Datenschutzerklärung
Stand: 29. Oktober 2026
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist die Hikaya Lab UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Almir Dozovic, Teichstraße 23, 49681 Garrel, Deutschland. Telefon: 017630138571, E-Mail: info@hikayalab.com.
Einen Datenschutzbeauftragten haben wir nicht benannt, da hierzu keine gesetzliche Pflicht besteht.
2. Überblick
Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Website, die Abwicklung Ihrer Bestellungen und die Kommunikation mit Ihnen erforderlich ist oder Sie eingewilligt haben. Im Folgenden erklären wir, welche Daten wir zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten und welche Dienstleister wir dabei einsetzen.
3. Hosting und Shop-System
Unseren Onlineshop betreiben wir mit Shopify. Anbieter für Händler in Europa ist die Shopify International Limited, Victoria Buildings, 2. Etage, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland („Shopify“).
Beim Aufruf unserer Website verarbeitet Shopify technisch notwendige Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp, Betriebssystem und die zuvor besuchte Seite. Diese Daten sind erforderlich, um die Website auszuliefern und ihre Sicherheit und Stabilität zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und fehlerfreien Betrieb des Shops.
Außerdem speichert und verarbeitet Shopify in unserem Auftrag die Daten, die Sie im Shop eingeben, etwa bei einer Bestellung oder einer Anmeldung. Mit Shopify besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Shopify kann Daten auch an Unternehmen der Shopify-Gruppe in Kanada und in den USA übermitteln. Für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission. Übermittlungen in die USA stützen sich auf die Standardvertragsklauseln der EU-Kommission und, soweit der Empfänger zertifiziert ist, auf das EU-US Data Privacy Framework. Weitere Informationen: https://www.shopify.com/de/legal/datenschutz
4. Cookies und Einwilligung
Wir verwenden Cookies und ähnliche Technologien. Das sind kleine Dateien oder Einträge, die auf Ihrem Endgerät gespeichert oder aus ihm ausgelesen werden.
Unbedingt erforderlich sind Technologien, ohne die der Shop nicht funktioniert, etwa für Warenkorb, Bestellvorgang, Sicherheit und das Speichern Ihrer Cookie-Auswahl. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und, soweit personenbezogene Daten verarbeitet werden, Art. 6 Abs. 1 lit. b und f DSGVO.
Alle anderen Technologien, etwa zur Reichweitenmessung oder für Werbung, setzen wir nur ein, wenn Sie über unser Cookie-Banner eingewilligt haben. Dazu gehören auch Statistiken, die Shopify über die Nutzung des Shops erhebt und uns in zusammengefasster Form anzeigt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über den Link „Cookie-Einstellungen“ im Fußbereich unserer Website.
5. Bestellung
Wenn Sie bei uns bestellen, verarbeiten wir die dafür erforderlichen Daten: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, Bestelldaten und Zahlungsinformationen. Wir nutzen sie, um den Vertrag abzuschließen und abzuwickeln, Sie über den Stand Ihrer Bestellung zu informieren und Ihre Anfragen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Nach vollständiger Abwicklung des Vertrags bewahren wir die Daten auf, soweit handels- und steuerrechtliche Aufbewahrungspflichten bestehen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO). Die Fristen betragen je nach Unterlage sechs, acht oder zehn Jahre. Danach löschen wir die Daten.
6. Zahlungsdienstleister
Für die Zahlung geben wir die dafür erforderlichen Daten an den Zahlungsdienstleister weiter, den Sie im Bestellvorgang wählen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Außerdem haben wir ein berechtigtes Interesse an einer sicheren Zahlungsabwicklung und der Vermeidung von Betrug (Art. 6 Abs. 1 lit. f DSGVO).
Shopify Payments. Zahlungen per Kreditkarte, Apple Pay und Google Pay wickeln wir über Shopify Payments ab, einen Dienst von Shopify (Anschrift siehe oben). Ihre vollständigen Kartendaten werden dabei von Shopify und dessen Zahlungspartnern verarbeitet; wir erhalten sie nicht. Bei Apple Pay und Google Pay gelten zusätzlich die Datenschutzbestimmungen von Apple und Google.
Klarna. Wenn Sie mit Klarna bezahlen, etwa per Rechnung, geben wir Ihre Kontaktdaten, Bestelldaten und den Rechnungsbetrag an die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, weiter. Klarna kann zur Prüfung Ihrer Identität und Kreditwürdigkeit Auskunfteien einbeziehen und entscheidet in eigener Verantwortung, ob eine Zahlungsart angeboten wird. Einzelheiten: https://www.klarna.com/de/datenschutz/
PayPal. Wenn Sie mit PayPal bezahlen, geben wir die Zahlungsdaten an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, weiter. Einzelheiten: https://www.paypal.com/de/legalhub/privacy-full
Shop Pay. Wenn Sie Shop Pay nutzen, speichert Shopify Ihre Daten in Ihrem Shop-Pay-Konto für künftige Einkäufe. Dafür ist Shopify selbst verantwortlich.
7. Versand
Für die Lieferung geben wir Ihren Namen und Ihre Lieferanschrift an den beauftragten Versanddienstleister (DHL) weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ihre E-Mail-Adresse oder Telefonnummer geben wir nur weiter, wenn Sie ausdrücklich eingewilligt haben, damit der Versanddienstleister Ihnen die Zustellung ankündigen kann (Art. 6 Abs. 1 lit. a DSGVO).
8. Kontakt
Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage mit einem Vertrag zusammenhängt, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihrer Anfrage.
Unsere E-Mail-Postfächer betreibt in unserem Auftrag die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace). Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Eine Übermittlung in die USA ist nicht ausgeschlossen; sie stützt sich auf das EU-US Data Privacy Framework und die Standardvertragsklauseln. Wir löschen Anfragen, sobald sie erledigt sind, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
9. Newsletter „Skin Longevity verständlich“ und Warteliste
Wenn Sie sich für unsere E-Mail-Serie „Skin Longevity verständlich“ oder unsere Warteliste eintragen, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen die E-Mail-Serie und Informationen zu unseren Produkten und Verkaufsstarts zu senden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail, in der Sie die Anmeldung bestätigen. Um die Anmeldung nachweisen zu können, speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie Ihre IP-Adresse (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO).
Für den Versand nutzen wir Klaviyo, einen Dienst der Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02110, USA. Klaviyo verarbeitet Ihre Daten in unserem Auftrag; mit Klaviyo besteht ein Vertrag zur Auftragsverarbeitung. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework, nach dem Klaviyo zertifiziert ist, und ergänzend auf die Standardvertragsklauseln.
Wir werten aus, ob unsere E-Mails geöffnet und welche Links angeklickt werden, um unsere Inhalte zu verbessern. Diese Auswertung ist Teil Ihrer Einwilligung. Wenn Sie im Cookie-Banner eingewilligt haben, kann Klaviyo außerdem Ihre Aktivitäten auf unserer Website, etwa angesehene Produkte, Ihrem Profil zuordnen, damit unsere E-Mails zu Ihren Interessen passen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
Ihre Einwilligung können Sie jederzeit widerrufen, über den Abmeldelink in jeder E-Mail oder per Nachricht an uns. Nach der Abmeldung speichern wir Ihre E-Mail-Adresse in einer Sperrliste, damit Sie keine weiteren E-Mails erhalten, und bewahren den Nachweis Ihrer früheren Einwilligung bis zu drei Jahre auf (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Nachweis einer rechtmäßigen Werbung).
10. Meta-Pixel und Conversions API
Wenn Sie im Cookie-Banner eingewilligt haben, nutzen wir das Meta-Pixel und die Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, wie gut unsere Anzeigen auf Facebook und Instagram wirken, und können Anzeigen Menschen zeigen, die sich bereits für unsere Produkte interessiert haben.
Dabei werden Informationen über Ihren Besuch an Meta übermittelt, etwa aufgerufene Seiten, angesehene Produkte, Warenkorb- und Kaufereignisse, Anmeldungen, Ihre IP-Adresse und Angaben zu Ihrem Browser. Über die Conversions API senden wir solche Ereignisse zusätzlich direkt aus unserem Shop an Meta, ebenfalls nur mit Ihrer Einwilligung. Kontaktdaten wie E-Mail-Adresse oder Telefonnummer übermitteln wir dabei nur in verschlüsselter Form.
Für die Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu finden Sie unter https://www.facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich. Meta kann Daten in die USA übermitteln und ist nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über die „Cookie-Einstellungen“ widerrufen können. Informationen von Meta: https://www.facebook.com/privacy/policy
11. Google Analytics
Wenn Sie im Cookie-Banner eingewilligt haben, nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, um zu verstehen, wie unsere Website genutzt wird. Verarbeitet werden etwa aufgerufene Seiten, Interaktionen, Gerät, Browser und ungefährer Standort. IP-Adressen werden von Google Analytics 4 nicht gespeichert. Die Daten werden nach 14 Monaten gelöscht. Google verarbeitet die Daten in unserem Auftrag; eine Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über die „Cookie-Einstellungen“ widerrufen können. Informationen: https://policies.google.com/privacy
12. Unsere Auftritte auf Instagram und Facebook
Wir betreiben Profile auf Instagram und Facebook, Diensten von Meta (Anschrift siehe oben). Wenn Sie unsere Profile besuchen oder mit uns interagieren, verarbeitet Meta Ihre Daten nach eigenen Bestimmungen. Meta stellt uns zusammengefasste Statistiken über die Nutzung unserer Profile bereit. Für diese Verarbeitung sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung finden Sie unter https://www.facebook.com/legal/terms/page_controller_addendum. Wenn Sie uns dort schreiben oder kommentieren, verarbeiten wir Ihre Angaben, um zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Ihre Rechte können Sie am wirksamsten direkt gegenüber Meta geltend machen, Sie können sich aber auch an uns wenden.
13. Online-Widerruf
Wenn Sie einen Vertrag über unsere Widerrufsfunktion („Vertrag widerrufen“) widerrufen, verarbeiten wir die Angaben, die Sie im Formular machen, insbesondere Ihren Namen, Ihre E-Mail-Adresse und Ihre Bestellnummer, sowie Datum und Uhrzeit des Eingangs Ihrer Erklärung, um den Widerruf zu bearbeiten und Ihnen den Eingang zu bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB.
Die Funktion stellt uns Jonas Busch (BuschBytes), Hofstraße 2-4, 51061 Köln, Deutschland, mit der App „Revoq – EU Withdrawal Button“ bereit. Er verarbeitet die Daten in unserem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Die Daten werden auf Servern in Frankfurt am Main gespeichert; die Eingangsbestätigung wird über einen E-Mail-Dienst mit Servern in Irland versendet. Wir speichern die Angaben, solange wir sie für die Abwicklung des Widerrufs und als Nachweis brauchen, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen.
14. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie uns dazu an info@hikayalab.com.
Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Werden Ihre Daten für Direktwerbung verarbeitet, können Sie dem jederzeit ohne Angabe von Gründen widersprechen.
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
15. Pflicht zur Bereitstellung, automatisierte Entscheidungen
Die für eine Bestellung erforderlichen Angaben brauchen wir, um den Vertrag zu schließen. Ohne sie können wir die Bestellung nicht ausführen. Alle weiteren Angaben sind freiwillig. Wir selbst treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Klarna kann bei der Prüfung einer Zahlungsart automatisierte Entscheidungen treffen; Einzelheiten stehen in den Datenschutzhinweisen von Klarna.
16. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.