soweit wir sie nicht zum Nachweis deiner früheren Einwilligung aufbewahren müssen.
10. Cookies und ähnliche Technologien
Technisch notwendige Cookies und vergleichbare Technologien, ohne die der Shop nicht funktioniert, setzen wir ohne deine Einwilligung ein (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. f DSGVO). Dazu gehören insbesondere Cookies für den Warenkorb, den Bestellvorgang, die Sprachwahl, die Sicherheit der Website und die Speicherung deiner Cookie-Einstellungen. Alle anderen Cookies und Technologien, insbesondere zur Statistik und zu Marketingzwecken, setzen wir nur ein, wenn du über unser Cookie-Banner eingewilligt hast (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO). Derzeit sind das Google Analytics 4 (Abschnitt 11), der Meta-Pixel samt Conversions API (Abschnitt 12), die Besucherstatistik unseres Shopsystems Shopify (Kategorie „Analysen“) und das Skript unseres Newsletter-Dienstes Klaviyo (Kategorie „Marketing“, Abschnitt 9).
Du kannst deine Einwilligung jederzeit über den Link „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen.
11. Google Analytics 4
Wenn du der Kategorie „Analysen“ zugestimmt hast, nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit werten wir aus, wie unser Shop genutzt wird, etwa welche Seiten und Produkte aufgerufen werden, um ihn zu verbessern (Art. 6 Abs. 1 lit. a DSGVO). Google verarbeitet dabei unter anderem Angaben zu deinem Gerät und Browser, deinen ungefähren Standort und dein Nutzungsverhalten und setzt dafür Cookies, die bis zu zwei Jahre gespeichert werden; die Nutzungsdaten löscht Google Analytics nach 14 Monaten. Google kann Daten an Google LLC in den USA übermitteln, die unter dem EU-US-Datenschutzrahmen zertifiziert ist, für den ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO).
12. Meta-Pixel und Conversions API
Wenn du der Kategorie „Marketing“ zugestimmt hast, nutzen wir den Meta-Pixel und die Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Damit messen wir, wie wirksam unsere Werbung auf Facebook und Instagram ist, und können Besuchern unseres Shops dort passende Werbung zeigen (Art. 6 Abs. 1 lit. a DSGVO). Übermittelt werden dabei Angaben zu deinem Besuch und zu Käufen in unserem Shop, über die Conversions API auch direkt von unserem Shop aus und, soweit vorhanden, deine E-Mail-Adresse oder Telefonnummer in verschlüsselter Form. Für die Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO), die wesentlichen Inhalte der Vereinbarung mit Meta findest du unter facebook.com/legal/controller_addendum, und deine Rechte kannst du auch direkt gegenüber Meta geltend machen.
Meta kann Daten an Meta Platforms, Inc. in den USA übermitteln, die unter dem EU-US-Datenschutzrahmen zertifiziert ist (Art. 45 DSGVO).
Das Cookie des Meta-Pixels wird in der Regel 90 Tage gespeichert, wie lange Meta die Daten speichert, richtet sich nach der Datenschutzrichtlinie von Meta.
13. Google Maps
Auf unserer Kontaktseite zeigen wir eine Karte von Google Maps an, Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Karte wird erst geladen, wenn du sie durch einen Klick aktivierst und damit einwilligst (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO). Dabei erhält Google deine IP-Adresse und Angaben zu deinem Browser und kann diese Daten an Google LLC in den USA übermitteln, die unter dem EU-US-Datenschutzrahmen zertifiziert ist (Art. 45 DSGVO).
14. KI-Duftberater
Unser Duftberater ist ein KI-Assistent, der deine Fragen zu unseren Düften beantwortet und dir passende Düfte aus unserem Sortiment vorschlägt. Seine Antworten erzeugt ein KI-Sprachmodell, sie können falsch oder unvollständig sein, verbindlich sind die Angaben auf der Produktseite. Wir verarbeiten dabei, was du in den Chat schreibst, die Antworten des Beraters, die Sprache der Seite und technische Angaben zu deiner Sitzung. Du musst dafür weder deinen Namen noch deine Kontaktdaten angeben und kein Kundenkonto anlegen. Bitte gib im Chat keine persönlichen Daten und keine Angaben zu deiner Gesundheit ein. Fragen zu Haut, Allergien, Schwangerschaft oder Medikamenten erkennt der Berater automatisch und beantwortet sie nicht, sondern verweist dich an deine Ärztin, deinen Arzt oder die Apotheke.
Gibst du dennoch Angaben zu deiner Gesundheit ein, werden sie für diese Erkennung und als Teil des Gesprächs verarbeitet und mit dem Gespräch gelöscht, in unserer Tagesstatistik zählen wir solche Fragen nur als Gesamtzahl ohne Bezug zu dir.
Rechtsgrundlage ist unser berechtigtes Interesse, dir auf deine Anfrage eine Duftberatung anzubieten (Art. 6 Abs. 1 lit. f DSGVO), und soweit die Beratung einem Kauf vorausgeht, auch Art. 6 Abs. 1 lit. b DSGVO.
Zum Schutz vor automatisierten Angriffen setzen wir auf der Seite des Duftberaters den Dienst Turnstile von Cloudflare ein, der prüft, ob die Anfrage von einem Menschen stammt.
Dabei werden deine IP-Adresse und Merkmale deines Browsers an Cloudflare übermittelt (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. f DSGVO), Cloudflare verwendet diese Signale zum Teil auch in eigener Verantwortung zur Verbesserung seiner Bot-Erkennung, Einzelheiten findest du unter cloudflare.com/turnstile-privacy-policy.
Um Missbrauch zu begrenzen, zählen wir außerdem die Anfragen je IP-Adresse, speichern die IP-Adresse dafür aber nicht im Klartext, sondern nur als pseudonymisierten Hashwert, und löschen diesen Zähler nach spätestens einer Stunde. Für den Duftberater setzen wir folgende Auftragsverarbeiter ein (Art. 28 DSGVO).
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, betreibt das Programm des Beraters, die Datenbank und die Missbrauchsprüfung.
Die Datenbank mit dem Gesprächstext liegt in der Europäischen Union, das Programm selbst läuft im weltweiten Netz von Cloudflare, deine Nachricht kann daher auch in einem Rechenzentrum außerhalb der Europäischen Union entgegengenommen und weitergeleitet werden. Cloudflare ist unter dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO) und hat zusätzlich die Standardvertragsklauseln der Europäischen Kommission vereinbart.
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg, gemeinsam mit Amazon Web Services, Inc., 410 Terry Avenue North, Seattle, WA 98109, USA, betreibt das Sprachmodell, nämlich Claude Haiku 4.5 des Herstellers Anthropic, über den Dienst Amazon Bedrock in Rechenzentren in der Europäischen Union.
An Amazon Web Services übermitteln wir nur den Text der letzten höchstens sechs Nachrichten des Gesprächs und deine aktuelle Nachricht, nicht aber deine IP-Adresse oder sonstige Angaben zu deiner Person.
Amazon Web Services verwendet deine Eingaben nicht zum Training von KI-Modellen und gibt sie nicht an den Hersteller des Modells weiter.
Amazon.com, Inc. ist mit Amazon Web Services, Inc. unter dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO). Den Gesprächstext löschen wir automatisch spätestens zweieinviertel Stunden nach Beginn des Gesprächs.
Ein Betriebsprotokoll bewahren wir 30 Tage auf, es enthält deine Fragen nicht, in Ausnahmefällen aber eine Antwort des Beraters, wenn diese von einer Sicherheitsprüfung erfasst wurde, und diese Antwort kann Teile deiner Nachricht wiedergeben. Die technischen Aufrufprotokolle von Cloudflare werden nach drei Tagen gelöscht. Darüber hinaus führen wir nur eine Tagesstatistik mit Gesamtzahlen, die keinen Bezug zu dir oder deinem Gespräch hat.
Der Duftberater selbst setzt in deinem Browser keine Cookies und speichert dort nichts dauerhaft.
Die Vorschläge des Beraters sind unverbindlich, eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO trifft er nicht.
15. Foto auf der Flasche
Wenn du einen Flakon mit deinem Motiv bestellst, verarbeiten wir die Datei, die du hochlädst (Foto oder Logo), deinen Gruß, deine Bestätigung der Bildrechte mit Datum und Uhrzeit sowie Angaben zur Datei, nämlich Format und Bildgröße. Wir brauchen diese Daten, um deinen Flakon zu bedrucken und dir zu liefern (Art. 6 Abs. 1 lit. b DSGVO). Die Vorschau auf der Produktseite entsteht nur in deinem Browser; übertragen wird die Datei erst, wenn du den Flakon in den Warenkorb legst.
Zeigt dein Motiv andere Personen, verarbeiten wir auch deren Bild, und zwar nur für den Druck. Rechtsgrundlage ist unser und dein berechtigtes Interesse, deine Bestellung wie gewünscht auszuführen (Art. 6 Abs. 1 lit. f DSGVO); dass diese Personen einverstanden sind, bestätigst du uns bei der Bestellung.
Die Datei speichert Shopify (Abschnitt 3) als unser Auftragsverarbeiter zusammen mit deiner Warenkorbzeile und Bestellung. Abrufbar ist sie über einen langen, zufälligen Link, den wir nirgends veröffentlichen; wer den Link kennt, kann die Datei allerdings ohne Anmeldung öffnen. Nach deiner Bestellung erhalten wir den Link mit deiner Bestellnummer per E-Mail an support@arbach-perfumes.at und drucken deinen Flakon in unserem Geschäft in Wien. Unsere E-Mails verarbeitet Microsoft 365 der Microsoft Ireland Operations Limited, Dublin, Irland, als unser Auftragsverarbeiter; Microsoft kann Daten an die Microsoft Corporation in den USA übermitteln, die unter dem EU-US-Datenschutzrahmen zertifiziert ist (Art. 45 DSGVO). Wir verwenden dein Motiv nicht für Werbung und zeigen es niemandem ohne deine ausdrückliche Einwilligung.
Die E-Mail mit dem Link und die Datei löschen wir drei Monate nach der Übergabe deines Flakons, bei Shopify, soweit Shopify das technisch zulässt. Deinen Gruß und die Bestätigung der Bildrechte bewahren wir als Teil der Bestellung mit den Bestelldaten nach Abschnitt 4 auf. Brichst du den Kauf ab, erhalten wir die Datei nicht; Shopify speichert sie trotzdem, und wir können sie weder einsehen noch löschen.
16. Deine Rechte
Du hast das Recht auf Auskunft über deine bei uns gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Soweit wir deine Daten aufgrund unseres berechtigten Interesses verarbeiten, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Der Verarbeitung deiner Daten für Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Wende dich dafür einfach an management@arbach-perfumes.at.
Wenn du meinst, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, oder bei der Aufsichtsbehörde des Staates beschweren, in dem du dich gewöhnlich aufhältst.
17. Stand
Diese Datenschutzerklärung gilt in der Fassung vom 2. November 2026.