Datenschutzerklärung

Datenschutzerklärung gemäß Art. 13 und 14 DSGVO

Kurz & transparent

Wir verkaufen keine personenbezogenen Daten. Analyse- und Marketing-Tools werden nur nach Ihrer Einwilligung aktiviert. Zahlungsdaten verarbeiten zertifizierte Dienstleister direkt — wir speichern keine Kreditkartendaten. Einwilligungen sind jederzeit widerrufbar.

1. Verantwortlicher
Stephan Wittmann
alpen-werk
Waldbahnstraße 23
83324 Ruhpolding
Deutschland
E-Mail: info@alpen-werk.de
Telefon: +49 1567924932

2. Erhebung und Speicherung personenbezogener Daten
Wir verarbeiten personenbezogene Daten im Rahmen des Betriebs unseres Onlineshops. Dazu zählen insbesondere:

• Name, Adresse, E-Mail-Adresse, Telefonnummer
• Zahlungs- und Bestelldaten
• Kundenspezifische Konfigurationen (z. B. Kartenausschnitte, Modelleinstellungen)
• GPS-Koordinaten (bei optionaler GPS-Track-Integration im Konfigurator)
• Gekürzte IP-Adressen zur Missbrauchserkennung (Konfigurator)
• Kommunikationsdaten (z. B. Anfragen per E-Mail, WhatsApp, Instagram- und Facebook-Messenger)

3. Zwecke der Verarbeitung

• Abwicklung von Bestellungen und Zahlungen
• Versandabwicklung
• Kundenkommunikation
• Erfüllung gesetzlicher Pflichten (z. B. steuerliche Aufbewahrung)
• Darstellung und Konfiguration personalisierter Reliefmodelle

4. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. Newsletter, Cookie-Consent, Marketing)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. technische Analyse zur Webseitenoptimierung, Betrugsabwehr, Missbrauchserkennung)

5. Newsletter und Marketing (Klaviyo)
Für den Versand von Newsletter- und Marketing-E-Mails nutzen wir den Dienstleister „Klaviyo Inc., 125 Summer Street, Boston, MA 02110, USA".

Wenn Sie sich zu unserem Newsletter anmelden, verwenden wir Ihre E-Mail-Adresse zum Versand von Informationen über unsere Produkte und Angebote. Die Anmeldung erfolgt im Double-Opt-in-Verfahren. Versand und Auswertung (z. B. Öffnungs- und Klickverhalten, empfängerbezogen) erfolgen durch Klaviyo. Sie können die Einwilligung jederzeit widerrufen, z.B. über den Abmeldelink in jeder E-Mail.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Verarbeitete Daten: E-Mail-Adresse, Name, Anmeldezeitpunkt, Öffnungs- und Klickverhalten

Drittlandtransfer: Klaviyo ist nach dem EU-US Data Privacy Framework zertifiziert. Ein angemessenes Datenschutzniveau ist gewährleistet.

6. Zahlungsabwicklung
Zahlungsdaten werden direkt an folgende Zahlungsdienstleister übermittelt:

• Shopify Payments / Shopify International Ltd., c/o Intertrust Ireland, Dublin 4, Irland (Kreditkarte, Sofort)
  Drittlandtransfer: Bei internationalen Datenübermittlungen stützt sich Shopify je nach Übermittlungsweg auf Angemessenheitsbeschlüsse und/oder geeignete Garantien wie Standardvertragsklauseln. Kopien können Sie unter info@alpen-werk.de anfordern.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg
  Drittlandtransfer: Bei internationalen Datenübermittlungen nutzt PayPal geeignete Schutzmechanismen nach den anwendbaren Datenschutzvorgaben, insbesondere konzerninterne Datenschutzregelungen und/oder Standardvertragsklauseln.

Rechtsgrundlage für die Datenweitergabe ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Versanddienstleister
Zum Zweck der Versandabwicklung geben wir Ihre Daten (Name, Adresse, ggf. E-Mail zur Sendungsverfolgung) an Versanddienstleister weiter:

• DHL Paket GmbH
• UPS Europe SA
• Deutsche Post AG
• FedEx Express Deutschland GmbH

Rechtsgrundlage für die Datenweitergabe ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Webtracking und Werbung
Wir nutzen folgende Tracking- und Werbedienste ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung über unser Cookie-Consent-Tool. Ohne Ihre Einwilligung werden diese Dienste nicht aktiviert.

Meta Pixel (Facebook Pixel):
Anbieter: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland
Zweck: Conversion-Tracking, Remarketing, personalisierte Werbung auf Facebook und Instagram
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG
Drittlandtransfer: Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Ein angemessenes Datenschutzniveau ist gewährleistet.

Google Ads & Google Analytics:
Anbieter: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
Zweck: Conversion-Tracking, Remarketing, Analyse des Nutzerverhaltens, personalisierte Werbung
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG
Drittlandtransfer: Google ist nach dem EU-US Data Privacy Framework zertifiziert. Ein angemessenes Datenschutzniveau ist gewährleistet.

Triple Whale:
Anbieter: Triple Whale Inc., USA
Zweck: E-Commerce-Analyse, Marketing-Attribution
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG
Drittlandtransfer: Triple Whale ist nach dem EU-US Data Privacy Framework zertifiziert. Ein angemessenes Datenschutzniveau ist gewährleistet.

Hotjar:
Anbieter: Hotjar Ltd., Dragonara Business Centre, 5th Floor, Dragonara Road, Paceville St Julian's STJ 3141, Malta
Zweck: Analyse des Nutzerverhaltens (Heatmaps, Session-Recordings) zur Verbesserung der Website
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG
Hotjar ist ein in Malta ansässiger Anbieter. Nutzungsdaten werden nach Anbieterangaben primär in der EU gespeichert; in Einzelfällen kann ein Zugriff aus Drittländern oder eine Übermittlung in Drittländer nicht ausgeschlossen werden.

9. Affiliate-Programm (UpPromote)
Zur Verwaltung unseres Affiliate-Programms nutzen wir UpPromote / Secomapp. Je nach technischer Ausgestaltung können dabei Cookies oder vergleichbare Technologien zur Zuordnung von Vermittlungen eingesetzt werden. Weitere Informationen zu etwaigen internationalen Datenübermittlungen ergeben sich aus den Datenschutzinformationen des Anbieters.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Programmverwaltung), für Provisionsabrechnungen Art. 6 Abs. 1 lit. b DSGVO.

10. Kartendienste & Konfigurationsvorschau
Zur Darstellung der Kartenausschnitte und 3D-Vorschau Ihres konfigurierten Reliefs nutzen wir:

• Leaflet (Open-Source-Kartenbibliothek, lokal eingebunden, keine Datenübermittlung an Dritte durch die Bibliothek selbst)
• Render.com (USA) – Anbieter: Render Services Inc., USA. Render.com ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Produktkonfiguration)

11. Produktkonfigurator und GPS-Daten
Im Rahmen des Produkt-Konfigurators verarbeiten wir folgende Daten:

Modell-Konfigurationen: Ihre Einstellungen (Kartenausschnitt, Modellgröße, Farbe, Holzart, Ausführung) werden mit einer anonymen, zufällig generierten ID gespeichert. Sofern diese Daten im Kontext einer Bestellung stehen, können sie personenbezogen sein. Speicherdauer: 10 Jahre, um Nachbestellungen zu ermöglichen; die lange Speicherfrist ist durch die Individualisierung der Produkte und den damit verbundenen Kundenwunsch nach Reproduzierbarkeit begründet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

GPS-Tracks (manueller Upload): Beim optionalen Upload einer GPX-Datei extrahieren wir die Koordinatendaten (Breitengrad, Längengrad, Höhe). Alle Metadaten (Zeitstempel, Gerätedaten, Personennamen) werden vor der Speicherung entfernt. GPS-Koordinaten können jedoch – insbesondere im Kontext einer Bestellung – personenbezogene Daten darstellen und werden entsprechend behandelt. Speicherdauer: 10 Jahre, verknüpft mit der Konfiguration, zur Ermöglichung von Nachbestellungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Strava-Integration (optional): Auf Ihren ausdrücklichen Wunsch können Sie Ihren Strava-Account verknüpfen. Wir importieren einmalig die GPS-Koordinaten der von Ihnen ausgewählten Aktivität; der Zugriffstoken wird nicht dauerhaft gespeichert. Die importierten Koordinaten werden anschließend wie beim manuellen GPX-Upload behandelt. Diese Integration ist vollständig optional und wird ausschließlich auf Ihre aktive Veranlassung hin genutzt.
Hinweis zum Drittlandtransfer: Die Autorisierung erfolgt über Strava, Inc. (USA). Strava ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Soweit im Rahmen der von Ihnen aktiv initiierten Verknüpfung personenbezogene Daten in die USA übermittelt werden, erfolgt dies ausschließlich auf Ihren ausdrücklichen Wunsch im Zusammenhang mit der von Ihnen gewünschten Funktion. Bitte beachten Sie, dass dabei kein dem EU-Recht gleichwertiges Datenschutzniveau gewährleistet sein kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Garmin Connect-Integration (optional): Identisches Verfahren wie bei Strava. Bei der optionalen Garmin-Integration kann es zu einer Übermittlung personenbezogener Daten in Drittländer (USA) kommen. Weitere Informationen entnehmen Sie bitte den Datenschutzinformationen von Garmin International, Inc.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

IP-Adressen: Bei der Nutzung des Konfigurators wird Ihre IP-Adresse zur Missbrauchserkennung verarbeitet. Die vollständige IP-Adresse existiert nur flüchtig im Arbeitsspeicher; gespeichert wird ausschließlich eine sofort gekürzte Version (letztes Oktett entfernt, z.B. 95.90.185.xxx) sowie ein einmalig daraus ermittelter Ländercode. Nach 30 Tagen wird auch die gekürzte IP gelöscht; es verbleibt nur der anonyme Ländercode für statistische Zwecke.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Missbrauchserkennung, anonyme Nutzungsstatistik).

Externe Geodaten-Dienste: Zur serverseitigen Berechnung des 3D-Modells übermitteln wir den von Ihnen gewählten Kartenausschnitt (geografische Koordinaten) an technische Dienstleister für Höhendaten (digitale Geländemodelle) sowie an einen Geocoding-Dienst zur Auflösung von Ortsnamen in Koordinaten. Die Übermittlung erfolgt ohne direkten Personenbezug; im Kontext einer Bestellung kann jedoch eine mittelbare Personenbeziehbarkeit nicht vollständig ausgeschlossen werden. Es werden keine Nutzeridentifikatoren übertragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Produkterstellung).

12. Cookies & Consent Tool
Zur Verwaltung Ihrer Cookie-Einstellungen nutzen wir das Tool „Avada GDPR Cookie Consent" des Anbieters Avada. Das Tool protokolliert erteilte Einwilligungen und ermöglicht deren Verwaltung. Folgende Cookie-Kategorien werden unterschieden:

• Notwendige Cookies: Für den Betrieb des Shops erforderlich (z.B. Warenkorb, Login). Diese werden ohne Einwilligung gesetzt (Art. 6 Abs. 1 lit. f DSGVO).
• Analyse-Cookies: Zur Verbesserung unserer Website (z.B. Google Analytics). Speicherdauer: bis zu 24 Monate.
• Marketing-Cookies: Für personalisierte Werbung (z.B. Meta Pixel, Google Ads). Speicherdauer: bis zu 24 Monate.

Nicht erforderliche Cookies werden nur nach Ihrer ausdrücklichen Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 TDDDG). Sie können Ihre Einstellungen jederzeit über die auf der Website bereitgestellte Consent-Verwaltung anpassen oder Ihre Einwilligung widerrufen.

13. Technische Plattform (Shopify)
Unser Onlineshop wird über Shopify International Ltd., c/o Intertrust Ireland, 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irland (zuständige Shopify-Entität für den EWR) betrieben. Shopify verarbeitet Kundendaten im Rahmen der genutzten Shop-Dienste grundsätzlich als Auftragsverarbeiter gemäß Art. 28 DSGVO; für bestimmte Zusatzdienste (sog. Enhanced Services) kann Shopify datenschutzrechtlich als eigenverantwortlicher Verantwortlicher handeln. Wir haben mit Shopify einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen.
Drittlandtransfer: Bei internationalen Datenübermittlungen stützt sich Shopify je nach Übermittlungsweg auf Angemessenheitsbeschlüsse und/oder geeignete Garantien wie Standardvertragsklauseln. Kopien der Standardvertragsklauseln können Sie unter info@alpen-werk.de anfordern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

14. Datenverarbeitung über Social Media und Messenger-Dienste
Wenn Sie über Instagram, Facebook oder WhatsApp mit uns in Kontakt treten, verarbeiten wir die dabei übermittelten Kommunikationsdaten (z. B. Nachrichteninhalte, Absenderinformationen) zur Bearbeitung Ihrer Anfrage. Für diese Kommunikationskanäle gelten zusätzlich die Datenschutzbestimmungen der jeweiligen Plattformbetreiber (Meta Platforms), auf deren Datenverarbeitung wir keinen Einfluss haben.
Veröffentlichungen von Kundenbildern oder personalisierten Produkten (z. B. Reliefs mit individueller Gravur) erfolgen nur, wenn keine personenbezogenen Daten sichtbar sind oder mit Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.
Rechtsgrundlage für die Kommunikationsverarbeitung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenkommunikation), bei Vertragsanbahnung Art. 6 Abs. 1 lit. b DSGVO.

15. Datenübermittlung in Drittstaaten
Bei der Nutzung bestimmter Dienste (insbesondere Shopify, Klaviyo, PayPal, Render.com, Meta Platforms, Google, Triple Whale, Strava, Garmin) kann es zur Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR kommen – insbesondere in die USA.

Übersicht Drittlandtransfers:

• Mit DPF-Zertifizierung (angemessenes Datenschutzniveau): Klaviyo, Google, Meta, Triple Whale, Render.com
• Mit Standardvertragsklauseln (SCCs): Shopify, PayPal
• Drittlandtransfer möglich: Garmin International, Inc., USA (nur bei aktiver Nutzung der Garmin-Integration). Weitere Informationen zu den jeweils eingesetzten Schutzmechanismen entnehmen Sie bitte den Datenschutzinformationen des Anbieters.
• Ausschließlich auf ausdrücklichen Nutzerwunsch (optional): Strava, Inc., USA (nur bei aktiver Nutzung der Strava-Integration; kein gleichwertiges EU-Datenschutzniveau gewährleistet)

Sofern kein Angemessenheitsbeschluss der EU-Kommission vorliegt, erfolgt die Übermittlung auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere durch Standardvertragsklauseln (SCCs), oder – bei optionalen, ausdrücklich vom Nutzer initiierten Integrationen – auf Grundlage der im Einzelfall einschlägigen datenschutzrechtlichen Voraussetzungen.

Wichtiger Hinweis zu US-Transfers: Bei Übermittlungen in die USA können US-Behörden auf Ihre Daten zugreifen (CLOUD Act, FISA Section 702). Ein dem EU-Recht vergleichbarer Rechtsschutz besteht nicht. Kopien der Standardvertragsklauseln und Informationen zu zusätzlichen Schutzmaßnahmen können Sie unter info@alpen-werk.de anfordern.

16. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Bestelldaten (inkl. Rechnungen): 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflichten nach § 257 HGB, § 147 AO)
• Produktkonfigurationen und 3D-Modelle: 10 Jahre nach der letzten Bestellung zur Ermöglichung von Nachbestellungen individuell gefertigter Produkte (berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO). Die lange Frist ist durch die Einzigartigkeit der Produkte begründet, deren Reproduktion ohne die gespeicherte Konfiguration nicht möglich wäre. Nach Ablauf werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• GPS-Track-Koordinaten (Konfigurator): 10 Jahre, verknüpft mit der Produktkonfiguration, zur Ermöglichung von Nachbestellungen (berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO). Nach Ablauf werden die Daten gelöscht.
• IP-Adressen (Konfigurator): Gekürzte IP-Adresse: 30 Tage. Danach verbleibt ausschließlich der anonyme Ländercode ohne Personenbezug.
• Kundenkonto: Bis zur Löschung des Kontos durch den Kunden
• Newsletter (Klaviyo): Bis zum Widerruf der Einwilligung
• Cookies: Je nach Art zwischen Sitzungsende und max. 24 Monaten

17. Rechte der betroffenen Personen

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) – Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an: info@alpen-werk.de

18. Beschwerderecht
Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. In der Regel können Sie sich an die Aufsichtsbehörde Ihres Wohnorts oder an die für uns zuständige Behörde wenden:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

19. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen, um sie an geänderte rechtliche Vorgaben oder neue Dienste anzupassen. Die jeweils gültige Fassung ist auf dieser Website abrufbar.

Stand: 15. März 2026