Verkauf nur ab 18 Jahren · Bis 14 Uhr bestellt, in 1–2 Tagen bei dir · Gratis ab CHF 100
Entwurf – nicht rechtlich geprüft

Dieser Text ist ein Platzhalter. Er wurde noch nicht von einer Anwältin, einem Anwalt oder einer Treuhandstelle geprüft und darf bis zur Freigabe nicht als verbindlich gelten.

Datenschutzerklärung

Stand: September 2026

Diese Erklärung informiert dich darüber, welche Personendaten wir beim Betrieb des Onlineshops «Nayla Shop» (nayla-shop.web.app) bearbeiten, wozu wir das tun und welche Rechte du hast. Massgebend ist das revidierte Schweizer Datenschutzgesetz (revDSG) mit der Datenschutzverordnung (DSV). Sie beschreibt den tatsächlichen technischen Stand des Shops und wird angepasst, sobald sich daran etwas ändert.

1. Verantwortliche Stelle

i2bit
Aarauerstrasse 132, 4600 Olten, Schweiz
E-Mail: info@i2bit.de
[TODO: Ansprechperson für Datenschutzanfragen (Name) eintragen. Die Bestellung einer Datenschutzberaterin ist für uns nicht vorgeschrieben.]

Für Fragen zum Datenschutz, für Auskunftsbegehren und für alle weiteren Anliegen rund um deine Daten wende dich bitte an die genannte E-Mail-Adresse.

2. Grundsätze und Rechtsgrundlagen

Wir bearbeiten Personendaten nur, soweit es für den Betrieb des Shops, die Abwicklung deiner Bestellungen und die Einhaltung gesetzlicher Pflichten nötig ist (Grundsätze der Verhältnismässigkeit und Zweckbindung, Art. 6 DSG). Wo das Gesetz einen Rechtfertigungsgrund verlangt, stützen wir uns auf:

  • die Erfüllung eines Vertrags mit dir (Kundenkonto, Bestellung, Lieferung, Zahlung, Support);
  • gesetzliche Pflichten, insbesondere die Alterskontrolle beim Verkauf von Tabak- und Nikotinprodukten sowie die Aufbewahrung von Geschäftsunterlagen;
  • deine Einwilligung, wenn wir sie einholen (z. B. Newsletter, Start der Altersverifikation, allfällige Statistik-Cookies);
  • unser überwiegendes Interesse an einem sicheren, missbrauchsfreien Betrieb (Schutz vor Spam und Angriffen, Fehleranalyse).

3. Welche Daten wir bearbeiten

Ohne Kundenkonto kannst du den Shop durchstöbern, den Warenkorb füllen, das Kontaktformular nutzen und den Newsletter abonnieren. Für Bestellungen ist ein Kundenkonto nötig. Je nach Nutzung bearbeiten wir:

  • Kundenkonto: E-Mail-Adresse, Passwort (ausschliesslich als kryptografischer Hash, nie im Klartext), Geburtsdatum, optional Anzeigename, Zeitpunkt der Registrierung.
  • Adressen: Name, Strasse, PLZ, Ort, Land, optional Telefonnummer sowie eine von dir vergebene Bezeichnung.
  • Bestellungen: Bestellnummer, bestellte Artikel und Mengen, Beträge, allfälliger Rabattcode, Zahlungsart und Zahlungsreferenz, eine Kopie der Lieferadresse, deine Altersbestätigung und deine Zustimmung zu den AGB mit Zeitpunkt, Bestellstatus.
  • Altersverifikation: Status (offen, bestätigt, abgelehnt), verwendete Methode, die Referenznummer der Prüfung beim Verifikationsdienst und die Zeitpunkte. Einzelheiten in Ziffer 5.
  • Treuepunkte: Punktestand sowie jede Gutschrift oder Einlösung mit Bezug zur jeweiligen Bestellung.
  • Empfehlungsprogramm: dein persönlicher Empfehlungscode, die Verknüpfung zwischen werbendem und geworbenem Konto, die auslösende Bestellung und der ausgestellte Belohnungscode.
  • Wunschliste und Produktbewertungen: gemerkte Produkte; bei Bewertungen Sternebewertung, Titel und Text. Freigegebene Bewertungen sind im Shop öffentlich sichtbar – ohne E-Mail-Adresse.
  • Kontaktformular: Name, E-Mail-Adresse, Nachricht, die Seite, von der du geschrieben hast, sowie unsere Antwort.
  • Newsletter: E-Mail-Adresse, gewählte Sprache und Zeitpunkt der Anmeldung.
  • Technische Daten: Beim Kontaktformular und bei der Newsletter-Anmeldung speichern wir deine IP-Adresse kurzzeitig (maximal 2 Tage) als Schlüssel für eine Mengenbegrenzung gegen Spam. Zusätzlich fallen bei unseren Hosting-Anbietern übliche Server-Logs an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung).

4. Zwecke der Bearbeitung

  • Bereitstellung des Shops und deines Kundenkontos;
  • Abwicklung von Bestellungen, Zahlungen, Lieferungen und Rückgaben;
  • gesetzlich vorgeschriebene Alterskontrolle für Tabak- und Nikotinprodukte;
  • Kommunikation: Bestell- und Statusmeldungen, Antworten auf Anfragen, Newsletter (nur mit Anmeldung);
  • Treuepunkte- und Empfehlungsprogramm;
  • Sicherheit, Missbrauchsschutz und Fehlerbehebung;
  • Erfüllung gesetzlicher Aufbewahrungs- und Auskunftspflichten.

5. Altersverifikation mit Persona (Ausweis- und Selfie-Prüfung)

Weil wir Produkte verkaufen, die erst ab 18 Jahren abgegeben werden dürfen, musst du dein Alter vor der ersten Bestellung solcher Produkte einmalig nachweisen. Dafür setzen wir den Identitätsprüfungsdienst Persona (Persona Identities, Inc., San Francisco, USA) ein. Dabei werden besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG bearbeitet (Ausweisdaten und biometrische Daten). Bitte lies diesen Abschnitt deshalb aufmerksam.

So läuft die Prüfung ab: Wenn du sie im Kundenkonto startest, öffnet sich ein eingebettetes Fenster von Persona direkt in deinem Browser. Darin fotografierst du ein amtliches Ausweisdokument (z. B. ID, Pass oder Führerausweis) und – je nach Prüfschritt – ein Selfie. Diese Aufnahmen sowie die daraus ausgelesenen Angaben (Name, Geburtsdatum, Dokumentnummer, Dokumentart, biometrische Merkmale für den Gesichtsvergleich) werden von deinem Browser direkt an Persona übermittelt und dort ausgewertet. Sie gelangen nicht auf unsere Server.

Was wir erhalten und speichern: ausschliesslich das Ergebnis der Prüfung (bestätigt, abgelehnt, abgelaufen), die Referenznummer der Prüfung bei Persona sowie die Zeitpunkte. Wir speichern weder Ausweisbilder noch Selfies und sehen sie auch nicht ein. Die Prüfung ist mit deinem Kundenkonto nur über eine interne Konto-ID verknüpft. Bei erfolgreicher Prüfung wird in deinem Profil der Zeitpunkt der Altersbestätigung hinterlegt.

Zugriff: Auf die bei Persona verarbeiteten Daten hat nur Persona Zugriff. Bei uns sehen nur Personen mit Administratorenrechten den Status deiner Prüfung, nicht aber deine Ausweisdaten.

Einwilligung und Freiwilligkeit: Mit dem Start der Prüfung willigst du in diese Bearbeitung ausdrücklich ein. Die Prüfung ist freiwillig; ohne sie kannst du im Shop jedoch keine altersbeschränkten Produkte kaufen. Um Missbrauch und Kosten zu begrenzen, sind höchstens drei neue Prüfungen pro 24 Stunden möglich.

Datenexport in die USA: Persona hat seinen Sitz in den USA. Die Übermittlung stützt sich auf eine Zertifizierung des Anbieters nach dem Swiss-U.S. Data Privacy Framework oder auf die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Standardvertragsklauseln (Art. 16 DSG). Näheres zur Bearbeitung durch Persona findest du in der Datenschutzerklärung von Persona (withpersona.com).

[TODO: Auftragsbearbeitungsvertrag (DPA) mit Persona abschliessen, die Grundlage für den Datenexport (DPF-Zertifizierung oder Standardvertragsklauseln) dokumentieren und in der Persona-Konsole eine kurze Aufbewahrungsfrist für Ausweisbilder und Selfies mit automatischer Löschung einstellen. Die eingestellte Frist hier eintragen: «Persona löscht Ausweisbilder und Selfies … Tage nach Abschluss der Prüfung.»]

6. Zahlungsabwicklung

  • Vorkasse (Banküberweisung): Du überweist den Betrag auf unser Bankkonto. Dabei erhalten wir die bei einer Überweisung üblichen Angaben (Name der Kontoinhaberin bzw. des Kontoinhabers, Betrag, Zahlungsreferenz).
  • Karte und TWINT über PostFinance Checkout (PostFinance AG, Bern, Schweiz): Für die Zahlung leiten wir dich auf die Zahlungsseite von PostFinance weiter. Wir übermitteln dazu die Bestellnummer, den Betrag, die Artikelliste (Bezeichnungen und Mengen), deine E-Mail-Adresse und die Shop-Sprache. Deine Karten- bzw. TWINT-Daten gibst du ausschliesslich bei PostFinance ein; wir erhalten nie vollständige Kartendaten, sondern nur den Zahlungsstatus und eine Transaktionsreferenz. PostFinance bearbeitet die Daten in der Schweiz nach ihren eigenen Datenschutzbestimmungen.

7. Auftragsbearbeiter und weitere Empfänger

Wir geben Personendaten nur an Dienstleister weiter, die wir für den Betrieb des Shops brauchen und die vertraglich an unsere Weisungen gebunden sind (Auftragsbearbeitung, Art. 9 DSG), sowie an Empfänger, die für die Vertragserfüllung nötig sind:

  • Supabase, Inc. (USA) – Datenbank, Login (E-Mail und Passwort), Serverfunktionen für Checkout, Kontaktformular, Newsletter, Empfehlungsprogramm und Altersverifikation, Dateispeicher für Produktbilder sowie Echtzeit-Aktualisierungen. Unsere Daten liegen in der Region Frankfurt (EU); ein Zugriff durch den Anbieter aus den USA ist im Rahmen von Support und Betrieb möglich.
  • Google (Google LLC, USA / Google Ireland Ltd., Irland) – Firebase Hosting liefert die Dateien der Website über ein weltweites Netz aus. Dabei fallen Server-Logs mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung an. Wir binden weder das Firebase-SDK noch Google Analytics ein; es werden keine Nutzungsprofile erstellt.
  • Persona Identities, Inc. (USA) – Altersverifikation, siehe Ziffer 5.
  • PostFinance AG (Schweiz) – Zahlungsabwicklung für Karte und TWINT, siehe Ziffer 6.
  • Die Schweizerische Post AG (Schweiz) – erhält Name und Lieferadresse für den Versand deiner Bestellung.
  • E-Mail-Versand: Bestell- und Statusmeldungen senden wir über das geschäftliche E-Mail-Postfach von i2bit (SMTP), gehostet bei HostEurope. E-Mails rund um dein Konto (Bestätigung der Registrierung, Zurücksetzen des Passworts) versendet der Login-Dienst von Supabase über dessen eigene Infrastruktur.
  • Google (Gemini API) – Die Artikel in unserem Blog werden automatisiert mit dem KI-Dienst Gemini erzeugt. Dabei übermitteln wir nur Themenvorgaben, keine Kunden- oder Nutzungsdaten. Dieser Dienst bearbeitet also keine Personendaten von dir.

8. Bekanntgabe ins Ausland

Unsere Daten werden hauptsächlich in der Schweiz und in der EU (Supabase, Region Frankfurt) bearbeitet. Der Bundesrat anerkennt für die EU-Staaten ein angemessenes Datenschutzniveau. Persona, Supabase, Inc. und Google haben ihren Sitz in den USA; eine Bekanntgabe in die USA erfolgt entweder an Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, oder gestützt auf die vom EDÖB anerkannten Standardvertragsklauseln (Art. 16 und 17 DSG).

[TODO: Für jeden US-Anbieter (Supabase, Google, Persona) prüfen, ob eine DPF-Zertifizierung vorliegt oder Standardvertragsklauseln im Auftragsbearbeitungsvertrag enthalten sind, und die Verträge ablegen.]

9. Cookies, lokale Speicherung und Schriftarten

Wir setzen derzeit selbst keine Cookies. Der Shop läuft als statische Website; einige technisch notwendige Angaben werden stattdessen im lokalen Speicher deines Browsers («Local Storage») abgelegt und verlassen deinen Browser nur, wenn sie für eine Funktion an unsere Server übermittelt werden müssen:

  • Login-Sitzung: die Zugangs-Token deines Kundenkontos (gesetzt vom Login-Dienst Supabase), damit du eingeloggt bleibst.
  • Warenkorb: die von dir gewählten Produkte und Mengen («nayla-cart-v1»).
  • Alterseinstiegshinweis: der Zeitpunkt, an dem du beim Betreten des Shops bestätigt hast, volljährig zu sein («nayla-age-verified-at»). Das ersetzt nicht die Altersverifikation nach Ziffer 5.
  • Deine Auswahl im Cookie-Hinweis («nayla-cookie-consent»), damit wir dich nicht bei jedem Besuch erneut fragen.

Diese Angaben bleiben gespeichert, bis du sie in deinem Browser löschst. Sie sind für den Betrieb des Shops erforderlich und benötigen keine Einwilligung.

Statistik: Der Cookie-Hinweis bietet eine Option «Statistik» an. Aktuell ist kein Analyse- oder Tracking-Werkzeug eingebunden – deine Auswahl wird lediglich gespeichert und hat derzeit keine Auswirkung. Sollten wir künftig anonyme Nutzungsstatistiken erfassen, aktivieren wir dies nur, wenn du zugestimmt hast, und aktualisieren zuvor diese Erklärung.

Dienste Dritter: Während der Altersverifikation (eingebettetes Fenster von Persona) und der Zahlung (Zahlungsseite von PostFinance) können diese Anbieter auf ihren eigenen Domains Cookies setzen. Dafür gelten deren Datenschutzbestimmungen.

Schriftarten: Die verwendeten Schriften (Plus Jakarta Sans, Playfair Display) werden beim Erstellen der Website heruntergeladen und von unserem eigenen Hosting ausgeliefert. Beim Besuch des Shops wird keine Verbindung zu den Servern von Google Fonts aufgebaut.

10. Aufbewahrungsdauer

  • Bestellungen, Rechnungen und Zahlungsbelege: 10 Jahre ab Ende des Geschäftsjahres, in dem die Bestellung erfolgte (Buchführungs- und Aufbewahrungspflicht nach Art. 958f OR).
  • Kundenkonto, Adressen, Wunschliste, Treuepunkte und Empfehlungsdaten: bis zur Löschung deines Kontos. Beim Löschen des Kontos werden diese Daten entfernt; Bestellungen bleiben für die gesetzliche Frist ohne Verknüpfung zu einem Konto erhalten.
  • Ergebnis der Altersverifikation: solange dein Kundenkonto besteht, als Nachweis der durchgeführten Alterskontrolle. Ausweisbilder und Selfies speichern wir nie (Aufbewahrung bei Persona: siehe Ziffer 5).
  • Produktbewertungen: bis du sie zurückziehst oder dein Konto löschst.
  • Kontaktanfragen: solange die Anfrage bearbeitet wird und für eine angemessene Nachfrist für Rückfragen. [TODO: Konkrete Löschfrist festlegen, z. B. 12 Monate nach Abschluss, und Löschung einrichten.]
  • Newsletter: bis zu deiner Abmeldung.
  • IP-basierte Mengenbegrenzung (Kontaktformular, Newsletter): höchstens 2 Tage.
  • Server-Logs der Hosting-Anbieter: gemäss deren üblichen, kurzen Fristen.

11. Datensicherheit

Alle Verbindungen zum Shop und zu unseren Dienstleistern sind mit TLS verschlüsselt (inklusive HSTS). Passwörter werden ausschliesslich als Hash gespeichert. Der Zugriff auf die Datenbank ist mit zeilenbasierten Zugriffsregeln abgesichert, sodass du nur deine eigenen Daten siehst; besonders sensible Felder sind zusätzlich geschützt. Administrative Zugriffe sind auf wenige, rollenbasiert berechtigte Personen beschränkt. Öffentliche Endpunkte (Kontaktformular, Newsletter, Altersverifikation) sind gegen Massenanfragen abgesichert.

12. Deine Rechte

Nach dem Datenschutzgesetz stehen dir insbesondere folgende Rechte zu:

  • Auskunft (Art. 25 DSG): Du kannst erfahren, ob und welche Personendaten wir über dich bearbeiten.
  • Berichtigung (Art. 32 DSG): Unrichtige Daten kannst du berichtigen lassen – Adressen und Profilangaben auch direkt im Kundenkonto.
  • Löschung: Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
  • Datenherausgabe und -übertragung (Art. 28 DSG): Du kannst die Daten, die du uns gegeben hast, in einem gängigen elektronischen Format erhalten.
  • Widerspruch und Einschränkung: Du kannst einer Bearbeitung widersprechen oder verlangen, dass sie eingeschränkt wird.
  • Widerruf von Einwilligungen: Erteilte Einwilligungen (z. B. Newsletter) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Schreib uns dazu an info@i2bit.de. Auskunft erteilen wir in der Regel kostenlos und innert 30 Tagen. Zum Schutz deiner Daten können wir vor der Bearbeitung eines Gesuchs einen Identitätsnachweis verlangen.

Konto löschen und Newsletter abbestellen: Beides kannst du derzeit per E-Mail an info@i2bit.de veranlassen; wir führen die Löschung bzw. Abmeldung umgehend aus. [TODO: Selbstbedienungsfunktionen für Kontolöschung und Newsletter-Abmeldung im Shop einbauen und diesen Absatz danach anpassen.]

Beschwerderecht: Du kannst dich jederzeit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, wenden.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Shop, unsere Dienstleister oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum des Stands findest du oben.