Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist die North Legendary GmbH, Pappelallee 78/79, 10437 Berlin, Deutschland, E-Mail: immerda@north-legendary.com, Telefon: +49 30 2178 2502. Vollständige Anbieterkennzeichnung: siehe Impressum.

2. Grundlagen und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur im Rahmen der gesetzlichen Vorgaben (DSGVO, BDSG, TDDDG). Je nach Verarbeitung stützen wir uns auf:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Cookies für Statistik/Marketing, Newsletter, Veröffentlichung von Bewertungen).
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag und vorvertragliche Maßnahmen (z. B. Bestellungen im Shop, Kundenkonto, Anfragen).
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrung von Rechnungen, Eingangsbestätigung eines Widerrufs).
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (z. B. technischer Betrieb, Sicherheit, Direktwerbung an Bestandskunden).

3. Hosting und Server-Log-Dateien

Unsere Webseite und unser Shop laufen auf einem Server in Deutschland. Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet: IP-Adresse, Datum/Uhrzeit, aufgerufene URL, HTTP-Status, übertragene Datenmenge, Referrer, Browser und Betriebssystem. Diese Daten dienen ausschließlich Betrieb, Fehleranalyse und Angriffsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Eine Zusammenführung mit anderen Daten erfolgt nicht.

4. Cookies, Browser-Speicher und Einwilligung

Wir verwenden technisch notwendige Cookies und Browser-Speicher, die für den Betrieb der Seite und des Shops erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b bzw. f DSGVO). Optionale Technologien für Statistik und Marketing (Ziffern 5–8) laden wir erst nach deiner ausdrücklichen Einwilligung über unseren Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar – über die Cookie-Einstellungen auf dieser Seite oder per E-Mail an uns.

Ohne Einwilligung (für von dir gewünschte Funktionen):

Diese Daten bleiben auf deinem Gerät, bis du zur Kasse gehst bzw. dich anmeldest; erst dann überträgt dein Browser die nötigen Angaben an unseren Server.

Nur mit Einwilligung („Statistik“): Cookie nl_vid (Ziffer 6, 1 Jahr) und localStorage nl_attr (Erstkontakt, Ziffer 6, 30 Tage).

5. Google Tag Manager

Zur Verwaltung von Website-Tags kann der Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) eingesetzt werden. Der Tag Manager selbst setzt keine Cookies und erfasst keine personenbezogenen Daten, sondern steuert nachgelagerte Dienste. Diese werden erst nach deiner Einwilligung ausgelöst. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

6. Eigene Reichweitenmessung (First-Party)

Zur Verbesserung unserer Webseite betreiben wir eine eigene, datenschutzfreundliche Reichweitenmessung auf unseren eigenen Servern – ohne Google Analytics und ohne sonstige Drittdienste. Es werden keine Daten an Dritte übermittelt.

Reichweitenmessung (ohne Cookie): Aufrufe, ungefähre Herkunft (Land und – in Deutschland – Bundesland, abgeleitet aus der IP), Quelle/Verweis (z. B. Suchmaschine, Social, direkt), Gerätetyp/Betriebssystem/Browser, Bildschirmauflösung, besuchte Seiten, Klicks (u. a. Wechsel zu Amazon) und Verweildauer sowie – wenn du über einen Link mit Kampagnen-Kennung zu uns kommst (z. B. aus unseren E-Mails) – die Kampagnen-Kennung des Links (Quelle, Medium, Kampagne, Linkposition, ggf. Stichwort; sog. UTM-Parameter). Diese Kennungen enthalten keine Angaben zu deiner Person. Im Shop erfassen wir außerdem, dass ein Artikel in den Warenkorb gelegt, die Kasse geöffnet, zahlungspflichtig bestellt bzw. ein Kauf abgeschlossen wurde (ohne Bestellnummer, Betrag oder Artikelinhalt außer der aufgerufenen Produktseite). Deine IP-Adresse wird dabei nicht gespeichert: Sie dient ausschließlich der Länderzuordnung und der Bildung eines kurzlebigen, pseudonymen Kennwerts (Einweg-Hash aus IP-Adresse, Browser-Angaben, unserer Domain und einem zufälligen Tages-Schlüssel). Der Tages-Schlüssel wird jeden Tag neu erzeugt und nach Ablauf des Tages unwiderruflich gelöscht; damit können wir dich ohne deine Einwilligung nicht über mehrere Tage hinweg wiedererkennen, sondern nur Aufrufe innerhalb desselben Tages zusammenfassen. Es wird kein Gerätespeicher verwendet. Hast du in deinem Browser „Do Not Track“ oder „Global Privacy Control“ aktiviert, findet ohne deine Einwilligung gar keine Reichweitenmessung statt. Soweit der Kennwert innerhalb eines Tages eine Wiedererkennung ermöglicht, handelt es sich um pseudonyme personenbezogene Daten. Rechtsgrundlage: berechtigtes Interesse an einer aussagekräftigen, datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen (Art. 21 DSGVO).

Erweiterte Wiedererkennung (nur mit Einwilligung): Stimmst du im Cookie-Banner der Kategorie „Statistik“ zu, setzen wir zusätzlich einen First-Party-Cookie (nl_vid, Laufzeit 1 Jahr) mit einer zufälligen Kennung. Er ermöglicht eine stabilere Wiedererkennung deiner Besuche auf diesem Gerät und Browser und die Zusammenführung deines Wegs über die Webseite zu einem pseudonymen Nutzungsprofil (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist jederzeit über die Cookie-Einstellungen widerrufbar; danach wird der Cookie gelöscht.

Erstkontakt für Bestellungen (nur mit Einwilligung): Hast du der Kategorie „Statistik“ zugestimmt, speichern wir beim ersten Besuch über einen Kampagnen-Link oder einen externen Verweis im lokalen Speicher deines Browsers (nl_attr, 30 Tage) Quelle, Medium, Kampagne, Linkposition, Stichwort, Einstiegsseite und Zeitpunkt dieses Erstkontakts. Bestellst du innerhalb dieser Zeit, wird dieser Eintrag mit der Bestellung gespeichert, damit wir den Umsatz je Kampagne auswerten können. Eine Verknüpfung mit deinem pseudonymen Besuchsverlauf findet dabei nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Ohne Einwilligung wird die Bestellung keiner Kampagne zugeordnet.

Klick- und Scrollauswertung (Heatmap, nur mit Einwilligung): Hast du der Kategorie „Statistik“ zugestimmt, lädt dein Browser zusätzlich ein kleines Skript von unserem Server, das auf den besuchten Seiten erfasst, wohin geklickt bzw. getippt wird (Position auf der Seite, ein technischer Elementbezeichner ohne Inhalte aus Formularen und ob das Element anklickbar ist), wie weit du scrollst (maximale Tiefe und Zeit bis dorthin), an welcher Stelle du die Seite verlässt sowie Hinweise auf Bedienprobleme (mehrfache schnelle Klicks auf dieselbe Stelle, Klicks auf nicht anklickbare Elemente). Dazu kommen Seitentyp, Gerätetyp und Fensterbreite. Wir zeichnen keine Sitzungen auf (kein „Replay“), erfassen keine Tastatureingaben, keine Inhalte aus Eingabefeldern und keine Mausbewegungen. In der Kasse werten wir nur Scrolltiefe und Klicks auf Knöpfe und Bestellschritte aus, nie Klicks in Eingabefelder; Kundenkonto, Rücksendung, Bewertung und Vertragswiderruf werten wir gar nicht aus. Die Daten werden mit der Kennung aus nl_vid nur so lange verknüpft, bis feststeht, ob die Seite die letzte deines Besuchs war und ob dabei ein Artikel in den Warenkorb gelegt bzw. eine Bestellung abgeschlossen wurde (spätestens wenige Stunden); danach wird die Kennung gelöscht. Zweck: die Seiten und den Bestellablauf verständlicher und leichter bedienbar machen. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), jederzeit widerrufbar über die Cookie-Einstellungen; ab dem Widerruf wird nichts mehr erfasst. Speicherdauer: Einzelereignisse 90 Tage, danach nur noch zusammengefasste Zählwerte je Seite und Tag ohne Bezug zu einzelnen Besuchen. Keine Weitergabe an Dritte, keine Übermittlung in Drittländer.

Speicherdauer: Die Einzelereignisse der Reichweitenmessung ohne Einwilligung (Aufrufe, Klicks, Verweildauer) löschen wir nach 13 Monaten (395 Tage). Um langfristige Entwicklungen auswerten zu können, behalten wir danach nur zusammengefasste Zählwerte je Tag (z. B. Anzahl der Besucher und Seitenaufrufe) ohne Bezug zu einzelnen Besuchen. Die Tages-Schlüssel für die Kennwerte werden nach einem Tag gelöscht. Daten der Messung mit Einwilligung (Cookie nl_vid) speichern wir bis zum Widerruf der Einwilligung bzw. bis zur Löschung des Cookies durch dich; eine IP-Adresse wird zu keinem Zeitpunkt gespeichert. Du kannst widersprechen, eine Einwilligung widerrufen und die Löschung der dich betreffenden Daten verlangen. Eine Übermittlung in Drittländer findet nicht statt.

7. Meta-Pixel (Facebook und Instagram)

Sobald aktiviert, verwenden wir das Meta-Pixel (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland) für Reichweitenmessung und Werbung auf Facebook/Instagram. Damit können Interaktionen erfasst und ggf. deinem Meta-Konto zugeordnet werden. Einsatz nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Eine Übermittlung in die USA ist möglich (Ziffer 21).

8. TikTok-Pixel

Sobald aktiviert, verwenden wir das TikTok-Pixel (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland) zur Messung von Kampagnen und zur Ausspielung von Werbung. Dabei werden Geräte- und Nutzungsdaten verarbeitet. Einsatz nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Eine Übermittlung in Drittländer ist möglich (Ziffer 21).

9. Bestellungen in unserem Shop

Wenn du in unserem Shop bestellst, verarbeiten wir:

• Bestandsdaten: Vor- und Nachname, Lieferadresse, ggf. abweichende Rechnungsadresse und Firmenname, E-Mail-Adresse, Telefonnummer nur, falls du sie freiwillig angibst (nur für Rückfragen zu Bestellung oder Zustellung; sie wird nicht an Shirtigo oder den Paketdienst übermittelt), Lieferland (bestimmt Versandkosten und Umsatzsteuersatz).
• Vertragsdaten: bestellte Artikel (Motiv, Farbe, Größe, Menge), Preise, Rabatte, Versandkosten, Bestellnummer, Bestelldatum, Rechnungs- und Korrekturnummern, Status (bezahlt, in Produktion, versendet, widerrufen, erstattet).
• Zahlungsdaten: von Mollie übermittelte Zahlungskennung, Zahlungsstatus, gewählte Zahlart und Betrag. Vollständige Karten- oder Kontodaten erhalten wir nicht.
• Versanddaten: Versanddienstleister, Sendungsnummer und Link zur Sendungsverfolgung.
• Kommunikation: Inhalt deiner Nachrichten zu einer Bestellung (z. B. Reklamation, Widerruf).
• Technische Daten zum Bestellvorgang: Zeitpunkt des Klicks auf „zahlungspflichtig bestellen“, Zeitpunkt der Zahlungsbestätigung und – nur mit Statistik-Einwilligung – der Erstkontakt nach Ziffer 6.

Zweck und Rechtsgrundlage: Abschluss und Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Aufbewahrungspflichten (lit. c), Durchsetzung und Abwehr von Ansprüchen sowie Betrugsprävention (lit. f). Die in der Kasse als Pflichtfelder markierten Angaben benötigen wir für den Vertragsschluss.

Keine automatisierte Entscheidung: Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

10. Käufe über Amazon

Einzelne Artikel bieten wir zusätzlich auf dem Amazon-Marktplatz an. Kaufst du dort, liegen Bestell-, Zahlungs- und Versanddaten bei Amazon und werden nach deren Datenschutzerklärung verarbeitet. Als Verkäuferin erhalten wir von Amazon die zur Auftragsabwicklung nötigen Daten (z. B. Name und Lieferadresse). Produktlinks zu Amazon enthalten unser Partner-Tag (tag=north-legendary-21); ein Klick erhebt bei uns keine personenbezogenen Daten außer im Rahmen der Reichweitenmessung nach Ziffer 6.

11. Kundenkonto, Warenkorb und Merkzettel

Du kannst freiwillig ein Kundenkonto nutzen. Ein Passwort gibt es nicht: Zur Anmeldung gibst du deine E-Mail-Adresse ein und erhältst einen einmal verwendbaren Anmeldelink, der 15 Minuten gültig ist. Erstellung, Versand und Einlösung werden protokolliert (Zeitpunkt, Gültigkeit, gehashter Token). Nach der Einlösung speichern wir eine Sitzung (Cookie nl_shop_session, höchstens 30 Tage).

Verarbeitete Daten: E-Mail-Adresse, Name, deine Bestellungen mit Rechnungen und Rechnungskorrekturen, Rücksendungen, Bewertungen, Merkzettel, Zeitpunkt der Kontoerstellung und der letzten Anmeldung. Bestellungen, die du mit derselben E-Mail-Adresse aufgibst – auch als Gast –, ordnen wir deinem Konto zu, sobald du dich über einen an diese Adresse gesendeten Link angemeldet hast.

Warenkorb und Merkzettel: Ohne Anmeldung liegen beide nur im Speicher deines Browsers (Ziffer 4). Mit Anmeldung speichern wir den Merkzettel in deinem Konto; Einträge aus dem Browser werden bei der Anmeldung zusammengeführt. Den Merkzettel nutzen wir nicht für Werbung.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos auf deinen Wunsch (Art. 6 Abs. 1 lit. b DSGVO); Sicherheit des Kontos und Missbrauchsabwehr (lit. f). Du kannst dein Konto jederzeit in den Kontoeinstellungen oder per E-Mail löschen; Bestellungen und Rechnungen, die wir aus gesetzlichen Gründen aufbewahren müssen, werden von deinem Konto getrennt und bis zum Ablauf der Fristen gesperrt aufbewahrt (Ziffer 22). Wer Zugriff auf dein E-Mail-Postfach hat, kann sich mit einem Anmeldelink anmelden – bitte schütze dein Postfach entsprechend.

12. Zahlung über Mollie

Für die Zahlung nutzen wir den Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande („Mollie“). Wenn du „zahlungspflichtig bestellen“ anklickst, leiten wir dich auf die Bezahlseite von Mollie weiter (kein in unsere Seite eingebettetes Zahlungsformular). Dort wählst du eine der angebotenen Zahlarten (derzeit: Kredit- oder Debitkarte (Visa, Mastercard, American Express), Apple Pay und Google Pay) und gibst deine Zahlungsdaten ausschließlich bei Mollie bzw. dem jeweiligen Zahlungsanbieter ein; wir erhalten sie nicht. Nach der Zahlung meldet uns Mollie den Zahlungsstatus.

Was wir an Mollie übermitteln: Bestellnummer, Betrag, Währung, Zahlungsbeschreibung, Sprache, Rückkehr- und Benachrichtigungsadressen, deine E-Mail-Adresse, Liefer- und Rechnungsadresse sowie die bestellten Positionen (Artikelbezeichnung, Menge, Preis).

Was Mollie selbst erhebt: Mollie verarbeitet u. a. Zahlungsdaten, technische Daten (z. B. IP-Adresse, Browser, Gerät) und Kontaktdaten zur Abwicklung der Zahlung, zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten als Zahlungsinstitut (Datenschutzerklärung von Mollie). Mollie ist dafür eigener Verantwortlicher. Mollie kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten und stützt sich dann auf EU-Standardvertragsklauseln. Dein Kartenherausgeber bzw. deine Bank verarbeitet die Zahlung (z. B. 3-D-Secure) ebenfalls als eigener Verantwortlicher.

Apple Pay und Google Pay: Auf kompatiblen Geräten und Browsern zeigt dir die Bezahlseite von Mollie zusätzlich Apple Pay bzw. Google Pay an (Google Pay läuft bei Mollie technisch über die Kartenzahlung). Nutzt du eine dieser Wallets, bezahlst du mit einer Karte, die du in deinem Apple- bzw. Google-Konto hinterlegt hast; die Verbindung zur Wallet stellt Mollie her, wir selbst übermitteln an Apple oder Google keine Daten. Der Wallet-Anbieter verarbeitet dabei als eigener Verantwortlicher insbesondere die Daten deines Kontos und Geräts, die hinterlegte Karte sowie Angaben zur Zahlung (z. B. Betrag, Händler, Zeitpunkt) – zur Abwicklung der Zahlung, zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten; die Bezahlseite erhält nur die zur Abwicklung erforderlichen Zahlungsdaten.

• Apple Pay: Verantwortlich für Nutzer im Europäischen Wirtschaftsraum ist die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland (Apple Pay und Datenschutz). Laut Apple wird deine Kartennummer nicht an den Händler weitergegeben.
• Google Pay: Verantwortlich für Nutzer im Europäischen Wirtschaftsraum ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Datenschutzhinweise für Google Payments, ergänzend die Datenschutzerklärung von Google).

Apple und Google können Daten auch in Drittländern (insbesondere den USA) verarbeiten; Einzelheiten und Garantien nennen die verlinkten Hinweise. Rechtsgrundlage für die Nutzung der Wallets ist Art. 6 Abs. 1 lit. b DSGVO. PayPal bieten wir derzeit nicht an; schalten wir weitere Zahlarten frei, ergänzen wir diese Ziffer vorher.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Zahlung) und lit. f (Betrugsprävention, Abgleich der Zahlungseingänge, Erstattungen). Speicherdauer bei uns: wie die zugehörige Bestellung (Ziffer 22).

13. Produktion und Versand durch Shirtigo, Paketdienste

Unsere Artikel werden auf Bestellung in Deutschland gedruckt. Produktion, Verpackung und Versand übernimmt für uns die Shirtigo GmbH, Vitalisstraße 202, 50827 Köln als Auftragsverarbeiter (Art. 28 DSGVO). An Shirtigo übermitteln wir je Bestellung erst nach bestätigter Zahlung: Name, Lieferadresse (ggf. Firma, Adresszusatz), bestellte Artikel und unsere Bestellnummer – keine Zahlungsdaten, keine Telefonnummer. Shirtigo meldet uns den Versandstatus mit Versanddienstleister und Sendungsnummer zurück.

Die Zustellung erfolgt im Auftrag von Shirtigo durch DHL, DPD oder einen anderen Paketdienst, der Name und Lieferadresse zur Zustellung als eigener Verantwortlicher verarbeitet. Öffnest du den Link zur Sendungsverfolgung, gelten die Datenschutzhinweise des Paketdienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

14. Rechnungen, Warenwirtschaft und Steuerberatung

Wir erstellen Rechnungen, Rechnungskorrekturen und Stornorechnungen selbst als PDF auf unserem Server in Deutschland und legen sie unveränderbar ab (im Kundenkonto abrufbar). Die Bestellung an Shirtigo (Ziffer 13) gibt unser Shop selbst auf. Zusätzlich übertragen wir eine Kopie jeder Bestellung signiert und verschlüsselt in unser Warenwirtschaftssystem (APEX Fastlane) – für Bestandsführung, Buchhaltung und Auswertungen; APEX gibt selbst keine Bestellungen an Dienstleister weiter. Übertragen werden: Bestellnummer, Zeitpunkte, Name, E-Mail-Adresse, Telefonnummer (nur falls angegeben), Lieferadresse mit Lieferland, Artikel, Beträge und später der Versandstatus. APEX wird nach unserem Kenntnisstand von unserer Muttergesellschaft eMarkets Consulting GmbH auf Servern in Deutschland betrieben, die insoweit als Auftragsverarbeiterin für uns tätig ist.

Für Buchhaltung und Steuererklärungen übermitteln wir Rechnungs- und Buchungsdaten (monatlich als Belegpaket per E-Mail) an unsere Steuerberatung, die als Berufsgeheimnisträger eigenverantwortlich tätig ist (Art. 6 Abs. 1 lit. c DSGVO).

15. Bestell-, Versand- und Service-E-Mails, Mail-Protokoll

Im Rahmen einer Bestellung schicken wir dir E-Mails, die zur Vertragsabwicklung gehören: Eingangs- und Bestellbestätigung (mit Rechnung, AGB sowie Widerrufsbelehrung und Muster-Widerrufsformular als PDF), Hinweis zum Druck, Versandbestätigung mit Sendungsverfolgung, Rückfragen, Eingangsbestätigungen von Widerrufen und Rücksendungen, Erstattungs-Mails und Anmeldelinks. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Eingangsbestätigung des Widerrufs zusätzlich lit. c (§ 356a BGB). Links in unseren E-Mails enthalten Kampagnen-Kennungen (Ziffer 6), aber keine Angaben zu deiner Person.

Alle Shop-E-Mails speichern wir als gerenderte Nachricht mit Empfänger, Betreff, Zeitpunkt, Anhängen und Versandstatus in einem Protokoll auf unserem Server in Deutschland. Zweck: Nachweis des Zugangs von Vertrags- und Widerrufsunterlagen, Fehleranalyse und Beantwortung von Anfragen (Art. 6 Abs. 1 lit. b, c und f DSGVO). Zugriff haben nur berechtigte Personen.

16. Elektronische Widerrufsfunktion und Rücksendungen

Widerrufst du über „Vertrag widerrufen“, verarbeiten wir deinen Namen, die Bestellnummer, deine E-Mail-Adresse, den Umfang des Widerrufs, einen freiwillig angegebenen Grund sowie Datum und Uhrzeit des Eingangs und schicken dir eine Eingangsbestätigung (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB, lit. b).

Meldest du eine Rücksendung an, verarbeiten wir Bestellnummer, gewählte Artikel und Mengen, deinen freiwilligen Grund und deine Anmerkung sowie deine Absenderadresse für den Retourenschein. Den Link für Rücksendungen ohne Konto speichern wir nur als kryptografischen Hash (24 Stunden gültig). Freiwillig hochgeladene Fotos eines Mangels werden verkleinert, neu kodiert und nur von uns zur Prüfung verwendet. Speicherdauer: wie die Bestellung. Fotos löschen wir automatisch 14 Tage nach Abschluss der Rücksendung (Erstattung, Ablehnung oder Abschluss – die 14 Tage dienen Rückfragen), spätestens zwei Jahre nach Versand der Bestellung (Ablauf der Gewährleistung); ein täglicher Löschlauf entfernt die Dateien und die Verweise darauf.

17. Kontakt- und Support-Formulare

Über unsere Formulare (Support, Kontakt, Galerie-Einsendung) verarbeiten wir die von dir angegebenen Daten – z. B. Name, E-Mail, Betreff/Nachricht, optional Bestellnummer (Shop oder Amazon) und Anhänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei der Galerie-Einsendung zusätzlich deine Einwilligung (lit. a). Datei-Uploads werden nur im Arbeitsspeicher gehalten und nach dem Versand verworfen. Ein Spam-Schutz (Honeypot + Rate-Limit) ohne Cookies und ohne externe Dienste ist aktiv.

Bearbeitung in unserer Shop-Verwaltung: Anfragen über das Kontakt- und das Supportformular speichern wir zusätzlich zur E-Mail an unser Team in der Verwaltung unseres Shops (auf unserem Server in Deutschland), um sie zu bearbeiten, zu beantworten und Rückfragen zuzuordnen. Gespeichert werden Name, E-Mail-Adresse, Betreff bzw. Kategorie, Nachricht, die angegebene Bestellnummer sowie Anzahl und Namen beigefügter Dateien – die Dateien selbst und deine IP-Adresse speichern wir nicht. Über deine E-Mail-Adresse bzw. die Bestellnummer ordnen wir die Anfrage automatisch einer Bestellung oder deinem Kundenkonto zu, falls vorhanden. Dazu speichern wir den Bearbeitungsverlauf (Status, unsere Antworten, interne Notizen, bearbeitende Person und Zeitpunkt). Antworten schicken wir dir per E-Mail über unseren Mailversand (Ziffer 20). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage einen Vertrag oder eine Bestellung betrifft, im Übrigen unser berechtigtes Interesse an der geordneten Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Zugriff haben nur berechtigte Mitarbeitende mit eigenem, persönlichem Konto. Speicherdauer: Erledigte und beantwortete Anfragen löschen wir automatisch 2 Jahre nach der letzten Bearbeitung.

18. Produktempfehlungen an Bestandskunden und Newsletter

Produktempfehlungen und Bitte um Bewertung nach einer Bestellung: Wenn du bei uns bestellst, verwenden wir deine dabei angegebene E-Mail-Adresse, um dir Empfehlungen zu ähnlichen Produkten aus unserem Shop zu schicken (z. B. in der Versandbestätigung) und dich einmal je Bestellung nach der Zustellung zu fragen, ob alles gut angekommen ist, verbunden mit der Bitte um eine Bewertung. Dafür brauchen wir keine gesonderte Einwilligung, wenn die Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind. Rechtsgrundlage: § 7 Abs. 3 UWG und Art. 6 Abs. 1 lit. f DSGVO (Direktwerbung für eigene ähnliche Waren, Erwägungsgrund 47). Verarbeitet werden E-Mail-Adresse, Name und deine bezahlten Bestellungen (zur Auswahl ähnlicher Produkte).

Newsletter: Den Newsletter schicken wir dir nur, wenn du ihn aktiv bestellst (Kästchen in der Kasse oder Formular auf der Webseite) und deine Anmeldung per Double-Opt-In-Link bestätigst (Link 7 Tage gültig). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 3 UWG; du kannst dich jederzeit über den Abmeldelink in jeder Mail oder per Nachricht an uns abmelden. Wer nur ein Kundenkonto anlegt oder einen Merkzettel führt, aber nichts kauft, erhält von uns keine Werbe-E-Mails.

Anmeldung und Nachweis: Bei der Anmeldung speichern wir deine E-Mail-Adresse, Zeitpunkt und IP-Adresse der Anmeldung und der Bestätigung, den Ort der Anmeldung (Formular mit Seite oder Kasse) und die Version des Einwilligungstextes, dem du zugestimmt hast. Das dient dem Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO, Art. 6 Abs. 1 lit. c und f DSGVO). Schon bei der Anmeldung legen wir deine Adresse als noch nicht bestätigten Kontakt in der Empfängerliste unseres Mail-Dienstes Resend an; Newsletter erhältst du erst nach der Bestätigung. Bestätigst du nicht, löschen wir die unbestätigte Anmeldung nach 30 Tagen.

Willkommens-Folge: Nach deiner Bestätigung schicken wir dir eine kurze Begrüßungsfolge (z. B. direkt eine Willkommens-Mail, nach einigen Tagen Vorstellungen unserer Motive und Wissenswertes zu Runen und nordischer Mythologie mit passenden Produkten). Sie ist Teil des Newsletters, den du abonniert hast; mit der Abmeldung endet auch die Folge.

Versand: Newsletter versenden wir über Resend (Resend, Inc., USA; Auftragsverarbeiter nach Art. 28 DSGVO, Versand über die EU-Region, siehe Ziffer 20). Dabei werden deine E-Mail-Adresse und der Inhalt der Mail verarbeitet. Wir werten nicht aus, ob oder wann du eine Mail öffnest (kein Zählpixel), und versehen Links nicht mit persönlichen Kennungen; Links auf unsere Website tragen nur eine Kampagnen-Kennung (Ziffer 6).

Zustellprobleme und Beschwerden: Meldet der Empfangs-Server, dass deine Adresse dauerhaft nicht erreichbar ist, oder markierst du eine Mail als Spam, erhalten wir von Resend eine automatische Benachrichtigung. Wir tragen deine Adresse dann in eine Sperrliste ein und schicken dir keine Newsletter und Werbe-Mails mehr (Art. 6 Abs. 1 lit. f DSGVO). Den Sperrvermerk bewahren wir auch nach einer Löschung deiner übrigen Daten auf, damit er dauerhaft beachtet wird.

Abmeldung: Jeder Newsletter enthält einen Abmeldelink; zusätzlich kannst du dich in vielen E-Mail-Programmen direkt über die Funktion „Abbestellen“ abmelden. Wir speichern Zeitpunkt und Art der Abmeldung.

Speicherdauer: Abonnentendaten bis zur Abmeldung; den Einwilligungsnachweis danach noch bis zu 3 Jahre (Verjährung möglicher Ansprüche); Versandprotokolle je Kampagne (Adresse, Zeitpunkt, Zustellstatus) bis zu 2 Jahre; Sperrvermerke unbefristet.

19. Produktbewertungen

Bewertest du einen Artikel über den persönlichen Link aus unserer E-Mail oder in deinem Kundenkonto, verarbeiten wir Sterne, Text, freiwillige Fotos, Datum, die Zuordnung zur Bestellung (nur intern, als Kaufnachweis) und deinen Vornamen mit dem ersten Buchstaben des Nachnamens. Öffentlich angezeigt werden nur Sterne, Text, freigegebene Fotos, Datum, Vorname + Initial und der Hinweis „Verifizierter Kauf“. Den Link speichern wir nur als Hash (120 Tage gültig). Fotos werden neu kodiert (Metadaten wie Standortdaten werden entfernt) und erst nach unserer Prüfung veröffentlicht. Bewertungen ohne Kauf bestätigst du per E-Mail-Link; dabei speichern wir Name, E-Mail (nicht öffentlich), Text, Sterne sowie IP-Adresse und Zeitpunkt der Bestätigung als Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Veröffentlichung, jederzeit widerrufbar) und lit. f (Nachweis echter Käufe, Missbrauchsschutz). Die auf Produktseiten ggf. angezeigte Amazon-Kennzahl (Durchschnitt und Anzahl der Bewertungen) tragen wir selbst ein; dabei werden keine personenbezogenen Daten von Amazon-Kunden verarbeitet.

20. Technischer Mailversand und Schriften

Für den technischen Versand von E-Mails (insbesondere Bestell-, Versand- und Widerrufsbestätigungen, Rechnungen, Anmeldelinks, Newsletter und Mails des Browserspiels) nutzen wir Resend (Resend, Inc.) in der EU-Region (Frankfurt) als Auftragsverarbeiter nach Art. 28 DSGVO; dabei werden E-Mail-Adresse, Betreff, Inhalt und Anhänge zum Zweck der Zustellung verarbeitet. Soweit eine Übermittlung in die USA erfolgt, geschieht dies auf Basis der EU-Standardvertragsklauseln.

Alle Schriftarten liefern wir von unserem eigenen Server aus. Beim Aufruf unserer Seiten werden keine Daten an Google Fonts oder andere Schriftanbieter übertragen.

21. Empfänger und Datenübermittlung in Drittländer

Empfänger im Rahmen von Bestellungen: Mollie (Ziffer 12, eigener Verantwortlicher), Kartenherausgeber/Banken (eigene Verantwortliche), bei Nutzung von Apple Pay bzw. Google Pay Apple Distribution International Ltd. bzw. Google Ireland Limited (Ziffer 12, eigene Verantwortliche), Shirtigo GmbH (Ziffer 13, Auftragsverarbeiter), Paketdienste (eigene Verantwortliche), eMarkets Consulting GmbH als Betreiberin des Warenwirtschaftssystems (Ziffer 14, Auftragsverarbeiterin), Resend (Ziffern 18 und 20, Auftragsverarbeiter, auch für den Newsletter), Steuerberatung (eigener Verantwortlicher) und ggf. Behörden bei gesetzlicher Verpflichtung.

Eine Übermittlung in Drittländer (insbesondere USA) kann im Rahmen von Google (einschließlich Google Pay), Meta, TikTok, Mailversand, Mollie und Apple Pay erfolgen. Soweit dort kein Angemessenheitsbeschluss greift, stützen wir bzw. die Anbieter die Übermittlung auf EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Trotz dieser Garantien kann in Drittländern kein mit der EU vollständig vergleichbares Datenschutzniveau garantiert werden.

22. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen:

• Bestellungen: für die Vertragsabwicklung und anschließend bis zum Ablauf der Verjährungsfristen (in der Regel 3 Jahre ab Ende des Bestelljahres); soweit Teil von Rechnungen und Buchungsbelegen 8 Jahre, von Handels- und Geschäftsbriefen (z. B. Bestellbestätigungen) 6 Jahre, jeweils ab Ende des Kalenderjahres. Während dieser Zeit sind die Daten gesperrt.
• Werbe-Widersprüche: dauerhaft als Sperrvermerk.
• Kundenkonto und Merkzettel: bis zur Löschung des Kontos.
• Anmeldelinks und Sitzungen: bis zum Ablauf ihrer Gültigkeit (15 Minuten bzw. 30 Tage).
• Widerrufserklärungen und Rücksendungen: wie die zugehörige Bestellung.
• Fotos zu Rücksendungen: 14 Tage nach Abschluss der Rücksendung, spätestens zwei Jahre nach Versand (Ziffer 16).
• Anfragen über das Kontakt- und Supportformular: in unserer Shop-Verwaltung bis 2 Jahre nach der letzten Bearbeitung einer erledigten bzw. beantworteten Anfrage, dann automatische Löschung (Ziffer 17).
• Anfragen über sonstige Formulare: spätestens 6 Monate nach Bearbeitung, soweit sie keine Bestellung betreffen.
• Newsletter: bis zu deinem Widerruf, unbestätigte Anmeldungen 30 Tage; Details in Ziffer 18.
• Einwilligungsbasierte Cookies: gemäß der angegebenen Laufzeit bzw. bis zum Widerruf.
• Reichweitenmessung: Einzelereignisse ohne Einwilligung 13 Monate, danach nur Tages-Zählwerte; Tages-Schlüssel 1 Tag (Ziffer 6).
• Klick- und Scrollauswertung (Heatmap): Einzelereignisse 90 Tage, danach nur zusammengefasste Zählwerte (Ziffer 6).

23. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung und Löschung (Art. 16, 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Zur Ausübung genügt eine formlose Nachricht an immerda@north-legendary.com.

24. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung zu beschweren – z. B. bei der für unseren Sitz zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

25. Community-Galerie und Gewinnspiel „Die Sippe“

Auf unserer Community-Seite kannst du freiwillig eigene Fotos hochladen, die nach manueller Prüfung veröffentlicht werden, und an einer monatlichen Verlosung teilnehmen. Verarbeitet werden das Bild, dein Anzeigename, optional ein Instagram-Name und eine Beschreibung, deine E-Mail-Adresse (nicht öffentlich) sowie zum Einwilligungsnachweis Zeitpunkt und IP-Adresse des Uploads; Metadaten (z. B. EXIF/GPS) werden entfernt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern die Daten, solange das Bild veröffentlicht ist bzw. zur Durchführung und Dokumentation der Verlosung erforderlich; du kannst jederzeit widerrufen und die Löschung verlangen. Ergänzend gelten unsere Teilnahmebedingungen.

26. Bewerbungen

Bewirbst du dich über unser Formular, verarbeiten wir Name, E-Mail-Adresse, optional Telefon und Wohnort, deine Nachricht, Referenz-Links und optional hochgeladene Dateien zur Durchführung des Bewerbungsverfahrens (§ 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO sowie deine Einwilligung). Kommt es nicht zu einer Einstellung, löschen wir die Unterlagen spätestens 6 Monate nach Abschluss des Verfahrens.

27. Browserspiel „Saga des Nordens“

Verantwortlicher ist auch hier die North Legendary GmbH (siehe oben). Das Spiel läuft in eigenen Containern (Anwendung, PostgreSQL-Datenbank, Redis-Zwischenspeicher) auf demselben Server wie diese Website. Datenbank und Zwischenspeicher sind nur intern erreichbar, der Zugriff erfolgt verschlüsselt über unseren Reverse-Proxy.

Spielkonto: Für dein Spielkonto speichern wir: E-Mail-Adresse, Spielername (Jarl-Name), Sprache, Passwort nur als Argon2id-Hash, die gewählte Wikinger-Figur (Geschlecht, Avatar, Rahmen) sowie Zeitpunkte der Registrierung, der letzten Anmeldung und der letzten Aktivität (höchstens alle 2 Minuten aktualisiert). Bestätigungs- und Zurücksetz-Links sind zeitlich begrenzt (E-Mail-Bestätigung 24 Stunden, Passwort-Reset 1 Stunde, Passwort-Link nach Freischaltung 7 Tage). Bei einer Registrierung mit Einladungscode wird der Code nicht deinem Konto zugeordnet, wir zählen nur, wie oft er insgesamt genutzt wurde. Eine Anmeldung über Google gibt es nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

Warteliste und Freischalt-Mails: Für die Warteliste brauchen wir nur Spielername, E-Mail-Adresse und Sprache, kein Passwort. Du bestätigst deine Adresse per Link (Double-Opt-In, 24 Stunden gültig) und bekommst danach eine Willkommens-Mail. Sobald wir dich freischalten, schicken wir dir die Mail „Du bist dabei“ mit einem Link, über den du dein Passwort festlegst (7 Tage gültig). Ein unsichtbares Formularfeld schützt vor automatisierten Anmeldungen. Nicht bestätigte Einträge löschen wir nach 30 Tagen automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).

Spielinhalte und was andere sehen: Wir speichern deinen Spielstand (Höfe, Truppen, Rohstoffe, Forschung, Handel, Berichte, Erfolge, Titel, Spielwährungen). Kampf- und Handelsberichte enthalten auch die Namen beteiligter Mitspieler.

• Welt-Chat (max. 400 Zeichen): Spielername und Nachricht sind für alle freigeschalteten Spieler sichtbar. Stammes-Chat: sichtbar für die Mitglieder deines Stammes.
• Rabenpost (private Nachrichten): Absender, Empfänger, Betreff, Text und die Koordinaten der beteiligten Höfe (für die Flugzeit).
• Alle Nachrichten laufen durch einen automatischen Wortfilter.
• Ranglisten, Karte, Profil: Angemeldete und freigeschaltete Spieler sehen deinen Spielernamen, Rang, Titel, Punkte, Stamm, Erfolge, Avatar, Ranglistenplätze und deine Höfe mit Namen und Koordinaten. Höfe von Spielern, die länger als 30 Tage nicht aktiv waren, werden als „inaktiv“ markiert. Wer deinen Online-Status sehen darf, stellst du im Profil ein: alle, nur dein Stamm (Standard) oder niemand. Besucher ohne Anmeldung sehen keine Spielerdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Wortfilter und Moderation: lit. f (sicherer Spielbetrieb).

Cookies und lokaler Speicher: Wir setzen nur technisch notwendige Speicherungen ein, keine Tracking- oder Werbe-Cookies, keine Analysedienste und keine externen Schriften (alle Schriften liegen auf unserem Server).

• nlg_session (Cookie, httpOnly, Secure, SameSite=Lax): Anmeldung. Mit „Angemeldet bleiben“ 14 Tage, sonst bis zum Schließen des Browsers (serverseitig höchstens 24 Stunden).
• nlg_csrf (Cookie): Schutz vor gefälschten Anfragen, endet mit der Browsersitzung.
• localStorage: nl_session (Merker „angemeldet“, wird beim Abmelden entfernt), nlg_locale, nlg_theme, nlg_active_hof (Sprache, Darstellung, zuletzt gewählter Hof).
• sessionStorage: nlg_invite (Einladungscode aus dem Link), nlg_saga_map (Anzeige-Merker).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO.

Sicherheit: Bei jeder Anmeldung speichern wir zur Sitzung deine IP-Adresse und Browserkennung (User-Agent). Abgelaufene Sitzungen löschen wir stündlich, beim Abmelden sofort. Zum Schutz vor Angriffen verarbeiten wir IP-Adresse und eingegebene E-Mail-Adresse kurzzeitig in Zählern, die sich nach 1 Minute bis 24 Stunden selbst löschen. Anfrage-Protokolle schreibt die Spielanwendung im Betrieb nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Verwaltung und Moderation: Berechtigte Mitarbeitende verwalten das Spiel über den zweifach geschützten Verwaltungsbereich dieser Website. Die Verbindung zum Spiel läuft nur intern und ist kryptografisch signiert. Sie sehen dort unter anderem Spielername, E-Mail, Status, Höfe und letzte Truppenbewegungen und können freischalten, verwarnen, stummschalten, sperren oder löschen. Jede dieser Maßnahmen wird mit Zeitpunkt, handelnder Person und Grund protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Durchsetzung der Spielregeln, Missbrauchsabwehr).

Empfänger: Spiel-Mails (Bestätigung, Freischaltung, Passwort) verschicken wir über Resend (Resend, Inc., USA) als Auftragsverarbeiter. Resend erhält dabei Empfängeradresse, Betreff und Mailinhalt mit Spielername und Link. Weitere Empfänger gibt es nicht.

Speicherdauer und Löschung: Ein automatischer Lauf löscht täglich: Welt- und Stammes-Chat nach 90 Tagen, Rabenpost nach 12 Monaten, Berichte nach 90 Tagen, abgeschlossene Markt-Angebote nach 30 Tagen, das Angriffsprotokoll nach 7 Tagen und das Verwaltungsprotokoll im Spiel nach 12 Monaten. Verwaltungsaktionen zu deinem Konto (z. B. Freischalten, Sperren, Löschen) protokollieren wir zusätzlich in unserer Website-Verwaltung; diese Einträge löschen wir nach 12 Monaten, nach einer Kontolöschung ersetzen wir Name und Kennung darin sofort durch einen nicht rückführbaren Wert. Kontodaten und Spielstand speichern wir, solange dein Konto besteht. Konto löschen: Du beantragst die Löschung im Profil mit deinem Passwort. Nach 7 Tagen, in denen du sie zurücknehmen kannst, löschen wir dein Konto endgültig: Konto, Sitzungen, Höfe, Spielstand, deine Chat-Nachrichten und an dich gerichtete Rabenpost. Rabenpost, die du anderen geschickt hast, bleibt bei den Empfängern erhalten; dort ersetzen wir deinen Namen durch „Gelöschter Jarl“, das gilt auch für Berichte anderer Spieler. Löschen wir dein Konto auf deinen Wunsch, sperren und anonymisieren wir es sofort und löschen es beim nächsten täglichen Lauf endgültig.

Deine Rechte: Du hast die Rechte aus Art. 15–18, 20 und 21 DSGVO und kannst dich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren (Details siehe oben). Auskunft oder einen Datenexport erhältst du auf Anfrage an immerda@north-legendary.com.

28. Aktualität

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche oder technische Rahmenbedingungen ändern – insbesondere bei Aktivierung der unter Ziffern 5, 7 und 8 genannten Tools und bei Änderungen am Bestellprozess, an Zahlarten oder Dienstleistern.