Datenschutzerklärung

1. Verantwortlicher und Kontakt

i-Garant Onlinetrading UG (haftungsbeschränkt), Cunostraße 15, 14199 Berlin, Deutschland, vertreten durch den Geschäftsführer Igors Kirjanovs, betreibt Shipnovo.

Datenschutzkontakt ist Geschäftsführer Igors Kirjanovs. Ein gesonderter Datenschutzbeauftragter ist derzeit nicht benannt. Die gesetzlichen Benennungsvoraussetzungen richten sich nach Art. 37 DSGVO und § 38 BDSG. Diese Kontaktbenennung ersetzt keine gesetzlich erforderliche unabhängige Datenschutzfunktion.

Für Datenschutzanfragen erreichen Sie uns unter [email protected].

Für Kontoverwaltung, eigene Abrechnung, Support und den Betrieb dieser Website entscheiden wir über Zwecke und Mittel der Verarbeitung. Käuferdaten verarbeiten wir im Auftrag des jeweiligen Händlers. Für Bestellungen, Versand und Käuferkorrespondenz bleibt der Händler verantwortlich. Informationen zu diesem Verhältnis finden Sie unter Auftragsverarbeitung.

2. Hosting und technische Infrastruktur

Die Webanwendung und ihre PostgreSQL-Datenbank laufen auf einem Server bei Hostinger. Dokploy ist die dort selbst betriebene Software zur Bereitstellung der Anwendung, kein eigenständiger Anbieter unseres Hostingdienstes. Auf dem Server fallen insbesondere Verbindungsdaten, technische Fehlerdaten sowie die im Dienst gespeicherten Konten- und Geschäftsdaten an.

Anbieter des VPS-Dienstes ist laut Hostingrechnung Hostinger International Ltd., 61 Lordou Vironos Street, Larnaca 6023, Zypern.

Der Serverstandort ist Frankfurt am Main, Deutschland. Die bei Hostinger eingerichteten wöchentlichen Serversicherungen werden in Litauen gespeichert. Am 10. Oktober 2026 waren zwei Sicherungen vorhanden. Hostinger ersetzt ältere Sicherungen automatisch. Diese Prüfung belegt keine zusätzliche, feste Aufbewahrungsfrist oder Verschlüsselung sämtlicher Sicherungskopien.

Cloudflare stellt DNS, die E-Mail-Infrastruktur mit Email Routing, Workers und D1 sowie den Missbrauchsschutz Turnstile bereit. Die Domain shipnovo.app verwendet in der geprüften Konfiguration DNS ohne Cloudflare-HTTP-Proxy. Daraus folgt keine Verarbeitung ausschließlich in Deutschland oder der EU.

Wir verarbeiten technisch erforderliche Verbindungs- und Sicherheitsdaten zur Bereitstellung eines sicheren Dienstes nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Missbrauch und die zuverlässige Bereitstellung der Anwendung. Für personenbezogene Daten unserer Vertragspartner gilt bei der Vertragserfüllung Art. 6 Abs. 1 lit. b DSGVO.

3. Konto, Abonnement, Support und notwendige Speicherung

Bei Registrierung und Nutzung verarbeiten wir Namen, E-Mail-Adresse, Passwort-Hash, Unternehmensdaten, Mitgliedschaften, Berechtigungen und Angaben zum gewählten Tarif. Das dient dem Vertrag und der Kontosicherheit. Bei Ansprechpartnern eines Unternehmens stützen wir die erforderliche geschäftliche Kommunikation auf Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich erforderliche Rechnungs- und Nachweisdaten verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.

Session-Cookies sind für Anmeldung und Zugriffsschutz erforderlich. Die Sitzungsdauer beträgt bis zu 30 Tage. Für die technisch erforderliche Speicherung gilt § 25 Abs. 2 Nr. 2 TDDDG. Eine Datenschutzerklärung zur Kenntnis zu nehmen, erteilt keine pauschale Einwilligung in zusätzliche Verarbeitungen.

Für Anfragen speichern wir Absender, Empfänger, Betreff, Nachricht und gegebenenfalls Anhänge in unserem eigenen mail-hub. Cloudflare betreibt dessen technische Infrastruktur. Der in Shipnovo vorhandene Resend-Mailtransport und der direkte Antwortversand aus dem Betreiberpostfach sind in der geprüften Konfiguration nicht aktiviert.

Bei Nutzung des öffentlichen Kontaktformulars verarbeiten wir Name, E-Mail-Adresse, optional den Firmennamen sowie den Nachrichteninhalt zur Anfragenbearbeitung (Art. 6 Abs. 1 lit. b DSGVO) und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO). Schlägt die E-Mail-Zustellung fehl, werden die Anfragedaten als Fallback in unserer geschützten Anwendungsdatenbank gespeichert, damit Plattform-Administratoren sie im Supportbereich einsehen und bearbeiten können. Die Daten werden zweckgebunden nach abschließender Klärung der Anfrage manuell durch Plattform-Administratoren gelöscht, es sei denn, gesetzliche Aufbewahrungspflichten oder anhängige Nachweisinteressen erfordern eine längere Aufbewahrung.

4. Angebundene Dienste und Empfänger

Abrechnung mit Stripe

Stripe verarbeitet bei Abschluss und Verwaltung eines Abonnements Zahlungs- und Rechnungsangaben sowie Kunden- und Abonnementkennungen. Zahlungsangaben geben Sie im von Stripe bereitgestellten Checkout ein. Wir erhalten den Zahlungs- und Abonnementstatus und Links zu Rechnungen, nicht die vollständigen Kartendaten. Stripe verarbeitet Daten je nach Zweck als Auftragsverarbeiter oder als eigener Verantwortlicher, etwa zur Erfüllung eigener rechtlicher Pflichten. Für unsere Vertragsabwicklung gilt Art. 6 Abs. 1 lit. b DSGVO.

eBay und Versanddienstleister

Mit Ihrer Kontoverbindung importieren wir Daten aus der eBay API: Käufer- und Empfängernamen, Benutzernamen, Kontaktdaten, Lieferanschriften, Bestellpositionen, Versanddaten sowie Nachrichten und zugehörige Anhänge. Versandinformationen und von Ihnen veranlasste Nachrichten werden an eBay zurückgemeldet.

Je nach dem vom Händler verbundenen Dienst verwenden wir DHL Paket, Deutsche Post Internetmarke, DPD, GLS, Hermes oder UPS. Zur beauftragten Versandabwicklung übermitteln wir die notwendigen Absender-, Empfänger-, Adress- und Sendungsdaten. Telefon, E-Mail und Zollangaben werden nur übermittelt, soweit die verwendete Schnittstelle und der beauftragte Versand dies vorsehen. Bei Internetmarke werden Adressen nur bei einem Etikettenlayout mit Adresszone übermittelt.

eBay und die beauftragten Versandunternehmen sind nicht allein aufgrund der API-Verbindung unsere Auftragsverarbeiter. Sie verarbeiten Daten auch für ihre eigenen Markt- und Versandleistungen. Käufer richten Datenschutzanfragen zur Bestellung zuerst an ihren Händler. Wir unterstützen den Händler bei seinen Pflichten gemäß der Vereinbarung zur Auftragsverarbeitung.

Optionale KI-Funktionen

Wenn der Händler eine KI-Funktion aktiviert und verwendet, verarbeitet OpenAI die für den jeweiligen Auftrag übermittelten Texte, Bilder oder Dokumente. Das kann Importunterlagen und Inhalte für Nachrichten- oder Angebotsentwürfe umfassen. Die Nachrichtenfunktion reduziert unmittelbar identifizierende Angaben vor dem Senden. Das macht Freitext und eingereichte Dokumente nicht automatisch anonym. Zugangsdaten werden nicht als Bestandteil des Arbeitsauftrags an die KI übermittelt.

OpenAI ist der in der geprüften Konfiguration aktivierte KI-Anbieter. Der alternative Anthropic-Adapter ist nicht aktiviert. KI-Entwürfe müssen Nutzer vor einer Veröffentlichung oder einem Versand prüfen. Die Verarbeitung von Käuferdaten erfolgt im Rahmen des vom Händler erteilten Auftrags, nicht aufgrund einer Einwilligung des Händlers anstelle seiner Käufer.

5. Speicherdauer und Löschung

Wir speichern Konten- und Vertragsdaten, soweit sie für den jeweiligen Zweck benötigt werden. Gesetzliche Aufbewahrungspflichten und die erforderliche Verteidigung von Rechtsansprüchen können einer sofortigen Löschung entgegenstehen. Entfällt der Zweck, löschen wir die Daten oder beschränken ihre Verarbeitung, soweit eine Aufbewahrungspflicht fortbesteht.

Käufer- und Bestelldaten, die wir im Auftrag eines Händlers verarbeiten, bleiben während des aktiven Händlerkontos gespeichert. Der Händler ist für diese Daten datenschutzrechtlich Verantwortlicher und legt die Zwecke und Weisungen fest. Eine Kündigung oder Beendigung des Händlerkontos gilt erst mit dem wirksamen Vertragsende als Beendigung der Verarbeitung. Anschließend kann der Händler seine Daten innerhalb von 30 Tagen exportieren oder ihre Löschung anweisen. Nach Ablauf dieser Frist löschen wir personenbezogene Auftragsdaten, soweit keine gesetzliche Aufbewahrungspflicht oder ein konkret erforderlicher Nachweis für Rechtsansprüche entgegensteht. Rechnungen und Buchungsbelege bewahren wir grundsätzlich acht Jahre, Bücher und Jahresabschlüsse zehn Jahre auf. Eine sechsjährige Frist gilt ausschließlich für Handels- und Geschäftsbriefe, soweit sie im Einzelfall gesetzlich aufzubewahren sind; sie ist keine allgemeine Frist für Käuferdaten. Gesetzliche Fristen beginnen grundsätzlich mit dem Ende des Entstehungsjahres; besondere gesetzliche Pflichten können sie verlängern.

Anonymisierte, nicht mehr einer Person zuordenbare Aggregate können wir dauerhaft speichern. Sicherungskopien werden spätestens 30 Tage nach Erstellung überschrieben oder gelöscht und nicht außerhalb einer erforderlichen Wiederherstellung genutzt. Eine Abo-Kündigung allein beendet das Händlerkonto nicht. Aktive Abonnements, offene Checkouts oder nicht abgeschlossene Vorgänge können den wirksamen Vertragsabschluss der Beendigung verzögern; die 30-Tage-Frist beginnt erst mit dem wirksamen Vertragsende.

Die verschlüsselten Dateien und Downloadtokens hochgeladener Nachrichtenanhänge laufen nach 24 Stunden ab. Der Bereinigungsauftrag entfernt diese Inhalte, nicht automatisch sämtliche Metadaten oder Nachrichten. Tracking-Statuskopien laufen bei nicht zugestellten Sendungen nach 45 Tagen ab Versand und bei zugestellten Sendungen nach 30 Tagen ab Zustellung ab. Bestellungen, Adressen und Sendungsnummern sind davon getrennt gespeichert.

6. Ihre Rechte

Nach den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Der Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.

Wenn wir Daten aufgrund berechtigter Interessen verarbeiten, können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO widersprechen. Gegen Direktwerbung können Sie jederzeit ohne Angabe solcher Gründe widersprechen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Wohnort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig. Für unsere eigenen Verarbeitungen kontaktieren Sie[email protected]. Bei Käuferdaten leiten wir die Anfrage an den verantwortlichen Händler weiter.

7. Sicherheit und internationale Verarbeitung

Die Anwendung prüft aktive Mitgliedschaften und Berechtigungen bei Zugriffen auf Kundendaten. Anbieterzugänge sowie hochgeladene Nachrichtenanhänge und Downloadtokens werden mit AES-256-GCM verschlüsselt gespeichert. Diese Verschlüsselung bedeutet nicht, dass sämtliche Bestellfelder oder PDF-Dateien einzeln verschlüsselt sind. Technische Protokolle reduzieren personenbezogene Freitexte und Zugangsdaten.

Cloudflare, Stripe und OpenAI können Daten auch in einem Drittland verarbeiten oder dortigen Stellen zugänglich machen, insbesondere in den USA. Eine Übermittlung braucht die Voraussetzungen der Art. 44 ff. DSGVO. Die veröffentlichten Datenverarbeitungsbedingungen dieser Anbieter sehen je nach Übermittlung Angemessenheitsbeschlüsse oder Standardvertragsklauseln vor. Angaben zu einer konkreten Übermittlung und den dafür einschlägigen Garantien können Sie bei uns anfordern. Wir behaupten keine ausschließliche Verarbeitung in der EU und keine generelle Zertifizierung sämtlicher Empfänger.

Bei Auswahl eines Versanddienstleisters hängen Empfänger und internationale Verarbeitung auch von den Verträgen des Händlers und dem Zielland der Sendung ab. Die gesetzlichen Anforderungen gelten auch für diese Übermittlungen.

8. Live-Demo

Für die Live-Demo fragen wir keine personenbezogenen Daten ab. Sie erhalten ein vorübergehendes Gastkonto mit Beispieldaten. Das Gastkonto und alles, was Sie darin eingeben, auch Adressen, löschen wir spätestens 24 Stunden nach dem Start. Zum Schutz vor Missbrauch speichern wir für diese Zeit einen Hashwert Ihrer IP-Adresse und prüfen den Start mit Cloudflare Turnstile (Cloudflare, Inc.). Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren Betrieb gemäß Art. 6 Abs. 1 lit. f DSGVO.

9. Statistik und Nutzungsanalyse mit Ihrer Einwilligung

Auf unseren öffentlichen Seiten und in der App nutzen wir die folgenden Dienste, aber nur, wenn Sie im Cookie-Banner zustimmen. Sie wählen getrennt für Statistik und Nutzungsanalyse. Ohne Ihre Zustimmung lädt Ihr Browser keinen dieser Dienste. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Statistik: Google Analytics 4

• Zweck: Wir zählen, welche Seiten und Funktionen genutzt werden und an welcher Stelle Abläufe abbrechen, etwa Registrierung, Einrichtung, Kontoverbindung oder Abo-Abschluss. So verbessern wir Shipnovo.
• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
• Daten: Seitenadresse, Gerät, Browser, ungefährer Ort, Herkunftsseite, Klicks, Scrolltiefe, Downloads und Formularnutzung. Kennungen in Adressen, etwa Bestellnummern, ersetzen wir vor dem Senden durch Platzhalter. Wir senden keine Namen, E-Mail-Adressen, Bestellnummern oder Nutzerkennungen. Google Signals und Werbefunktionen sind ausgeschaltet. Google Analytics speichert keine IP-Adressen.
• Cookies: _ga und _ga_…, bis zu 2 Jahre. Google löscht die Analysedaten nach 14 Monaten.
• Übermittlung in die USA: Google LLC kann Zugriff haben. Google ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

Nutzungsanalyse: Microsoft Clarity

• Zweck: Heatmaps und Aufzeichnungen der Bedienung (Mausbewegung, Klicks, Scrollen). So finden wir Stellen, an denen die Bedienung hakt.
• Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.
• Daten: Alle Texte und Eingaben sind in den Aufzeichnungen verdeckt. In der App sehen wir darin weder Namen und Adressen von Käufern noch Bestellwerte oder Nachrichten. Dazu kommen Gerät, Browser, Bildschirmgröße und ungefährer Ort.
• Cookies: _clck (1 Jahr) und _clsk (1 Tag); Microsoft kann weitere Cookies auf eigenen Domains setzen. Clarity löscht Aufzeichnungen nach 30 Tagen und zusammengefasste Daten nach 13 Monaten.
• Übermittlung in die USA: Microsoft Corporation kann Zugriff haben. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

Ihre Auswahl und Widerruf

Ihre Auswahl speichern wir 12 Monate in Ihrem Browser (localStorage, Eintrag shipnovo-consent). Sie gilt für die öffentlichen Seiten und die App, auch nach An- oder Abmeldung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über „Cookie-Einstellungen“ im Footer oder mit der Schaltfläche unten. Beim Widerruf beenden wir die Dienste und löschen ihre Cookies in Ihrem Browser.