Integritetspolicy

Med denna integritetspolicy informerar vi dig i enlighet med artiklarna 13 och 14 i dataskyddsförordningen (GDPR) om vem som är personuppgiftsansvarig för behandlingen av dina personuppgifter, vilka uppgifter vi behandlar för vilka ändamål och med vilken rättslig grund samt vilka rättigheter du har. Du kan när som helst ta del av denna policy på vår webbplats.


Personuppgiftsansvarig

Personuppgiftsansvarig enligt GDPR är:

MiG UG (haftungsbeschränkt)
företrädd av verkställande direktören Dr. Gunnar Frießner
Hitdorfer Str. 61b
51371 Leverkusen
Tyskland

Telefon: +49 (0) 214 - 890 97 225
E-post: info@tolisto.shop

Vid frågor om dataskydd och för att utöva dina rättigheter räcker det med ett formlöst meddelande till denna adress eller e-postadress.

Denna webbplats är en marknadsplats. Om du köper av en tillverkare eller återförsäljare behandlar denne de uppgifter som behövs för att genomföra ditt köp (t.ex. namn, leveransadress, beställningens innehåll) som självständig personuppgiftsansvarig. Vem som är din säljare ser du på produktsidan, i orderbekräftelsen och på fakturan; där hittar du också säljarens kontaktuppgifter.


Rättslig grund för behandlingen

Vi behandlar personuppgifter endast om någon av följande rättsliga grunder tillåter det:

Samtycke (art. 6.1 a GDPR) – till exempel för nyhetsbrevet. Du kan när som helst återkalla ett samtycke med verkan för framtiden; den behandling som skett dessförinnan förblir laglig.

Avtal och åtgärder innan avtal ingås (art. 6.1 b GDPR) – ditt kundkonto, dina beställningar, betalningshanteringen, överföringen av beställningsuppgifterna till respektive säljare samt meddelanden som rör din beställning.

Rättslig förpliktelse (art. 6.1 c GDPR) – särskilt de handels- och skatterättsliga bevarandeskyldigheterna (§ 257 HGB, § 147 AO) för fakturor och bokföringsverifikationer.

Berättigat intresse (art. 6.1 f GDPR) – en säker och stabil drift av webbplatsen (serverloggar), skydd mot missbruk och bedrägeri samt funktioner som närområdessökningen. Du kan invända mot behandling på denna grund (se ”Dina rättigheter”).

Lagring av information på din enhet (cookies, localStorage) är utan ditt samtycke begränsad till det som är tekniskt nödvändigt (§ 25 st. 2 TDDDG); statistik och Google Analytics körs endast med ditt samtycke (§ 25 st. 1 TDDDG). Närmare uppgifter finns i informationen om cookies.


Hosting

Webbplatsen och alla tillhörande tjänster – databaser, e-post, sökning, statistik – driver vi på servrar som vi hyr av Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Servrarna står i datacenter i Tyskland (Falkenstein och Nürnberg). Hetzner behandlar uppgifterna endast för vår räkning och enligt våra instruktioner (personuppgiftsbiträde enligt artikel 28 GDPR). Rättslig grund är art. 6.1 f GDPR; vårt berättigade intresse består i en säker och tillförlitlig drift.


Dataöverföring och loggning för systeminterna och statistiska ändamål

När du besöker vår webbplats överför din webbläsare av tekniska skäl automatiskt data till vår webbserver. Det rör sig bland annat om datum och klockslag för besöket, URL för den hänvisande webbplatsen, hämtad fil, mängd skickade data, webbläsartyp och -version, operativsystem samt din IP-adress. Dessa data lagras åtskilda från andra uppgifter som du anger när du använder våra tjänster. Vi har ingen möjlighet att koppla dessa data till en viss person. Vi använder dem för att säkerställa driften och för att upptäcka fel och angrepp (lagringstid, se nedan).


Stamuppgifter

Om ett avtalsförhållande mellan dig och oss ska ingås, utformas eller ändras samlar vi in och använder personuppgifter om dig i den mån det är nödvändigt för dessa ändamål.
På order av behöriga myndigheter får vi i enskilda fall lämna ut dessa uppgifter (stamuppgifter) i den mån det är nödvändigt för brottsbekämpning, för att avvärja faror, för att fullgöra de lagstadgade uppgifterna för författningsskyddsmyndigheterna eller den militära säkerhetstjänsten (Militärischer Abschirmdienst) eller för att hävda immateriella rättigheter.


Användning av webbplatsen och ditt kundkonto

För att du ska kunna använda webbplatsen behandlar vi de uppgifter som krävs för detta: dina inloggningsuppgifter (e-postadress och inloggningstoken), tidpunkten för din senaste inloggning och ditt senaste misslyckade inloggningsförsök (för att skydda ditt konto), innehållet i varukorgen och önskelistan, de senast visade artiklarna samt dina inställningar, till exempel språk. Rättslig grund är art. 6.1 b GDPR om du använder ett kundkonto eller beställer, annars art. 6.1 f GDPR; vårt berättigade intresse består i en fungerande webbplats.

Utan ditt samtycke skapar vi inga användarprofiler, varken för reklam eller för marknadsundersökningar. Ditt användningsbeteende analyseras endast om du har samtyckt till statistiken (se ”Statistik”).

Vi lämnar endast ut dessa uppgifter till myndigheter om vi i det enskilda fallet är skyldiga till det enligt lag, till exempel på order i samband med brottsbekämpning eller för att avvärja faror (art. 6.1 c GDPR).


Cookies

För att utöka funktionaliteten i vårt internetutbud och göra användningen bekvämare för dig använder vi så kallade ”cookies”. Med hjälp av dessa ”cookies” kan data lagras på din dator när du besöker vår webbplats. Du kan förhindra att cookies lagras på din dator genom motsvarande inställningar i din webbläsare. Detta kan dock begränsa funktionaliteten i vårt utbud.


Platssökning och avståndsuppgifter (OpenStreetMap)

För närområdessökningen (”Nära mig”) och avståndsuppgifterna till tillverkare fastställer vi koordinater. Orter i Tyskland slår vi först upp i en egen ortstabell. Om det inte lyckas – till exempel för orter utanför Tyskland eller vid sökning efter ett postnummer – gör vi en förfrågan hos tjänsten Nominatim från OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Förenade kungariket). Därvid överförs endast den angivna orten respektive postnumret och landet; om du använder sökningen med ditt kundkonto överförs ort respektive postnummer och land i din leveransadress – inte gata och namn. För leverantörernas platser överför vi deras företagsadress. Förfrågan görs av vår server; din IP-adress överförs därvid inte till OpenStreetMap. De fastställda koordinaterna mellanlagrar vi i upp till 180 dagar så att samma ort inte behöver efterfrågas på nytt. Rättslig grund är art. 6.1 f GDPR; vårt berättigade intresse består i en fungerande närområdessökning och korrekta avståndsuppgifter. Mer information: OpenStreetMap Foundations integritetspolicy.


Statistik (endast med ditt samtycke)

Om du i samtyckesdialogen har samtyckt till statistiken registrerar vi vilka sidor du besöker och vilka områden du klickar på, för att förbättra tjänsten. För detta lagrar vi en slumpmässig identifierare i din webbläsare. Vi registrerar varken din IP-adress eller din fullständiga webbläsaridentifiering, och aldrig vad du skriver in i formulär. Om du är inloggad kopplar vi dessa data till ditt kundkonto. Denna analys körs på våra egna servrar; ingen tredjepartsleverantör är inblandad. Om vi dessutom använder Google Analytics på denna webbplats gäller följande avsnitt för detta.

Rättslig grund är ditt samtycke (art. 6.1 a GDPR, § 25 st. 1 TDDDG). Det gäller i tolv månader. Du kan när som helst återkalla det i cookieinställningarna; då raderar vi de data som registrerats fram till dess. Utan samtycke förs ingen statistik.


Google Analytics (endast med ditt samtycke)

På några av våra webbplatser använder vi dessutom Google Analytics 4, en webbanalystjänst från Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (”Google”). Om så är fallet på denna webbplats ser du i samtyckesdialogen: Google Analytics nämns där om vi använder det här. Google Analytics laddas först efter att du har samtyckt till statistiken. Därefter sätter Google cookies (till exempel ”_ga” och ”_ga_…”, lagringstid upp till två år) och registrerar vilka sidor du besöker, hur länge du stannar, från vilken sida du kommer samt uppgifter om enhet, webbläsare och ungefärlig plats. Google Analytics 4 lagrar inga IP-adresser. Vi använder varken reklamfunktioner eller kopplingen till Googles annonstjänster.

Google kan även överföra uppgifterna till Google LLC i USA; Google är certifierat enligt EU-US Data Privacy Framework. Google behandlar uppgifterna för vår räkning (personuppgiftsbiträde enligt artikel 28 GDPR). Rättslig grund är ditt samtycke (art. 6.1 a GDPR, § 25 st. 1 TDDDG). Du kan när som helst återkalla det i cookieinställningarna; då körs Google Analytics inte längre, och Google Analytics-cookies i din webbläsare raderas. De uppgifter som lagras hos Google raderas efter 14 månader. Mer information: Googles integritetspolicy.


Betalningshantering (Stripe)

Om du betalar online hanterar vi betalningen via Stripe. Stripe får då de uppgifter som behövs för betalningen, till exempel namn, e-postadress, fakturaadress, belopp och ordernummer samt de betalningsuppgifter som du anger direkt hos Stripe. Vi ser inte dina fullständiga kort- eller kontouppgifter. Om du i betalningsprocessen väljer ett betalsätt som PayPal eller Klarna får även denna leverantör de uppgifter som behövs för betalningen; då gäller dessutom dess integritetspolicy.

Leverantör är Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe kan även överföra uppgifter till Stripe, Inc. i USA; Stripe stöder sig därvid på EU-US Data Privacy Framework och på EU-kommissionens standardavtalsklausuler. I den mån Stripe fullgör rättsliga skyldigheter (till exempel kontroller mot penningtvätt) eller förhindrar bedrägerier är Stripe självt personuppgiftsansvarigt för detta. Rättslig grund är art. 6.1 b GDPR, för bedrägeribekämpningen led f. Mer information: Stripes integritetspolicy.


AI-tjänster

Vissa funktioner använder språkmodeller från externa leverantörer. Personuppgifter överförs dit endast i följande fall, och endast i den omfattning som respektive uppgift kräver:

– Översättning av meddelanden: Om du skriver till en säljare eller till vår kundtjänst på ett annat språk kan meddelandets text överföras till Groq för översättning. Översättningen sparar vi tillsammans med meddelandet.
– E-post till säljare och till oss: Inkommande e-postmeddelanden låter vi sammanfatta i en mening och på begäran översätta. För detta överförs e-postmeddelandets text (högst de första 4 000 tecknen) till Google (Gemini) respektive Groq.
– Svarsförslag: Säljare och vår kundtjänst kan låta ta fram ett utkast till svar på ditt meddelande. Därvid överförs ditt meddelande och läget för din beställning (status, leverans, retur – inte namn eller adress) till Anthropic (Claude). Utkastet granskas och skickas av en människa.
– AI-shoppingrådgivare: Om du använder den överförs din fråga till Anthropic (Claude).

Själva produktsökningen beräknar vi med en språkmodell på våra egna servrar; dina sökfrågor skickas därvid inte till någon tredjepartsleverantör.

Följande används: Groq, Inc. (USA), Google Ireland Limited respektive Google LLC (Gemini, USA), Anthropic PBC (Claude, USA) och OpenAI (ChatGPT, USA). Leverantörerna behandlar uppgifterna för att generera svaret; för överföringen till USA stöder vi oss på EU-US Data Privacy Framework i den mån leverantören är certifierad där, och i övrigt på EU-kommissionens standardavtalsklausuler (art. 46.2 c GDPR). Rättslig grund är art. 6.1 b GDPR i den mån funktionen tjänar till att fullgöra ett avtal, annars led f; vårt berättigade intresse består i snabb kommunikation över språkgränserna.


Lagringstid

Vi lagrar personuppgifter endast så länge som det är nödvändigt för respektive ändamål eller lagen kräver det:

– Serverloggar: endast så länge de behövs för felsökning och för att avvärja angrepp, därefter skrivs de över
– Kundkonto: tills du raderar det. Vid raderingen tar vi bort dina profiluppgifter, adressbok, varukorg, önskelista, anmälan till nyhetsbrev och din statistikprofil; beställningar bevaras under de lagstadgade fristerna
– Beställningar, fakturor och bokföringsverifikationer: åtta år, handels- och affärsbrev sex år (§ 257 HGB, § 147 AO), räknat från utgången av respektive kalenderår
– Meddelanden och e-post: så länge de behövs för att handlägga ditt ärende och för följdfrågor; meddelanden som rör en beställning bevarar vi på samma sätt som beställningen
– Nyhetsbrev: tills du avregistrerar dig
– Statistik: samtycke tolv månader, registrerade data högst 365 dagar, vid återkallelse omedelbar radering
– Google Analytics: cookies upp till två år (vid återkallelse raderar vi dem i din webbläsare), data hos Google 14 månader
– Platsuppgifter för närområdessökningen: högst 180 dagar

Vad Stripe och övriga nämnda leverantörer lagrar på eget ansvar framgår av deras integritetspolicyer.


Dina rättigheter

Du har följande rättigheter gentemot oss avseende de personuppgifter som rör dig:

– Tillgång till de lagrade uppgifterna, deras ändamål, mottagare och lagringstid (artikel 15 GDPR)
– Rättelse av felaktiga eller ofullständiga uppgifter (artikel 16 GDPR)
– Radering, i den mån ingen lagstadgad bevarandeskyldighet hindrar detta (artikel 17 GDPR)
– Begränsning av behandling (artikel 18 GDPR)
– Dataportabilitet: utlämnande av de uppgifter du själv har tillhandahållit i ett vanligt förekommande, maskinläsbart format (artikel 20 GDPR)
– Återkallelse av ett lämnat samtycke med verkan för framtiden (art. 7.3 GDPR)

Tillgång till uppgifterna ger vi på begäran även elektroniskt. Ditt kundkonto kan du dessutom när som helst radera själv i ditt konto.

Rätt att göra invändningar (artikel 21 GDPR)

Om vi behandlar dina uppgifter på grundval av ett berättigat intresse (art. 6.1 f GDPR) kan du när som helst invända mot detta av skäl som hänför sig till din specifika situation. Vi behandlar då inte längre uppgifterna, såvida vi inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än dina intressen, rättigheter och friheter, eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk. Mot användningen av dina uppgifter för direktmarknadsföring kan du när som helst invända utan att ange skäl.

Rätt att lämna klagomål till en tillsynsmyndighet (artikel 77 GDPR)

Du kan lämna klagomål till en dataskyddsmyndighet, särskilt i den medlemsstat där du har din vistelseort eller din arbetsplats eller där den påstådda överträdelsen begicks. Behörig för oss är:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de


Dataskydd

Vår webbplats kan i regel användas utan att personuppgifter anges. I den mån personuppgifter (till exempel namn, adress eller e-postadress) samlas in på våra sidor sker detta – så långt det är möjligt – alltid på frivillig basis. Vi lämnar endast ut dina uppgifter i den mån det är nödvändigt för att genomföra din beställning (till exempel till säljaren, betaltjänstleverantören och transportföretaget), vi är skyldiga till det enligt lag eller du har samtyckt. Vi vill dessutom påpeka att dataöverföring via internet (till exempel vid kommunikation via e-post) kan ha säkerhetsluckor. Ett fullständigt skydd av uppgifterna mot åtkomst från tredje part är nämligen inte möjligt. Vi motsätter oss härmed uttryckligen att tredje part använder kontaktuppgifter som offentliggjorts inom ramen för skyldigheten att lämna företagsinformation för att skicka reklam och informationsmaterial som inte uttryckligen har begärts. Operatörerna av dessa sidor förbehåller sig uttryckligen rätten att vidta rättsliga åtgärder vid oönskade utskick av reklam, till exempel genom skräppost.