Datenschutzhinweise der cflox GmbH für Kunden

Die cflox GmbH (nachfolgend „cflox“ oder „wir“) nimmt den Schutz personenbezogener Daten sehr ernst und verarbeitet diese in Übereinstimmung mit den anwendbaren Datenschutzgesetzen, insbesondere der EU-Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).

cflox erbringt Zahlungsdienste zur Abwicklung von Verträgen über den Kauf und Verkauf von Produkten zwischen Endkunden und Händlern, die über die E-Commerce-Plattformen der Kaufland Marketplace GmbH („Marktplatz“) geschlossen werden. Dies beinhaltet insbesondere die treuhänderische Entgegennahme der Zahlungen der Endkunden und die Weiterleitung der Geldbeträge an den Händler.

Diese Datenschutzhinweise für Endkunden („Datenschutzhinweise“) gelten für die Verarbeitung personenbezogener Daten der Endkunden durch cflox im Rahmen der Abwicklung der Zahlungen, die Endkunden beim Kauf der Produkte auf der E-Commerce-Plattform des Marktplatzes an Händler (sei es ein Drittanbieter oder der Marktplatz selbst als Verkäufer) tätigen. Diese Datenschutzhinweise richten sich an Endkunden, sofern es sich bei diesen um natürliche Personen handelt („Sie“).

Nachfolgend erklären wir Ihnen, welche personenbezogenen Daten wir über Sie erheben, wie wir diese verarbeiten und welche Rechte Sie im Hinblick auf die Verarbeitung Ihrer Daten haben. Der ausschließliche Zweck dieser Datenschutzhinweise ist die Erfüllung unserer Informationspflichten gemäß Art. 13 und 14 DSGVO. Diese Datenschutzhinweise begründen keinerlei vertragliche Pflichten für cflox.

I. Wer ist für die Verarbeitung meiner Daten verantwortlich? Wie kann ich den Verantwortlichen kontaktieren?

Verantwortlicher: cflox GmbH, Gaußstraße 190c, 22765 Hamburg, Deutschland, Tel: +49 40 22 86 97 85; E-Mail: [email protected]

Datenschutzbeauftragter: René Hoffmann, Gaußstraße 190c, 22765 Hamburg, Deutschland; Tel: +49 40 22 86 97 85; E-Mail: [email protected]

Bitte nennen Sie bei der Kontaktaufnahme mit dem Datenschutzbeauftragten das Unternehmen, auf welches sich Ihre Anfrage bezieht. Bitte sehen Sie davon ab, Ihrer Anfrage sensible Informationen, wie z.B. eine Ausweiskopie, beizufügen.

II. Welche meiner personenbezogenen Daten werden verarbeitet? Aus welchen Quellen stammen die Daten?

Im Rahmen der Abwicklung der von Ihnen auf dem Marktplatz getätigten Zahlungen sowie im Falle von Rückzahlungen an Sie können wir – wie unten in dieser Ziffer II. näher erläutert – folgende personenbezogene Daten erheben:

Vor- und Nachname;
Adresse (Rechnung und Lieferung);
E-Mail-Adresse;
ggf. Telefonnummer (soweit Sie diese beim Kauf angegeben haben);
Inhalt/ Preis des E-Commerce-Warenkaufs;
IBAN;
ggf. Kreditkarteninformationen (Kartennummer, CVC, Ablaufzeitpunkt, Name des Karteninhabers);
Transaktionsdetails (Betrag, Datum, Zahlungsstatus, Transaktions-IDs);
IP-Adresse;
ggf. Zahlweg (nur im Falle von Rückzahlungen);
Kaufhistorie.

Die oben genannten Daten werden von den vertraglich an cflox und den Marktplatz angebundenen Endkundenzahlungsdienstleistern über das jeweilige Payment-Interface oder vom Marktplatz erhoben. Diese Daten werden von den Zahlungsdienstleistern – grundsätzlich in der Rolle eines eigenständig und getrennt Verantwortlichen im Sinne des Art. 4 Abs. 7 DSGVO – zur Erbringung der Zahlungsdienstleistungen verarbeitet (Adyen NV, Simon Carmiggeltstraat 6-50, 1011 DJ Amsterdam, Niederlande; BNP Paribas S.A., Schwanthalerstraße 31, 80336 München; PayPal, Inc., 2211 North First Street, San Jose, CA 95131; PayPal Pte. Ltd, 5 Temasek Boulevard #09-01, Suntec Tower Five, Singapore 038985; Ivy GmbH, Sandstraße 33, 80335 München, Deutschland; Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden).

Die Endkundenzahlungsdienstleister teilen die Daten mit uns, und wir verarbeiten sie oder die Dienstleister verarbeiten sie in unserem Auftrag als Auftragsverarbeiter gemäß unseren Anweisungen, soweit dies für die in Ziffer III. genannten Verarbeitungszwecke erforderlich ist. In Ausnahmefällen, z.B. bei Rückzahlungen (z.B. im Fall von Vorkasse) oder bei FIU-Meldungen (siehe unten Ziffer III.), erhalten wir die Daten direkt vom Marktplatz.

III. Für welche Zwecke und auf welchen Rechtsgrundlagen werden meine personenbezogenen Daten verarbeitet?

1.) Abwicklungen der Zahlungen

Wir verarbeiten Ihre Daten, soweit dies für die Abwicklung der Zahlungen, die Sie als Endkunde beim Kauf von Produkten auf der E-Commerce-Plattform des Marktplatzes an Händler (sei es ein Drittanbieter oder der Marktplatz selbst als Verkäufer) tätigen, die Weiterleitung der Geldbeträge an den Händler sowie gegebenenfalls für die Durchführung von Rückzahlungen an Sie erforderlich ist. Wir stützen uns dabei auf die Erforderlichkeit der Verarbeitung Ihrer Daten zur Wahrung unserer berechtigten Interessen an der ordnungsgemäßen Erbringung der Zahlungsdienste gemäß unseren vertraglichen Pflichten gegenüber Händler und Marktplatz sowie den anwendbaren gesetzlichen Anforderungen, insbesondere unter dem Zahlungsdiensteaufsichtsgesetz (Art. 6 Abs. 1 S. 1 f) DSGVO).

2.) Geldwäscherechtliche und sonstige gesetzliche Anforderungen

Wir verarbeiten Ihre Daten, soweit dies zur Durchführung von gesetzlich vorgeschriebenen geldwäscherechtlichen Prozessen bezüglich der Händler, insbesondere Kundensorgfaltspflichten und Sanktionslistenprüfungen, erforderlich ist. Wir stützen uns insoweit auf die Erforderlichkeit der Verarbeitung zur Sicherstellung und Dokumentation der Einhaltung unserer gesetzlichen Verpflichtungen nach dem Geldwäschegesetz (Art. 6 Abs. 1 S. 1 c) DSGVO).

Wir verarbeiten Ihre Daten zudem zur Sicherstellung und Dokumentation der Einhaltung sonstiger gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten nach § 257 Handelsgesetzbuch (HGB) und § 147 Abgabenordnung (AO). Die Verarbeitung stützen wir auf die Erforderlichkeit zur Erfüllung unserer gesetzlichen Pflichten bzw. auf unser berechtigtes Interesse an der Erfüllung dieser Pflichten (Art. 6 Abs. 1 S. 1 c) und f) DSGVO). Ferner kann es in Einzelfällen sein, dass wir Ihre Daten verarbeiten, wenn und soweit dies zur Wahrung unserer berechtigten Interessen an der Geltendmachung, Ausübung und Verteidigung rechtlicher Ansprüche erforderlich ist (Art. 6 Abs. 1 S. 1 f) DSGVO).

3.) Betrugsbekämpfung, Systemsicherheit und Produktverbesserung

Wir verarbeiten Ihre Daten zudem, um

betrügerisches Verhalten zu erkennen, zu verfolgen und zu verhindern;
Charge-backs (Rückbuchungen) zu verhindern;
unsere IT-Infrastruktur zu schützen und Cyberangriffe zu erkennen, zu verfolgen und zu verhindern.

Diese Verarbeitungen stützen wir auf unsere berechtigten Interessen sowie die berechtigten Interessen unserer Kunden und Vertragspartner, betrügerische Aktivitäten sowie Charge-backs zu verhindern sowie die Sicherheit unserer Dienstleistungen und IT-Infrastruktur zu gewährleisten (Art. 6 Abs. 1 S. 1 f) DSGVO).

IV. An wen werden meine personenbezogenen Daten weitergegeben?

Wir geben Ihre Daten nur an andere Stellen weiter, soweit dies zur Erreichung der oben unter Ziffer III. genannten Verarbeitungszwecke erforderlich ist. Insbesondere geben wir Ihre Daten nach dieser Maßgabe an folgende Empfänger weiter:

Marktplatz;
Bank des Händlers;
Kartenorganisationen (z.B. VISA, MasterCard) und Zahlungsanbieter;
Behörden (insbesondere Ermittlungsbehörden) im Falle von berechtigten Auskunftsanfragen;
Zentralstelle für Finanztransaktionsuntersuchungen (FIU) im Falle von erforderlichen Verdachtsmeldungen an die FIU.

Zudem kann es sein, dass wir Ihre Daten an von uns genutzte Dienstleister weitergeben, die in unserem Auftrag und nach unseren Weisungen tätig werden (Auftragsverarbeiter). Diese unterstützen uns, u.a., bei der Bereitstellung und dem Betrieb unserer Unternehmens-IT sowie bei der Durchführung geldwäscherechtlicher Prozesse.

V. Werden meine personenbezogenen Daten außerhalb der EU und des EWR verarbeitet?

Die oben unter Ziffer IV. genannten Empfänger Ihrer personenbezogenen Daten können sich teilweise in Ländern außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraumes (EWR), sogenannten Drittländern, befinden. Sofern cflox Ihre personenbezogenen Daten an Empfänger in Drittländern übermittelt, die kein Datenschutzniveau gewährleisten, das von der Europäischen Kommission im Rahmen eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO als angemessen erachtet wurde, hat cflox durch angemessene Schutzmaßnahmen sichergestellt, dass Ihre Daten stets angemessen und gemäß den etwaigen drohenden Risiken geschützt werden. Dies erfolgt insbesondere durch die Vereinbarung der von der EU-Kommission genehmigten Standardvertragsklauseln (gemäß Art. 46 Abs. 2 c) DSGVO) sowie, soweit erforderlich, durch die Umsetzung von ergänzenden Maßnahmen, wie zusätzlicher technischer, organisatorischer und vertraglicher Schutzmaßnahmen. Falls in besonderen Konstellationen angemessene Schutzmaßnahmen nicht abgeschlossen werden können, erfolgt eine Übermittlung in Drittländer ohne Angemessenheitsbeschluss nur auf der Grundlage einer gesetzlichen Ausnahme im Sinne von Art. 49 DSGVO. Eine Kopie der von uns getroffenen Maßnahmen sowie weitere Informationen zu den Empfängern und Drittländern können Sie auf Anfrage unter den in Ziffer I. genannten Kontaktdaten erhalten.

VI. Wie lange werden meine personenbezogenen Daten gespeichert?

Ihre Daten werden grundsätzlich nur so lange gespeichert, wie dies für die jeweils unter Ziffer III. aufgeführten Zwecke erforderlich ist. In der Regel werden Ihre Daten zur Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten für eine Dauer von bis zu 10 Jahren aufbewahrt. Danach werden Ihre Daten gelöscht, es sei denn, dass im Einzelfall einer Löschung gesetzliche Aufbewahrungspflichten entgegenstehen oder eine längere Speicherung im konkreten Fall zur Erfüllung sonstiger rechtlicher Verpflichtungen oder zur Wahrung berechtigter Interessen von cflox (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) erforderlich ist.

VII. Findet eine automatisierte Entscheidungsfindung statt? Wie werden meine personenbezogenen Daten geschützt?

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidungsfindung findet nicht statt. Wir treffen technische und organisatorische Maßnahmen gemäß den Anforderungen von Art. 32 DSGVO zum Schutz Ihrer personenbezogenen Daten.

VIII. Welche Rechte habe ich in Bezug auf die Verarbeitung meiner personenbezogenen Daten und wie kann ich diese ausüben?

Nach Maßgabe der gesetzlichen Bestimmungen haben Sie gegenüber cflox als für die Verarbeitung Ihrer personenbezogenen Daten Verantwortlichem das Recht:

Auskunft über die von Ihnen verarbeiteten personenbezogenen Daten sowie eine Kopie dieser Daten zu verlangen (Recht auf Auskunft);
die Berichtigung unrichtiger Daten und, unter Berücksichtigung der Zwecke der Verarbeitung, die Vervollständigung unvollständiger Daten zu verlangen (Recht auf Berichtigung);
bei Vorliegen berechtigter Gründe die Löschung Ihrer Daten zu verlangen (Recht auf Löschung; „Recht auf Vergessenwerden");
die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, sofern die gesetzlichen Voraussetzungen gegeben sind (Recht auf Einschränkung der Verarbeitung);
bei Vorliegen der gesetzlichen Voraussetzungen die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten an einen anderen Verantwortlichen zu übermitteln oder, soweit dies technisch machbar ist, von cflox übermitteln zu lassen (Recht auf Datenübertragbarkeit).

Sie haben ferner das Recht, einer Verarbeitung Ihrer Daten aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Maßgabe der gesetzlichen Bestimmungen zu widersprechen (Widerspruchsrecht). Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben – was vorliegend nicht stattfindet – haben Sie das Recht, dieser Verarbeitung jederzeit zu widersprechen, ohne dass es hierfür besonderer Gründe bedürfte.

Bitte nutzen Sie zur Ausübung Ihrer Rechte die unter Ziffer I. aufgeführten Kontaktdaten. Zudem haben Sie unbeschadet sonstiger Rechtsbehelfe jederzeit das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen. Dieses kann beispielsweise bei der für cflox zuständigen Aufsichtsbehörde ausgeübt werden: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.