Datenschutzerklärung

Marc Randazzo, c/o IP-Management #11127, Ludwig-Erhard-Straße 18, 20459 Hamburg, Deutschland. E-Mail: info@noira-wallpaper.de. Telefonnummer auf Anfrage per E-Mail.

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

Diese Erklärung beschreibt ausschließlich die tatsächlich eingesetzte Technik dieses Shops. Der Shop besteht aus einer serverseitig gerenderten Web-Anwendung (TanStack Start / React), die auf der Infrastruktur der Lovable-Plattform betrieben und über deren Edge-Netzwerk ausgeliefert wird, sowie einem Backend auf Basis von Supabase (PostgreSQL-Datenbank, privater Objektspeicher, Authentifizierung).

Zahlungen werden über Stripe und PayPal abgewickelt, Bestellbestätigungen über den Transaktions-E-Mail-Dienst der Lovable-Plattform versendet, Schriftarten über Google Fonts geladen. Weitere externe Dienste sind nicht eingebunden: keine Werbenetzwerke, kein Google Analytics, keine Social-Media-Plugins, keine Kartendienste, keine Captchas, keine Video-Einbettungen.

Diese Erklärung bildet den technischen Stand der Anwendung ab. Sie ersetzt keine anwaltliche Prüfung; eine pauschale Zusicherung vollständiger Rechtskonformität ist damit nicht verbunden.

Beim Aufruf der Website verarbeitet die Server- und Edge-Infrastruktur automatisch die technisch erforderlichen Verbindungsdaten: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, HTTP-Status, übertragene Datenmenge sowie die von Ihrem Browser gesendete Kennung (User-Agent) und gegebenenfalls die Referrer-Adresse. Diese Verarbeitung ist technisch unvermeidbar, damit die Seite an Ihr Gerät ausgeliefert werden kann.

Wir selbst speichern keine IP-Adressen in unserer Datenbank. Die Protokolle der Hosting-Infrastruktur liegen beim Plattformbetreiber und werden dort kurzfristig zur Fehlersuche und Missbrauchsabwehr vorgehalten; ein eigenes Logfile-Archiv mit IP-Adressen führen wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO, soweit der Aufruf der Anbahnung eines Kaufvertrags dient.

Als Datenbank dient eine verwaltete PostgreSQL-Instanz der Supabase-Plattform (bereitgestellt über Lovable Cloud), als Dateispeicher deren Objektspeicher. Supabase verarbeitet die Daten weisungsgebunden als Auftragsverarbeiter. Verbindungen erfolgen ausschließlich verschlüsselt (TLS); die Daten liegen auf Servern innerhalb der Europäischen Union und werden dort im Ruhezustand verschlüsselt gespeichert. Sicherungskopien werden von der Plattform automatisiert erstellt.

Personenbezogene Daten enthalten folgende Tabellen:

• orders — Bestellungen: Vor- und Nachname, E-Mail-Adresse, Bestellnummer, Betrag, Währung, Zahlungsart und Zahlungsreferenz, Bestellstatus, Geräteauswahl, Download-Token samt Ablaufdatum und Zählerstand, Zeitpunkt der Widerrufs-Einwilligung, Zeitstempel.
• order_items — gekaufte Alben und Einzelbilder mit Titel, Preis und Menge.
• product_reviews — verifizierte Bewertungen: Vorname aus der zugehörigen Bestellung, Sterne, Titel und Text, Bezug zur Bestellung.
• visitor_pings und funnel_events — pseudonyme Statistikdaten der Reichweiten- und Kaufwegmessung (siehe Abschnitt 9), sofern Sie eingewilligt haben.
• user_roles — Rollen der Verwaltungskonten (nur Betreiber, keine Kundendaten).

Die Wallpaper-Dateien selbst liegen in privaten, nicht öffentlich abrufbaren Speicher-Buckets. Der Zugriff erfolgt ausschließlich über kurzzeitig gültige, serverseitig signierte Links, die nach einem Kauf erzeugt werden.

Der Zugriff auf die Tabellen ist über Row-Level-Security-Regeln beschränkt: öffentlich lesbar sind nur Produkt-, Kategorie-, Rechtstexte- und veröffentlichte Bewertungsdaten. Bestellungen, Statistik- und Verwaltungsdaten sind ausschließlich über serverseitige Funktionen sowie für angemeldete Konten mit der Rolle „admin“ zugänglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Für den Einkauf ist kein Kundenkonto erforderlich und es wird auch keines angeboten: Käufe erfolgen als Gastbestellung. Eine Registrierung, ein Kundenlogin oder ein Passwort-Reset für Kundinnen und Kunden existiert nicht.

Ein Login besteht ausschließlich für den Verwaltungsbereich des Betreibers. Er nutzt Supabase Auth mit E-Mail und Passwort; Passwörter werden dort ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext, und sind für uns nicht einsehbar. Die Sitzung wird über kurzlebige Zugriffstokens (JWT) und ein Aktualisierungstoken im Browser des Betreibers gehalten. Berechtigungen werden nicht im Nutzerprofil, sondern in einer separaten Rollentabelle geführt und serverseitig bei jedem geschützten Aufruf geprüft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere Verwaltung des Shops).

Für einen Kauf verarbeiten wir: die gewählten Produkte, den Bestellwert und Rabatt, Vor- und Nachname, E-Mail-Adresse, Geräteauswahl, Bestellstatus, Zahlungs- und Bestellreferenz sowie Zeitstempel und die Bestätigung des Hinweises zum Erlöschen des Widerrufsrechts. Eine Postanschrift, Telefonnummer oder Zahlungskartendaten erheben wir nicht.

Für den Erstbesteller-Rabatt prüfen wir, ob zu der im Warenkorb angegebenen E-Mail-Adresse bereits eine Bestellung existiert. Es wird ausschließlich diese Ja/Nein-Information ausgewertet.

Zweck: Vertragserfüllung, Zahlungszuordnung, Bereitstellung des Downloads, Bearbeitung von Rückfragen und Erstattungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Rabattprüfung Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsvermeidung). Bestell- und Rechnungsdaten unterliegen den Aufbewahrungspflichten nach § 147 AO und § 257 HGB (bis zu 10 Jahre); Rechtsgrundlage insoweit Art. 6 Abs. 1 lit. c DSGVO.

Karten-, Apple-Pay- und Google-Pay-Zahlungen wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland ab. Das Bezahlformular stammt direkt von Stripe und wird in unsere Seite eingebettet; dabei entsteht eine Verbindung zu Stripe-Servern, und Stripe kann eigene, für Zahlung und Betrugsprävention notwendige Cookies setzen. Kartendaten geben Sie ausschließlich gegenüber Stripe ein; wir erhalten sie nicht.

PayPal-Zahlungen wickelt PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg ab. Beim Klick auf die PayPal-Schaltfläche wird das PayPal-SDK geladen und ein PayPal-Fenster geöffnet.

Von beiden Anbietern erhalten wir nur Zahlungsreferenz, Status, Betrag, Währung, die im Bezahlvorgang angegebene E-Mail-Adresse und gegebenenfalls Vor- und Nachname. Zahlungsbestätigungen werden serverseitig über signaturgeprüfte Rückmeldungen (Webhooks) verarbeitet. Beide Anbieter verarbeiten die Daten als eigenständig Verantwortliche nach ihren eigenen Datenschutzbestimmungen; Übermittlungen in die USA stützen sie auf EU-Standardvertragsklauseln bzw. den Angemessenheitsbeschluss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).

Nach erfolgreicher Zahlung senden wir eine Bestellbestätigung mit Ihrem persönlichen Download-Link an die angegebene E-Mail-Adresse. Der Versand erfolgt über den Transaktions-E-Mail-Dienst der Lovable-Plattform mit der Absenderadresse info@noira-wallpaper.de; dabei werden E-Mail-Adresse, Name und Bestelldaten an diesen Dienst übermittelt. Es handelt sich ausschließlich um vertragsbezogene Nachrichten, nicht um Werbung. Einen Newsletter gibt es nicht.

Brechen Sie den Bezahlvorgang nach Eingabe Ihrer Daten ab, senden wir Ihnen einmalig eine Erinnerungs-E-Mail an die angegebene Adresse, sobald die Bestellung zwei Stunden unbezahlt geblieben ist. Sie enthält Ihre Artikelauswahl und einen Link zurück zum Warenkorb. Wurde die Bestellung inzwischen bezahlt, entfällt die Erinnerung; pro Bestellung gibt es höchstens eine solche Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung versehentlich abgebrochener Bestellvorgänge); der Versand erfolgt über denselben Transaktions-E-Mail-Dienst, und Sie können solche Nachrichten jederzeit über den Abmeldelink in der E-Mail oder per Nachricht an uns stoppen.

Zu jeder Bestellung erzeugen wir einen zufälligen Download-Token mit begrenzter Gültigkeit (30 Tage). Über diesen Link erhalten Sie die gekauften Dateien in den passenden Auflösungen; die Zahl der Abrufe wird gezählt. Nach einer Erstattung wird der Zugang deaktiviert.

Auf der Download-Seite können Sie freiwillig eine Bewertung abgeben. Veröffentlicht werden dann Sterne, Titel, Text, das Datum und Ihr Vorname aus der Bestellung sowie der Hinweis auf den verifizierten Kauf. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Absenden), Widerruf jederzeit per E-Mail möglich.

Wir betreiben eine eigene, auf unserer eigenen Infrastruktur laufende Messung ohne Drittanbieter-Analysedienst. Sie wird ausschließlich aktiv, wenn Sie im Einwilligungsbanner „Statistik erlauben“ wählen. Lehnen Sie ab oder entscheiden Sie nicht, wird weder eine Kennung erzeugt noch ein Ereignis gespeichert.

Gespeichert werden dabei:

• eine zufällig erzeugte Sitzungskennung (UUID) aus dem sessionStorage Ihres Browsers,
• Ereignistyp (Seitenaufruf, Produktansicht, In-den-Warenkorb, Warenkorb, Kaufvorgang gestartet, Kauf) und Zeitpunkt,
• aufgerufener Seitenpfad und – bei Produktseiten – die Album- oder Bildkennung,
• Gerätetyp (Handy/Tablet/Desktop), Browser- und Betriebssystemfamilie,
• Herkunftsquelle (utm_source oder Kategorie der verweisenden Seite),
• Land, Region und ungefähre Stadt, abgeleitet aus dem Edge-Header des Hosting-Netzes bzw. aus der Zeitzone Ihres Browsers,
• Anzahl der Artikel in Ihrem Warenkorb sowie ein lokales Kennzeichen, ob Sie schon einmal da waren.

Diese Daten sind pseudonym, nicht anonym: Sie enthalten keinen Namen und keine IP-Adresse, sind aber über die Sitzungskennung innerhalb einer Sitzung zusammenführbar. Eine Zuordnung zu Ihrer Bestellung oder Ihrer E-Mail-Adresse findet nicht statt, und es wird kein geräteübergreifendes Profil gebildet. IP-Adressen werden für diese Messung weder gespeichert noch an Dritte weitergegeben; sie werden lediglich flüchtig vom Edge-Netz verarbeitet, um das Land zu bestimmen.

Speicherdauer: Besuchssignale 30 Tage, Kaufweg-Ereignisse 90 Tage. Ein nächtlicher Job löscht ältere Datensätze automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Sie können die Einwilligung jederzeit über „Datenschutz-Einstellungen“ im Fußbereich widerrufen; die Messkennungen werden dann sofort aus Ihrem Browser entfernt.

Im Verwaltungsbereich sehen wir aus diesen Daten nur Aggregate und eine Live-Liste laufender Sitzungen mit Land, Region, ungefährer Stadt, Gerät und aufgerufener Seite. Exakte Standorte, Adressen oder GPS-Daten werden weder erhoben noch angezeigt; die Weltkarte im Verwaltungsbereich zeigt ausschließlich Länderebene.

Für Besucherinnen und Besucher setzt der Shop selbst keine Cookies, sondern nutzt ausschließlich lokale Browser-Speicherung. Notwendige Einträge sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, die Messkennungen setzen wir nur nach Einwilligung.

• noira.cart.v1 (localStorage, notwendig, dauerhaft bis zum Löschen) — Inhalt des Warenkorbs und Geräteauswahl. Anbieter: NOIRA. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
• noira.checkout-intent (sessionStorage, notwendig, bis zum Schließen des Tabs) — Bestellangaben während des Bezahlvorgangs.
• noira.lastOrderToken (localStorage, notwendig, dauerhaft) — Kennung Ihrer Download-Seite nach dem Kauf.
• noira.lang (localStorage, notwendig, dauerhaft) — gewählte Sprache. Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
• noira.consent.v1 (localStorage, notwendig, dauerhaft) — Ihre Entscheidung zur Statistik samt Zeitpunkt; dient dem Nachweis der Einwilligung.
• noira.promo.dismissed (localStorage, notwendig, dauerhaft) — merkt sich, dass Sie den Rabatt-Hinweis geschlossen haben.
• noira.visitor und noira.source (sessionStorage) sowie noira.returning (localStorage) — Sitzungskennung, Herkunft und Wiederkehr-Kennzeichen der Statistik. Nur bei Einwilligung, Grundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.
• Stripe und PayPal können im Bezahlvorgang eigene Cookies bzw. Speichereinträge setzen, die für Zahlungsabwicklung und Betrugsprävention erforderlich sind. Sie werden erst beim Aufruf der jeweiligen Bezahlmethode aktiv.
• Ein technischer Cookie für den Zustand der Seitenleiste wird ausschließlich im internen Verwaltungsbereich verwendet und betrifft Kundinnen und Kunden nicht.

IndexedDB, Fingerprinting, Werbe-IDs oder geräteübergreifendes Tracking setzen wir nicht ein. Sie können alle Einträge jederzeit in Ihrem Browser löschen; dabei geht der Warenkorb verloren, alle übrigen Funktionen bleiben nutzbar.

Die Schriften „Instrument Serif“ und „Work Sans“ werden über Google Fonts von Servern der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland geladen. Dabei wird Ihre IP-Adresse an Google übermittelt, damit die Schriftdateien ausgeliefert werden können; eine Übermittlung in die USA ist nicht ausgeschlossen und wird von Google auf EU-Standardvertragsklauseln gestützt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung).

Alle Vorschaubilder und Wallpaper werden aus unserem eigenen Speicher ausgeliefert. Social-Media-Plugins, Video-Einbettungen, Kartendienste, Werbenetzwerke oder Captchas sind nicht eingebunden.

Die angebotenen Wallpaper entstehen zum Teil mit Bildgenerierungsmodellen, die wir über das KI-Gateway der Lovable-Plattform ansteuern. Dieser Vorgang läuft ausschließlich im Verwaltungsbereich bzw. als nächtlicher Automatik-Job. Übermittelt werden dabei nur unsere Bildanweisungen (Prompts) — keine Kunden-, Besucher- oder Bestelldaten.

Personenbezogene Daten erhalten ausschließlich:

• Lovable Labs Incorporated — Hosting, Edge-Auslieferung, verwaltete Datenbank (Lovable Cloud) und Transaktions-E-Mails, als Auftragsverarbeiter.
• Supabase — Datenbank-, Speicher- und Authentifizierungsplattform (EU-Region), als Auftragsverarbeiter.
• Stripe Payments Europe, Ltd. und PayPal (Europe) S.à r.l. et Cie, S.C.A. — Zahlungsabwicklung, als eigenständig Verantwortliche.
• Google Ireland Limited — Auslieferung der Schriftarten (nur IP-Adresse und Browserdaten).

Mit den Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Daten in Drittländer, insbesondere die USA, gelangen, geschieht dies auf Grundlage von EU-Standardvertragsklauseln nach Art. 46 DSGVO oder eines Angemessenheitsbeschlusses. Eine Weitergabe zu Werbezwecken findet nicht statt.

• Bestell- und Rechnungsdaten: bis zu 10 Jahre wegen § 147 AO / § 257 HGB.
• Download-Zugänge: 30 Tage ab Kauf, danach ungültig; nach Erstattung sofort gesperrt.
• Besuchssignale: 30 Tage.
• Kaufweg-Ereignisse: 90 Tage.
• Zähler des Missbrauchsschutzes: werden täglich bereinigt und enthalten keine IP-Adressen.
• Bewertungen: bis zum Widerruf oder zur Löschung.
• E-Mail-Korrespondenz: bis zur abschließenden Bearbeitung, soweit keine Aufbewahrungspflicht besteht.

Auf Löschverlangen entfernen wir Name und E-Mail-Adresse aus allen betroffenen Bestellungen, sperren den Download-Link und anonymisieren den Namen in abgegebenen Bewertungen. Bestellnummer, Betrag, Datum und Zahlungsreferenz bleiben als Buchungsbeleg erhalten, solange die gesetzliche Aufbewahrungspflicht besteht; die Verarbeitung wird insoweit nach Art. 18 DSGVO eingeschränkt. Statistikdaten können jederzeit vollständig gelöscht werden.

• Auslieferung ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS).
• Datenbankzugriff über Row-Level-Security; schreibende und lesende Zugriffe auf Bestell- und Statistikdaten nur über serverseitige Funktionen.
• Verwaltungsfunktionen prüfen bei jedem Aufruf Anmeldung und Rolle „admin“ auf dem Server.
• Alle Eingaben werden serverseitig mit Schema-Validierung geprüft; öffentliche Schnittstellen sind ratenbegrenzt.
• Zahlungs-Webhooks werden vor der Verarbeitung signaturgeprüft; Cron-Aufrufe erfordern ein geheimes Token.
• Zugangsdaten und Schlüssel liegen ausschließlich als serverseitige Umgebungsvariablen vor und werden nie im Browser ausgeliefert. Passwörter werden nur als Hash gespeichert.
• Dateien liegen in privaten Buckets; der Zugriff erfolgt über zeitlich befristete signierte Links.

Sie haben nach der DSGVO jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für die Ausübung genügt eine Nachricht an info@noira-wallpaper.de. Die Einwilligung in die Statistik widerrufen Sie am schnellsten über „Datenschutz-Einstellungen“ im Fußbereich der Website.

Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Wir passen diese Datenschutzerklärung an, sobald sich die eingesetzte Technik oder die Rechtslage ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Aktualisierung steht oben.