Datenschutzrichtlinie
& Auftragsverarbeitungsvertrag

Diese Datenschutzerklärung erläutert, wie Sunday personenbezogene Daten im Zusammenhang mit seiner Plattform für gebrandete Merchandise-Artikel, Kundenbeziehungen, Bestellungen, Lagerhaltung, Fulfillment und Versanddienstleistungen verarbeitet. Sie erläutert, welche Informationen wir verarbeiten, warum wir sie verwenden, wer sie erhält und wie Sie Ihre Datenschutzrechte ausüben können.

1 Wer wir sind und wie Sie uns kontaktieren können

Sunday ist der Handelsname der Sunday BV, eingetragen in Belgien unter der Unternehmensnummer 0539.854.587, mit eingetragenem Sitz in Kwadestraat 155,6.1, 8800 Roeselare, Belgien. In dieser Erklärung bezeichnen „Sunday“, „wir“ und „uns“ die Sunday BV.

Bei Fragen zu personenbezogenen Daten, zu dieser Erklärung oder zu Ihren Rechten senden Sie eine E-Mail an [email protected] oder schreiben Sie an die Sunday BV unter der oben genannten Anschrift, zu Händen des Datenschutzteams.

2 Geltungsbereich und unsere Rolle

Diese Erklärung betrifft personenbezogene Daten von Kundenvertretern, Nutzern von Plattformkonten und Personen, die Merchandise-Artikel erhalten, einschließlich Mitarbeitern und Kunden von Organisationen, die Sunday nutzen. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Die Verarbeitung umfasst das Erheben, Speichern, Verwenden, Weitergeben und Löschen dieser Informationen.

Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen und auf dessen dokumentierte Weisung. Die Rolle von Sunday hängt von der jeweiligen Tätigkeit ab.

3 Personenbezogene Daten, die wir verarbeiten

Abhängig von Ihrer Beziehung zu Sunday und den genutzten Dienstleistungen verarbeiten wir die folgenden Kategorien personenbezogener Daten:

• Identität und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer und Lieferadresse.
• Merchandise-Informationen: Kleidergrößen und Produktpräferenzen, die für die ausgewählten oder bestellten Merchandise-Artikel erforderlich sind.
• Bestell- und Lieferinformationen: Bestellhistorie, Sendungen und Sendungsverfolgungsinformationen.
• Geschäfts- und Kontoinformationen: Unternehmen, Berufsbezeichnung und Kontoinformationen, die mit der Kundenbeziehung oder dem Plattformzugang verbunden sind.
• Technische und Nutzungsinformationen: IP-Adressen, Gerätedaten und Informationen über die Nutzung der Plattform.
• Kommunikationspräferenzen und Interaktion: Marketingpräferenzen und Informationen zur E-Mail-Interaktion. Unsere E-Mail-Kommunikation umfasst transaktionsbezogene und plattformbezogene E-Mails, wie in Abschnitt 6 erläutert.

Wir verwenden die für die jeweilige Aufgabe relevanten Informationen. Beispielsweise erfordert der Versand einen Liefernamen und eine Lieferadresse, während die Auswahl von Kleidung eine Größe erfordern kann. Die Kleidergröße eines Empfängers stellt für sich genommen keine Abfrage von Gesundheitsinformationen dar.

4 Wie wir personenbezogene Daten erhalten

Wir erhalten personenbezogene Daten direkt von Ihnen, wenn Sie über die Plattform Angaben machen, Kontoinformationen bereitstellen, eine Bestellung aufgeben oder mit uns über die Dienstleistungen kommunizieren.

Wir erhalten personenbezogene Daten auch von der Organisation, die Merchandise-Artikel organisiert oder Sunday in Ihrem Auftrag nutzt. Dies kann Kontaktdaten, Lieferinformationen und Kleidergrößen umfassen. Versand- und Fulfillment-Partner stellen Informationen über Sendungen und deren Verlauf bereit, einschließlich Sendungsverfolgung und Lieferergebnissen.

Technische Daten und Daten zur Plattformnutzung werden erzeugt, wenn Sie auf die Plattform zugreifen oder sie nutzen. Cookies und Tracking-Technologien können ebenfalls Informationen im Zusammenhang mit der Plattformnutzung und der E-Mail-Interaktion erheben. Abschnitt 7 erläutert die relevanten Datenschutzaspekte.

Soweit die Organisation, die Ihre Merchandise-Artikel organisiert, Ihre Informationen bereitstellt, erfragen Sie bei ihr Einzelheiten zur Quelle und Rechtsgrundlage dieser Offenlegung, falls diese nicht aus ihrer Datenschutzerklärung hervorgehen.

5 Warum wir personenbezogene Daten verwenden und unsere Rechtsgrundlagen

Die folgenden Ausführungen unterscheiden zwischen der eigenen Verarbeitung von Sunday als Verantwortlicher und der Verarbeitung, die es im Auftrag einer Kundenorganisation durchführt. Ein Vertrag mit Ihrem Arbeitgeber oder einer anderen Organisation bedeutet nicht automatisch, dass Sie persönlich einen Vertrag mit Sunday haben.

6 E-Mails und Kommunikationsoptionen

Sunday versendet transaktionsbezogene und plattformbezogene E-Mails im Zusammenhang mit den Dienstleistungen. Dazu gehören Mitteilungen über Bestellungen und Sendungen sowie über den Betrieb der Plattform. Die Bereitstellung von Kontaktdaten für diese Zwecke stellt für sich genommen keine Einwilligung in werbliches Marketing dar.

Wir verarbeiten Kommunikationspräferenzen und Informationen zur E-Mail-Interaktion im Zusammenhang mit unserer Kommunikation. Jede für das Tracking erforderliche Einwilligung muss gesondert von der Zustellung einer notwendigen Service-E-Mail eingeholt werden.

Sie können sich bezüglich Kommunikationspräferenzen oder der Verarbeitung von E-Mail-Interaktionen an [email protected] wenden. Einige Servicenachrichten sind erforderlich, um ein Konto zu verwalten oder eine Sendung abzuschließen. Ein Widerspruch gegen optionale Verarbeitung hebt unsere Verpflichtung nicht auf, gesetzlich vorgeschriebene Informationen zu versenden.

7 Cookies und Tracking-Technologien

Sunday verwendet Cookies und Tracking-Technologien im Zusammenhang mit seinen Dienstleistungen. Diese Technologien können IP-Adressen, Gerätedaten, Informationen zur Plattformnutzung und Informationen zur E-Mail-Interaktion betreffen.

Die Regeln für das Speichern von oder den Zugriff auf Informationen auf Ihrem Gerät gelten gesondert von der DSGVO-Rechtsgrundlage für die Verwendung personenbezogener Daten. Technologien, die zur Erbringung eines von Ihnen angeforderten Dienstes unbedingt erforderlich sind, können von den Einwilligungserfordernissen befreit sein; andere Technologien erfordern eine Einwilligung, soweit das geltende Recht dies vorsieht.

Soweit eine Einwilligung erforderlich ist, müssen Sie diese verweigern oder widerrufen können. Sie können Cookies auch über Ihren Browser steuern, wobei das Blockieren von für eine Funktion erforderlichen Cookies deren Funktionsweise beeinträchtigen kann. Browsereinstellungen können nicht jede Form des E-Mail-Trackings steuern. Bei Fragen oder zum Widerruf einer gegenüber Sunday erteilten Einwilligung wenden Sie sich an [email protected].

8 Wer personenbezogene Daten erhält

Wir geben personenbezogene Daten weiter, soweit dies zur Erbringung der jeweiligen Dienstleistung erforderlich ist, und folgen dabei den Weisungen des Verantwortlichen, soweit Sunday als Auftragsverarbeiter handelt. Die für die Dienstleistungen in Anspruch genommenen Empfängerkategorien sind:

• Versandunternehmen, einschließlich DHL und UPS, für Versand, Transport, Sendungsverfolgung und Zustellung. Relevante Informationen umfassen Empfängername, Adresse und Kontaktdaten sowie Sendungsinformationen.
• Lager- und Fulfillment-Partner, für die Lagerung von Merchandise-Artikeln, die Auswahl von Artikeln, die Vorbereitung von Paketen und die Ausführung von Bestellungen. Relevante Informationen umfassen Empfänger- und Bestellinformationen sowie Kleidergrößen, soweit sie für die Artikelauswahl erforderlich sind.
• Cloud-Hosting- und Infrastrukturanbieter, für das Hosting und die Unterstützung der Systeme, über die die Dienstleistungen und personenbezogenen Daten verwaltet werden.

Der Zugriff innerhalb von Sunday ist auf Personal beschränkt, das die Informationen für seine Aufgaben benötigt und das Verschwiegenheitspflichten unterliegt. Die jeweilige Rolle eines externen Empfängers hängt davon ab, was er mit den Daten tut; ein Empfänger kann als Auftragsverarbeiter handeln oder eigene Verantwortlichkeiten als Verantwortlicher haben.

Für Kundendaten, die vom Auftragsverarbeitungsvertrag erfasst sind, richtet sich die Inanspruchnahme von Unterauftragsverarbeitern durch Sunday nach den Bestimmungen dieses Vertrags über Genehmigung, vertraglichen Schutz und die geltenden Pflichten zur Benachrichtigung über Änderungen. Diese Erklärung erteilt keine zusätzliche Genehmigung zur Bestellung von Unterauftragsverarbeitern.

Soweit ein Gesetz die Offenlegung verlangt, verarbeiten und legen wir die relevanten Informationen entsprechend diesem Gesetz offen. Eine gesetzlich vorgeschriebene Offenlegung ist von der routinemäßigen Weitergabe im Rahmen der Dienstleistung zu unterscheiden.

9 Verarbeitungsorte und internationale Lieferungen

Die Plattformverarbeitung von Sunday erfolgt im Europäischen Wirtschaftsraum (EWR), der aus den EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen besteht. Der Auftragsverarbeitungsvertrag legt physische Server innerhalb der EU fest.

Sunday organisiert auch internationale Sendungen. Eine Lieferung außerhalb des EWR kann es erforderlich machen, dass Empfänger- und Sendungsinformationen für Transport und Zustellung außerhalb des EWR verfügbar gemacht werden. Das Hosting im EWR bedeutet für sich genommen nicht, dass jede mit einer internationalen Sendung verbundene Offenlegung im EWR verbleibt.

Jede Übermittlung, die den Regeln der DSGVO für internationale Übermittlungen unterliegt, muss diese Regeln erfüllen. Der Auftragsverarbeitungsvertrag verlangt einen angemessenen Schutz für Übermittlungen aus dem EWR in Nicht-EWR-Staaten und sieht, sofern nicht anders vereinbart, von der EU genehmigte Standardvertragsklauseln vor. Dies ist eine vertragliche Anforderung; der für eine bestimmte Sendung geltende Mechanismus hängt vom Bestimmungsort, vom Empfänger und von den Vereinbarungen für diese Übermittlung ab.

Wenden Sie sich an [email protected], um Informationen über die für Ihre Daten relevanten Bestimmungsorte und Empfänger, den für eine bestimmte Übermittlung geltenden Übermittlungsmechanismus sowie darüber zu erhalten, wie Sie eine Kopie etwaiger relevanter Garantien erhalten können.

10 Wie lange wir personenbezogene Daten aufbewahren

Die Aufbewahrungsdauer für personenbezogene Daten, die zur Erbringung von Kundendienstleistungen verwendet werden, entspricht der Laufzeit des Kundenvertrags. Für personenbezogene Daten, die im Auftrag einer Kundenorganisation gemäß dem Auftragsverarbeitungsvertrag verarbeitet werden, muss Sunday die Daten löschen und die Löschung aller Kopien unverzüglich, in jedem Fall jedoch innerhalb von 10 Werktagen nach Beendigung der Dienstleistungen, die diese Verarbeitung umfassen, veranlassen. Der Vertrag sieht auch einen Nachweis der Löschung auf Anfrage vor.

Gesetzliche Aufbewahrungspflichten können Sunday dazu verpflichten, bestimmte Unterlagen nach Beendigung des Kundenvertrags aufzubewahren. Eine solche Aufbewahrung beschränkt sich auf die Unterlagen, die das geltende Recht vorschreibt, und auf den von diesem Recht vorgegebenen Zeitraum. Dies begründet kein allgemeines Recht, alle Plattform- oder Empfängerdaten nach Beendigung aufzubewahren.

Sie können sich an [email protected] wenden, um Informationen über die für Ihre Daten geltende Aufbewahrungspflicht zu erhalten. Soweit Sunday als Auftragsverarbeiter handelt, kann die Kundenorganisation auch ihre eigenen Aufbewahrungsvereinbarungen und Weisungen erläutern.

11 Wie wir personenbezogene Daten schützen

Wir treffen technische und organisatorische Maßnahmen, die der Art der Verarbeitung und den Risiken für die betroffenen Personen angemessen sind. Der Auftragsverarbeitungsvertrag beschreibt Verschwiegenheitspflichten, Sensibilisierungsschulungen für Mitarbeiter, einen nach Rolle und Bedarf beschränkten Zugang, Passwortzugang, die Überwachung von Anmeldungen sowie Richtlinien zu Backups, Löschung, Arbeitsplatzsicherheit und Änderungen an Systemen.

Der Vertrag verpflichtet Sunday zudem, die Risiken zu bewerten, die sich aus der unbeabsichtigten oder unrechtmäßigen Vernichtung, dem Verlust, der Veränderung, der unbefugten Offenlegung von oder dem unbefugten Zugang zu personenbezogenen Daten ergeben. Sicherheitsmaßnahmen verringern das Risiko, können aber nicht garantieren, dass ein Vorfall niemals eintritt.

Betrifft eine Verletzung des Schutzes personenbezogener Daten Daten, die wir im Auftrag einer Kundenorganisation verarbeiten, benachrichtigen wir diese Organisation unverzüglich und unterstützen sie bei der Untersuchung und Reaktion gemäß dem Auftragsverarbeitungsvertrag. Soweit Sunday als Verantwortlicher handelt, benachrichtigen wir die zuständige Aufsichtsbehörde und die betroffenen Personen, wenn das geltende Recht dies verlangt.

12 Automatisierte Entscheidungen und Profiling

Sunday trifft keine Entscheidungen über Personen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Routinemäßige automatisierte Vorgänge, wie die Übermittlung von Sendungsinformationen, stellen für sich genommen keine solchen Entscheidungen dar.

13 Ihre Datenschutzrechte

Vorbehaltlich der Bedingungen und Ausnahmen der DSGVO haben Sie die folgenden Rechte:

• Auskunft: zu erfragen, ob Ihre personenbezogenen Daten verarbeitet werden, sowie eine Kopie und Informationen über diese Verarbeitung zu erhalten.
• Berichtigung: unrichtige Informationen berichtigen und unvollständige Informationen vervollständigen zu lassen.
• Löschung: die Löschung zu verlangen, wenn die gesetzlichen Voraussetzungen erfüllt sind, beispielsweise wenn die Daten für ihren Zweck nicht mehr benötigt werden. Eine gesetzliche Pflicht zur Aufbewahrung bestimmter Daten kann dieses Recht einschränken.
• Einschränkung: unter den in der DSGVO genannten Umständen Beschränkungen der Verwendung Ihrer Daten zu verlangen, auch während die Richtigkeit überprüft wird.
• Datenübertragbarkeit: die von Ihnen bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, soweit die Verarbeitung automatisiert erfolgt und auf einer Einwilligung oder einem Vertrag mit Ihnen beruht. Soweit technisch machbar, können Sie die direkte Übermittlung an einen anderen Verantwortlichen verlangen.
• Widerspruch: aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einzulegen, soweit die Verarbeitung auf berechtigten Interessen beruht. Der Verantwortliche muss die Verarbeitung einstellen, es sei denn, er weist zwingende berechtigte Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung ist zur Geltendmachung von Rechtsansprüchen erforderlich. Sie können jederzeit Widerspruch gegen Direktwerbung einlegen, einschließlich des damit verbundenen Profilings, und diese Verarbeitung ist dann einzustellen.
• Widerruf der Einwilligung: eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Schutz bei automatisierten Entscheidungen: die in der DSGVO vorgesehenen Garantien hinsichtlich ausschließlich automatisierter Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung in Anspruch zu nehmen. Die derzeitige Haltung von Sunday ist in Abschnitt 12 beschrieben.

14 Beschwerden

Sie können eine Beschwerde bei einer Aufsichtsbehörde einreichen, insbesondere in dem EWR-Land, in dem Sie Ihren gewöhnlichen Aufenthalt oder Arbeitsplatz haben oder in dem Sie einen Verstoß vermuten. Sie können nach geltendem Recht auch einen gerichtlichen Rechtsbehelf einlegen.

Sunday ist in Belgien niedergelassen. Informationen über die belgische Datenschutzbehörde und ihr Beschwerdeverfahren sind unter https://www.dataprotectionauthority.be/citizen verfügbar. Sie können sich zunächst an das Datenschutzteam von Sunday wenden, wenn Sie dies wünschen; dies ist jedoch keine Voraussetzung für Ihr Recht, sich bei einer Behörde zu beschweren.

15 Bereitstellung von Daten und Informationen über Kinder

Wenn Sie oder die Organisation, die Merchandise-Artikel organisiert, die für ein Konto, die Artikelauswahl oder die Lieferung erforderlichen Informationen nicht bereitstellen, können wir die betreffende Funktion möglicherweise nicht bereitstellen oder die Sendung nicht ausführen. Beispielsweise können wir ein Paket ohne eine angemessene Lieferadresse nicht zustellen oder die angeforderte Kleidergröße ohne Größenangabe nicht auswählen.

Der Auftragsverarbeitungsvertrag nennt Kinder als mögliche Empfänger von Merchandise-Artikeln für die Verarbeitung von Kleidergrößen. Soweit eine Organisation solche Informationen bereitstellt, verarbeitet Sunday sie auf Weisung dieser Organisation. Die Organisation ist dafür verantwortlich, eine Rechtsgrundlage sicherzustellen und den betroffenen Personen sowie gegebenenfalls ihren Eltern oder Erziehungsberechtigten angemessene Informationen bereitzustellen. Wenden Sie sich an unser Datenschutzteam, wenn Sie ein Anliegen bezüglich der Daten eines Kindes haben.

16 Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, um Änderungen unserer Dienstleistungen, unserer Verarbeitung oder unserer gesetzlichen Pflichten widerzuspiegeln. Die aktuelle Fassung wird mit den Dienstleistungen zur Verfügung gestellt. Soweit das Gesetz zusätzliche Informationen oder eine Benachrichtigung über eine Änderung verlangt, stellen wir diese bereit. Soweit für eine neue Aktivität eine Einwilligung erforderlich ist, ersetzt die Veröffentlichung einer überarbeiteten Erklärung oder die fortgesetzte Nutzung der Dienstleistungen diese Einwilligung nicht.