Rechtliche Hinweise
Datenschutzerklärung
Aktualisierung ·
Die Übersetzung wird derzeit Korrektur gelesen. Bei Abweichungen ist die französische Fassung maßgebend.
Fassung vom 6. September 2026.
Maison Covelli verarbeitet personenbezogene Daten zum Zweck des Verkaufs und der Lieferung seiner Produkte. Auf dieser Seite wird erläutert, welche Daten, warum, wie lange und an wen diese weitergegeben werden, wohin sie gelangen und wie Sie Ihre Rechte ausüben können.
1. Wer ist für die Datenverarbeitung verantwortlich?
WELLSY FZCO — Free-Zone-Unternehmen nach emiratischem Recht, Lizenz-Nr. 29934 (DIEZA / IFZA), IFZA Properties, DSO-IFZA, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate. Kontakt: **[email protected] **.
WELLSY FZCO ist im Sinne von Artikel 4 Absatz 7 der DSGVO für die Verarbeitung verantwortlich. Das Unternehmen hat keinen Datenschutzbeauftragten (DSB) benannt, da eine solche Benennung im Hinblick auf seine Verarbeitungsvorgänge nicht verpflichtend ist; alle Anfragen bezüglich personenbezogener Daten werden vom gesetzlichen Vertreter bearbeitet.
2. Vertreter in der Europäischen Union, im Vereinigten Königreich und in der Schweiz
Da WELLSY FZCO nicht in der Europäischen Union niedergelassen ist, hat das Unternehmen gemäß Artikel 27 der DSGVO einen in der Union ansässigen Vertreter benannt, der von jeder betroffenen Person und von den Aufsichtsbehörden kontaktiert werden kann:
Vertreter in der Europäischen Union (Art. 27 DSGVO) À compléter : raison sociale, adresse postale complète dans un État membre, adresse électronique — à compléter avant la mise en ligne
Vertreter im Vereinigten Königreich (Art. 27 UK-DSGVO) À compléter : raison sociale, adresse postale au Royaume-Uni, adresse électronique — à compléter avant l'ouverture des ventes au Royaume-Uni
Schweiz — (Stand: 6. September 2026: korrekt.) Artikel 14 Abs. 1 DSG schreibt die Benennung eines Vertreters in der Schweiz nur unter vier kumulativen Voraussetzungen vor: Die Verarbeitung betrifft Personen in der Schweiz und steht im Zusammenhang mit einem Angebot von Waren oder Dienstleistungen oder mit der Beobachtung des Verhaltens dieser Personen, und sie ist von großem Umfang, und sie erfolgt regelmäßig, und sie stellt ein hohes Risiko für die Persönlichkeit der betroffenen Personen dar. Diese Voraussetzungen sind bei unseren Datenverarbeitungen zum Zeitpunkt der Einführung nicht erfüllt; die Situation wird jährlich neu bewertet. Sollten diese Voraussetzungen eintreten, schreibt Art. 14 Abs. 3 DSG zudem vor, den Namen und die Anschrift des Vertreters zu veröffentlichen. Quelle: EDÖB – Pflicht zur Benennung eines Vertreters À compléter : réévaluation annuelle — date de la prochaine revue
3. Von uns verarbeitete Daten
| Kategorie | Beispiele |
|---|---|
| Identität und Kontakt | Anrede, Vorname, Nachname, E-Mail, Telefonnummer |
| Adressen | Lieferadresse, Rechnungsadresse, Land |
| Bestellung | Produkte, Beträge, Währung, Bestellnummer, Bestellhistorie |
| Zahlung | die letzten 4 Ziffern und die Art der Karte, Stripe-Transaktionskennungen, Status. Wir erhalten oder speichern niemals die vollständige Kartennummer oder die Sicherheitscode |
| Kundenkonto | Benutzername, gehashte Passwort, Einstellungen, Abonnements |
| Kundenbeziehung | E-Mail-Korrespondenz, Reklamationen, Rücksendungen, Meldungen über unerwünschte Wirkungen |
| Navigation | IP-Adresse, Sitzungs-ID, aufgerufene Seiten, Gerät, Zugriffsquelle, Cookies (siehe Cookie-Richtlinie) |
| Marketing | Status des Newsletter-Abonnements, Öffnungen und Klicks, Segmente |
| Nachweis der Marketing-Einwilligung | Datum und Uhrzeit der Anmeldung (UTC), IP-Adresse des Browsers zum Zeitpunkt des Ankreuzens sowie exakter Wortlaut des akzeptierten Hinweises in der angezeigten Sprache |
Es werden keine besonderen Datenkategorien im Sinne von Artikel 9 der DSGVO erhoben, mit einer Ausnahme: Wenn Sie von sich aus eine Nebenwirkung melden, kann Ihre Meldung Gesundheitsdaten enthalten. Diese werden dann auf der Grundlage von Artikel 9 Absatz 2 Buchstabe i der DSGVO (Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit – Kosmetovigilanz, Art. 23 der Verordnung (EG) Nr. 1223/2009), streng auf diesen Zweck beschränkt und an die verantwortliche Person sowie gegebenenfalls an die zuständigen Behörden weitergeleitet.
Die Website richtet sich nicht an Minderjährige unter 16 Jahren, und wir erheben nicht wissentlich deren Daten.
4. Verarbeitungszwecke, Rechtsgrundlagen und Aufbewahrungsfristen
| Verarbeitungszweck | Rechtsgrundlage (Art. 6 DSGVO) | Daten | Aufbewahrungsfrist |
|---|---|---|---|
| Einrichtung und Verwaltung Ihres Kundenkontos | Vertragserfüllung – Art. 6 Abs. 1 Buchstabe b | Identität, Kontaktdaten, Zugangsdaten | Bis zur Löschung des Kontos, anschließend 3 Jahre bei Inaktivität |
| Bearbeitung, Vorbereitung, Versand und Nachverfolgung Ihrer Bestellung | Vertragserfüllung – Art. 6 Abs. 1 Buchstabe b | Identitätsdaten, Adressen, Bestelldaten | 3 Jahre ab der letzten Bestellung (Kundenbeziehung), anschließend gesetzliche Archivierung |
| Zahlung einziehen und Betrug verhindern | Vertragserfüllung – Art. 6 Abs. 1 Buchstabe b; berechtigtes Interesse – Art. 6 Abs. 1(f) | Transaktionsdaten, IP-Adresse, Browser-Fingerabdruck | 13 Monate (Transaktionsnachweis), 15 Monate bei Debitkarten mit verzögerter Abbuchung |
| Abonnements verwalten („regelmäßige Lieferung“) | Vertragserfüllung – Art. 6 Abs. 1(b) | Abonnement, tokenisierte Zahlungsmittel | Laufzeit des Abonnements + 3 Jahre |
| Ausstellung und Aufbewahrung von Rechnungen, Buchführung, Umsatzsteuererklärung (OSS, Italien, Vereinigtes Königreich) | Gesetzliche Verpflichtung – Art. 6 Abs. 1(c) | Rechnungsstellung, Bestellung | 10 Jahre (Art. 2220 des italienischen Zivilgesetzbuchs; Mehrwertsteuerrichtlinie) |
| Bearbeitung von Rücksendungen, Widerrufen, Gewährleistungsansprüchen und Rechtsstreitigkeiten | Vertragserfüllung und berechtigtes Interesse – Art. 6 Abs. 1 Buchstabe b und (f) | Bestellung, Umtausch | 5 Jahre nach Beendigung der Geschäftsbeziehung |
| Beantwortung Ihrer Anfragen an den Kundenservice | Berechtigtes Interesse – Art. 6 Abs. 1 Buchstabe f (Beantwortung von Anfragen) | Kontaktdaten, Inhalt der Nachricht | 3 Jahre nach dem letzten Kontakt |
| Kosmetovigilanz und Produktsicherheit | Gesetzliche Verpflichtung – Art. 6 Abs. 1 Buchstabe c; Art. 9 Abs. 2 Buchstabe i für Gesundheitsdaten | Meldung, Charge, Produkt | 10 Jahre (Rückverfolgbarkeit gemäß GPSR und Verordnung (EG) Nr. 1223/2009) |
| Versand des Newsletters und von Angeboten per E-Mail | Einwilligung – Art. 6 Abs. 1(a); oder berechtigtes Interesse für Bestandskunden an ähnlichen Produkten, mit jederzeit möglichem Widerspruch | E-Mail, Vorname, Segmente | 3 Jahre nach dem letzten Kontakt oder bis zum Widerruf der Einwilligung |
| Nachweis, dass die Einwilligung in den Newsletter tatsächlich eingeholt wurde | Rechtliche Verpflichtung – Art. 6 Abs. 1(c) i. V. m. Art. 7 Abs. 1 DSGVO: Wir, und nicht Sie, müssen die Einwilligung nachweisen | E-Mail, Zeitstempel, IP-Adresse, Wortlaut des akzeptierten Hinweises, Herkunftsformular | Für die gesamte Dauer des Abonnements, danach 3 Jahre ab Widerruf der Einwilligung oder ab dem letzten Kontakt |
| Messung der Website-Reichweite | Einwilligung – Art. 6 Abs. 1 Buchstabe a (außer bei unbedingt erforderlichen und ausgenommenen Messungen) | Cookies, gekürzte IP-Adresse | 13 Monate für Cookies, 25 Monate für aggregierte Daten |
| Werbung und Kampagnenauswertung (Google Ads) | Einwilligung – Art. 6 Abs. 1 Buchstabe a | Werbe-Identifikatoren, Conversion-Ereignisse | 13 Monate |
| Erfassung von Kundenbewertungen | Berechtigtes Interesse – Art. 6 Abs. 1 Buchstabe f; Einwilligung zur Kontaktaufnahme per E-Mail | E-Mail, Bestellung, Bewertung | 3 Jahre |
| Gewährleistung der Sicherheit der Website und Verhinderung von Missbrauch | Berechtigtes Interesse – Art. 6 Abs. 1 Buchst. f | IP-Adresse, technische Protokolle | 12 Monate |
Wenn die Verarbeitung auf einem berechtigten Interesse beruht, wurde dieses einer Abwägung gegen Ihre Rechte und Freiheiten unterzogen; Sie können jederzeit Widerspruch einlegen (Abschnitt 7).
5. Empfänger und Auftragsverarbeiter
Ihre Daten werden weder verkauft noch vermietet. Sie werden ausschließlich an folgende Stellen weitergegeben:
| Empfänger | Rolle | Übermittelte Daten | Standort |
|---|---|---|---|
| Stripe (Stripe Payments Europe, Limited, Irland; Stripe, Inc., USA) | Zahlungs- und Abonnementabwicklung, Betrugsbekämpfung | Name, E-Mail-Adresse, Betrag, Transaktionsdaten | EU / USA |
| Logistikdienstleister (3PL) | Vorbereitung und Versand von Bestellungen | Name, Lieferadresse, Telefonnummer, Paketinhalt | À compléter : nom, raison sociale et pays du 3PL |
| Transportunternehmen | Zustellung und Sendungsverfolgung | Name, Adresse, Telefonnummer, E-Mail-Adresse | À compléter : liste des transporteurs |
| Klaviyo (Klaviyo, Inc., USA) | Marketing-E-Mails, Segmentierung, Automatisierungen | E-Mail-Adresse, Vorname, Kaufhistorie, Ereignisse, Einwilligungsnachweis (Zeitstempel, IP-Adresse, akzeptierter Hinweis) | USA / EU |
| Resend (Resend, Inc., USA) | Versand von Transaktions-E-Mails (Bestätigung, Versandbenachrichtigung, Rechnung) | E-Mail-Adresse, Inhalt der Nachricht | USA |
| Cloudflare, Inc. (USA) | Verteilungsnetzwerk, Schutz vor Angriffen, DNS | IP-Adresse, Kopfzeilen, Sicherheitsprotokolle | Weltweites Netzwerk |
| Webhost | Hosting der Website und der Datenbank | Sämtliche Daten der Website | À compléter : Hostinger International Ltd, Chypre — à confirmer |
| Google Ireland Limited (Google Ads, Google Analytics) | Werbung, Reichweitenmessung – nur nach Einwilligung | Werbe-IDs, Ereignisse | EU / USA |
| Verantwortliche Person in der EU für Kosmetika (Hersteller, Italien) | Verantwortlicher für Kosmetika – ausschließlich Kosmetovigilanz | Meldung von unerwünschten Wirkungen, Chargen, Produkten | Italien |
| Vertreter gemäß Art. 27 DSGVO | Ansprechpartner für betroffene Personen und Behörden | je nach Anfrage | EU |
| Berater, Buchhalter, italienischer Steuervertreter, Wirtschaftsprüfer, Steuer- und Zollbehörden | Gesetzliche Verpflichtungen | Rechnungsstellung, Bestellungen | EU / VAE / Großbritannien |
Jeder Auftragsverarbeiter ist durch einen Vertrag gemäß Artikel 28 der DSGVO gebunden.
6. Datenübermittlungen außerhalb der Europäischen Union
Sachverhalt. WELLSY FZCO hat seinen Sitz in den Vereinigten Arabischen Emiraten, einem Land, für das keine Angemessenheitsentscheidung der Europäischen Kommission vorliegt. Dabei sind zwei unterschiedliche Datenströme zu unterscheiden:
- Die Daten, die Sie uns selbst übermitteln (Kontoeröffnung, Bestellung, Nachricht) stellen keine „Übermittlung“ im Sinne von Kapitel V der DSGVO dar: Es gibt kein Übermittler, da die betroffene Person ihre Daten direkt an den für die Verarbeitung Verantwortlichen übermittelt. Dies entspricht der Position der Leitlinien 05/2021 des Europäischen Datenschutzausschusses. Diese Verarbeitungen unterliegen vollständig der DSGVO gemäß deren Artikel 3 Absatz 2, was sich in der Benennung eines Vertreters gemäß Artikel 27 (Abschnitt 2) widerspiegelt.
- Daten, die uns von einem in der Union ansässigen Dienstleister übermittelt werden (Hosting-Anbieter, Logistikdienstleister, Steuervertreter) stellen Datenübermittlungen dar. Diese werden durch vertragliche Verpflichtungen geregelt, die die Garantien der Standardvertragsklauseln widerspiegeln, sowie durch eine Folgenabschätzung der Datenübermittlungen und durch technische Maßnahmen : Verschlüsselung während der Übertragung und im Ruhezustand, Zugriffsabgrenzung, Minimierung der exportierten Daten, Protokollierung. À compléter : date de signature des engagements et de l'analyse d'impact
Vorbehalt, anerkannt und dokumentiert. Der Erwägungsgrund 7 der Durchführungsentscheidung (EU) 2021/914 schließt die Verwendung von Standardvertragsklauseln aus, wenn die Verarbeitung durch den Importeur bereits der DSGVO unterliegt – was gemäß Artikel 3 Absatz 2 auf uns zutrifft. Die Europäische Kommission hat eine Reihe zusätzlicher Klauseln für diese Situation angekündigt; diese sind bislang noch nicht verabschiedet worden. Kein Instrument aus Kapitel V ist daher vollständig auf unsere Konstellation zugeschnitten: Wir dokumentieren die oben genannten gleichwertigen Garantien oben, bis diese verabschiedet sind. Quellen: Durchführungsbeschluss (EU) 2021/914 · EDPB, Leitlinien 05/2021 (Wechselwirkung zwischen Art. 3 und Kapitel V) · IAPP – die angekündigten Zusatzklauseln wurden noch nicht verabschiedet
Sonstige Datenübermittlungen:
| Bestimmungsort | Mechanismus |
|---|---|
| Vereinigte Staaten (Stripe Inc., Klaviyo, Resend, Cloudflare, Google LLC) | Angemessenheitsbeschluss „EU-US Data Privacy Framework“ vom 10. Juli 2023, sofern der Empfänger danach zertifiziert ist; andernfalls Standardvertragsklauseln (EU) 2021/914 + zusätzliche Maßnahmen |
| Vereinigtes Königreich | Angemessenheitsbeschluss der Europäischen Kommission; für Datenübermittlungen, die der UK-DSGVO unterliegen, International Data Transfer Agreement (IDTA) oder britischer Nachtrag zu den Standardvertragsklauseln |
| Schweiz | Vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannte Standardvertragsklauseln; die Vereinigten Arabischen Emirate sind nicht in der Schweizer Liste der Staaten mit angemessenem Schutzniveau aufgeführt |
Eine Kopie der getroffenen Sicherheitsvorkehrungen erhalten Sie auf Anfrage unter [email protected].
7. Ihre Rechte
Sie verfügen gemäß den Bestimmungen der DSGVO (Artikel 15 bis 22), der UK-DSGVO und des Schweizer nLPD über folgende Rechte:
- Auskunft – Sie haben das Recht, eine Bestätigung darüber zu erhalten, ob Ihre Daten verarbeitet werden, sowie eine Kopie dieser Daten zu erhalten;
- Berichtigung – Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen;
- Löschung – Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, vorbehaltlich unserer gesetzlichen Aufbewahrungspflichten (Buchhaltung, Kosmetovigilanz);
- Einschränkung der Verarbeitung;
- Widerspruch – Sie können der Verarbeitung aufgrund eines berechtigten Interesses widersprechen sowie jederzeit und ohne Angabe von Gründen der kommerziellen Werbung;
- Datenübertragbarkeit – das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder deren Übermittlung an einen anderen Verantwortlichen zu veranlassen;
- Widerruf der Einwilligung jederzeit, ohne dass dadurch die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung in Frage gestellt wird;
- Nicht Gegenstand einer vollständig automatisierten Entscheidung zu sein, die rechtliche Wirkungen hat. Wir treffen keine Entscheidungen dieser Art; die Betrugsbekämpfungsmaßnahmen von Stripe können zur Ablehnung einer Transaktion führen. In diesem Fall können Sie eine manuelle Überprüfung beantragen, indem Sie uns schreiben;
- Frankreich – Festlegung von Richtlinien bezüglich der Verwendung Ihrer Daten nach Ihrem Tod (Art. 85 des Datenschutzgesetzes).
So können Sie Ihre Rechte geltend machen: Schreiben Sie an [email protected] oder an unseren Vertreter in der Europäischen Union (Abschnitt 2) und geben Sie dabei das geltend gemachte Recht an. Wir können Sie um einen Identitätsnachweis bitten, falls begründete Zweifel an Ihrer Identität bestehen. Wir antworten innerhalb eines Monats; diese Frist kann bei komplexen Anfragen um zwei Monate verlängert werden, worüber Sie in diesem Fall informiert werden.
Für den Newsletter befindet sich in jeder E-Mail ein Link zum Abmelden mit einem Klick.
8. Beschwerde bei einer Aufsichtsbehörde
Wenn Sie der Ansicht sind, dass Ihre Rechte nicht gewahrt werden, können Sie eine Beschwerde bei der Aufsichtsbehörde des Mitgliedstaats einreichen, in dem Sie Ihren gewöhnlichen Wohnsitz, Ihren Arbeitsort oder den Ort des Verstoßes haben, unbeschadet anderer Rechtsbehelfe:
| Land | Behörde |
|---|---|
| Italien | Garante per la protezione dei dati personali — https://www.garanteprivacy.it |
| Frankreich | Commission nationale de l’informatique et des libertés (CNIL) — https://www.cnil.fr |
| Deutschland | Datenschutzbehörde des zuständigen Bundeslandes — https://www.bfdi.bund.de |
| Belgien | Datenschutzbehörde — https://www.autoriteprotectiondonnees.be |
| Spanien | Spanische Datenschutzbehörde (Agencia Española de Protección de Datos) — https://www.aepd.es |
| Portugal | Nationale Datenschutzkommission (Comissão Nacional de Proteção de Dados) — https://www.cnpd.pt |
| Vereinigtes Königreich | Information Commissioner’s Office — https://ico.org.uk |
| Schweiz | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter — https://www.edoeb.admin.ch |
9. Sicherheit
Wir setzen geeignete technische und organisatorische Maßnahmen um: End-to-End-TLS-Verschlüsselung, Passwort-Hash, Isolierung der Umgebungen, personenbezogener und protokollierter Zugriff, verschlüsselte Backups, Hosting in der Europäischen Union, zertifizierte Auftragsverarbeiter. Es werden keine vollständigen Bankdaten über unsere Server übertragen. Im Falle einer Datenverletzung, die ein hohes Risiko für Ihre Rechte darstellen könnte, werden Sie gemäß Artikel 34 der DSGVO darüber informiert.
10. Änderungen
Diese Datenschutzerklärung kann aktualisiert werden. Das Datum der letzten Aktualisierung ist oben auf der Seite angegeben. Im Falle wesentlicher Änderungen werden Sie vor Inkrafttreten per E-Mail oder durch einen Hinweis auf der Website darüber informiert.
Kontakt: [email protected] — WELLSY FZCO, IFZA Properties, DSO-IFZA, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate.