Datenschutzerklärung

Letzte Aktualisierung: 16. Juli 2026

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Clever Circle UG (haftungsbeschränkt)
Dunckerstraße 5 10437 Berlin, Deutschland

Geschäftsführer: Bennet Görlitz, Sascha Müller
Amtsgericht Charlottenburg, HRB 263576 B
E-Mail: datenschutz@toysreloved.de
Telefon: +49 151 10509174

Kontakt für Datenschutz: Sascha Müller, datenschutz@toysreloved.de

2. Überblick: Datenkategorien, Quellen und Zwecke

2.1 Kategorien personenbezogener Daten

Je nachdem, wie Sie mit uns interagieren, verarbeiten wir insbesondere:

  • Kontaktdaten: Name, Rechnungs- und Lieferadresse, E-Mail, Telefonnummer
  • Vertrags- und Transaktionsdaten: bestellte/verkaufte Artikel, Bestell- und Verkaufshistorie, Warenkorb-, Wunschlisten- und Retourendaten, Zahlungsstatus
  • Zahlungsdaten: Zahlungsart und -bestätigung; bei Verkäufer-Auszahlungen Bankverbindung (IBAN)
  • Kontodaten: Zugangsdaten, Einstellungen, ggf. Treuepunkte, Bewertungen, Geschenkkarten
  • Kommunikationsdaten: Inhalt Ihrer Anfragen und unserer Korrespondenz
  • Nutzungs- und Gerätedaten: IP-Adresse, Browser-/Geräteinformationen, Interaktionen mit der Website
  • Sowie aus diesen Daten gezogene Rückschlüsse, soweit gesetzlich zulässig

2.2 Quellen der Daten

Wir erheben Daten (a) direkt von Ihnen, (b) automatisch bei Nutzung der Website (u. a. über Cookies), (c) von unseren Dienstleistern, die in unserem Auftrag verarbeiten, und (d) ggf. von Partnern und anderen Dritten.

2.3 Pflicht zur Bereitstellung

Die Bereitstellung bestimmter Daten (z. B. Kontakt-, Liefer- und Zahlungsdaten) ist für den Abschluss und die Abwicklung eines Vertrags erforderlich. Ohne diese Daten können wir eine Bestellung, einen Ankauf oder eine Auszahlung nicht durchführen. Alle übrigen Angaben sind freiwillig.

3. Datenverarbeitung beim Besuch der Website

3.1 Hosting / Server-Logfiles

Unsere Website wird auf der E-Commerce-Plattform der Shopify International Limited, Victoria Buildings, 2nd Floor, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland, betrieben. Bei jedem Aufruf werden automatisch IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp/-version, Betriebssystem und Referrer-URL erfasst. Dies ist technisch erforderlich, um die Website auszuliefern und ihre Sicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen Web-Angebot (Art. 6 Abs. 1 lit. f DSGVO). Server-Logfiles werden nach spätestens 30 Tagen gelöscht, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden. Mit Shopify besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Für ergänzende Anwendungen (z. B. unsere Ankauf-/Verkäuferstrecke) setzen wir die Plattform Bubble der Bubble Group, Inc., 16 Vestry Street, New York, NY 10013, USA, als Auftragsverarbeiter ein. Dabei können Besucher- und Kundendaten (z. B. Kontakt-, Bestand- und Angebotsdaten) verarbeitet werden. Rechtsgrundlage: Vertragserfüllung bzw. unser berechtigtes Interesse an einer effizienten Abwicklung der Ankaufprozesse (Art. 6 Abs. 1 lit. b/f DSGVO); zur US-Übermittlung siehe Abschnitt 13.

3.2 Cookies und Einwilligungsverwaltung

Wir verwenden Cookies und vergleichbare Technologien (Pixel, lokale Speicher, SDKs) in drei Kategorien:

  • Notwendige Cookies — für den Betrieb des Shops erforderlich (z. B. Warenkorb, Login, Speicherung des Consent-Status). Rechtsgrundlage: § 25 Abs. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO. Keine Einwilligung erforderlich.
  • Analyse-Cookies — z. B. Google Analytics 4, Microsoft Clarity, Hotjar. Nur mit Ihrer Einwilligung aktiv.
  • Marketing-Cookies — z. B. Google Ads, Meta. Nur mit Ihrer Einwilligung aktiv.

Analyse- und Marketing-Dienste werden erst gesetzt bzw. geladen, nachdem Sie über unser Cookie-Banner aktiv eingewilligt haben (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung verwalten wir über das Consent-Banner von Shopify. Sie können Ihre Auswahl jederzeit über „Einstellungen verwalten" im Cookie-Banner mit Wirkung für die Zukunft ändern oder widerrufen. Details zu Shopify-Cookies: https://www.shopify.com/legal/cookies

3.3 Beziehung zu Shopify / erweiterte Funktionen

Die Services werden von Shopify gehostet; Shopify verarbeitet dabei Daten über Ihren Zugriff, um uns die Bereitstellung und Verbesserung des Shops zu ermöglichen (Auftragsverarbeitung, Art. 28 DSGVO).

Darüber hinaus nutzen wir bestimmte erweiterte Shopify-Funktionen (z. B. shopübergreifende Analyse- und Werbefunktionen wie Shopify Audiences), die Daten aus Ihren Interaktionen mit unserem Shop, mit anderen Händlern und mit Shopify einbeziehen. Für diese Funktionen ist Shopify eigenständig Verantwortlicher und verarbeitet Ihre Daten nach der Shopify-Datenschutzrichtlinie für Verbraucher (https://www.shopify.com/legal/privacy/app-users). Rechte in Bezug auf diese Verarbeitung können Sie über das Shopify-Datenschutzportal ausüben: https://privacy.shopify.com/en. Soweit für diese Funktionen eine Einwilligung erforderlich ist, erfolgt die Verarbeitung nur nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), andernfalls auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

4. Datenverarbeitung im Rahmen unserer Dienste

4.1 Bestellung und Vertragsabwicklung

Zur Abwicklung Ihrer Bestellung verarbeiten wir Name, Rechnungs- und Lieferadresse, E-Mail, Telefonnummer, bestellte Artikel und Zahlungsstatus. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie steuer-/handelsrechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

4.2 Kundenkonto

Bei Anlage eines Kontos verarbeiten wir die dort hinterlegten Daten (Zugangsdaten, Bestellhistorie, Adressen, ggf. Treuepunkte, Bewertungen, Geschenkkarten). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihr Konto jederzeit löschen lassen.

4.3 Zahlungsabwicklung

Je nach gewählter Zahlart übermitteln wir Zahlungsdaten an den jeweiligen Anbieter:

  • Shopify Payments / Stripe — Stripe Payments Europe, Ltd., 25/28 North Wall Quay, Dublin 1, Irland
  • PayPal — PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg
  • Apple Pay — Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland
  • Google Pay — Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Anbieter verarbeiten Zahlungsdaten als eigenständig Verantwortliche nach ihren eigenen Datenschutzbestimmungen.

4.4 Versand (DHL)

Zur Lieferung geben wir Name und Lieferadresse an die DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, weiter (Art. 6 Abs. 1 lit. b DSGVO). Sofern Sie eingewilligt haben, übermitteln wir zusätzlich E-Mail und/oder Telefonnummer für Versandbenachrichtigungen und Sendungsverfolgung (Art. 6 Abs. 1 lit. a DSGVO).

4.5 Kundenkommunikation und Support (Superchat)

Für Kundenkommunikation und Support nutzen wir Superchat der Superchat GmbH, Charlottenstraße 4, 10969 Berlin, Deutschland, zur Bündelung von Nachrichten über verschiedene Kanäle (z. B. E-Mail, Chat, WhatsApp). Verarbeitet werden Ihre Kontaktdaten und der Inhalt Ihrer Anfrage. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. berechtigtes Interesse an effizienter Kommunikation (Art. 6 Abs. 1 lit. f DSGVO).

Sofern Sie uns über WhatsApp kontaktieren, werden dabei Daten an die Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland, übermittelt (mit möglichem US-Transfer). Rechtsgrundlage ist Ihre Einwilligung durch die Kontaktaufnahme über diesen Kanal (Art. 6 Abs. 1 lit. a DSGVO).

4.6 Prozessautomatisierung (n8n)

Zur Orchestrierung interner Abläufe (z. B. Bestell- und Versandprozesse) setzen wir die Automatisierungsplattform n8nder n8n GmbH, Borsigstraße 27, 10115 Berlin, Deutschland, als Auftragsverarbeiter ein. Dabei können bestell- und kundenbezogene Daten verarbeitet werden. Die Verarbeitung erfolgt auf Servern innerhalb der EU. Rechtsgrundlage: Vertragserfüllung bzw. unser berechtigtes Interesse an effizienten, fehlerarmen internen Prozessen (Art. 6 Abs. 1 lit. b/f DSGVO).

5. Ankauf und Verkäufer-Auszahlung

Wenn Sie uns gebrauchte Artikel zum Ankauf anbieten, verarbeiten wir die zur Prüfung, Abwicklung und Vergütung erforderlichen Daten: Name, Anschrift, E-Mail und/oder Telefonnummer, Angaben zu den angebotenen Artikeln sowie – zur Auszahlung des Ankaufpreises – Ihre Bankverbindung (IBAN, ggf. Kontoinhaber).

Rechtsgrundlage ist die Anbahnung und Erfüllung des Ankaufvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Die Auszahlung erfolgt per SEPA-Überweisung über unsere Hausbank. Zahlungs- und Belegdaten unterliegen den gesetzlichen Aufbewahrungsfristen (siehe Abschnitt 14).

6. Newsletter und E-Mail-/SMS-Marketing (Klaviyo)

Für Newsletter und Marketing-Nachrichten nutzen wir Klaviyo der Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA. Verarbeitet werden E-Mail-Adresse, ggf. Name und Telefonnummer sowie Öffnungs-, Klick- und Kaufverhalten zur Segmentierung und Erfolgsmessung. Zur Reichweiten- und Erfolgsmessung nutzt Klaviyo u. a. Zählpixel in E-Mails.

  • Double-Opt-in: Nach Eintragung erhalten Sie eine Bestätigungs-E-Mail; erst nach Klick auf den Bestätigungslink werden Sie in den Verteiler aufgenommen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
  • Bestandskunden: Werbung für eigene, ähnliche Produkte nach § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.
  • SMS-Marketing (soweit angeboten): nur auf Grundlage Ihrer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
  • Optionale Angabe Geburtsdatum/Alter des Kindes: siehe Abschnitt 12 (Daten von Kindern).
  • Widerruf: jederzeit über den Abmelde-/Stopp-Link in jeder Nachricht oder per Nachricht an uns.

Mit Klaviyo besteht ein Auftragsverarbeitungsvertrag; zur US-Übermittlung siehe Abschnitt 13.

7. Webanalyse

7.1 Google Analytics 4

Sofern Sie eingewilligt haben, nutzen wir Google Analytics 4 der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, zur Reichweitenanalyse. Dabei werden pseudonyme Nutzungsdaten (gekürzte IP, Geräte-/Browserdaten, Interaktionen) verarbeitet. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Mehr: https://policies.google.com/privacy

7.2 Microsoft Clarity

Sofern Sie eingewilligt haben, nutzen wir Microsoft Clarity der Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Konzern: Microsoft Corporation, USA). Clarity erfasst pseudonym Maus-, Klick- und Scrollverhalten sowie Geräte-/Browserdaten und erstellt daraus Heatmaps und Sitzungsaufzeichnungen; Eingaben in Formularfelder werden dabei automatisch maskiert. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Mehr: https://privacy.microsoft.com/privacystatement

7.3 Hotjar

Sofern Sie eingewilligt haben, nutzen wir Hotjar der Hotjar Ltd., Dragonara Business Centre, 5th Floor, Dragonara Road, Paceville, St. Julian's STJ 3141, Malta. Hotjar erstellt pseudonym Heatmaps und Sitzungsaufzeichnungen und ermöglicht Feedback-Umfragen, um die Nutzerfreundlichkeit zu verbessern. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Mehr: https://www.hotjar.com/legal/policies/privacy

8. Werbung

8.1 Google Ads – Conversion-Tracking und Remarketing

Sofern Sie eingewilligt haben, nutzen wir Dienste der Google Ireland Ltd., Dublin, zur Messung der Anzeigenwirksamkeit und für interessenbezogene Werbung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

8.2 Google Ads – Kundenabgleich (Customer Match)

Wir nutzen „Kundenabgleich" von Google Ads. Dazu übermitteln wir gehashte Kundendaten (insbesondere E-Mail-Adressen) an Google, um passende Anzeigen auszuspielen bzw. bestehende Kunden ein-/auszuschließen. Die Übermittlung erfolgt nur, soweit gesetzlich zulässig, auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) im Einklang mit der EU-Nutzereinwilligungsrichtlinie von Google. Widerruf jederzeit mit Wirkung für die Zukunft möglich.

8.3 Meta-Pixel

Sofern Sie eingewilligt haben, nutzen wir den Meta-Pixel der Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland, um die Wirksamkeit unserer Werbung auf Facebook/Instagram zu messen und Ihnen interessenbezogene Anzeigen auszuspielen. Verarbeitet werden u. a. Geräte-/Nutzungsdaten und Interaktionen. Für die gemeinsame Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche (Art. 26 DSGVO); die wesentlichen Inhalte der Vereinbarung sind unter https://www.facebook.com/legal/controller_addendum abrufbar. Für die anschließende eigene Verarbeitung durch Meta ist Meta allein verantwortlich. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG); zur US-Übermittlung siehe Abschnitt 13. Mehr: https://www.facebook.com/privacy/policy

9. KI-gestützte Dienste

Im Rahmen automatisierter Geschäftsprozesse (z. B. Bearbeitung und Auswertung von Anfragen und Bestellvorgängen) setzen wir KI-Dienste der Anthropic PBC (548 Market Street, San Francisco, CA 94104, USA) und der OpenAI Ireland Ltd. (1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland) ein. Dabei können Bestell-, Kontakt- und Kommunikationsdaten verarbeitet werden. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse an effizienten Abläufen (Art. 6 Abs. 1 lit. b/f DSGVO). Mit den Anbietern bestehen Auftragsverarbeitungsverträge; die übermittelten Inhalte werden nicht zum Training der Modelle verwendet. Zur US-Übermittlung siehe Abschnitt 13.

Keine automatisierte Entscheidung im Einzelfall: Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung Ihnen gegenüber (Art. 22 DSGVO) findet nicht statt. Die KI-Dienste unterstützen unsere Mitarbeitenden; abschließende Entscheidungen (z. B. über Ankauf, Retouren oder Support-Anliegen) treffen Menschen.

10. Datenweitergabe – Übersicht der Empfängerkategorien

Wir geben personenbezogene Daten nur weiter, soweit dies zur Vertragserfüllung, aufgrund gesetzlicher Pflichten, auf Grundlage berechtigter Interessen oder mit Ihrer Einwilligung zulässig ist. Empfängerkategorien sind insbesondere: Hosting-/IT-Dienstleister, Zahlungsdienstleister, Versand-/Logistikpartner, Kommunikations- und Marketingdienstleister, Analyse- und Werbedienste, Steuerberatung/Behörden im Rahmen gesetzlicher Pflichten sowie – bei Unternehmenstransaktionen – potenzielle Erwerber. Die konkret eingesetzten Anbieter sind in den Abschnitten 3–10 benannt.

11. Daten von Kindern

Unsere Dienste richten sich an Erwachsene. Wir erfassen wissentlich keine personenbezogenen Daten von Kindern, die unsere Website direkt nutzen. Wenn Sie Elternteil oder Erziehungsberechtigte:r sind und Kenntnis davon erlangen, dass uns ein Kind Daten übermittelt hat, kontaktieren Sie uns bitte (Abschnitt 1); wir löschen die Daten dann.

Im Rahmen unseres Newsletters bieten wir Eltern bzw. Erziehungsberechtigten die Möglichkeit, freiwillig das Alter bzw. die Altersspanne ihres Kindes anzugeben, um altersgerechte Empfehlungen und Aktionen zu erhalten. Diese Angabe erfolgt durch den Elternteil/Erziehungsberechtigten, nicht durch das Kind, ist freiwillig und kann jederzeit auf Anfrage gelöscht werden. Zur Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) erheben wir hierfür grundsätzlich nur eine Altersangabe/Altersspanne, nicht das exakte Geburtsdatum. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

12. Übermittlung in Drittländer

Einige der eingesetzten Dienste (z. B. Klaviyo, Microsoft, Google, Meta, Stripe, Bubble, Anthropic) verarbeiten Daten auch in den USA. Eine Übermittlung erfolgt nur bei angemessenem Schutzniveau:

  • bei nach dem EU-US Data Privacy Framework zertifizierten Anbietern auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission;
  • andernfalls auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen.

Trotz dieser Maßnahmen kann in Drittländern kein mit der EU vollständig gleichwertiges Datenschutzniveau garantiert werden (z. B. hinsichtlich möglicher behördlicher Zugriffe). Eine Kopie der geeigneten Garantien (insbesondere der Standardvertragsklauseln) stellen wir Ihnen auf Anfrage an datenschutz@toysreloved.de zur Verfügung. EU-gehostete Dienste (n8n, Superchat) erfordern keinen Drittland-Mechanismus.

13. Speicherdauer

  • Rechnungen/Buchungsbelege: 8 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB); sonstige steuerlich relevante Unterlagen und Handelsbriefe: 6 Jahre. In steuerlichen Sonderfällen (z. B. laufende Außenprüfung) kann sich die Frist verlängern.
  • Kundenkonto: bis zur Löschung des Kontos
  • Ankauf-/Verkäuferdaten: bis zur vollständigen Abwicklung; belegrelevante Daten nach den o. g. gesetzlichen Fristen
  • Newsletter-/Marketingdaten inkl. Altersangabe des Kindes: bis zum Widerruf der Einwilligung
  • Server-Logfiles: spätestens 30 Tage
  • Daten auf Einwilligungsbasis: bis zum Widerruf

Nach Zweckwegfall und Fristablauf werden Daten gelöscht oder anonymisiert.

14. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) und Widerspruch (Art. 21).

Widerspruchsrecht (Art. 21): Sie können aus Gründen Ihrer besonderen Situation jederzeit Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f widersprechen. Gegen Direktwerbung können Sie jederzeit ohne Begründung widersprechen.

Zur Ausübung genügt eine Nachricht an die Kontaktdaten in Abschnitt 1. Sie können sich auch durch eine bevollmächtigte Person vertreten lassen; wir können hierfür einen Nachweis der Bevollmächtigung und zur Identitätsprüfung zusätzliche Informationen anfordern. Die Ausübung Ihrer Rechte ist für Sie kostenfrei und ohne Nachteile.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns:

Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Alt-Moabit 59–61, 10555 Berlin · https://www.datenschutz-berlin.de

16. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen; die Website nutzt SSL-/TLS-Verschlüsselung. Ein lückenloser Schutz der Datenübertragung im Internet ist nicht möglich. Bitte übermitteln Sie sensible Informationen nicht über unsichere Kanäle.

17. Aktualität und Änderungen

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechtslagen oder Verarbeitungstätigkeiten anzupassen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der „Letzten Aktualisierung" wird entsprechend angepasst.