Datenschutzerklärung

Wer wir sind

Klirry wird betrieben von Per Philip Alexander Hjelmberg, einem Einzelunternehmen (enskild firma), Drottninggatan 12, 352 29 Växjö, Schweden, schwedische Umsatzsteuer-Identifikationsnummer SE850529273301. Das Unternehmen wird allein von seinem Gründer geführt. Das Unternehmen ist Verantwortlicher für die in dieser Erklärung beschriebenen Daten.

Datenschutzkontakt: privacy@klirry.com.

Wir sind in Schweden niedergelassen, daher ist unsere federführende Aufsichtsbehörde die schwedische Datenschutzbehörde (IMY, Integritetsskyddsmyndigheten), imy.se. Für Cookies und ähnliche Technologien ist die Aufsichtsbehörde in Schweden die Post- och telestyrelsen (PTS). Wir haben keinen Datenschutzbeauftragten benannt: Klirry ist ein Ein-Personen-Unternehmen, das Personen nicht in großem Umfang überwacht und keine besonderen Kategorien von Daten in großem Umfang verarbeitet (DSGVO Art. 37).

Unsere zwei Rollen

Klirry verarbeitet personenbezogene Daten in zwei getrennten Eigenschaften, und diese Erklärung behandelt nur die erste.

Wo Klirry Auftragsverarbeiter ist, ist der Händler Verantwortlicher, und die eigene Datenschutzerklärung des Händlers gilt. Wir handeln nur auf dokumentierte Weisung des Händlers.

1. Daten, die wir als Verantwortlicher verarbeiten

1a. Konto- und Nutzerdaten

Für ein Klirry-Konto ist eine E-Mail-Adresse erforderlich — sie ist die Login-Kennung und der einzige Weg, Sie zum Dienst zu erreichen. Klirry fragt nicht nach einer persönlichen Identitätsnummer; bei einem Einzelunternehmer kann die Organisationsnummer eine persönliche Identitätsnummer sein, und wir behandeln sie dann als solche (in der Admin-Ansicht maskiert, aus Protokollen und Fehlerberichten herausgehalten).

1b. Sicherheits-, Audit- und Betriebsaufzeichnungen

Wir führen ein Audit-Protokoll sicherheitsrelevanter Handlungen: Art der Handlung, Kennung des handelnden Nutzers, betroffenes Objekt und Zeitstempel. Es enthält keine personenbezogenen Daten in Freitext. Wird ein Konto gelöscht, wird das Protokoll 6 Monate lang aufbewahrt, wobei alle Nutzerkennungen pseudonymisiert sind (Abschnitt 6). Der Support-Zugriff des Gründers (Öffnen Ihres Kontos, um Ihnen zu helfen) wird im selben Protokoll festgehalten.

Wir protokollieren die Zustellung transaktionaler E-Mails: Kategorie, Vorlage, Betreffzeile, Nachrichtenkennung des Anbieters, Zustellstatus und etwaige Rückläufer oder Fehler.

Wir erfassen Anwendungsfehler und Leistungsdaten zur Diagnose. Fehlerberichte werden so gefiltert, dass sie keine personenbezogenen Daten enthalten, einschließlich schwedischer persönlicher Identitätsnummern.

1c. Abrechnung, Rechnungen und Annahme der Bedingungen

• Mit Karte bezahlte Abonnements. Die Zahlung wird von Stripe auf dessen gehosteter Seite eingezogen; Kartendaten erreichen uns nie. Wir erhalten Name und E-Mail des Rechnungskontakts, Firmenname, Rechnungsland, Umsatzsteuer-Identifikationsnummer, Tarif und Zahlungsstatus.
• Über Shopify bezahlte Abonnements. Shopify belastet Sie; wir erhalten Shop, Tarif und Belastungsstatus sowie den Auszahlungsbericht.
• Umsatzsteuernachweis. Um die umsatzsteuerliche Behandlung zu bestimmen, prüfen wir Ihre Umsatzsteuer-Identifikationsnummer im EU-Dienst VIES und bewahren das Ergebnis, das Datum und den Ortsnachweis (Rechnungsland, Land der Karte) mit der Rechnung auf.
• Rechnungen werden als Buchhaltungsunterlagen aufbewahrt (Abschnitt 6).
• Annahme der Bedingungen. Wir speichern die Version der Bedingungen, den Zeitpunkt, das Konto, den annehmenden Nutzer und die Art als Nachweis des Vertrags.
• Missbrauch von Testphasen. Um wiederholte kostenlose Testphasen zu verhindern, speichern wir eine schlüsselbasierte Einweg-Kennung (HMAC), die aus den Registrierungsangaben abgeleitet wird. Sie ist pseudonymisiert, nicht anonym, und wird 12 Monate aufbewahrt. Sie verhindert eine zweite kostenlose Testphase nur, wenn die frühere Testphase nie bezahlt wurde: Ein zurückkehrender zahlender Kunde wird nie blockiert.

1d. Website-Besucher, Newsletter und Cookies

Besucher von klirry.com werden nicht verfolgt, sofern sie nicht zustimmen: Die Website-Analyse läuft erst nach Einwilligung (Abschnitt 8). Wenn Sie den Newsletter abonnieren, speichern wir Ihre E-Mail-Adresse und den Zeitpunkt der Bestätigung (Double-Opt-in). Werbe-E-Mails gehen nur an Personen, die sich dafür entschieden haben, über einen separaten Anbieter (Abschnitt 4).

1e. Testphasen-Erinnerungen, Mitteilungen und Einladungen

Während und nach der Testphase schreiben wir den Nutzern des Kontos: Erinnerungen vor Ende der Testphase und nach ihrem Ende, eine Mitteilung vor der Löschung eines unbezahlten Kontos, Mitteilungen über Änderungen der Bedingungen oder unserer Unterauftragsverarbeiter sowie Einladungen an Tester, die der Gründer persönlich ausspricht. Das sind an Ihr Konto gebundene Servicemitteilungen, keine Werbung.

1f. Produktnutzung, Umfragen und Support

Wir erfassen eine kleine Menge an Eigendaten-Ereignissen darüber, wie ein Konto durch Klirry geht (zum Beispiel die Schritte der Einrichtung), freiwillige Umfrageantworten und einen freiwilligen Grund bei der Kündigung sowie einen internen Gesundheitsindikator für das Konto. Diese enthalten kein Freitext-Tracking einzelner Personen über das hinaus, was Sie selbst in eine Umfrage- oder Kündigungsantwort schreiben. Support-Korrespondenz wird im Support-Postfach aufbewahrt, und der Gründer kann die für ein Konto aufgewendete Zeit festhalten.

1g. Affiliates

Wenn Sie sich als Affiliate-Partner bewerben (nur Unternehmen), speichern wir die Unternehmensangaben des Partners, den Empfehlungscode, vermittelte Registrierungen und Provisionsdatensätze.

2. Daten, die wir als Auftragsverarbeiter verarbeiten — Bestelldatensätze

Wenn Sie einen Shop verbinden, importieren wir Bestelldatensätze. Wir importieren keine Namen, E-Mail-Adressen, Postanschriften oder Telefonnummern Ihrer Kunden.

Wir importieren je Bestellung: die eigene Bestellkennung und Bestellnummer Ihres Shops, das Bestelldatum, das Bestimmungsland, die Währung, den Bruttobetrag, den Umsatzsteuerbetrag, die berechneten Versandkosten, den Rabatt, die Zahlungsart, die Versandart, ob der Versand nachverfolgt wurde, den Finanz- und Erfüllungsstatus, den erstatteten Betrag, Kampagnenparameter aus der Landingpage-Adresse (utm_source, utm_medium, utm_campaign, utm_content) und zwei Markierungen, ob eine Meta- oder Google-Klick-ID vorhanden war. Wir importieren außerdem Bestellpositionen (Produktkennung, Menge, Beträge), Abrechnungsdatensätze von Zahlungsanbietern und Frachtrechnungszeilen, die Sie hochladen, sowie Werbedaten (Ausgaben und Leistung je Kampagne und Anzeige).

Diese Datensätze können weiterhin personenbezogene Daten sein. Die Bestellkennung ist ein Schlüssel, den Sie in Ihrem eigenen Shop nachschlagen können, um eine namentlich bekannte Person zu erreichen. Daten dieser Art sind pseudonymisiert, nicht anonym, und fallen weiterhin in den Anwendungsbereich des Datenschutzrechts.

Wir speichern für Meta- und Google-Klick-IDs nur eine Markierung, nie die IDs selbst. Für Sendungsnummern von Zustellern speichern wir nur einen schlüsselbasierten Einweg-HMAC (dient dazu, Zusteller-Rechnungen Bestellungen zuzuordnen) für 180 Tage nach dem Bestelldatum, nie die Nummer selbst.

Die vollständige Liste steht in Anhang 1 des Auftragsverarbeitungsvertrags.

3. Warum wir sie verarbeiten und auf welcher Grundlage

Interessenabwägung. Wo wir uns auf Art. 6 Abs. 1 lit. f stützen, haben wir unser Interesse gegen Ihres abgewogen. Die betroffenen Personen sind vor allem die eigenen Beschäftigten unserer Kunden, die sich für ein Geschäftswerkzeug entschieden haben und erwarten können, dass seine Nutzung aus Sicherheits- und Supportgründen protokolliert wird. Wir beschränken uns auf das Notwendige (ein Audit-Eintrag enthält nur Handlung, Akteur, Objekt und Zeit), verkaufen keine Daten, nutzen sie nicht für Werbung und erstellen keine Profile von Einzelpersonen. Sie können jederzeit widersprechen (Abschnitt 7); wir wägen Ihre Gründe dann im Einzelfall ab. Die Kennung gegen Missbrauch von Testphasen und die Aufbewahrungsfristen haben wir auf dieselbe Weise geprüft.

Plattformdaten. Daten, die wir von einer von Ihnen verbundenen Plattform erhalten (Shopify, Meta, Google, TikTok und andere), werden nur verwendet, um Ihnen zu dienen. Wir verkaufen sie nie, nutzen sie nie kundenübergreifend oder für Vergleichswerte und nutzen sie nie zum Training von KI-Modellen.

4. Wer sonst die Daten sieht

4a. Anbieter und Werkzeuge

4b. Verbundene Plattformen (Datenquellen, die Sie wählen)

Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung.

5. Wo Daten verarbeitet werden, und Übermittlungen

Unsere Datenbank und Anwendung laufen auf Infrastruktur in Deutschland. Die E-Mail-Zustellung nutzt einen französischen Anbieter. Zwei Anbieter betreffen die USA: Stripe (Abrechnung; Auftragsverarbeitungsvertrag und Datenübermittlungszusatz von Stripe, gestützt auf Standardvertragsklauseln und, wo Stripe zertifiziert ist, das EU–US Data Privacy Framework) und Sentry (Fehlerüberwachung an einem EU-Datenstandort, betrieben von einem US-Unternehmen; Standardvertragsklauseln). Das EU–US Data Privacy Framework ist in Kraft, aber eine Berufung dagegen ist beim EU-Gerichtshof anhängig, daher stützen wir uns zusätzlich auf Standardvertragsklauseln. Eine weitere Übermittlung außerhalb der EU/des EWR findet nicht statt. Die Tabelle in Abschnitt 4 wird aus demselben Register erzeugt wie die öffentliche Seite zu den Unterauftragsverarbeitern.

6. Wie lange wir sie aufbewahren

Wenn Sie kündigen, haben Sie einen Abrufzeitraum von mindestens 30 Tagen mit vollständigem Export. Eine nie bezahlte Testphase wird an Tag 51 nach Eröffnung des Kontos gelöscht (30 Tage nach Ende der Testphase), ein wegen Zahlungsverzugs pausiertes Konto nach 60 Tagen ab der Pause; der Export ist die ganze Zeit offen, und wir schreiben Ihnen vor der Löschung. Nach dem Abrufzeitraum löschen wir alles außer den Zeilen dieser Tabelle und bestätigen die Löschung per E-Mail. Die Löschung läuft Tabelle für Tabelle, und ein Prüfschritt bestätigt, dass nichts anderes übrig bleibt.

7. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Erhalt in einem übertragbaren Format und auf Widerspruch gegen Verarbeitung, die auf berechtigten Interessen beruht. Wo die Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit widerrufen, ohne dass das früher Geschehene berührt wird.

Sie können Ihre Daten exportieren („Daten exportieren“ in den Einstellungen) und die Löschung beantragen, indem Sie Ihr Konto in der Anwendung schließen („Konto schließen“ unter Einstellungen → Abrechnung) oder an privacy@klirry.com schreiben. Für Nutzer, die über Meta kamen, stehen die Löschanleitungen unter klirry.com/legal/data-deletion.

Wir antworten binnen eines Monats nach Eingang eines Antrags. Ist ein Antrag komplex oder gibt es mehrere, können wir um weitere zwei Monate verlängern und teilen Ihnen das binnen des ersten Monats mit.

Betrifft Ihr Antrag Bestelldatensätze, ist der Händler, aus dessen Shop die Bestellung stammt, Verantwortlicher — wir handeln nur als dessen Auftragsverarbeiter und können Endverbrauchern nicht direkt antworten. Richten Sie den Antrag an ihn; wir unterstützen ihn. Wir haben Ihren Namen, Ihre E-Mail-Adresse, Postanschrift oder Telefonnummer gar nicht erst.

Sie können sich bei der IMY oder bei der Aufsichtsbehörde an Ihrem Wohn- oder Arbeitsort beschweren.

8. Cookies und lokaler Speicher

Die folgende Tabelle ist die vollständige Übersicht.

Wir laden kein Werbe-Cookie, keinen Social-Media-Pixel und keinen Tracker von Dritten. Unbedingt erforderlicher Speicher braucht keine Einwilligung; alles andere wartet auf Ihre Wahl, und „Ablehnen“ ist so einfach wie „Zustimmen“.

9. Automatisierte Entscheidungsfindung

Klirry berechnet den Gewinn und klassifiziert die Leistung von Anzeigen, Produkten, Ländern, Zahlungsarten und Versand und legt Empfehlungen vor. Das sind Entscheidungen über den Geschäftsbetrieb, nicht über Personen, und sie haben keine rechtliche oder ähnlich erhebliche Wirkung auf einzelne Personen. Eine ausschließlich automatisierte Entscheidungsfindung im Sinne des Artikels 22 findet nicht statt.

10. Änderungen dieser Erklärung

Wir veröffentlichen jede Änderung hier und aktualisieren das Datum unten. Eine wesentliche Änderung wird Kontoinhabern mindestens 30 Tage, bevor sie wirksam wird, per E-Mail mitgeteilt.

Änderungsprotokoll

Jeder Eintrag nennt Version, Datum und was sich geändert hat. Eine Änderung der Hauptversionsnummer ist eine wesentliche Änderung: Sie wird den Kunden mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail angekündigt.